En chatbot som er utplassert i Nederland, befinner seg i skjæringspunktet mellom tre lovverk: opphavsrett (Auteurswet og EUs opphavsrettsdirektiver), databeskyttelse (GDPR) og EUs lov om kunstig intelligens, forordning (EU) 2024/1689. Hvert av disse regimene legger plikter på organisasjonen som viser chatboten til brukerne, ikke bare på utvikleren som bygde den. Chatboter, opphavsrett og samsvar er derfor ett tema i stedet for tre, og arbeidet starter med en skriftlig klassifisering av hva chatboten din gjør, hvis data den ble trent på, og hva den har lov til å bestemme selv.
De tre juridiske regimene som gjelder for alle chatboter
Det finnes ingen enkelt nederlandsk lov om kunstig intelligens. I stedet finnes det en rekke regler som stort sett ble skrevet før generativ kunstig intelligens ble en handelsvare, pluss én forskrift som ble skrevet spesielt for den. For en bedrift i Nederland er den praktiske konsekvensen at du ikke kan svare på spørsmålet om chatboten din er lovlig ved å se på én tekst. Du må kjøre det samme systemet forbi tre separate tester, og et bestått resultat på én sier ingenting om de andre.
Opphavsrett regulerer materialet som ble brukt i modellen og materialet som kommer ut av den. Den nederlandske Auteurswet, som endret for å implementere DSM-direktivet, inneholder et spesifikt unntak for tekst- og datautvinning, og det unntaket er hengslet som de fleste argumentene om treningsdata dreier seg om. Databeskyttelse regulerer alt chatboten lærer om personen som skriver inn i den, og her gjelder GDPR fullt ut i det øyeblikket en samtale kan spores tilbake til en identifiserbar person. KI-loven regulerer selve systemet: hva det kan brukes til, hva som må utleveres, hvilken dokumentasjon som må finnes og hvem som må kunne slå det av.
Disse tre regimene har forskjellige veiledere, forskjellige sanksjoner og forskjellige tidsfrister. Det er viktigere enn det høres ut. En chatbot som er upåklagelig når det gjelder personvern kan fortsatt være ulovlig fordi den ble trent på skrapet materiale med forbehold om en gyldig reservasjon, og en chatbot med en ren dataavstamning kan fortsatt bryte AI-loven hvis den aldri forteller brukeren at den er en maskin.
Hva hvert regime faktisk ber deg om
Redusert til kjernen stiller hver av de tre et annet spørsmål. Opphavsrett spør om du hadde tillatelse, eller et lovfestet unntak, for hver reproduksjonshandling. Personvern spør om du har et lovlig grunnlag i henhold til artikkel 6 i GDPR, om du fortalte den registrerte hva du gjorde, og om du ikke samlet inn mer enn du trengte. KI-loven spør hvor systemet befinner seg på risikoskalaen og om forpliktelsene knyttet til det nivået er oppfylt og dokumentert.
Å svare på disse tre spørsmålene skriftlig, før utrulling, er det som gjør et AI-prosjekt fra en åpen eksponering til en håndterbar en. Det er også i praksis det første dokumentet en regulator vil be om å se.
Viktige juridiske utfordringer for AI-chatboter i Nederland
| Juridisk område | Primær bekymring | Gjeldende regler |
|---|---|---|
| Databeskyttelse | Behandling av samtaledata uten lovlig grunnlag, eller oppbevaring av dem lenger enn nødvendig. | GDPR, overvåket av Autoriteit Persoonsgegevens |
| opphavsrett | Reproduksjon av beskyttede verk under opplæring, og resultater som reproduserer et beskyttet verk i gjenkjennelig form. | Auteurswet, særlig unntakene for tekst- og datautvinning i artikkel 15n og 15o |
| Åpenhet | Brukere blir ikke fortalt at de har å gjøre med en maskin, eller syntetisk utdata blir ikke merket som sådan. | Artikkel 50 i KI-loven, som allerede gjelder |
| Ansvar for resultater | Hvem som svarer på råd, uttalelser eller avgjørelser chatboten produserer. | Generell nederlandsk sivilrett: kontrakt, erstatningsansvar i henhold til artikkel 6:162 i BW og produktansvar |
Den fjerde raden fortjener en advarsel, fordi det er den som oftest blir feilbeskrevet. Europakommisjonen trakk tilbake sitt forslag til direktiv om ansvar for AI, så det er ingen harmonisert europeisk ansvarsordning for AI-skade i vente. Krav om et feilaktig chatbot-svar vil bli avgjort i henhold til vanlig nederlandsk sivilrett: kontrakten med kunden din, den generelle aktsomhetsplikten i artikkel 6:162 BW og de reviderte produktansvarsreglene. Vi beskriver hvordan det fungerer i praksis i vår artikkel om ansvar for feil i AI-generert innhold.
Opphavsrett og dataene modellen din ble trent på
Å trene en stor språkmodell innebærer å kopiere beskyttede verk i industriell skala. I henhold til nederlandsk lov er kopiering en reproduksjon i henhold til Auteurswet, og det er ulovlig med mindre rettighetshaveren har gitt tillatelse eller et lovfestet unntak gjelder. Det finnes ingen nederlandsk eller europeisk ekvivalent til den amerikanske doktrinen om rimelig bruk, og argumenter lånt fra amerikanske rettssaker overføres ikke til en nederlandsk rettssal.
Det relevante unntaket er tekst- og datautvinning. Artikkel 15n i Auteurswet tillater forskningsorganisasjoner og kulturarvinstitusjoner å utvinne verk de har lovlig tilgang til, for vitenskapelig forskning. Artikkel 15o er den bredere: den tillater alle å utføre tekst- og datautvinning på lovlig tilgjengelige verk, men bare der rettighetshaveren ikke uttrykkelig har reservert seg denne bruken. Dette forbeholdet, ofte kalt TDM-utvelgelsen, må gjøres på en passende måte, og for materiale publisert på nett må det være maskinlesbart.
Den praktiske effekten er en totrinnstest. Hadde kurslederen lovlig tilgang til materialet, og hadde rettighetshaveren forbeholdt seg bruken av det? Hvis svaret på det andre spørsmålet er ja, og materialet ble utvunnet uansett, faller unntaket bort, og reproduksjonen var et brudd på opphavsretten.
Der utbyggeren tar risikoen
Bedrifter antar ofte at problemer med treningsdata er utviklerens problem. Det er bare delvis riktig. Organisasjonen som distribuerer en chatbot og publiserer det den produserer, utfører sine egne reproduksjons- og kommunikasjonshandlinger til publikum, og den gjør det i eget navn. Tre feilpunkter går igjen.
- Opplæring uten gyldig grunnlag. Modellen ble bygget på materiale som er dekket av en TDM-reservasjon, eller på materiale som utvikleren aldri hadde lovlig tilgang til i utgangspunktet. Eksponeringen ligger hos utvikleren, men et krav kan følge resultatet nedstrøms.
- Utdata som reproduserer et beskyttet verk. Hvis chatboten returnerer tekst, kode eller et bilde som gjenkjennelig er en kopi av et beskyttet verk, er publisering av det et nytt brudd på opphavsretten fra den som publiserer det. Stil er ikke beskyttet; en vesentlig del av et konkret verk er det.
- Kontrakter som ikke bærer risikoen tilbake. Mange AI-lisenser begrenser ansvaret til årsavgiften og ekskluderer tredjeparts krav om immaterielle rettigheter fullstendig. Les erstatningsklausulen før du leser markedsføringsmaterialet.
Eierskap til det chatboten produserer er igjen et eget spørsmål. Nederlandsk opphavsrett beskytter verk med en egen, original karakter som bærer produsentens personlige preg, og som krever menneskelige kreative valg. Rent maskingenerert output, produsert fra en prompt uten ytterligere menneskelig forfatterskap, vil sannsynligvis ikke ha opphavsrett i det hele tatt, noe som betyr at verken du eller noen andre kan hindre en konkurrent i å gjenbruke det. Vår veiledning om når innhold anses som offentlig i henhold til opphavsrettsloven, fungerer gjennom de underliggende prinsippene.
Den realistiske avbøtende faktoren er kontraktsmessig og bevismessig snarere enn teknisk. Spør leverandøren skriftlig hvilke datasett som ble brukt, om reservasjoner knyttet til TDM ble oppfylt, og hvilken erstatning som tilbys for krav fra tredjeparter. Ta vare på svarene. En leverandør som ikke vil sette sin datakilde inn i en kontrakt, forteller deg noe om sin egen tillit.
Hvordan AI-loven klassifiserer en chatbot
AI-loven regulerer ikke teknologi; den regulerer formål. Den samme underliggende språkmodellen kan ha minimal risiko i én implementering og høy risiko i en annen, og klassifiseringen avhenger helt av hva du bruker den til. Derfor er det første samsvarstrinnet en skriftlig klassifisering, og hvorfor det ikke er nok å kopiere en klassifisering fra et leverandørdatablad.
Forordningen deler systemer inn i fire nivåer. Praksis i det uakseptable nivået er fullstendig forbudt: artikkel 5 forbyr blant annet manipulerende teknikker som vesentlig forvrenger atferd og forårsaker betydelig skade, utnyttelse av sårbarheter knyttet til alder eller funksjonshemming, sosial scoring og følelsesgjenkjenning på arbeidsplassen og i utdanning. Disse forbudene har gjeldt siden 2. februar 2025, og vi diskuterer dem separat i vår artikkel om forbudte KI-praksiser.
Høyrisikonivået er det strengt regulerte nivået som fortsatt er tillatt. En chatbot havner der når den brukes i et av områdene som er oppført i vedlegg III, som inkluderer rekruttering og utvelgelse, beslutninger om tilgang til viktige private og offentlige tjenester som kreditt eller ytelser, utdanning og rettshåndhevelse, eller når den fungerer som en sikkerhetskomponent i et produkt som dekkes av harmoniseringslovgivningen i vedlegg I. Forpliktelsene som følger er angitt i vår veiledning til høyrisiko-KI-systemer i henhold til KI-loven.
Nivået med begrenset risiko er der de fleste kundevendte chatboter sitter. Det er ingen samsvarsvurdering, ingen registrering og ingen varslet organ, men det er en åpenhetsplikt, og det er ikke valgfritt. Nivået med minimal risiko dekker alt annet og har ingen spesifikke forpliktelser utover frivillige koder.
Hva som allerede gjelder, og hva som er utsatt
KI-loven trådte i kraft 1. august 2024 og innføres fasevis over flere år, og faseinndelingen ble endret av EU-kommisjonens digitale omnibuspakke. Tre ting er sanne i dag og rapporteres ofte feilaktig.
For det første har forbudene i artikkel 5 og plikten til KI-kompetanse i artikkel 4 gjeldt siden 2. februar 2025. For det andre har forpliktelsene for generelle KI-modeller, laget som de fleste kommersielle chatboter er bygget på, gjeldt siden 2. august 2025. For det tredje gjelder også åpenhetsforpliktelsene i artikkel 50. Det som omnibusen utsatte var høyrisikoregimet og ingenting annet: reglene for systemer i vedlegg III trer nå i kraft 2. desember 2027, og de for systemer i vedlegg I 2. august 2028.
Utsettelsen gjelder kun høyrisikoregimet. Hvis chatboten din er forbudt, eller faller inn under reglene for generelle modeller, eller bare trenger å opplyse om at den er en maskin, er fristen allerede utløpt.
Håndheving støttes av bøtetak uttrykt som en andel av den globale årlige omsetningen: det høyeste nivået, reservert for brudd på forbudene, og et lavere generelt nivå for de fleste andre overtredelser. Nasjonale tilsynsmyndigheter setter det faktiske beløpet innenfor disse takene.
AI Act-risikonivåer for chatbot-applikasjoner
| Risikonivå | Eksempel på chatbot | Viktig forpliktelse |
|---|---|---|
| Minimum | En bot som svarer på spørsmål om åpningstider eller artikkelkategorier. | Ingen spesifikke forpliktelser; frivillige atferdsregler. |
| Begrenset | En kundeservicebot som håndterer returer og bestillingsforespørsler. | Oppgi at brukeren samhandler med et AI-system, og merk syntetisk utdata. |
| Høyt | En bot som forhåndsscreener jobbsøkere eller vurderer kvalifisering for studiepoeng. | Risikostyring, datastyring, teknisk dokumentasjon, logging, menneskelig tilsyn og samsvarsvurdering. |
| Uakseptabelt | En bot som utnytter sårbarhetene til en definert gruppe, eller avleder følelsene til ansatte på jobb. | Forbudt; må ikke markedsføres eller brukes i EU. |
Åpenhetsplikten i artikkel 50
Artikkel 50 i KI-loven krever at en person som samhandler med et KI-system informeres om dette faktum, med mindre det er åpenbart for en rimelig velinformert bruker under omstendighetene. Opplysningen må gis i øyeblikket for den første samhandlingen, i klar og tydelig form. En linje i en personvernerklæring tre klikk unna oppfyller ikke dette.
Den samme artikkelen krever at leverandører av systemer som genererer syntetisk tekst, lyd, bilder eller video, markerer denne utdataene på en maskinlesbar måte, og krever at distributører som publiserer AI-generert tekst om saker av offentlig interesse, opplyser om at den ble kunstig generert, med mindre teksten har gjennomgått en menneskelig gjennomgang med redaksjonelt ansvar. For en bedrift som kjører en chatbot på sitt eget nettsted er den praktiske sjekklisten kort: en synlig uttalelse i starten av samtalen, en tydelig rute til et menneske, og ingen grensesnittdesign som antyder at brukeren snakker med en navngitt ansatt.
Åpenhet har også en nederlandsk forbrukerrettslig dimensjon. Å presentere en maskin som en person, eller å la en chatbot komme med påstander som en selger ikke lovlig kunne fremsette, kan utgjøre en villedende handelspraksis i henhold til reglene i bok 6 i Burgerlijk Wetboek, helt utenom KI-loven.
Personopplysninger i samtalen: GDPR-laget
GDPR gjelder for en chatbot så snart den behandler data knyttet til en identifiserbar person, og det gjør nesten alltid samtalelogger. Det første som må fikses er det rettslige grunnlaget: samtykke i henhold til artikkel 6(1)(a), oppfyllelse av en kontrakt i henhold til artikkel 6(1)(b), eller legitime interesser i henhold til artikkel 6(1)(f), hver med forskjellige konsekvenser for hva du deretter kan gjøre med transkripsjonen.
Tre punkter forårsaker mesteparten av problemene i praksis. Oppbevaring er ett: transkripsjoner oppbevares ofte på ubestemt tid fordi ingen har satt en periode, noe som bryter med prinsippet om lagringsbegrensning i artikkel 5(1)(e). Sekundær bruk er et annet: bruk av live-samtaler for å finjustere en modell er et nytt formål som krever sin egen vurdering og vanligvis sin egen informasjonsmelding. Det tredje er spesialkategoridata. En chatbot i helsevesenet, forsikrings- eller HR-miljøet vil samle inn helse- eller andre sensitive data, enten du har designet det for det eller ikke, og artikkel 9 forbyr slik behandling med mindre et spesifikt unntak gjelder.
Der chatboten kjører på en tredjepartsplattform, er den plattformen vanligvis en databehandler, og en databehandleravtale i henhold til artikkel 28 er obligatorisk. Å ha riktige roller er ikke en formalitet; den bestemmer hvem som må svare på en forespørsel fra en registrert person og hvem som er ansvarlig for et brudd. Våre artikler om skillet mellom behandlingsansvarlige og databehandlerroller i henhold til GDPR og om bruk av AI i en nederlandsk virksomhet beskriver analysen.
En konsekvensutredning for personvern i henhold til artikkel 35 er påkrevd der behandling sannsynligvis vil resultere i høy risiko, og listen publisert av Autoriteit Persoonsgegevens gjør det klart at storstilt automatisert evaluering av enkeltpersoner hører hjemme i den kategorien. Hvis chatboten din profilerer brukere, kan du anta at du trenger en. Brudd på GDPR sanksjoneres med bøter på opptil fire prosent av den globale årlige omsetningen i henhold til artikkel 83(5), og det taket har ikke endret seg.
Menneskelig tilsyn og problemet med ugjennomsiktige modeller
Artikkel 14 i KI-loven krever at høyrisikosystemer utformes slik at fysiske personer effektivt kan føre tilsyn med dem mens de er i bruk. Ordet som gjør jobben er effektivt. Tilsyn betyr at personen kan forstå systemets kapasiteter og begrensninger, være oppmerksom på automatiseringsskjevhet, tolke resultatet riktig, bestemme seg for ikke å bruke det, og gripe inn eller stoppe det.
Et menneske som klikker på «godkjenn» på en anbefaling de ikke kan evaluere, er ikke tilsyn i henhold til artikkel 14, og det vil ikke beskytte organisasjonen. Den ansvarlige trenger myndighet til å overstyre, kompetansen til å bedømme og informasjonen som kreves for å gjøre begge deler. I praksis betyr det å navngi rollen, lære opp personene i den, gi dem tilgang til begrunnelsen bak et resultat og registrere når de grep inn.
Det finnes en parallell plikt i GDPR som gjelder uavhengig av nivået i KI-loven. Artikkel 22 gir en registrert rett til ikke å bli underlagt en avgjørelse basert utelukkende på automatisert behandling som har rettsvirkninger eller på lignende måte påvirker dem i vesentlig grad. Hvis en chatbot avviser en søknad, nekter en tjeneste eller setter en pris på et rent automatisert grunnlag, aktiveres artikkel 22, og organisasjonen må tilby menneskelig inngripen, en forklaring og en mulighet til å bestride dette.
Automatisert beslutningstaking og meningsfull menneskelig tilsyn er separate tester under separate instrumenter. Vedtakelse av den første KI-loven fritar deg ikke fra artikkel 22 i GDPR, og omvendt.
Skjevhet er feilmodusen som gjør et tilsynshull til en ulempe. En modell trent på historiske data reproduserer historiske mønstre, og der disse mønstrene sporer en beskyttet egenskap, kan de resulterende beslutningene utgjøre indirekte diskriminering i henhold til den generelle wet gelijken behandeling. Å teste dette før utrulling, og dokumentere testen, er det eneste forsvaret som fungerer i etterkant. Vi tar for oss konsekvensene i vår artikkel om ansvar for algoritmisk skjevhet.
Hva de nederlandske tilsynsmyndighetene gjør
Tilsynet med KI-loven i Nederland er fortsatt under utvikling. Regjeringen har foreslått en modell der eksisterende sektorregulatorer holder tilsyn med KI innenfor sine egne domener, Autoriteit Persoonsgegevens tar seg av områdene der det ikke finnes noen åpenbar veileder og driver en egen KI-enhet, og Rijksinspectie Digitale Infrastructuur har en koordinerende rolle ved siden av. Gjennomføringsloven, Uitvoeringswet AI-verordening, ble sendt ut på offentlig høring i april 2026 og er ennå ikke vedtatt, så den formelle utpekingen av fullmakter og straffer er ikke endelig.
Det betyr ikke at det ikke er noen håndheving. GDPR gjelder fullt ut, og Autoriteit Persoonsgegevens har brukt den mot AI-utplasseringer i årevis. Forbudene i artikkel 5 i AI-loven gjelder direkte uavhengig av når den nederlandske implementeringsloven kommer.
Et fungert eksempel: chatboter for valgrådgivning
Den klareste nederlandske illustrasjonen av hva som går galt, kom fra Autoriteit Persoonsgegevens selv. I sin rapport om KI og algoritmiske risikoer fra februar 2025 testet tilsynsmyndigheten generative KI-chatboter som ble brukt til å gi stemmeråd, og fant resultatene upålitelige og skjeve: systemene styrte brukerne mot et lite antall partier og ignorerte i stor grad resten, uavhengig av svarene som ble gitt. AP rådet publikum til ikke å bruke slike chatboter til valgbeslutninger og påpekte at KI som brukes til å påvirke valg, faller inn under høyrisikokategorien i KI-loven. Funnene er angitt i AP-rapporten om KI og algoritmiske risikoer.
Lærdommen generaliserer utover politikk. En generell modell pakket inn i et brukervennlig grensesnitt blir ikke nøytral fordi operatøren hadde til hensikt at den skulle være det. Der resultatet påvirker en viktig beslutning, må nøytraliteten testes og testen dokumenteres, fordi bevisbyrden for at systemet fungerte som hevdet etter utrulling ligger hos organisasjonen som distribuerte det.
Å bygge et AI-styringsrammeverk som holder mål
Et rammeverk for styring er bare verdt å ha hvis det fremlegger bevis. Regulatorer, motparter og domstoler stiller alle det samme spørsmålet etter at noe går galt: hva visste du, når vurderte du det, og hva skrev du ned? Fire elementer gjør mesteparten av jobben.
- Klassifisering, gjennomgått. Registrer hvor hvert AI-system befinner seg under AI-loven og hvorfor. Gjenta vurderingen hver gang brukstilfellet endres, fordi en kundeservicebot som begynner å screene søkere har flyttet nivåer over natten.
- Datastyring. Dokumenter opprinnelsen til opplærings- og innhentingsdata, lisensene bak dem og hvordan TDM-reservasjoner ble kontrollert. Registrer det juridiske grunnlaget, oppbevaringsperioden og behandlingsavtalene på personopplysningssiden.
- Dokumentasjon og logging. Ta vare på modellversjonen, systemledeteksten, testresultatene og samtaleloggene, med oppbevaringsperioder som respekterer GDPR. Uten logger kan du ikke rekonstruere hva systemet sa den dagen det betyr noe.
- Tilsynsprotokoller. Navngi de ansvarlige personene, definer når de må gripe inn, og gi dem myndighet til å stoppe systemet. Registrer inngrepene.
Kontrakter dekker resten. Avtalen med AI-leverandøren din bør ta for seg datainnhenting, erstatning for immaterielle rettigheter, tildeling av AI-lovens roller mellom leverandør og distributør, sikkerhet, revisjonsrettigheter og utgang. Dette er vanlige kommersielle forhandlingspunkter, og de er mye lettere å vinne før signering enn etter en hendelse. Våre IT-rettslige veiledninger dekker det omkringliggende kontraktslandskapet.
Chatboter, opphavsrett og samsvar er ikke en engangshendelse. Høyrisikoregimet kommer i etapper frem til 2028, Uitvoeringswet vil legge til nasjonale prosedyrer og straffer, og rettspraksis om AI-resultater er bare i begynnelsen. Et rammeverk som gjennomgås årlig og oppdateres når loven trer i kraft, er forskjellen mellom en forsvarlig posisjon og en improvisert en.
Er du leverandøren eller distributøren
AI-loven fordeler nesten alle sine forpliktelser etter rolle, og de to rollene som er viktige for en bedrift som kjøper en chatbot er leverandør og distributør. En leverandør utvikler et AI-system og setter det på markedet eller i bruk under eget navn; en distributør bruker et under egen autoritet. Å kjøpe en chatbot fra hylla gjør deg til distributør, som er det klart lettere settet med oppgaver.
Fellen er at en distributør kan bli en leverandør uten å ville det. Artikkel 25 i forskriften bestemmer at en distributør påtar seg leverandørens forpliktelser for et høyrisikosystem hvis vedkommende setter sitt eget navn eller varemerke på systemet, foretar en vesentlig modifikasjon av det, eller endrer det tiltenkte formålet på en måte som gjør et system til et høyrisikosystem. Å hvitmerke en tredjeparts chatbot under ditt eget merke, eller å gi en generell kundeservicebot nytt formål for å sile jobbsøknader, er nok til å gjøre overgangen.
Denne omfordelingen har reelle konsekvenser. Leverandøren har ansvaret for samsvarsvurderingen, den tekniske dokumentasjonen, kvalitetsstyringssystemet, registreringen i EU-databasen og overvåkingen etter markedsføring. Ingenting av dette kan antas å være borte fra i en kontraktsklausul, fordi forpliktelsene er offentligrettslige plikter overfor veilederen, ikke private plikter overfor motparten. En kontrakt kan forskyve kostnadene ved et brudd; den kan ikke forskyve plikten.
Implementeringsansvarlige for høyrisikosystemer har sin egen liste: bruk av systemet i samsvar med instruksjonene, tildeling av kompetent menneskelig tilsyn, sikring av at inndataene er relevante, overvåking av drift, føring av logger og informering av arbeidstakere og deres representanter før et høyrisikosystem tas i bruk på arbeidsplassen. Det siste punktet er lett å overse, og er akkurat den typen unnlatelse et bedriftsutvalg vil påpeke.
Taushetsplikt, forretningshemmeligheter og profesjonelle plikter
En risiko som ligger utenfor alle tre regulatoriske regimer, og som forårsaker mer konkret skade enn noen av dem, er at ansatte mater konfidensielt materiale inn i en offentlig chatbot. Klientdata, kontraktsutkast, kildekode og upubliserte økonomiske tall som legges inn i en AI-tjeneste for forbrukere, forlater organisasjonens kontroll, og avhengig av tjenestevilkårene kan de beholdes eller brukes til videre opplæring.
I henhold til nederlandsk lov kan dette bryte en taushetspliktsklausul i en kommersiell kontrakt, ødelegge kravet om rimelige skritt som holder informasjon beskyttet som en forretningshemmelighet i henhold til Wet bescherming bedrijfsgeheimen, og i regulerte yrker bryte en lovbestemt taushetsplikt. Det kan også være et brudd på personopplysninger som krever varsling til Autoriteit Persoonsgegevens innen syttito timer etter at man ble oppmerksom på det, i henhold til artikkel 33 i GDPR.
Løsningen er kjedelig og effektiv: en skriftlig policy for bruk av AI som angir hvilke verktøy som er godkjent, tydelig angir hva som aldri kan legges inn i et ikke-godkjent verktøy, og er innebygd i ansettelsesforholdet slik at et brudd får konsekvenser. Kombiner det med en bedriftsavtale som kontraktsmessig utelukker opplæring i dine innspill, og eksponeringen forsvinner i stor grad.
Hva du bør gjøre før du starter
Etterlevelsesarbeid på en chatbot er sekvensielt, og å gjøre det i riktig rekkefølge sparer mesteparten av kostnadene. Klassifiser systemet under KI-loven og skriv ned klassifiseringen, med begrunnelse. Kartlegg personopplysningene det skal behandle, fastsett det rettslige grunnlaget og oppbevaringsperioden, og utfør en konsekvensanalyse av personvern hvis behandlingen tilsier det. Sett på plass behandlingsavtalen i henhold til artikkel 28 med plattformen.
Se deretter på dataene bak modellen: spør leverandøren hva den ble trent på, om reservasjoner knyttet til TDM ble respektert, og hvilken erstatning som tilbys, og registrer svarene. Bygg inn åpenhetsopplysningen i selve grensesnittet i stedet for i bunnteksten. Navngi personen som er ansvarlig for tilsyn og definer når de griper inn. Til slutt, test systemet mot tilfellene du er mest redd for, ta vare på resultatene og sett en dato for å gjennomgå hele filen.
Organisasjoner som gjør dette, opplever at øvelsen er begrenset. Usikkerheten i KI-lovgivningen er reell, men den er konsentrert om noen få spørsmål, hovedsakelig om treningsdata og om ansvar for resultater, og resten er vanlig samsvarsarbeid som kan fullføres og sendes inn.
Ofte stilte spørsmål
Spørsmålene nedenfor dukker opp i nesten hver første samtale om utrulling av en chatbot. De besvares her på prinsipielt nivå; analysen for et spesifikt system avhenger alltid av hva det gjør og hvem det gjør det mot.
Hvem er ansvarlig hvis en chatbot krenker opphavsretten?
Spørsmålet om ansvar for brudd på opphavsretten begått av en chatbot er vanskelig, og svaret er at det ofte er et delt ansvar. Vanligvis faller skylden på både AI-utvikleren som bygde verktøyet og organisasjonen som bruker det. I henhold til EU-lovgivning og nederlandsk lov kan utviklere havne i trøbbel for å bruke opphavsrettsbeskyttet materiale til å trene modellene sine uten å først få de riktige tillatelsene.
Samtidig kan bedriften som bruker chatboten holdes ansvarlig for alt krenkende innhold som AI-en produserer og distribuerer. For å unngå denne risikoen er det viktig at bedrifter presser på for åpenhet fra sine AI-leverandører om opplæringsdatakilder. Et annet viktig beskyttende lag er å sikre solide erstatningsklausuler i leverandørkontrakter.
Gjelder GDPR for data som behandles av chatboter?
Ja, uten tvil. Hvis chatboten din håndterer personopplysninger fra enkeltpersoner i EU – tenk navn, e-postadresser eller til og med samtaledata som kan identifisere noen – gjelder GDPR fullt ut.
Dette fører umiddelbart til flere kjerneoppgaver:
- Du må ha en klar og lovlig grunn til å behandle dataene.
- Du må informere brukerne nøyaktig hvordan dataene deres blir brukt.
- Du bør bare samle inn data som er absolutt nødvendige (dataminimering).
- Du er pålagt å respektere brukerrettigheter, inkludert retten deres til å se eller slette dataene sine.
Å lukke øynene for disse ansvarsområdene er ikke et alternativ. Å ikke overholde dem kan føre til store bøter – opptil 4 % av bedriftens årlige globale omsetning – og påføre bedriftens omdømme alvorlig skade.
Hva er det første steget for å sikre at chatboten vår er kompatibel?
Det aller viktigste første steget er å gjennomføre en grundig risikovurdering basert på rammeverket i EUs KI-lov. Du må finne ut hvor chatboten din passer inn basert på hva den gjør og den potensielle skaden den kan forårsake. Denne prosessen vil plassere den i en kategori, for eksempel minimal, begrenset eller høy risiko.
For eksempel vil en enkel FAQ-bot som bare svarer på grunnleggende spørsmål sannsynligvis bli sett på som et lavrisikoverktøy med svært få forpliktelser. Imidlertid vil en chatbot som brukes til å screene jobbsøkere, gi ut medisinsk informasjon eller tilby økonomisk rådgivning nesten helt sikkert bli klassifisert som høyrisiko. Denne klassifiseringen er det som dikterer dine spesifikke juridiske plikter rundt åpenhet, datastyring og menneskelig tilsyn, og gir deg i hovedsak en klar plan for hele compliance-strategien din.
Law & More gir råd til bedrifter i Nederland om den juridiske siden av AI-utrulling: klassifisering i henhold til AI-loven, opphavsrett og datainnhenting, GDPR-samsvar og databehandlingsavtaler, styringsdokumentasjon og forhandling av kontrakter med AI-leverandører. Hvis du forbereder deg på å lansere en chatbot, eller ønsker at en eksisterende skal vurderes opp mot reglene som allerede gjelder, ser vi gjerne på det med deg. Ta kontakt med oss for å diskutere din situasjon.
