Europejska ustawa o sztucznej inteligencji (AI) wprowadziła istotne zmiany 2 lutego 2025 r., uznając niektóre praktyki AI za nielegalne w całej UE. Holenderskie firmy muszą teraz przestrzegać surowych przepisów dotyczących tego, z jakich systemów AI mogą korzystać.
Firmy, które nie usuną zakazanych narzędzi AI, mogą zostać ukarane wysokimi grzywnami i potencjalnymi konsekwencjami prawnymi ze strony osób, które poniosły szkodę.
Od lutego 2025 roku w Holandii zakazane są systemy sztucznej inteligencji, które manipulują ludźmi, wykorzystują scoring społeczny, kategoryzują osoby na podstawie danych biometrycznych lub wykorzystują rozpoznawanie twarzy w czasie rzeczywistym w przestrzeni publicznej. Zakazy te obejmują również technologię rozpoznawania emocji w miejscach pracy i szkołach, a także nieukierunkowane gromadzenie obrazów twarzy z internetu w celu tworzenia baz danych rozpoznawczych.
Przepisy obowiązują natychmiast, nie dając firmom okresu karencji na wycofanie tych systemów. Zrozumienie, które praktyki AI są zakazane i jakie kroki musi podjąć Twoja organizacja, jest kluczowe, aby uniknąć kar.
W przewodniku wyjaśniono konkretne zakazy, opisano obowiązki związane z zapewnieniem zgodności z przepisami, jakie musi spełnić przedsiębiorstwo holenderskie, a także omówiono wymogi szkoleniowe niezbędne do zachowania zgodności swojej działalności z prawem na mocy nowego prawa.
Czego dotyczą zakazy
Rozporządzenie (UE) 2024/1689, znane jako ustawa UE o sztucznej inteligencji , wprowadziło szczegółowe zakazy dotyczące niektórych praktyk związanych ze sztuczną inteligencją, które weszły w życie 2 lutego 2025 r. Przepisy te mają zastosowanie do Twojej holenderskiej działalności gospodarczej, jeśli opracowujesz, wdrażasz lub używasz systemów sztucznej inteligencji w Holandii lub szerszej Unii Europejskiej.
Zakres zakazanych praktyk AI
Ustawa o sztucznej inteligencji (AI) zakazuje określonych praktyk AI, które stanowią niedopuszczalne ryzyko dla praw podstawowych i wartości europejskich. Artykuł 5 rozporządzenia (UE) 2024/1689 identyfikuje te zakazane praktyki na podstawie ich potencjalnej szkodliwości, a nie samej technologii.
Główne kategorie zakazane obejmują:
- Manipulacyjne systemy sztucznej inteligencji które wykorzystują luki w zabezpieczeniach określonych grup
- Systemy punktacji społecznejniezależnie od tego, czy jest prowadzony przez organ publiczny, czy przez prywatne przedsiębiorstwo
- Zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeniach publicznie dostępnych dla organów ścigania (z nielicznymi wyjątkami)
- Systemy kategoryzacji biometrycznej które wywnioskowują wrażliwe atrybuty
- Nieukierunkowane skrobanie zdjęć twarzy z internetu lub nagrań z monitoringu
Twoja firma podlega tym zakazom, niezależnie od tego, czy działasz jako dostawca, wdrożeniowiec czy dystrybutor sztucznej inteligencji w Holandii. Holenderski Urząd Ochrony Danych Osobowych współpracuje z innymi organami ścigania Unii Europejskiej, aby zapewnić przestrzeganie przepisów.
Nieprzestrzeganie zakazów wiąże się z karami finansowymi w wysokości do trzydziestu pięciu milionów euro lub siedmiu procent światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa.
Daty wejścia w życie i okresy przejściowe
Zakazy określone w Artykule 5 weszły w życie 2 lutego 2025 r. Oznacza to, że Twoja firma musi natychmiast zastosować się do tych przepisów, jeśli korzysta z odpowiednich systemów sztucznej inteligencji lub je rozwija.
Ramy egzekwowania prawa są stopniowe. Pełne kary, struktury zarządzania i przepisy dotyczące poufności wchodzą w życie 2 sierpnia 2025 r.
Daje to Twojej organizacji sześciomiesięczne okno czasowe, w którym przepisy będą obowiązywać, ale pełne mechanizmy egzekwowania wciąż są opracowywane. Komisja Europejska opublikowała oficjalne wytyczne 4 lutego 2025 r., aby wyjaśnić, jak te zakazy działają w praktyce.
Egzekwowanie przepisów odbywa się za pośrednictwem krajowych organów nadzoru rynku, które każde państwo członkowskie musi wyznaczyć. Holandia nie ukończyła jeszcze aktu wykonawczego, który formalnie je wyznacza; w fazie przygotowawczej holenderski Urząd Ochrony Danych Osobowych (UODO) i holenderski Urząd ds. Infrastruktury Cyfrowej (UODO) pełnią funkcję organów koordynujących, a organy regulacyjne sektora nadzorują AI w swoich obszarach działania. Sam zakaz obowiązuje niezależnie od tego: fakt, że struktura egzekwowania przepisów jest nadal w fazie finalizacji, nie czyni zakazanej praktyki legalną, a system naruszający artykuł 5 w większości przypadków narusza również RODO, które holenderski Urząd Ochrony Danych Osobowych może egzekwować już dziś.
Kluczowe definicje: Systemy i praktyki sztucznej inteligencji
Artykuł 3 Rozporządzenia definiuje system AI jako system oparty na maszynie, zaprojektowany do działania z różnymi poziomami autonomii, który może wykazywać zdolność adaptacji po wdrożeniu i który na podstawie otrzymanych danych wejściowych wnioskuje, jak generować dane wyjściowe, takie jak prognozy, treści, rekomendacje lub decyzje, mogące wpływać na środowisko fizyczne lub wirtualne. Elementem, który wykonuje zadanie w tej definicji, jest wnioskowanie: system, który jedynie stosuje reguły zapisane przez użytkownika w całości, nie jest systemem AI, podczas gdy model, który wyprowadza własną regułę decyzyjną na podstawie danych, już nim jest.
Zakazana praktyka AI odnosi się do konkretnych sposobów wdrażania lub wykorzystywania sztucznej inteligencji, które Unia Europejska uznała za niedopuszczalne. Zakaz dotyczy samej praktyki, a nie technologii, na której się opiera.
Oznacza to, że możesz używać tego samego systemu sztucznej inteligencji (AI) do dozwolonych celów, mimo że będziesz mieć zakaz korzystania z niektórych aplikacji. Twoja firma musi rozróżniać między systemem AI (technologią) a jego działaniem (sposobem, w jaki go wykorzystujesz).
System sztucznej inteligencji do rozpoznawania twarzy może być legalny w kontekście kontroli dostępu do budynków, ale niedozwolony w kontekście nadzoru w czasie rzeczywistym w przestrzeni publicznej. Kontekst i zastosowanie decydują o legalności zgodnie z rozporządzeniem (UE) 2024/1689.
Szczegółowa lista zakazanych praktyk sztucznej inteligencji
Ustawa UE o sztucznej inteligencji zakazuje stosowania określonych aplikacji sztucznej inteligencji, które stwarzają niedopuszczalne ryzyko dla praw podstawowych i bezpieczeństwa. Zakazane praktyki dzielą się na trzy główne kategorie: systemy manipulujące ludzkim zachowaniem, systemy wykorzystujące grupy wrażliwe oraz mechanizmy umożliwiające masowy nadzór za pomocą punktacji społecznej.
Systemy manipulacyjne i oszukańcze
Ustawa o sztucznej inteligencji (AI Act) zakazuje stosowania wszelkich systemów AI, które wykorzystują techniki podprogowe w celu istotnego zniekształcenia ludzkich zachowań w sposób powodujący szkody. Są to metody, które działają poza naszą świadomością, wpływając na nasze decyzje lub działania.
Zakazane praktyki manipulacyjne obejmują:
- Systemy sztucznej inteligencji, które wdrażają podprogowe komponenty, których nie można wykryć
- Systemy zaprojektowane w celu wykorzystania podatności związanych z wiekiem u dzieci
- Technologie manipulujące zachowaniem w celu wyrządzenia szkody fizycznej lub psychicznej
Nie możesz używać sztucznej inteligencji do celowego oszukiwania ludzi w sposób, który prowadzi do poważnych szkód . Oznacza to, że Twoja firma nie może wdrażać chatbotów ani wirtualnych asystentów, którzy wprowadzają użytkowników w błąd co do ich natury opartej na sztucznej inteligencji, gdy takie oszustwo mogłoby skutkować szkodami.
Zakaz obejmuje systemy sztucznej inteligencji (AI), które wykorzystują mroczne wzorce lub manipulację psychologiczną, aby nakłonić użytkowników do podejmowania szkodliwych decyzji. Ustawa chroni jednostki przed praktykami AI, które pomijają racjonalne podejmowanie decyzji.
Jeśli Twój system sztucznej inteligencji wpływa na zachowanie poprzez ukrytą manipulację, a nie poprzez przejrzyste informacje, narusza on ustawę.
Wykorzystywanie bezbronnych osób
Systemy sztucznej inteligencji (AI), które wykorzystują luki związane z wiekiem, niepełnosprawnością lub sytuacją społeczną lub ekonomiczną, są surowo zabronione. Nie można używać sztucznej inteligencji do wykorzystywania osób, które nie potrafią zrozumieć manipulacji ani oprzeć się jej.
Zakaz ten obejmuje sztuczną inteligencję, która wykorzystuje niedoświadczenie dzieci lub upośledzenie funkcji poznawczych osób starszych. Twoja firma nie może wdrażać systemów wykorzystujących niepełnosprawność fizyczną lub psychiczną do manipulowania zachowaniem.
Zakaz ten dotyczy również sztucznej inteligencji żerującej na desperacji ekonomicznej lub izolacji społecznej.
Do chronionych grup wrażliwych zaliczają się:
- Dzieci i osoby niepełnoletnie
- Osoby starsze z zaburzeniami funkcji poznawczych
- Osoby z niepełnosprawnością fizyczną lub psychiczną
- Osoby borykające się z trudnościami ekonomicznymi
Zakaz obowiązuje, gdy Twój system sztucznej inteligencji powoduje lub może spowodować znaczną szkodę poprzez wykorzystanie. Musisz ocenić, czy Twoje aplikacje sztucznej inteligencji mogłyby nieuczciwie atakować wrażliwe grupy społeczne.
Punktacja społeczna i profilowanie behawioralne
Ustawa o sztucznej inteligencji (AI) zakazuje systemów AI, które oceniają lub klasyfikują ludzi na podstawie ich zachowań społecznych lub cech osobistych. Nie można stosować mechanizmów punktacji społecznej, które prowadzą do niesprawiedliwego traktowania lub krzywdy.
Punktacja społeczna polega na ocenie jednostek na podstawie ich zachowania, relacji lub przewidywanego zachowania. W ten sposób tworzone są profile, które decydują o dostępie do usług, możliwości lub praw.
Zakazane działania związane z punktacją społeczną obejmują:
- Ocenianie obywateli na podstawie zachowań społecznych lub zawodowych
- Tworzenie ocen wiarygodności na podstawie danych osobowych
- Przewidywanie zachowań przestępczych na podstawie profilowania
- Odmowa świadczenia usług na podstawie oceny zachowania
Nie można wdrażać systemów sztucznej inteligencji, które przyznają punkty decydujące o tym, czy dana osoba otrzyma opiekę zdrowotną, edukację, zatrudnienie lub usługi finansowe. Zakaz obowiązuje niezależnie od tego, czy systemy te są obsługiwane przez organ publiczny, czy przez firmę prywatną.
Zdalna identyfikacja biometryczna w czasie rzeczywistym w miejscach publicznych również podlega surowym zakazom, z nielicznymi wyjątkami dla organów ścigania.
Zakazy dotyczące sztucznej inteligencji biometrycznej, rozpoznawania twarzy i emocji
Ustawa UE o sztucznej inteligencji zakazuje stosowania kilku rodzajów systemów biometrycznych i systemów rozpoznawania twarzy, które stanowią zagrożenie dla praw podstawowych . Zakazy te wpływają na sposób, w jaki holenderskie firmy mogą wykorzystywać dane biometryczne , bazy danych rozpoznawania twarzy, narzędzia do rozpoznawania emocji oraz systemy identyfikacji w czasie rzeczywistym w przestrzeni publicznej.
Kategoryzacja biometryczna
Nie można używać systemów sztucznej inteligencji, które kategoryzują ludzi na podstawie ich danych biometrycznych, aby wnioskować o ich rasie, poglądach politycznych, przynależności do związków zawodowych, przekonaniach religijnych lub orientacji seksualnej. Zakaz ten obowiązuje w przypadku wprowadzania tych systemów na rynek, oddawania ich do użytku lub wykorzystywania ich w tym konkretnym celu.
Zakaz dotyczy systemów, które wyciągają wrażliwe wnioski na temat osób fizycznych za pomocą analizy biometrycznej. Za nieprzestrzeganie tego zakazu Twoja firma może zostać ukarana grzywną w wysokości do 7% światowego rocznego obrotu.
Istnieje jeden wyjątek od tej reguły. Możesz oznaczyć lub filtrować legalnie pozyskane zbiory danych biometrycznych, takie jak zdjęcia, na podstawie danych biometrycznych w kontekście organów ścigania.
Poza organami ścigania tego typu praktyki kategoryzacyjne pozostają całkowicie zakazane.
Ograniczenia technologii rozpoznawania twarzy
Nie można tworzyć ani rozszerzać baz danych rozpoznawania twarzy poprzez nieukierunkowane pobieranie obrazów twarzy z internetu lub nagrań z monitoringu. Zakaz ten wszedł w życie 2 lutego 2025 r.
Aby zakaz został zastosowany, muszą być spełnione cztery warunki:
- Praktyka ta obejmuje umieszczanie, serwisowanie lub używanie systemu AI
- Celem jest stworzenie lub rozszerzenie baz danych rozpoznawania twarzy
- Metoda ta polega na nieukierunkowanym scrapowaniu obrazów twarzy
- Źródłami danych są internet lub nagrania z monitoringu CCTV
Kluczowe słowo to „nieukierunkowane”. Nie można gromadzić wizerunków twarzy w sposób szeroki i nieuporządkowany.
Oznacza to, że nie można umieszczać w supermarketach lub miejscach publicznych kamer, które automatycznie skanują twarze w celu tworzenia baz danych rozpoznających osoby bez określonych kryteriów docelowych.
Rozpoznawanie emocji w zatrudnieniu i edukacji
Nie można używać systemów sztucznej inteligencji do wnioskowania o emocjach ludzi w miejscach pracy i placówkach edukacyjnych. Ten zakaz bezpośrednio dotyczy działów kadr, szkół i placówek szkoleniowych, które mogą rozważyć wdrożenie narzędzi do wykrywania emocji.
Zakaz obejmuje każdy system sztucznej inteligencji zaprojektowany do odczytywania lub interpretowania stanów emocjonalnych w tych konkretnych sytuacjach. Nie ma znaczenia, czy korzystasz z analizy twarzy, rozpoznawania wzorców głosu, czy innych wskaźników biometrycznych.
Istnieje jeden niewielki wyjątek. Możesz używać sztucznej inteligencji rozpoznającej emocje, jeśli służy to celom medycznym lub bezpieczeństwu.
Na przykład monitorowanie czujności kierowcy ze względów bezpieczeństwa lub wykrywanie stresu pacjenta w placówkach opieki zdrowotnej może kwalifikować się do tego wyjątku.
Ograniczenia zdalnej identyfikacji biometrycznej
Nie można używać zdalnych systemów identyfikacji biometrycznej w czasie rzeczywistym w miejscach publicznych do celów egzekwowania prawa, z wyjątkiem ściśle określonych okoliczności. Wyjątki te obejmują poszukiwanie ofiar porwań lub handlu ludźmi, zapobieganie bezpośrednim zagrożeniom życia lub atakom terrorystycznym oraz lokalizowanie osób podejrzanych o popełnienie poważnych przestępstw zagrożonych karą co najmniej czterech lat pozbawienia wolności.
Każde użycie wymaga uprzedniej zgody organu sądowego lub niezależnego organu administracyjnego. W nagłych przypadkach możesz rozpocząć korzystanie bez zgody, ale musisz wystąpić o zgodę w ciągu 24 godzin.
W przypadku odmowy autoryzacji przez władze, należy natychmiast zaprzestać korzystania z systemu i usunąć wszystkie dane. Holandia może ustanowić własne szczegółowe zasady dotyczące tych wyjątków w ramach prawa krajowego.
Twoja firma musi powiadomić właściwy organ nadzoru rynku i krajowy organ ochrony danych o każdym użyciu. Państwa członkowskie składają Komisji Europejskiej coroczne sprawozdania dotyczące korzystania z zdalnej identyfikacji biometrycznej w czasie rzeczywistym.
Obowiązki zgodności dla przedsiębiorstw holenderskich
Holenderskie firmy muszą podjąć konkretne kroki w celu zapewnienia zgodności z przepisami dotyczącymi sztucznej inteligencji (AI) , identyfikując zakazane systemy, usuwając je z działalności i prowadząc odpowiednią dokumentację. Holenderski organ ochrony danych (DPA) i holenderski Urząd ds. Infrastruktury Cyfrowej (UOD) będą egzekwować te wymogi, nakładając surowe kary za naruszenia.
Identyfikacja zabronionej sztucznej inteligencji w operacjach
Należy przeprowadzić dokładną ocenę ryzyka w całej organizacji, aby zlokalizować systemy sztucznej inteligencji, które mogą naruszać nowe zasady. Oznacza to zbadanie każdej technologii wykorzystującej techniki manipulacji, wykorzystującej luki w zabezpieczeniach, wdrażającej scoring społecznościowy lub dokonującej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej.
Zacznij od stworzenia inwentaryzacji wszystkich obecnie używanych systemów AI. Udokumentuj, co każdy system robi, jak przetwarza dane i na kogo ma wpływ.
Zwróć szczególną uwagę na systemy, które oddziałują na klientów, pracowników lub opinię publiczną. Twoja ocena ryzyka powinna uwzględniać, czy dany system może naruszać prawa podstawowe.
Obejmuje to sprawdzenie, czy systemy sztucznej inteligencji podejmują decyzje dotyczące ludzi na podstawie zachowania, cech osobistych lub powiązań społecznych. Systemy, które śledzą lub profilują osoby bez przejrzystości, wymagają natychmiastowej weryfikacji.
Współpracuj ze swoimi zespołami technicznymi, aby zrozumieć, jak działa każdy system AI. Nie możesz polegać wyłącznie na opisach dostawców.
Holenderski organ ochrony danych jasno stwierdził, że odpowiedzialność za zgodność z przepisami ponosisz niezależnie od tego, czy system został stworzony przez Ciebie, czy zakupiony od osoby trzeciej.
Wycofywanie lub usuwanie zakazanych systemów sztucznej inteligencji
Musisz natychmiast zaprzestać stosowania zakazanych praktyk sztucznej inteligencji. Prawo nie przewiduje okresu karencji dla zakazanych systemów.
Jeśli ocena ryzyka wykaże niedozwoloną praktykę, należy ją natychmiast wycofać. Stwórz plan eliminacji, uwzględniający zarówno skutki techniczne, jak i operacyjne.
Niektóre systemy mogą być osadzone w większych platformach lub połączone z wieloma procesami. Należy upewnić się, że usunięcie zabronionych elementów nie zakłóci podstawowych funkcji biznesowych.
Przed wyłączeniem systemu określ, jak zamierzasz wykonać zadania, które wykonywał on wcześniej. Może to oznaczać powrót do procesów ręcznych, wdrożenie innej technologii lub całkowitą przebudowę przepływów pracy.
Udokumentuj każdy etap procesu usuwania. Zapisz, kiedy odkryłeś niedozwoloną praktykę, jakie działania podjąłeś i kiedy system został całkowicie dezaktywowany.
Organy regulacyjne będą oczekiwać wyraźnych dowodów na to, że podjąłeś działania niezwłocznie po stwierdzeniu naruszenia.
Zapisy i dokumentacja
Musisz prowadzić dokumentację techniczną potwierdzającą zgodność z przepisami zakazu. Obejmuje to zapisy ocen ryzyka, decyzji dotyczących systemów sztucznej inteligencji oraz wszelkich zmian wprowadzonych w celu zapewnienia zgodności.
Twoja dokumentacja powinna obejmować:
- Inwentaryzacje systemowe z opisami każdej aplikacji AI
- Raporty oceny ryzyka pokazując Twoją analizę potencjalnych naruszeń
- Rekordy dotyczące usuwania szczegółowo opisujące, kiedy i w jaki sposób dezaktywowałeś zakazane systemy
- Oceny wpływu na prawa podstawowe w przypadku jakichkolwiek przypadków granicznych
Ustawa o sztucznej inteligencji (AI) nie nakłada na ten materiał stałego okresu przechowywania w celu zapewnienia zgodności z zakazanymi praktykami; okresy przechowywania dokumentacji, które określa, takie jak dziesięcioletni okres dla dokumentacji technicznej systemu wysokiego ryzyka i minimalny okres dla automatycznie generowanych logów, znajdują się w rozdziale dotyczącym wysokiego ryzyka. Przechowuj swoje oceny tak długo, jak długo będą potrzebne, co w praktyce oznacza okres przedawnienia wszelkich roszczeń, jakie mogą wyniknąć z systemu, i bądź w stanie je przedstawić na żądanie. Dostarczenie organowi nieprawdziwych, niekompletnych lub wprowadzających w błąd informacji podlega osobnej karze na mocy art. 99 Rozporządzenia.
Ogólne opisy lub materiały marketingowe nie spełniają tego wymogu. Należy uwzględnić specyfikacje techniczne, przepływy danych i procesy decyzyjne.
Aktualizuj dokumentację za każdym razem, gdy modyfikujesz systemy AI lub wdrażasz nowe. Potrzebujesz ciągłych procesów, aby mieć pewność, że przyszłe systemy nie wprowadzą niedozwolonych praktyk.
Wymagania dotyczące znajomości sztucznej inteligencji i szkolenia personelu
Od 2 lutego 2025 r. holenderskie firmy dostarczające lub wdrażające systemy AI muszą zapewnić swoim pracownikom odpowiednią wiedzę z zakresu AI. Obowiązek ten obowiązuje niezależnie od tego, czy korzystają z systemów AI wysokiego, czy niskiego ryzyka.
Udokumentowane programy szkoleniowe muszą być dostosowane do roli i wiedzy technicznej pracowników.
Wyjaśnienie obowiązku znajomości sztucznej inteligencji
Artykuł 4 unijnej ustawy o sztucznej inteligencji nakłada na wszystkich dostawców i użytkowników sztucznej inteligencji obowiązek zapewnienia odpowiedniego poziomu znajomości sztucznej inteligencji wśród personelu. Należy podjąć działania w celu zagwarantowania, że pracownicy i kontrahenci zajmujący się systemami sztucznej inteligencji rozumieją technologię, z którą pracują.
Obowiązek znajomości AI dotyczy wszystkich, którzy obsługują, używają lub podejmują decyzje dotyczące systemów AI w Twoim imieniu. Dotyczy to personelu technicznego, który tworzy lub utrzymuje systemy AI, a także pracowników nietechnicznych, którzy korzystają z narzędzi AI w swojej codziennej pracy.
Należy dostosować szkolenie z zakresu znajomości sztucznej inteligencji (AI) do roli, wiedzy technicznej, doświadczenia, wykształcenia i specyficznego kontekstu, w jakim korzysta z systemów AI. Programista oprogramowania wdrażający modele AI wymaga innego szkolenia niż przedstawiciel obsługi klienta korzystający z chatbotów opartych na AI.
Obowiązek ten wymaga od Ciebie dołożenia „wszelkich starań” w celu zapewnienia odpowiedniego poziomu umiejętności czytania i pisania. Nie możesz po prostu zaoferować symbolicznego szkolenia i twierdzić, że spełniasz wymagania.
Opracowywanie efektywnych programów szkoleniowych
Program edukacji w zakresie sztucznej inteligencji (AI) powinien odnosić się do konkretnych systemów AI używanych w organizacji, a nie dostarczać ogólnych informacji. Pracownicy muszą rozumieć, jak działają konkretne narzędzia AI, z których korzystają, ich ograniczenia i potencjalne zagrożenia.
Treści szkolenia powinny obejmować:
- Podstawowe koncepcje sztucznej inteligencji istotne dla Twoich systemów
- Jak prawidłowo obsługiwać narzędzia AI
- Potencjalne błędy i uprzedzenia w wynikach AI
- Kiedy konieczny jest nadzór człowieka
- Polityki i procedury dotyczące sztucznej inteligencji w Twojej organizacji
Należy wziąć pod uwagę początkowy poziom wiedzy każdego pracownika. Personel techniczny może potrzebować zaawansowanego szkolenia z zakresu tworzenia i testowania modeli, podczas gdy zwykli użytkownicy potrzebują praktycznych wskazówek dotyczących interpretacji wyników sztucznej inteligencji i rozpoznawania, kiedy wyniki wydają się nieprawidłowe.
Szkolenia mogą przybierać różne formy, takie jak warsztaty, kursy online, coaching w miejscu pracy czy programy zewnętrzne. Format szkolenia jest mniej ważny niż zapewnienie, że pracownicy faktycznie zdobędą niezbędną wiedzę i umiejętności.
Dokumentowanie działań związanych z umiejętnością korzystania ze sztucznej inteligencji
Musisz prowadzić dokumentację swoich działań szkoleniowych w zakresie sztucznej inteligencji, aby wykazać zgodność z unijną ustawą o sztucznej inteligencji. Dokumentacja ta stanowi dowód na to, że wypełniłeś swoje zobowiązania prawne.
Twoje zapisy powinny zawierać:
- Treść i materiały programu szkoleniowego
- Listy pracowników, którzy ukończyli szkolenie
- Terminy i czas trwania szkoleń
- Wyniki oceny (jeśli dotyczy)
- Jak określiłeś odpowiedni poziom umiejętności czytania i pisania dla różnych stanowisk?
Udokumentuj proces identyfikacji potrzeb w zakresie znajomości sztucznej inteligencji (AI) w całej organizacji. Obejmuje to sposób, w jaki oceniłeś, którzy pracownicy wymagają szkolenia i jakiej konkretnej wiedzy potrzebują w oparciu o interakcję z systemami AI.
Prowadź dokumentację dotyczącą aktualizacji szkoleń w miarę zmian w systemach AI lub dołączania nowych pracowników do organizacji. Znajomość AI nie jest jednorazowym wymogiem, ale stałym obowiązkiem, który musi dostosowywać się do zmieniającego się wykorzystania technologii AI.
Nadzór, egzekwowanie i kary
Ustawa UE o sztucznej inteligencji ustanawia wielowarstwową strukturę egzekwowania przepisów, przewidującą wysokie kary finansowe za ich nieprzestrzeganie. Holenderskie przedsiębiorstwa podlegają nadzorowi organów krajowych i europejskich, a kary za niedozwolone praktyki związane ze sztuczną inteligencją sięgają nawet 7% światowego rocznego obrotu.
Organy nadzoru holenderskiego i unijnego
W Holandii wciąż trwają prace nad wprowadzeniem architektury nadzoru. Holenderski Urząd Ochrony Danych Osobowych pełni rolę koordynującą i, wraz z Holenderskim Urzędem ds. Infrastruktury Cyfrowej, przygotował ramy nadzoru rynku, ale ustawa wyznaczająca właściwe organy i przyznająca im uprawnienia wynikające z rozporządzenia nie została jeszcze ukończona. Do tego czasu obecni regulatorzy egzekwują przepisy w ramach swoich własnych mandatów, a Holenderski Urząd Ochrony Danych Osobowych pozostaje organem, z którym należy się liczyć wszędzie tam, gdzie system sztucznej inteligencji przetwarza dane osobowe.
Na szczeblu europejskim Komisja Europejska nadzoruje wdrażanie ustawy o sztucznej inteligencji we wszystkich państwach członkowskich. Europejski Urząd ds. Sztucznej Inteligencji, utworzony w ramach Komisji, koordynuje działania egzekucyjne i zapewnia specjalistyczną wiedzę.
Europejska Rada ds. Sztucznej Inteligencji, złożona z przedstawicieli państw członkowskich, opowiada się za spójnym stosowaniem rozporządzenia i doradza Komisji. Współpracuje również z organami ochrony danych w przypadku, gdy systemy sztucznej inteligencji przetwarzają dane osobowe.
Jeśli obsługujesz systemy AI w wielu krajach UE, możesz spotkać się z kontrolą organów nadzorczych w każdej jurysdykcji, w której Twoje systemy są wdrożone lub obowiązują.
Sankcje i odpowiedzialność cywilna
Naruszenia zakazanych praktyk określonych w artykule 5 pociągają za sobą kary w wysokości do 35 milionów euro lub 7% całkowitego rocznego obrotu na świecie, w zależności od tego, która kwota jest wyższa. Sam zakaz obowiązuje od 2 lutego 2025 r., ale przepisy dotyczące kar zawarte w rozporządzeniu obowiązują od 2 sierpnia 2025 r., więc od tej daty za działania mogą być nałożone grzywny. Naruszenia pozostałych obowiązków pociągają za sobą niższe pułapy: piętnaście milionów euro lub trzy procent za nieprzestrzeganie wymogów wysokiego ryzyka oraz siedem i pół miliona euro lub jeden procent za przekazanie organowi nieprawdziwych lub wprowadzających w błąd informacji.
Trybunał Sprawiedliwości UE (TSUE) ma ostateczną władzę w zakresie interpretacji przepisów ustawy o sztucznej inteligencji. Sądy krajowe mogą kierować pytania do TSUE w przypadku sporów dotyczących tego, co stanowi niedozwoloną praktykę.
Oprócz kar administracyjnych, osoba poszkodowana przez niedozwolony system może wnieść powództwo cywilne. Nie ma zharmonizowanego europejskiego systemu w tym zakresie: proponowana dyrektywa w sprawie odpowiedzialności za sztuczną inteligencję została wycofana, więc roszczenie w Holandii wnosi się na podstawie prawa holenderskiego, zazwyczaj jako czyn bezprawny na podstawie art. 6:162 Kodeksu cywilnego, a naruszenie art. 5 stanowi dowód naruszenia obowiązku ustawowego. Państwa członkowskie mogą również ustanowić dodatkowe kary w prawie krajowym.
Wytyczne organów europejskich i krajowych
Komisja Europejska opublikowała 4 lutego 2025 r. wytyczne dotyczące zakazanych praktyk związanych ze sztuczną inteligencją. Dokumenty te wyjaśniają, w jaki sposób organy będą interpretować zakazy zawarte w artykule 5, oraz podają praktyczne przykłady ich przestrzegania.
Chociaż niniejsze wytyczne nie mają charakteru wiążącego, oferują cenne informacje na temat priorytetów egzekwowania prawa. Tylko TSUE może zapewnić autorytatywne interpretacje prawne.
Holenderskie organy nadzoru mogą wydawać dodatkowe wytyczne krajowe, dostosowane do lokalnych uwarunkowań biznesowych. Należy śledzić aktualizacje ze strony organów europejskich i holenderskich w miarę rozwoju podejścia do egzekwowania prawa.
Wytyczne są dostępne we wszystkich językach UE, aby ułatwić ich zrozumienie w kontekście transgranicznym.
PYTANIA I ODPOWIEDZI
Europejska ustawa o sztucznej inteligencji wprowadza szczegółowe wymogi i ograniczenia, które będą miały wpływ na holenderskie przedsiębiorstwa od lutego 2025 r. Przepisy te zakazują pewnych praktyk związanych ze sztuczną inteligencją, wymagają podjęcia środków zapewniających zgodność z przepisami i ustanawiają kary za naruszenia.
Jakie nowe przepisy dotyczące wykorzystania sztucznej inteligencji w holenderskich firmach weszły w życie w lutym?
Europejska ustawa o sztucznej inteligencji weszła w życie 1 sierpnia 2024 r., a pierwszy zestaw zakazów wszedł w życie 2 lutego 2025 r. Przepisy te dotyczą wszystkich holenderskich przedsiębiorstw, które opracowują, wdrażają lub wykorzystują systemy sztucznej inteligencji w Unii Europejskiej.
Ustawa zakazuje manipulacyjnych systemów sztucznej inteligencji (AI), które wykorzystują techniki podprogowe do wpływania na decyzje, których ludzie normalnie by nie podjęli. Zakazane są również systemy AI wykorzystujące luki w zabezpieczeniach oparte na wieku, niepełnosprawności lub statusie społeczno-ekonomicznym.
Systemy punktacji społecznej, które oceniają jednostki na podstawie ich zachowań społecznych lub cech osobistych, zostaną całkowicie zakazane. Przepisy zabraniają również stosowania ocen ryzyka opartych na sztucznej inteligencji, które przewidują przestępstwa wyłącznie na podstawie profilowania lub analizy cech osobowości, a nie faktów związanych z działalnością przestępczą.
Systemy kategoryzacji biometrycznej, które na podstawie wizerunku twarzy lub odcisków palców definiują rasę, poglądy polityczne, przynależność związkową, przekonania religijne lub orientację seksualną, są niedozwolone. Zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej jest zabroniona, z wyjątkiem ściśle określonych sytuacji, w których istnieje ku temu specjalne upoważnienie prawne.
W jaki sposób holenderskie wytyczne dotyczące sztucznej inteligencji z lutego 2025 r. wpływają na prywatność danych i ochronę konsumentów?
Ustawa o sztucznej inteligencji (AI) działa równolegle z obowiązującymi przepisami o ochronie danych, w tym z RODO. Holenderski Urząd Ochrony Danych Osobowych (Holenderski Urząd Ochrony Danych) zapewnia wytyczne dotyczące tego, jak systemy AI muszą przestrzegać przepisów o ochronie danych, w szczególności w zakresie zautomatyzowanego podejmowania decyzji.
Nieukierunkowane pozyskiwanie obrazów twarzy z internetu lub nagrań z kamer w celu tworzenia lub rozbudowy baz danych rozpoznawania twarzy jest zabronione. To ograniczenie chroni prawo do prywatności osób i zapobiega nieautoryzowanemu gromadzeniu danych biometrycznych.
Systemy AI muszą respektować prawa podstawowe przez cały cykl życia. Władze publiczne i podmioty świadczące usługi publiczne muszą przeprowadzić ocenę wpływu na prawa podstawowe w przypadku korzystania z systemów AI wysokiego ryzyka.
Jakich działań wykorzystujących sztuczną inteligencję nie wolno już podejmować holenderskim przedsiębiorstwom ze względu na ostatnie zmiany w przepisach?
Twoja firma nie może korzystać z systemów rozpoznawania emocji w miejscu pracy ani w placówkach edukacyjnych. Systemy te są zakazane niezależnie od deklarowanych korzyści lub zastosowań.
Nie można wdrażać systemów AI, które manipulują ludźmi za pomocą technik podprogowych lub wykorzystują ich słabości. Dotyczy to również systemów, które atakują jednostki ze względu na ich niepełnosprawność, status społeczny lub wiek, aby wpływać na ich zachowanie.
Biometryczne systemy kategoryzacji, które klasyfikują ludzi na podstawie wrażliwych cech, są zabronione. Nie można używać sztucznej inteligencji do wnioskowania o czyjejś rasie, poglądach politycznych, przekonaniach religijnych ani orientacji seksualnej na podstawie danych biometrycznych.
Systemy punktacji społecznej są całkowicie zakazane. Nie można wdrażać sztucznej inteligencji, która ocenia lub klasyfikuje ludzi na podstawie ich zachowań społecznych lub cech osobistych.
Zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeniach publicznych jest zabroniona do użytku komercyjnego . Organy ścigania mogą korzystać z takich systemów wyłącznie w ściśle określonych okolicznościach i po uzyskaniu odpowiedniego zezwolenia prawnego.
Jakie kroki muszą podjąć holenderskie przedsiębiorstwa, aby dostosować swoje systemy sztucznej inteligencji do standardów zgodności ustalonych w lutym?
Musisz zidentyfikować wszystkie systemy AI, z których obecnie korzysta lub które wdraża Twoja organizacja. Inwentaryzacja powinna sklasyfikować każdy system zgodnie z klasyfikacjami ryzyka określonymi w ustawie o AI.
Sprawdź swoje systemy sztucznej inteligencji pod kątem listy zabronionych praktyk. Jeśli korzystasz z zakazanych systemów, musisz je natychmiast wycofać, aby uniknąć kar regulacyjnych.
Udokumentuj cele, źródła danych i procesy decyzyjne swoich systemów AI. Taka dokumentacja pomaga wykazać zgodność i wspiera wszelkie wymagane oceny wpływu.
Systemy wysokiego ryzyka wiążą się z własnym zestawem obowiązków, w tym rejestracją w europejskiej bazie danych oraz, w przypadku organów publicznych i dostawców usług publicznych, oceną wpływu na prawa podstawowe. Wprowadzenie tego systemu zostało odroczone: w przypadku systemów wymienionych w załączniku III, takich jak narzędzia rekrutacyjne, scoring kredytowy i narzędzia do zarządzania zatrudnieniem, rozpocznie się ono 2 grudnia 2027 r., a w przypadku systemów wysokiego ryzyka, które są elementami bezpieczeństwa produktów regulowanych, nastąpi to 2 sierpnia 2028 r.
Przeszkol swój personel w zakresie nowych wymagań i wprowadź wewnętrzne procesy bieżącego monitorowania zgodności. Twój program zgodności powinien obejmować regularne przeglądy systemów AI, aby zapewnić ich zgodność z przepisami.
Czy istnieją jakieś sektorowe zakazy dotyczące sztucznej inteligencji, o których holenderskie firmy powinny wiedzieć po wprowadzeniu nowych przepisów?
Organizacje sektora edukacyjnego podlegają szczególnym ograniczeniom. Nie można używać systemów rozpoznawania emocji do monitorowania uczniów ani oceny ich stanu emocjonalnego, niezależnie od zamierzonych korzyści edukacyjnych.
Środowiska pracy mają podobne ograniczenia. Pracodawcy nie mogą wdrażać sztucznej inteligencji rozpoznającej emocje do monitorowania stanów emocjonalnych i reakcji pracowników podczas wykonywania obowiązków służbowych.
Organy ścigania mają ograniczone wyjątki dotyczące systemów identyfikacji biometrycznej. Wyjątki te wymagają ścisłego zezwolenia prawnego i mają zastosowanie wyłącznie w określonych sytuacjach, takich jak poszukiwanie ofiar porwań, zapobieganie bezpośrednim zagrożeniom lub śledzenie podejrzanych o poważne przestępstwa.
Organy publiczne świadczące usługi publiczne podlegają dodatkowym wymogom wykraczającym poza ogólne zakazy. Należy przeprowadzić ocenę wpływu na prawa podstawowe wszystkich systemów sztucznej inteligencji wysokiego ryzyka i zarejestrować te systemy w europejskiej bazie danych.
Jakie kary grożą za nieprzestrzeganie holenderskich ograniczeń dotyczących sztucznej inteligencji, wprowadzonych w lutym 2025 r.?
Organy regulacyjne mogą nakładać wysokie grzywny za nieprzestrzeganie ustawy o sztucznej inteligencji. Struktura kar opiera się na podejściu wielopoziomowym, zależnym od wagi naruszenia.
Korzystanie z zakazanych systemów AI stanowi najpoważniejszą kategorię naruszeń. Twoja organizacja naraża się na wysokie kary finansowe, jeśli będziesz nadal korzystać z zakazanych systemów po upływie terminu w lutym 2025 r.
Dokładna wysokość kar zależy od tego, czy Twoja organizacja kwalifikuje się jako małe i średnie przedsiębiorstwo, czy jako duża firma. Organy regulacyjne biorą pod uwagę takie czynniki, jak charakter naruszenia, czas jego trwania oraz ewentualne szkody.
Oprócz kar finansowych, nieprzestrzeganie zasad może zaszkodzić reputacji Twojej organizacji. Osoby poszkodowane przez niedozwolone systemy sztucznej inteligencji mogą dochodzić dodatkowych środków zaradczych w drodze postępowania cywilnego.
Holenderski Urząd Ochrony Danych Osobowych i inne organy regulacyjne mają uprawnienia egzekucyjne. Mogą rozpatrywać skargi, przeprowadzać audyty i żądać natychmiastowego zaprzestania niedozwolonych praktyk.
Law & More Doradza firmom w zakresie ustawy o sztucznej inteligencji (AI Act) w praktyce: sprawdza systemy już używane pod kątem zakazów zawartych w artykule 5, ocenia, gdzie przypadek użycia znajduje się blisko granicy między dozwoloną a zakazaną praktyką, ustanawia środki edukacji w zakresie AI wymagane w artykule 4 oraz przygotowuje się do obowiązków wysokiego ryzyka, które nadejdą w grudniu 2027 r. W przypadku gdy system AI przetwarza również dane osobowe, jednocześnie oceniamy sytuację w zakresie RODO, ponieważ to właśnie tam można obecnie egzekwować przepisy.
