Liabiliti AI: siapa yang bertanggungjawab apabila sistem AI menyebabkan kemudaratan?

Apabila sistem AI menyebabkan kemudaratan di Belanda, liabiliti sentiasa terletak pada seseorang atau syarikat, bukan sekali-kali pada perisian itu sendiri. Dalam praktiknya, tuntutan ditujukan kepada pengguna (organisasi yang menggunakan sistem) di bawah undang-undang tort, Perkara 6:162 Kanun Sivil Belanda (BW), atau kepada pengeluar di bawah liabiliti produk, Perkara 6:185 BW, yang tidak memerlukan kesalahan.

Yang manakah antara kedua-duanya menanggung kerugian bergantung pada di mana kegagalan berlaku, apa yang diketahui oleh setiap pihak dan apa yang dinyatakan dalam kontrak mereka. Artikel ini merangkumi kedua-dua kedudukan. Kerangka undang-undang jenayah, daripada pelakuan fungsian kepada liabiliti korporat di bawah Perkara 51 Kanun Jenayah (Sr), dibincangkan dalam artikel pendamping kami tentang sama ada algoritma boleh bertanggungjawab sebahagiannya.

Mengapakah sistem AI itu sendiri tidak pernah bertanggungjawab?

Undang-undang Belanda hanya mengenal pasti orang perseorangan dan orang sah, dan sistem AI bukanlah kedua-duanya. Ia tidak boleh dipanggil, didenda atau diperintahkan untuk membayar ganti rugi, kerana ia tidak memiliki apa-apa; cadangan untuk "keperibadian elektronik" telah dibincangkan di peringkat EU tetapi tidak diterima pakai.

Oleh itu, persoalannya ialah pihak mana dalam rantaian tersebut yang gagal dalam sesuatu tugas: pembangun model, pihak yang mengubahnya menjadi produk, pembekal atau penyepadu, organisasi yang menggunakan, atau orang yang bertindak ke atas output. Liabiliti untuk AI ialah usaha mencari kegagalan dalam rantaian tersebut dan memadankannya dengan asas perundangan.

Bilakah pengguna bertanggungjawab?

Pengguna bertanggungjawab apabila ia menggunakan, mengkonfigurasi atau bergantung pada sistem tanpa penjagaan yang sewajarnya dilakukan oleh pengendali yang munasabah. Organisasi yang memilih alat, memasukkan data dan bertindak berdasarkan outputnya dinilai berdasarkan tindakannya sendiri.

Bagaimana jika AI digunakan untuk melakukan kesalahan?

Menggunakan AI secara sengaja untuk suatu kesalahan tidak mengubah kesalahan tersebut. Invois yang dijana AI yang meyakinkan yang digunakan untuk menipu syarikat adalah penipuan (oplichting) di bawah Perkara 326 Sr, dokumen palsu kekal sebagai pemalsuan di bawah Perkara 225 Sr, dan kod bertulis AI yang digunakan untuk memecah masuk ke dalam sistem adalah pencerobohan komputer di bawah Perkara 138ab Sr.

Imej manipulasi orang sebenar boleh dianggap sebagai fitnah, dan deepfake seksual tertakluk di bawah peraturan kesalahan seksual yang berkuat kuasa sejak 1 Julai 2024 (Wet seksual misdrijven). Gangguan berbantukan AI yang berterusan boleh dianggap sebagai pengintipan di bawah Perkara 285b Sr, yang hanya akan didakwa atas aduan mangsa. Gesaan, log akaun, output dan metadata fail adalah bukti yang menghubungkan kesalahan tersebut dengan seseorang; lihat gambaran keseluruhan kami tentang jenayah komputer dan jenayah siber di Belanda.

Bagaimana rupa penggunaan secara cuai?

Lebih banyak organisasi menghadapi masalah kerana kecuaian berbanding niat. Sistem yang dibeli untuk satu tujuan digunakan untuk tujuan lain, outputnya dianggap sebagai keputusan dan bukannya isyarat, dan tiada siapa yang menyemak kes-kes di mana ia salah.

Di bawah Perkara 6:162 BW, pelanggaran kewajipan berhati-hati yang tidak bertulis adalah menyalahi undang-undang, dinilai berdasarkan apa yang akan dilakukan oleh pengendali yang berhati-hati. Majikan juga bertanggungjawab atas kesalahan pekerjanya (Perkara 6:170 BW), dan pihak yang menggunakan model pembekal untuk melaksanakan jawapan kontraknya sendiri untuk pembantu tersebut (Perkara 6:76 BW).

Akta AI EU (Peraturan (EU) 2024/1689) kini memenuhi tugas penjagaan untuk sistem berisiko tinggi. Penyedia mesti menggunakan sistem mengikut arahan, menugaskan pengawasan manusia kepada orang yang kompeten dan berkuasa, memastikan data input yang berkaitan, memantau operasi, menyimpan log dan memaklumkan pekerja sebelum menggunakan sistem sedemikian di tempat kerja. Mahkamah yang menilai kecuaian akan menganggap kewajipan ini sebagai standard kelakuan yang berhati-hati.

Pengawasan manusia mestilah nyata. Seorang penilai yang meluluskan hampir semua yang dicadangkan oleh sistem, yang diukur berdasarkan daya pemprosesan, tidak membuat keputusan; "bias automasi" inilah yang paling kerap menyebabkan kegagalan pengawasan.

Risiko manakah yang tidak boleh diwariskan oleh pengguna?

• Terhadap pihak yang cedera, pengguna adalah defendan yang kelihatan. Pelanggan yang ditolak kreditnya atau calon yang ditolak oleh alat saringan akan menyaman pengerahkan; tindakan terhadap pembekal adalah persoalan berasingan di bawah kontrak.
• Perlindungan data terpakai secara bebas. Penyedia biasanya merupakan pengawal di bawah Peraturan Perlindungan Data Umum (GDPR), dan Perkara 22 GDPR memberi orang ramai hak untuk campur tangan manusia dalam keputusan automatik sepenuhnya dengan kesan undang-undang atau kesan yang serupa. Lihat halaman kami di Peraturan Perlindungan Data Am.
• Pengubahsuaian mengubah peranan anda. Penyedia yang meletakkan namanya pada sistem berisiko tinggi, mengubah tujuan yang dimaksudkan atau mengubahnya secara substansial menjadi penyedia di bawah Akta AI, dengan kewajipan penyedia.

Bilakah pengeluar bertanggungjawab?

Pengeluar bertanggungjawab tanpa kesalahan atas kerosakan yang disebabkan oleh kecacatan pada produknya (Perkara 6:185 BW). Sesuatu produk adalah cacat jika ia tidak menawarkan keselamatan yang dijangkakan oleh seseorang, dengan mengambil kira penyampaiannya, penggunaannya yang dijangkakan secara munasabah dan masa ia diedarkan; pihak yang cedera mesti membuktikan kerosakan, kecacatan dan kaitan sebab akibat.

Tuntutan mesti dibuat dalam tempoh tiga tahun selepas pihak yang cedera menyedari, atau sepatutnya menyedari, tentang kerosakan, kecacatan dan identiti pengeluar, dan hak tersebut tamat tempoh sepuluh tahun selepas produk tersebut diedarkan. Liabiliti produk tidak boleh dikecualikan atau dihadkan oleh kontrak terhadap pihak yang cedera. Pengeluar boleh bergantung pada satu set pembelaan terhad, termasuk pembelaan risiko pembangunan.

Apakah perubahan untuk perisian di bawah Arahan Liabiliti Produk yang baharu?

Arahan Liabiliti Produk (Arahan (EU) 2024/2853) yang disemak semula telah berkuat kuasa pada 8 Disember 2024 dan mesti diubah suai sebelum 9 Disember 2026. Ia terpakai kepada produk yang diletakkan di pasaran selepas tarikh tersebut; produk terdahulu kekal ditadbir oleh peraturan Kanun Sivil semasa.

• Perisian, termasuk sistem AI, sememangnya merupakan satu produk.
• Lebih banyak pihak boleh dipertanggungjawabkan: sesiapa sahaja yang mengubah suai produk secara substansial di luar kawalan pengilang, pengimport, wakil yang diberi kuasa dan, dalam beberapa kes, penyedia perkhidmatan pemenuhan dan platform dalam talian.
• Kemusnahan atau kerosakan data yang tidak digunakan untuk tujuan profesional menjadi kerosakan yang boleh dipulihkan.
• Sesuatu produk boleh menjadi rosak selepas ia diletakkan di pasaran, contohnya melalui kemas kini yang rosak atau kegagalan untuk membekalkan kemas kini keselamatan.

Arahan itu juga memudahkan pembuktian. Mahkamah boleh memerintahkan defendan untuk mendedahkan bukti yang berkaitan, dan jika ia tidak mematuhi, kecacatan dianggap. Jika kerumitan teknikal menyukarkan pembuktian secara berlebihan, kecacatan atau sebab-akibat boleh dianggap jika penuntut menunjukkan kemungkinannya.

Apa yang boleh dikawal selia oleh kontrak?

Antara perniagaan, kontrak biasanya merupakan medan pertempuran pertama. Pembekal mesti menyampaikan apa yang telah dipersetujui; ketepatan, ketersediaan atau pematuhan Akta AI yang dijanjikan yang tidak dipenuhi adalah pelanggaran, dengan prestasi, ganti rugi dan penamatan tersedia selepas notis ingkar.

Klausa had masa biasanya berkuat kuasa antara perniagaan, tetapi mahkamah boleh mengetepikannya jika bergantung padanya tidak boleh diterima di bawah kewajaran dan keadilan (Perkara 6:248(2) BW), contohnya dalam kes niat atau kecuaian yang disengajakan. Lihat halaman kami tentang tuntutan ganti rugi untuk cara tuntutan tersebut dibina.

Adakah Akta AI memberikan hak untuk pampasan?

Tidak. Akta AI bersifat kawal selia: ia menetapkan tugas untuk penyedia dan pengerahkan dan memberikan kuasa penguatkuasaan kepada penyelia, tetapi ia tidak mewujudkan tuntutan ganti rugi. Suruhanjaya Eropah telah menarik balik cadangannya untuk Arahan Liabiliti AI, jadi tuntutan dijalankan melalui undang-undang tort dan kontrak kebangsaan serta liabiliti produk.

Akta AI masih penting di mahkamah: ketidakpatuhan adalah bukti kecuaian, dokumentasi teknikal dan log mandatori boleh diminta dalam prosiding, dan Akta tersebut menyelesaikan siapa penyedia dan siapa pengerahkan. Amalan undang-undang IT kami menangani persoalan klasifikasi tersebut.

Bagaimana jika pengguna dan pengeluar kedua-duanya gagal?

Kebanyakan insiden mempunyai beberapa punca: data latihan yang tidak mewakili, integrasi yang belum diuji, penggunaan di luar tujuan yang dimaksudkan dan pengendali yang tidak mengetahui had sistem. Di bawah Perkara 6:102 BW, pihak yang bertanggungjawab atas kerosakan yang sama masing-masing bertanggungjawab untuk keseluruhan kerugian terhadap pihak yang cedera, dan menyelesaikan bahagian mereka sesama sendiri selepas itu.

Urusan faedah penjagaan anak Belanda (toeslagenaffaire) menggambarkan corak ini: klasifikasi risiko yang tidak jelas, keputusan tanpa penilaian individu yang sebenar dan akibatnya ditanggung sepenuhnya oleh orang yang terjejas. Kesannya adalah pentadbiran dan politik dan bukannya jenayah.

Apa yang terpakai kepada kenderaan autonomi, dron dan robot?

Kecederaan fizikal menambah liabiliti ketat yang tidak mempersoalkan sama ada sesiapa cuai. Di bawah Perkara 185 Akta Lalu Lintas Jalan Raya 1994 (Wegenverkeerswet 1994), pemilik atau penjaga kenderaan bermotor bertanggungjawab atas kerosakan kepada pejalan kaki dan penunggang basikal melainkan terdapat force majeure, tanpa mengira sama ada sistem bantuan pemandu sedang memandu.

Dron tertakluk di bawah peraturan dron EU, dengan pendaftaran pengendali melalui RDW dan penyeliaan oleh Inspektorat Alam Sekitar Manusia dan Pengangkutan (ILT). Pemilik benda boleh alih yang rosak yang menimbulkan bahaya tertentu bertanggungjawab di bawah Perkara 6:173 BW, juga di mana kesalahan terletak pada perisiannya, jadi pemilik robot perindustrian tidak boleh hanya menunjuk ke arah vendor.

Apakah yang perlu anda semak sebagai pengguna sistem AI?

• Simpan inventori sistem AI yang anda gunakan, siapa yang membekalkannya dan keputusan yang dipengaruhinya.
• Tetapkan untuk setiap sistem sama ada anda seorang penyebar atau, selepas pengubahsuaian, seorang penyedia di bawah Akta AI.
• Catatkan tujuan yang dimaksudkan dan patuhi arahan penggunaan pembekal.
• Berikan pengendali kuasa sebenar untuk mengatasi sistem dan jangan ukur mereka berdasarkan jumlah sahaja.
• Simpan log dan rekod insiden cukup lama untuk digunakan dalam pertikaian.

Apakah yang perlu anda semak sebagai pengeluar atau pembekal?

• Pengurusan risiko dokumen, tadbir urus data dan pengujian terhadap populasi yang sebenarnya akan digunakan oleh sistem.
• Tulis arahan penggunaan yang jujur ​​tentang batasan dan kadar ralat.
• Tetapkan dasar kemas kini yang menyatakan siapa yang membekalkan kemas kini keselamatan dan berapa lama, memandangkan Arahan (EU) 2024/2853.
• Setuju dengan had liabiliti, pembahagian dan indemniti yang mencerminkan apa yang sebenarnya diputuskan oleh sistem.
• Aturkan saluran untuk pelanggan melaporkan insiden dan merekodkan bagaimana setiap satu dikendalikan.

Apa yang boleh kami lakukan untuk anda dengan liabiliti AI?

Peguam IT dan undang-undang jenayah Belanda kami menasihati organisasi yang membina sistem AI dan organisasi yang menggunakannya.

• Kami menentukan sama ada anda seorang penyedia atau pengerahkan di bawah Akta AI dan tugas yang dikenakan.
• Kami menyemak dan merundingkan kontrak bekalan AI, termasuk had, indemniti dan akses kepada log.
• Kami menilai tuntutan selepas kejadian dan bukti yang anda perlukan untuk mempertahankan atau mengemukakannya.
• Kami menilai pendedahan jenayah syarikat dan pengarahnya apabila sistem AI disalahgunakan.
• Kami merangka dasar AI dalaman mengenai pengawasan manusia, pembalakan dan pengendalian insiden.

Ringkasan

• Sistem AI tidak boleh bertanggungjawab; pengguna atau pengeluar bertanggungjawab.
• Pengguna bertanggungjawab atas tort (Perkara 6:162 BW), dengan Akta AI menetapkan piawaian penjagaan untuk sistem berisiko tinggi.
• Pengeluar bertanggungjawab tanpa kesalahan atas produk yang cacat (Perkara 6:185 BW), dalam tempoh tiga dan sepuluh tahun.
• Arahan (EU) 2024/2853 menjadikan perisian sebagai produk dan memudahkan pembuktian, untuk produk yang diletakkan di pasaran selepas 9 Disember 2026.
• Beberapa pihak yang bertanggungjawab masing-masing bertanggungjawab untuk keseluruhannya terhadap pihak yang cedera.

Soalan lazim