Lög ESB um gervigreind: hvað gildir nú og hvað er frestað

Reglugerð ESB um gervigreind, (ESB) 2024/1689 , hefur komið til framkvæmda í áföngum frá því að hún tók gildi 1. ágúst 2024: bönnin, reglurnar um almennar gervigreindarlíkön og gagnsæisskyldurnar fyrir spjallþjóna og efni sem myndað er með gervigreind gilda nú þegar. Strangara kerfið, fyrir áhættusama gervigreind, hefur verið frestað með AI Omnibus til 2. desember 2027 fyrir kerfin sem talin eru upp í III. viðauka og til 2. ágúst 2028 fyrir gervigreind í eftirlitsskyldum vörum.

Reglugerð (ESB) 2026/1744 um gervigreind var birt í Stjórnartíðindum ESB í júlí 2026 og er nú í gildi. Þessar frestaðu dagsetningar eru því lögfestar en ekki skipulagslegar forsendur.

Hvað eru gervigreindarlög ESB?

Lögin um gervigreind eru áhættumiðuð reglugerð ESB: því meiri sem áhættan sem gervigreindarkerfi hefur í för með sér, því þyngri eru skyldurnar. Þau gilda beint í Hollandi, án þess að þörf sé á hollenskum innleiðingarlögum fyrir grunnreglurnar.

Í lögunum er gervigreindarkerfi skilgreint á víðum nótum, í samræmi við nálgun OECD. Það er vélrænt kerfi sem starfar með einhverju sjálfstæði, getur aðlagað sig eftir að það er sett upp og, út frá þeim inntaki sem það fær, leiðir það til að búa til úttak eins og spár, efni, ráðleggingar eða ákvarðanir sem geta haft áhrif á efnislegt eða sýndarlegt umhverfi. Einfaldur reglubundinn hugbúnaður sem fylgir aðeins leiðbeiningum sem fólk hefur skrifað fellur almennt utan þess.

Á lög um gervigreind við um fyrirtækið þitt?

Líklega ef þú þróar, selur eða notar gervigreindarkerfi í faglegum samhengi innan ESB. Lögin ná einnig til fyrirtækja utan ESB þegar kerfi þeirra er sett á markað innan ESB eða afrakstur þess er notaður innan ESB.

Bandarískt eða breskt fyrirtæki sem þjónustar evrópska viðskiptavini getur því fallið undir gildissviðið. Lögin gera greinarmun á nokkrum hlutverkum, hvert með sínum eigin skyldum:

• Þjónustuaðilar þróa gervigreindarkerfi eða almenna gervigreindarlíkan og setja það á markað eða taka það í notkun undir eigin nafni eða vörumerki. Þeir bera þyngstu skyldurnar.
• Dreifingaraðilar nota gervigreindarkerfi undir sínu valdi í faglegu samhengi, til dæmis þegar vinnuveitandi notar gervigreindartól til að skima umsækjendur um störf. Eingöngu persónuleg, ófagleg notkun fellur utan þessara skyldna.
• Innflytjendur og dreifingaraðilar koma með kerfi frá þriðja aðila á markað í ESB eða gera það aðgengilegt lengra niður í framboðskeðjunni og verða að ganga úr skugga um að birgjarinn hafi uppfyllt skyldur sínar.
• Framleiðendur vöru og í sumum tilfellum viðurkenndir fulltrúar þjónustuaðila utan ESB geta tekið að sér skyldur þjónustuaðila.

Hlutverk þitt getur breyst. Dreifingaraðili sem breytir verulega áhættusömu kerfi eða markaðssetur það undir eigin nafni verður þjónustuaðili og tekur að sér strangari skyldur. Athugaðu þetta áður en þú sérsníður kerfi sem keypt er frá söluaðila.

Hvernig flokkar lög um gervigreind áhættu?

Lögin vinna með fjögur áhættustig: bönnuð starfsemi, mikil áhætta, takmörkuð áhætta með gagnsæisskyldum og lágmarksáhætta. Áhættustigið fer eftir tilgangi notkunar kerfisins, ekki tækninni á bak við það.

Bönnuð starfsemi

Sum notkun er alfarið bönnuð samkvæmt 5. grein, og þessi bönn hafa verið í gildi frá 2. febrúar 2025. Meðal þeirra eru stjórnun eða blekkingaraðferðir sem raska hegðun verulega og valda verulegu tjóni, og nýting veikleika sem tengjast aldri, fötlun eða félagslegri og efnahagslegri stöðu. Einnig er bannað að nota félagslega stigagjöf, ómarkvissa skrapun andlitsmynda til að byggja upp gagnagrunna um greiningu, tilfinningagreining á vinnustað og í menntun (nema af læknisfræðilegum eða öryggisástæðum) og líffræðileg flokkun sem gefur til kynna viðkvæm einkenni eins og trúarbrögð eða kynhneigð.

Rauntíma fjarlæg líffræðileg auðkenning á almannafæri fyrir löggæslu er bönnuð, með þröngum undantekningum með öryggisráðstöfunum. Gervigreindaráætlunin bætir við nýju banni við gervigreindarkerfum sem búa til kynferðislegt ofbeldisefni gegn börnum eða persónugreinanlegar myndir af fólki án samþykkis.

Mikil áhætta

Hááhættukerfi eru leyfð en undir ströngum reglum. Þau eru í tveimur flokkum. Viðauki I fjallar um gervigreind sem er öryggisþáttur í, eða er sjálf vara sem þegar er undir eftirliti ESB um vörur, svo sem lækningatæki, vélar, lyftur og leikföng. Viðauki III telur upp sjálfstæða notkun á viðkvæmum sviðum: líffræðileg gögn, mikilvæg innviði, menntun, atvinnumál og starfsmannastjórnun, aðgang að nauðsynlegum opinberum og einkareknum þjónustum svo sem lánum og tryggingum, löggæslu, fólksflutninga og landamæraeftirliti og réttarfars- og lýðræðisferlum.

Kerfi sem er skráð í III. viðauka telst ekki áhættusamt ef það framkvæmir aðeins þröngt verklags- eða undirbúningsverkefni og hefur ekki veruleg áhrif á niðurstöðu ákvörðunar. Sú undantekning er þröng og þjónustuaðili sem treystir á hana verður að skjalfesta mat sitt.

Takmörkuð áhætta: gagnsæi

Sum kerfi eru ekki áhættusöm en geta villt fólk. Þau bera gagnsæisskyldu samkvæmt 50. grein kerfisins. Fólki verður að vera tilkynnt þegar það hefur samskipti við spjallþjóna, efni sem hefur verið búið til eða meðhöndlað með gervigreind verður að vera birt og merkt og fólki verður að vera tilkynnt þegar það er útsett fyrir leyfilegri tilfinningagreiningu eða líffræðilegri flokkun.

Lágmarksáhætta

Flest gervigreind, svo sem ruslpóstsíur, tilmælisvélar og gervigreind í tölvuleikjum, fellur undir þennan flokk. Lögin leggja engar sérstakar skyldur hér, þó að hvatt sé til sjálfviljugra siðareglna og almenna skyldan um gervigreindarlæsi í 4. grein gildir enn.

Hvenær gilda skyldurnar?

Lögin gilda í áföngum. Bönnin, skyldan um læsi á gervigreind, reglurnar um almenna gervigreind og gagnsæisskyldurnar gilda nú þegar; reglurnar um hááhættu taka gildi í desember 2027 og ágúst 2028.

Frá og með 2. ágúst 2026 hafa gagnsæisskyldur gildað að fullu; aðeins skapandi gervigreindarkerfi sem þegar eru á markaði fyrir þann dag hafa frest til 2. desember 2026 fyrir véllesanlegar merkingar. Aukatíminn fyrir áhættusama gervigreind er frestun, ekki undanþága: það tekur mánuði að smíða tæknilega skrá, stýra áhættu og hafa eftirlit með fólki.

Hvað verða birgjar, dreifingaraðilar og innflytjendur að gera?

Þeir sem bjóða upp á kerfi með mikilli áhættu bera meginbyrðina og verða að sanna að kerfið sé í samræmi við kröfur áður en það kemur á markað. Þeir sem setja upp kerfið verða að nota það rétt, hafa eftirlit með því og upplýsa þá sem það varðar.

Þeir sem bjóða upp á áhættusamar kerfi verða að setja upp áhættustjórnunarkerfi sem nær yfir allan líftíma kerfisins, beita gagnastjórnun, geyma tæknileg skjöl, innleiða sjálfvirka skráningu og eftirlit með fólki og ná viðeigandi nákvæmni, traustleika og netöryggi. Áður en kerfið er sett á markað ljúka þeir samræmismati, ESB-samræmisyfirlýsingu, CE-merkingu og skráningu í gagnagrunn ESB og að lokum fylgjast þeir með kerfinu og tilkynna alvarleg atvik.

Þeir sem setja upp kerfi með mikilli áhættu verða að nota kerfið í samræmi við leiðbeiningar þjónustuveitunnar, fela hæfu starfsfólki eftirlit með mönnum, tryggja að inntaksgögn séu viðeigandi, fylgjast með rekstri og halda skrám. Þar sem þörf krefur verða þeir að upplýsa þá sem verða fyrir áhrifum. Opinberir aðilar og ákveðnir einkareknir uppsetningaraðilar, til dæmis í lánshæfismati og verðlagningu trygginga, verða að framkvæma mat á áhrifum grundvallarréttinda. Vinnuveitendur verða að upplýsa starfsmenn og fulltrúa þeirra áður en þeir taka kerfi með mikilli áhættu í notkun á vinnustað.

Skyldan um læsi á gervigreind í 4. grein á við um alla þjónustuaðila og dreifingaraðila. Í umfjöllun um gervigreind hefur orðalagið verið mildað: stofnanir verða nú að grípa til ráðstafana til að styðja við nægilegt stig læsis á gervigreind meðal starfsfólks síns. Sú vænting er enn til þess að fólk sem vinnur með gervigreind skilji hvað hún gerir og hvar hún getur farið úrskeiðis.

Hvað á við um almennar gervigreindarlíkön?

Þeir sem bjóða upp á almennar gervigreindarlíkön (GPAI) hafa haft sínar eigin skyldur frá 2. ágúst 2025. Líkön með kerfisáhættu standa frammi fyrir viðbótarskyldum.

Samkvæmt 53. til 55. grein verða allir veitendur GPAI að viðhalda tæknilegum skjölum, birta nægilega ítarlega samantekt á efni sem notað er í þjálfun, hafa stefnu um að fara að höfundarréttarlögum ESB og veita fyrirtækjum sem byggja á líkaninu upplýsingar. Veitendur líkana með kerfisáhættu verða einnig að meta líkön sín, þar á meðal andstæðingaprófanir, meta og draga úr kerfisáhættu, rekja og tilkynna alvarleg atvik og tryggja öflugt netöryggi. Að fylgja opinberum almennum starfsháttum um gervigreind er viðurkennd leið til að sýna fram á samræmi. Skrifstofa gervigreindar framkvæmdastjórnar Evrópusambandsins hefur beint eftirlit með þessum veitendum.

Hvaða gagnsæisskyldur gilda nú?

Frá og með 2. ágúst 2026 krefst 50. grein laga um notkun gervigreindar að fólk viti hvenær það er að eiga við gervigreind. Þetta á við um spjallþjóna, efni sem er búið til með gervigreind og djúpfölsun, og um tilfinningagreiningu og flokkun líffræðilegra auðkenna.

Þeir sem bjóða upp á spjallþjóna og samræðuþjóna verða að gera það ljóst að notandinn sé að hafa samskipti við vél, nema það sé augljóst. Þeir sem bjóða upp á kerfi sem búa til tilbúið hljóð, myndir, myndbönd eða texta verða að merkja úttakið á vélalesanlegu sniði svo hægt sé að greina það sem tilbúið. Þeir sem birta djúpfölskanir verða að upplýsa um að efnið hafi verið búið til eða meðhöndlað með tilbúnum hætti, og þeir sem birta texta sem er búinn til með gervigreind um málefni sem varða almannahagsmuni verða að upplýsa um þetta nema aðili hafi skoðað hann og beri ritstjórnarlega ábyrgð. Þeir sem bjóða upp á leyfilega tilfinningagreiningu eða líffræðilega flokkun verða að upplýsa þá sem verða fyrir því.

Hverjar eru sektirnar samkvæmt lögum um gervigreind?

Sektir eru háðar tegund brots og eru settar fram í 99. grein. Fyrir hvern flokk gildir sú hærri af föstu upphæðinni eða veltuhlutfallinu.

• Bönnuð starfsemi (5. grein): allt að 35 milljónum evra eða 7% af árlegri veltu um allan heim, hvort sem er hærra.
• Brot á flestum öðrum skyldum, þar á meðal kröfum um mikla áhættu og gagnsæisskyldum: allt að 15 milljónum evra eða 3% af árlegri veltu um allan heim.
• Að veita tilkynntum aðilum eða yfirvöldum rangar, ófullkomnar eða villandi upplýsingar: allt að 7.5 milljónum evra eða 1% af árlegri veltu á heimsvísu.

Fyrir lítil og meðalstór fyrirtæki og sprotafyrirtæki er sektin háð því sem lægra er af föstu upphæðinni eða prósentunni. AI Omnibus útvíkkar fjölda þessara ívilnana til lítilla og meðalstórra fyrirtækja. Sektir eru ekki eina tækið: markaðseftirlitsyfirvöld geta krafist leiðréttingaraðgerða, takmarkað eða bannað aðgengi að kerfi og fyrirskipað að það verði tekið úr gildi eða innkallað.

Hvernig tengist lögin um gervigreind GDPR og netöryggisreglugerðinni?

Lögin um gervigreind bætast við gildandi lög. Ef gervigreindarkerfið þitt vinnur persónuupplýsingar gildir GDPR að fullu og ef þú veitir nauðsynlega eða mikilvæga þjónustu gilda hollensk netöryggislög einnig.

Samkvæmt GDPR þarftu lagalegan grundvöll, þú verður að virða tilgangstakmarkanir og réttindi skráðra aðila og þú þarft oft að framkvæma áhrifamat á persónuvernd (DPIA). Áhrifamat á grundvallarréttindi samkvæmt lögum um gervigreind og DPIA skarast, þannig að það er skilvirkt að framkvæma þau saman.

Netöryggislögin (Cyberbeveiligingswet), sem innleiða NIS2-tilskipun ESB, hafa verið í gildi í Hollandi frá 15. ágúst 2026. Þau bæta við skyldum varðandi áhættustýringu og atvikatilkynningar fyrir nauðsynlega og mikilvæga aðila, sem styrkir kröfur gervigreindarlaganna um áreiðanleika og öryggi.

Hver framfylgir lögum um gervigreind í Hollandi?

Almenn gervigreindarlíkön eru undir eftirliti gervigreindarskrifstofunnar í Brussel; allt annað er framfylgt af innlendum markaðseftirlitsyfirvöldum. Í Hollandi er löggjöfin um tilnefningu þessara yfirvalda enn í vinnslu.

Á vettvangi ESB hefur gervigreindarskrifstofa framkvæmdastjórnar Evrópusambandsins eftirlit með almennum gervigreindarlíkönum beint og vinnur með Evrópsku gervigreindarnefndinni. Gervigreindarumhverfið (AI Omnibus) útvíkkaði valdsvið sitt til gervigreindarkerfa sem byggð eru á eigin GPAI líkani þjónustuveitanda og til gervigreindar á mjög stórum netpöllum og leitarvélum.

Lögin um gervigreind gilda beint, þannig að fyrirtæki eru þegar bundin af þeim hlutum sem gilda. Hollenska lögin, sem tilnefna eftirlitsaðila og valdsvið þeirra, hafa hins vegar ekki enn tekið gildi og endanleg úthlutun getur enn breyst. Líkanið sem lagt er til hingað til er blandað. Núverandi eftirlitsaðilar í geiranum verða markaðseftirlitsyfirvöld á sínu sviði, þannig að gervigreind í heilbrigðisþjónustu fellur undir heilbrigðiseftirlitið og gervigreind á vinnustað undir vinnueftirlitið. Hollenska persónuverndarstofnunin (Autoriteit Persoonsgegevens, AP) og hollenska stofnunin fyrir stafræna innviði (Rijksinspectie Digitale Infrastructuur, RDI) gegna samræmingarhlutverki, þar sem AP gegnir hlutverki eftirlitsaðila fyrir kerfi með mikilli áhættu sem hafa engan augljósan eftirlitsaðila fyrir geirann.

Hvaða misskilninga ættir þú að forðast?

Fjórir misskilningar leiða reglulega til þess að stofnanir eyða kröftum sínum á röngum stað.

Í fyrsta lagi fjarlægir undirskrift mannslíkamans merkimiðann sem sýnir mikla áhættu. Það gerir hún ekki. Undantekningin fyrir þröng verklags- eða undirbúningsverkefni er þröng. Tól sem raðar umsækjendum um störf eða velur skrár til nánari skoðunar hefur áhrif á ákvörðunina jafnvel þótt einstaklingur undirriti. Stimpill er ekki eftirlit mannslíkamans og tekur ekki kerfi úr viðauka III.

Í öðru lagi er það að einungis forritarar eru undir eftirliti. Skyldur dreifingaraðila eru raunverulegar og hægt er að framfylgja þeim stofnunum sem nota kerfið. Sumar þeirra, svo sem að upplýsa starfsmenn og fulltrúa þeirra, úthluta hæfu eftirliti og halda skrár, er ekki hægt að færa yfir á söluaðila.

Í þriðja lagi er allt sem þegar er í notkun undanþegið. Samkvæmt 111. grein eru kerfi með mikla áhættu, sem sett eru á markað áður en reglur um mikla áhættu taka gildi, í meginatriðum aðeins undir þeim fallin ef hönnun þeirra breytist verulega eftir það. Sú undantekning er þrengri en hún hljómar: uppfærslur, endurþjálfun og ný notkun eru einmitt sú tegund breytinga sem færa kerfi aftur undir gildissviðið. Kerfi sem opinberir aðilar nota verða að uppfylla skilyrðin fyrir 2. ágúst 2030, óháð því. Ef þú hyggst reiða þig á bráðabirgðaregluna skaltu skrá núverandi stillingu núna.

Í fjórða lagi kemur lögin um gervigreind í stað gildandi laga. Þau koma ofan á þau. Persónuvernd, jafnréttislög, neytendalög, reglugerðir um atvinnugreinina, vinnulög og réttindi starfsmannaráðs (ondernemingsraad) gilda enn að fullu. Í Hollandi er það yfirleitt eitt af þessum lögum, ekki sjálf lögin um gervigreind, sem leiðir til fyrstu raunverulegu kvörtunarinnar. Samkvæmt 27. gr. (1)(l) laga um starfsmannaráð (Wet op de ondernemingsraden), til dæmis, þarf samþykki starfsmannaráðsins til að innleiða kerfi til að fylgjast með starfsfólki.

Hvað ættir þú að athuga sem þjónustuaðili?

• Hvort hvert kerfi sem þú setur á markað í ESB sé bannað, áhættusamt, háð 50. grein eða lágmarksáhættu.
• Fyrir skapandi gervigreind sem kemur á markað fyrir 2. ágúst 2026: véllesanleg merking á úttaki fyrir 2. desember 2026.
• Fyrir kerfi með mikla áhættu: áhættustjórnun, gagnastjórnun, tæknileg skjölun, skráning og eftirlit manna fyrir 2. desember 2027 (viðauki III).
• Samræmismat, samræmisyfirlýsing ESB, CE-merking og skráning í gagnagrunn ESB.
• Ef þú þróar almennar gerðir: skjölun, samantekt á þjálfunarefni og höfundarréttarstefnu samkvæmt 53. til 55. grein.

Hvað ættir þú að athuga sem dreifingaraðili?

• Skrá yfir öll gervigreindarkerfi sem þú notar, þar á meðal gervigreind sem er innbyggð í hugbúnað þriðja aðila, ásamt áhættustigi þeirra.
• Að engin notkun falli undir bönn 5. greinarinnar, svo sem tilfinningagreining á vinnustað.
• Hvort sem þú hefur orðið þjónustuaðili með því að breyta kerfi verulega eða markaðssetja það undir þínu eigin nafni.
• Upplýsingagjöf um spjallþjóna, djúpfölskanir og texta sem búinn er til með gervigreind samkvæmt 50. grein og ráðstafanir til að auka læsi á gervigreind samkvæmt 4. grein.
• Samþykki starfsmannaráðs samkvæmt 27. gr. (1)(l) í starfsreglugerðinni áður en gervigreind sem fylgist með starfsfólki er tekin upp, og mat á persónuvernd samkvæmt persónuverndarreglugerðinni.

Hvað getum við gert fyrir þig með gervigreindarlögunum?

Við ráðleggjum þjónustuaðilum og dreifingaraðilum um samræmi við lögum um gervigreind ásamt GDPR og vinnulöggjöf. Í skrá okkar yfir hollenskar leiðbeiningar um upplýsingatækni og persónuvernd er að finna tengdar greinar.

• Við flokkum gervigreindarkerfin ykkar eftir áhættustigi og ákvörðum hlutverk ykkar fyrir hvert og eitt.
• Við förum yfir samninga við birgja varðandi úthlutun skyldna og ábyrgðar samkvæmt lögum um gervigreind.
• Við semjum gagnsæistilkynningarnar sem krafist er samkvæmt 50. gr.
• Við sameinum áhrifamat á grundvallarréttindi við mat á persónuvernd samkvæmt GDPR.
• Við undirbúum beiðni um samþykki starfsmannaráðs og höldum samráðinu.

Yfirlit

• Reglugerð ESB um gervigreind (reglugerð (ESB) 2024/1689) hefur verið í gildi frá 1. ágúst 2024 og gildir í áföngum.
• Bönnin, læsi í gervigreind, reglur um GPAI og gagnsæisskyldur gilda nú þegar; merkja skal úttak úr eldri kerfum fyrir 2. desember 2026.
• Reglugerð (ESB) 2026/1744 um gervigreind hefur frestað reglum um háa áhættu til 2. desember 2027 (viðauki III) og 2. ágúst 2028 (viðauki I).
• Sektir geta numið allt að 35 milljónum evra eða 7% af heimsveltu; fyrir lítil og meðalstór fyrirtæki gildir lægri upphæðin.
• Lögin um gervigreind koma ofan á GDPR, Cyberbeveiligingswet og vinnulöggjöf; skipuleggið eftirlit sem eitt verkefni.

Algengar spurningar