GDPR in umetna inteligenca se na Nizozemskem združita v enem trenutku: takoj ko algoritem obdela podatke o določljivi osebi, se v celoti uporabi Splošna uredba o varstvu podatkov, ne glede na tehnologijo in osebo, ki jo je izdelala. To pomeni pravno podlago za vsako obdelavo, obveščanje zadevnih oseb o logiki sistema, pravico do človeškega posredovanja, kadar odločitev sprejme samo stroj, in dokumentirano oceno tveganja pred uvedbo. Agencija za avtoriteto oseb (Autoriteit Persoonsgegevens) izvršuje te obveznosti, Zakon EU o umetni inteligenci pa jim dodaja ločeno plast varnosti izdelkov, ne da bi jo nadomestil.
Ta članek obravnava operativni vidik: kaj mora organizacija storiti, ko osebni podatki dejansko tečejo skozi aplikacijo umetne inteligence. Predhodno vprašanje, kako upravičiti zbiranje velikega nabora podatkov in kako deluje test združljivosti, ko se podatki, zbrani za en namen, ponovno uporabijo za učenje modela, je obravnavano ločeno v našem članku o GDPR in velikih podatkih.
Kdaj sistem umetne inteligence spada na področje uporabe GDPR
Uredba je tehnološko nevtralna. Ne sprašuje, ali je sistem odločitveno drevo, statistični model ali model velikega jezika; sprašuje pa, ali se obdelujejo osebni podatki. Ta prag se preseže v treh ločenih trenutkih v življenjskem ciklu aplikacije umetne inteligence, vsak od njih pa potrebuje svojo analizo.
Prvi je učenje. Če učni nabor vsebuje informacije o prepoznavnih osebah, je njegovo sestavljanje in uporaba obdelava, dejstvo, da je izhod model in ne baza podatkov, pa pri tem ne spremeni ničesar. Drugi je sklepanje. Vsak poziv, poizvedba ali vhodni zapis, ki vsebuje osebne podatke, je operacija obdelave, prav tako pa tudi izhod, ki pove nekaj o prepoznavni osebi. Tretji je beleženje. Dnevniki sklepanja, zapisi povratnih informacij in nabori podatkov za vrednotenje pogosto vsebujejo več osebnih podatkov kot učni nabor in so v zapisu dejavnosti obdelave rutinsko pozabljeni.
Pogosto zmotno prepričanje je, da je usposobljen model po definiciji anonimen. Ni. Model lahko hrani osebne podatke v obliki, ki jo je mogoče izvleči, in ali to počne, je dejansko vprašanje, ki ga je treba oceniti za vsak model posebej. Evropski odbor za varstvo podatkov je do tega sklepa prišel v svojem mnenju o modelih umetne inteligence konec leta 2024 in dodal točko, ki je komercialno pomembna: kadar je bil model usposobljen na nezakonito obdelanih osebnih podatkih, lahko ta nezakonitost vpliva na zakonitost uporabe modela, razen če je mogoče dokazati, da je model sam resnično anonimen. Temelji uredbe so določeni v našem uvodu v zakonodajo o varstvu podatkov in v našem pregledu Splošne uredbe o varstvu podatkov.
Kdo je odgovoren in za kateri del
Odgovornost sledi odločanju, ne tehnologiji. Stranka, ki določa namene in sredstva obdelave, je upravljavec; stranka, ki obdeluje le na podlagi dokumentiranih navodil, je obdelovalec. V verigi umetne inteligence se te vloge spreminjajo iz koraka v korak: prodajalec modela je običajno upravljavec za lasten razvoj in obdelovalec za uporabo stranke, in kadar obe stranki skupaj določita namen, sta skupni upravljavci in morata zabeležiti, kako so razdeljene nastale obveznosti. Razlike in njihove posledice so pojasnjene v našem članku o vlogah upravljavca in obdelovalca ter pogodbeni strani v našem vodniku po pogodbi o obdelavi podatkov.
V praksi večino teh vprašanj odločata dve določbi. Če je dobavitelju dovoljeno uporabiti povratne informacije strank za izboljšanje lastnega modela, v ta namen deluje kot upravljavec in vi mu razkrivate osebne podatke. Če se zanaša na podobdelovalce ali infrastrukturo zunaj Evropskega gospodarskega prostora, veljajo pravila o prenosu iz poglavja V uredbe in potreben je mehanizem prenosa ter ocena. Nobene od točk ni mogoče rešiti po začetku delovanja.
Avtomatizirano odločanje in pravica do človeškega posredovanja
Člen 22 GDPR je določba, ki najhuje vpliva na aplikacije umetne inteligence. Vsaki osebi daje pravico, da ni predmet odločitve, ki temelji izključno na avtomatizirani obdelavi, vključno s profiliranjem, ki ima pravne učinke v zvezi z njo ali jo podobno pomembno prizadene. Če se bere kot prepoved in ne kot pravica do ugovora, kot to razume Sodišče, to pomeni, da takšne odločitve sploh niso dovoljene, razen če velja ena od treh izjem: odločitev je potrebna za sklenitev ali izvajanje pogodbe, jo dovoljuje pravo Unije ali države članice z ustreznimi zaščitnimi ukrepi ali pa temelji na izrecni privolitvi zadevne osebe.
O uporabi člena odločajo trije elementi. Odločitev mora temeljiti izključno na avtomatizirani obdelavi, ki je ne more ovreči simbolična človeška odobritev; vpletena oseba mora imeti dejansko pooblastilo in mora dejansko pretehtati izid. Učinek mora biti pravni ali podobno pomemben, kar vključuje zavrnitev kredita, zavrnitev prošnje za zaposlitev, prekinitev storitve, zavrnitev zavarovalnega zahtevka in avtomatizirane označbe goljufij, ki blokirajo stranko. Odločitev mora biti o posamezniku, zato generična pravila o cenah ne spadajo v člen, individualizirano točkovanje pa vanj.
Sodišče je to razširilo dlje, kot domnevajo številne organizacije. Kadar podjetje izračuna oceno osebe in tretja oseba močno upošteva to oceno pri odločanju o sklenitvi pogodbe, je že sama izdelava ocene avtomatizirana odločitev v smislu 22. člena. Z drugimi besedami, ponudnik ocene se ne more skrivati za dejstvom, da formalno odločitev sprejme njegova stranka. Za nizozemske organizacije, ki kupujejo ocene kreditov, goljufij ali tveganja, to spremeni vprašanje skladnosti s tega, ali sprejemajo avtomatizirane odločitve, na to, ali jih sprejema njihov dobavitelj.
Kadar velja ena od izjem, so zaščitni ukrepi obvezni in specifični: vsaj pravica do človeškega posredovanja, pravica do izražanja lastnega stališča in pravica do izpodbijanja odločitve. To pomeni delujoč, kadrovsko podprt in dokumentiran postopek, ne pa poštnega predala. Podatki posebne kategorije se lahko pri takšnih odločitvah uporabljajo le na podlagi izrecne privolitve ali znatnega javnega interesa, takšne odločitve pa se ne smejo sprejemati v zvezi z otroki.
Kako naj bi v resnici izgledal človeški nadzor
Pomembna človeška vpletenost je točka, na kateri večina sistemov odpove. Pregledovalec, ki vidi le izhod modela in priporočilo, ki nima dostopa do osnovnih podatkov, ki se meri glede na prepustnost in ki v zanemarljivem deležu primerov preglasi sistem, ne izvaja nadzora v smislu, ki ga zahteva uredba. Učinkovit nadzor pomeni, da ima pregledovalec pristojnost in pooblastilo, da pride do drugačnega zaključka, vidi informacije, ki jih je model uporabil, zabeleži razloge za potrditev ali odstopanje od rezultata in se spremlja, kako pogosto in zakaj pride do odstopanj. Ta statistika preglasitve je tudi prva stvar, ki jo bo preiskovalec zahteval.
Preglednost: kaj morate ljudem povedati o algoritmu
Kadar se izvaja avtomatizirano odločanje v smislu 22. člena, vas dolžnost obveščanja iz 13. in 14. člena ter pravica do dostopa iz 15. člena zavezujejo, da razkrijete obstoj avtomatiziranega odločanja, smiselne informacije o vključeni logiki ter pomen in predvidene posledice obdelave za zadevno osebo. Ta obveznost velja ob zbiranju in ponovno na zahtevo.
Smiselne informacije o logiki ne pomenijo objave izvorne kode ali uteži modela in ne pomenijo matematičnega opisa, ki mu laik ne more slediti. Sodišče je razsodilo, da ima oseba pravico do razlage postopka in dejansko uporabljenih načel, opisane dovolj konkretno, da lahko razume, kateri njeni osebni podatki so bili uporabljeni in na kakšen način, da lahko preveri točnost podatkov in izpodbija odločitev. Opis uporabljenih kategorij podatkov, njihova relativna teža, uporabljeni pragovi in učinek, ki bi ga imele različne vrednosti, je tista vrsta razlage, ki to izpolnjuje.
Poslovna zaupnost je dejavnik, ne pa adut. Kadar upravljavec meni, da bi podajanje pojasnila razkrilo poslovno skrivnost ali pravice drugih, tega ne more preprosto zavrniti: domnevno zaščitene informacije mora posredovati nadzornemu organu ali sodišču, ki nato pretehta interese in določi, kaj je treba razkriti. Vzpostavitev sistema, katerega logike sploh ni mogoče razložiti, zato ustvarja pravni problem in ne tehničnega izgovora. Obseg same pravice dostopa je obravnavan v našem članku o pravici dostopa v skladu s členom 15.
Preglednost ima tudi bolj preprosto razsežnost. Izjave o zasebnosti, ki opisujejo namene v jeziku, ki je dovolj širok, da zajema karkoli, nizozemski nadzorni organ obravnava kot kršitev same po sebi, pomemben del njegovega nedavnega izvrševanja pa se je nanašal prav na to. Naš vodnik po politiki zasebnosti na Nizozemskem določa, kako opisati algoritemsko obdelavo z izrazi, ki so natančni in berljivi, isto načelo pa velja tudi za interna obvestila, na primer kadar se sistemi uporabljajo za spremljanje zaposlenih ali za nadzor s kamerami na delovnem mestu.
Podatki, ki jih vnesete v sistem, in podatki, ki jih ta ustvari
Za vsako obdelavo v verigi je potrebna pravna podlaga, podlaga za usposabljanje pa ni samodejno podlaga za uporabo. Soglasje, nujnost pogodbe in legitimni interesi so trije realni kandidati, ki jih je treba oceniti in zabeležiti pred začetkom obdelave. Kadar se zanašamo na legitimne interese, je treba zapisati tristopenjsko oceno interesa, nujnosti in tehtanja; izključno komercialni interes se lahko šteje za upravičenega, kot je Sodišče EU potrdilo v nizozemski zadevi leta 2024, vendar le, če je obdelava resnično potrebna in če je ohranjeno tehtanje.
Dve kategoriji vnosnih podatkov si zaslužita ločeno obravnavo. Posebne kategorije osebnih podatkov, ki vključujejo zdravstvene podatke, biometrične podatke, ki se uporabljajo za identifikacijo, in podatke, ki razkrivajo etnično poreklo, politična mnenja, versko prepričanje, članstvo v sindikatu ali spolno usmerjenost, se ne smejo obdelovati, razen če velja pogoj iz 9. člena; praktični poti sta izrecna privolitev in v ozkih primerih bistven javni interes, določen z zakonom. Past je sklepanje: kadar model izpelje zaščiteno značilnost iz običajnih podatkov, se uporabi strožji režim, čeprav te značilnosti nihče ni zbral. Posebna pravila za biometrijo so določena v našem članku o biometričnih podatkih in skladnosti z GDPR.
Druga kategorija so strgani ali javno dostopni podatki. Dejstvo, da je informacije mogoče najti na spletu, še ne pomeni, da je njihova uporaba zakonita. Še vedno potrebujete podlago, test tehtanja pa mora upoštevati dejstvo, da posameznik nima nobenega razmerja z vami, ni bil obveščen in ni pričakoval, da bodo njegovi podatki uporabljeni v ta namen. Kadar so podatki pridobljeni iz vira, ki ni posameznik, velja dolžnost obveščanja iz člena 14, le z omejenimi izjemami.
Najpogosteje se organizacije zmotijo pri izhodnih podatkih. Sklepanje, ki ga model ustvari o določljivi osebi, so osebni podatki o tej osebi: ocena tveganja, ocena primernosti, predvidena diagnoza ali ustvarjena izjava – vse to spada pod uredbo. Iz tega sledi, da morajo biti taki izhodni podatki točni, da jih je treba popraviti ali dopolniti, kjer niso, in da so zajeti v pravici do dostopa. Model, ki ustvari napačne izjave o imenovanem posamezniku, ni zgolj problem kakovosti; gre za obveznost popravka, in če se napačna izjava razširi, lahko to povzroči tudi zahtevek zunaj zakona o varstvu podatkov. Praktični ukrepi za zmanjšanje te izpostavljenosti so znani: odstranitev nepotrebnih identifikatorjev, ločevanje razvojnih in produkcijskih podatkov, omejitev, kdo lahko poizveduje po sistemu, določitev obdobij hrambe za podatke o usposabljanju, uporaba shramb in dnevnikov ter preverjanje, ali je mogoče model uporabiti za razkritje podatkov o usposabljanju. Kjer se kot vhodni podatki uporablja e-poštni promet, so posebna vprašanja obravnavana v našem članku o e-pošti in varstvu podatkov v skladu z GDPR.
Pristranskost, diskriminacija in enako obravnavanje
Zakonodaja o varstvu podatkov in zakonodaja o enakem obravnavanju se tukaj prekrivata, organizacija pa lahko spoštuje eno, medtem ko krši drugo. GDPR zahteva, da je obdelava poštena in natančna, ter z oceno učinka zahteva, da se ugotovi in zmanjša tveganje diskriminatornih izidov. Nizozemska zakonodaja o enakem obravnavanju gre še dlje: prepoveduje neposredno in posredno razlikovanje na podlagi rase, narodnosti, vere, spola, spolne usmerjenosti, invalidnosti, kroničnih bolezni in starosti na področjih, kot so zaposlovanje, dobava blaga in storitev ter izobraževanje. Algoritem, ki sistematično ustvarja slabši rezultat za zaščiteno skupino, povzroča posredno razlikovanje, ki je nezakonito, razen če ga je mogoče objektivno upravičiti z legitimnim ciljem, ki se zasleduje z ustreznimi in potrebnimi sredstvi.
Nizozemski inštitut za človekove pravice ocenjuje pritožbe v skladu s to zakonodajo in je objavil smernice o algoritemski diskriminaciji pri zaposlovanju in izbiri. Njegovo izhodišče je neprijetno, a pravilno: breme dokazovanja, da je razlikovanje objektivno upravičeno, leži na stranki, ki uporablja sistem, zato je organizacija, ki ne more pojasniti, zakaj njen model dosega različne rezultate za različne skupine, že od samega začetka v šibkem položaju.
Pristranskost vstopa po znanih poteh. Podatki o usposabljanju odražajo zgodovinske odločitve, ki so bile same po sebi pristranske; nabor podatkov premalo predstavlja del populacije; značilnost deluje kot približek za zaščiteno značilnost, tako kot poštna številka pogosto za etnično pripadnost; optimizacija za natančnost v celotni populaciji pa prikriva slabo delovanje manjšine znotraj nje. Tukaj obstaja resnična napetost v zakonodaji, saj testiranje diskriminatornega učinka pogosto zahteva obdelavo natančno tistih podatkov posebne kategorije, ki jih uredba omejuje. Pot skozi to je testiranje na nadzorovani osnovi, z dokumentirano pravno podlago, strogimi omejitvami dostopa in združenimi rezultati, namesto da se izogibamo testiranju in upamo, da vprašanje ne bo nikoli zastavljeno.
Nizozemska izkušnja s sistemom za označevanje tveganja, ki se uporablja za odkrivanje goljufij s prejemki, kaže, kaj se zgodi, če se to zanemari. Sodišče je razsodilo, da je temeljna zakonodaja v nasprotju s pravico do spoštovanja zasebnega življenja v skladu z Evropsko konvencijo o človekovih pravicah, ker sistem ni bil dovolj pregleden in preverljiv ter ga ni bilo mogoče preveriti glede diskriminatornega učinka. Nauk, ki se je ohranil iz te sodbe, je, da je nepreglednost sama po sebi pravna napaka in ne nevtralna tehnična značilnost. Kadar algoritemska napaka povzroči škodo, je vprašanje, kdo zanjo odgovarja, ločeno vprašanje, ki je obravnavano v našem članku o odgovornosti za napake, ki jih povzroči umetna inteligenca , in o kazenskopravni razsežnosti v našem članku o umetni inteligenci in kazenskem pravu.
Kdo nadzira umetno inteligenco in algoritme na Nizozemskem
Nadzorni organ za GDPR na Nizozemskem je Autoriteit Persoonsgegevens (Uprava za varstvo podatkov), ki uredbo uporablja skupaj z nacionalnim izvedbenim aktom, Uitvoeringswet AVG, ki namesto dodajanja ločene ureditve izpolnjuje možnosti, ki jih uredba prepušča državam članicam. Njegova pooblastila segajo od opozorila in opomina do odredbe, za katero je določena denarna kazen, prepoved obdelave in upravna globa v višini do dvajset milijonov evrov ali štirih odstotkov celotnega letnega prometa po svetu, kar je višje. Poleg GDPR vzdržuje namensko enoto za koordinacijo nadzora algoritmov in objavlja redna poročila o algoritmičnih tveganjih na Nizozemskem, ki so najjasnejša razpoložljiva izjava o njegovih pričakovanjih. Kaj organ počne in kako deluje, je opisano v našem članku o nizozemskem organu za varstvo podatkov.
Nadzor nad umetno inteligenco je namerno deljen. Rijksinspectie Digitale Infrastructuur in Autoriteit Persoonsgegevens delujeta skupaj kot usklajevalna nadzornika za zakon o umetni inteligenci, medtem ko sektorski regulatorji ohranjajo svoje pristojnosti: finančni nadzorniki za modele, ki se uporabljajo v bančništvu in zavarovalništvu, zdravstveni inšpektorat za medicinske aplikacije in medijski organ za platforme. Nizozemski inštitut za človekove pravice zajema razsežnost enake obravnave. Za organizacijo to pomeni, da lahko en sistem oceni več organov na različnih podlagah, kar je argument za eno samo notranjo datoteko, ki odgovarja na vse, namesto za ločene poti skladnosti.
Javni organi imajo dodatno plast. Vladne organizacije registrirajo algoritme, ki jih uporabljajo, v nacionalnem registru algoritmov, upravne odločitve, ki jih podpira algoritem, pa morajo še vedno izpolnjevati splošne zahteve nizozemskega upravnega prava, da mora biti odločitev pripravljena skrbno in ustrezno obrazložena. Obrazložitev, ki se nanaša na trditev, da je sistem prinesel ta rezultat, ne izpolnjuje tega standarda.
Kako se zakon o umetni inteligenci umešča v okvir GDPR
Zakon o umetni inteligenci ureja sisteme umetne inteligence kot izdelke, razvrščene glede na tveganje, z obveznostmi za ponudnike in uvajalce. Ni instrument za varstvo podatkov: ne ustvarja pravne podlage za obdelavo osebnih podatkov, skladnost z njim pa ne pove ničesar o skladnosti z GDPR. Kadar sistem umetne inteligence obdeluje osebne podatke, se obe ureditvi uporabljata vzporedno in v celoti.
Pri načrtovanju je pomembna postopnost. Prepovedi nesprejemljivih praks, vključno s socialnim točkovanjem s strani javnih organov in nenamernim strganjem slik obrazov za izgradnjo podatkovnih baz za prepoznavanje, že veljajo, prav tako obveznosti za modele umetne inteligence za splošno uporabo in dolžnosti preglednosti za sisteme, ki komunicirajo z ljudmi ali ustvarjajo sintetično vsebino. Globoke ponaredke in besedila, ki jih ustvari umetna inteligenca in so objavljena za obveščanje javnosti, je treba označiti. Režim visokega tveganja je bil odložen z digitalnim omnibus paketom: obveznosti za sisteme z visokim tveganjem, navedene v Prilogi III, ki vključujejo zaposlovanje in izbor, oceno kreditne sposobnosti, izobraževanje in dostop do bistvenih storitev, zdaj veljajo od 2. decembra 2027, obveznosti za umetno inteligenco, ki je varnostna komponenta izdelka, ki ga ureja Priloga I, pa od 2. avgusta 2028. Ločen predlog za direktivo o odgovornosti za umetno inteligenco je bil umaknjen, zato se škoda, ki jo povzroči sistem umetne inteligence, obravnava v skladu z običajnim nizozemskim pogodbenim in odškodninskim pravom ter evropskimi pravili o odgovornosti za izdelke.
Za sistem, ki sprejema odločitve o ljudeh in spada v kategorijo visokega tveganja, se režima medsebojno krepita: GDPR zahteva oceno učinka na varstvo podatkov in človeško posredovanje na zahtevo, zakon o umetni inteligenci pa zahteva sistem za upravljanje tveganj, upravljanje podatkov, tehnično dokumentacijo, beleženje, človeški nadzor že pri vgradnji in za nekatere ponudnike oceno učinka na temeljne pravice. Izgradnja vseh sistemov naenkrat je precej cenejša kot dvakratna izgradnja. Pravila za razvrščanje so določena v naših vodnikih po zakonu EU o umetni inteligenci , po sistemih umetne inteligence z visokim tveganjem in v našem praktičnem vodniku za podjetja ; širše ozadje je zajeto v našem članku o pravni plati umetne inteligence v EU.
Druga digitalna pravila, ki veljajo hkrati
Za algoritmične sisteme so pomembne še tri ureditve. Zakon o digitalnih storitvah nalaga spletnim platformam, ki uporabljajo algoritme za moderiranje in priporočanje vsebin, obveznosti glede preglednosti in tveganja, vključno z obveznostjo razlage glavnih parametrov sistemov priporočil in, za največje platforme, da ponudijo možnost, ki ne temelji na profiliranju; to obravnavamo v naših člankih o Zakonu o digitalnih storitvah in Zakonu o digitalnih trgih ter o tem , kaj morajo podjetja vedeti o njih. Zakon o kibernetski odpornosti določa varnostne zahteve za izdelke z digitalnimi elementi, ki se bodo postopno uvajale v prihodnjih letih, in zahteva varnost že po zasnovi in obravnavo ranljivosti. Cyberbeveiligingswet, nizozemska izvedba NIS2, ki velja od 15. avgusta 2026, pa subjektom, ki spadajo pod njegovo področje uporabe, nalaga registracijo pri NCSC in obveščanje o incidentih v štiriindvajsetih in dvainsedemdesetih urah, skupaj z in neodvisno od dolžnosti obveščanja o kršitvah GDPR; glejte naš pregled NIS2 in nizozemskega zakona o kibernetski varnosti.
Upravljanje: kaj mora biti v datoteki
Odgovornost je obveznost dokazovanja. Ni dovolj biti skladen; upravljavec mora biti sposoben dokazati skladnost, kar v algoritmičnem kontekstu pomeni datoteko, ki ustreza sistemu, kot je dejansko zgrajen in uporabljen. Večino dela opravi pet dokumentov.
Zapis o dejavnostih obdelave mora opisovati podatkovne tokove, na katerih temelji vsak model, vključno s podatki za učenje, vhodnimi podatki za sklepanje in dnevniki, ne pa oddelkov, ki so njihovi lastniki. Pravna podlaga za vsako operacijo je zabeležena poleg nje, pri čemer je priložena ocena legitimnih interesov, kjer je ta podlaga uporabljena. Ocena učinka na varstvo podatkov je obvezna, kadar je verjetno, da bo obdelava povzročila visoko tveganje, kar uredba predpostavlja za sistematično in obsežno avtomatizirano ocenjevanje osebnih vidikov, na katerih temeljijo odločitve s pomembnimi učinki, za obsežno obdelavo posebnih kategorij in za sistematično spremljanje javno dostopnih območij; nizozemski nadzorni organ objavlja tudi seznam postopkov obdelave, za katere je vedno potrebna ocena. Kadar visokega preostalega tveganja ni mogoče zmanjšati, se je treba pred začetkom obdelave posvetovati z organom.
Poleg teh je še interni register algoritmov, ki ga vse pogosteje vodijo celo zasebne organizacije, ker je to edini praktičen način za odgovor na nadzorno zahtevo, in postopki za obravnavo zahtev posameznikov: dostop, popravek, izbris, ugovor in zahteva za človeško posredovanje, pri čemer ima vsaka zahteva imenovanega lastnika in rok. Pooblaščena oseba za varstvo podatkov je obvezna za javne organe in organizacije, katerih osnovne dejavnosti vključujejo redno in sistematično spremljanje v velikem obsegu ali obsežno obdelavo posebnih kategorij, kar zajema veliko število uvedb umetne inteligence.
Nič od tega ne deluje kot papirna vaja. Ljudje, ki gradijo modele, in ljudje, ki ocenjujejo tveganje, morajo delati na istem dokumentu, datoteko pa je treba posodobiti, ko se model ponovno izobrazi ali spremeni namen, ker je bistveno spremenjen sistem nov postopek obdelave. Kako se to ujema s širšo strukturo skladnosti, je obravnavano v naših člankih o vrstah pravne skladnosti in o okviru korporativnega upravljanja ter o nizozemski krajini varstva podatkov kot celoti v našem vodniku po nizozemskih zakonih o zasebnosti podatkov.
Zaščita samega sistema: intelektualna lastnina in poslovne skrivnosti
Pravila, ki ščitijo algoritem, delujejo v nasprotni smeri od pravil, ki zahtevajo njegovo razlago, in oba je treba namerno uskladiti. Računalniški programi kot taki so izključeni iz patentne zaščite, vendar je aplikacijo umetne inteligence, ki ponuja tehnično rešitev za tehnični problem, načeloma mogoče patentirati v skladu z nizozemskim zakonom o patentih in Evropsko patentno konvencijo. Avtorske pravice ščitijo izvorno kodo in druge izvirne izraze v skladu z zakonom Auteurswet, ne pa osnovne ideje, metode ali matematične tehnike. V praksi je najdragocenejša zaščita zakon o poslovnih skrivnostih: Wet bescherming bedrijfsgeheimen, ki izvaja direktivo o evropskih poslovnih skrivnostih, ščiti informacije, ki so tajne, imajo komercialno vrednost, ker so tajne, in so predmet razumnih ukrepov za ohranitev njihove tajnosti. To zajema podatke za učenje, parametre modela in arhitekturo, pod pogojem, da so ti razumni ukrepi dejansko sprejeti in dokumentirani. Izvrševanje poteka prek civilnih sodišč, ki lahko odredijo prepovedi, predajo blaga, ki krši pravice, in odškodnino; to ni stvar organa za konkurenco.
Podatki za usposabljanje sprožajo lastno vprašanje avtorskih pravic. Izjeme za besedilno in podatkovno rudarjenje v nizozemskem zakonu o avtorskih pravicah, ki izvajajo evropsko direktivo o avtorskih pravicah na enotnem digitalnem trgu, dovoljujejo rudarjenje zakonito dostopnih del, vendar si imetniki pravic lahko pridržijo svoje pravice, ponudniki splošnih modelov umetne inteligence pa morajo v skladu z zakonom o umetni inteligenci imeti politiko za skladnost z zakonodajo EU o avtorskih pravicah in spoštovati takšne pridržke. Strganje podatkov je torej omejeno z dvema ločenima režimoma hkrati, varstvom podatkov in avtorskimi pravicami, in brisanje enega ne pove ničesar o drugem. Naš vodnik po pravu intelektualne lastnine na Nizozemskem in naš članek o varstvu poslovnih skrivnosti podrobno obravnavata ta vprašanja.
Omejitev je tista, ki smo jo omenili že prej: zaupnost vas ne odvezuje dolžnosti pojasnjevanja avtomatizirane odločitve. Če se obe zadevi srečata, nadzorni organ ali sodišče odloči, kaj je treba razkriti, zato je smiseln cilj zasnove sistem, katerega logiko je mogoče opisati na ravni načel in dejavnikov, ne da bi pri tem razkrili karkoli resnično tajnega.
Pogosta vprašanja
Spodnja vprašanja se najpogosteje pojavljajo, ko nizozemske organizacije vnesejo osebne podatke v algoritem. Nadaljnje gradivo o sorodnih temah je zbrano v naših nizozemskih vodnikih po pravu IT.
Kakšne so zahteve za sisteme umetne inteligence v skladu z GDPR pri obdelavi osebnih podatkov na Nizozemskem?
Vaši sistemi umetne inteligence morajo pri obdelavi osebnih podatkov na Nizozemskem izpolnjevati vse obveznosti iz GDPR. Za obdelavo morate vzpostaviti zakonito podlago, kot so soglasje, izpolnjevanje pogodbe ali legitimni interes.
Zagotoviti morate, da je zbiranje osebnih podatkov omejeno na tisto, kar je potrebno za vaš določen namen. Vaše aplikacije umetne inteligence ne morejo obdelati več podatkov, kot jih je potrebno za dosego navedenih ciljev.
Nizozemski organ za varstvo podatkov pričakuje, da boste vodili celovito dokumentacijo o svojih dejavnostih obdelave podatkov. Zabeležiti morate, katere podatke zbirate, zakaj jih zbirate in kako dolgo jih hranite.
Kako GDPR vpliva na razvoj in uporabo algoritmov umetne inteligence, ki obdelujejo občutljive podatke?
Pri obdelavi občutljivih osebnih podatkov v sistemih umetne inteligence soočate s strožjimi zahtevami. Te vključujejo podatke o zdravju, rasi, veroizpovedi, političnih prepričanjih ali biometričnih podatkih.
Pred obdelavo občutljivih podatkov prek vaših algoritmov morate pridobiti izrecno soglasje ali navesti drugo veljavno pravno podlago . Splošno soglasje za te kategorije podatkov ni zadostno.
Vaš razvojni proces mora vključevati dodatne zaščitne ukrepe in varnostne ukrepe za občutljive informacije. V celotnem življenjskem ciklu sistema umetne inteligence morate izvajati šifriranje, nadzor dostopa in redne varnostne ocene.
Katere ukrepe je treba sprejeti za zagotovitev preglednosti pri odločanju o umetni inteligenci, ki vključuje osebne podatke nizozemskih prebivalcev?
Zagotoviti morate jasne informacije o tem, kako vaši sistemi umetne inteligence sprejemajo odločitve, ki vplivajo na posameznike. Vaši uporabniki morajo razumeti, katere podatke zbirate in kako jih vaši algoritmi uporabljajo.
Logiko in procese odločanja vašega modela umetne inteligence morate dokumentirati v preprostem jeziku. Samo tehnične razlage ne izpolnjujejo zahtev GDPR glede preglednosti.
Ko vaš sistem umetne inteligence sprejema avtomatizirane odločitve, morate o obdelavi obvestiti prizadete posameznike. Pojasniti jim morate pomen in morebitne posledice teh odločitev zanje.
Katere pravice imajo posamezniki na Nizozemskem v zvezi z avtomatiziranim odločanjem v skladu z GDPR?
Posamezniki imajo pravico, da niso predmet odločitev, ki temeljijo izključno na avtomatizirani obdelavi in imajo pravne ali podobno pomembne učinke. Kadar veljajo ti pogoji, morate v postopek odločanja vključiti človeka.
Vaši uporabniki lahko zahtevajo človeško posredovanje za pregled avtomatiziranih odločitev, ki jih zadevajo. Vzpostaviti morate postopke za obravnavo teh zahtev in zagotavljanje smiselnega človeškega nadzora.
Posamezniki, na katere se nanašajo osebni podatki, lahko izpodbijajo avtomatizirane odločitve in zahtevajo pojasnila o vpleteni logiki. Pripravljeni morate biti, da posredujete informacije o tem, kako je vaš sistem umetne inteligence prišel do določenih zaključkov o posameznikih.
Na kakšne načine GDPR zahteva, da so sistemi umetne inteligence zasnovani za privzeto in vgrajeno varstvo podatkov v nizozemskem kontekstu?
Varstvo podatkov morate vključiti v svoje sisteme umetne inteligence že od najzgodnejših faz razvoja. Pomislekov glede zasebnosti ne smete pozabiti, ko je vaš algoritem dokončan.
Vaše privzete nastavitve bi morale zagotavljati najvišjo možno raven zaščite podatkov. Uporabnikom ne bi smelo biti treba prilagajati nastavitev za doseganje osnovne zaščite zasebnosti.
V celotni arhitekturi sistema morate uvesti tehnične ukrepe, kot sta psevdonimizacija in zmanjševanje podatkov. Vaša umetna inteligenca naj dostopa in obdeluje le minimalne podatke, potrebne za vsako posamezno funkcijo.
Kako lahko organizacije dokažejo skladnost z načelom odgovornosti iz GDPR pri uporabi umetne inteligence na Nizozemskem?
Voditi morate podrobne evidence o svojih dejavnostih obdelave podatkov in delovanju sistema umetne inteligence. Dokumentacija dokazuje, da ste upoštevali in izpolnili zahteve GDPR.
Pred uvedbo sistemov umetne inteligence, ki predstavljajo visoka tveganja za zasebnost, morate izvesti ocene vpliva na varstvo podatkov. Te ocene prepoznajo morebitne težave.
Vaša organizacija mora izvajati ustrezne politike, programe usposabljanja in mehanizme nadzora za uporabo umetne inteligence. Nizozemskemu organu za varstvo podatkov bi morali biti kadar koli sposobni predložiti dokazila o vaših stalnih prizadevanjih za skladnost s predpisi.
Kako Law & More lahko pomaga
Law & More svetuje nizozemskim in mednarodnim organizacijam na področju varstva podatkov na področju umetne inteligence: ocenjevanje, ali se člen 22 uporablja za sistem, oblikovanje človeškega nadzora, ki vzdrži presojo, priprava pojasnila, ki ga je treba dati prizadetim osebam, izvajanje ocen učinka, pogajanja o sporazumih o obdelavi s ponudniki modelov in platform ter odzivanje na zahtevek Autoriteit Persoonsgegevens ali na pritožbe in zahtevke posameznikov. Če uvajate algoritem, ki sprejema ali podpira odločitve o ljudeh, naš odvetniki za varstvo zasebnosti so na voljo za pregled datoteke z vami, preden jo pregleda regulator.
Kako Law & More vam lahko pri tem pomaga, je razloženo na naši odvetnik za IT stran.
