Persónuverndarreglugerðin (GDPR) og gervigreind í Hollandi sameinast á einum stað: um leið og reiknirit vinnur úr upplýsingum um persónugreinanlegan einstakling gildir almenna persónuverndarreglugerðin að fullu, óháð tækni og hver sem bjó hana til. Það þýðir lagalegan grundvöll fyrir hverja vinnsluaðgerð, upplýsingar til viðkomandi einstaklinga um rökfræði kerfisins, rétt til mannlegrar íhlutunar þegar ákvörðun er tekin eingöngu af vélinni og skjalfest áhættumat fyrir innleiðingu. Autoriteit Persoonsgegevens framfylgir þessum skyldum og gervigreindarlög ESB bæta við sérstöku öryggislagi vörunnar ofan á þær án þess að koma í stað neins af því.
Þessi grein fjallar um rekstrarhliðina: hvað fyrirtæki þarf að gera þegar persónuupplýsingar flæða í gegnum gervigreindarforrit. Fyrri spurningin um hvernig réttlæta eigi að setja saman stórt gagnasafn í fyrsta lagi, og hvernig samhæfingarprófið virkar þegar gögn sem safnað er í einum tilgangi eru endurnýtt til að þjálfa líkan, er fjallað sérstaklega um í grein okkar um GDPR og stór gögn.
Þegar gervigreindarkerfi fellur undir gildissvið GDPR
Reglugerðin er tæknilega hlutlaus. Hún spyr ekki hvort kerfi sé ákvarðanatré, tölfræðilegt líkan eða stórt tungumálalíkan; hún spyr hvort persónuupplýsingar séu unnar. Þeim þröskuldi er farið yfir á þremur aðskildum tímum í lífi gervigreindarforrits og hver þeirra þarfnast sinnar eigin greiningar.
Hið fyrra er þjálfun. Ef þjálfunarsettið inniheldur upplýsingar sem tengjast persónugreinanlegum einstaklingum, þá er samsetning og notkun þess vinnsla, og sú staðreynd að úttakið er líkan frekar en gagnagrunnur breytir engu um það. Hið annað er ályktun. Sérhver fyrirspurn, fyrirspurn eða inntaksfærsla sem inniheldur persónuupplýsingar er vinnsluaðgerð, og það sama á við um úttakið þar sem það segir eitthvað um persónugreinanlegan einstakling. Hið þriðja er skráning. Ályktunarskrár, endurgjafarfærslur og matsgagnasöfn innihalda oft fleiri persónuupplýsingar en þjálfunarsettið og þeim er reglulega gleymt í skránni yfir vinnslustarfsemi.
Algeng misskilningur er að þjálfað líkan sé samkvæmt skilgreiningu nafnlaust. Það er það ekki. Líkan getur geymt persónuupplýsingar á formi sem hægt er að draga út og hvort svo er er staðreyndaspurning sem þarf að meta fyrir hvert líkan. Persónuverndarnefnd Evrópu komst að þeirri niðurstöðu í áliti sínu um gervigreindarlíkön í lok árs 2024 og bætti við atriði sem skiptir máli í viðskiptalegum tilgangi: þar sem líkan var þjálfað á ólöglega unnin persónuupplýsingar getur það ólögmæti haft áhrif á lögmæti þess að nota líkanið, nema hægt sé að sýna fram á að líkanið sjálft sé í raun nafnlaust. Grundvöllur reglugerðarinnar er settur fram í inngangi okkar að persónuverndarlögum og í yfirliti okkar yfir almennu persónuverndarreglugerðina.
Hver ber ábyrgð og fyrir hvaða hluta
Ábyrgð fylgir ákvarðanatökunni, ekki tækninni. Sá aðili sem ákvarðar tilgang og aðferðir vinnslunnar er ábyrgðaraðilinn; aðili sem vinnur aðeins samkvæmt skjalfestum fyrirmælum er vinnsluaðili. Í gervigreindarkeðju breytast þessi hlutverk skref fyrir skref: söluaðili líkans er venjulega ábyrgðaraðili fyrir eigin þróun og vinnsluaðili fyrir notkun viðskiptavinarins, og þar sem báðir aðilar ákveða tilgang saman eru þeir sameiginlegir ábyrgðaraðilar og verða að skrá hvernig skuldbindingarnar sem af því hlýst skiptast. Munurinn og afleiðingar hans eru útskýrðir í grein okkar um hlutverk ábyrgðaraðila og vinnsluaðila og samningsbundna hliðina í leiðbeiningum okkar um gagnavinnslusamninginn.
Tvær ákvæði skera úr flestum þessara spurninga í reynd. Ef birgir hefur leyfi til að nota innslátt viðskiptavina til að bæta sína eigin líkan, þá starfar hann sem ábyrgðaraðili í þeim tilgangi og þú ert að afhenda honum persónuupplýsingar. Ef hann reiðir sig á undirvinnsluaðila eða innviði utan Evrópska efnahagssvæðisins gilda reglur um flutning í V. kafla reglugerðarinnar og þörf er á flutningsferli ásamt mati. Hvorugt atriðið er hægt að leysa eftir að gagnamagn hefur verið tekið í notkun.
Sjálfvirk ákvarðanataka og rétturinn til mannlegrar íhlutunar
22. grein GDPR er sú ákvæði sem bitnar harðast á gervigreindarforritum. Hún veitir hverjum einstaklingi rétt til að vera ekki háður ákvörðun sem byggist eingöngu á sjálfvirkri vinnslu, þar á meðal persónusniðun, sem hefur réttaráhrif fyrir þá eða hefur álíka veruleg áhrif á þá. Ef þetta er lesið sem bann frekar en sem andmælaréttur, eins og dómstóllinn túlkar það, þýðir þetta að slíkar ákvarðanir eru alls ekki heimilar nema ein af þremur undantekningum eigi við: ákvörðunin sé nauðsynleg til að ganga til eða efna samning, hún sé heimiluð samkvæmt lögum Sambandsins eða aðildarríkis með viðeigandi verndarráðstöfunum, eða hún sé byggð á skýru samþykki viðkomandi einstaklings.
Þrír þættir ráða því hvort greinin eigi við. Ákvörðunin verður að byggjast eingöngu á sjálfvirkri vinnslu, sem ekki er hægt að hafna með táknrænni mannlegri staðfestingu; sá sem í hlut á verður að hafa raunverulegt vald og verður að vega og meta niðurstöðuna í raun. Áhrifin verða að vera lögleg eða svipuð mikilvæg, sem nær yfir höfnun láns, höfnun atvinnuumsóknar, uppsögn þjónustu, höfnun tryggingakröfu og sjálfvirkar svikamerki sem loka fyrir viðskiptavin. Og ákvörðunin verður að snúast um einstaklinginn, og þess vegna falla almennar verðlagningarreglur utan greinarinnar en einstaklingsbundin einkunnagjöf fellur undir hana.
Hæstiréttur Evrópu hefur gert þetta lengra en margar stofnanir gera ráð fyrir. Þegar fyrirtæki reiknar út einkunn fyrir einstakling og þriðji aðili styðst mjög við þá einkunn við ákvörðun um hvort gera eigi samning, þá er gerð einkunnarinnar sjálfvirk ákvörðun í skilningi 22. gr. Með öðrum orðum getur sá sem gefur einkunn ekki falið sig á bak við þá staðreynd að formlega ákvörðunin er tekin af viðskiptavininum. Fyrir hollensk fyrirtæki sem kaupa lánshæfiseinkunnir, svika- eða áhættumat breytir þetta spurningunni um hvort þau taki sjálfvirkar ákvarðanir og hvort birgir þeirra geri það.
Þar sem ein af undantekningunum á við eru verndarráðstafanirnar skyldubundnar og sértækar: að lágmarki rétturinn til að fá mannlega íhlutun, rétturinn til að tjá sjónarmið sín og rétturinn til að kæra ákvörðunina. Það þýðir virkt, mannaflað og skjalfest ferli, ekki pósthólf. Sérstakir gagnaflokkar mega aðeins vera notaðir í slíkum ákvörðunum á grundvelli skýrs samþykkis eða verulegra almannahagsmuna, og ákvarðanir af þessu tagi mega ekki vera teknar varðandi börn.
Hvernig eftirlit manna í raun og veru ætti að líta út
Það er þroskandi þátttaka manna sem veldur flestum bilunum. Yfirlesari sem sér aðeins niðurstöður líkansins og tillögur, hefur engan aðgang að undirliggjandi gögnum, er mældur á afköstum og hnekkir kerfinu í hverfandi hluta tilfella, hefur ekki eftirlit í þeim skilningi sem reglugerðin krefst. Árangursríkt eftirlit þýðir að yfirlesarinn hefur hæfni og heimild til að komast að annarri niðurstöðu, sér upplýsingarnar sem líkanið notaði, skráir ástæður fyrir staðfestingu eða frávikum frá niðurstöðunni og er fylgst með því hversu oft og hvers vegna frávik eiga sér stað. Þessar tölfræðiupplýsingar um hnekki eru einnig það fyrsta sem rannsakandi mun biðja um.
Gagnsæi: það sem þú verður að segja fólki um reiknirit
Þegar sjálfvirk ákvarðanataka í skilningi 22. gr. á sér stað, þá krefjast upplýsingaskyldan í 13. og 14. gr. og rétturinn til aðgangs í 15. gr. þess að þú upplýsir um tilvist sjálfvirkrar ákvarðanatöku, marktækar upplýsingar um rökfræðina sem um ræðir og þýðingu og fyrirhugaðar afleiðingar vinnslunnar fyrir viðkomandi einstakling. Sú skylda á við um söfnun og aftur eftir beiðni.
Markmiðsbundnar upplýsingar um rökfræðina þýða ekki að birta frumkóða eða líkanþyngdir, og það þýðir ekki stærðfræðilega lýsingu sem enginn leikmaður getur fylgt. Dómstóllinn hefur komist að þeirri niðurstöðu að viðkomandi eigi rétt á skýringu á aðferðinni og meginreglunum sem í raun eru notaðar, nógu skýrt til að hann geti skilið hvaða persónuupplýsingar hans voru notaðar og á hvaða hátt, svo að hann geti kannað nákvæmni gagnanna og áfrýjað ákvörðuninni. Lýsing á flokkum gagna sem notaðir voru, hlutfallslegu vægi þeirra, þröskuldum sem beitt var og áhrifum mismunandi gilda er sú tegund skýringar sem uppfyllir þetta.
Viðskiptaleynd er þáttur en ekki trompkort. Þegar ábyrgðaraðili telur að það að gefa skýringar myndi afhjúpa viðskiptaleyndarmál eða réttindi annarra, getur hann ekki einfaldlega neitað: hann verður að afhenda eftirlitsyfirvaldinu eða dómstólnum upplýsingarnar sem eru taldar verndaðar, sem síðan vega og meta hagsmuni og ákvarða hvað þarf að upplýsa. Að byggja upp kerfi sem ekki er hægt að útskýra rökfræðina fyrir skapar því lagalegt vandamál frekar en tæknilega afsökun. Umfang aðgangsréttarins sjálfs er rætt í grein okkar um aðgangsrétt samkvæmt 15. gr.
Gagnsæi hefur einnig skýrari vídd. Persónuverndaryfirlýsingar sem lýsa tilgangi á nógu víðtæku máli til að ná yfir hvað sem er eru meðhöndlaðar af hollensku eftirlitsyfirvöldunum sem brot í sjálfu sér, og verulegur hluti af nýlegri framfylgd þeirra hefur einmitt snúist um það. Leiðbeiningar okkar um persónuverndarstefnu í Hollandi setja fram hvernig á að lýsa reikniritvinnslu á bæði nákvæman og læsilegan hátt, og sama meginreglan gildir um innri tilkynningar, til dæmis þar sem kerfi eru notuð til að fylgjast með starfsmönnum eða til myndavélaeftirlits á vinnustað.
Gögnin sem þú sendir kerfið og gögnin sem það framleiðir
Löglegur grundvöllur er nauðsynlegur fyrir hverja vinnsluaðgerð í keðjunni og grundvöllur þjálfunar er ekki sjálfkrafa grundvöllur fyrir innleiðingu. Samþykki, nauðsyn samnings og lögmætir hagsmunir eru þrír raunhæfir þættir og þarf að meta og skrá hvort tveggja áður en vinnsla hefst. Þegar byggt er á lögmætum hagsmunum þarf að skrifa niður þriggja þrepa mat á hagsmunum, nauðsyn og jafnvægi; eingöngu viðskiptahagsmunir geta talist viðeigandi, eins og Hæstiréttur staðfesti í hollensku máli árið 2024, en aðeins ef vinnslan er raunverulega nauðsynleg og jafnvægið helst.
Tveir flokkar innsláttar verðskulda sérstaka meðferð. Sérstakir flokkar persónuupplýsinga, þar á meðal heilsufarsupplýsingar, líffræðileg gögn sem notuð eru til auðkenningar og gögn sem leiða í ljós þjóðerni, stjórnmálaskoðanir, trúarbrögð, aðild að verkalýðsfélagi eða kynhneigð, má ekki vinna nema skilyrði í 9. gr. eigi við; raunhæfar leiðir eru skýrt samþykki og, í þröngum tilvikum, veruleg almannahagsmunir sem kveðið er á um í lögum. Gildran er ályktun: þegar líkan leiðir verndað einkenni af venjulegum gögnum gildir strangari kerfið jafnvel þótt enginn hafi safnað því einkenni. Sérstakar reglur um líffræðileg auðkenningu eru settar fram í grein okkar um líffræðileg gögn og samræmi við GDPR.
Annar flokkurinn eru gögn sem eru tekin úr eða aðgengileg almenningi. Sú staðreynd að upplýsingar er að finna á netinu gerir notkun þeirra ekki lögmæta. Þú þarft samt sem áður grundvöll og við mat á upplýsingum verður að taka tillit til þess að einstaklingurinn hefur engin tengsl við þig, var ekki upplýstur um það og bjóst ekki við að gögn hans yrðu notuð í þessum tilgangi. Þegar gögn eru fengin frá öðrum aðila en einstaklingnum sjálfum gildir upplýsingaskyldan í 14. gr., með takmörkuðum undantekningum.
Oftast fer fyrirtæki úrskeiðis með úttakið. Ályktun sem líkan dregur af sér um persónugreinanlegan einstakling eru persónuupplýsingar um viðkomandi einstakling: áhættustig, hæfnismat, spáð greining eða mynduð fullyrðing falla öll undir reglugerðina. Þar af leiðandi verður slík úttak að vera nákvæmt, leiðrétt eða fullkomnað ef það er ekki raunin og fellur undir réttinn til aðgangs. Líkan sem gefur rangar fullyrðingar um nafngreindan einstakling er ekki bara gæðavandamál; það er leiðréttingarskylda og ef ranga fullyrðingin er dreift getur hún einnig leitt til kröfu utan laga um persónuvernd. Hagnýtar lágmörkunaraðgerðir sem draga úr þessari váhrifum eru þær þekktu: fjarlægja auðkenni sem ekki eru nauðsynleg, halda þróunar- og framleiðslugögnum aðskildum, takmarka hverjir geta leitað í kerfinu, setja varðveislutímabil fyrir þjálfunargögn, geyma eiginleika og skrár jafnt og prófa hvort líkanið geti afhjúpað þjálfunargögn sín. Þar sem tölvupóstumferð er notuð sem inntak er fjallað um sérstök mál í grein okkar um tölvupóst og gagnavernd samkvæmt GDPR.
Hlutdrægni, mismunun og jafnrétti
Lög um persónuvernd og lög um jafnrétti skarast hér og stofnun getur farið að annarri reglunni en brotið gegn hinni. Persónuverndarreglugerðin krefst þess að vinnsla sé sanngjörn og nákvæm og krefst þess, með áhrifamati, að áhætta á mismunun sé greind og dregin úr. Hollensk löggjöf um jafnrétti gengur lengra: hún bannar beinan og óbeinan mismunun á grundvelli kynþáttar, þjóðernis, trúarbragða, kyns, kynhneigðar, fötlunar, langvinnra sjúkdóma og aldurs, á sviðum eins og atvinnu, framboði á vörum og þjónustu og menntun. Reiknirit sem framleiðir kerfisbundið verri útkomu fyrir verndaðan hóp veldur óbeinum mismunun, sem er ólöglegur nema hægt sé að réttlæta hana hlutlægt með lögmætu markmiði sem náð er með viðeigandi og nauðsynlegum hætti.
Mannréttindastofnun Hollands metur kvartanir samkvæmt þessum lögum og hefur gefið út leiðbeiningar um reikniritamismunun í ráðningum og vali. Upphafspunkturinn er óþægilegur en réttur: það er á ábyrgð þess að sýna fram á að mismunun sé hlutlægt réttlætanleg á þann aðila sem notar kerfið, þannig að stofnun sem getur ekki útskýrt hvers vegna líkan hennar nær mismunandi niðurstöðum fyrir mismunandi hópa er í veikri stöðu frá upphafi.
Hlutdrægni kemur inn eftir kunnuglegum leiðum. Þjálfunargögn endurspegla fyrri ákvarðanir sem voru sjálfar hlutdrægar; gagnasafnið vanmetur hluta þýðisins; eiginleiki virkar sem staðgengill fyrir verndað einkenni, eins og póstnúmer gerir oft fyrir þjóðerni; og hagræðing fyrir nákvæmni yfir allan þýðið hylur lélega frammistöðu fyrir minnihluta innan þess. Það er raunveruleg spenna í lögunum hér, því prófanir á mismununaráhrifum krefjast oft vinnslu nákvæmlega þeirra sérstakra gagnaflokka sem reglugerðin takmarkar. Leiðin er að prófa á stýrðum grunni, með skjalfestum lagalegum grunni, ströngum aðgangstakmörkunum og samanlögðum niðurstöðum, frekar en að forðast prófanir og vona að spurningin verði aldrei spurð.
Reynsla Hollands af áhættuvísikerfinu sem notað er til að greina bótasvindl sýnir hvað gerist þegar þessu er vanrækt. Dómstóllinn komst að þeirri niðurstöðu að undirliggjandi löggjöf væri í andstöðu við réttinn til friðhelgi einkalífs samkvæmt Mannréttindasáttmála Evrópu, þar sem kerfið væri ekki nægilega gagnsætt og sannreynanlegt og ekki væri hægt að kanna hvort það hefði mismununaráhrif. Sá lærdómur sem lifir af þeim dómi er að ógagnsæi er í sjálfu sér lagalegur galli, ekki hlutlaus tæknilegur eiginleiki. Þegar reikniritavilla leiðir til tjóns er spurningin um hver beri ábyrgð á henni önnur spurning, sem rædd er í grein okkar um ábyrgð á mistökum sem gervigreind veldur og í refsiréttarlegu samhengi í grein okkar um gervigreind og refsirétt.
Hver hefur eftirlit með gervigreind og reikniritum í Hollandi
Autoriteit Persoonsgegevens er eftirlitsyfirvald með GDPR í Hollandi og beitir reglugerðinni ásamt innlendum framkvæmdarlögum, Uitvoeringswet AVG, sem fyllir út þá valkosti sem reglugerðin gefur aðildarríkjunum frekar en að bæta við sérstöku kerfi. Heimildir hennar ná allt frá viðvörun og áminningu til fyrirmæla sem varða sektum, banni við vinnslu og stjórnsýslusektum allt að tuttugu milljónum evra eða fjórum prósentum af heildarársveltu um allan heim, hvort sem er hærra. Auk GDPR heldur hún úti sérstakri einingu til að samhæfa eftirlit með reikniritum og birtir reglulegar skýrslur um reikniritaáhættu í Hollandi, sem eru skýrasta yfirlýsingin um væntingar hennar. Lýsing á starfsemi stofnunarinnar og hvernig hún starfar er í grein okkar um Persónuverndarstofnun Hollands.
Eftirlit með gervigreind er vísvitandi sameiginlegt. Rijksinspectie Digitale Infrastructuur og Autoriteit Persoonsgegevens starfa saman sem samræmingareftirlitsaðilar fyrir lögin um gervigreind, en eftirlitsaðilar einstakra geira halda eigin valdsviði: fjármálaeftirlitsaðilar fyrir líkön sem notuð eru í bankastarfsemi og tryggingum, heilbrigðiseftirlitið fyrir læknisfræðileg forrit og fjölmiðlayfirvöld fyrir palla. Hollenska mannréttindastofnunin fjallar um jafnréttisþáttinn. Fyrir stofnun þýðir þetta að eitt kerfi getur verið metið af nokkrum yfirvöldum á mismunandi forsendum, sem er rök fyrir einni innri skrá sem svarar þeim öllum frekar en aðskildum eftirlitsferlum.
Opinberir aðilar bera með sér aukalag. Ríkisstofnanir skrá reikniritin sem þær nota í þjóðskrá reiknirita og stjórnsýsluákvarðanir sem reiknirit styðja þurfa samt sem áður að uppfylla almennar kröfur hollenskra stjórnsýslulaga um að ákvörðun sé undirbúin af tilhlýðilegri vandvirkni og rökstudd. Rökstuðningur sem jafngildir þeirri fullyrðingu að kerfið hafi framleitt þessa niðurstöðu uppfyllir ekki þann staðal.
Hvernig gervigreindarlögin standa ofan á GDPR
Lögin um gervigreind setja reglur um gervigreindarkerfi sem vörur, flokkaðar eftir áhættu, með skyldum fyrir þjónustuaðila og dreifingaraðila. Þau eru ekki gagnaverndartæki: þau skapa ekki lagalegan grundvöll fyrir vinnslu persónuupplýsinga og samræmi við þau segir ekkert um samræmi við GDPR. Þegar gervigreindarkerfi vinnur úr persónuupplýsingum gilda bæði kerfin samhliða og að fullu.
Áfangaskiptingin skiptir máli fyrir skipulagningu. Bann við óásættanlegri starfsháttum, þar á meðal félagslegri stigagjöf opinberra aðila og ómarkvissri skrapun andlitsmynda til að byggja upp gagnagrunna um greiningu, gilda nú þegar, sem og skyldur varðandi almenn gervigreindarlíkön og gagnsæisskyldur fyrir kerfi sem hafa samskipti við fólk eða búa til tilbúið efni. Djúpfölsun og texti sem myndaður er með gervigreind og birtur til að upplýsa almenning verður að merkja. Áhættustýringunni var frestað með stafræna alhliða pakkanum: skyldur varðandi áhættustýrð kerfi sem talin eru upp í III. viðauka, þar á meðal ráðningar og val, lánshæfismati, menntun og aðgang að nauðsynlegri þjónustu, gilda nú frá 2. desember 2027, og skyldur varðandi gervigreind sem er öryggisþáttur í vöru sem er stjórnað samkvæmt I. viðauka frá 2. ágúst 2028. Sérstök tillaga að tilskipun um ábyrgð gervigreindar hefur verið dregin til baka, þannig að tjón af völdum gervigreindarkerfis er fjallað um samkvæmt venjulegum hollenskum samninga- og skaðabótarétti og evrópskum reglum um ábyrgð á vöru.
Fyrir kerfi sem bæði tekur ákvarðanir um fólk og fellur undir flokkinn „hááhættu“ styrkja þessi tvö kerfi hvort annað: Persónuverndarreglugerðin (GDPR) krefst áhrifamat á gagnavernd og íhlutunar manna að beiðni, og gervigreindarlögin krefjast áhættustjórnunarkerfis, gagnastjórnunar, tæknilegra skjala, skráningar, eftirlits manna með hönnun og, fyrir ákveðna dreifingaraðila, áhrifamat á grundvallarréttindi. Að byggja þau í einni æfingu er mun ódýrara en að byggja þau tvisvar. Flokkunarreglurnar eru settar fram í leiðbeiningum okkar um gervigreindarlög ESB , um hááhættuleg gervigreindarkerfi og í hagnýtum leiðbeiningum okkar fyrir fyrirtæki ; víðtækari bakgrunnur er fjallað um í grein okkar um lagalega hlið gervigreindar í ESB.
Aðrar stafrænar reglur sem gilda á sama tíma
Þrjár frekari reglur eiga við um reiknirit. Lög um stafræna þjónustu leggja skyldur um gagnsæi og áhættu á netvettvangi sem nota reiknirit til að stjórna efni og mæla með, þar á meðal skyldu til að útskýra helstu breytur meðmælakerfa og, fyrir stærstu vettvangana, að bjóða upp á valkost sem ekki byggir á prófílgerð; við fjöllum um það í greinum okkar um lög um stafræna þjónustu og lög um stafræna markaði og um það sem fyrirtæki verða að vita um þau. Lög um viðnám gegn netöryggi setja öryggiskröfur fyrir vörur með stafrænum þáttum, sem verða innleiddar í áföngum á næstu árum, og krefjast öryggis með hönnun og meðhöndlunar á varnarleysi. Og Cyberbeveiligingswet, hollenska innleiðingin á NIS2 sem hefur verið í gildi frá 15. ágúst 2026, leggur skyldur á skráningu hjá NCSC og tilkynningu um atvik innan sólarhrings og sjötíu og tveggja klukkustunda á aðila sem falla undir gildissvið þess, samhliða og óháð tilkynningarskyldu um brot samkvæmt GDPR; sjá yfirlit okkar yfir NIS2 og hollensku lögin um netöryggi.
Stjórnun: hvað þarf að vera í skránni
Ábyrgð er skylda til sönnunar. Það er ekki nóg að vera í samræmi við reglur; ábyrgðaraðilinn verður að geta sýnt fram á að reglur séu uppfylltar, sem í reikniritasamhengi þýðir skrá sem passar við kerfið eins og það er í raun smíðað og notað. Fimm skjöl vinna mest af verkinu.
Skrá yfir vinnslustarfsemi verður að lýsa gagnaflæðinu á bak við hvert líkan, þar á meðal þjálfunargögnum, ályktunargögnum og skráningum, frekar en þeim deildum sem eiga þau. Löglegur grundvöllur hverrar aðgerðar er skráður við hliðina á henni, ásamt mati á lögmætum hagsmunum ef sá grundvöllur er notaður. Mat á áhrifum á persónuvernd er skylda þegar vinnslan er líkleg til að leiða til mikillar áhættu, sem reglugerðin gerir ráð fyrir við kerfisbundið og umfangsmikið sjálfvirkt mat á persónulegum þáttum sem ákvarðanir með veruleg áhrif byggjast á, við umfangsmikla vinnslu á sérstökum flokkum og við kerfisbundið eftirlit með almenningsaðgengilegum svæðum; hollenska eftirlitsstofnunin birtir einnig lista yfir vinnsluaðgerðir þar sem mat er alltaf krafist. Þegar ekki er hægt að draga úr mikilli eftirstandandi áhættu verður að hafa samráð við stofnunina áður en vinnslan hefst.
Samhliða þessum kerfum er innri skrá yfir reiknirit, sem jafnvel einkastofnanir halda í auknum mæli vegna þess að það er eina raunhæfa leiðin til að svara eftirlitsbeiðni, og verklagsreglur um meðhöndlun beiðna frá einstaklingum: aðgangur, leiðrétting, eyðing, andmæli og beiðni um mannlega íhlutun, hver með nafngreindum eiganda og fresti. Persónuverndarfulltrúi er skylda fyrir opinbera aðila og fyrir stofnanir sem kjarnastarfsemi felur í sér reglulegt og kerfisbundið eftirlit í stórum stíl eða stórfellda vinnslu á sérstökum flokkum, sem nær yfir mjög margar gervigreindarinnleiðingar.
Ekkert af þessu virkar sem pappírsæfing. Þeir sem smíða líkönin og þeir sem meta áhættuna þurfa að vinna í sama skjalinu og skrána þarf að uppfæra þegar líkanið er endurþjálfað eða nýtt tilefni, því verulega breytt kerfi er ný vinnsluaðgerð. Hvernig þetta passar inn í víðtækara eftirlitsskipulag er rætt í greinum okkar um gerðir lagalegrar eftirlits og um stjórnarhætti fyrirtækja , og hollenska gagnaverndarlandslagið í heild sinni í handbók okkar um hollensk lög um persónuvernd.
Verndun kerfisins sjálfs: hugverkaréttindi og viðskiptaleyndarmál
Reglurnar sem vernda reiknirit ganga í gagnstæða átt við reglurnar sem krefjast þess að það sé útskýrt, og þetta tvennt þarf að samræma af ásettu ráði. Tölvuforrit sem slík eru undanskilin einkaleyfisvernd, en gervigreindarforrit sem veitir tæknilega lausn á tæknilegu vandamáli getur í meginatriðum verið einkaleyfisverndað samkvæmt hollensku einkaleyfalögunum og Evrópsku einkaleyfasamningnum. Höfundarréttur verndar frumkóðann og aðra upprunalega framsetningu samkvæmt Auteurswet, en ekki undirliggjandi hugmynd, aðferð eða stærðfræðitækni. Í reynd eru verðmætasta verndin lög um viðskiptaleyndarmál: Wet bescherming bedrijfsgeheimen, sem innleiðir evrópsku tilskipunina um viðskiptaleyndarmál, verndar upplýsingar sem eru leyndarmál, hafa viðskiptalegt gildi vegna þess að þær eru leyndarmál og eru háðar sanngjörnum ráðstöfunum til að halda þeim leyndum. Það nær yfir þjálfunargögn, líkanbreytur og arkitektúr, að því tilskildu að þessi sanngjörnu skref séu í raun tekin og skjalfest. Framfylgd fer fram í gegnum borgaraleg dómstóla, sem geta fyrirskipað bann, afhendingu brotlegra vara og skaðabætur; það er ekki mál samkeppnisyfirvalda.
Þjálfunargögn vekja upp sína eigin spurningu um höfundarrétt. Undantekningarnar um texta- og gagnanám í hollenskum höfundarréttarlögum, sem innleiða evrópska tilskipun um höfundarrétt á stafrænum innri markaði, leyfa nám á löglega aðgengilegum verkum, en rétthafar geta áskilið sér réttindi sín og veitendur almennra gervigreindarlíkana eru samkvæmt gervigreindarlögunum skyldugir til að hafa stefnu um að fara að höfundarréttarlögum ESB og virða slíka fyrirvara. Því er gagnaskraut takmarkað af tveimur aðskildum kerfum í einu, gagnavernd og höfundarrétti, og hreinsun annars segir ekkert um hitt. Leiðbeiningar okkar um hugverkarétt í Hollandi og grein okkar um vernd viðskiptaleyndarmála fjalla ítarlega um þessar spurningar.
Takmörkin eru þau sem áður voru nefnd: trúnaður leysir þig ekki undan skyldu til að útskýra sjálfvirka ákvörðun. Þar sem þetta tvennt rekast á ákveður eftirlitsyfirvaldið eða dómstóllinn hvað verður að upplýsa, þannig að skynsamlega hönnunarmarkmiðið er kerfi þar sem rökfræði er hægt að lýsa á stigi meginreglna og þátta án þess að afhjúpa neitt sem er í raun leyndarmál.
Algengar spurningar
Spurningarnar hér að neðan koma oftast upp þegar hollenskar stofnanir setja persónuupplýsingar í gegnum reiknirit. Frekari efni um skyld efni er að finna í hollenskum leiðbeiningum okkar um upplýsingatæknilög.
Hvaða kröfur eru gerðar til gervigreindarkerfa samkvæmt GDPR við vinnslu persónuupplýsinga í Hollandi?
Gervigreindarkerfi þín verða að uppfylla allar skyldur GDPR þegar þau vinna úr persónuupplýsingum í Hollandi. Þú þarft að koma á fót lögmætum grundvelli fyrir vinnslunni, svo sem samþykki, samningsframkvæmd eða lögmætum hagsmunum.
Þú verður að tryggja að söfnun persónuupplýsinga sé takmörkuð við það sem nauðsynlegt er í tilgreindum tilgangi þínum. Gervigreindarforrit þín geta ekki unnið úr fleiri gögnum en þörf er á til að ná tilgreindum markmiðum sínum.
Persónuverndarstofnun Hollands væntir þess að þú haldir ítarlega skráningu á gagnavinnslu þinni. Þú þarft að skrá hvaða gögn þú safnar, hvers vegna þú safnar þeim og hversu lengi þú geymir þau.
Hvernig hefur GDPR áhrif á þróun og innleiðingu gervigreindarreiknirita sem meðhöndla viðkvæmar upplýsingar?
Þú stendur frammi fyrir strangari kröfum þegar gervigreindarkerfi þín vinna úr viðkvæmum persónuupplýsingum. Þar á meðal eru upplýsingar um heilsufar, kynþátt, trúarbrögð, stjórnmálaskoðanir eða líffræðileg gögn.
Þú verður að fá skýrt samþykki eða tilgreina aðra gilda lagalega ástæðu áður en þú vinnur úr viðkvæmum gögnum með reikniritum þínum. Almennt samþykki er ekki nægjanlegt fyrir þessa gagnaflokka.
Þróunarferlið þitt þarf að innihalda viðbótaröryggisráðstafanir og öryggisráðstafanir fyrir viðkvæmar upplýsingar. Þú ættir að innleiða dulkóðun, aðgangsstýringar og reglulegt öryggismat allan líftíma gervigreindarkerfisins.
Hvaða ráðstafanir þarf að grípa til til að tryggja gagnsæi í ákvarðanatöku um gervigreind sem varðar persónuupplýsingar hollenskra íbúa?
Þú verður að veita skýrar upplýsingar um hvernig gervigreindarkerfi þín taka ákvarðanir sem hafa áhrif á einstaklinga. Notendur þínir þurfa að skilja hvaða gögn þú safnar og hvernig reiknirit þín nota þau.
Þú ættir að skrá rökfræði og ákvarðanatökuferli gervigreindarlíkansins þíns á skýru máli. Tæknilegar skýringar einar og sér uppfylla ekki gagnsæiskröfur GDPR.
Þegar gervigreindarkerfið þitt tekur sjálfvirkar ákvarðanir þarftu að upplýsa viðkomandi einstaklinga um vinnsluna. Þú verður að útskýra þýðingu og hugsanlegar afleiðingar þessara ákvarðana fyrir þá.
Hvaða réttindi hafa einstaklingar í Hollandi varðandi sjálfvirka ákvarðanatöku samkvæmt GDPR?
Einstaklingar eiga rétt á að vera ekki háðir ákvörðunum sem byggjast eingöngu á sjálfvirkri vinnslu sem hefur lagaleg eða svipuð veruleg áhrif. Þú verður að bjóða upp á aðkomu manna að ákvarðanatökuferlinu þegar þessi skilyrði eiga við.
Notendur þínir geta óskað eftir mannlegri íhlutun til að fara yfir sjálfvirkar ákvarðanir sem hafa áhrif á þá. Þú þarft að koma á verklagsreglum til að meðhöndla þessar beiðnir og veita marktækt eftirlit með fólki.
Skráðir aðilar geta véfengt sjálfvirkar ákvarðanir og óskað eftir skýringum á rökfræði þeirra. Þú verður að vera reiðubúinn að veita upplýsingar um hvernig gervigreindarkerfið þitt komst að tilteknum niðurstöðum um einstaklinga.
Á hvaða hátt krefst GDPR þess að gervigreindarkerfi séu hönnuð til að vernda gagna sjálfkrafa og með innbyggðu sniði í hollensku samhengi?
Þú verður að samþætta gagnavernd í gervigreindarkerfi þín frá fyrstu stigum þróunar. Persónuverndarsjónarmið geta ekki verið aukaatriði þegar reikniritið er tilbúið.
Sjálfgefnar stillingar ættu að veita hæsta mögulega gagnavernd. Notendur ættu ekki að þurfa að breyta stillingum til að ná grunnvernd persónuverndar.
Þú þarft að innleiða tæknilegar ráðstafanir eins og dulnefni og lágmörkun gagna í allri kerfisarkitektúrnum þínum. Gervigreindin þín ætti aðeins að fá aðgang að og vinna úr lágmarksgögnum sem krafist er fyrir hverja tiltekna virkni.
Hvernig geta stofnanir sýnt fram á að þær fari að ábyrgðarreglum GDPR þegar þær nota gervigreind í Hollandi?
Þú verður að halda ítarlegar skrár yfir gagnavinnslu þína og rekstur gervigreindarkerfa. Gögn sýna fram á að þú hafir tekið tillit til og farið að kröfum GDPR.
Þú ættir að framkvæma áhrifamat á gagnavernd áður en þú setur upp gervigreindarkerfi sem hafa í för með sér mikla áhættu fyrir friðhelgi einkalífsins. Þetta mat greinir hugsanleg vandamál.
Fyrirtækið þitt þarf að innleiða viðeigandi stefnur, þjálfunaráætlanir og eftirlitskerfi fyrir notkun gervigreindar. Þú ættir að geta sýnt Persónuverndarstofnun Hollands sönnun fyrir áframhaldandi eftirliti þínu hvenær sem er.
Hvernig Law & More getur hjálpað
Law & More ráðleggur hollenskum og alþjóðlegum stofnunum varðandi gagnaverndarhlið gervigreindar: metur hvort 22. greinin eigi við um kerfi, hannar eftirlit með fólki sem stenst skoðun, drög að skýringum sem gefa þarf þeim sem verða fyrir áhrifum, framkvæmir áhrifamat, semur um vinnslusamninga við líkana- og vettvangsveitendur og bregst við kvörtunum og kröfum frá Autoriteit Persoonsgegevens eða einstaklingum. Ef þú ert að nota reiknirit sem tekur eða styður ákvarðanir um fólk, þá mun okkar ... lögfræðingar um persónuvernd eru tiltækir til að fara yfir skjalið með þér áður en eftirlitsaðili gerir það.
Hvernig Law & More getur hjálpað þér með þetta er útskýrt á okkar Lögfræðingur í upplýsingatækni síðu.
