Juridische aspecten van kunstmatige intelligentie

AI-Act

De belangrijkste wet die het gebruik van AI regelt, is de Europese AI-Act. De AI-Act onderscheidt in hoofdlijnen vier categorieën van AI gebruik: Verboden AI, Hoog Risico AI, Bepaalde AI systemen en overig AI gebruik. Ieder van die categorieën heeft een eigen regime. Hieronder staan de categorieën uitgelegd en wat deze inhouden.

Verboden AI

Bepaald gebruik van AI is verboden. In hoofdlijnen is het verboden om AI in te zetten:

• Om mensen te misleiden, 

• Om mensen te categoriseren wat in hun nadeel kan werken, 

• Voor profilering om crimineel gedrag te voorspellen (AI mag wel gebruikt worden om menselijke beoordeling bij profilering te ondersteunen), 

• Voor het aanleggen van databanken ten behoeve van gezichtsherkenning, 

• Voor het herkennen van emoties op de werkplek of in het onderwijs, 

• Om persoonlijke kenmerken (zoals ras, seksleven, etc.) af te leiden uit biometrische gegevens, 

• Voor gebruik van biometrische gegevens voor rechtshandhaving in openbare ruimtes (hierop bestaan veel uitzonderingen, die in detail zijn uitgewerkt in de AI-Act).

Kort gezegd: het is verboden AI in te zetten op een manier die als doel heeft natuurlijke personen te benadelen, en in bepaalde specifieke gevallen, zoals hierboven uiteengezet.

Hoog risico AI

De AI-act gaat bijna helemaal over hoog-risico AI gebruik. Voor deze categorie zijn allerlei regels opgesteld waaraan AI en het gebruik ervan moet voldoen. Er zijn  grote verschillen tussen de partijen die oplossingen aanbieden en de gebruikers van die oplossingen. Het is dus belangrijk goed te begrijpen welke rol jouw organisatie speelt in de keten die AI mogelijk maakt.

De (hoog risico) toepassingen waarvoor uitgebreide en gedetailleerde regels bestaan zijn AI systemen voor de volgende toepassingen:

• Veiligheidsfuncties in producten 

• Biometrische identificatie op afstand (NB: niet hoog risico als het alleen gebruikt wordt voor individuele identificatie)

• Biometrische categorisering op basis van gevoelige eigenschappen.

• Emotieherkenning

• Veiligheid in infrastructuur

• Toegang tot onderwijs

• Evalueren van leerresultaten in het onderwijs

• Bepalen passend onderwijsniveau voor personen

• Vaststellen ongeoorloofd gedrag tijdens toetsen binnen het onderwijs

• Werven, selecteren en beoordelen van werknemers.

• Bepaling van toegang tot essentiële diensten en uitkeringen (o.a. kredietwaardigheid, prijsstelling verzekeringen etc.)

• Rechtshandhaving, migratie, asiel, grenstoezicht, zover dit de positie van individuen kan beïnvloeden

• Rechtsbedeling (rechterlijke instanties en alternatieve rechtsbedingen)

• Beïnvloeding stemgedrag bij verkiezingen.

In gevallen van hoog risico AI stelt de AI-Act diverse eisen aan risicobeheersing. Wat dat precies is, verschilt voor de diverse rollen in de keten die gebruik van AI mogelijk maken. Wat het voor jouw organisatie betekent, hangt af van wat je precies met AI doet en hoe je dat doet. Als je van plan bent hoog-risico AI te gaan gebruiken (en zeker als je dat zelf wilt ontwikkelen), is het raadzaam hierover advies in te winnen. 

Binnen de categorie ‘hoog risico’, zijn speciale regels voor aanbieders van algemene AI toepassingen (beter bekend als General Purpose AI). Denk hierbij bijvoorbeeld aan ChatGPT of Gemini. De toepassing hiervan is zeer breed. Deze modellen kunnen worden gebruikt voor hoog-risico toepassingen, maar zijn dat zelf niet bij voorbaat. Voor deze General Purpose AI bestaat een uitgebreid separaat regime in de AI-Act. Het gaat hier om een speciale categorie ‘Hoog Risico’ AI.

Contact opnemen

Bepaalde AI-systemen

Hoog risico toepassingen kunnen, maar hoeven niet, tevens in deze categorie vallen. Het gaat hier om wat in artikel 50 van de AI-Act staat: AI-systemen die met individuen interacteren, zoals chatboxen, moeten bekend maken dat het een AI-systeem is dat interacteert. Het mag zich niet als mens voordoen. Door AI gegenereerd beeldmateriaal (zoals deepfakes) moet als zodanig (digitaal) herkenbaar zijn. Als er gegevens over personen (door AI vastgestelde emoties bijvoorbeeld) verwerkt worden die beschikbaar komen door AI toepassingen, dan gelden daar de bestaande (transparantie-)regels voor, in het bijzonder de Europese privacy wetgeving (AVG). De transparantieverplichtingen kunnen grafisch zo worden samengevat:

Overig gebruik van AI

In alle gevallen dat jouw organisatie AI gebruikt (dus ook voor andere dan Verboden, Hoog-Risico of de Bepaalde AI Toepassingen) dan is artikel 4 op jou van toepassing. Daarin staat dat iedereen die namens jouw organisatie AI gebruikt (met name werknemers), adequaat getraind moet zijn in dat gebruik. Dit wordt ‘AI geletterdheid’ genoemd. Wat ‘adequaat getraind’ inhoudt, hangt helemaal af van waarvoor en hoe AI wordt ingezet.

Conclusie

Als je  AI inzet in relatie tot personeel, onderwijs of kredietwaardigheidscontrole, dan val je waarschijnlijk onder ‘hoog risico’ gebruiker en moet je aan meerdere specifieke eisen voldoen. Ook bij ander gebruik op een manier die doet vermoeden dat de (rechts-) positie van individuen erdoor beïnvloed kan worden, is het zaak te onderzoeken of het gebruik verboden is of als hoog risico staat aangemerkt. Neem contact op met Damsté bij twijfel, en als je al weet dat het hoog-risico betreft, om te inventariseren welke regels precies op jou van toepassing zijn. Als je vermoedt dat het gaat om een toepassing die onder de transparantieverplichtingen valt, dan kunnen wij je adviseren of dat inderdaad zo is en hoe je aan de transparantieverplichtingen kunt voldoen. 

In alle gevallen: zorg ervoor de mensen in jouw organisatie die AI gebruiken, voldoende getraind zijn om dat op een verantwoorde wijze te doen.

Krijg je een boete opgelegd? Ook dan staan wij je bij.

Als je vragen hebt, mail met Frank van ’t Geloof: [email protected]

Contact opnemen