GDPR i umjetna inteligencija u Nizozemskoj se spajaju u jednom trenutku: čim algoritam obradi podatke o prepoznatljivoj osobi, Opća uredba o zaštiti podataka primjenjuje se u cijelosti, bez obzira na tehnologiju i tko ju je izradio. To znači pravnu osnovu za svaku operaciju obrade, informacije za dotične osobe o logici sustava, pravo na ljudsku intervenciju gdje odluku donosi sam stroj i dokumentiranu procjenu rizika prije implementacije. Autoriteit Persoonsgegevens provodi te obveze, a Zakon EU o umjetnoj inteligenciji dodaje zaseban sloj sigurnosti proizvoda povrh njih bez zamjene ičega od njih.
Ovaj članak se bavi operativnom stranom: što organizacija mora učiniti kada osobni podaci zapravo teku kroz AI aplikaciju. Prethodno pitanje o tome kako uopće opravdati sastavljanje velikog skupa podataka i kako funkcionira test kompatibilnosti kada se podaci prikupljeni u jednu svrhu ponovno koriste za obuku modela, zasebno je obrađeno u našem članku o GDPR-u i velikim podacima.
Kada sustav umjetne inteligencije spada u područje primjene GDPR-a
Uredba je tehnološki neutralna. Ne pita je li sustav stablo odlučivanja, statistički model ili model velikog jezika; pita obrađuju li se osobni podaci. Taj se prag prelazi u tri odvojena trenutka u životu AI aplikacije, a svaki od njih zahtijeva vlastitu analizu.
Prvo je učenje. Ako skup za učenje sadrži informacije koje se odnose na prepoznatljive osobe, njegovo sastavljanje i korištenje je obrada, a činjenica da je izlaz model, a ne baza podataka, ne mijenja ništa u vezi s tim. Drugo je zaključivanje. Svaki upit ili ulazni zapis koji sadrži osobne podatke je operacija obrade, kao i izlaz koji govori nešto o prepoznatljivoj osobi. Treće je zapisivanje. Zapisnici zaključivanja, zapisi povratnih informacija i skupovi podataka za evaluaciju često sadrže više osobnih podataka od skupa za učenje i oni se rutinski zaboravljaju u zapisu aktivnosti obrade.
Uobičajena je zabluda da je obučeni model po definiciji anoniman. Nije. Model može zadržati osobne podatke u obliku koji se može izdvojiti, a to je činjenično pitanje koje se procjenjuje za svaki model. Europski odbor za zaštitu podataka došao je do tog zaključka u svom mišljenju o modelima umjetne inteligencije krajem 2024. i dodao točku koja je komercijalno važna: kada je model obučen na nezakonito obrađenim osobnim podacima, ta nezakonitost može utjecati na zakonitost primjene modela, osim ako se ne može dokazati da je sam model zaista anoniman. Temelji uredbe utvrđeni su u našem uvodu u zakon o zaštiti podataka i u našem pregledu Opće uredbe o zaštiti podataka.
Tko je odgovoran i za koji dio
Odgovornost slijedi donošenje odluka, a ne tehnologiju. Stranka koja određuje svrhe i sredstva obrade je kontrolor; strana koja obrađuje samo prema dokumentiranim uputama je izvršitelj obrade. U lancu umjetne inteligencije te se uloge mijenjaju korak po korak: dobavljač modela obično je kontrolor za vlastiti razvoj i izvršitelj obrade za korištenje kupca, a tamo gdje obje strane zajedno odrede svrhu, one su zajednički izvršitelji obrade i moraju zabilježiti kako su rezultirajuće obveze podijeljene. Razlike i njihove posljedice objašnjene su u našem članku o ulogama kontrolora i izvršitelja obrade , a ugovorna strana u našem vodiču za ugovor o obradi podataka.
Dvije klauzule u praksi rješavaju većinu ovih pitanja. Ako je dobavljaču dopušteno koristiti povratne informacije kupaca za poboljšanje vlastitog modela, on u tu svrhu djeluje kao kontrolor, a vi mu otkrivate osobne podatke. Ako se oslanja na podobrađivače ili infrastrukturu izvan Europskog gospodarskog prostora, primjenjuju se pravila prijenosa iz Poglavlja V. uredbe i potreban je mehanizam prijenosa plus procjena. Nijedna točka ne može se riješiti nakon puštanja u rad.
Automatizirano donošenje odluka i pravo na ljudsku intervenciju
Članak 22. GDPR-a odredba je koja najteže utječe na primjenu umjetne inteligencije. Njime se svakoj osobi daje pravo da ne bude predmet odluke koja se temelji isključivo na automatiziranoj obradi, uključujući profiliranje, a koja proizvodi pravne učinke u vezi s njom ili na sličan način značajno utječe na nju. Ako se čita kao zabrana, a ne kao pravo na prigovor, kako to tumači Sud, to znači da takve odluke uopće nisu dopuštene osim ako se ne primjenjuje jedna od tri iznimke: odluka je potrebna za sklapanje ili izvršenje ugovora, odobrena je pravom Unije ili države članice uz odgovarajuće zaštitne mjere ili se temelji na izričitom pristanku dotične osobe.
Tri elementa odlučuju o tome primjenjuje li se članak. Odluka se mora temeljiti isključivo na automatiziranoj obradi, koju ne može poništiti simbolično ljudsko odobrenje; uključena osoba mora imati stvarne ovlasti i mora stvarno procijeniti ishod. Učinak mora biti pravni ili slično značajan, što obuhvaća odbijanje kredita, odbijanje prijave za posao, prekid usluge, odbijanje zahtjeva za osiguranje i automatizirane oznake prijevare koje blokiraju kupca. Odluka se mora odnositi na pojedinca, zbog čega generička pravila o cijenama ne spadaju u članak, dok individualizirano bodovanje spada u njega.
Sud pravde proširio je ovo dalje nego što mnoge organizacije pretpostavljaju. Kada tvrtka izračunava ocjenu o osobi i treća strana se snažno oslanja na tu ocjenu pri odlučivanju hoće li sklopiti ugovor, izrada ocjene sama po sebi je automatizirana odluka u smislu članka 22. Drugim riječima, pružatelj ocjene ne može se skrivati iza činjenice da formalnu odluku donosi njegov klijent. Za nizozemske organizacije koje kupuju ocjene kredita, prijevare ili rizika, to mijenja pitanje usklađenosti s toga donose li automatizirane odluke na to donosi li to njihov dobavljač.
Tamo gdje se primjenjuje jedna od iznimki, zaštitne mjere su obvezne i specifične: barem pravo na ljudsku intervenciju, pravo na izražavanje vlastitog stajališta i pravo na osporavanje odluke. To znači funkcionalan, osobljem popunjen i dokumentiran postupak, a ne poštanski sandučić. Podaci posebne kategorije mogu se koristiti u takvim odlukama samo na temelju izričitog pristanka ili značajnog javnog interesa, a odluke ove vrste ne smiju se donositi u odnosu na djecu.
Kako ljudski nadzor zapravo mora izgledati
Značajno ljudsko uključivanje je točka u kojoj većina sustava zakaže. Preglednik koji vidi samo izlaz modela i preporuku, koji nema pristup temeljnim podacima, čija se propusnost mjeri i koji poništava sustav u zanemarivom udjelu slučajeva ne provodi nadzor u smislu koji propisi zahtijevaju. Učinkovit nadzor znači da preglednik ima kompetenciju i ovlasti donijeti drugačiji zaključak, vidi informacije koje je model koristio, bilježi razloge za potvrđivanje ili odstupanje od ishoda i prati se koliko često i zašto dolazi do odstupanja. Ti statistički podaci o poništavanju također su prva stvar koju će istražitelj tražiti.
Transparentnost: što morate reći ljudima o algoritmu
U slučajevima automatiziranog donošenja odluka u smislu članka 22., obveze informiranja iz članaka 13. i 14. te pravo pristupa iz članka 15. zahtijevaju od vas da otkrijete postojanje automatiziranog donošenja odluka, smislene informacije o uključenoj logici te značaj i predviđene posljedice obrade za dotičnu osobu. Ta se obveza primjenjuje prilikom prikupljanja i ponovno na zahtjev.
Smislene informacije o logici ne znače objavljivanje izvornog koda ili težina modela, niti matematički opis koji nijedan laik ne može pratiti. Sud pravde presudio je da osoba ima pravo na objašnjenje postupka i stvarno primijenjenih načela, dovoljno konkretno opisano da joj omogući da razumije koji su njezini osobni podaci korišteni i na koji način, kako bi mogla provjeriti točnost podataka i osporiti odluku. Opis korištenih kategorija podataka, njihova relativna težina, primijenjeni pragovi i učinak koji bi različite vrijednosti imale vrsta je objašnjenja koja to zadovoljava.
Poslovna tajna je faktor, ali ne i adut. U slučajevima kada kontrolor smatra da bi davanje objašnjenja otkrilo poslovnu tajnu ili prava drugih, ne može jednostavno odbiti: mora dostaviti navodno zaštićene informacije nadzornom tijelu ili sudu, koji zatim uravnotežuje interese i određuje što se mora otkriti. Izgradnja sustava čija se logika uopće ne može objasniti stoga stvara pravni problem, a ne tehnički izgovor. Opseg samog prava pristupa raspravlja se u našem članku o pravu pristupa prema članku 15.
Transparentnost ima i jednostavniju dimenziju. Izjave o privatnosti koje opisuju svrhe jezikom dovoljno širokim da pokrivaju bilo što nizozemsko nadzorno tijelo tretira kao kršenje same po sebi, a značajan dio njegove nedavne provedbe odnosio se upravo na to. Naš vodič za politiku privatnosti u Nizozemskoj utvrđuje kako opisati algoritamsku obradu na način koji je i točan i čitljiv, a isto načelo primjenjuje se i na interne obavijesti, na primjer kada se sustavi koriste za praćenje zaposlenika ili za nadzor kamerama na radnom mjestu.
Podaci koje unosite u sustav i podaci koje on proizvodi
Za svaku operaciju obrade u lancu potrebna je pravna osnova, a osnova za obuku nije automatski osnova za raspoređivanje. Privola, nužnost za ugovor i legitimni interesi tri su realna kandidata, a svaki se mora procijeniti i zabilježiti prije početka obrade. Tamo gdje se oslanja na legitimne interese, mora se zapisati trostupanjska procjena interesa, nužnosti i ravnoteže; isključivo komercijalni interes može se kvalificirati, kako je Sud pravde potvrdio u nizozemskom slučaju 2024. godine, ali samo ako je obrada zaista nužna i ako se održava ravnoteža.
Dvije kategorije unosa zaslužuju zaseban tretman. Posebne kategorije osobnih podataka, koje uključuju zdravstvene podatke, biometrijske podatke koji se koriste za identifikaciju i podatke koji otkrivaju etničko podrijetlo, politička mišljenja, vjerska uvjerenja, članstvo u sindikatu ili seksualnu orijentaciju, ne smiju se obrađivati osim ako se ne primjenjuje uvjet iz članka 9.; praktični putevi su izričita privola i, u strožim slučajevima, značajan javni interes utvrđen zakonom. Zamka je zaključivanje: kada model izvodi zaštićenu karakteristiku iz običnih podataka, primjenjuje se stroži režim iako nitko nije prikupio tu karakteristiku. Posebna pravila za biometriju navedena su u našem članku o biometrijskim podacima i usklađenosti s GDPR-om.
Druga kategorija su prikupljeni ili javno dostupni podaci. Činjenica da se informacije mogu pronaći na internetu ne znači da je njihova upotreba zakonita. I dalje vam je potrebna osnova, a test ravnoteže mora uzeti u obzir činjenicu da pojedinac nema odnos s vama, da nije bio informiran i da nije očekivao da će se njegovi podaci koristiti u tu svrhu. Kada se podaci dobivaju iz izvora koji nije pojedinac, primjenjuje se obveza informiranja iz članka 14., uz samo ograničena izuzeća.
Izlaz je ono u čemu organizacije najčešće griješe. Zaključak koji model generira o prepoznatljivoj osobi su osobni podaci o toj osobi: ocjena rizika, ocjena prikladnosti, predviđena dijagnoza ili generirana izjava, sve to spada pod propise. Iz toga slijedi da takvi izlazi moraju biti točni, moraju se ispraviti ili dovršiti ako nisu, te su obuhvaćeni pravom pristupa. Model koji proizvodi netočne izjave o imenovanoj osobi nije samo problem kvalitete; to je obveza ispravljanja, a tamo gdje se netočna izjava širi, može dovesti i do zahtjeva izvan zakona o zaštiti podataka. Praktične mjere minimizacije koje smanjuju ovu izloženost su poznate: uklanjanje identifikatora koji nisu potrebni, odvajanje razvojnih i produkcijskih podataka, ograničavanje tko može ispitivati sustav, postavljanje razdoblja čuvanja podataka o obuci, korištenje pohrana i zapisnika te testiranje može li se model natjerati da otkrije svoje podatke o obuci. Tamo gdje se promet e-pošte koristi kao ulaz, specifična pitanja obrađena su u našem članku o e-pošti i zaštiti podataka prema GDPR-u.
Predrasude, diskriminacija i jednak tretman
Zakon o zaštiti podataka i zakon o jednakom postupanju ovdje se preklapaju, a organizacija se može pridržavati jednog dok krši drugi. GDPR zahtijeva da obrada bude poštena i točna te, putem procjene učinka, zahtijeva da se rizik od diskriminirajućih ishoda identificira i ublaži. Nizozemsko zakonodavstvo o jednakom postupanju ide dalje: zabranjuje izravno i neizravno razlikovanje na temelju rase, nacionalnosti, vjere, spola, seksualne orijentacije, invaliditeta, kroničnih bolesti i dobi, u područjima kao što su zapošljavanje, opskrba robom i uslugama te obrazovanje. Algoritam koji sustavno proizvodi lošiji ishod za zaštićenu skupinu čini neizravnu razliku, koja je nezakonita osim ako se ne može objektivno opravdati legitimnim ciljem koji se postiže odgovarajućim i potrebnim sredstvima.
Nizozemski institut za ljudska prava procjenjuje pritužbe prema tom zakonodavstvu i objavio je smjernice o algoritamskoj diskriminaciji pri zapošljavanju i odabiru. Njegova početna točka je neugodna, ali ispravna: teret dokazivanja da je razlika objektivno opravdana leži na strani koja koristi sustav, pa je organizacija koja ne može objasniti zašto njezin model postiže različite rezultate za različite skupine od samog početka u slaboj poziciji.
Pristranost ulazi poznatim putevima. Podaci za obuku odražavaju povijesne odluke koje su i same bile pristrane; skup podataka nedovoljno predstavlja dio populacije; značajka djeluje kao zamjena za zaštićenu karakteristiku, kao što poštanski broj često čini za etničku pripadnost; a optimizacija za točnost u cijeloj populaciji prikriva loše performanse za manjinu unutar nje. Ovdje postoji stvarna napetost u zakonu, jer testiranje diskriminirajućeg učinka često zahtijeva obradu upravo onih podataka posebne kategorije koje uredba ograničava. Put do toga je testiranje na kontroliranoj osnovi, s dokumentiranom pravnom osnovom, strogim ograničenjima pristupa i agregiranim rezultatima, umjesto izbjegavanja testiranja i nade da se pitanje nikada neće postaviti.
Nizozemsko iskustvo sa sustavom indikacije rizika koji se koristi za otkrivanje prijevare s naknadama pokazuje što se događa kada se to zanemari. Sud je utvrdio da je temeljno zakonodavstvo u suprotnosti s pravom na poštivanje privatnog života prema Europskoj konvenciji o ljudskim pravima, jer sustav nije bio dovoljno transparentan i provjerljiv te se nije mogao provjeriti ima li diskriminirajući učinak. Pouka koja preživljava tu presudu jest da je neprozirnost sama po sebi pravni nedostatak, a ne neutralna tehnička karakteristika. Tamo gdje algoritamska pogreška dovodi do štete, pitanje tko za nju odgovara zasebno je pitanje, o kojem se raspravlja u našem članku o odgovornosti za pogreške umjetne inteligencije i kaznenopravnoj dimenziji u našem članku o umjetnoj inteligenciji i kaznenom pravu.
Tko nadgleda umjetnu inteligenciju i algoritme u Nizozemskoj
Autoriteit Persoonsgegevens je nadzorno tijelo za GDPR u Nizozemskoj i primjenjuje uredbu zajedno s nacionalnim provedbenim aktom, Uitvoeringswet AVG, koji popunjava izbore koje uredba ostavlja državama članicama, umjesto da dodaje zaseban režim. Njegove ovlasti sežu od upozorenja i opomene do naloga koji podliježe novčanoj kazni, zabrani obrade i administrativnoj novčanoj kazni do dvadeset milijuna eura ili četiri posto ukupnog godišnjeg prometa diljem svijeta, ovisno o tome što je veće. Osim GDPR-a, održava posebnu jedinicu za koordinaciju nadzora algoritama i objavljuje periodična izvješća o algoritamskim rizicima u Nizozemskoj, koja su najjasnija dostupna izjava o njegovim očekivanjima. Što tijelo radi i kako funkcionira opisano je u našem članku o nizozemskom Agenciji za zaštitu podataka.
Nadzor nad umjetnom inteligencijom namjerno se dijeli. Rijksinspectie Digitale Infrastructuur i Autoriteit Persoonsgegevens djeluju zajedno kao koordinirajući nadzornici za Zakon o umjetnoj inteligenciji, dok sektorski regulatori zadržavaju vlastite nadležnosti: financijski nadzornici za modele koji se koriste u bankarstvu i osiguranju, zdravstveni inspektorat za medicinske primjene i medijsko tijelo za platforme. Nizozemski institut za ljudska prava pokriva dimenziju jednakog postupanja. Za organizaciju to znači da jedan sustav može procijeniti nekoliko tijela na različitim osnovama, što je argument za jednu internu datoteku koja odgovara na sve njih, a ne za odvojene puteve usklađenosti.
Javna tijela imaju dodatni sloj. Vladine organizacije registriraju algoritme koje koriste u nacionalnom registru algoritama, a upravne odluke koje podržava algoritam i dalje moraju zadovoljavati opće zahtjeve nizozemskog upravnog prava da odluka bude pripremljena s dužnom pažnjom i pravilno obrazložena. Obrazloženje koje se svodi na tvrdnju da je sustav proizveo taj rezultat ne zadovoljava taj standard.
Kako Zakon o umjetnoj inteligenciji nadmašuje GDPR
Zakon o umjetnoj inteligenciji regulira sustave umjetne inteligencije kao proizvode, klasificirane prema riziku, s obvezama za pružatelje usluga i implementatore. Nije instrument zaštite podataka: ne stvara pravnu osnovu za obradu osobnih podataka, a usklađenost s njim ne govori ništa o usklađenosti s GDPR-om. Tamo gdje sustav umjetne inteligencije obrađuje osobne podatke, oba režima primjenjuju se paralelno i u cijelosti.
Postupnost je važna za planiranje. Zabrane neprihvatljivih praksi, uključujući društveno bodovanje od strane javnih tijela i neciljano struganje slika lica za izgradnju baza podataka za prepoznavanje, već se primjenjuju, kao i obveze za modele umjetne inteligencije opće namjene i obveze transparentnosti za sustave koji komuniciraju s ljudima ili generiraju sintetički sadržaj. Deepfakeovi i tekst generiran umjetnom inteligencijom objavljen radi informiranja javnosti moraju biti označeni. Režim visokog rizika odgođen je digitalnim omnibus paketom: obveze za sustave visokog rizika navedene u Prilogu III., koje uključuju zapošljavanje i odabir, procjenu kreditne sposobnosti, obrazovanje i pristup osnovnim uslugama, sada se primjenjuju od 2. prosinca 2027., a obveze za umjetnu inteligenciju koja je sigurnosna komponenta proizvoda reguliranog Prilogom I. od 2. kolovoza 2028. Zasebni prijedlog Direktive o odgovornosti za umjetnu inteligenciju povučen je, pa se šteta uzrokovana sustavom umjetne inteligencije rješava prema uobičajenom nizozemskom ugovornom i deliktnom pravu te europskim pravilima o odgovornosti za proizvod.
Za sustav koji donosi odluke o ljudima i spada u kategoriju visokog rizika, dva režima se međusobno pojačavaju: GDPR zahtijeva procjenu utjecaja na zaštitu podataka i ljudsku intervenciju na zahtjev, a Zakon o umjetnoj inteligenciji zahtijeva sustav upravljanja rizicima, upravljanje podacima, tehničku dokumentaciju, bilježenje, ljudski nadzor prilikom dizajniranja i, za određene implementatore, procjenu utjecaja na temeljna prava. Izgradnja istih kao jedne vježbe znatno je jeftinija od dvostruke izgradnje. Pravila klasifikacije navedena su u našim vodičima za Zakon EU o umjetnoj inteligenciji , za visokorizične sustave umjetne inteligencije i u našem praktičnom vodiču za tvrtke ; šira pozadina obuhvaćena je našim člankom o pravnoj strani umjetne inteligencije u EU.
Ostala digitalna pravila koja se primjenjuju istovremeno
Tri daljnja režima relevantna su za algoritamske sustave. Zakon o digitalnim uslugama nameće obveze transparentnosti i rizika online platformama koje koriste algoritme za moderiranje i preporučivanje sadržaja, uključujući obvezu objašnjenja glavnih parametara sustava preporuka i, za najveće platforme, ponude opcije koja se ne temelji na profiliranju; to obrađujemo u našim člancima o Zakonu o digitalnim uslugama i Zakonu o digitalnim tržištima te o tome što poduzeća moraju znati o njima. Zakon o kibernetičkoj otpornosti postavlja sigurnosne zahtjeve za proizvode s digitalnim elementima, koji se postupno uvode u nadolazećim godinama, te zahtijeva sigurnost po dizajnu i rukovanje ranjivostima. A Cyberbeveiligingswet, nizozemska implementacija NIS2 na snazi od 15. kolovoza 2026., nameće registraciju kod NCSC-a i obavještavanje o incidentima u roku od dvadeset četiri i sedamdeset dva sata subjektima unutar njegovog područja primjene, uz i neovisno o obvezi obavještavanja o kršenju GDPR-a; pogledajte naš pregled NIS2 i nizozemskog Zakona o kibernetičkoj sigurnosti.
Upravljanje: što mora biti u dosjeu
Odgovornost je obveza dokazivanja. Nije dovoljno biti usklađen; kontrolor mora biti u mogućnosti dokazati usklađenost, što u algoritamskom kontekstu znači datoteku koja odgovara sustavu kakav je stvarno izgrađen i korišten. Pet dokumenata obavlja većinu posla.
Zapis aktivnosti obrade mora opisivati tokove podataka koji stoje iza svakog modela, uključujući podatke za obuku, ulazne podatke za zaključivanje i zapisnike, a ne odjele koji ih posjeduju. Pravna osnova za svaku operaciju bilježi se pored nje, a procjena legitimnih interesa prilaže se tamo gdje se ta osnova koristi. Procjena učinka na zaštitu podataka obvezna je kada je vjerojatno da će obrada rezultirati visokim rizikom, što uredba pretpostavlja za sustavnu i opsežnu automatiziranu procjenu osobnih aspekata na kojima se temelje odluke sa značajnim učincima, za obradu posebnih kategorija velikih razmjera i za sustavno praćenje javno dostupnih područja; nizozemsko nadzorno tijelo također objavljuje popis operacija obrade za koje je uvijek potrebna procjena. Tamo gdje se visoki rezidualni rizik ne može ublažiti, prije početka obrade potrebno je konzultirati tijelo.
Uz to se nalazi i interni registar algoritama, koji čak i privatne organizacije sve češće vode jer je to jedini praktičan način odgovora na nadzorni zahtjev, te postupci za rješavanje zahtjeva pojedinaca: pristup, ispravak, brisanje, prigovor i zahtjev za ljudsku intervenciju, svaki s imenovanim vlasnikom i rokom. Službenik za zaštitu podataka obavezan je za javna tijela i za organizacije čije temeljne aktivnosti uključuju redovito i sustavno praćenje velikih razmjera ili obradu posebnih kategorija velikih razmjera, što pokriva velik broj implementacija umjetne inteligencije.
Ništa od ovoga ne funkcionira kao papirnata vježba. Ljudi koji izrađuju modele i ljudi koji procjenjuju rizik moraju raditi na istom dokumentu, a datoteka se mora ažurirati kada se model preoblikuje ili prenamijeni, jer je materijalno promijenjeni sustav nova operacija obrade. Kako se to uklapa u širu strukturu usklađenosti raspravlja se u našim člancima o vrstama pravne usklađenosti i o okviru korporativnog upravljanja te o nizozemskom krajoliku zaštite podataka u cjelini u našem vodiču o nizozemskim zakonima o privatnosti podataka.
Zaštita samog sustava: intelektualno vlasništvo i poslovne tajne
Pravila koja štite algoritam idu u suprotnom smjeru od pravila koja zahtijevaju njegovo objašnjenje, a ta dva pravila moraju se namjerno uskladiti. Računalni programi kao takvi isključeni su iz patentne zaštite, ali aplikacija umjetne inteligencije koja pruža tehničko rješenje za tehnički problem u načelu se može patentirati prema nizozemskom Zakonu o patentima i Europskoj patentnoj konvenciji. Autorsko pravo štiti izvorni kod i drugi izvorni izraz prema Auteurswet-u, ali ne i temeljnu ideju, metodu ili matematičku tehniku. U praksi je najvrjednija zaštita zakon o poslovnim tajnama: Wet bescherming bedrijfsgeheimen, koji provodi Europsku direktivu o poslovnim tajnama, štiti informacije koje su tajne, imaju komercijalnu vrijednost jer su tajne i podliježu razumnim koracima da se održe u tajnosti. To obuhvaća podatke za obuku, parametre modela i arhitekturu, pod uvjetom da se ti razumni koraci stvarno poduzmu i dokumentiraju. Provedba se provodi putem građanskih sudova, koji mogu narediti zabrane, predaju robe koja krši autorska prava i odštetu; to nije stvar tijela za zaštitu tržišnog natjecanja.
Podaci za obuku postavljaju vlastito pitanje autorskih prava. Iznimke rudarenja teksta i podataka u nizozemskom zakonu o autorskim pravima, koje provode Europsku direktivu o autorskim pravima na jedinstvenom digitalnom tržištu, dopuštaju rudarenje zakonito dostupnih djela, ali nositelji prava mogu zadržati svoja prava, a pružatelji modela umjetne inteligencije opće namjene dužni su prema Zakonu o umjetnoj inteligenciji imati politiku za usklađenost sa zakonom EU o autorskim pravima i poštivati takve rezervacije. Stoga je scraping ograničen dvama odvojenim režimima odjednom, zaštitom podataka i autorskim pravima, a čišćenje jednog ne govori ništa o drugom. Naš vodič kroz zakone o intelektualnom vlasništvu u Nizozemskoj i naš članak o zaštiti poslovnih tajni detaljno se bave tim pitanjima.
Ograničenje je ono koje je ranije navedeno: povjerljivost vas ne oslobađa dužnosti objašnjavanja automatizirane odluke. U slučaju sukoba između njih, nadzorno tijelo ili sud odlučuje što se mora otkriti, stoga je razuman cilj dizajna sustav čija se logika može opisati na razini načela i čimbenika bez otkrivanja ičega što je istinski tajno.
Često postavljana pitanja
Sljedeća pitanja najčešće se pojavljuju kada nizozemske organizacije unose osobne podatke putem algoritma. Dodatni materijali o srodnim temama prikupljeni su u našim nizozemskim vodičima za IT pravo.
Koji su zahtjevi za AI sustave prema GDPR-u pri obradi osobnih podataka u Nizozemskoj?
Vaši AI sustavi moraju biti u skladu sa svim GDPR obvezama kada obrađuju osobne podatke u Nizozemskoj. Morate uspostaviti zakonitu osnovu za obradu, kao što su privola, ispunjenje ugovora ili legitimni interes.
Morate osigurati da je prikupljanje osobnih podataka ograničeno na ono što je potrebno za vašu navedenu svrhu. Vaše AI aplikacije ne mogu obrađivati više podataka nego što je potrebno za postizanje njihovih navedenih ciljeva.
Nizozemska agencija za zaštitu podataka očekuje da vodite sveobuhvatnu dokumentaciju o svojim aktivnostima obrade podataka. Morate zabilježiti koje podatke prikupljate, zašto ih prikupljate i koliko dugo ih čuvate.
Kako GDPR utječe na razvoj i primjenu AI algoritama koji obrađuju osjetljive informacije?
Suočavate se sa strožim zahtjevima kada vaši AI sustavi obrađuju osjetljive kategorije osobnih podataka. To uključuje podatke o zdravlju, rasi, vjeri, političkim uvjerenjima ili biometrijskim podacima.
Morate dobiti izričitu suglasnost ili navesti drugu valjanu pravnu osnovu prije obrade osjetljivih podataka putem svojih algoritama. Opći pristanak nije dovoljan za ove kategorije podataka.
Vaš proces razvoja mora uključivati dodatne zaštitne mjere i sigurnosne mjere za osjetljive informacije. Trebali biste implementirati enkripciju, kontrole pristupa i redovite sigurnosne procjene tijekom cijelog životnog ciklusa vašeg AI sustava.
Koje mjere treba poduzeti kako bi se osigurala transparentnost u donošenju odluka o umjetnoj inteligenciji koje uključuju osobne podatke nizozemskih stanovnika?
Morate pružiti jasne informacije o tome kako vaši AI sustavi donose odluke koje utječu na pojedince. Vaši korisnici moraju razumjeti koje podatke prikupljate i kako ih vaši algoritmi koriste.
Logiku i procese donošenja odluka vašeg AI modela trebali biste dokumentirati jednostavnim jezikom. Sama tehnička objašnjenja ne zadovoljavaju zahtjeve transparentnosti GDPR-a.
Kada vaš AI sustav donosi automatizirane odluke, morate obavijestiti pogođene pojedince o obradi. Morate im objasniti značaj i potencijalne posljedice tih odluka za njih.
Koja prava imaju pojedinci u Nizozemskoj u vezi s automatiziranim donošenjem odluka prema GDPR-u?
Pojedinci imaju pravo da ne budu predmetom odluka koje se temelje isključivo na automatiziranoj obradi koja proizvodi pravne ili slično značajne učinke. Morate ponuditi ljudsko sudjelovanje u vašem procesu donošenja odluka kada se primjenjuju ti uvjeti.
Vaši korisnici mogu zatražiti ljudsku intervenciju kako bi pregledali automatizirane odluke koje ih se tiču. Morate uspostaviti postupke za rješavanje tih zahtjeva i osigurati smislen ljudski nadzor.
Ispitanici mogu osporiti automatizirane odluke i zatražiti objašnjenja o uključenoj logici. Morate biti spremni pružiti informacije o tome kako je vaš sustav umjetne inteligencije došao do određenih zaključaka o pojedincima.
Na koje načine GDPR zahtijeva da sustavi umjetne inteligencije budu dizajnirani za zaštitu podataka prema zadanim postavkama i prema dizajnu u nizozemskom kontekstu?
Zaštitu podataka morate integrirati u svoje AI sustave od najranijih faza razvoja. Razmatranja privatnosti ne mogu se zanemariti nakon što je vaš algoritam dovršen.
Vaše zadane postavke trebale bi pružati najvišu moguću razinu zaštite podataka. Korisnici ne bi trebali prilagođavati postavke kako bi postigli osnovnu zaštitu privatnosti.
Morate implementirati tehničke mjere poput pseudonimizacije i minimizacije podataka u cijeloj arhitekturi vašeg sustava. Vaša umjetna inteligencija trebala bi pristupati i obrađivati samo minimalne podatke potrebne za svaku određenu funkciju.
Kako organizacije mogu dokazati usklađenost s načelom odgovornosti GDPR-a prilikom korištenja umjetne inteligencije u Nizozemskoj?
Morate voditi detaljne zapise o svojim aktivnostima obrade podataka i radu sustava umjetne inteligencije. Dokumentacija dokazuje da ste uzeli u obzir i ispunili zahtjeve GDPR-a.
Trebali biste provesti procjene utjecaja na zaštitu podataka prije implementacije sustava umjetne inteligencije koji predstavljaju visoke rizike za privatnost. Ove procjene identificiraju potencijalne probleme.
Vaša organizacija mora implementirati odgovarajuće politike, programe obuke i mehanizme nadzora za korištenje umjetne inteligencije. Trebali biste biti u mogućnosti u bilo kojem trenutku pokazati nizozemskom Agenciji za zaštitu podataka dokaze o vašim kontinuiranim naporima u pogledu usklađenosti.
Kako Law & More može pomoći
Law & More savjetuje nizozemske i međunarodne organizacije u vezi sa zaštitom podataka u području umjetne inteligencije: procjenjuje primjenjuje li se članak 22. na sustav, osmišljava ljudski nadzor koji izdržava provjeru, izrađuje objašnjenje koje se mora dati pogođenim osobama, provodi procjene utjecaja, pregovara o ugovorima o obradi s pružateljima modela i platformi te odgovara na pritužbe i zahtjeve pojedinaca ili na zahtjeve Autoriteit Persoonsgegevens. Ako implementirate algoritam koji donosi ili podržava odluke o ljudima, naš odvjetnici za zaštitu privatnosti dostupni su za pregled datoteke s vama prije nego što to učini regulator.
Kako Law & More može vam pomoći s ovim objašnjenjem na našem IT odvjetnik stranica.
