AI-policy: hva den må dekke i henhold til EUs AI-lov, GDPR og WOR

EUs KI-lov (forordning (EU) 2024/1689) krever ikke bokstavelig talt et dokument som kalles en «KI-policy». I praksis trenger du en: uten interne regler for hvilke KI-systemer du bruker, hvordan de klassifiseres og hvem som er ansvarlig, kan du ikke vise samsvar med KI-loven, GDPR eller nederlandsk arbeidsrett.

Generative verktøy utarbeider korrespondanse, rekrutteringsprogramvare rangerer kandidater og finanssystemer flagger transaksjoner, ofte gjennom funksjoner lagt til programvare du allerede lisensierer. Siden 2. august 2026 gjelder åpenhetsplikten i artikkel 50 i AI-loven, og høyrisikoregimet følger 2. desember 2027. Nedenfor forklarer vi hva en gjennomførbar AI-policy inneholder, hvilke frister som gjelder og hvordan man bygger en policy som folk faktisk bruker.

Hva er en AI-policy, og hvorfor trenger du en?

En AI-policy er et sett med interne regler som bestemmer hvordan, hvorfor og under hvilke betingelser organisasjonen din kan bruke kunstig intelligens. Den gjør pliktene i AI-loven, GDPR og arbeidsutvalgsloven om til instruksjoner en ansatt kan følge.

Retningslinjene angir hvilke systemer de dekker, hva som kan legges inn i dem, hvem som godkjenner et nytt verktøy, når en person må gjennomgå resultatet og hva som skjer etter en hendelse. Risikoene er konkrete: klientdata som limes inn i en offentlig chatbot er et potensielt datainnbrudd i henhold til artikkel 4(12) i GDPR, og et utvalgsverktøy som filtrerer ut en gruppe søkere kan bryte den nederlandske likebehandlingsloven. I hvert tilfelle har organisasjonen som implementerte systemet ansvaret, ikke leverandøren.

Hvilke regler gjelder: KI-loven, GDPR og nederlandsk arbeidsrett?

Tre sett med regler gjelder samtidig. KI-loven regulerer systemet, GDPR regulerer dataene, og nederlandsk arbeidsrett regulerer hva du kan gjøre med dine egne ansatte med dem.

Hvordan klassifiserer KI-loven KI-systemer?

AI-loven har en risikobasert tilnærming. Artikkel 5 forbyr et lite antall praksiser fullstendig, inkludert sosial scoring og visse manipulerende teknikker; vår artikkel om forbudte AI-praksiser forklarer dem. Siden AI-omnibusen fra juli 2026 er det også forbudt å generere ikke-samtykkelige intime bilder av identifiserbare personer.

Bruksområder oppført i vedlegg III regnes som høyrisiko-KI , for eksempel rekruttering og utvelgelse, beslutninger om forfremmelse og oppsigelse, kredittvurderinger og tilgang til viktige tjenester. For disse systemene krever artikkel 9 til 15:

• et risikostyringssystem;
• datastyring;
• teknisk dokumentasjon og logging;
• åpenhet overfor distributøren (organisasjonen som bruker systemet);
• menneskelig tilsyn;
• nøyaktighet og robusthet som passer til formålet.

Alt annet er i hovedsak underlagt åpenhetsplikten i artikkel 50, eller ingen spesifikk forpliktelse i henhold til KI-loven i det hele tatt.

Hva legger GDPR til?

GDPR gjelder fullt ut der personopplysninger behandles, inkludert for opplæring. Formålsbegrensning, dataminimering og behovet for et lovlig grunnlag i henhold til artikkel 6 er de mest utbredte i AI-prosjekter.

Artikkel 22 i GDPR begrenser avgjørelser basert utelukkende på automatisert behandling som har juridiske eller lignende betydelige virkninger. Der et system sannsynligvis vil resultere i høy risiko, krever artikkel 35 i GDPR en konsekvensanalyse av personvern (DPIA) før bruk. Artikkelen vår om bruk av AI i din nederlandske virksomhet går gjennom disse forpliktelsene mer detaljert.

Hva krever nederlandsk arbeidsrett?

I henhold til artikkel 27(1)(k) og (l) i bedriftsutvalgsloven ( Wet op de ondernemingsraden , WOR) må bedriftsutvalget samtykke til ordninger for behandling av ansattes personopplysninger og til systemer som er egnet for å overvåke de ansattes tilstedeværelse, atferd eller ytelse. En AI-policy som regulerer overvåking, produktivitetsanalyse eller automatisert vurdering av ansatte vil ofte falle inn under denne bestemmelsen.

En beslutning tatt uten nødvendig samtykke er ugyldig dersom bedriftsutvalget påberoper seg den innen én måned (artikkel 27(5) i arbeidsloven). Konsultasjon er derfor et spørsmål om tid, ikke en formalitet.

Hvilke frister i henhold til KI-loven gjelder nå, og hvilke har blitt flyttet.

Forbudene, reglene for generelle AI-modeller og åpenhetspliktene gjelder allerede. Forpliktelsene for høyrisikosystemer er utsatt til 2. desember 2027 og 2. august 2028.

KI-loven trådte i kraft 1. august 2024 og gjelder i etapper:

• 2 februar 2025: forbudene mot uakseptabel risikofylt praksis og plikten til KI-kompetanse trådte i kraft.
• 2 August 2025: Forpliktelsene for leverandører av generelle AI-modeller trådte i kraft, sammen med bestemmelsene om styring og straffer.
• 2 August 2026: den generelle anvendelsesdatoen, inkludert åpenhetsplikten i henhold til artikkel 50: folk må bli informert når de samhandler med et AI-system, og AI-generert innhold må merkes.

Forordning (EU) 2026/1744, KI-delen av Kommisjonens digitale omnibus, ble publisert i EU-tidende 24. juli 2026 og trådte i kraft 27. juli 2026. Den endrer tidsplanen som følger:

• Høyrisikoordningen for de frittstående systemene i vedlegg III, inkludert sysselsetting, utdanning, kreditt og viktige tjenester, gjelder fra 2. desember 2027.
• For AI som er en sikkerhetskomponent i produkter som omfattes av EUs produktlovgivning (vedlegg I), blir datoen 2. august 2028.
• Generative systemer som er brakt på markedet før 2. august 2026 har frist til 2. desember 2026 med å oppfylle plikten til maskinlesbar merking i artikkel 50.
• Plikten til KI-kompetanse mykes opp: leverandører og distributører må iverksette tiltak for å støtte et tilstrekkelig nivå av KI-kompetanse, snarere enn å sikre det.

Det er et forberedelsesvindu, ikke en utsettelse. Et rekrutterings- eller kredittvurderingssystem du velger nå, vil fortsatt kjøre i desember 2027, og leverandørkontrakten du signerer i dag avgjør om dokumentasjon, logging og tilsynsfunksjoner finnes innen den tid.

Hva bør forsikringen dekke?

Start med omfanget: hvilke avdelinger og hvilke typer systemer policyen er bindende for. Vanligvis betyr det HR, markedsføring, kundeservice, finans og drift, og kjøpt AI-programvare, AI-funksjoner i eksisterende plattformer, interne modeller, generative assistenter, chatboter og poengsumverktøy.

To grensespørsmål krever et eksplisitt svar. Kan ansatte bruke offentlige AI-verktøy på egenhånd i jobbsammenheng, og under hvilke betingelser? Og hva skjer med AI-funksjoner som vises i programvare du allerede bruker, uten en kjøpsbeslutning? Begge er ruter der AI kommer inn ubemerket, og i henhold til artikkel 26 i AI-loven har distributøren pliktene begge veier.

Hvordan definerer du AI og deler opp bruken av den?

Bruk definisjoner som samsvarer med konseptet med et AI-system i artikkel 3(1) i AI-loven, skrevet med eksempler fra hver avdeling. Del deretter bruken inn i tre kategorier:

• Forbudt bruk: praksisene som er forbudt i henhold til artikkel 5, pluss enhver anvendelse organisasjonen din utelukker av egne grunner.
• Betinget bruk: tillatt underlagt sikkerhetstiltak, for eksempel en dokumentert risikoklassifisering, en DPIA der artikkel 35 i GDPR krever en, og godkjenning av en navngitt rolle.
• Tillatt bruk: lavrisikoapplikasjoner som ikke trenger mer enn de generelle reglene for konfidensialitet og kontroll av utdata.

Hvem er ansvarlig?

Tildel det endelige ansvaret for samsvar med regelverket for kunstig intelligens på styrenivå, og navngi rollene som godkjenner nye applikasjoner, fører varelageret og håndterer hendelser. Der et system kan bli høyrisiko, bør leverandørkontrakten forplikte leverandøren til å levere den tekniske dokumentasjonen, bruksanvisningen og loggføringskapasiteten som kreves i henhold til artikkel 11 til 13 i KI-loven.

Hvordan håndterer dere data, personvern, sikkerhet og åpenhet?

Retningslinjene må angi hvilken informasjon som kan legges inn i hvilket system. Konfidensiell forretningsinformasjon, klientfiler, spesielle kategorier av personopplysninger (artikkel 9 i GDPR) og alt som er omfattet av taushetsplikt, hører vanligvis ikke hjemme i et offentlig verktøy.

Angi hvor anonymisering eller pseudonymisering er nødvendig, hvor lenge input og output lagres, og hvordan treningsdata skilles fra produksjonsdata. Rut AI-hendelser inn i din eksisterende prosedyre for datainnbrudd: i henhold til artikkel 33 i GDPR må et brudd på personopplysninger rapporteres til den nederlandske databeskyttelsesmyndigheten ( Autoriteit Persoonsgegevens , AP) uten unødig forsinkelse og, der det er mulig, innen 72 timer.

Siden 2. august 2026 krever artikkel 50 i AI-loven at folk blir fortalt når de samhandler med et AI-system, med mindre det er åpenbart. Syntetisk lyd, bilder, video og tekst må merkes på en maskinlesbar måte. Oversett dette til instruksjoner: hva chatboten sier i åpningsmeldingen, hvordan AI-assistert innhold merkes og hva kandidater blir fortalt om AI i en utvelgelsesprosedyre.

Hvordan arrangerer dere menneskelig tilsyn, biastesting og AI-kompetanse?

For hvert system som påvirker en person, må retningslinjene angi når et menneske bestemmer og hva den personen faktisk kan gjøre. I henhold til artikkel 14 i KI-loven må den som vurderer systemet forstår begrensningene og kunne se bort fra eller overstyre resultatet.

I henhold til artikkel 22(3) i GDPR beholder en person som er underlagt en automatisert avgjørelse retten til menneskelig inngripen, til å gi sitt synspunkt og til å bestride avgjørelsen. En signeringsboks i en arbeidsflyt oppfyller ikke denne standarden.

Hvorfor teste for skjevhet?

Systemer som brukes i rekruttering, ytelsesvurdering og kredittvurderinger bør testes med jevne mellomrom for forskjeller i resultater mellom grupper, og resultatene bør registreres. Denne registreringen støtter dokumentasjonen din i henhold til AI Act og er beviset ditt hvis en avvist kandidat påstår diskriminering: i henhold til den nederlandske likebehandlingsloven ( Algemene wet gelijken behandeling , AWGB, artikkel 10) flytter fakta som tyder på diskriminering bevisbyrden til arbeidsgiveren.

Hva krever AI-kompetanse?

Artikkel 4 i KI-loven forplikter leverandører og distributører til å iverksette tiltak for å støtte et tilstrekkelig nivå av KI-kompetanse blant ansatte som jobber med KI-systemer. I praksis betyr det en grunnleggende modul for alle, dypere opplæring for HR, IT, innkjøp og ledelse, og en oversikt over hvem som ble opplært og når.

Hvem fører tilsyn med KI-loven i Nederland?

Nederland organiserer tilsyn gjennom eksisterende regulatorer. Utkastet til implementeringslov for KI-forordningen ( Uitvoeringswet AI-verordening ) ble publisert til høring 20. april 2026 og er ennå ikke vedtatt.

I henhold til utkastet deler den nederlandske myndigheten for digital infrastruktur ( Rijksinspectie Digitale Infrastructuur , RDI) og AP en koordinerende rolle, og sektortilsynsmyndighetene beholder sine egne domener. Bøtene kommer fra artikkel 99 i AI-loven: opptil 35 millioner euro eller 7 % av den globale årlige omsetningen for forbudt praksis, og opptil 15 millioner euro eller 3 % for de fleste andre overtredelser.

Hvordan kommer man seg fra en første inventarbeholdning til en fungerende AI-policy?

Start med en oversikt over hva som faktisk er i bruk, inkludert AI-funksjoner i eksisterende programvare og verktøy som ansatte selv har tatt i bruk. Deretter jobber du deg gjennom disse trinnene:

• Klassifisere hver anvendelse: forbudt, høy risiko i henhold til vedlegg III, med forbehold for artikkel 50, eller lav risiko.
• Vurdere risikoene, ved å kombinere klassifiseringen i henhold til KI-loven med GDPR-analysen og, der ansatte er berørt, spørsmålet om arbeidsforhold i henhold til artikkel 27.
• utkast policyen og samkjør den med dine rammeverk for personvern, informasjonssikkerhet, innkjøp og HR.
• Implementere Det er der beslutninger tas: kjøp av maler, programvareinntaksprosessen, rekrutteringsprosedyren og opplæringskalenderen.
• Anmeldelse det minst én gang i året, og når et nytt, betydelig system kommer, loven endres eller en hendelse inntreffer.

Hva bør du sjekke som organisasjon som bruker AI?

Som distributør har du dine egne plikter i henhold til artikkel 26 i KI-loven, uansett hvem som bygde systemet. Sjekk disse punktene:

• Ingen systemer som er i bruk faller inn under forbudene i artikkel 5, som har gjeldt siden 2. februar 2025.
• Chatboter og innholdsverktøy oppfyller åpenhetspliktene i henhold til artikkel 50 som har gjeldt siden 2. august 2026.
• En DPIA i henhold til artikkel 35 i GDPR gjøres for AI som behandler personopplysninger med høy risiko.
• Bedriftsutvalget har samtykket i henhold til artikkel 27 i WOR til at kunstig intelligens overvåker eller vurderer ansatte.
• Kontrakter for fremtidige høyrisikosystemer sikrer dokumentasjon og logging før 2. desember 2027.

Hva bør du sjekke som leverandør av et AI-system?

Som leverandør av et høyrisikosystem har du de tyngste forpliktelsene, som er angitt i artikkel 16 i KI-loven. Sjekk disse punktene:

• Om systemet ditt faller inn under vedlegg III eller vedlegg I, og hvilken dato som gjelder for det.
• Om risikostyringen, datastyringen og den tekniske dokumentasjonen din oppfyller artikkel 9 til 11.
• Om systemet logger hendelser og leveres med bruksanvisning (artikkel 12 og 13).
• Om samsvarsvurderingen (artikkel 43) og registreringen i EU-databasen (artikkel 49) er planlagt.
• Om din generative produksjon er merket på en maskinlesbar måte i henhold til artikkel 50(2).

Hva kan vi gjøre for deg med din AI-policy?

Våre IT-advokater gir råd om KI-loven, samt spørsmål knyttet til personvern og ansettelser som følger med den. Konkret:

• Vi gjennomgår AI-beholdningen din og klassifiserer hvert system under AI-loven.
• Vi utarbeider eller gjennomgår din AI-policy og tilpasser den til dine personvern- og HR-regler.
• Vi gjennomgår leverandør- og lisensavtaler for AI-systemer når det gjelder dokumentasjon, logging og ansvar.
• Vi utfører eller gjennomgår DPIA for AI-applikasjoner som behandler personopplysninger.
• Vi utarbeider samtykkeforespørselen til bedriftsutvalget i henhold til artikkel 27 i arbeidsloven.

Sammendrag

• KI-loven krever ikke et dokument som kalles en KI-policy, men uten en kan du knapt vise samsvar med KI-loven, GDPR og nederlandsk arbeidsrett.
• Forbudene, reglene for generelle AI-modeller og åpenhetsplikten i henhold til artikkel 50 gjelder allerede.
• Forordning (EU) 2026/1744 utsatte høyrisikoordningen til 2. desember 2027 (vedlegg III) og 2. august 2028 (vedlegg I).
• AI som overvåker eller vurderer ansatte vil ofte trenge samtykke fra bedriftsutvalget i henhold til artikkel 27 i WOR.
• Start med en inventarliste, deretter klassifiser, vurder, utkast, implementer og gjennomgå.

Ofte stilte spørsmål