En chatbot, der bruges i Holland, skal overholde tre regler på én gang: hollandsk ophavsretslovgivning (Auteurswet), GDPR og EU's AI-lov (forordning (EU) 2024/1689). Hver af disse regler pålægger den organisation, der implementerer chatbotten, pligter, ikke kun dens udvikler; de fleste kundevendte chatbots behøver kun at fortælle brugerne, at de har at gøre med en maskine, men en chatbot, der screener jobansøgere eller vurderer kreditvurdering, falder ind under det strenge højrisikoregime.
Indholdsfortegnelse
Hvilke juridiske ordninger gælder for hver chatbot?
Der findes ikke én enkelt hollandsk lov om kunstig intelligens. Ophavsret dækker, hvad der indgår i og udgår af modellen, GDPR dækker personoplysninger i samtaler, og kunstig intelligens-loven dækker selve systemet.
De tre regimer har forskellige tilsynsførende, sanktioner og tidsfrister. En chatbot, der er fejlfri med hensyn til privatlivets fred, kan stadig krænke ophavsretten, og en med rene træningsdata kan stadig overtræde AI-loven, hvis den aldrig siger, at den er en maskine. Besvar alle tre spørgsmål skriftligt inden lanceringen: den fil er det første, en regulator beder om.
| Juridisk område | Største bekymring | Regler |
|---|---|---|
| Databeskyttelse | Behandling af samtaledata uden lovligt grundlag eller opbevaring af dem for længe. | GDPR, overvåget af den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) |
| Copyright | Kopiering af beskyttede værker til træning; output, der reproducerer et værk. | Auteurswet, artikel 15n og 15o (tekst- og datamining) |
| Gennemsigtighed | Brugere får ikke at vide, at de har med en maskine at gøre; syntetisk indhold er ikke markeret. | Gennemsigtighedsforpligtelser i forbindelse med AI-loven |
| Ansvar for output | Hvem svarer for forkerte råd eller beslutninger fra chatbotten. | Kontraktansvar, erstatningsansvar uden for kontrakt (artikel 6:162 BW) og produktansvar |
Europa-Kommissionen trak sit foreslåede direktiv om ansvar for AI tilbage, så krav om et mangelfuldt chatbot-svar afgøres i henhold til almindelig hollandsk civilret, herunder den generelle erstatningsregel i artikel 6:162 i den hollandske civilret (BW). Se vores artikel om ansvar for fejl i AI-genereret indhold.
Hvornår er det tilladt at træne en model på beskyttede værker?
Træningskopier beskyttede værker, og i henhold til Auteurswet er det en reproduktion, der kræver tilladelse eller en lovmæssig undtagelse. Hollandsk og EU-lovgivning har ingen amerikansk "fair use"-doktrin.
Artikel 15n Auteurswet giver forskningsorganisationer og kulturarvsinstitutioner mulighed for at udvinde værker, som de lovligt tilgår, til videnskabelig forskning. Artikel 15o Auteurswet giver enhver mulighed for at udvinde lovligt tilgængelige værker, medmindre rettighedshaveren udtrykkeligt har forbeholdt dette på en passende måde, til onlineværker ved hjælp af maskinlæsbare midler (TDM-fravalget).
Det giver en to-trins test: havde underviseren lovlig adgang, og var der et forbehold? Hvis værket blev udvundet på trods af en gyldig framelding, gælder undtagelsen ikke, og kopieringen krænkede ophavsretten.
Hvor bærer distributøren risikoen?
Den virksomhed, der implementerer en chatbot og offentliggør dens output, udfører sine egne reproduktions- og kommunikationshandlinger til offentligheden. Tre fejlpunkter går igen.
- Træning uden gyldigt grundlag. Den primære eksponering er udviklerens, men krav kan følge outputtet nedstrøms.
- Output der kopierer et værk. Offentliggørelse af tekst, kode eller et billede, der genkendeligt gengiver et beskyttet værk, er en ny krænkelse fra udgiverens side. Stil er ikke beskyttet; en væsentlig del af et konkret værk er.
- Kontrakter, der overlader risikoen til dig. Mange AI-licenser begrænser ansvaret til det årlige gebyr og udelukker krav fra tredjeparter vedrørende IP. Læs først skadesløsholdelsesklausulen.
Rent maskingenereret output er sandsynligvis ikke beskyttet af ophavsret, fordi hollandsk lov kræver et værk med sin egen originale karakter, der bærer skaberens personlige præg. Konkurrenter kan derefter genbruge det frit. Vores vejledning om, hvornår indhold betragtes som offentligt i henhold til ophavsretsloven, forklarer principperne. Spørg din leverandør skriftligt, hvilke datasæt der blev brugt, om fravalg blev respekteret, og hvilken erstatning der tilbydes.
Hvordan klassificerer AI-loven en chatbot?
AI-loven regulerer formålet, ikke teknologien. Den samme model kan være minimalrisiko i én anvendelse og højrisiko i en anden, så din egen skriftlige klassificering er det første skridt i forhold til overholdelse af reglerne.
| Risikoniveau | Eksempel på chatbot | Hovedforpligtelse |
|---|---|---|
| Minimum | En bot, der besvarer spørgsmål om åbningstider. | Ingen specifikke forpligtelser; frivillige koder. |
| Limited | En kundeservicebot til returneringer og ordrer. | Fortæl brugerne, at de har at gøre med AI; marker syntetisk output. |
| Høj | En bot, der forhåndsscreener jobansøgere eller vurderer kreditberettigelse. | Risikostyring, datastyring, dokumentation, logning, menneskeligt tilsyn, overensstemmelsesvurdering. |
| uacceptabelt | En bot, der udnytter sårbare grupper eller afleder medarbejderes følelser på arbejdet. | Forbudt i EU. |
Højrisikoanvendelser er anført i et bilag til AI-loven og omfatter rekruttering, adgang til essentielle tjenester såsom kredit eller ydelser, uddannelse og retshåndhævelse. Se vores vejledninger til højrisiko-AI-systemer og forbudte AI-praksisser.
Hvad gælder nu, og hvad er blevet udskudt?
AI-loven trådte i kraft den 1. august 2024 og gælder i faser. Forbuddene, pligten til AI-færdigheder, reglerne for generelle AI-modeller og gennemsigtighedsforpligtelserne gælder allerede.
AI-omnibusforordningen, forordning (EU) 2026/1744, der har været gældende siden 27. juli 2026, udsatte kun højrisikoordningen til slutningen af 2027 for de anvendelser, der er anført i bilaget, og 2028 for AI i regulerede produkter. Hvis din chatbot skal oplyse, at den er en maskine, gælder denne pligt allerede. Bøderne er begrænset til en procentdel af den globale årlige omsætning, med det højeste loft for forbudte praksisser.
Hvordan skal en chatbot fortælle brugerne, at den er AI?
I henhold til AI-loven skal en person, der interagerer med et AI-system, informeres om dette, medmindre det er indlysende for en rimeligt velinformeret bruger. Meddelelsen skal være tydelig og gives senest ved den første interaktion.
En linje i en privatlivspolitik tre klik væk er ikke nok. Udbydere af systemer, der genererer syntetisk tekst, lyd, billeder eller video, skal markere dette output på en maskinlæsbar måde. For en chatbot på din egen hjemmeside: en synlig erklæring i starten af samtalen, en tydelig rute til et menneske og intet design, der antyder, at brugeren taler med en navngiven medarbejder.
Hollandsk forbrugerlovgivning tilføjer et ekstra lag. At præsentere en maskine som en person eller at lade en chatbot fremsætte påstande, som en sælger ikke lovligt kunne fremsætte, kan være en vildledende handelspraksis i henhold til artikel 6:193b og 6:193c i BW.
Hvordan gælder GDPR for chatbot-samtaler?
GDPR gælder, så snart chatbotten behandler data om en identificerbar person, og det gør samtalelogs næsten altid. Først skal du fastslå det retlige grundlag: samtykke, opfyldelse af en kontrakt eller legitime interesser.
Tre punkter forårsager de fleste problemer. Opbevaring: Transskriptioner opbevares ofte på ubestemt tid, hvilket overtræder princippet om begrænsning af lagring. Sekundær brug: Brug af live-samtaler til at træne en model er et nyt formål, der kræver sin egen vurdering og informationsmeddelelse. Særlige kategoridata: Inden for sundhedsvæsenet, forsikrings- eller HR-miljøer indsamler chatbotten sundheds- eller andre følsomme data, hvilket er forbudt, medmindre en specifik GDPR-undtagelse gælder.
En platform, der kører chatbotten for dig, er normalt en databehandler, og en databehandleraftale er derefter obligatorisk. Hvis chatbotten profilerer brugere i stor skala, kan det antages, at du har brug for en konsekvensanalyse vedrørende databeskyttelse (DPIA); AP's liste over behandlinger, der kræver en DPIA, dækker evaluering af enkeltpersoner i stor skala. Se vores artikler om dataansvarliges og databehandleres roller i henhold til GDPR og brug af AI i en hollandsk virksomhed.
Hvad kræver menneskeligt tilsyn?
Højrisikosystemer skal designes, så folk effektivt kan føre tilsyn med dem under brug. Den ansvarlige skal forstå systemets begrænsninger, genkende automatiseringsbias, fortolke output korrekt og være i stand til at stoppe systemet.
En person, der klikker på "godkend" på et råd, de ikke kan vurdere, er ikke en forsømmelse. Navngiv rollen, oplær personerne, giv dem adgang til begrundelsen bag et output, og registrer deres interventioner.
GDPR tilføjer en separat test. En person har ret til ikke at være underlagt en afgørelse, der udelukkende er baseret på automatiseret behandling, og som har juridiske eller lignende betydelige virkninger. Hvis en chatbot afviser en ansøgning eller automatisk fastsætter en pris, skal du tilbyde menneskelig indgriben, en forklaring og en måde at anfægte den på. Forudindtaget output, der sporer en beskyttet egenskab, kan udgøre indirekte forskelsbehandling i henhold til ligebehandlingsloven (Algemene wet gelijken behandeling); se vores artikel om ansvar for algoritmisk bias.
Hvem fører tilsyn med kunstig intelligens i Holland?
Den hollandske tilsynsstruktur er stadig under opbygning. Regeringen foreslår, at sektorregulatorer beholder tilsynet inden for deres egne områder, med AP og den hollandske myndighed for digital infrastruktur (Rijksinspectie Digitale Infrastructuur, RDI) i koordinerende roller.
Den hollandske implementeringslov (Uitvoeringswet AI-verordening) er endnu ikke vedtaget, så nationale beføjelser og sanktioner er ikke endelige. Det forhindrer ikke håndhævelsen: GDPR gælder fuldt ud, og forbuddene i henhold til AI-loven gælder direkte. I sin rapport om AI og algoritmiske risici fra februar 2025 advarede AP mod at bruge generative AI-chatbots til stemmerådgivning, fordi resultaterne var upålidelige og skæve; se AP's rapport om AI og algoritmiske risici.
Er du udbyderen eller distributøren?
AI-loven tildeler forpligtelser efter rolle. En udbyder udvikler et system og bringer det på markedet under eget navn; en distributør bruger et system under egen myndighed. At købe en chatbot fra hylden gør dig til distributør.
En distributør bliver udbyder af et højrisikosystem, hvis vedkommende sætter sit eget navn eller varemærke på det, ændrer det væsentligt eller ændrer dets formål, så det bliver et højrisikosystem. Det er tilstrækkeligt at give en chatbot en hvid mærkning eller bruge en kundeservicebot til at sortere jobansøgere. Udbyderpligter, såsom overensstemmelsesvurdering, teknisk dokumentation og registrering i EU-databasen, er offentligretlige pligter, som en kontrakt ikke kan ændre.
Implementeringsansvarlige for højrisikosystemer skal bruge systemet som anvist, udpege kompetent tilsyn, sikre relevante inputdata, overvåge driften, føre logfiler og informere medarbejdere, før et højrisikosystem anvendes på arbejdspladsen. I henhold til artikel 27(1)(k) og (l) i loven om samarbejdsudvalg (WOR) har samarbejdsudvalget ret til at give samtykke til regler for behandling af medarbejderdata og til systemer, der overvåger medarbejderadfærd eller -præstation.
Hvordan beskytter du fortrolige oplysninger?
Det er ofte den mest konkrete risiko, at medarbejdere indtaster klientdata, kontraktudkast eller kildekode i en offentlig chatbot. Afhængigt af servicevilkårene kan udbyderen gemme eller bruge disse input til træning.
Det kan krænke kontraktlig fortrolighed, underminere beskyttelsen af forretningshemmeligheder i henhold til loven om beskyttelse af forretningshemmeligheder (Wet bescherming bedrijfsgeheimen), som kræver rimelige foranstaltninger for at holde oplysninger hemmelige, og være et databrud, der skal rapporteres til AP. En skriftlig politik for brug af AI, der navngiver godkendte værktøjer, kombineret med en virksomhedskontrakt, der udelukker træning i dine input, fjerner i vid udstrækning denne eksponering.
Hvad skal du som distributør kontrollere?
- Registrer AI Act-klassificeringen af hver chatbot og hvorfor, og gennemgå den, når brugen ændrer sig.
- Vis en tydelig AI-meddelelse i starten af hver samtale, og tilbyd en rute til et menneske.
- Ret GDPR-retsgrundlaget, opbevaringsperioden for transskriptioner og databehandleraftalen med platformen.
- Undersøg, om en DPIA er nødvendig, og om samarbejdsudvalget skal give samtykke (artikel 27 i WOR).
- Sæt ikke dit eget brand på et tredjepartssystem eller ændr dets formål uden at tjekke, om du bliver udbyder.
- Vedtag en politik for brug af AI for personale vedrørende fortrolige oplysninger.
Hvad skal du som udbyder eller udvikler kontrollere?
- Dokumentér kilderne til træningsdata og hvordan fravalg af tekst- og datamining i henhold til artikel 15o i auteurswet blev respekteret.
- Markér syntetisk output på en maskinlæsbar måde.
- Undersøg, om dit system eller din model falder ind under de generelle AI-regler eller højrisikoregimet.
- Udarbejd teknisk dokumentation og instruktioner til distributører.
- Udarbejd licensvilkår, der tydeligt fordeler roller i henhold til AI Act, IP-godtgørelser og revisionsrettigheder.
Hvad kan vi gøre for dig med chatbot-compliance?
Vores IT-advokater rådgiver virksomheder om den juridiske side af AI; vores IT-retsvejledninger dækker det bredere kontraktlige landskab.
- Vi klassificerer din chatbot under AI-loven og registrerer begrundelsen.
- Vi gennemgår leverandørkontrakten vedrørende data sourcing, IP-skadesløsholdelse, AI Act-roller og exit.
- Vi udarbejder GDPR-dokumentationen: privatlivsmeddelelse, databehandleraftale og DPIA.
- Vi udarbejder en politik for brug af AI for jeres medarbejdere.
- Vi vurderer, om et chatbot-output krænker ophavsretten, og håndterer kravet.
- Vi rådgiver om samarbejdsudvalgets ret til samtykke, inden I introducerer kunstig intelligens på arbejdspladsen.
Resumé
- En chatbot skal overholde Auteurswet, GDPR og AI-loven på samme tid.
- Tekst- og datamining er tilladt i henhold til artikel 15o i Auteurswet, medmindre rettighedshaveren har fravalgt det.
- De fleste kundevendte chatbots har begrænset risiko: brugerne skal informeres om, at de har at gøre med AI.
- Omnibusforordningen (EU) 2026/1744 udsatte kun højrisikoordningen.
- Rebranding eller et nyt formål for en chatbot kan forvandle en distributør til en udbyder med store forpligtelser.
Ofte stillede spørgsmål
Hvem er ansvarlig, hvis en chatbot krænker ophavsretten?
Ofte begge dele. Udvikleren kan være ansvarlig for træning på beskyttede værker uden tilladelse eller en gyldig undtagelse i henhold til Auteurswet; den virksomhed, der udgiver krænkende output, begår sin egen krænkelse. Spørg din leverandør om datakilder, og forhandl en erstatning for IP.
Gælder GDPR for chatbot-samtaler?
Ja, så snart en samtale kan forbindes med en identificerbar person. Du skal bruge et lovligt grundlag, en klar informationsmeddelelse, dataminimering, en opbevaringsperiode og procedurer for anmodninger om adgang og sletning. Den hollandske databeskyttelsesmyndighed (AP) fører tilsyn med overholdelsen.
Hvad er det første skridt for at gøre vores chatbot kompatibel?
Klassificer chatbotten under AI-loven baseret på, hvad den gør: minimal, begrænset, højrisiko eller forbudt. En simpel FAQ-bot har få opgaver; en bot, der screener jobansøgere eller vurderer kreditvurdering, er højrisiko. Registrer klassificeringen og din begrundelse.
Er chatbot-output beskyttet af ophavsret?
Rent maskingenereret output er normalt ikke det, fordi hollandsk ophavsret kræver et værk med sin egen originale karakter og et menneskeligt skabers personlige præg. Hvor en person træffer reelle kreative valg i udformningen af outputtet, er beskyttelse mulig.
