AI-politik i din virksomhed: hvordan forbereder I jer på EU's AI-lov?

EU 's AI-lov (forordning (EU) 2024/1689) kræver ikke bogstaveligt et dokument kaldet en "AI-politik". I praksis har du brug for en: uden interne regler om, hvilke AI-systemer du bruger, hvordan de klassificeres, og hvem der er ansvarlig, kan du ikke påvise overholdelse af AI-loven, GDPR eller hollandsk arbejdsret.

Kunstig intelligens er flyttet fra IT-afdelingen ind i den daglige forretning. Generative værktøjer udarbejder korrespondance, rekrutteringssoftware rangerer kandidater, serviceplatforme svarer kunder, og økonomisystemer markerer transaktioner. Meget af dette sker gennem funktioner, der stille og roligt tilføjes til software, du allerede licenserer, eller gennem offentlige værktøjer, som medarbejdere selv begynder at bruge. Nedenfor forklarer vi, hvad en brugbar AI-politik indeholder, hvilke forpligtelser der allerede gælder, hvilke der er blevet udskudt, og hvordan man opbygger en politik, som folk rent faktisk bruger.

Hvad er en AI-politik, og hvorfor har du brug for en?

En AI-politik er det sæt interne regler, der bestemmer, hvordan, hvorfor og under hvilke betingelser din organisation må bruge kunstig intelligens. Den omdanner eksterne juridiske pligter til instruktioner, som en medarbejder kan følge på en almindelig arbejdsdag.

Politikken angiver, hvilke systemer den dækker, hvad der må indlæses i dem, hvem der beslutter, at et nyt værktøj må købes, hvornår en person skal gennemgå resultatet, og hvad der sker, når noget går galt. Ledelsen bruger det samme dokument til at føre tilsyn, mens teknologien ændrer sig hurtigere end indkøbscyklussen.

Risikoen ved at lade dette være ureguleret er konkret. Medarbejdere indsætter klientdata eller udkast til kontrakter i forbruger-chatbots. Et udvælgelsesværktøj filtrerer systematisk en gruppe ansøgere fra. En genereret tekst offentliggøres som fakta og viser sig at være forkert. Hver af disse er et juridisk problem, før det er et teknisk problem. I hvert tilfælde bærer den organisation, der implementerede systemet, ansvaret, ikke den leverandør, der byggede det.

Hvilke regler gælder: AI-loven, GDPR og hollandsk arbejdsret?

Tre regelsæt gælder samtidig, og en politik, der kun dækker ét af dem, er ufuldstændig. AI-loven regulerer systemet, GDPR regulerer dataene, og hollandsk ansættelsesret regulerer, hvad du må gøre med dine egne medarbejdere med dem.

Hvordan klassificerer AI-loven AI-systemer?

AI-loven har en risikobaseret tilgang. Et lille antal praksisser er fuldstændig forbudt, herunder social scoring og visse manipulerende eller udnyttende teknikker. Vores artikel om forbudte AI-praksisser forklarer dem.

En defineret gruppe af anvendelser tæller som højrisiko-AI i henhold til bilag III til loven. Eksempler er rekruttering og udvælgelse, beslutninger om forfremmelse og afskedigelse, kreditvurderinger og adgang til væsentlige offentlige og private tjenester. For disse systemer kræver loven:

• et risikostyringssystem;
• datastyring;
• teknisk dokumentation og logføring;
• gennemsigtighed over for distributøren (den organisation, der bruger systemet);
• menneskeligt tilsyn;
• nøjagtighed og robusthed, der er passende til formålet.

Alt andet er primært underlagt gennemsigtighedsforpligtelser eller slet ingen specifik forpligtelse i henhold til AI-loven.

Hvad tilføjer GDPR?

GDPR gælder fuldt ud, uanset hvor personoplysninger behandles. I AI-projekter er formålsbegrænsning, dataminimering og behovet for et lovligt grundlag, både for træning og for brug, de mest udfordrende.

Artikel 22 i GDPR begrænser beslutninger, der udelukkende er baseret på automatiseret behandling, og som har retsvirkninger eller på lignende måde påvirker en person betydeligt. Hvor et system sandsynligvis vil resultere i en høj risiko for enkeltpersoner, kræver artikel 35 i GDPR en konsekvensanalyse vedrørende databeskyttelse (DPIA), før du begynder at bruge det. Vores artikel om brug af kunstig intelligens i din hollandske virksomhed gennemgår disse forpligtelser mere detaljeret.

Hvad kræver den hollandske arbejdsret?

Det hollandske lag er det, der oftest overses. I henhold til artikel 27 i loven om samarbejdsudvalg ( Wet op de ondernemingsraden , WOR) skal samarbejdsudvalget give samtykke til aftaler om behandling af medarbejdernes personoplysninger og til systemer, der er egnede til overvågning af personalet.

Denne ret til samtykke dækker enhver aftale om behandling og beskyttelse af medarbejderes personoplysninger. Den dækker også faciliteter, der er beregnet til eller egnede til at observere eller overvåge medarbejderes tilstedeværelse, adfærd eller præstation. En AI-politik, der regulerer overvågning, produktivitetsanalyse eller automatiseret vurdering af medarbejdere, vil ofte falde ind under denne bestemmelse. Samarbejdsudvalget kan anfægte en beslutning truffet uden det nødvendige samtykke. Høring er derfor et spørgsmål om timing, ikke en formalitet.

Hvilke frister i henhold til AI-loven gælder nu, og hvilke er flyttet.

Forbuddene, reglerne for generelle AI-modeller og gennemsigtighedsforpligtelserne gælder allerede. De tunge forpligtelser for højrisikosystemer er blevet udskudt til december 2027 og august 2028.

AI-loven trådte i kraft den 1. august 2024 og gælder i etaper:

• 2 februar 2025: forbuddene mod uacceptable risikofylde praksisser og pligten til AI-færdigheder trådte i kraft.
• 2 August 2025: Forpligtelserne for udbydere af generelle AI-modeller trådte i kraft sammen med bestemmelserne om forvaltning og sanktioner.
• 2 August 2026: den generelle anvendelsesdato. Fra denne dato gælder gennemsigtighedsforpligtelserne i artikel 50: folk skal informeres, når de interagerer med et AI-system, og AI-genereret eller manipuleret indhold skal markeres som sådan.

En blok af forpligtelser er blevet udskudt. Forordning (EU) 2026/1744, AI-delen af ​​Europa-Kommissionens digitale omnibus, blev offentliggjort i Den Europæiske Unions Tidende den 24. juli 2026 og trådte i kraft den 27. juli 2026. Den ændrer tidsplanen som følger:

• Højrisikoordningen for de selvstændige systemer i bilag III, som omfatter beskæftigelse, uddannelse, kredit og essentielle tjenester, gælder nu fra den 2. december 2027.
• For AI, der er en sikkerhedskomponent i produkter, der allerede er omfattet af EU's produktlovgivning (bilag I), bliver datoen den 2. august 2028.
• Generative systemer, der er bragt på markedet før den 2. august 2026, har indtil den 2. december 2026 til at opfylde den maskinlæsbare mærkningspligt i artikel 50.
• Pligten til AI-færdigheder er blødgjort: Udbydere og distributører skal nu træffe foranstaltninger til at understøtte et tilstrækkeligt niveau af AI-færdigheder i stedet for at sikre det.

Den praktiske læsning er enkel. Forbuddene, de generelle AI-regler og gennemsigtighedsforpligtelserne kan håndhæves i dag. Det fulde compliance-apparat for højrisikosystemer træder i kraft ved udgangen af ​​2027. Det er et forberedelsesvindue, ikke en udsættelse. Hvis du vælger et rekrutterings- eller kreditvurderingssystem nu, vil du stadig køre det i december 2027. Den leverandørkontrakt, du underskriver i dag, afgør, om dokumentations-, logførings- og menneskelige tilsynsfunktioner findes på det tidspunkt.

Hvad skal policen dække?

Start med at definere omfanget: hvilke afdelinger og hvilke typer systemer politikken er bindende for. En politik, som ingen kan anvende på sin egen situation, er værre end ingen.

Nævn de afdelinger, den er tilknyttet, typisk HR, marketing, kundeservice, finans, drift, jura og forskning og udvikling. Nævn også systemkategorierne: købt AI-software, AI-funktioner indbygget i eksisterende platforme, modeller udviklet internt, generative assistenter, chatbots, scorings- og rangeringsværktøjer og anbefalingsmotorer.

To afgrænsningsspørgsmål kræver et eksplicit svar. For det første: Må medarbejdere bruge offentlige AI-værktøjer på egen hånd til arbejde, og under hvilke betingelser? For det andet: Hvad sker der med AI-funktioner, der vises i software, du allerede bruger, uden en købsbeslutning og ofte uden varsel? Begge er ruter, hvorigennem AI kommer ubemærket ind i en organisation. Enten er det politikken, der styrer dem, eller også gør intet det.

Hvordan definerer du AI og opdeler dens anvendelse?

Brug definitioner, der matcher det brede koncept for et AI-system i AI-loven, men skriv dem i et sprog, som medarbejderne genkender, med eksempler fra deres egen afdeling. En person i HR bør kunne afgøre, uden at spørge det juridiske team, om det værktøj, de har foran sig, falder ind under politikken.

Opdel derefter brugen i tre kategorier:

• Forbudt brug: de praksisser, der er forbudt i henhold til AI-loven, plus enhver anvendelse, som din organisation har udelukket af egne årsager.
• Betinget brug: alt tilladt underlagt sikkerhedsforanstaltninger, såsom en dokumenteret risikoklassificering, en DPIA, hvor GDPR kræver en, godkendelse af en navngiven rolle og aftalte tekniske og organisatoriske foranstaltninger.
• Tilladt brug: lavrisikoapplikationer, der ikke kræver mere end de generelle regler om fortrolighed og kontrol af output.

Kategorierne fungerer kun, hvis politikken også angiver, hvem der flytter en ansøgning fra én kategori til en anden, og på hvilken dokumentation.

Hvem er ansvarlig?

Governance afgør, om resten af ​​politikken er reel. Tildel det endelige ansvar for AI-compliance, normalt på bestyrelsesniveau, og udpeg de roller, der udvælger og godkender nye applikationer, fører lagerbeholdningen og håndterer hændelser.

Leverandørstyring hører også hjemme her. Hvor et system kan blive højrisiko, bør kontrakten forpligte leverandøren til at levere teknisk dokumentation, brugsanvisning, logningskapacitet og de oplysninger, du har brug for til din egen vurdering. Den bør også fordele ansvaret for ændringer, der ændrer systemets tilsigtede formål.

Hvordan håndterer I data, privatliv, sikkerhed og gennemsigtighed?

Politikken skal angive, hvilke oplysninger der må indtastes i hvilket system. Et AI-system er kun så lovligt som de data, det kører på.

Fortrolige forretningsoplysninger, klientfiler, særlige kategorier af personoplysninger og alt, der er omfattet af tavshedspligt, hører generelt ikke hjemme i et offentligt værktøj. Angiv, hvor anonymisering eller pseudonymisering er påkrævet, hvor længe input og output opbevares, og hvordan træningsdata holdes adskilt fra produktionsdata. Hvor personoplysninger er involveret, skal GDPR-vurderingen og klassificeringen i henhold til AI-loven udføres i én øvelse. De stiller forskellige spørgsmål om det samme system.

Sikkerhed følger de almindelige regler. Giv adgang efter rolle, logbrug og send AI-hændelser til din eksisterende procedure for hændelser og databrud, ikke til et separat spor, som ingen husker. I henhold til artikel 33 i GDPR skal et brud på persondata anmeldes til den hollandske databeskyttelsesmyndighed ( Autoriteit Persoonsgegevens , AP) uden unødig forsinkelse og, hvor det er muligt, inden for 72 timer efter, at man er blevet opmærksom på det.

Gennemsigtighed er nu en operationel pligt, ikke en god intention. Siden den 2. august 2026 kræver artikel 50 i AI-loven, at folk får besked, når de interagerer med et AI-system, medmindre det er åbenlyst ud fra omstændighederne. Syntetisk lyd, billeder, video og tekst skal markeres på en maskinlæsbar måde. Følelsesgenkendelses- og biometriske kategoriseringssystemer har deres egen pligt til at informere de mennesker, der udsættes for dem. Oversæt dette til konkrete instruktioner: hvad chatbotten siger i sin åbningsbesked, hvordan AI-assisteret indhold mærkes, og hvad kandidater får at vide om AI's rolle i en udvælgelsesprocedure.

Hvordan arrangerer man menneskeligt tilsyn, bias-test og AI-kompetencer?

For hvert system, der påvirker en person, skal politikken angive, hvornår et menneske beslutter, og hvad den person rent faktisk kan gøre. En godkendelsesboks i en arbejdsgang er ikke et tilsyn.

Meningsfuldt tilsyn betyder, at den ansvarlige forstår systemets begrænsninger, kan fortolke dets output og har beføjelse og tid til at sætte det til side. I henhold til artikel 22 i GDPR må en afgørelse med retsvirkninger eller en tilsvarende betydelig virkning for en person ikke udelukkende være baseret på automatiseret behandling, undtagen i definerede situationer. Selv da bevarer personen retten til menneskelig indgriben, til at give sit synspunkt til kende og til at anfægte afgørelsen.

Hvorfor teste for bias?

Bias-testning hører hjemme i politikken som en tilbagevendende opgave med en navngiven ejer. Systemer, der anvendes i rekruttering, præstationsvurdering, onboarding og kreditbeslutninger, bør testes med jævne mellemrum for forskelle i resultater og fejlrater mellem grupper, og resultaterne bør registreres.

Den dokumentation tæller to gange. Den understøtter din dokumentation i henhold til AI Act. Og det er den dokumentation, du har brug for, hvis en afvist kandidat påstår diskrimination i henhold til den hollandske ligebehandlingslov ( Algemene wet gelijk behandeling , AWGB). I henhold til denne lov flytter fakta, der tyder på diskrimination, bevisbyrden til arbejdsgiveren.

Hvad kræver AI-færdigheder?

AI-loven forpligter udbydere og distributører til at træffe foranstaltninger til at understøtte et tilstrækkeligt niveau af AI-færdigheder blandt personale, der arbejder med disse systemer. Foranstaltningerne bør tage hensyn til teknisk viden, erfaring og brugskonteksten.

Standarden er forståelse, ikke ekspertise. Personalet skal kunne genkende et AI-system, vide, hvad det er pålideligt til, og hvad det ikke er, og vide, hvornår det skal eskaleres. I praksis betyder det et grundlæggende modul for alle og dybere træning for de roller, der bærer risikoen: HR, IT- og datateams, indkøb, compliance og ledelse. Registrer, hvem der blev trænet, og hvornår. Gentag træningen, når et væsentligt nyt system ankommer, eller de juridiske rammer ændres, hvilket sker ofte på dette område.

Hvem fører tilsyn med AI-loven i Holland?

Holland organiserer tilsynet gennem eksisterende tilsynsmyndigheder, ikke et nyt agentur. Implementeringsloven er stadig et forslag, så fordelingen af ​​nationale beføjelser er endnu ikke endelig.

Regeringen offentliggjorde udkastet til implementeringsloven om AI-regulering ( Uitvoeringswet AI-verordening ) til offentlig høring den 20. april 2026, og høringen løber indtil den 1. juni 2026. I henhold til udkastet deler den hollandske myndighed for digital infrastruktur ( Rijksinspectie Digitale Infrastructuur , RDI) og den hollandske databeskyttelsesmyndighed en koordinerende rolle. AP fungerer som tilsynsførende, hvor der ikke er udpeget en sektorregulator, og eksisterende sektortilsynsmyndigheder beholder deres egne domæner. Lovforslaget er endnu ikke vedtaget, og et kongeligt dekret vil fastsætte dets ikrafttrædelsesdato.

Straffelofterne stammer fra selve AI-loven. Det højeste niveau, for forbudte praksisser, er op til 35 millioner euro eller syv procent af den samlede globale årlige omsætning, alt efter hvad der er højest.

Hvordan kommer man fra en første opgørelse til en fungerende AI-politik?

Start med en opgørelse over, hvad der rent faktisk er i brug, og skriv først derefter politikken. En politik, der er skrevet før opgørelsen, har en tendens til at forbyde ting, som ingen gør, og tillade ting, som ingen har tjekket.

Inkluder AI-funktioner i eksisterende software og de værktøjer, medarbejderne selv har taget i brug. En kort, fortrolig undersøgelse afslører normalt mere end en formel anmodning til afdelingsledere. Arbejd derefter gennem disse trin:

• Klassificere hver anvendelse: forbudt, højrisiko i henhold til bilag III, underlagt gennemsigtighedsforpligtelser eller lavrisiko.
• Vurdere den juridiske og organisatoriske risiko ved de relevante applikationer. Kombinér klassificeringen i henhold til AI-loven med GDPR-analysen og, hvor personalet er berørt, spørgsmål vedrørende ansættelsesret og samarbejdsudvalg.
• Udkast til politikken og afstem den med jeres eksisterende rammer for privatliv, informationssikkerhed, indkøb og HR i stedet for at skrive et parallelt sæt regler.
• Implement Det er her, beslutningerne træffes: indkøb af skabeloner og leverandørkontrakter, indtagelsesprocessen for ny software, rekrutteringsproceduren, hændelsesproceduren og træningskalenderen.
• Anmeldelse det mindst én gang om året, og altid når et væsentligt nyt system introduceres, den juridiske ramme ændres, eller der opstår en hændelse.

Implementering er der, hvor de fleste politikker fejler. Et dokument på intranettet ændrer ingenting, hvis indkøbsformularen ikke spørger, om et værktøj indeholder AI.

Hvad skal du lave i dette kvartal?

Tre kontroller er værd at udføre nu:

• Kontroller, at ingen af ​​de anvendte applikationer falder ind under de forbudte praksisser. Disse regler har været gældende siden februar 2025.
• Kontrollér, at dine kundevendte og indholdsproducerende systemer opfylder gennemsigtighedsforpligtelserne i henhold til artikel 50, der trådte i kraft den 2. august 2026.
• Kontroller, at ethvert system, der er omfattet af højrisikokategorien i bilag III, kontraktligt kan opfylde de krav, der gælder fra den 2. december 2027. Det vil koste betydeligt mere at genforhandle det i 2027 end at aftale det nu.

Sammenfattende

• AI-loven kræver ikke et dokument kaldet en AI-politik, men uden en kan man næppe vise overholdelse af AI-loven, GDPR og hollandsk ansættelsesret.
• Forbuddene, reglerne for generelle AI-modeller og gennemsigtighedsforpligtelserne i henhold til artikel 50 gælder allerede.
• Forordning (EU) 2026/1744 udsatte højrisikoordningen til den 2. december 2027 (bilag III) og den 2. august 2028 (bilag I).
• Kunstig intelligens, der overvåger eller vurderer personale, skal ofte have samtykke fra samarbejdsudvalget i henhold til artikel 27 i WOR.
• Start med en opgørelse, klassificer, vurder, udkast, implementer og gennemgå derefter.

Ofte stillede spørgsmål

Law & More rådgiver organisationer om klassificering af AI-systemer, udarbejdelse og implementering af AI-politikker, leverandør- og licensaftaler for AI-applikationer samt de dertilhørende spørgsmål om privatlivsret og ansættelsesret. IT-advokater kan gennemgå din nuværende situation og vise dig, hvor hullerne er. Er du usikker på, hvor du står? Fortæl os om din situation. Vi giver dig besked om dine muligheder inden for en arbejdsdag.