Sebuah chatbot yang digunakan di Belanda terletak di persimpangan tiga badan undang-undang: hak cipta (Auteurswet dan arahan hak cipta EU), perlindungan data (GDPR) dan Akta Kecerdasan Buatan EU, Peraturan (EU) 2024/1689. Setiap rejim tersebut melampirkan tugas kepada organisasi yang meletakkan chatbot di hadapan pengguna, bukan sahaja kepada pembangun yang membinanya. Oleh itu, chatbot, hak cipta dan pematuhan adalah satu subjek dan bukannya tiga, dan kerja bermula dengan klasifikasi bertulis tentang apa yang dilakukan oleh chatbot anda, pada data siapa ia dilatih, dan apa yang dibenarkan untuk diputuskan sendiri.
Tiga rejim undang-undang yang terpakai untuk setiap chatbot
Tiada satu pun statut AI Belanda. Sebaliknya, apa yang wujud ialah timbunan peraturan yang kebanyakannya ditulis sebelum AI generatif menjadi komoditi, ditambah satu peraturan yang ditulis khusus untuknya. Bagi perniagaan di Belanda, akibat praktikalnya ialah anda tidak boleh menjawab persoalan sama ada chatbot anda sah dengan melihat satu teks. Anda perlu menjalankan sistem yang sama melepasi tiga ujian berasingan, dan lulus pada satu tidak menunjukkan apa-apa tentang yang lain.
Hak cipta mengawal bahan yang dimasukkan ke dalam model dan bahan yang keluar daripadanya. Dutch Auteurswet, seperti yang dipinda untuk melaksanakan Arahan DSM, mengandungi pengecualian khusus untuk perlombongan teks dan data, dan pengecualian itu adalah engsel yang menjadi tumpuan kebanyakan hujah data latihan. Perlindungan data mengawal semua yang dipelajari oleh chatbot tentang orang yang menaipnya, dan di sini GDPR terpakai sepenuhnya sebaik sahaja perbualan dapat dikesan kembali kepada individu yang boleh dikenal pasti. Akta AI mengawal sistem itu sendiri: untuk apa ia boleh digunakan, apa yang perlu didedahkan, dokumentasi apa yang mesti wujud dan siapa yang perlu dapat mematikannya.
Ketiga-tiga rejim ini mempunyai penyelia yang berbeza, sekatan yang berbeza dan garis masa yang berbeza. Itu lebih penting daripada yang disangka. Bot sembang yang sempurna dari segi privasi masih boleh dianggap menyalahi undang-undang kerana ia dilatih menggunakan bahan yang dikikis tertakluk kepada pilihan keluar yang sah, dan bot sembang dengan keturunan data yang bersih masih boleh melanggar Akta AI jika ia tidak pernah memberitahu pengguna bahawa ia adalah mesin.
Apa yang sebenarnya diminta oleh setiap rejim daripada anda
Secara ringkasnya, setiap satu daripada ketiga-tiganya menanyakan soalan yang berbeza. Hak cipta bertanya sama ada anda mempunyai kebenaran, atau pengecualian statutori, untuk setiap tindakan penghasilan semula. Perlindungan data bertanya sama ada anda mempunyai asas yang sah di bawah Perkara 6 GDPR, sama ada anda memberitahu subjek data apa yang anda lakukan, dan sama ada anda tidak mengumpul lebih daripada yang anda perlukan. Akta AI bertanya di mana sistem berada pada skala risikonya dan sama ada kewajipan yang berkaitan dengan peringkat tersebut telah dipenuhi dan didokumenkan.
Menjawab tiga soalan tersebut secara bertulis, sebelum pelaksanaan, adalah apa yang mengubah projek AI daripada pendedahan terbuka kepada pendedahan yang boleh diurus. Ia juga, dalam praktiknya, merupakan dokumen pertama yang akan diminta oleh pengawal selia untuk dilihat.
Cabaran undang-undang utama untuk chatbot AI di Belanda
| Kawasan perundangan | Keprihatinan utama | Peraturan pentadbiran |
|---|---|---|
| Perlindungan Data | Memproses data perbualan tanpa asas yang sah, atau menyimpannya lebih lama daripada yang diperlukan. | GDPR, diselia oleh Autoriteit Personsgegevens |
| hak cipta | Pengeluaran semula karya yang dilindungi semasa latihan, dan output yang menghasilkan semula karya yang dilindungi dalam bentuk yang boleh dikenali. | Auteurswet, khususnya pengecualian perlombongan teks dan data dalam artikel 15n dan 15o |
| Ketelusan | Pengguna tidak diberitahu bahawa mereka sedang berurusan dengan mesin, atau output sintetik tidak ditanda sedemikian. | Perkara 50 Akta AI, yang sudah terpakai |
| Liabiliti untuk output | Siapa yang menjawab untuk nasihat, pernyataan atau keputusan yang dihasilkan oleh chatbot. | Undang-undang sivil umum Belanda: kontrak, tort di bawah artikel 6:162 BW, dan liabiliti produk |
Baris keempat patut diberi amaran, kerana ia adalah baris yang paling kerap disalahtafsirkan. Suruhanjaya Eropah telah menarik balik Arahan Liabiliti AI yang dicadangkan, jadi tiada rejim liabiliti Eropah yang harmoni untuk kerosakan AI yang akan datang. Tuntutan tentang jawapan chatbot yang rosak akan diputuskan di bawah undang-undang sivil Belanda biasa: kontrak dengan pelanggan anda, kewajipan penjagaan am dalam artikel 6:162 BW, dan peraturan liabiliti produk yang disemak semula. Kami menetapkan cara ia berfungsi dalam amalan dalam artikel kami tentang liabiliti untuk kesilapan dalam kandungan yang dijana AI.
Hak cipta dan data yang digunakan untuk melatih model anda
Melatih model bahasa yang besar melibatkan penyalinan karya yang dilindungi pada skala perindustrian. Di bawah undang-undang Belanda, penyalinan adalah pengeluaran semula dalam maksud Auteurswet, dan ia menyalahi undang-undang melainkan pemegang hak memberi kebenaran atau pengecualian berkanun terpakai. Tiada padanan doktrin penggunaan adil Amerika dalam bahasa Belanda atau Eropah, dan hujah yang dipinjam daripada litigasi Amerika Syarikat tidak boleh dipindahkan ke mahkamah Belanda.
Pengecualian yang penting ialah perlombongan teks dan data. Perkara 15n Auteurswet membenarkan organisasi penyelidikan dan institusi warisan budaya untuk melombong karya yang mereka mempunyai akses yang sah, untuk tujuan penyelidikan saintifik. Perkara 15o adalah yang lebih luas: ia membenarkan sesiapa sahaja untuk menjalankan perlombongan teks dan data pada karya yang boleh diakses secara sah, tetapi hanya jika pemegang hak tidak secara nyata menempah penggunaan tersebut. Tempahan itu, yang biasanya dipanggil pilihan keluar TDM, mesti dibuat dengan cara yang sesuai, dan untuk bahan yang diterbitkan dalam talian, ia mesti boleh dibaca oleh mesin.
Kesan praktikalnya ialah ujian dua langkah. Adakah jurulatih mempunyai akses yang sah kepada bahan tersebut, dan adakah pemegang hak telah menempah penggunaannya? Jika jawapan kepada soalan kedua adalah ya dan bahan tersebut telah dilombong, pengecualian tersebut akan terbatal dan penghasilan semula tersebut merupakan satu pelanggaran.
Di mana pelaksana mengambil risiko
Perniagaan sering menganggap bahawa masalah data latihan adalah masalah pembangun. Itu hanya separuh betul. Organisasi yang menggunakan chatbot dan menerbitkan apa yang dihasilkannya melakukan tindakan pembiakan dan komunikasinya sendiri kepada orang ramai, dan ia melakukannya atas namanya sendiri. Tiga titik kegagalan berulang.
- Latihan tanpa asas yang sah. Model ini dibina berdasarkan bahan yang dilindungi oleh tempahan TDM, atau berdasarkan bahan yang tidak pernah mempunyai akses yang sah kepada pembangun pada mulanya. Pendedahan terletak pada pembangun, tetapi tuntutan boleh dibuat mengikut output hiliran.
- Output yang menghasilkan semula karya yang dilindungi. Jika chatbot mengembalikan teks, kod atau imej yang boleh dikenali sebagai salinan karya yang dilindungi, penerbitannya merupakan pelanggaran baharu oleh sesiapa yang menerbitkannya. Gaya tidak dilindungi; sebahagian besar karya konkrit dilindungi.
- Kontrak yang tidak menanggung risiko kembali. Banyak lesen AI mengehadkan liabiliti pada yuran tahunan dan mengecualikan tuntutan harta intelek pihak ketiga sama sekali. Baca klausa indemniti sebelum anda membaca bahan pemasaran.
Pemilikan apa yang dihasilkan oleh chatbot sekali lagi merupakan persoalan yang berasingan. Hak cipta Belanda melindungi karya yang mempunyai ciri asli tersendiri yang mempunyai cap peribadi pembuatnya, dan yang memerlukan pilihan kreatif manusia. Output yang dihasilkan oleh mesin sepenuhnya, yang dihasilkan daripada gesaan tanpa pengarang manusia selanjutnya, tidak mungkin menarik hak cipta sama sekali, yang bermaksud anda mahupun orang lain tidak boleh menghalang pesaing daripada menggunakannya semula. Panduan kami tentang bila kandungan dianggap awam di bawah undang-undang hak cipta berfungsi melalui prinsip-prinsip asas.
Mitigasi yang realistik adalah bersifat kontraktual dan bukti dan bukannya teknikal. Tanyakan kepada vendor, secara bertulis, set data yang digunakan, sama ada tempahan TDM telah dipenuhi, dan apakah ganti rugi yang ditawarkan untuk tuntutan pihak ketiga. Simpan jawapannya. Vendor yang tidak akan memasukkan sumber datanya dalam kontrak memberitahu anda sesuatu tentang keyakinannya sendiri.
Bagaimana Akta AI mengklasifikasikan chatbot
Akta AI tidak mengawal selia teknologi; ia mengawal selia tujuan. Model bahasa asas yang sama boleh berisiko minimum dalam satu penggunaan dan berisiko tinggi dalam penggunaan yang lain, dan pengelasan bergantung sepenuhnya pada tujuan penggunaannya. Itulah sebabnya langkah pematuhan pertama ialah pengelasan bertulis, dan mengapa menyalin pengelasan daripada helaian data vendor tidak mencukupi.
Peraturan ini mengasingkan sistem kepada empat peringkat. Amalan dalam peringkat yang tidak boleh diterima adalah dilarang sama sekali: larangan artikel 5, antara lain, teknik manipulatif yang memesongkan tingkah laku secara material dan menyebabkan kemudaratan yang ketara, eksploitasi kerentanan yang berkaitan dengan usia atau kecacatan, pemarkahan sosial dan pengecaman emosi di tempat kerja dan dalam pendidikan. Larangan ini telah terpakai sejak 2 Februari 2025 dan kami membincangkannya secara berasingan dalam artikel kami tentang amalan AI yang dilarang.
Peringkat berisiko tinggi ialah peringkat yang dikawal selia dengan ketat dan masih dibenarkan. Bot sembang akan berada di sana apabila ia digunakan dalam salah satu bidang yang disenaraikan dalam Lampiran III, yang merangkumi pengambilan dan pemilihan, keputusan mengenai akses kepada perkhidmatan awam dan swasta yang penting seperti kredit atau faedah, pendidikan dan penguatkuasaan undang-undang, atau apabila ia berfungsi sebagai komponen keselamatan produk yang diliputi oleh undang-undang pengharmonian dalam Lampiran I. Kewajipan yang berikut dinyatakan dalam panduan kami kepada sistem AI berisiko tinggi di bawah Akta AI.
Peringkat risiko terhad adalah tempat kebanyakan chatbot yang berhadapan dengan pelanggan berada. Tiada penilaian pematuhan, tiada pendaftaran dan tiada badan yang diberitahu, tetapi terdapat tugas ketelusan, dan ia bukanlah pilihan. Peringkat risiko minimum merangkumi semua perkara lain dan tidak membawa obligasi khusus selain kod sukarela.
Apa yang sudah terpakai, dan apa yang telah ditangguhkan
Akta AI mula berkuat kuasa pada 1 Ogos 2024 dan berperingkat-peringkat selama beberapa tahun, dan fasa-fasa tersebut telah diubah oleh pakej omnibus digital Suruhanjaya Eropah. Tiga perkara adalah benar hari ini dan sering dilaporkan secara salah.
Pertama, larangan dalam artikel 5 dan kewajipan literasi AI dalam artikel 4 telah terpakai sejak 2 Februari 2025. Kedua, kewajipan untuk model AI tujuan umum, lapisan yang dibina oleh kebanyakan chatbot komersial, telah terpakai sejak 2 Ogos 2025. Ketiga, kewajipan ketelusan dalam artikel 50 juga terpakai. Apa yang ditangguhkan oleh omnibus ialah rejim berisiko tinggi dan tiada yang lain: peraturan untuk sistem Lampiran III kini bermula pada 2 Disember 2027, dan peraturan untuk sistem Lampiran I pada 2 Ogos 2028.
Penangguhan ini hanya meliputi rejim berisiko tinggi. Jika chatbot anda dilarang, atau berada di bawah peraturan model tujuan umum, atau hanya perlu mendedahkan bahawa ia adalah mesin, tarikh akhir telah berlalu.
Penguatkuasaan disokong oleh had yang dinyatakan sebagai bahagian daripada perolehan tahunan di seluruh dunia: tahap tertinggi, dikhaskan untuk pelanggaran larangan, dan tahap umum yang lebih rendah untuk kebanyakan pelanggaran lain. Penyelia kebangsaan menetapkan jumlah sebenar dalam had tersebut.
Tahap risiko Akta AI untuk aplikasi chatbot
| Tahap risiko | Contoh chatbot | Kewajipan utama |
|---|---|---|
| Minimal | Bot yang menjawab soalan tentang waktu operasi atau kategori artikel. | Tiada kewajipan khusus; kod tatalaku sukarela. |
| Terhad | Bot khidmat pelanggan yang mengendalikan pemulangan dan pertanyaan pesanan. | Dedahkan bahawa pengguna sedang berinteraksi dengan sistem AI dan tandakan output sintetik. |
| Tinggi | Bot yang menapis pemohon kerja terlebih dahulu atau menilai kelayakan untuk kredit. | Pengurusan risiko, tadbir urus data, dokumentasi teknikal, pembalakan, pengawasan manusia dan penilaian pematuhan. |
| Tidak boleh diterima | Bot yang mengeksploitasi kelemahan kumpulan yang ditentukan atau meneka emosi pekerja di tempat kerja. | Dilarang; tidak boleh diletakkan di pasaran atau digunakan di EU. |
Kewajipan ketelusan dalam artikel 50
Perkara 50 Akta AI menghendaki seseorang yang berinteraksi dengan sistem AI dimaklumkan tentang fakta tersebut, melainkan jika ia jelas kepada pengguna yang agak berpengetahuan dalam keadaan tersebut. Pendedahan tersebut hendaklah diberikan pada saat interaksi pertama, dalam bentuk yang jelas dan boleh dibezakan. Satu baris dalam pernyataan privasi tiga klik sahaja tidak memenuhinya.
Artikel yang sama mewajibkan penyedia sistem yang menjana teks, audio, imej atau video sintetik untuk menandakan output tersebut dengan cara yang boleh dibaca mesin, dan mewajibkan penyebar yang menerbitkan teks yang dijana AI mengenai perkara kepentingan awam untuk mendedahkan bahawa ia dijana secara buatan, melainkan teks tersebut menjalani semakan manusia dengan tanggungjawab editorial. Bagi perniagaan yang menjalankan chatbot di laman webnya sendiri, senarai semak praktikal adalah pendek: pernyataan yang boleh dilihat pada permulaan perbualan, laluan yang jelas kepada manusia, dan tiada reka bentuk antara muka yang menyiratkan pengguna sedang bercakap dengan pekerja yang dinamakan.
Ketelusan juga mempunyai dimensi undang-undang pengguna Belanda. Mempersembahkan mesin sebagai seseorang, atau membiarkan chatbot membuat tuntutan yang tidak boleh dibuat oleh jurujual secara sah, boleh dianggap sebagai amalan komersial yang mengelirukan di bawah peraturan dalam Buku 6 Burgerlijk Wetboek, jauh berbeza daripada Akta AI.
Data peribadi dalam perbualan: lapisan GDPR
GDPR terpakai kepada chatbot sebaik sahaja ia memproses data yang berkaitan dengan orang yang boleh dikenal pasti, dan log perbualan hampir selalu terpakai. Asas yang sah adalah perkara pertama yang perlu diperbaiki: persetujuan di bawah artikel 6(1)(a), pelaksanaan kontrak di bawah artikel 6(1)(b), atau kepentingan sah di bawah artikel 6(1)(f), setiap satu dengan akibat yang berbeza untuk apa yang anda boleh lakukan dengan transkrip tersebut.
Tiga perkara yang paling banyak menyebabkan masalah dalam praktiknya. Pengekalan adalah satu: transkrip sering disimpan selama-lamanya kerana tiada siapa yang menetapkan tempoh, yang melanggar prinsip had penyimpanan dalam artikel 5(1)(e). Kegunaan sekunder adalah satu lagi: menggunakan perbualan langsung untuk memperhalusi model adalah tujuan baharu yang memerlukan penilaiannya sendiri dan, biasanya, notis maklumatnya sendiri. Yang ketiga ialah data kategori khas. Chatbot dalam persekitaran penjagaan kesihatan, insurans atau HR akan mengumpul data kesihatan atau data sensitif lain sama ada anda mereka bentuknya atau tidak, dan artikel 9 melarang pemprosesan tersebut melainkan pengecualian khusus terpakai.
Jika chatbot berjalan pada platform pihak ketiga, platform tersebut biasanya merupakan pemproses dan perjanjian pemprosesan data di bawah artikel 28 adalah wajib. Mendapatkan peranan yang betul bukanlah satu formaliti; ia menentukan siapa yang mesti menjawab permintaan subjek data dan siapa yang bertanggungjawab atas pelanggaran. Artikel kami tentang perbezaan antara peranan pengawal dan pemproses di bawah GDPR dan tentang penggunaan AI dalam perniagaan Belanda menetapkan analisis tersebut.
Penilaian impak perlindungan data di bawah artikel 35 diperlukan jika pemprosesan berkemungkinan mengakibatkan risiko yang tinggi, dan senarai yang diterbitkan oleh Autoriteit Persoonsgegevens menjelaskan bahawa penilaian automatik berskala besar terhadap individu tergolong dalam kategori tersebut. Jika chatbot anda memprofilkan pengguna, andaikan anda memerlukannya. Ketidakpatuhan dengan GDPR dikenakan denda sehingga empat peratus daripada perolehan tahunan di seluruh dunia di bawah artikel 83(5), dan siling tersebut tidak berubah.
Pengawasan manusia dan masalah dengan model legap
Perkara 14 Akta AI menghendaki sistem berisiko tinggi direka bentuk supaya orang perseorangan boleh menyelianya dengan berkesan semasa digunakan. Perkataan yang melakukan kerja ialah berkesan. Pengawasan bermaksud orang itu boleh memahami kapasiti dan had sistem, kekal peka terhadap bias automasi, mentafsir output dengan betul, memutuskan untuk tidak menggunakannya dan campur tangan atau menghentikannya.
Tindakan manusia yang mengklik meluluskan cadangan yang tidak dapat mereka nilaikan bukanlah pengawasan dalam erti kata artikel 14, dan ia tidak akan melindungi organisasi. Penyelia memerlukan kuasa untuk membatalkan, kecekapan untuk menilai, dan maklumat yang diperlukan untuk melakukan kedua-duanya. Dalam praktiknya, itu bermaksud menamakan peranan, melatih orang di dalamnya, memberi mereka akses kepada sebab di sebalik output, dan merekodkan bila mereka campur tangan.
Terdapat kewajipan selari dalam GDPR yang terpakai tanpa mengira peringkat Akta AI. Perkara 22 memberikan subjek data hak untuk tidak tertakluk kepada keputusan berdasarkan semata-mata pemprosesan automatik yang menghasilkan kesan undang-undang atau yang serupa memberi kesan yang ketara kepadanya. Jika chatbot menolak permohonan, menolak perkhidmatan atau menetapkan harga secara automatik sepenuhnya, perkara 22 akan terlibat dan organisasi mesti menawarkan intervensi manusia, penjelasan dan laluan untuk bertanding.
Pembuatan keputusan automatik dan pengawasan manusia yang bermakna adalah ujian berasingan di bawah instrumen berasingan. Meluluskan Akta AI tidak mengecualikan anda daripada artikel 22 GDPR, dan sebaliknya.
Bias ialah mod kegagalan yang mengubah jurang pengawasan menjadi liabiliti. Model yang dilatih berdasarkan data sejarah menghasilkan semula corak sejarah, dan jika corak tersebut menjejaki ciri yang dilindungi, keputusan yang terhasil boleh dianggap sebagai diskriminasi tidak langsung di bawah pengendalian Algemene wet gelijke. Menguji perkara itu sebelum penggunaan, dan mendokumentasikan ujian, adalah satu-satunya pertahanan yang berkesan selepas fakta. Kami membincangkan akibatnya dalam artikel kami tentang liabiliti untuk bias algoritma.
Apa yang dilakukan oleh penyelia Belanda
Penyeliaan Akta AI di Belanda masih dalam pembinaan. Kerajaan telah mencadangkan model di mana pengawal selia sektor sedia ada mengekalkan pengawasan AI dalam domain mereka sendiri, Autoriteit Persoonsgegevens mengambil alih kawasan di mana tiada penyelia yang jelas wujud dan menjalankan unit AI khusus, dan Rijksinspectie Digitale Infrastructuur mempunyai peranan penyelaras di sampingnya. Akta pelaksana, Uitvoeringswet AI-verordening, telah dikeluarkan untuk rundingan awam pada April 2026 dan masih belum diterima pakai, jadi penetapan kuasa dan penalti secara rasmi adalah muktamad.
Itu tidak bermakna tiada penguatkuasaan. GDPR terpakai sepenuhnya dan Autoriteit Persoonsgegevens telah menggunakannya terhadap penggunaan AI selama bertahun-tahun. Larangan dalam artikel 5 Akta AI adalah undang-undang yang terpakai secara langsung tanpa mengira bila akta pelaksanaan Belanda itu tiba.
Contoh yang berkesan: bot sembang nasihat pengundian
Ilustrasi Belanda yang paling jelas tentang apa yang salah datangnya daripada Autoriteit Persoonsgegevens itu sendiri. Dalam laporan risiko AI dan algoritmanya pada Februari 2025, penyelia telah menguji bot sembang AI generatif yang digunakan untuk memberi nasihat pengundian dan mendapati keputusannya tidak boleh dipercayai dan tidak sekata: sistem tersebut mengarahkan pengguna ke arah sebilangan kecil parti dan sebahagian besarnya mengabaikan yang lain, tanpa mengira jawapan yang diberikan. AP menasihati orang ramai untuk tidak menggunakan bot sembang sedemikian untuk keputusan pilihan raya dan menunjukkan bahawa AI yang digunakan untuk mempengaruhi pilihan raya termasuk dalam kategori berisiko tinggi Akta AI. Penemuan ini dinyatakan dalam laporan AP mengenai AI dan risiko algoritma.
Pengajaran ini bersifat generalisasi melangkaui politik. Model tujuan umum yang dibalut dengan antara muka mesra tidak menjadi neutral kerana pengendalinya menginginkannya. Jika output mempengaruhi keputusan yang penting, neutraliti perlu diuji dan ujian perlu didokumenkan, kerana selepas penggunaan, beban menunjukkan bahawa sistem berfungsi seperti yang didakwa terletak pada organisasi yang menggunakan sistem tersebut.
Membina rangka kerja tadbir urus AI yang dapat bertahan
Rangka kerja tadbir urus hanya berbaloi jika ia menghasilkan bukti. Pengawal selia, pihak lawan dan mahkamah semuanya menanyakan soalan yang sama selepas sesuatu yang tidak kena berlaku: apa yang anda tahu, bilakah anda menilainya dan apa yang anda tulis? Empat elemen melakukan sebahagian besar kerja.
- Pengelasan, disemak. Rekodkan kedudukan setiap sistem AI di bawah Akta AI dan sebabnya. Ulangi penilaian apabila kes penggunaan berubah, kerana bot khidmat pelanggan yang mula menyaring pemohon telah berpindah peringkat dalam sekelip mata.
- Tadbir urus data. Dokumenkan asal usul latihan dan data pengambilan semula, lesen di sebaliknya, dan bagaimana tempahan TDM disemak. Dari segi data peribadi, catatkan asas yang sah, tempoh penyimpanan dan perjanjian pemprosesan.
- Dokumentasi dan pembalakan. Kekalkan versi model, gesaan sistem, keputusan ujian dan log perbualan, dengan tempoh pengekalan yang mematuhi GDPR. Tanpa log, anda tidak boleh membina semula apa yang dikatakan oleh sistem pada hari yang penting.
- Protokol pengawasan. Namakan orang yang bertanggungjawab, tentukan bila mereka mesti campur tangan, dan berikan mereka kuasa untuk menghentikan sistem. Rekodkan campur tangan tersebut.
Kontrak menanggung selebihnya. Perjanjian dengan pembekal AI anda harus menangani penyumberan data, ganti rugi harta intelek, peruntukan peranan Akta AI antara penyedia dan penyebar, keselamatan, hak audit dan keluar. Itu adalah titik rundingan komersial biasa, dan ia jauh lebih mudah untuk dimenangi sebelum ditandatangani berbanding selepas insiden. Panduan undang-undang IT kami merangkumi landskap kontrak sekitar.
Chatbot, hak cipta dan pematuhan bukanlah satu tindakan sekali sahaja. Rejim berisiko tinggi ini akan diperkenalkan secara berperingkat sehingga 2028, Uitvoeringswet akan menambah prosedur dan penalti kebangsaan, dan kes undang-undang mengenai output AI baru sahaja bermula. Rangka kerja yang disemak setiap tahun dan dikemas kini apabila undang-undang diubah adalah perbezaan antara kedudukan yang boleh dipertahankan dan kedudukan yang dibuat secara spontan.
Adakah anda penyedia atau pelaksana
Akta AI memperuntukkan hampir semua obligasinya mengikut peranan, dan dua peranan yang penting bagi perniagaan yang membeli chatbot ialah penyedia dan pengerah. Penyedia membangunkan sistem AI dan meletakkannya di pasaran atau menjalankannya di bawah namanya sendiri; pengerah menggunakannya di bawah kuasanya sendiri. Membeli chatbot sedia ada menjadikan anda seorang pengerah, yang merupakan set tugas yang jauh lebih ringan.
Perangkapnya ialah seorang pengerah boleh menjadi penyedia tanpa sengaja. Perkara 25 peraturan tersebut memperuntukkan bahawa pengerah akan memikul tanggungjawab penyedia untuk sistem berisiko tinggi jika ia meletakkan nama atau tanda dagangannya sendiri pada sistem tersebut, membuat pengubahsuaian yang besar padanya, atau mengubah tujuan yang dimaksudkan dengan cara yang mengubah sistem menjadi sistem berisiko tinggi. Memberi label putih kepada chatbot pihak ketiga di bawah jenama anda sendiri, atau menggunakan semula bot khidmat pelanggan umum untuk menapis permohonan pekerjaan, sudah cukup untuk membuat pertukaran.
Pengagihan semula itu mempunyai akibat yang nyata. Pembekal menanggung penilaian pematuhan, dokumentasi teknikal, sistem pengurusan kualiti, pendaftaran dalam pangkalan data EU dan pemantauan pasca pasaran. Tiada satu pun daripada itu boleh diabaikan oleh klausa kontrak, kerana kewajipan tersebut adalah kewajipan undang-undang awam yang terhutang kepada penyelia, bukan kewajipan swasta yang terhutang kepada pihak lawan. Kontrak boleh mengalihkan kos pelanggaran; ia tidak boleh mengalihkan kewajipan.
Pelaksana sistem berisiko tinggi mempunyai senarai mereka sendiri: menggunakan sistem mengikut arahan, menugaskan pengawasan manusia yang cekap, memastikan data input adalah relevan, memantau operasi, menyimpan log dan memaklumkan pekerja dan wakil mereka sebelum sistem berisiko tinggi digunakan di tempat kerja. Perkara terakhir itu mudah diabaikan dan merupakan jenis peninggalan yang akan dibangkitkan oleh majlis kerja.
Kerahsiaan, rahsia perdagangan dan tugas profesional
Satu risiko yang berada di luar ketiga-tiga rejim pengawalseliaan, dan menyebabkan kerosakan yang lebih konkrit daripada mana-mana rejim pengawalseliaan, ialah kakitangan memasukkan bahan sulit ke dalam chatbot awam. Data pelanggan, draf kontrak, kod sumber dan angka kewangan yang tidak diterbitkan yang dimasukkan ke dalam perkhidmatan AI pengguna berada di bawah kawalan organisasi, dan bergantung pada terma perkhidmatan, data tersebut mungkin disimpan atau digunakan untuk latihan selanjutnya.
Di bawah undang-undang Belanda yang boleh melanggar klausa kerahsiaan dalam kontrak komersial, memusnahkan keperluan langkah munasabah yang memastikan maklumat dilindungi sebagai rahsia perdagangan di bawah Wet bescherming bedrijfsgeheimen, dan dalam profesion yang dikawal selia melanggar kewajipan berkanun kerahsiaan. Ia juga boleh menjadi pelanggaran data peribadi yang memerlukan pemberitahuan kepada Autoriteit Persoonsgegevens dalam tempoh tujuh puluh dua jam selepas menyedarinya, di bawah artikel 33 GDPR.
Penyelesaiannya membosankan dan berkesan: dasar penggunaan AI bertulis yang menamakan alat yang diluluskan, menyatakan dengan jelas apa yang tidak boleh dimasukkan ke dalam alat yang tidak diluluskan, dan tertanam dalam hubungan pekerjaan supaya pelanggaran mempunyai akibat. Gabungkannya dengan pengaturan perusahaan yang secara kontraktual tidak termasuk latihan mengenai input anda, dan pendedahan itu sebahagian besarnya hilang.
Apa yang perlu dilakukan sebelum anda melancarkan
Kerja pematuhan pada chatbot adalah berurutan, dan melakukannya dalam susunan yang betul menjimatkan sebahagian besar kos. Kelaskan sistem di bawah Akta AI dan tuliskan klasifikasi tersebut, berserta alasannya. Petakan data peribadi yang akan diprosesnya, tetapkan asas yang sah dan tempoh pengekalan, dan jalankan penilaian impak perlindungan data jika pemprosesan tersebut memerlukannya. Sediakan perjanjian pemprosesan artikel 28 dengan platform.
Kemudian lihat data di sebalik model tersebut: tanya pembekal tentang apa yang dilatih, sama ada tempahan TDM dihormati, dan apakah ganti rugi yang ditawarkan, dan catatkan jawapannya. Bina pendedahan ketelusan ke dalam antara muka itu sendiri dan bukannya pengaki. Namakan orang yang bertanggungjawab untuk pengawasan dan tentukan bila mereka campur tangan. Akhir sekali, uji sistem terhadap kes yang paling anda takuti, simpan hasilnya, dan tetapkan tarikh untuk menyemak keseluruhan fail.
Organisasi yang melakukan ini mendapati bahawa latihan ini terhad. Ketidakpastian dalam undang-undang AI adalah nyata, tetapi ia tertumpu pada beberapa soalan, kebanyakannya mengenai data latihan dan mengenai liabiliti untuk output, dan selebihnya adalah kerja pematuhan biasa yang boleh diselesaikan dan difailkan.
Soalan lazim
Soalan-soalan di bawah timbul dalam hampir setiap perbualan pertama tentang penggunaan chatbot. Ia dijawab di sini pada peringkat prinsip; analisis untuk sistem tertentu sentiasa bergantung pada apa yang dilakukannya dan kepada siapa ia melakukannya.
Siapakah yang bertanggungjawab jika chatbot melanggar hak cipta?
Persoalan liabiliti untuk pelanggaran hak cipta oleh chatbot adalah sesuatu yang rumit dan jawapannya ialah ia sering menjadi tanggungjawab bersama. Biasanya, kesalahan terletak pada pembangun AI yang membina alat dan organisasi yang menggunakannya. Di bawah undang-undang EU dan Belanda, pembangun boleh mendapati diri mereka berada dalam air panas kerana menggunakan bahan berhak cipta untuk melatih model mereka tanpa mendapat kebenaran yang betul terlebih dahulu.
Pada masa yang sama, perniagaan yang menggunakan chatbot boleh dipertanggungjawabkan untuk sebarang kandungan yang melanggar AI yang dihasilkan dan diedarkan. Untuk mengelakkan risiko ini, adalah penting bagi perniagaan untuk mendorong ketelusan daripada vendor AI mereka tentang sumber data latihan. Satu lagi lapisan pelindung penting ialah mendapatkan klausa ganti rugi yang kukuh dalam kontrak vendor.
Adakah GDPR terpakai kepada data yang diproses oleh chatbot?
Ya, tanpa ragu lagi. Jika chatbot anda mengendalikan sebarang data peribadi daripada individu di EU—contohnya nama, alamat e-mel atau data perbualan yang boleh mengenal pasti seseorang— GDPR terpakai sepenuhnya.
Ini serta-merta membawa beberapa tugas teras ke dalam permainan:
- Anda mesti mempunyai alasan yang jelas dan sah untuk memproses data.
- Anda perlu memaklumkan pengguna dengan tepat cara data mereka digunakan.
- Anda hanya perlu mengumpul data yang benar-benar diperlukan (pengecilan data).
- Anda dikehendaki menghormati hak pengguna, termasuk hak mereka untuk melihat atau memadam data mereka.
Mengabaikan tanggungjawab ini bukanlah satu pilihan. Kegagalan untuk mematuhi peraturan boleh mengakibatkan denda yang besar—sehingga 4% daripada perolehan global tahunan syarikat anda —dan menjejaskan reputasi anda dengan serius.
Apakah langkah pertama untuk memastikan chatbot kita mematuhi piawaian?
Satu-satunya langkah pertama yang paling kritikal ialah menjalankan penilaian risiko yang menyeluruh berdasarkan rangka kerja Akta AI EU. Anda perlu memikirkan di mana chatbot anda sesuai berdasarkan apa yang dilakukannya dan potensi bahaya yang boleh ditimbulkannya. Proses ini akan meletakkannya dalam kategori, seperti minimum, terhad, atau berisiko tinggi.
Sebagai contoh, bot FAQ mudah yang hanya menjawab soalan asas mungkin akan dilihat sebagai alat berisiko rendah dengan kewajipan yang sangat sedikit. Walau bagaimanapun, chatbot yang digunakan untuk menyaring pemohon kerja, memberikan maklumat perubatan atau menawarkan nasihat kewangan hampir pasti akan diklasifikasikan sebagai berisiko tinggi. Klasifikasi inilah yang menentukan kewajipan undang-undang khusus anda mengenai ketelusan, tadbir urus data dan pengawasan manusia, pada asasnya memberi anda peta jalan yang jelas untuk keseluruhan strategi pematuhan anda.
Law & More menasihati perniagaan di Belanda tentang aspek perundangan penggunaan AI: klasifikasi di bawah Akta AI, hak cipta dan penyumberan data, pematuhan GDPR dan perjanjian pemprosesan data, dokumentasi tadbir urus dan rundingan kontrak dengan pembekal AI. Jika anda sedang bersedia untuk melancarkan chatbot atau mahu chatbot sedia ada dinilai berdasarkan peraturan yang telah terpakai, kami dengan senang hati akan membincangkannya dengan anda. Beritahu kami tentang situasi anda. Kami akan memberitahu anda pilihan anda dalam masa satu hari bekerja.
Cara Law & More boleh membantu anda dengan ini dijelaskan di laman web kami Peguam IT .
