Umetna inteligenca v vašem nizozemskem podjetju: tveganja skladnosti z GDPR in zakonom o umetni inteligenci

Če vaše nizozemsko podjetje uporablja umetno inteligenco, ki obdeluje osebne podatke, se GDPR (AVG) v celoti uporablja danes, izvaja pa jo nizozemski organ za varstvo podatkov (Autoriteit Persoonsgegevens, AP). Poleg tega zakon EU o umetni inteligenci nalaga dolžnosti, ki so odvisne od tveganja sistema: prepovedi prepovedanih praks in dolžnost pismenosti na področju umetne inteligence veljajo od 2. februarja 2025, medtem ko je bila večina režima z visokim tveganjem preložena.

Najpogostejša napaka je, da se umetna inteligenca obravnava kot prihodnji problem skladnosti. Odložitev v zakonu o umetni inteligenci ne začasno ustavi ničesar v GDPR. Ta stran pojasnjuje, katera pravila veljajo zdaj, katera pridejo na vrsto pozneje in kaj morate storiti najprej.

Katera pravila GDPR veljajo pri uporabi umetne inteligence?

Vse to, takoj ko sistem umetne inteligence obdeluje osebne podatke. Za vsako obdelavo potrebujete pravno podlago, določen namen in ne več podatkov, kot jih zahteva ta namen.

Pravne podlage so običajne: soglasje, izpolnitev pogodbe, pravna obveznost ali legitimni interes. Pri umetni inteligenci je najpomembnejša omejitev namena. Podatkov o strankah, ki ste jih zbrali za zagon klepetalnega robota, ni dovoljeno preprosto ponovno uporabiti za učenje drugega modela. Če kupite orodje umetne inteligence, preverite, ali dobavitelj uporablja vaše podatke za učenje lastnih modelov; če jih uporablja, dobavitelj morda obdeluje podatke za lastne namene in potrebujete jasne pogodbene določbe o vlogah upravljavca in obdelovalca.

Agencija AP je poudarila, da so bili številni modeli umetne inteligence usposobljeni na podatkih, pridobljenih z interneta brez veljavne pravne podlage. Kot uporabnik ste še vedno odgovorni za lastno obdelavo, zato svojih dolžnosti v skladu z GDPR ne morete prenesti na ponudnika umetne inteligence.

Kaj pa občutljivi podatki?

Posebnih kategorij osebnih podatkov, kot so zdravstveni podatki, etnično poreklo, vera in biometrični podatki, ki se uporabljajo za identifikacijo osebe, načeloma ni dovoljeno obdelovati. To dovoljujejo le redke izjeme v GDPR in nizozemskem zakonu o izvajanju GDPR (UAVG).

Umetna inteligenca, ki se uporablja za zaposlovanje, profiliranje strank ali zdravstvene storitve, se hitro dotakne takšnih podatkov, včasih posredno, ker lahko model to sklepa. Ugotovite, kateri sistemi obdelujejo občutljive podatke, omejite vnos in dokumentirajte izjemo, na katero se zanašate. Če nobena ne velja, sistema ne uporabljajte za ta namen.

Kdaj lahko umetna inteligenca sprejema odločitve o ljudeh?

GDPR prepoveduje odločitve, ki temeljijo izključno na avtomatizirani obdelavi in ​​imajo pravne učinke ali podobno pomembne posledice za osebo, kot je zavrnitev vloge za posojilo ali prosilca za zaposlitev, razen če velja ozka izjema.

Kadar velja izjema, ima oseba pravico do človeškega posredovanja, da izrazi svoje mnenje in izpodbija odločitev. Ljudem morate tudi povedati, da poteka avtomatizirano odločanje, in jim podati smiselne informacije o vključeni logiki in njenih posledicah. Ni vam treba razkriti poslovnih skrivnosti, vendar splošna izjava, da se »uporablja umetna inteligenca«, ni dovolj. Pravi človeški pregled pomeni, da ima pregledovalec pooblastilo in informacije za spremembo rezultata.

Kdaj potrebujete oceno učinka na varstvo podatkov?

Pred obdelavo, ki lahko povzroči veliko tveganje za zadevne osebe, je obvezna ocena učinka na varstvo podatkov. Umetna inteligenca, ki se uporablja za profiliranje, ocenjevanje zaposlenih ali kandidatov ali združevanje velikih naborov podatkov, bo pogosto dosegla ta prag.

V oceni učinka na varstvo podatkov je opisana obdelava in njen namen, preizkuša se nujnost in sorazmernost, opredeljuje se tveganja in določajo vaši ukrepi. Če še vedno obstaja visoko tveganje, se morate pred začetkom posvetovati z AP. Oceno učinka na varstvo podatkov ponovite, ko spremenite sistem ali podatke, ki jih uporablja.

Kaj zahteva zakon o umetni inteligenci in kdaj?

Zakon o umetni inteligenci razvršča sisteme v štiri ravni: prepovedane prakse, sistemi z visokim tveganjem, sistemi z dolžnostjo preglednosti in sistemi z minimalnim tveganjem. Velja za ponudnike in uvajalce, kar pomeni podjetja, ki uporabljajo sistem umetne inteligence pod lastnim nadzorom.

Odlog se nanaša le na režim z visokim tveganjem. V skladu z omnibusom naj bi se pravila o visokem tveganju za področja, navedena v prilogi k zakonu, kot sta zaposlovanje in kreditno točkovanje, uporabljala od 2. decembra 2027, pravila za umetno inteligenco v izdelkih, ki jih že zajema zakonodaja EU o izdelkih, pa od 2. avgusta 2028.

Katere uporabe umetne inteligence so zelo tvegane?

Med visoko tvegane sisteme spada umetna inteligenca, ki se uporablja pri zaposlovanju in kadrovski službi (na primer za preverjanje kandidatov ali ocenjevanje osebja), pri dostopu do bistvenih storitev, kot so kreditno točkovanje in oblikovanje cen zavarovanj, v izobraževanju, kritični infrastrukturi, organih pregona, migracijah in pravosodju.

Pri teh sistemih jih bodo morali ponudniki uporabljati v skladu z navodili, zagotoviti človeški nadzor s strani usposobljenega osebja, spremljati njihovo delovanje in voditi dnevnike. Nekateri ponudniki morajo izvesti tudi oceno vpliva na temeljne pravice. Model splošnega namena, kot je model za velike jezike, lahko postane del sistema z visokim tveganjem, če ga uporabljate za enega od teh namenov, kot je pregled življenjepisov.

Kakšne so dolžnosti glede preglednosti?

Ljudje morajo vedeti, kdaj imajo opravka z umetno inteligenco. Klepetalni robot mora jasno pokazati, da ni človek, slike, zvok ali video (deepfakes), ki jih ustvari ali manipulira umetna inteligenca, pa morajo biti kot taki razkriti.

Večina vsakodnevnih uporab, kot so pisanje e-poštnih sporočil, povzemanje dokumentov, filtri za neželeno pošto ali načrtovanje zalog, predstavlja minimalno tveganje in ne prinaša posebnih obveznosti iz zakona o umetni inteligenci, razen pismenosti na področju umetne inteligence. GDPR še vedno velja, če gre za osebne podatke.

Kdo nadzira umetno inteligenco na Nizozemskem?

Za osebne podatke AP. Za zakon o umetni inteligenci Nizozemska gradi na obstoječih sektorskih nadzornikih, pri čemer AP nadzoruje področja brez sektorskega nadzornika, usklajuje pa ga nizozemski organ za digitalno infrastrukturo (Rijksinspectie Digitale Infrastructuur, RDI).

Nizozemski zakon, ki uveljavlja to strukturo (Uitvoeringswet AI-verordening), je še vedno zakon. Dokler ne začne veljati, se izvrševanje proti kršitvam, povezanim z umetno inteligenco, v veliki meri izvaja prek GDPR, za kar AP ne potrebuje novih pooblastil. Če vaš sistem umetne inteligence podpira bistveno ali pomembno storitev, se lahko uporablja tudi Zakon o kibernetski varnosti (Cyberbeveiligingswet), ki velja od 15. avgusta 2026.

Kaj pomeni umetna pismenost v praksi?

Od 2. februarja 2025 morajo ponudniki in uvajalci sprejeti ukrepe za zagotovitev, da imajo zaposleni, ki upravljajo ali uporabljajo sisteme umetne inteligence, zadostno raven pismenosti na področju umetne inteligence. Dolžnost temelji na tveganju: kaj je zadostno, je odvisno od sistema in od tega, kaj zaposleni z njim počnejo.

• Sprejmite pisno politiko umetne inteligence, v kateri je navedeno, katera orodja so odobrena in kateri podatki se lahko vnesejo.
• Usposabljanje osebja za vsako delovno mesto: kadrovska služba o orodjih za zaposlovanje in pristranskosti, trženje o profiliranju, služba za stranke o klepetalnih robotih.
• Naučite osebje, da preverja rezultate in sporoča napake.
• Zabeležite, kdo je bil usposobljen, kdaj in za kaj.

Kaj morate preveriti kot podjetje, ki uporablja umetno inteligenco?

• Ali imate popis vseh sistemov umetne inteligence, ki so v uporabi, njihovega dobavitelja, vhodnih in izhodnih podatkov?
• Ali obstaja pravna podlaga in poseben namen za vsako obdelavo osebnih podatkov?
• Ali dobavitelj uporablja vaše podatke za učenje lastnih modelov in ali pogodba to ureja?
• Ali kateri koli sistem sprejema odločitve o ljudeh brez resničnega človeškega pregleda?
• Ali ste izvedli oceno učinka na varstvo podatkov za obdelavo z visokim tveganjem?
• Ali je katera od vaših uporab na seznamu prepovedanih praks ali območij z visokim tveganjem?

Kaj morate preveriti kot dobavitelj umetne inteligence?

• Ali ste ponudnik v skladu z zakonom o umetni inteligenci in v katero kategorijo tveganja spada vaš sistem?
• Ali so bili vaši podatki o usposabljanju zbrani na veljavni pravni podlagi?
• Ali vaše stranke dobijo navodila in informacije, ki jih potrebujejo za izpolnjevanje svojih dolžnosti?
• Ali vaš sistem uporabnikom sporoča, da komunicirajo z umetno inteligenco in označujejo ustvarjeno vsebino?
• Ali so vaši sporazumi o obdelavi jasni glede vlog upravljavca in obdelovalca?

Kaj lahko storimo za vas z umetno inteligenco in GDPR?

Naši odvetniki za IT in zasebnost svetujejo podjetjem glede obeh režimov hkrati.

• Vaše sisteme umetne inteligence primerjamo s kategorijami tveganja Zakona o umetni inteligenci in GDPR.
• Pripravimo vam notranjo politiko umetne inteligence in okvir za pismenost na področju umetne inteligence.
• Pregledujemo pogodbe z dobavitelji in sporazume o obdelavi podatkov za orodja umetne inteligence.
• Izvajamo ali pregledujemo ocene učinka na varstvo podatkov in ocene vpliva na temeljne pravice.
• Pomagamo vam pri poizvedbah in preiskavah s strani AP.

Povzetek

• GDPR se v celoti uporablja za vsako umetno inteligenco, ki obdeluje osebne podatke; odlog zakona o umetni inteligenci pri tem ne spremeni ničesar.
• Prepovedane prakse in dolžnost pismenosti na področju umetne inteligence veljajo od 2. februarja 2025; večina drugih pravil zakona o umetni inteligenci pa od 2. avgusta 2026.
• Režim z visokim tveganjem je odložen z omnibusom umetne inteligence (Uredba (EU) 2026/1744).
• Izključno avtomatizirane odločitve s pomembnimi učinki na ljudi so omejene in zahtevajo zaščitne ukrepe.
• Začnite s popisom svojih sistemov umetne inteligence; ta določa vse nadaljnje korake.

Pogosta vprašanja