Tehisintellekti poliitika teie ettevõttes: kuidas valmistute ette ELi tehisintellekti seaduseks?

ELi tehisintellekti seadus (määrus (EL) 2024/1689) ei nõua sõna-sõnalt dokumenti nimega „tehisintellekti poliitika“. Praktikas on see siiski vajalik: ilma sise-eeskirjadeta selle kohta, milliseid tehisintellekti süsteeme te kasutate, kuidas neid klassifitseeritakse ja kes vastutab, ei saa te näidata vastavust tehisintellekti seadusele, isikuandmete kaitse üldmäärusele ega Hollandi tööõigusele.

Tehisintellekt on IT-osakonnast liikunud igapäevatöösse. Generatiivsed tööriistad koostavad kirjavahetust, värbamistarkvara järjestab kandidaate, teenindusplatvormid vastavad klientidele ja finantssüsteemid märgistavad tehinguid. Suur osa sellest saabub funktsioonide kaudu, mis lisatakse vaikselt juba litsentsitud tarkvarale, või avalike tööriistade kaudu, mida töötajad hakkavad ise kasutama. Allpool selgitame, mida toimiv tehisintellekti poliitika sisaldab, millised kohustused juba kehtivad, millised on edasi lükatud ja kuidas luua poliitika, mida inimesed tegelikult kasutavad.

Mis on tehisintellekti poliitika ja miks seda vaja on?

Tehisintellekti poliitika on sise-eeskirjade kogum, mis otsustab, kuidas, miks ja millistel tingimustel võib teie organisatsioon tehisintellekti kasutada. See muudab välised juriidilised kohustused juhisteks, mida töötaja saab tavalisel tööpäeval järgida.

Poliitikas on kirjas, milliseid süsteeme see hõlmab, mida neisse sisestada võib, kes otsustab uue tööriista ostmise, millal peab keegi tulemust üle vaatama ja mis juhtub, kui midagi valesti läheb. Juhtkond kasutab sama dokumenti järelevalve teostamiseks, samal ajal kui tehnoloogia muutub kiiremini kui ostutsükkel.

Selle reguleerimata jätmise oht on konkreetne. Töötajad kleepivad klientide andmeid või koostavad lepingute mustandvorme tarbijavestlusrobotitesse. Valikuvahend filtreerib süstemaatiliselt välja rühma kandidaate. Genereeritud tekst avaldatakse faktina ja osutub valeks. Igaüks neist on enne tehniline probleem juriidiline. Igal juhul kannab vastutust süsteemi juurutanud organisatsioon, mitte selle ehitanud tarnija.

Millised reeglid kehtivad: tehisintellekti seadus, isikuandmete kaitse üldmäärus ja Hollandi tööõigus?

Korraga kehtivad kolm reeglistikku ja poliitika, mis hõlmab ainult ühte neist, on mittetäielik. Tehisintellekti seadus reguleerib süsteemi, isikuandmete kaitse üldmäärus reguleerib andmeid ja Hollandi tööõigus reguleerib seda, mida te võite oma töötajatega nendega teha.

Kuidas tehisintellekti seadus tehisintellekti süsteeme liigitab?

Tehisintellekti seadus kasutab riskipõhist lähenemisviisi. Väike arv tavasid on täielikult keelatud, sealhulgas sotsiaalne hindamine ja teatud manipuleerivad või ärakasutavad tehnikad. Meie artikkel tehisintellekti keelatud tavade kohta selgitab neid.

Seaduse III lisa kohaselt loetakse kõrge riskiga tehisintellektiks määratletud kasutusalade rühm . Näideteks on värbamine ja valik, edutamise ja vallandamise otsused, krediidivõimelisuse hindamine ning juurdepääs olulistele avalikele ja erateenustele. Nende süsteemide puhul nõuab seadus järgmist:

• riskijuhtimissüsteem;
• andmehaldus;
• tehniline dokumentatsioon ja logimine;
• läbipaistvus juurutaja (süsteemi kasutava organisatsiooni) suhtes;
• inimese järelevalve;
• eesmärgiga kooskõlas olev täpsus ja vastupidavus.

Kõik muu allub peamiselt läbipaistvuskohustustele või puudub üldse tehisintellekti seadusest tulenev konkreetne kohustus.

Mida GDPR lisab?

Isikuandmete kaitse üldmäärus (GDPR) kohaldub täielikult kõikjal, kus isikuandmeid töödeldakse. Tehisintellekti projektides on eesmärgi piiramine, andmete minimeerimine ja seadusliku aluse vajadus nii koolituse kui ka kasutamise jaoks kõige olulisemad.

Artikkel 22 GDPR piirab üksnes automatiseeritud töötlemisel põhinevaid otsuseid, millel on õiguslikud tagajärjed või mis mõjutavad isikut sarnasel viisil oluliselt. Kui süsteem võib kujutada endast üksikisikutele suurt ohtu, nõuab artikkel 35 GDPR-i kohaselt enne selle kasutamist andmekaitsealast mõjuhinnangut (DPIA). Meie artikkel tehisintellekti kasutamise kohta teie Hollandi ettevõttes käsitleb neid kohustusi üksikasjalikumalt.

Mida nõuab Hollandi tööõigus?

Hollandi tasand on see, mida kõige sagedamini tähelepanuta jäetakse. Töönõukogude seaduse ( Wet op de ondernemingsraden , WOR) artikli 27 kohaselt peab töönõukogu andma nõusoleku töötajate isikuandmete töötlemise korraldusele ja töötajate jälgimiseks sobivatele süsteemidele.

See nõusolekuõigus hõlmab kõiki töötajate isikuandmete töötlemise ja kaitse kokkuleppeid. See hõlmab ka vahendeid, mis on ette nähtud või sobivad töötajate kohaloleku, käitumise või tulemuslikkuse jälgimiseks või kontrollimiseks. Tehisintellekti poliitika, mis reguleerib töötajate jälgimist, tootlikkuse analüüsi või automatiseeritud hindamist, kuulub sageli selle sätte alla. Töönõukogu saab vaidlustada otsuse, mis on tehtud ilma nõutava nõusolekuta. Konsulteerimine on seega ajastuse, mitte formaalsuse küsimus.

Millised tehisintellekti seaduse tähtajad kehtivad praegu ja millised on nihkunud?

Keelud, üldotstarbeliste tehisintellekti mudelite reeglid ja läbipaistvuskohustused kehtivad juba praegu. Kõrge riskiga süsteemide ranged kohustused on edasi lükatud 2027. aasta detsembrisse ja 2028. aasta augustisse.

Tehisintellekti seadus jõustus 1. augustil 2024 ja seda kohaldatakse etappidena:

• 2 veebruar 2025: Jõustusid vastuvõetamatu riskiga tavade keelud ja tehisintellekti kirjaoskuse kohustus.
• 2 august 2025: Jõustusid üldotstarbeliste tehisintellekti mudelite pakkujate kohustused koos juhtimis- ja karistussättetega.
• 2 august 2026: üldine kohaldamise kuupäev. Sellest kuupäevast alates kehtivad artiklis 50 sätestatud läbipaistvuskohustused: inimestele tuleb teatada, kui nad tehisintellekti süsteemiga suhtlevad, ja tehisintellekti loodud või manipuleeritud sisu tuleb vastavalt märgistada.

Üks kohustuste plokk on edasi lükatud. Määrus (EL) 2026/1744, Euroopa Komisjoni digitaalse omnibusi tehisintellekti osa, avaldati Euroopa Liidu Teatajas 24. juulil 2026 ja jõustus 27. juulil 2026. See muudab ajakava järgmiselt:

• III lisas loetletud eraldiseisvate süsteemide, mis hõlmavad tööhõive-, haridus-, krediidi- ja olulisi teenuseid, kõrge riskiga kord kehtib nüüd alates 2. detsembrist 2027.
• Tehisintellekti puhul, mis on juba ELi tootealaste õigusaktidega (I lisa) hõlmatud toodete ohutuskomponent, saab kuupäevaks 2. august 2028.
• Enne 2. augustit 2026 turule lastud generatiivsetel süsteemidel on artiklis 50 sätestatud masinloetava märgistuse kohustuse täitmiseks aega kuni 2. detsembrini 2026.
• Tehisintellekti oskusteabe kohustust on leebemaks muudetud: teenusepakkujad ja juurutajad peavad nüüd võtma meetmeid tehisintellekti oskusteabe piisava taseme toetamiseks, mitte selle tagamiseks.

Praktiline lugemine on lihtne. Keelud, üldised tehisintellekti reeglid ja läbipaistvuskohustused on täna jõustatavad. Kõrge riskiga süsteemide täielik vastavusaparaat saabub 2027. aasta lõpus. See on ettevalmistusperiood, mitte ajapikendus. Kui valite värbamis- või krediidiskoorisüsteemi praegu, kasutate seda ka 2027. aasta detsembris. Täna allkirjastatav tarneleping määrab, kas dokumentatsioon, logimine ja inimjärelevalve funktsioonid on selleks ajaks olemas.

Mida peaks poliis katma?

Alusta ulatuse määratlemisest: millistele osakondadele ja millist tüüpi süsteemidele poliitika kehtib. Poliitika, mida keegi ei saa oma olukorrale rakendada, on halvem kui mitte mingisugune poliitika.

Nimeta osakonnad, millega see tegeleb – tavaliselt personalijuhtimine, turundus, klienditeenindus, rahandus, operatsioonid, õigus ning teadus- ja arendustegevus. Nimeta ka süsteemi kategooriad: ostetud tehisintellekti tarkvara, olemasolevatesse platvormidesse sisseehitatud tehisintellekti funktsioonid, ettevõttesiseselt väljatöötatud mudelid, genereerivad assistendid, vestlusrobotid, hindamis- ja järjestamisvahendid ning soovitusmootorid.

Kaks piiriküsimust vajavad selget vastust. Esiteks: kas ja millistel tingimustel saavad töötajad avalikke tehisintellekti tööriistu tööks oma nimel kasutada? Teiseks: mis juhtub tehisintellekti funktsioonidega, mis ilmuvad juba kasutatavasse tarkvarasse ilma ostuotsuseta ja sageli ette teatamata? Mõlemad on teed, mille kaudu tehisintellekt siseneb organisatsiooni märkamatult. Neid reguleerib kas poliitika või mitte miski.

Kuidas te tehisintellekti defineerite ja selle kasutust jagate?

Kasutage definitsioone, mis vastavad tehisintellekti seaduses esitatud tehisintellekti süsteemi laiale kontseptsioonile, kuid kirjutage need töötajatele arusaadavas keeles, tuues näiteid oma osakonnast. Keegi personaliosakonnast peaks suutma ilma juriidiliselt meeskonnalt küsimata öelda, kas tema ees olev tööriist kuulub poliitika alla.

Seejärel jagage kasutamine kolme kategooriasse:

• Keelatud kasutamine: tehisintellekti seadusega keelatud tavad ja kõik rakendused, mille teie organisatsioon on oma põhjustel välistanud.
• Tingimuslik kasutamine: kõik, mis on lubatud vastavalt kaitsemeetmetele, näiteks dokumenteeritud riskide klassifikatsioon, andmekaitsealane mõjuhinnang (DPIA), kui see on isikuandmete kaitse üldmäärusega nõutav, nimetatud rolli poolt heakskiit ning kokkulepitud tehnilised ja korralduslikud meetmed.
• Lubatud kasutusala: madala riskiga rakendused, mis ei vaja enamat kui üldised konfidentsiaalsus- ja väljundkontrolli reeglid.

Kategooriad toimivad ainult siis, kui poliitikas on ka kirjas, kes ja milliste tõendite alusel taotluse ühest kategooriast teise liigutab.

Kes vastutab?

Juhtimine otsustab, kas ülejäänud poliitika on reaalne. Määrake tehisintellekti nõuetele vastavuse eest lõplik vastutus, tavaliselt juhatuse tasandil, ja nimetage rollid, mis valivad ja kinnitavad uusi rakendusi, peavad inventuuri ja tegelevad intsidentidega.

Tarnijate haldamine kuulub samuti siia alla. Kui süsteem võib muutuda kõrge riskiga, peaks leping kohustama tarnijat esitama tehnilise dokumentatsiooni, kasutusjuhendid, logimisvõimaluse ja teabe, mida vajate oma hindamiseks. Samuti peaks see määrama vastutuse muudatuste eest, mis muudavad süsteemi sihtotstarvet.

Kuidas te andmete, privaatsuse, turvalisuse ja läbipaistvusega toime tulete?

Poliitikas tuleb sätestada, millist teavet võib millisesse süsteemi sisestada. Tehisintellekti süsteemi seaduslikkus sõltub andmetest, mida see kasutab.

Konfidentsiaalne äriteave, kliendifailid, isikuandmete erikategooriad ja kõik, mis on hõlmatud ametisaladusega, ei kuulu üldiselt avalikku tööriista. Määrake kindlaks, kus on vaja anonümiseerimist või pseudonümiseerimist, kui kaua sisendeid ja väljundeid säilitatakse ning kuidas treeningandmeid tootmisandmetest eraldi hoitakse. Isikuandmete puhul tehke GDPR-i hindamine ja tehisintellekti seaduse klassifikatsioon ühe ülesandena. Need esitavad sama süsteemi kohta erinevaid küsimusi.

Turvalisus järgib tavareegleid. Juurdepääs tuleb anda rolli, logide kasutamise ja tehisintellekti intsidentide suunamise teel oma olemasolevasse intsidentide ja andmetega seotud rikkumiste menetlusse, mitte eraldi jälge, mida keegi ei mäleta. Isikuandmete kaitse üldmääruse artikli 33 kohaselt tuleb isikuandmete rikkumisest teatada Hollandi andmekaitseasutusele ( Autoriteit Persoonsgegevens , AP) põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul alates sellest teadasaamisest.

Läbipaistvus on nüüd operatiivne kohustus, mitte hea kavatsus. Alates 2. augustist 2026 nõuab tehisintellekti seaduse artikkel 50, et inimestele teatataks, kui nad tehisintellekti süsteemiga suhtlevad, välja arvatud juhul, kui see on asjaoludest ilmne. Sünteetiline heli, pildid, video ja tekst peavad olema masinloetavalt märgistatud. Emotsioonide tuvastamise ja biomeetriliste kategoriseerimissüsteemidel on oma kohustus teavitada nendega kokkupuutuvaid inimesi. Tõlgendage see konkreetseteks juhisteks: mida vestlusrobot oma avasõnumis ütleb, kuidas tehisintellekti abil loodud sisu märgistatakse ja mida kandidaatidele tehisintellekti rolli kohta valikumenetluses räägitakse.

Kuidas korraldate inimjärelevalvet, eelarvamuste testimist ja tehisintellekti oskusteavet?

Iga süsteemi puhul, mis inimest mõjutab, peab poliitika sätestama, millal inimene otsustab ja mida ta tegelikult teha saab. Töövoo allkirjakast ei ole järelevalve.

Sisukas järelevalve tähendab, et ülevaataja mõistab süsteemi piire, oskab selle tulemusi tõlgendada ning tal on volitused ja aeg need kõrvale jätta. Isikuandmete kaitse üldmääruse artikli 22 kohaselt ei tohi otsus, millel on isikule õiguslikud tagajärjed või sarnane oluline mõju, põhineda üksnes automatiseeritud töötlemisel, välja arvatud kindlaksmääratud olukordades. Isegi sel juhul säilib isikul õigus inimese sekkumisele, õigus esitada oma seisukoht ja vaidlustada otsus.

Miks testida eelarvamusi?

Eelarvamuste testimine kuulub poliitikasse korduva ülesandena, millel on nimetatud omanik. Värbamisel, tulemuslikkuse hindamisel, sisseelamisel ja krediidiotsuste tegemisel kasutatavaid süsteeme tuleks perioodiliselt testida, et teha kindlaks tulemuste erinevused ja rühmadevahelised veamäärad, ning tulemused tuleks registreerida.

See dokument loeb kaks korda. See toetab teie tehisintellekti seaduse dokumente. Ja see on tõend, mida vajate, kui tagasilükatud kandidaat väidab diskrimineerimist Hollandi võrdse kohtlemise seaduse ( Algemene wet gelijke behandeling , AWGB) alusel. Selle seaduse kohaselt nihutavad diskrimineerimisele viitavad faktid tõendamiskoormise tööandjale.

Mida tehisintellekti kirjaoskus nõuab?

Tehisintellekti seadus kohustab teenusepakkujaid ja juurutajaid võtma meetmeid, et toetada nende süsteemidega töötavate töötajate piisavat tehisintellekti alast kirjaoskust. Meetmed peaksid arvestama tehniliste teadmiste, kogemuste ja kasutuskontekstiga.

Standardiks on mõistmine, mitte asjatundlikkus. Töötajad peaksid suutma tehisintellekti süsteemi ära tunda, teadma, milleks see on usaldusväärne ja milleks mitte, ning teadma, millal riski eskaleerida. Praktikas tähendab see kõigile baasmoodulit ja põhjalikumat koolitust riskiga seotud rollidele: personaliosakond, IT- ja andmemeeskonnad, hankeosakond, vastavus ja juhtimine. Registreerige, kes ja millal koolitust läbis. Korrake koolitust, kui saabub oluline uus süsteem või muutub õigusraamistik, mis selles valdkonnas juhtub sageli.

Kes teostab Hollandis tehisintellekti seaduse üle järelevalvet?

Holland korraldab järelevalvet olemasolevate reguleerivate asutuste, mitte uue asutuse kaudu. Rakendusseadus on alles ettepaneku järgus, seega pole riiklike volituste jaotus veel lõplik.

Valitsus avaldas tehisintellekti määruse rakendusseaduse ( Uitvoeringswet AI-verordening ) eelnõu avalikuks konsultatsiooniks 20. aprillil 2026 ning konsultatsioon kestab 1. juunini 2026. Eelnõu kohaselt jagavad Hollandi digitaalse taristu amet ( Rijksinspectie Digitale Infrastructuur , RDI) ja Hollandi andmekaitseamet koordineerivat rolli. AP tegutseb järelevalveasutusena juhul, kui sektori reguleerijat ei ole määratud, ja olemasolevad sektori järelevalveasutused säilitavad oma domeenid. Seaduseelnõu ei ole veel vastu võetud ja kuninglik dekreet määrab selle jõustumiskuupäeva.

Karistusmäärad tulenevad tehisintellekti seadusest endast. Kõrgeim määr keelatud tegevuste eest on kuni 35 miljonit eurot või seitse protsenti ettevõtte ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem.

Kuidas jõuda esimesest inventuurist toimiva tehisintellekti poliitikani?

Alustage tegelikult kasutusel olevate asjade inventuurist ja alles seejärel kirjutage poliitika. Enne inventuuri kirjutatud poliitika kipub keelama asju, mida keegi ei tee, ja lubama asju, mida keegi pole kontrollinud.

Lisage tehisintellekti funktsioone olemasolevasse tarkvarasse ja tööriistadesse, mille töötajad ise kasutusele võtsid. Lühike ja konfidentsiaalne uuring paljastab tavaliselt enamat kui osakonnajuhatajatele esitatud ametlik taotlus. Seejärel toimige järgmiselt.

• Klassifitseerige iga rakenduse puhul: keelatud, III lisa kohaselt kõrge riskiga, läbipaistvuskohustuste alla kuuluv või madala riskiga.
• Hinnake Oluliste rakenduste õiguslik ja organisatsiooniline risk. Kombineerige tehisintellekti seaduse klassifikatsioon isikuandmete kaitse üldmääruse analüüsiga ning töötajate mõjutamise korral tööõiguse ja töönõukogu küsimustega.
• Eelnõu poliitikat ja viige see kooskõlla oma olemasolevate privaatsus-, infoturbe-, hanke- ja personalijuhtimise raamistikega, selle asemel, et kirjutada paralleelne reeglistik.
• Täitma see on koht, kus tehakse otsuseid: ostumallid ja tarnijalepingud, uue tarkvara vastuvõtuprotsess, värbamisprotseduur, intsidentide lahendamise protseduur ja koolituskalender.
• Ülevaade seda vähemalt kord aastas ja alati, kui kasutusele võetakse uus oluline süsteem, muutub õigusraamistik või toimub intsident.

Rakendamine on see, kus enamik poliitikaid ebaõnnestub. Intranetis olev dokument ei muuda midagi, kui hankevormil ei küsita, kas tööriist sisaldab tehisintellekti.

Mida peaksite sel kvartalil tegema?

Kolm kontrolli tasub kohe ära teha:

• Kontrollige, et ükski kasutatav rakendus ei kuuluks keelatud tavade alla. Need reeglid on olnud jõus alates 2025. aasta veebruarist.
• Kontrollige, et teie klientidega suhtlemise ja sisu loomise süsteemid vastavad artikli 50 läbipaistvuskohustustele, mis jõustusid 2. augustil 2026.
• Kontrollida, et kõik III lisa kõrge riskiga kategooriasse kuuluvad süsteemid vastaksid lepinguliselt alates 2. detsembrist 2027 kehtivatele nõuetele. Selle uuesti läbirääkimine 2027. aastal läheb oluliselt rohkem maksma kui praegune kokkuleppimine.

Kokkuvõtvalt

• Tehisintellekti seadus ei nõua dokumenti nimega tehisintellekti poliitika, kuid ilma selleta on tehisintellekti seaduse, isikuandmete kaitse üldmääruse ja Hollandi tööõiguse järgimist vaevalt võimalik näidata.
• Keelud, üldotstarbeliste tehisintellekti mudelite reeglid ja artikli 50 läbipaistvuskohustused kehtivad juba.
• Määrusega (EL) 2026/1744 lükati kõrge riskiga korra kohaldamine edasi 2. detsembrile 2027 (III lisa) ja 2. augustile 2028 (I lisa).
• Töötajaid jälgiv või hindav tehisintellekt vajab sageli töönõukogu nõusolekut vastavalt WOR artiklile 27.
• Alustage inventuuriga, seejärel klassifitseerige, hinnake, koostage eelnõu, rakendage ja vaadake üle.

Korduma kippuvad küsimused

Law & More nõustab organisatsioone tehisintellekti süsteemide klassifitseerimisel, tehisintellekti poliitikate koostamisel ja rakendamisel, tehisintellekti rakenduste tarne- ja litsentsilepingute koostamisel ning nendega kaasnevates privaatsus- ja tööõiguse küsimustes. Meie IT-juristid saab teie praeguse olukorra üle vaadata ja näidata, kus on lüngad. Pole kindel, kus te seisate? Rääkige meile oma olukorrast. Anname teile teie võimalustest teada ühe tööpäeva jooksul.