Forbudte AI-praksisser: Hvad AI-loven forbyder hollandske virksomheder

Siden den 2. februar 2025 har EU's lov om kunstig intelligens (forordning (EU) 2024/1689) forbudt en kort liste over kunstig intelligens-praksisser i hele EU, herunder i Holland: manipulation, udnyttelse af sårbare personer, social scoring, følelsesgenkendelse på arbejdspladsen og i skoler, visse biometriske anvendelser og umålrettet scraping af ansigtsbilleder. Der er ingen overgangsperiode, og forbuddet gælder for virksomheder, der udvikler kunstig intelligens, såvel som for virksomheder, der udelukkende bruger den.

Forbuddet vedrører brugen, ikke teknologien. Den samme ansigtsgenkendelsessoftware kan være lovlig til adgangskontrol til et serverrum og forbudt til andre formål. Denne side forklarer hver enkelt forbudt praksis, hvem der håndhæver forbuddet i Holland, og hvad din virksomhed skal gøre nu.

Hvilke AI-praksisser er forbudte?

Listen over forbudte praksisser i artikel 5 i AI-loven indeholder otte kategorier. De fleste af dem gælder kun, når praksissen forårsager eller med rimelighed kan forventes at forårsage betydelig skade, eller når den har bestemte formål.

Manipulerende eller vildledende teknikker

Du må ikke bruge AI, der anvender subliminale, målrettet manipulerende eller vildledende teknikker til væsentligt at forvrænge en persons adfærd på en måde, der forårsager eller sandsynligvis vil forårsage betydelig skade. Tænk på skjulte nudging-mønstre eller mørke mønstre, der presser forbrugere til at træffe beslutninger, de ellers ikke ville træffe. Almindelig, transparent personalisering af tilbud er ikke dækket. Vildledende handelspraksis kan også overtræde hollandsk forbrugerlovgivning om urimelig handelspraksis.

Udnyttelse af sårbarheder

AI må ikke udnytte menneskers sårbarheder på grund af deres alder, handicap eller en specifik social eller økonomisk situation med det formål eller den virkning at forvrænge deres adfærd væsentligt og forårsage betydelig skade. Eksempler er systemer, der er rettet mod børns manglende erfaring eller skubber mennesker i økonomisk nød i retning af dyr kredit.

Social scoring

Det er forbudt at evaluere eller klassificere personer over tid baseret på deres sociale adfærd eller personlige karakteristika, hvor scoren fører til skadelig behandling i en urelateret kontekst eller behandling, der er uberettiget eller uforholdsmæssig. Forbuddet gælder for både offentlige myndigheder og private virksomheder. Almindelige kredittjek baseret på relevante økonomiske data er ikke social scoring, men de kan være højrisiko.

Forudsigelse af kriminalitet fra profilering

AI må ikke anvendes til at vurdere risikoen for, at en person vil begå en strafbar handling udelukkende baseret på profilering eller personlighedstræk. Systemer, der understøtter en menneskelig vurdering baseret på objektive, verificerbare fakta knyttet til kriminel aktivitet, er uden for dette forbud.

Umålrettet skrabning af ansigtsbilleder

Det er forbudt at oprette eller udvide ansigtsgenkendelsesdatabaser gennem målrettet scraping af ansigtsbilleder fra internettet eller fra CCTV-optagelser. Køb af adgang til en sådan database kan gøre dig til bruger af en forbudt praksis.

Følelsesgenkendelse på arbejdet og i uddannelsen

Du må ikke bruge kunstig intelligens til at udlede følelser hos personer på arbejdspladsen eller i uddannelsesinstitutioner, undtagen af ​​medicinske eller sikkerhedsmæssige årsager, såsom at registrere træthed hos en chauffør. Dette gælder for HR-værktøjer, der analyserer ansigtsudtryk eller stemmer i jobsamtaler, og callcenter-software, der scorer medarbejderes følelser. Hvis du planlægger overvågning af arbejdspladsen, kræves der også samarbejdsudvalgets samtykke i henhold til artikel 27(1)(l) i samarbejdsudvalgsloven (WOR).

Biometrisk kategorisering af følsomme træk

AI må ikke kategorisere personer på baggrund af biometriske data for at udlede deres race, politiske holdninger, fagforeningsmedlemskab, religiøse eller filosofiske overbevisninger, sexliv eller seksuelle orientering. Mærkning eller filtrering af lovligt erhvervede biometriske datasæt i retshåndhævelse er en undtagelse.

Politiets fjernbiometriske identifikation i realtid

Ansigtsgenkendelse i realtid i offentligt tilgængelige rum for retshåndhævelse er forbudt, undtagen i snævert definerede tilfælde såsom eftersøgning af ofre for bortførelse eller menneskehandel, forebyggelse af en overhængende trussel mod livet eller et terrorangreb og lokalisering af mistænkte for alvorlige forbrydelser. Enhver brug kræver forudgående tilladelse fra en retslig eller uafhængig administrativ myndighed. For virksomheder er hovedpointen, at undtagelsen kun gælder for retshåndhævelse.

Hvem skal overholde kravene?

Alle i kæden: leverandører, der udvikler eller markedsfører et AI-system, distributører, der bruger det i deres forretning, og importører og distributører. At købe et værktøj fra en leverandør flytter ikke dit ansvar som bruger.

AI-loven gælder også for leverandører uden for EU, når outputtet fra deres system anvendes i EU. Kontrakter med AI-leverandører bør derfor indeholde en garanti for, at systemet ikke anvendes til forbudte formål, og en ret til at opsige aftalen, hvis det viser sig at være tilfældet.

Hvem håndhæver forbuddet i Holland?

Den hollandske lov, der udpeger tilsynsmyndighederne i henhold til AI-loven (Uitvoeringswet AI-verordening), er stadig et lovforslag. Den planlagte struktur bygger på eksisterende sektortilsynsmyndigheder, hvor den hollandske databeskyttelsesmyndighed (Autoriteit Persoonsgegevens, AP) for områder uden en sektortilsynsmyndighed og den hollandske myndighed for digital infrastruktur (RDI) koordinerer.

Fraværet af en gennemførelsesretsakt gør ikke en forbudt praksis lovlig. De fleste forbudte praksisser involverer også ulovlig behandling af personoplysninger i henhold til GDPR , og AP kan håndhæve GDPR i dag. Europa-Kommissionen offentliggjorde ikke-bindende retningslinjer for de forbudte praksisser den 4. februar 2025; EU-Domstolen har det sidste ord i fortolkningen.

Hvad er sanktionerne?

Overtrædelse af et forbud medfører det højeste bødeloft i AI-loven: et fast maksimumbeløb eller en procentdel af den samlede globale årlige omsætning, alt efter hvad der er højest. Lavere lofter gælder for andre overtrædelser og for at give ukorrekte oplysninger til en myndighed, og lavere lofter gælder for små og mellemstore virksomheder.

En person, der har lidt skade som følge af et forbudt system, kan også kræve erstatning ved de hollandske civile domstole, for eksempel på grundlag af erstatning uden for kontrakt (onrechtmatige daad, artikel 6:162 i den hollandske civilret). Det foreslåede EU-direktiv om ansvar for AI blev trukket tilbage, så almindelig hollandsk ansvarslov gælder.

Hvad skal du gøre nu?

Start med en opgørelse over alle AI-systemer, der er i brug, inklusive AI-funktioner, der er indbygget i software, du allerede har, såsom HR-, marketing- eller sikkerhedsværktøjer. Test derefter hver anvendelse i forhold til de otte ovenstående kategorier.

• Registrer for hvert system dets formål, dets input, dets output og hvem det påvirker.
• Stop enhver forbudt brug med det samme, og registrer hvornår og hvordan du stoppede den.
• Spørg leverandørerne skriftligt, om deres system indeholder følelsesgenkendelse, biometrisk kategorisering eller scrapede ansigtsdata.
• Gem dine evalueringer, så du kan vise en vejleder, hvad du har tjekket og hvornår.

Gælder pligten til AI-læsefærdigheder også?

Ja. Siden samme dato, den 2. februar 2025, skal udbydere og distributører træffe foranstaltninger for at sikre, at personale, der betjener eller bruger AI-systemer, har et tilstrækkeligt niveau af AI-færdigheder. Dette gælder for alle AI-systemer, ikke kun højrisikosystemer.

Træningen skal passe til rollen: HR-medarbejdere skal genkende en forbudt funktion til følelsesgenkendelse i et rekrutteringsværktøj, og indkøbspersonale skal stille de rigtige spørgsmål til leverandørerne. Hold styr på, hvem der blev trænet, hvornår og i hvad.

Hvad bør man som virksomhed tjekke ved hjælp af AI?

• Indeholder noget værktøj følelser hos medarbejdere eller jobansøgere?
• Giver noget system point til kunder på adfærd, der ikke er relateret til den service, I leverer?
• Er der nogen markedsføringsværktøjer, der er rettet mod personer på grund af alder, handicap eller økonomisk nød, på en måde, der kan skade dem?
• Bruger du en database med ansigtsgenkendelse, og ved du, hvordan den blev bygget?
• Har I trænet personalet i at genkende forbudt brug?

Hvad skal man som AI-leverandør undersøge?

• Kan dit produkt konfigureres til en forbudt anvendelse, og forbyder dine vilkår det?
• Udleder dit produkt følelser eller følsomme træk fra biometriske data?
• Blev der indhentet nogen træningsdata gennem umålrettet scraping af ansigtsbilleder?
• Forklarer din brugsanvisning, hvilke anvendelser der ikke er tilladt?
• Har du dokumenteret din vurdering i forhold til de forbudte praksisser?

Hvad kan vi gøre for dig med forbudte AI-praksisser?

Vores IT-advokater hjælper virksomheder med at kontrollere deres brug af AI i forhold til AI-loven og GDPR.

• Vi vurderer din AI-beholdning i forhold til de forbudte praksisser og højrisikokategorierne.
• Vi gennemgår leverandørkontrakter og tilføjer garantier og opsigelsesrettigheder ved forbudt brug.
• Vi udarbejder jeres interne AI-politik og AI-færdighedsprogram.
• Vi rådgiver om GDPR-positionen for de samme systemer, hvor håndhævelse allerede er mulig.
• Vi bistår dig i forespørgsler eller undersøgelser foretaget af AP eller en sektortilsynsførende.

Resumé

• Siden den 2. februar 2025 har AI-loven forbudt otte kategorier af AI-praksisser uden en overgangsperiode.
• Forbuddet gælder for udbydere og virksomheder, der udelukkende bruger kunstig intelligens.
• Følelsesgenkendelse på arbejdet og i uddannelsessystemet er forbudt, undtagen af ​​medicinske eller sikkerhedsmæssige årsager.
• Den hollandske implementeringslov er stadig et lovforslag, men AP kan allerede handle i henhold til GDPR.
• Forbudte praksisser har det højeste bødeloft i AI-loven; skadelidte personer kan også kræve erstatning.

Ofte stillede spørgsmål