De Artificial Intelligence ACT, waarom is dat voor mij van belang?

De Artificial Intelligence Act, in het kort: de AI Act, is inwerking getreden op 13 juni 2024.

Doelstelling en plaats van de AI-Act

De AI-Act heeft ten doel om de ontwikkeling van AI, met name ook door start ups, te promoten en tegelijkertijd de gevaarlijke aspecten daarvan voor de grondrechten en vrijheden van de burgers van de EU te beteugelen. Remmen en gas geven tegelijk: we zullen zien hoe dat afloopt! De AI Act is een Verordening van de EU die aanvullend is op de andere Verordeningen van de EU, zoals de AVG, de Digital Services Act etc. De AI Act richt zich onder andere op de aanbieders van AI-systemen, de gebruiksverantwoordelijke, met ander woorden degene die het AI-systeem inzet en de betrokken personen. De vraag is wat de AI Act toevoegt naast bijvoorbeeld de AVG.

Wat is een AI-systeem?

Een AI-systeem is een machine gebaseerd systeem dat is ontworpen om met verschillende niveaus van autonomie te werken. Na het inzetten ervan kan het aanpassingsvermogen vertonen. Het systeem kan uit de ontvangen input afleiden en voor expliciete of impliciete doelstellingen output genereren zoals voorspellingen, inhoud, aanbevelingen of beslissingen die van invloed kunnen zijn op fysieke of virtuele omgevingen.

De AI Act onderscheidt verschillende risicocategorieën, te weten:

Verboden praktijken: AI-systemen voor bijvoorbeeld: schadelijke manipulatie, het gebruik maken van kwetsbare personen of groepen van personen, social scoring,  profiling met het doel een risicobeoordeling te maken op de kans dat een persoon of groep van personen strafbare feiten zal plegen,  onterechte social scoring en emotieherkenning op het werk of in het onderwijs hebben een onaanvaardbaar risico, het aanleggen van gezichtsdatabanken door middel van ongerichte scraping van camerabeelden of het internet, biometrische classificatie van personen en realtime biometrische identificatie op afstand tenzij nodig voor rechtshandhaving in specifieke gevallen met rechterlijke machtiging;

Hoog-risico: Daarnaast worden in Hoofdstuk III van de AI-Act diverse regels gesteld om uit te maken of een AI-systeem een hoog risico systeem is of niet. Wanneer is een AI-systeem een hoog risico systeem?

Een bijzonder relevante factor voor de classificering van een AI-systeem als AI-systeem met een hoog risico, is de omvang van de door het AI-systeem veroorzaakte nadelige effecten op de grondrechten die door het Handvest worden beschermd. Onder die rechten zijn begrepen: het recht op menselijke waardigheid, de eerbiediging van het privéleven en van het familie- en gezinsleven, de bescherming van persoonsgegevens, de vrijheid van meningsuiting en van informatie, de vrijheid van vergadering en vereniging, het recht op non-discriminatie, het recht op onderwijs, consumentenbescherming, de rechten van werknemers, de rechten van personen met een handicap, gendergelijkheid, intellectuele-eigendomsrechten, het recht op een doeltreffende voorziening in rechte en op een onpartijdig gerecht, het recht op verdediging en het vermoeden van onschuld, alsook het recht op behoorlijk bestuur. Naast deze rechten moeten ook de specifieke rechten van kinderen worden benadrukt, Ook het grondrecht betreffende een hoog niveau van milieubescherming, dat in het Handvest is vastgelegd en in het beleid van de Unie wordt uitgevoerd, moet in aanmerking worden genomen bij de beoordeling van de ernst van de schade die een AI-systeem kan veroorzaken, onder meer met betrekking tot de gezondheid en de veiligheid van personen. Een volledige lijst met toepassingsgebieden is te vinden in Bijlage III van de AI-verordening en luistert nauw.

Risico op misleiding: de makers van AI-systemen die content genereren moeten dit markeren als gegenereerd of gemanipuleerd, en deepfakes moeten als zodanig bekend worden gemaakt. Ook bij de inzet van bijvoorbeeld chatbots moet duidelijk worden dat je met AI te maken hebt.

Alleen big tech onderworpen aan de AI- Act?

Op het oog lijkt het alsnog de AI-Act vooral van belang is voor partijen die en AI-systeem op de markt brengen. Maar in artikel 2 van de AI-Act wordt ook de gebruiksverantwoordelijke als norm-adressaat genoemd. De “gebruiksverantwoordelijke” is een natuurlijke of rechtspersoon, overheidsinstantie, agentschap of ander orgaan die/dat een AI-systeem onder eigen verantwoordelijkheid gebruikt, tenzij het AI-systeem wordt gebruikt in het kader van een persoonlijke niet-beroepsactiviteit;

Daarmee komt ook de gebruiker zijnde een onderneming in het vizier. Niet alle verplichtingen die op bijvoorbeeld aanbieders van AI-systemen van toepassing zijn, zijn op de gebruiksverantwoordelijke van toepassing.

En ChatGPT dan?

Zo wordt ChatGPT, een veel gebruikt AI-systeem, ingeschat als laag-risico, waarvoor met name transparantieverplichtingen gelden bijvoorbeeld ten aanzien van de input/output van data en onbetrouwbaarheid.  Maar vrijheid/blijheid is het zeker niet en het is aan te raden om de verplichtingen voor gebruiksverantwoordelijken voor hoog risico-systemen als leidraad te nemen.

Gebruikers van AI-systemen met een hoog risico dienen onder andere te voldoen aan de volgende verplichtingen::

• Zorgen voor voldoende AI-geletterdheid bij hun personeel en andere personen die namens hen AI-systemen exploiteren en gebruiken;
• Zorgen voor  passende technische en organisatorische maatregelen nemen om te waarborgen dat AI-systemen worden gebruikt in overeenstemming met de gebruiksaanwijzingen van die AI-systemen;
• Zorgen dat het menselijk toezicht is opgedragen aan natuurlijke personen die over de nodige bekwaamheid, opleiding en autoriteit beschikken en de nodige ondersteuning krijgen;
• Zorgen dat de gebruiksverantwoordelijke controle heeft over de inputdata, ervoor zorgen dat de inputdata relevant en voldoende representatief zijn voor het beoogde doel van het AI-systeem;
• Zorgen voor het monitoren van de werking van het AI-systeem op basis van de gebruikersaanwijzingen en wanneer de gebruiksverantwoordelijke redenen heeft om aan te nemen dat een AI-systeem een risico vormt of de gebruiksverantwoordelijke een ernstig incident vaststelt de aanbieder en markttoezichtautoriteit daarvan op de hoogte stellen;
• Zorgen voor het bewaren van de logs voor een bepaalde periode die automatisch worden gegenereerd, voor zover dergelijke logs onder de controle van de gebruiksverantwoordelijke controle valt;
• Zorgen voor het informeren van werknemersvertegenwoordigers en betrokken werknemers dat zij zullen worden onderworpen aan het gebruik van een AI-systeem, voordat dit op de werkplek wordt gebruikt;
• Zorgen voor het samenwerken met de relevante bevoegde autoriteiten.

Conclusie:

Bij het in gebruik nemen van een hoog-risico AI-systeem moet derhalve de hele organisatie daar ook voor worden klaargestoomd.

Heeft u vragen over bovengenoemde ontwikkelingen, it-recht en  ict-recht, of andere juridische vraagstukken. Onze gespecialiseerde advocaten staan u graag te woord. U kunt een van onze advocaten contacten via de mail, telefoon of het contactformulier voor een vrijblijvend eerste gesprek. Wij denken graag met u mee.