Nīderlandē GDPR un mākslīgais intelekts vienā brīdī saplūst: tiklīdz algoritms apstrādā informāciju par identificējamu personu, Vispārīgā datu aizsardzības regula (VDAR) tiek piemērota pilnībā neatkarīgi no tehnoloģijas un tās izstrādātāja. Tas nozīmē likumīgu pamatu katrai apstrādes darbībai, informāciju attiecīgajām personām par sistēmas loģiku, tiesības uz cilvēka iejaukšanos, ja lēmumu pieņem tikai mašīna, un dokumentētu riska novērtējumu pirms ieviešanas. Autoriteit Persoonsgegevens nodrošina šo pienākumu izpildi, un ES Mākslīgā intelekta likums pievieno tiem atsevišķu produktu drošības slāni, neaizstājot neko no tā.
Šajā rakstā ir aplūkota operacionālā puse: kas organizācijai jādara, kad personas dati faktiski plūst caur mākslīgā intelekta lietojumprogrammu. Iepriekšējais jautājums par to, kā vispār pamatot liela datu kopuma izveidi un kā darbojas saderības pārbaude, ja vienam mērķim apkopotie dati tiek atkārtoti izmantoti modeļa apmācībai, ir aplūkots atsevišķi mūsu rakstā par GDPR un lielajiem datiem.
Kad mākslīgā intelekta sistēma ietilpst GDPR darbības jomā
Regula ir tehnoloģiski neitrāla. Tajā netiek jautāts, vai sistēma ir lēmumu koks, statistisks modelis vai liels valodas modelis; tajā tiek jautāts, vai tiek apstrādāti personas dati. Šis slieksnis tiek pārkāpts trīs atsevišķos brīžos mākslīgā intelekta lietojumprogrammas dzīvē, un katram no tiem ir nepieciešama sava analīze.
Pirmais ir apmācība. Ja apmācības komplekts satur informāciju, kas attiecas uz identificējamām personām, tā apkopošana un izmantošana ir apstrāde, un fakts, ka izvade ir modelis, nevis datubāze, neko nemaina. Otrais ir secinājums. Katrs uzvednes, vaicājuma vai ievades ieraksts, kas satur personas datus, ir apstrādes darbība, un tāpat ir arī izvade, ja tā kaut ko pasaka par identificējamu personu. Trešais ir reģistrēšana. Secinājumu žurnālos, atsauksmju ierakstos un novērtēšanas datu kopās bieži vien ir vairāk personas datu nekā apmācības komplektā, un tie regulāri tiek aizmirsti apstrādes darbību ierakstā.
Izplatīts nepareizs uzskats ir tāds, ka apmācīts modelis pēc definīcijas ir anonīms. Tas tā nav. Modelis var saglabāt personas datus tādā formā, ka tos var iegūt, un tas, vai tas tā ir, ir faktu jautājums, kas jāizvērtē katram modelim atsevišķi. Eiropas Datu aizsardzības kolēģija nonāca pie šāda secinājuma savā atzinumā par mākslīgā intelekta modeļiem 2024. gada beigās un pievienoja punktu, kam ir komerciāla nozīme: ja modelis ir apmācīts ar nelikumīgi apstrādātiem personas datiem, šī nelikumība var ietekmēt modeļa ieviešanas likumību, ja vien nevar pierādīt, ka pats modelis ir patiesi anonīms. Regulas pamati ir izklāstīti mūsu ievadā datu aizsardzības tiesību aktos un mūsu Vispārīgās datu aizsardzības regulas pārskatā.
Kas ir atbildīgs un par kuru daļu
Atbildība izriet no lēmumu pieņemšanas, nevis tehnoloģijas. Puse, kas nosaka apstrādes mērķus un līdzekļus, ir pārzinis; puse, kas apstrādā tikai saskaņā ar dokumentētām instrukcijām, ir apstrādātājs. Mākslīgā intelekta ķēdē šīs lomas mainās no soļa uz soli: modeļa pārdevējs parasti ir pārzinis savai izstrādei un apstrādātājs klienta lietošanai, un, ja abas puses kopīgi nosaka mērķi, tās ir kopīgi pārziņi un tām ir jāreģistrē, kā tiek sadalītas izrietošās saistības. Atšķirības un to sekas ir izskaidrotas mūsu rakstā par pārziņa un apstrādātāja lomām , bet līgumiskā puse — mūsu datu apstrādes līguma ceļvedī.
Praksē lielāko daļu šo jautājumu izlemj divi punkti. Ja piegādātājam ir atļauts izmantot klientu ievadi, lai uzlabotu savu modeli, tas šajā nolūkā darbojas kā pārzinis, un jūs tam izpaužat personas datus. Ja tas paļaujas uz apakšapstrādātājiem vai infrastruktūru ārpus Eiropas Ekonomikas zonas, piemērojami regulas V nodaļas pārsūtīšanas noteikumi, un ir nepieciešams pārsūtīšanas mehānisms, kā arī novērtējums. Nevienu no šiem punktiem nevar atrisināt pēc sistēmas ieviešanas.
Automatizēta lēmumu pieņemšana un tiesības uz cilvēka iejaukšanos
Vispārīgās datu aizsardzības regulas 22. pants ir noteikums, kas vissmagāk ietekmē mākslīgā intelekta lietojumprogrammas. Tas dod ikvienai personai tiesības netikt pakļautai lēmumam, kas balstīts tikai uz automatizētu apstrādi, tostarp profilēšanu, un kas rada juridiskas sekas attiecībā uz viņu vai līdzīgi būtiski ietekmē viņu. Lasot to kā aizliegumu, nevis kā tiesības iebilst, kā to interpretē Tiesa, tas nozīmē, ka šādi lēmumi vispār nav atļauti, ja vien nav piemērojams viens no trim izņēmumiem: lēmums ir nepieciešams līguma noslēgšanai vai izpildei, tas ir atļauts ar Savienības vai dalībvalsts tiesību aktiem, paredzot atbilstošas garantijas, vai tas ir balstīts uz attiecīgās personas nepārprotamu piekrišanu.
Trīs elementi nosaka, vai pants ir piemērojams. Lēmumam jābūt balstītam tikai uz automatizētu apstrādi, ko nevar atspēkot ar simbolisku cilvēka apstiprinājumu; iesaistītajai personai ir jābūt reālām pilnvarām un faktiski jāizvērtē rezultāts. Ietekmei ir jābūt juridiskai vai līdzīgi nozīmīgai, kas ietver kredīta atteikumu, darba pieteikuma noraidīšanu, pakalpojuma pārtraukšanu, apdrošināšanas atlīdzības atteikumu un automatizētus krāpšanas signālus, kas bloķē klientu. Un lēmumam jābūt par indivīdu, tāpēc vispārējie cenu noteikšanas noteikumi neietilpst panta darbības jomā, bet individualizēta vērtēšana – tā darbības jomā.
Tiesa ir paplašinājusi šo pieeju tālāk, nekā daudzas organizācijas pieņem. Ja uzņēmums aprēķina personas vērtējumu un trešā persona, lemjot par līguma slēgšanu, lielā mērā izmanto šo vērtējumu, vērtējuma iegūšana pati par sevi ir automatizēts lēmums 22. panta izpratnē. Citiem vārdiem sakot, vērtēšanas pakalpojumu sniedzējs nevar slēpties aiz fakta, ka oficiālo lēmumu pieņem tā klients. Nīderlandes organizācijām, kas iepērk kredīta, krāpšanas vai riska vērtējumus, atbilstības jautājums mainās no tā, vai tās pieņem automatizētus lēmumus, uz to, vai to dara to piegādātājs.
Ja piemērojams viens no izņēmumiem, drošības pasākumi ir obligāti un konkrēti: vismaz tiesības panākt cilvēka iejaukšanos, tiesības paust savu viedokli un tiesības apstrīdēt lēmumu. Tas nozīmē funkcionējošu, ar personālu nodrošinātu un dokumentētu procedūru, nevis pastkastīti. Īpašu kategoriju datus šādos lēmumos drīkst izmantot tikai pamatojoties uz nepārprotamu piekrišanu vai būtiskām sabiedrības interesēm, un šāda veida lēmumus nedrīkst pieņemt attiecībā uz bērniem.
Kādai patiesībā ir jāizskatās cilvēka uzraudzībai
Jēgpilna cilvēka iesaistīšanās ir brīdis, kurā lielākā daļa sistēmu neizdodas. Recenzents, kurš redz tikai modeļa rezultātu un ieteikumu, kuram nav piekļuves pamatā esošajiem datiem, kura caurlaidspēja tiek mērīta un kurš ignorē sistēmu niecīgā daļā gadījumu, neveic uzraudzību tādā nozīmē, kā to pieprasa noteikumi. Efektīva uzraudzība nozīmē, ka recenzentam ir kompetence un pilnvaras nonākt pie atšķirīga secinājuma, viņš redz informāciju, ko izmantojis modelis, reģistrē iemeslus rezultāta apstiprināšanai vai novirzīšanai no tā, un tiek uzraudzīts, cik bieži un kāpēc notiek novirzes. Šī ignorēšanas statistika ir arī pirmā lieta, ko izmeklētājs pieprasīs.
Caurspīdīgums: kas jums jāstāsta cilvēkiem par algoritmu
Ja notiek automatizēta lēmumu pieņemšana 22. panta izpratnē, 13. un 14. pantā noteiktie informēšanas pienākumi un 15. pantā noteiktās piekļuves tiesības paredz, ka jums ir jāatklāj automatizētas lēmumu pieņemšanas esamība, jēgpilna informācija par iesaistīto loģiku, kā arī apstrādes nozīme un paredzētās sekas datu subjektam. Šis pienākums ir spēkā gan datu vākšanas brīdī, gan pēc pieprasījuma.
Jēgpilna informācija par loģiku nenozīmē pirmkoda vai modeļu svaru publicēšanu, un tā nenozīmē matemātisku aprakstu, ko neviens nespeciālists nevar izsekot. Tiesa ir lēmusi, ka personai ir tiesības saņemt procedūras un faktiski piemēroto principu skaidrojumu, kas ir pietiekami konkrēti aprakstīts, lai šī persona varētu saprast, kuri no viņas personas datiem un kādā veidā tika izmantoti, lai tā varētu pārbaudīt datu precizitāti un apstrīdēt lēmumu. Izmantoto datu kategoriju apraksts, to relatīvais svars, piemērotās robežvērtības un ietekme, kāda būtu bijusi dažādām vērtībām, ir tāds skaidrojums, kas to apmierina.
Komercnoslēpums ir faktors, bet ne trumpis. Ja pārzinis uzskata, ka skaidrojuma sniegšana atklātu komercnoslēpumu vai citu personu tiesības, tas nevar vienkārši atteikties: tam ir jāsniedz it kā aizsargātā informācija uzraudzības iestādei vai tiesai, kas pēc tam izvērtē intereses un nosaka, kas ir jāatklāj. Tāpēc sistēmas, kuras loģiku vispār nevar izskaidrot, izveide rada juridisku problēmu, nevis tehnisku attaisnojumu. Pašu piekļuves tiesību darbības joma ir apspriesta mūsu rakstā par piekļuves tiesībām saskaņā ar 15. pantu.
Caurspīdīgumam ir arī vienkāršāka dimensija. Nīderlandes uzraudzības iestāde privātuma paziņojumus, kas apraksta mērķus pietiekami plaši, lai aptvertu jebko, uzskata par patstāvīgu pārkāpumu, un ievērojama daļa no tās nesenās piemērošanas ir bijusi saistīta tieši ar to. Mūsu ceļvedī par privātuma politiku Nīderlandē ir izklāstīts, kā aprakstīt algoritmisko apstrādi gan precīzā, gan salasāmā veidā, un tas pats princips attiecas uz iekšējiem paziņojumiem, piemēram, ja sistēmas tiek izmantotas darbinieku uzraudzībai vai kameru novērošanai darba vietā.
Dati, ko jūs ievadāt sistēmā, un dati, ko tā ģenerē
Katrai apstrādes darbībai ķēdē ir nepieciešams likumīgs pamats, un apmācības pamats ne vienmēr ir ieviešanas pamats. Piekrišana, nepieciešamība noslēgt līgumu un leģitīmas intereses ir trīs reāli kandidāti, un katrs no tiem ir jāizvērtē un jāreģistrē pirms apstrādes uzsākšanas. Ja tiek izmantotas leģitīmas intereses, ir jāpieraksta trīspakāpju interešu, nepieciešamības un līdzsvarošanas novērtējums; tīri komerciālas intereses var atbilst prasībām, kā to 2024. gadā apstiprināja Tiesa Nīderlandes lietā, bet tikai tad, ja apstrāde ir patiesi nepieciešama un līdzsvars ir saglabāts.
Divas ievades kategorijas ir jāapstrādā atsevišķi. Īpašas personas datu kategorijas, tostarp veselības dati, biometriskie dati, ko izmanto identifikācijai, un dati, kas atklāj etnisko izcelsmi, politiskos uzskatus, reliģisko pārliecību, dalību arodbiedrībās vai seksuālo orientāciju, nedrīkst apstrādāt, ja vien nav piemērojams 9. panta nosacījums; praktiskie risinājumi ir nepārprotama piekrišana un, šauros gadījumos, būtiskas sabiedrības intereses, kas noteiktas likumā. Slazds ir secinājums: ja modelis no parastiem datiem iegūst aizsargājamu pazīmi, tiek piemērots stingrāks režīms, pat ja neviens šo pazīmi nav vācis. Konkrētie noteikumi par biometriju ir izklāstīti mūsu rakstā par biometriskajiem datiem un atbilstību GDPR.
Otrā kategorija ir nokopēti vai publiski pieejami dati. Tas, ka informāciju var atrast tiešsaistē, nepadara tās izmantošanu likumīgu. Jums joprojām ir nepieciešams pamats, un līdzsvarošanas pārbaudē jāņem vērā fakts, ka personai nav nekādu attiecību ar jums, tā nebija informēta un negaidīja, ka tās dati tiks izmantoti šim nolūkam. Ja dati tiek iegūti no cita avota, nevis no pašas personas, piemēro 14. pantā noteikto informācijas sniegšanas pienākumu ar tikai ierobežotiem izņēmumiem.
Izvades dati ir joma, kurā organizācijas visbiežāk pieļauj kļūdas. Modeļa izdarīts secinājums par identificējamu personu ir personas dati par šo personu: riska novērtējums, piemērotības novērtējums, prognozētā diagnoze vai ģenerēts apgalvojums ietilpst regulā. No tā izriet, ka šādiem izvades datiem jābūt precīziem, tie ir jālabo vai jāpapildina, ja tie nav precīzi, un uz tiem attiecas piekļuves tiesības. Modelis, kas ģenerē nepareizus apgalvojumus par nosauktu personu, nav tikai kvalitātes problēma; tas ir labošanas pienākums, un, ja nepareizais apgalvojums tiek izplatīts, tas var radīt arī prasību ārpus datu aizsardzības tiesību aktiem. Praktiskie minimizēšanas pasākumi, kas samazina šo atkarību, ir zināmie: noņemt nevajadzīgos identifikatorus, atdalīt izstrādes un ražošanas datus, ierobežot to, kas var veikt vaicājumus sistēmā, noteikt saglabāšanas periodus apmācības datiem, gan funkciju krātuvēm, gan žurnāliem, un pārbaudīt, vai modeli var panākt, lai tas atklātu savus apmācības datus. Ja e-pasta datplūsma tiek izmantota kā ievades dati, konkrētie jautājumi ir aplūkoti mūsu rakstā par e-pastu un datu aizsardzību saskaņā ar VDAR.
Aizspriedumi, diskriminācija un vienlīdzīga attieksme
Datu aizsardzības likums un vienlīdzīgas attieksmes likums šeit pārklājas, un organizācija var ievērot vienu no tiem, vienlaikus pārkāpjot otru. GDPR nosaka, ka apstrādei jābūt godprātīgai un precīzai, un, veicot ietekmes novērtējumu, ir jāidentificē un jāmazina diskriminējošu rezultātu risks. Nīderlandes vienlīdzīgas attieksmes tiesību akti iet vēl tālāk: tie aizliedz tiešu un netiešu atšķiršanu, pamatojoties uz tādiem iemesliem kā rase, tautība, reliģija, dzimums, seksuālā orientācija, invaliditāte, hroniskas slimības un vecums, tādās jomās kā nodarbinātība, preču un pakalpojumu piegāde un izglītība. Algoritms, kas sistemātiski rada sliktāku rezultātu aizsargātai grupai, rada netiešu atšķiršanu, kas ir nelikumīga, ja vien to nevar objektīvi pamatot ar likumīgu mērķi, kas tiek sasniegts, izmantojot atbilstošus un nepieciešamus līdzekļus.
Nīderlandes Cilvēktiesību institūts izvērtē sūdzības saskaņā ar šo tiesību aktu un ir publicējis vadlīnijas par algoritmisko diskrimināciju darbā pieņemšanas un atlases procesā. To sākumpunkts ir neērts, bet pareizs: pienākums pierādīt, ka atšķirība ir objektīvi pamatota, gulstas uz sistēmas lietotāju pusi, tāpēc organizācija, kas nevar izskaidrot, kāpēc tās modelis dažādām grupām sasniedz atšķirīgus rezultātus, jau no paša sākuma atrodas vājā pozīcijā.
Neobjektivitāte rodas pa pazīstamiem ceļiem. Apmācības dati atspoguļo vēsturiskus lēmumus, kas paši par sevi bija neobjektīvi; datu kopums nepietiekami pārstāv daļu no populācijas; pazīme darbojas kā aizsargātas pazīmes aizstājējs, tāpat kā pasta indekss bieži vien to dara etniskās piederības gadījumā; un precizitātes optimizācija visā populācijā slēpj sliktu sniegumu minoritātei tajā. Šeit pastāv patiesa spriedze likumdošanā, jo diskriminējošās ietekmes testēšanai bieži vien ir jāapstrādā tieši tie īpašo kategoriju dati, kurus ierobežo noteikumi. Risinājums ir testēšana kontrolētā veidā, ar dokumentētu juridisko pamatu, stingriem piekļuves ierobežojumiem un apkopotiem rezultātiem, nevis izvairīties no testēšanas un cerēt, ka jautājums nekad netiks uzdots.
Nīderlandes pieredze ar riska indikācijas sistēmu, ko izmanto pabalstu krāpšanas atklāšanai, parāda, kas notiek, ja šī sistēma tiek atstāta novārtā. Tiesa atzina pamatā esošos tiesību aktus par pretrunā ar Eiropas Cilvēktiesību konvencijā noteiktajām tiesībām uz privātās dzīves neaizskaramību, jo sistēma nebija pietiekami pārredzama un pārbaudāma, un to nevarēja pārbaudīt attiecībā uz diskriminējošu ietekmi. Mācība, kas izriet no šī sprieduma, ir tāda, ka necaurredzamība pati par sevi ir juridisks defekts, nevis neitrāla tehniska īpašība. Ja algoritmiska kļūda rada kaitējumu, jautājums par to, kas par to ir atbildīgs, ir atsevišķs jautājums, kas tiek apspriests mūsu rakstā par atbildību par mākslīgā intelekta pieļautajām kļūdām , bet krimināltiesību aspekts – mūsu rakstā par mākslīgo intelektu un krimināltiesībām.
Kas pārrauga mākslīgo intelektu un algoritmus Nīderlandē?
Autoriteit Persoonsgegevens ir GDPR uzraudzības iestāde Nīderlandē, un tā piemēro regulu kopā ar valsts īstenošanas aktu Uitvoeringswet AVG, kas aizpilda izvēles iespējas, ko regula atstāj dalībvalstīm, nevis pievieno atsevišķu režīmu. Tās pilnvaras aptver brīdinājumu un rājienu līdz rīkojumam ar soda naudu, apstrādes aizliegumu un administratīvu naudas sodu līdz divdesmit miljoniem eiro vai četriem procentiem no kopējā pasaules gada apgrozījuma, atkarībā no tā, kura summa ir lielāka. Papildus GDPR tā uztur īpašu nodaļu algoritmu uzraudzības koordinēšanai un publicē periodiskus ziņojumus par algoritmiskajiem riskiem Nīderlandē, kas ir skaidrākais pieejamais tās cerību izklāsts. Iestādes darbības princips un darbības princips ir aprakstīts mūsu rakstā par Nīderlandes Datu aizsardzības iestādi.
Mākslīgā intelekta uzraudzība ir apzināti dalīta. Rijksinspectie Digitale Infrastructuur un Autoriteit Persoonsgegevens darbojas kopā kā Mākslīgā intelekta likuma koordinējošās uzraugi, savukārt nozaru regulatori saglabā savas kompetences: finanšu uzraugi banku un apdrošināšanas nozarē izmantotajiem modeļiem, veselības aprūpes inspekcija medicīnas lietojumprogrammām un plašsaziņas līdzekļu iestāde platformām. Nīderlandes Cilvēktiesību institūts aptver vienlīdzīgas attieksmes dimensiju. Organizācijai tas nozīmē, ka vienu sistēmu var novērtēt vairākas iestādes pēc dažādiem pamatiem, kas ir arguments par labu vienai iekšējai lietai, kas sniedz atbildes uz visiem jautājumiem, nevis atsevišķiem atbilstības ceļiem.
Valsts iestādēm ir papildu līmenis. Valdības organizācijas reģistrē algoritmus, ko tās izmanto valsts algoritmu reģistrā, un administratīvajiem lēmumiem, ko atbalsta algoritms, joprojām ir jāatbilst Nīderlandes administratīvo tiesību vispārīgajām prasībām, ka lēmums ir jāsagatavo ar pienācīgu rūpību un tam ir jābūt pienācīgi pamatotam. Argumentācija, kas pielīdzināma apgalvojumam, ka sistēma ir radījusi šo rezultātu, neatbilst šim standartam.
Kā Mākslīgā intelekta likums papildina GDPR
Mākslīgā intelekta likums regulē mākslīgā intelekta sistēmas kā produktus, kas klasificēti pēc riska, ar pienākumiem pakalpojumu sniedzējiem un ieviesējiem. Tas nav datu aizsardzības instruments: tas nerada juridisko pamatu personas datu apstrādei, un tā ievērošana neko nepasaka par atbilstību GDPR. Ja mākslīgā intelekta sistēma apstrādā personas datus, abi režīmi tiek piemēroti paralēli un pilnībā.
Pakāpeniska iedalīšana ir svarīga plānošanā. Aizliegumi attiecībā uz nepieņemamu praksi, tostarp valsts iestāžu veiktu sociālo vērtēšanu un nemērķtiecīgu sejas attēlu nokasīšanu atpazīšanas datubāzu veidošanai, jau ir spēkā, tāpat kā pienākumi attiecībā uz vispārējas nozīmes mākslīgā intelekta modeļiem un pārredzamības pienākumi sistēmām, kas mijiedarbojas ar cilvēkiem vai ģenerē sintētisku saturu. Dziļviltojumi un mākslīgā intelekta ģenerēts teksts, kas publicēts sabiedrības informēšanai, ir jāmarķē. Augsta riska režīms tika atlikts ar digitālo omnibusa paketi: pienākumi attiecībā uz III pielikumā uzskaitītajām augsta riska sistēmām, kas ietver pieņemšanu darbā un atlasi, kredītspējas novērtējumu, izglītību un piekļuvi pamatpakalpojumiem, tagad ir spēkā no 2027. gada 2. decembra, un pienākumi attiecībā uz mākslīgo intelektu, kas ir I pielikumā regulēta produkta drošības sastāvdaļa, tagad ir spēkā no 2028. gada 2. augusta. Atsevišķs priekšlikums par mākslīgā intelekta atbildības direktīvu ir atsaukts, tāpēc mākslīgā intelekta sistēmas radītie zaudējumi tiek risināti saskaņā ar parastajām Nīderlandes līgumtiesībām un deliktu tiesībām un Eiropas produktu atbildības noteikumiem.
Sistēmai, kas gan pieņem lēmumus par cilvēkiem, gan ietilpst augsta riska kategorijā, abi režīmi viens otru pastiprina: GDPR pieprasa datu aizsardzības ietekmes novērtējumu un cilvēka iejaukšanos pēc pieprasījuma, savukārt Mākslīgā intelekta likums pieprasa riska pārvaldības sistēmu, datu pārvaldību, tehnisko dokumentāciju, reģistrēšanu, cilvēka veiktu uzraudzību pēc ieprogrammēšanas un, noteiktiem ieviesējiem, pamattiesību ietekmes novērtējumu. To izveide vienā pasākumā ir ievērojami lētāka nekā divas reizes. Klasifikācijas noteikumi ir izklāstīti mūsu ES Mākslīgā intelekta likuma , augsta riska Mākslīgā intelekta sistēmu ceļvežos un mūsu praktiskajā ceļvedī uzņēmumiem ; plašāks konteksts ir aplūkots mūsu rakstā par mākslīgā intelekta juridisko pusi ES.
Citi digitālie noteikumi, kas piemērojami vienlaikus
Vēl trīs režīmi ir attiecināmi uz algoritmiskajām sistēmām. Digitālo pakalpojumu likums nosaka pārredzamības un riska saistības tiešsaistes platformām, kas izmanto algoritmus satura moderēšanai un ieteikšanai, tostarp pienākumu izskaidrot ieteikšanas sistēmu galvenos parametrus un lielākajām platformām piedāvāt iespēju, kas nav balstīta uz profilēšanu; mēs to aplūkojam savos rakstos par Digitālo pakalpojumu likumu un Digitālo tirgu likumu un par to , kas uzņēmumiem par tiem jāzina . Kibernoturības likums nosaka drošības prasības produktiem ar digitāliem elementiem, kas pakāpeniski tiks ieviestas turpmākajos gados, un pieprasa drošību jau pēc integrācijas un ievainojamību pārvaldību. Savukārt Cyberbeveiligingswet, Nīderlandes NIS2 ieviešanas likums, kas ir spēkā kopš 2026. gada 15. augusta, paredz reģistrāciju NCSC un incidentu paziņošanu divdesmit četru un septiņdesmit divu stundu laikā struktūrām, kas ietilpst tā darbības jomā, līdztekus un neatkarīgi no GDPR pārkāpumu paziņošanas pienākuma; skatiet mūsu NIS2 un Nīderlandes Kiberdrošības likuma pārskatu.
Pārvaldība: kam jābūt iekļautam failā
Atbildība ir pierādīšanas pienākums. Nepietiek tikai ar atbilstību; pārzinim ir jāspēj pierādīt atbilstību, kas algoritmiskā kontekstā nozīmē failu, kas atbilst sistēmai, kāda tā faktiski ir izveidota un izmantota. Lielāko daļu darba veic pieci dokumenti.
Apstrādes darbību reģistrā ir jāapraksta datu plūsmas, kas ir katra modeļa pamatā, tostarp apmācības dati, secinājumu ievades dati un žurnāli, nevis nodaļas, kurām tie pieder. Blakus tiek reģistrēts katras darbības juridiskais pamats, un, ja tiek izmantots šis pamatojums, tiek pievienots leģitīmo interešu novērtējums. Datu aizsardzības ietekmes novērtējums ir obligāts, ja apstrāde var radīt augstu risku, ko regula paredz sistemātiskai un plašai automatizētai personisko aspektu novērtēšanai, uz kuras pamata tiek pieņemti lēmumi ar būtisku ietekmi, liela mēroga īpašu kategoriju apstrādei un publiski pieejamu zonu sistemātiskai uzraudzībai; Nīderlandes uzraudzības iestāde publicē arī to apstrādes darbību sarakstu, kurām vienmēr ir nepieciešams novērtējums. Ja augstu atlikušo risku nevar mazināt, pirms apstrādes uzsākšanas ir jākonsultējas ar iestādi.
Līdzās tiem atrodas iekšējais algoritmu reģistrs, ko arvien vairāk uztur pat privātas organizācijas, jo tas ir vienīgais praktiskais veids, kā atbildēt uz uzraudzības pieprasījumu, un procedūras fizisko personu pieprasījumu apstrādei: piekļuve, labošana, dzēšana, iebildumi un cilvēka iejaukšanās pieprasījums, katrai no tām ir norādīts īpašnieks un termiņš. Datu aizsardzības speciālists ir obligāts valsts iestādēm un organizācijām, kuru pamatdarbība ietver regulāru un sistemātisku uzraudzību plašā mērogā vai īpašu kategoriju apstrādi plašā mērogā, kas aptver ļoti daudzus mākslīgā intelekta ieviešanas gadījumus.
Nekas no tā nedarbojas kā vingrinājums uz papīra. Cilvēkiem, kas veido modeļus, un cilvēkiem, kas novērtē risku, ir jāstrādā ar vienu un to pašu dokumentu, un fails ir jāatjaunina, kad modelis tiek pārkvalificēts vai mainīts tā mērķis, jo būtiski mainīta sistēma ir jauna apstrādes darbība. Kā tas iederas plašākā atbilstības struktūrā, ir apspriests mūsu rakstos par juridiskās atbilstības veidiem un korporatīvās pārvaldības regulējumu , kā arī par Nīderlandes datu aizsardzības ainavu kopumā mūsu ceļvedī par Nīderlandes datu privātuma likumiem.
Pašas sistēmas aizsardzība: intelektuālais īpašums un komercnoslēpumi
Noteikumi, kas aizsargā algoritmu, darbojas pretējā virzienā nekā noteikumi, kas pieprasa tā izskaidrošanu, un abi ir apzināti jāsaskaņo. Datorprogrammas kā tādas ir izslēgtas no patentu aizsardzības, bet mākslīgā intelekta lietojumprogramma, kas sniedz tehnisku risinājumu tehniskai problēmai, principā var tikt patentēta saskaņā ar Nīderlandes Patentu likumu un Eiropas Patentu konvenciju. Autortiesības aizsargā pirmkodu un citu oriģinālu izpausmi saskaņā ar Auteurswet, bet ne pamatā esošo ideju, metodi vai matemātisko paņēmienu. Praksē visvērtīgākā aizsardzība ir likums par komercnoslēpumiem: Wet bescherming bedrijfsgeheimen, kas īsteno Eiropas komercnoslēpumu direktīvu, aizsargā informāciju, kas ir slepena, kam ir komerciāla vērtība, jo tā ir slepena, un uz kuru attiecas saprātīgi pasākumi, lai to saglabātu slepenībā. Tas attiecas uz apmācības datiem, modeļa parametriem un arhitektūru, ja vien šie saprātīgie pasākumi tiek faktiski veikti un dokumentēti. Izpilde notiek civiltiesās, kas var noteikt aizliegumus, pārkāpuma preču atdošanu un zaudējumu atlīdzību; tas nav konkurences iestādes jautājums.
Apmācības dati rada savu autortiesību jautājumu. Nīderlandes autortiesību likuma teksta un datu ieguves izņēmumi, kas īsteno Eiropas direktīvu par autortiesībām digitālajā vienotajā tirgū, atļauj likumīgi pieejamu darbu ieguvi, taču tiesību īpašnieki var paturēt savas tiesības, un vispārējas nozīmes mākslīgā intelekta modeļu nodrošinātājiem saskaņā ar mākslīgā intelekta likumu ir jābūt politikai, kas nodrošina atbilstību ES autortiesību likumam un šādu atrunu ievērošanu. Tāpēc datu ieguvi ierobežo divi atsevišķi režīmi vienlaikus — datu aizsardzība un autortiesības, un viena no tiem tīrīšana neko neliecina par otru. Mūsu ceļvedis par intelektuālā īpašuma tiesībām Nīderlandē un mūsu raksts par komercnoslēpumu aizsardzību detalizēti aplūko šos jautājumus.
Ierobežojums ir tāds pats kā iepriekš minēts: konfidencialitāte neatbrīvo jūs no pienākuma paskaidrot automatizētu lēmumu. Ja abi elementi saduras, uzraudzības iestāde vai tiesa izlemj, kas ir jāatklāj, tāpēc saprātīgais dizaina mērķis ir sistēma, kuras loģiku var aprakstīt principu un faktoru līmenī, neatklājot neko patiesi slepenu.
Biežāk uzdotie jautājumi
Tālāk minētie jautājumi visbiežāk rodas, kad Nīderlandes organizācijas apstrādā personas datus, izmantojot algoritmu. Papildu materiāli par saistītām tēmām ir apkopoti mūsu Nīderlandes IT tiesību ceļvežos.
Kādas ir prasības mākslīgā intelekta sistēmām saskaņā ar GDPR, apstrādājot personas datus Nīderlandē?
Jūsu mākslīgā intelekta sistēmām, apstrādājot personas datus Nīderlandē, ir jāievēro visas GDPR prasības. Jums ir jānosaka likumīgs pamats apstrādei, piemēram, piekrišana, līguma izpilde vai leģitīmas intereses.
Jums jānodrošina, ka personas datu vākšana tiek ierobežota līdz tam, kas nepieciešams jūsu norādītajam mērķim. Jūsu mākslīgā intelekta lietojumprogrammas nedrīkst apstrādāt vairāk datu, nekā nepieciešams to noteikto mērķu sasniegšanai.
Nīderlandes Datu aizsardzības iestāde sagaida, ka jūs uzturēsiet visaptverošu dokumentāciju par savām datu apstrādes darbībām. Jums ir jāreģistrē, kādus datus jūs vācat, kāpēc jūs tos vācat un cik ilgi jūs tos glabājat.
Kā GDPR ietekmē mākslīgā intelekta algoritmu, kas apstrādā sensitīvu informāciju, izstrādi un ieviešanu?
Jums ir jāievēro stingrākas prasības, ja jūsu mākslīgā intelekta sistēmas apstrādā sensitīvas personas datu kategorijas. Tās ietver informāciju par veselību, rasi, reliģiju, politiskajiem uzskatiem vai biometriskos datus.
Pirms sensitīvu datu apstrādes, izmantojot algoritmus, jums ir jāsaņem nepārprotama piekrišana vai jānorāda cits derīgs juridiskais pamatojums . Vispārēja piekrišana šīm datu kategorijām nav pietiekama.
Jūsu izstrādes procesā jāiekļauj papildu drošības pasākumi un aizsardzības pasākumi sensitīvai informācijai. Visā jūsu mākslīgā intelekta sistēmas dzīves ciklā jums jāievieš šifrēšana, piekļuves kontrole un regulāri drošības novērtējumi.
Kādi pasākumi jāveic, lai nodrošinātu pārredzamību mākslīgā intelekta lēmumu pieņemšanā, kas attiecas uz Nīderlandes iedzīvotāju personas datiem?
Jums ir jāsniedz skaidra informācija par to, kā jūsu mākslīgā intelekta sistēmas pieņem lēmumus, kas ietekmē indivīdus. Jūsu lietotājiem ir jāsaprot, kādus datus jūs apkopojat un kā jūsu algoritmi tos izmanto.
Jums vajadzētu dokumentēt sava mākslīgā intelekta modeļa loģiku un lēmumu pieņemšanas procesus vienkāršā valodā. Tehniski skaidrojumi vien neapmierina GDPR pārredzamības prasības.
Kad jūsu mākslīgā intelekta sistēma pieņem automatizētus lēmumus, jums ir jāinformē skartās personas par apstrādi. Jums ir jāpaskaidro šo lēmumu nozīme un iespējamās sekas.
Kādas tiesības saskaņā ar GDPR ir personām Nīderlandē saistībā ar automatizētu lēmumu pieņemšanu?
Fiziskām personām ir tiesības netikt pakļautām lēmumiem, kas balstīti tikai uz automatizētu apstrādi un rada juridiskas vai līdzīgi būtiskas sekas. Ja šie nosacījumi ir piemērojami, jums ir jānodrošina cilvēka iesaistīšanās lēmumu pieņemšanas procesā.
Jūsu lietotāji var pieprasīt cilvēka iejaukšanos, lai pārskatītu automatizētus lēmumus, kas viņus ietekmē. Jums ir jāizveido procedūras šo pieprasījumu apstrādei un jēgpilnas cilvēka uzraudzības nodrošināšanai.
Datu subjekti var apstrīdēt automatizētus lēmumus un pieprasīt paskaidrojumus par iesaistīto loģiku. Jums ir jābūt gatavam sniegt informāciju par to, kā jūsu mākslīgā intelekta sistēma nonāca pie konkrētiem secinājumiem par personām.
Kā GDPR pieprasa, lai mākslīgā intelekta sistēmas Nīderlandes kontekstā būtu izstrādātas tā, lai datu aizsardzība tiktu nodrošināta pēc noklusējuma un integrēti?
Datu aizsardzība ir jāintegrē jūsu mākslīgā intelekta sistēmās jau no pašiem agrākajiem izstrādes posmiem. Privātuma apsvērumi nedrīkst būt tikai pēcapsvērums, kad algoritms ir pabeigts.
Jūsu noklusējuma iestatījumiem ir jānodrošina visaugstākais iespējamais datu aizsardzības līmenis. Lietotājiem nevajadzētu būt jāpielāgo iestatījumi, lai nodrošinātu pamata privātuma aizsardzību.
Jums jāievieš tehniski pasākumi, piemēram, pseidonimizācija un datu minimizēšana visā sistēmas arhitektūrā. Jūsu mākslīgajam intelektam vajadzētu piekļūt un apstrādāt tikai minimālos datus, kas nepieciešami katrai konkrētajai funkcijai.
Kā organizācijas, izmantojot mākslīgo intelektu Nīderlandē, var pierādīt atbilstību GDPR pārskatatbildības principam?
Jums ir jāuztur detalizēta informācija par jūsu datu apstrādes darbībām un mākslīgā intelekta sistēmas darbību. Dokumentācija apliecina, ka esat ņēmuši vērā un ievērojuši GDPR prasības.
Pirms tādu mākslīgā intelekta sistēmu ieviešanas, kas rada augstu privātuma risku, jums jāveic datu aizsardzības ietekmes novērtējumi. Šie novērtējumi identificē iespējamās problēmas.
Jūsu organizācijai ir jāievieš atbilstošas politikas, apmācību programmas un uzraudzības mehānismi mākslīgā intelekta lietošanai. Jums jebkurā laikā jāspēj uzrādīt Nīderlandes Datu aizsardzības iestādei pierādījumus par jūsu pastāvīgajiem atbilstības centieniem.
Cik Law & More var palīdzēt
Law & More konsultē Nīderlandes un starptautiskās organizācijas par mākslīgā intelekta datu aizsardzības aspektiem: novērtē, vai sistēmai piemērojams 22. pants, izstrādā cilvēka veiktu uzraudzību, kas iztur pārbaudi, izstrādā skaidrojumu, kas jāsniedz skartajām personām, veic ietekmes novērtējumus, risina sarunas par apstrādes līgumiem ar modeļu un platformu nodrošinātājiem un atbild uz Autoriteit Persoonsgegevens vai uz personu sūdzībām un prasībām. Ja jūs ieviešat algoritmu, kas pieņem vai atbalsta lēmumus par cilvēkiem, mūsu privātuma juristi ir pieejami, lai pārskatītu failu kopā ar jums, pirms to dara regulators.
Cik Law & More var jums palīdzēt, ir paskaidrots mūsu IT jurists lappuse.
