Korištenje umjetne inteligencije u nizozemskom poslovanju istovremeno pokreće dva režima. Svaki sustav umjetne inteligencije koji obrađuje osobne podatke podliježe GDPR-u , koji provodi Autoriteit Persoonsgegevens , a uz to Zakon EU o umjetnoj inteligenciji nameće dužnosti koje ovise o kategoriji rizika sustava. Od 2. veljače 2025. izravno se primjenjuju zabranjene prakse i obveza pismenosti u području umjetne inteligencije; od 2. kolovoza 2025. primjenjuju se pravila za modele umjetne inteligencije opće namjene; primjenjuje se i obveza transparentnosti iz članka 50. Većina režima visokog rizika je odgođena, ali ništa u vezi s tom odgodom ne suspendira GDPR.
Upravo u toj kombinaciji većina organizacija griješi: Zakon o umjetnoj inteligenciji tretiraju kao budući problem i previđaju da obveze zaštite podataka već danas imaju posljedice.
Vaše se poslovanje suočava s višestrukim izazovima usklađenosti prilikom implementacije AI tehnologije. GDPR postavlja stroga ograničenja o načinu prikupljanja i korištenja osobnih podataka za obuku i implementaciju AI-a.
U međuvremenu, Zakon EU o umjetnoj inteligenciji uvodi dodatne zahtjeve na temelju razina rizika različitih sustava umjetne inteligencije. Razumijevanje preklapanja ovih propisa i što oni zahtijevaju od vaše organizacije ključno je za izbjegavanje pravnih problema.
Ovaj vodič objašnjava rizike usklađenosti koje trebate znati i pruža praktične korake za legalno korištenje umjetne inteligencije u Nizozemskoj. Naučit ćete koji sustavi umjetne inteligencije zahtijevaju dodatnu kontrolu, koje obveze morate ispuniti i kako izgraditi odgovarajuće kontrole upravljanja.
Ključni rizici usklađenosti s GDPR-om i umjetnom inteligencijom za nizozemska poduzeća
Nizozemska poduzeća koja koriste AI sustave suočavaju se s tri glavna izazova usklađenosti s GDPR propisima. Morate razumjeti kako obrada osobnih podataka funkcionira u AI alatima, pravilno upravljati osjetljivim informacijama i ispunjavati zahtjeve transparentnosti.
Obrada osobnih podataka pomoću sustava umjetne inteligencije
Kada koristite AI sustave u svom poslovanju, morate se pridržavati strogih GDPR pravila o načinu prikupljanja i obrade osobnih podataka. Opća uredba o zaštiti podataka zahtijeva da imate valjanu pravnu osnovu prije obrade bilo kakvih osobnih podataka.
Minimizacija podataka znači da možete prikupljati samo one osobne podatke koji su vam stvarno potrebni. Mnogi AI sustavi žele obrađivati velike količine podataka, ali to morate ograničiti na ono što služi vašoj specifičnoj poslovnoj svrsi.
Ograničenje svrhe sprječava vas da koristite podatke iz razloga koji se razlikuju od razloga zbog kojih ste ih prikupili. Ako prikupljate podatke o korisnicima za chatbotove, ne možete koristiti iste te podatke za treniranje drugih AI modela bez odgovarajuće pravne osnove.
Također morate pokazati da su vaši podaci za obuku umjetne inteligencije dobiveni zakonito. Nizozemska agencija za zaštitu podataka navodi da većina modela umjetne inteligencije trenutno nema legitimnost jer prikupljaju javno dostupne internetske podatke bez odgovarajućeg pristanka.
Ključni zahtjevi uključuju:
- Važeća pravna osnova za svu obradu podataka
- Jasna dokumentacija izvora podataka
- Pravilni mehanizmi pristanka gdje je to potrebno
- Sustavi za rukovanje prava ispitanika zahtjeva
Posebne kategorije osobnih podataka i upravljanje osjetljivim podacima
Posebne kategorije osobnih podataka zahtijevaju dodatnu zaštitu prema GDPR-u. To uključuje podatke o rasnom ili etničkom podrijetlu, političkim stavovima, vjerskim uvjerenjima, zdravstvenim podacima i biometrijskim podacima.
Suočavate se s ozbiljnim rizicima ako vaši AI sustavi obrađuju ove osjetljive vrste podataka . Nizozemsko tijelo utvrdilo je da AI modeli često uključuju posebne kategorije osobnih podataka koje sami pojedinci nisu javno objavili.
Ako koristite umjetnu inteligenciju za zapošljavanje, profiliranje kupaca ili zdravstvene usluge, vjerojatno obrađujete posebne kategorije podataka. Za ovaj posao potrebni su vam stroži uvjeti i dodatne zaštitne mjere.
Vaše poslovanje mora:
- Utvrdite koji AI sustavi obrađuju osjetljive podatke
- Provedite jače sigurnosne mjere
- Uklonite neželjene osobne podatke pravilnim upravljanjem podacima
- Jasno dokumentirajte svoje mjere usklađenosti
Kršenja privatnosti koja uključuju osjetljive podatke dovode do većih kazni i ozbiljnijih mjera provedbe. Ne možete se osloniti na pružatelje umjetne inteligencije da se bave ovom odgovornošću umjesto vas.
Obveze transparentnosti i objašnjivost sustava umjetne inteligencije
Morate obavijestiti ljude kada sustavi umjetne inteligencije donose odluke o njima. GDPR zahtijeva jasne informacije o automatiziranom donošenju odluka i načinu na koji ti sustavi funkcioniraju.
Tehnička složenost umjetne inteligencije stvara izazove transparentnosti. Obrasci modela umjetne inteligencije ugrađeni su u težine i brojeve koji otežavaju objašnjenje kako se donose odluke.
Kada koristite chatbotove ili druge AI alate koji komuniciraju s kupcima, potrebno je:
- Obavijestite korisnike da komuniciraju s umjetnom inteligencijom
- Objasnite logiku iza automatiziranih odluka
- Opišite značaj i posljedice obrade podataka pomoću umjetne inteligencije
- Pružite informacije o pravima ispitanika
Vaše obveze transparentnosti odnose se na zaposlenike ako koristite umjetnu inteligenciju za donošenje odluka na radnom mjestu. Morate objasniti kako sustavi umjetne inteligencije procjenjuju učinkovitost, dodjeljuju zadatke ili donose odluke o zapošljavanju.
Nove tehnologije poput generiranja proširenog pronalaženjem mogu pomoći u smanjenju netočne reprodukcije osobnih podataka. Trebali biste implementirati tehnička rješenja koja podržavaju vaše zahtjeve za transparentnošću uz održavanje standarda zaštite podataka.
Snalaženje u Zakonu EU o umjetnoj inteligenciji i preklapajućim propisima
Zakon EU o umjetnoj inteligenciji uvodi okvir temeljen na riziku koji kategorizira sustave umjetne inteligencije prema njihovoj potencijalnoj šteti, dok nizozemske vlasti rade uz postojeće zakone o zaštiti podataka kako bi provele usklađenost. Vaše poslovanje mora razumjeti kako se ova uredba preklapa s NIS2, Zakonom o podacima i drugim okvirima EU koji oblikuju primjenu umjetne inteligencije.
Zakon EU o umjetnoj inteligenciji: opseg, pristup temeljen na riziku i ključne zabrane
Zakon o umjetnoj inteligenciji slijedi pristup temeljen na riziku koji kategorizira sustave umjetne inteligencije u četiri razine: neprihvatljiv rizik, visoki rizik, ograničeni rizik i minimalni rizik. Ovaj okvir primjenjuje se na pružatelje usluga, implementatore, uvoznike i distributere koji posluju na tržištu EU, bez obzira na to gdje se vaša tvrtka nalazi.
Zabranjene prakse umjetne inteligencije uključuju sustave koji manipuliraju ponašanjem korisnika, iskorištavaju ranjive skupine stanovništva ili provode biometrijsku identifikaciju u stvarnom vremenu u javnim prostorima. Te su prakse u suprotnosti s temeljnim pravima i vrijednostima Unije.
Visokorizični AI sustavi suočavaju se s najstrožim zahtjevima. To uključuje AI koji se koristi u odlukama o zapošljavanju, kreditnom bodovanju, provedbi zakona i upravljanju kritičnom infrastrukturom. Morate provoditi procjene sukladnosti, održavati tehničku dokumentaciju i provoditi mjere ljudskog nadzora.
Teritorijalni opseg Zakona je širok. Ako nudite sustave ili usluge umjetne inteligencije nizozemskim kupcima ili ako se rezultati vašeg sustava umjetne inteligencije koriste u Nizozemskoj, vjerojatno spadate pod njegovu nadležnost.
Nepoštivanje propisa nosi značajne kazne. Za zabranjene prakse Zakon o umjetnoj inteligenciji postavlja najvišu gornju granicu, izraženu kao fiksni maksimalni iznos ili postotak ukupnog godišnjeg prometa na svjetskoj razini, ovisno o tome što je veće; niže gornje granice primjenjuju se na kršenje ostalih obveza i na dostavljanje netočnih informacija tijelima vlasti. Točni iznosi navedeni su u članku 99. Uredbe.
Kada se primjenjuje svaki dio Zakona o umjetnoj inteligenciji
Uredba je stupila na snagu 1. kolovoza 2024. i primjenjuje se u fazama. Od 2. veljače 2025. primjenjuju se zabrane iz članka 5. i obveza pismenosti u području umjetne inteligencije iz članka 4. Od 2. kolovoza 2025. primjenjuju se obveze pružatelja modela umjetne inteligencije opće namjene, struktura upravljanja i kaznene odredbe. Opći datum primjene je 2. kolovoza 2026.
Režim visokog rizika je iznimka. U okviru digitalnog omnibus paketa primjena pravila visokog rizika iz Priloga III odgođena je do 2. prosinca 2027., a pravila iz Priloga I., koja pokrivaju umjetnu inteligenciju ugrađenu u proizvode koji već podliježu zakonodavstvu EU-a o proizvodima, do 2. kolovoza 2028. Ta odgoda ograničena je na režim visokog rizika: zabrane, pravila opće namjene za umjetnu inteligenciju i obveza transparentnosti iz članka 50. ostaju nepromijenjeni i već se primjenjuju. Odvojeno, predložena Direktiva o odgovornosti za umjetnu inteligenciju povučena je, pa je odgovornost za štetu uzrokovanu umjetnom inteligencijom regulirana uobičajenim nizozemskim pravom i revidiranom Direktivom o odgovornosti za proizvod, a ne posebnim instrumentom o odgovornosti za umjetnu inteligenciju.
Nizozemski regulatorni krajolik: ključna tijela i lokalna provedba
Autoriteit Persoonsgegevens (nizozemsko tijelo za zaštitu podataka ili nizozemski DPA) služi kao glavno tijelo za provedbu aspekata zaštite podataka sustava umjetne inteligencije u Nizozemskoj. Ovo tijelo je već poduzelo mjere za provedbu protiv kršenja GDPR-a povezanih s umjetnom inteligencijom prije formalne provedbe Zakona o umjetnoj inteligenciji.
Nadzor prema samom Zakonu o umjetnoj inteligenciji organiziran je drugačije od nadzora jednog nacionalnog regulatora. Nizozemski pristup je dopustiti postojećim sektorskim nadzornicima da kontroliraju umjetnu inteligenciju unutar vlastitih domena, tako da banka surađuje sa svojim financijskim nadzornikom, a bolnica sa svojim nadzornikom zdravstvene zaštite. Osim toga, Autoriteit Persoonsgegevens određen je kao nadzornik za područja u kojima ne postoji sektorski nadzornik, a Rijksinspectie Digitale Infrastructuur (RDI) ima koordinacijsku ulogu u cijelom sustavu.
Zakon koji učvršćuje ovu strukturu u nizozemskom pravu, Uitvoeringswet AI-verordening, ušao je u javnu raspravu u travnju 2026. i još uvijek je u fazi zakona. Dok ne stupi na snagu, provedba kršenja povezanih s umjetnom inteligencijom u praksi se uglavnom provodi putem GDPR-a i Autoriteit Persoonsgegevens, kojem nije potreban provedbeni zakon za djelovanje protiv nezakonite obrade.
Ključne odgovornosti nizozemskih vlasti:
- Praćenje usklađenosti sustava umjetne inteligencije s propisima EU-a
- Istraživanje pritužbi na prakse umjetne inteligencije
- Izricanje kazni za kršenje zakona o zaštiti podataka i umjetnoj inteligenciji
- Pružanje smjernica o tumačenju propisa
- Koordinacija s Europskim odborom za zaštitu podataka i Uredom EU-a za umjetnu inteligenciju
Nizozemska vlada naznačila je da će integrirati provedbu Zakona o umjetnoj inteligenciji u postojeće regulatorne okvire. Vaše poslovanje trebalo bi očekivati pažljiviji nadzor od strane nizozemskog tijela za zaštitu podataka, posebno ako obrađujete osobne podatke putem sustava umjetne inteligencije.
Integracija s NIS2 i zakonima EU o podacima
Zakon o umjetnoj inteligenciji ne djeluje izolirano. Djeluje uz nekoliko propisa EU koji utječu na to kako možete koristiti sustave umjetne inteligencije u svom nizozemskom poslovanju.
NIS2 je u Nizozemskoj implementirala agencija Cyberbeveiligingswet, a stupio je na snagu 15. kolovoza 2026. Ako se kvalificirate kao bitan ili važan subjekt, morate se registrirati kod NCSC-a i prijaviti značajne incidente u roku od 24 sata za rano upozorenje i 72 sata za potpuniju obavijest. Sustav umjetne inteligencije koji podržava bitnu uslugu stoga je istovremeno pod Zakonom o umjetnoj inteligenciji i ovim zakonom.
Zakon o podacima uređuje pristup i korištenje podataka koje generiraju povezani proizvodi i usluge. Kada se vaši AI sustavi oslanjaju na podatke interneta stvari ili industrijske podatke, morate se pridržavati zahtjeva za dijeljenje podataka i odredbi o ugovornoj pravednosti.
Zakon o upravljanju podacima uspostavlja okvire za dijeljenje i ponovnu upotrebu podataka. Ako koristite podatke javnog sektora ili podatke organizacija za alterizam osobnih podataka za obuku modela umjetne inteligencije, morate se pridržavati specifičnih struktura upravljanja i zahtjeva za transparentnost.
Zakon o digitalnim uslugama primjenjuje se kada su vaši sustavi umjetne inteligencije dio online platformi ili usluga. Morate procijeniti sistemske rizike, osigurati transparentnost u vezi s sustavima preporuka i omogućiti korisnicima da se isključe iz preporuka temeljenih na profiliranju.
Vaša strategija usklađenosti mora istovremeno obuhvatiti ove preklapajuće propise. Europski odbor za zaštitu podataka koordinira smjernice u državama članicama kako bi se osiguralo dosljedno tumačenje.
Kategorije rizika sustava umjetne inteligencije i visokorizični slučajevi upotrebe
Zakon EU o umjetnoj inteligenciji dijeli umjetnu inteligenciju na četiri razine rizika, a svaka s različitim zahtjevima usklađenosti . Zabranjeni sustavi suočavaju se s potpunim zabranama, visokorizične aplikacije zahtijevaju strogi nadzor, dok sustavi ograničenog i minimalnog rizika imaju lakše obveze.
Zabranjene prakse umjetne inteligencije i neprihvatljivi rizici
Određene upotrebe umjetne inteligencije potpuno su zabranjene Zakonom EU o umjetnoj inteligenciji jer predstavljaju neprihvatljive rizike za temeljna prava. Ne možete implementirati sustave koji manipuliraju ponašanjem ljudi putem podsvjesnih tehnika ili iskorištavaju ranjive skupine na temelju dobi ili invaliditeta.
Socijalno bodovanje od strane vlada je zabranjeno. To znači da javne vlasti ne mogu rangirati građane na temelju njihovog društvenog ponašanja ili osobnih karakteristika.
Biometrijska identifikacija u stvarnom vremenu u javnim prostorima uglavnom je zabranjena za provedbu zakona. Ograničene iznimke postoje samo za teška kaznena djela poput terorizma ili otmice, a za njih je potrebno prethodno sudsko odobrenje.
Također ne možete koristiti umjetnu inteligenciju za predviđanje kriminalnog ponašanja isključivo na temelju profiliranja ili osobina ličnosti. Sustavi koji prikupljaju slike lica s interneta ili CCTV-a za izgradnju baza podataka za prepoznavanje također se suočavaju s ograničenjima.
Što se smatra visokorizičnim AI sustavom
Visokorizični sustavi umjetne inteligencije su oni koji se koriste u osam specifičnih sektora gdje bi pogreške mogle ozbiljno ugroziti sigurnost ljudi ili temeljna prava. Ovi sustavi nisu zabranjeni, ali moraju ispunjavati stroge zahtjeve prije nego što ih se može primijeniti.
Osam kategorija visokog rizika uključuju:
- Biometrijska identifikacija i prepoznavanje emocija
- Kritična infrastruktura (energija, promet, voda)
- Obrazovanje i stručno osposobljavanje
- Upravljanje zapošljavanjem i ljudskim resursima
- Osnovne javne i privatne usluge
- Provedbu zakona
- Migracije i granična kontrola
- Pravda i demokratski procesi
Automatizirano donošenje odluka u zapošljavanju, bodovanju kredita ili dodjeli beneficija spada pod pravila visokog rizika. Ako koristite algoritme za filtriranje kandidata za posao ili određivanje podobnosti za kredit, morate dokumentirati kako se donose odluke i omogućiti ljudski pregled.
Primjene u financijskom sektoru koje procjenjuju kreditnu sposobnost ili rizik osiguranja zahtijevaju redovito testiranje pristranosti. Podaci za obuku moraju predstavljati raznolike populacije kako bi se izbjegli diskriminirajući ishodi.
Za visokorizične sustave potrebna vam je tehnička dokumentacija, procesi upravljanja rizicima i postupci upravljanja podacima. Sustavi moraju održavati revizijske tragove koji bilježe sve odluke u svrhu nadzora.
Također morate provesti procjene utjecaja na temeljna prava prije implementacije. Opća umjetna inteligencija poput ChatGPT-a , Geminija ili LLaMA-e može postati visokorizična kada se integrira u određene aplikacije.
Veliki jezični model koji se koristi za provjeru ljudskih resursa ulazi u kategoriju visokog rizika čak i ako sam temeljni model ne ulazi. Obveze kibernetičke sigurnosti zahtijevaju da zaštitite visokorizične sustave od neovlaštenog mijenjanja i pristupa.
Redovito testiranje i praćenje nakon stavljanja na tržište pomažu u prepoznavanju problema nakon lansiranja.
Ograničene i minimalno rizične primjene umjetne inteligencije
Većina sustava umjetne inteligencije spada u kategorije ograničenog ili minimalnog rizika s manjim opterećenjima usklađenosti. Ograničeni rizik primjenjuje se kada obveze transparentnosti imaju smisla, dok sustavi minimalnog rizika gotovo da nemaju zahtjeva.
Chatbotovi i generativni alati umjetne inteligencije pokreću pravila transparentnosti. Morate obavijestiti korisnike da komuniciraju s umjetnom inteligencijom, a ne s čovjekom.
To uključuje botove za korisničku podršku i AI asistente na vašoj web stranici. Zabrinutost zbog dezinformacija znači da sadržaj generiran umjetnom inteligencijom treba označiti.
Ako stvarate sintetičke slike, audio ili video, to morate jasno navesti. Deepfakeovi zahtijevaju posebno istaknuta upozorenja o svojoj umjetnoj prirodi.
RAG (generiranje prošireno pronalaženjem) sustavi koji pružaju informacije kupcima obično se kvalificiraju kao sustavi ograničenog rizika. Trebali biste dokumentirati izvore podataka i stope točnosti čak i bez potpune usklađenosti s visokim rizikom.
Osnovni modeli i LLM-ovi koji se koriste za osnovne zadatke poput izrade e-poruka ili sažimanja dokumenata obično ostaju minimalno rizični. Možete ih implementirati s osnovnim mjerama transparentnosti umjesto s opsežnom dokumentacijom.
Filteri neželjene pošte, videoigre omogućene umjetnom inteligencijom i algoritmi za upravljanje zalihama općenito predstavljaju minimalan rizik. Za ove primjene ne trebate ocjenu sukladnosti ili registraciju.
Međutim, i dalje biste trebali voditi osnovne zapise o tome kako sustavi funkcioniraju u slučaju da se kasnije pojave pitanja.
Implementacija odgovornog upravljanja umjetnom inteligencijom i internih kontrola
Vašoj organizaciji potrebne su jasne strukture upravljanja i sustavne kontrole kako bi učinkovito upravljala rizicima umjetne inteligencije. Određivanje odgovornosti, održavanje ljudskog nadzora i uspostavljanje robusnih procesa revizije čine temelj odgovorne primjene umjetne inteligencije u vašem nizozemskom poslovanju.
Strukture upravljanja i odgovornost umjetne inteligencije
Morate odrediti određene pojedince ili timove odgovorne za nadzor umjetne inteligencije unutar vaše organizacije. Zbog multidisciplinarne prirode sustava umjetne inteligencije, jedna osoba ili posvećeni tim trebali bi nadgledati razvoj, implementaciju i praćenje svih aplikacija umjetne inteligencije.
Vaša struktura upravljanja trebala bi jasno opisati kako se sustavi umjetne inteligencije mogu koristiti i koji se procesi odobravanja moraju slijediti. Definirajte gdje leže odgovornosti među odjelima, uključujući uloge pravnog, IT, operativnog i tima za usklađenost.
Ključne mjere odgovornosti uključuju:
- Dokumentiranje ovlasti za donošenje odluka za kupnju i implementaciju umjetne inteligencije
- Uspostavljanje tijeka rada za odobravanje novih AI aplikacija
- Stvaranje eskalacijskih postupaka kada AI sustavi daju neočekivane rezultate
- Definiranje tko prati usklađenost s GDPR-om i drugim propisima
Poticati kulturu u kojoj zaposlenici osjećaju odgovornost za upravljanje umjetnom inteligencijom. Poticati osoblje da prijavi zabrinutost u vezi sa sustavima umjetne inteligencije i aktivno doprinosi procesima poboljšanja.
Ovaj pristup zajedničke odgovornosti pomaže u ranom prepoznavanju rizika i jača povjerenje u umjetnu inteligenciju u cijeloj vašoj organizaciji.
Ljudski nadzor i etička primjena umjetne inteligencije
Morate održavati ljudski nadzor tijekom cijelog životnog ciklusa umjetne inteligencije kako biste osigurali etičku primjenu. Vaši zaposlenici trebaju razumjeti kako sustavi umjetne inteligencije donose odluke i imati ovlasti intervenirati kada je to potrebno.
Uvedite jasne kriterije za utvrđivanje kada odluke umjetne inteligencije zahtijevaju ljudski pregled. Visokorizične odluke koje utječu na prava pojedinaca, poput odluka o zapošljavanju ili procjene kreditne sposobnosti, obično zahtijevaju ljudsku validaciju.
Dokumentirajte ove kriterije i obučite relevantno osoblje o postupcima intervencije. Rješavajte probleme pravednosti i pristranosti u sustavima umjetne inteligencije korištenjem raznolikih i reprezentativnih skupova podataka koji odražavaju raznolikost nizozemskog društva.
Redovito pratite rezultate umjetne inteligencije kako biste otkrili potencijalnu diskriminaciju na temelju zaštićenih karakteristika prema GDPR-u i nizozemskom zakonodavstvu. Osigurajte programe obuke koji pomažu zaposlenicima da razumiju mogućnosti, ograničenja i etička razmatranja umjetne inteligencije.
Vaši zaposlenici trebali bi znati kada dovesti u pitanje preporuke umjetne inteligencije i kako eskalirati zabrinutost u vezi s ponašanjem sustava.
Procesi upravljanja podacima i revizije
Potrebno vam je robusno upravljanje podacima kako biste osigurali da su sustavi umjetne inteligencije u skladu sa zahtjevima GDPR-a. Redovito provodite analize rizika kako biste utvrdili kako obrada umjetne inteligencije utječe na osobne podatke i prava na privatnost pojedinaca.
Vaš okvir za upravljanje podacima trebao bi smanjiti prikupljanje osobnih podataka. Prikupljajte samo podatke koji su strogo potrebni za svrhu vašeg sustava umjetne inteligencije.
Dokumentirajte svoju pravnu osnovu za obradu i održavajte transparentnost o tome kako koristite osobne podatke.
Bitne revizijske kontrole uključuju:
- Redovite sigurnosne procjene arhitekture AI sustava
- Ograničenja pristupa koja ograničavaju tko može mijenjati AI sustave
- Kontrola verzija i zapisnici promjena za AI modele
- Periodični pregledi točnosti donošenja odluka umjetnom inteligencijom
Provedite neovisne revizije vaših AI kontrola. Vaš interni tim za reviziju može procijeniti učinkovitost upravljanja, pregledati dizajn kontrola i procijeniti usklađenost s GDPR-om i drugim propisima.
Vodite dokumentaciju koja pokazuje da se procesi donošenja odluka vaših AI sustava mogu objasniti i validirati. Ova transparentnost podržava načelo odgovornosti GDPR-a i pomaže vam da odgovorite na zahtjeve ispitanika o automatiziranom donošenju odluka.
Procjene utjecaja na zaštitu podataka i zakonske obveze
Nizozemske tvrtke koje koriste sustave umjetne inteligencije moraju provesti posebne procjene prije obrade osobnih podataka. Ove procjene pomažu u identificiranju rizika za privatnost i osiguravanju usklađenosti sa zahtjevima GDPR-a, a istovremeno štite pojedinačna prava tijekom cijelog procesa implementacije umjetne inteligencije.
Provođenje procjena utjecaja na zaštitu podataka (DPIA)
Morate provesti DPIA kada vaš AI sustav obrađuje osobne podatke na načine koji stvaraju visoke rizike za privatnost. Nizozemsko tijelo za zaštitu podataka zahtijeva ovu procjenu prije nego što počnete prikupljati, koristiti ili dijeliti osobne podatke putem AI alata.
Procjena utjecaja na zaštitu podataka postaje obvezna kada se na vaš sustav umjetne inteligencije primjenjuju dva ili više specifičnih kriterija. To uključuje automatizirano donošenje odluka sa značajnim učincima, opsežno praćenje javnih prostora, obradu osjetljivih podataka poput medicinskih ili financijskih zapisa i korištenje novih tehnologija s nepoznatim društvenim posljedicama.
Sustavi umjetne inteligencije koji profiliraju pojedince ili kombiniraju više skupova podataka obično pokreću zahtjeve za DPIA. Vaša DPIA mora opisati koje ćete osobne podatke obrađivati, zašto su vam potrebni i kako ćete ih koristiti.
Navedite sve rizike za privatnost i objasnite mjere koje ćete poduzeti kako biste ih spriječili ili smanjili. Ako vaša procjena otkrije visoke rizike koje ne možete ublažiti, morate se prije nastavka konzultirati s nizozemskim tijelom za zaštitu podataka.
Provedite novu DPIA kad god promijenite način na koji vaša umjetna inteligencija obrađuje podatke ili implementira nove tehnologije.
Procjene utjecaja na temeljna prava
Procjene utjecaja na temeljna prava ispituju kako vaš sustav umjetne inteligencije utječe na šira ljudska prava izvan privatnosti. Zakon o umjetnoj inteligenciji zahtijeva ove procjene za visokorizične primjene umjetne inteligencije koje bi mogle utjecati na zapošljavanje, obrazovanje, pristup uslugama ili provedbu zakona.
Vaša procjena trebala bi procijeniti može li vaš sustav umjetne inteligencije dovesti do diskriminacije, nepravednog postupanja ili ograničenja temeljnih sloboda ljudi. Ispitajte kako sustav donosi odluke i suočavaju li se određene skupine s nepovoljnim položajem.
Dokumentirajte potencijalne utjecaje na jednakost, ljudsko dostojanstvo i prava na nediskriminaciju. Ove procjene funkcioniraju uz DPIA-e, ali se usredotočuju na šire društvene implikacije, a ne samo na probleme zaštite podataka.
Rješavanje pojedinačnih prava ispitanika
Vaš AI sustav mora poštivati prava koja GDPR daje pojedincima čije podatke obrađujete. Ljudi imaju pravo pristupa svojim osobnim podacima, ispravljanja netočnih podataka i zahtjeva za brisanje u određenim okolnostima.
Utvrdite jasne postupke za rješavanje ovih zahtjeva kada uključuju podatke obrađene umjetnom inteligencijom. To uključuje objašnjenje kako vaš sustav umjetne inteligencije koristi nečije podatke i pružanje značajnih detalja o automatiziranom donošenju odluka.
Pojedinci mogu prigovoriti na automatizirane odluke koje značajno utječu na njih i zatražiti ljudsku provjeru. Vaše poduzeće mora odgovoriti na zahtjeve ispitanika u roku od mjesec dana.
Ne možete naplaćivati naknade osim ako zahtjevi nisu pretjerani ili neutemeljeni. Vodite evidenciju svih zahtjeva i vaših odgovora kako biste dokazali usklađenost s nizozemskim tijelom za zaštitu podataka.
Izgradnja pismenosti u području umjetne inteligencije i poticanje organizacijske spremnosti
Pismenost o umjetnoj inteligenciji nije samo stvar dobre prakse. Članak 4. Zakona o umjetnoj inteligenciji obvezuje pružatelje usluga i implementatore da poduzmu mjere kako bi osigurali dovoljnu razinu pismenosti o umjetnoj inteligenciji među osobljem koje upravlja i koristi njihove sustave, a ta se obveza primjenjuje od 2. veljače 2025. Njime se vaša radna snaga oprema vještinama za sigurno i učinkovito korištenje alata temeljenih na umjetnoj inteligenciji, uz osiguravanje usklađenosti s propisima. To zahtijeva strukturirane programe obuke, međufunkcionalnu edukaciju o propisima o umjetnoj inteligenciji i kontinuirano učenje kako bi se održala organizacijska spremnost.
Razvoj strukturiranih programa pismenosti za umjetnu inteligenciju
Vaš program opismenjavanja u području umjetne inteligencije trebao bi započeti s temeljnim konceptima koje svi zaposlenici mogu razumjeti. Naučite svoj tim što je umjetna inteligencija, kako funkcionira i koja su joj ograničenja.
Usredotočite se na praktične vještine, a ne na tehnički žargon. Izgradite svoj program oko puteva učenja specifičnih za određenu ulogu.
Vašem marketinškom timu potrebno je drugačije znanje o umjetnoj inteligenciji od vašeg financijskog odjela. Zaposlenici koji svakodnevno koriste alate temeljene na umjetnoj inteligenciji trebaju obuku o brzom pisanju, provjeri rezultata i identificiranju rizika.
Uprava treba razumjeti mogućnosti umjetne inteligencije , poslovne aplikacije i etička razmatranja.
Izradite okvir koji pokriva tri ključna područja:
- SvijestRazumijevanje potencijala i ograničenja umjetne inteligencije u vašem specifičnom poslovnom kontekstu
- primjenaUčenje korištenja odobrenih alata temeljenih na umjetnoj inteligenciji za svakodnevne zadatke
- OdgovornostPrepoznavanje rizika za privatnost, pristranosti i zahtjeva za usklađenost prema GDPR-u
Uključite praktične vježbe u kojima zaposlenici rade na stvarnim zadacima s posla. Utvrdite „radno vrijeme za umjetnu inteligenciju“ gdje zaposlenici mogu donijeti stvarne radne izazove i naučiti kako pravilno koristiti umjetnu inteligenciju u skladu s vašim smjernicama o usklađenosti.
Obuka za usklađenost s umjetnom inteligencijom u svim poslovnim funkcijama
Vaša obuka o usklađenosti mora obuhvatiti zahtjeve GDPR-a specifične za korištenje umjetne inteligencije u nizozemskim poslovnim operacijama. Svaki odjel koji obrađuje osobne podatke mora razumjeti kako se inovacije umjetne inteligencije preklapaju sa zakonom o zaštiti podataka.
Osposobite svoje zaposlenike da prepoznaju kada obrada umjetnom inteligencijom uključuje osobne podatke. To uključuje razumijevanje načela minimiziranja podataka, pravnih osnova za obradu i kada provesti procjene utjecaja na zaštitu podataka.
Vaš tim treba znati da se programeri i dobavljači umjetne inteligencije također moraju pridržavati GDPR-a prilikom pružanja usluga vašoj organizaciji.
Različite funkcije zahtijevaju ciljanu obuku:
| funkcija | Ključni fokus obuke |
|---|---|
| HR | Automatizirana provjera zapošljavanja, sprječavanje pristranosti, zaštita podataka zaposlenika |
| Marketing | Profiliranje kupaca, zahtjevi za pristanak, automatizirano donošenje odluka |
| Služba za korisnike | Usklađenost s chatbotovima, zadržavanje podataka i obveze transparentnosti |
| IT | Sigurnosne mjere, kontrole pristupa podacima, upravljanje dobavljačima |
Utvrdite jasne politike korištenja koje određuju koji su alati temeljeni na umjetnoj inteligenciji odobreni i pod kojim uvjetima. Vašim zaposlenicima potrebne su pisane smjernice o tome koje podatke mogu unositi u sustave umjetne inteligencije i koji izlazi zahtijevaju ljudski pregled prije implementacije.
Kontinuirana edukacija i usvajanje najboljih praksi
Propisi o umjetnoj inteligenciji brzo se razvijaju i vaša obuka ne može biti jednokratni događaj. Stvorite kontinuirane mogućnosti učenja koje će vašu radnu snagu obavještavati o novim zahtjevima za usklađenost i najboljim praksama koje se pojavljuju.
Organizirajte redovite sesije mikroučenja koje traju 15-20 minuta i usredotočuju se na određene teme. One mogu obuhvaćati nedavne promjene propisa o umjetnoj inteligenciji, nove studije slučaja iz vaše industrije ili lekcije naučene iz incidenata u drugim organizacijama.
Kratke, česte sesije obuke održavaju angažman bolje od dugotrajnih godišnjih tečajeva. Izgradite zajedničku bazu znanja u kojoj zaposlenici dokumentiraju uspješne primjene umjetne inteligencije i izazove usklađenosti s kojima su se susreli.
Uključite praktične primjere dobrih uputa, metoda provjere rezultata i strategija ublažavanja rizika. Odredite prvake umjetne inteligencije unutar svakog odjela.
Te osobe prolaze naprednu obuku i služe kao prve kontaktne točke za pitanja o alatima temeljenim na umjetnoj inteligenciji i usklađenosti. Oni premošćuju jaz između vašeg tima za usklađenost i svakodnevnih operacija.
Pratite pismenost u području umjetne inteligencije u cijeloj organizaciji putem praktičnih procjena, a ne teorijskih testova. Procijenite mogu li zaposlenici prepoznati rizike usklađenosti u stvarnim scenarijima, na odgovarajući način provjeriti rezultate umjetne inteligencije i primijeniti ljudsku prosudbu na automatizirane preporuke.
Često postavljana pitanja
Nizozemske tvrtke koje koriste umjetnu inteligenciju moraju razumjeti zahtjeve GDPR-a za obradu osobnih podataka, obveze transparentnosti i nadzor od strane Autoriteit Persoonsgegevens . Zakon EU o umjetnoj inteligenciji dodaje još jedan sloj usklađenosti koji funkcionira uz postojeća pravila o zaštiti podataka.
Koja su primarna razmatranja opće uredbe o zaštiti podataka (GDPR) prilikom implementacije umjetne inteligencije u poduzeću u Nizozemskoj?
Prije implementacije morate utvrditi obrađuje li vaš sustav umjetne inteligencije osobne podatke. Ako to čini, potrebna vam je jasna pravna osnova za tu obradu prema članku 6. GDPR-a.
Najčešće pravne osnove su privola, ugovorna nužnost ili legitimni interesi. Osigurajte da vaš sustav umjetne inteligencije poštuje načela minimizacije podataka prikupljanjem samo osobnih podataka koji su vam stvarno potrebni za vašu određenu svrhu.
Ne možete prikupljati previše informacija samo zato što vaš sustav umjetne inteligencije ima kapacitet za njihovu obradu. Provedite odgovarajuće tehničke i organizacijske mjere za zaštitu osobnih podataka.
To uključuje enkripciju, kontrole pristupa i sigurnosne protokole koji sprječavaju neovlašteni pristup ili povrede podataka. Nizozemska agencija za zaštitu podataka očekuje da će te zaštitne mjere biti na snazi od početka vašeg projekta umjetne inteligencije.
Kako nizozemska tvrtka može osigurati da donošenje odluka temeljenih na umjetnoj inteligenciji ostane u skladu sa zahtjevima transparentnosti GDPR-a?
Morate obavijestiti pojedince kada sustavi umjetne inteligencije donose odluke o njima. Članci 13. i 14. GDPR-a zahtijevaju da objasnite koje osobne podatke prikupljate, zašto ih obrađujete i kako ih vaš sustav umjetne inteligencije koristi.
Ove informacije trebaju biti jasne i lako razumljive. Pružite smislene informacije o logici koja stoji iza automatiziranog donošenja odluka.
Ne morate otkrivati poslovne tajne ili složene algoritme, ali morate objasniti opća načela i čimbenike koji utječu na odluke umjetne inteligencije. Vaše objašnjenje trebalo bi pomoći ljudima da razumiju kako sustav funkcionira u praksi.
Izradite dostupnu dokumentaciju koja objašnjava svrhu i funkcioniranje vašeg AI sustava. Redovito ažurirajte ove informacije kako se vaš AI sustav razvija ili mijenja.
Koje korake treba poduzeti kako bi se ublažio rizik pristranosti u sustavima umjetne inteligencije, u skladu s GDPR propisima?
Prije implementacije morate testirati svoj AI sustav na diskriminirajuće ishode. Provjerite tretira li sustav različite skupine pravedno i ne daje li pristrane rezultate na temelju zaštićenih karakteristika.
Redovito testiranje trebalo bi se nastaviti i nakon lansiranja. Koristite raznolike i reprezentativne podatke za obuku za svoje AI modele.
Pristrani podaci o obuci dovode do pristranih ishoda, što može kršiti načela GDPR-a o pravednosti i zakonitosti. Pažljivo pregledajte svoje izvore podataka kako biste identificirali potencijalne praznine ili prevelike prikaze.
Provedite ljudski nadzor nad odlukama sa značajnim utjecajem na pojedince. GDPR zahtijeva da ljudi imaju pravo osporiti automatizirane odluke i zatražiti ljudsku intervenciju.
Izgradite mehanizme koji omogućuju vašem osoblju da pregleda i poništi odluke umjetne inteligencije kada je to potrebno.
Možete li objasniti postupak procjene utjecaja na zaštitu podataka (DPIA) za AI tehnologije prema nizozemskom okviru GDPR-a?
Morate provesti DPIA kada vaš AI sustav uključuje visokorizičnu obradu osobnih podataka. Visokorizični scenariji uključuju automatizirano donošenje odluka s pravnim ili značajnim učincima, obradu podataka posebne kategorije velikih razmjera ili sustavno praćenje javnih prostora.
Vaša DPIA treba opisati prirodu, opseg, kontekst i svrhe vaše obrade podataka umjetnom inteligencijom. Procijenite i nužnost i proporcionalnost vaših aktivnosti obrade podataka.
Objasnite zašto su vam potrebni određeni podaci i zašto su vaše odabrane metode obrade prikladne. Utvrdite i procijenite rizike za prava i slobode pojedinaca.
Razmislite što bi moglo poći po zlu s vašim AI sustavom i koliko ozbiljne mogu biti posljedice. Dokumentirajte mjere koje ćete provesti kako biste se suočili s tim rizicima i smanjili ih na prihvatljivu razinu.
Ako vaša DPIA pokazuje visoke preostale rizike, prije implementacije vašeg sustava umjetne inteligencije obratite se Autoritetu za zaštitu osobnih podataka. Tijelo će pregledati vašu procjenu i može dati smjernice o dodatnim zaštitnim mjerama.
Ova konzultacija je obavezna kada ne možete adekvatno ublažiti utvrđene rizike.
Koja je uloga nizozemskog tijela za zaštitu podataka (Autoriteit Persoonsgegevens) u nadzoru korištenja umjetne inteligencije u poduzećima?
Agencija za zaštitu osobnih podataka (Autoriteit Persoonsgegevens) nadzire usklađenost s GDPR-om za sustave umjetne inteligencije koji obrađuju osobne podatke. Tijelo istražuje pritužbe, provodi revizije i poduzima mjere protiv tvrtki koje krše pravila o zaštiti podataka.
Može izreći kazne do 20 milijuna eura ili 4% godišnjeg globalnog prometa. Tijelo pruža smjernice o usklađenosti s umjetnom inteligencijom i GDPR-om za nizozemska poduzeća.
Godine 2025. objavila je preduvjete za generativnu umjetnu inteligenciju koji utvrđuju detaljne zahtjeve za tvrtke koje razvijaju ili koriste sustave umjetne inteligencije. Ove smjernice pomažu vam da shvatite kako primijeniti načela GDPR-a na određene tehnologije umjetne inteligencije.
Tijekom procesa razvoja umjetne inteligencije možete se konzultirati s nadležnim tijelom. Autoriteit Persoonsgegevens nudi savjete o složenim pitanjima zaštite podataka i pregledava DPIA-e za obradu visokog rizika.
Rana interakcija pomaže vam prepoznati probleme s usklađenošću prije nego što postanu problemi s provedbom.
Kako GDPR rješava automatiziranu obradu osobnih podataka i kakve implikacije to ima za nizozemska poduzeća koja koriste umjetnu inteligenciju?
Članak 22. GDPR-a ograničava isključivo automatizirano donošenje odluka s pravnim ili značajnim učincima. Ne možete donositi odluke isključivo na temelju automatizirane obrade ako te odluke proizvode pravne posljedice ili na sličan način utječu na pojedince.
To uključuje odluke o kreditima, izbore zapošljavanja ili procjene zdravstvene skrbi. Morate osigurati zaštitne mjere kada koristite automatizirano donošenje odluka prema iznimci od članka 22.
Te zaštitne mjere uključuju pravo na ljudsku intervenciju, mogućnost izražavanja vlastitog stajališta i pravo osporavanja odluke. Vaš sustav umjetne inteligencije treba ugrađene mehanizme za podršku tim pravima.
Potrebne su vam jasne politike o tome kada i kako vaše poslovanje koristi automatiziranu obradu. Osoblje mora razumjeti ograničenja donošenja odluka putem umjetne inteligencije i kada je potreban ljudski pregled.
Dokumentirajte ove politike i obučite svoj tim da ih dosljedno provodi u svim svojim operacijama.
Što dalje činiti
Započnite s popisom: koje AI sustave vaša organizacija zapravo koristi, tko ih je isporučio, koji osobni podaci ulaze, a koji izlaze. Taj popis odlučuje o svemu ostalom, jer vam govori koji su sustavi zabranjeni, koji mogu postati visokorizični na odgođene datume, a kojima je potrebna samo obavijest o transparentnosti. Zabilježite pravnu osnovu za svaku operaciju obrade, provedite DPIA tamo gdje je obrada visokorizična i stavite obvezu AI pismenosti na dnevni red onoga tko vodi vaš program obuke.
Law & More savjetuje tvrtke u Nizozemskoj o interakciji između GDPR-a i Zakona o umjetnoj inteligenciji: mapiranje sustava umjetne inteligencije u odnosu na kategorije rizika, izrada internih politika umjetne inteligencije i ugovora o obradi, provođenje procjena utjecaja na zaštitu podataka (DPIA) i odgovaranje na upite ili istrage Autoriteit Persoonsgegevens. Ako želite da se vaša upotreba umjetne inteligencije pregleda prije nego što to regulator učini umjesto vas, kontaktirajte nas.
Kako Law & More može vam pomoći s ovim objašnjenjem na našem IT odvjetnik stranica.
