Používání umělé inteligence v nizozemské firmě spouští dva režimy najednou. Jakýkoli systém umělé inteligence, který zpracovává osobní údaje, spadá pod GDPR , které vymáhá Autoriteit Persoonsgegevens , a navíc zákon EU o umělé inteligenci ukládá povinnosti, které závisí na rizikové kategorii systému. Od 2. února 2025 se přímo uplatňují zakázané praktiky a povinnost gramotnosti v oblasti umělé inteligence; od 2. srpna 2025 se uplatňují pravidla pro univerzální modely umělé inteligence; platí také povinnost transparentnosti uvedená v článku 50. Většina režimu s vysokým rizikem byla odložena, ale nic na tomto odložení nepozastavuje GDPR.
Právě v této kombinaci se většina organizací dopouští chyby: zákon o umělé inteligenci považují za problém budoucnosti a přehlížejí, že povinnosti týkající se ochrany osobních údajů mají dopad už dnes.
Vaše firma čelí při implementaci technologií umělé inteligence řadě problémů s dodržováním předpisů . GDPR stanoví přísná omezení pro způsob, jakým shromažďujete a používáte osobní údaje pro školení a nasazování umělé inteligence.
Zákon EU o umělé inteligenci mezitím zavádí další požadavky na základě úrovně rizika různých systémů umělé inteligence. Pochopení toho, kde se tyto předpisy překrývají a co od vaší organizace vyžadují, je nezbytné pro předcházení právním problémům.
Tato příručka vysvětluje rizika v oblasti dodržování předpisů, o kterých byste měli vědět, a poskytuje praktické kroky pro legální používání umělé inteligence v Nizozemsku. Dozvíte se, které systémy umělé inteligence vyžadují zvláštní kontrolu, jaké povinnosti musíte splňovat a jak vybudovat řádné kontrolní mechanismy.
Klíčová rizika pro nizozemské firmy v oblasti dodržování předpisů GDPR a umělé inteligence
Nizozemské firmy používající systémy umělé inteligence čelí třem hlavním výzvám v oblasti dodržování předpisů GDPR. Musíte pochopit, jak zpracování osobních údajů funguje v nástrojích umělé inteligence, správně spravovat citlivé informace a splňovat požadavky na transparentnost.
Zpracování osobních údajů pomocí systémů umělé inteligence
Pokud ve svém podnikání používáte systémy umělé inteligence, musíte dodržovat přísná pravidla GDPR týkající se způsobu shromažďování a zpracování osobních údajů. Obecné nařízení o ochraně osobních údajů vyžaduje, abyste před zpracováním jakýchkoli osobních údajů měli platný právní základ.
Minimalizace dat znamená, že můžete shromažďovat pouze osobní údaje, které skutečně potřebujete. Mnoho systémů umělé inteligence chce zpracovávat velké množství dat, ale vy musíte toto zpracovávání omezit na to, co slouží vašemu konkrétnímu obchodnímu účelu.
Omezení účelu vám brání v používání dat z jiných důvodů, než pro které jste je shromáždili. Pokud shromažďujete informace o zákaznících pro chatboty, nemůžete tato data použít k trénování jiných modelů umělé inteligence bez řádného právního důvodu.
Musíte také prokázat, že vaše data pro trénink umělé inteligence byla získána zákonně. Nizozemský úřad pro ochranu osobních údajů uvádí, že většina modelů umělé inteligence v současnosti postrádá legitimitu, protože bez řádného souhlasu získávají veřejně dostupná internetová data.
Mezi klíčové požadavky patří:
- Platný právní základ pro veškeré zpracování údajů
- Jasná dokumentace zdrojů dat
- V případě potřeby řádné mechanismy souhlasu
- Systémy, které je třeba zvládnout práva subjektu údajů žádosti
Zvláštní kategorie osobních údajů a správa citlivých údajů
Zvláštní kategorie osobních údajů vyžadují podle GDPR zvláštní ochranu. Patří mezi ně informace o rasovém nebo etnickém původu, politické názory, náboženské vyznání, zdravotní údaje a biometrické informace.
Pokud vaše systémy umělé inteligence zpracovávají tyto citlivé typy dat, čelíte vážným rizikům . Nizozemský úřad zjistil, že modely umělé inteligence často zahrnují zvláštní kategorie osobních údajů, které samotné osoby nezveřejnily.
Pokud používáte umělou inteligenci pro nábor, profilování zákazníků nebo zdravotnické služby, pravděpodobně zpracováváte speciální kategorie údajů. Pro tuto práci potřebujete přísnější podmínky a dodatečná ochranná opatření.
Vaše firma musí:
- Identifikujte, které systémy umělé inteligence zpracovávají citlivá data
- Zavést přísnější bezpečnostní opatření
- Odstraňte nežádoucí osobní údaje prostřednictvím řádné správy dat
- Jasně zdokumentujte svá opatření k dodržování předpisů
Porušení soukromí týkající se citlivých údajů vede k vyšším pokutám a závažnějším vynucovacím opatřením. Nemůžete se spoléhat na to, že se o tuto odpovědnost postarají poskytovatelé umělé inteligence.
Povinnosti transparentnosti a vysvětlitelnost systémů umělé inteligence
Musíte lidem sdělit, kdy o nich systémy umělé inteligence rozhodují. GDPR vyžaduje jasné informace o automatizovaném rozhodování a o tom, jak tyto systémy fungují.
Technická složitost umělé inteligence vytváří problémy s transparentností. Vzory modelů umělé inteligence jsou zakotveny ve vahách a číslech, což ztěžuje vysvětlení, jak dochází k rozhodování.
Pokud používáte chatboty nebo jiné nástroje umělé inteligence, které interagují se zákazníky, musíte:
- Informujte uživatele, že interagují s umělou inteligencí
- Vysvětlete logiku automatizovaných rozhodnutí
- Popište význam a důsledky zpracování dat pomocí umělé inteligence
- Poskytněte informace o právech subjektu údajů
Vaše povinnosti transparentnosti se vztahují i na zaměstnance, pokud používáte umělou inteligenci pro rozhodování na pracovišti. Musíte vysvětlit, jak systémy umělé inteligence hodnotí výkon, přidělují úkoly nebo činí rozhodnutí o náboru.
Nové technologie, jako je generování s rozšířeným vyhledáváním, mohou pomoci omezit nesprávnou reprodukci osobních údajů. Měli byste implementovat technická řešení, která podporují vaše požadavky na transparentnost a zároveň zachovávají standardy ochrany osobních údajů.
Orientace v zákoně EU o umělé inteligenci a překrývající se předpisy
Zákon EU o umělé inteligenci zavádí rámec založený na riziku, který kategorizuje systémy umělé inteligence podle jejich potenciální škodlivosti, zatímco nizozemské úřady spolupracují se stávajícími zákony na ochranu osobních údajů, aby vymáhaly dodržování předpisů. Vaše firma musí pochopit, jak se toto nařízení prolíná s NIS2, zákonem o ochraně osobních údajů a dalšími rámci EU, které formují zavádění umělé inteligence.
Zákon EU o umělé inteligenci: oblast působnosti, přístup založený na riziku a klíčové zákazy
Zákon o umělé inteligenci se řídí přístupem založeným na riziku, který rozděluje systémy umělé inteligence do čtyř úrovní: nepřijatelné riziko, vysoké riziko, omezené riziko a minimální riziko. Tento rámec se vztahuje na poskytovatele, provozovatele, dovozce a distributory působící na trhu EU bez ohledu na to, kde má vaše společnost sídlo.
Mezi zakázané praktiky umělé inteligence patří systémy, které manipulují s chováním uživatelů, zneužívají zranitelné skupiny obyvatelstva nebo provádějí biometrickou identifikaci v reálném čase ve veřejných prostorách. Tyto praktiky jsou v rozporu se základními právy a hodnotami Unie.
Vysoce rizikové systémy umělé inteligence čelí nejpřísnějším požadavkům. Patří mezi ně umělá inteligence používaná při rozhodování o zaměstnání, kreditním bodování, vymáhání práva a správě kritické infrastruktury. Musíte provádět posouzení shody, udržovat technickou dokumentaci a zavádět opatření lidského dohledu.
Územní působnost zákona je široká. Pokud nabízíte systémy nebo služby umělé inteligence nizozemským zákazníkům nebo pokud je výstup vašeho systému umělé inteligence používán v Nizozemsku, pravděpodobně spadáte pod jeho jurisdikci.
Nedodržení s sebou nese značné sankce. Pro zakázané praktiky stanoví zákon o umělé inteligenci nejvyšší strop, vyjádřený jako pevná maximální částka nebo procento z celkového celosvětového ročního obratu, podle toho, která částka je vyšší; nižší stropy se vztahují na porušení ostatních povinností a na poskytování nesprávných informací orgánům. Přesné částky jsou uvedeny v článku 99 nařízení.
Kdy se uplatní každá část zákona o umělé inteligenci
Nařízení vstoupilo v platnost 1. srpna 2024 a uplatňuje se postupně. Od 2. února 2025 platí zákazy uvedené v článku 5 a povinnost gramotnosti v oblasti umělé inteligence uvedená v článku 4. Od 2. srpna 2025 platí povinnosti poskytovatelů univerzálních modelů umělé inteligence, struktura správy a řízení a sankční ustanovení. Obecné datum použitelnosti je 2. srpna 2026.
Výjimkou je režim s vysokým rizikem. V rámci digitálního omnibusového balíčku bylo uplatňování pravidel pro vysoká rizika podle přílohy III odloženo do 2. prosince 2027 a pravidel podle přílohy I, která se vztahují na umělou inteligenci zabudovanou do produktů, na které se již vztahují právní předpisy EU o produktech, do 2. srpna 2028. Toto odložení je omezeno na režim s vysokým rizikem: zákazy, pravidla pro obecnou umělou inteligenci a povinnost transparentnosti uvedená v článku 50 zůstávají nedotčeny a již platí. Samostatně byla stažena navrhovaná směrnice o odpovědnosti za škodu způsobenou umělou inteligencí, takže odpovědnost za škodu způsobenou umělou inteligencí se řídí běžným nizozemským právem a revidovanou směrnicí o odpovědnosti za škodu způsobenou vadou výrobku, nikoli specializovaným nástrojem pro odpovědnost za škodu způsobenou umělou inteligencí.
Nizozemská regulační krajina: klíčové orgány a místní implementace
Autoriteit Persoonsgegevens (nizozemský úřad pro ochranu osobních údajů neboli nizozemský DPA) slouží jako hlavní orgán pro vymáhání aspektů ochrany osobních údajů v systémech umělé inteligence v Nizozemsku. Tento orgán již před formálním zavedením zákona o umělé inteligenci přijal opatření proti porušením GDPR souvisejícím s umělou inteligencí.
Dohled podle samotného zákona o umělé inteligenci je organizován odlišně od jediného národního regulačního orgánu. Nizozemský přístup spočívá v tom, že stávající sektorové dozorčí orgány dohlížejí na umělou inteligenci v rámci svých vlastních oblastí, takže banka jedná se svým finančním dozorčím orgánem a nemocnice se svým dozorčím orgánem zdravotní péče. Kromě toho je pro oblasti, kde sektorový dozorčí orgán neexistuje, určen Autoriteit Persoonsgegevens a Rijksinspectie Digitale Infrastructuur (RDI) má koordinační roli v celém systému.
Zákon, který tuto strukturu zakotvuje v nizozemském právu, Uitvoeringswet AI-verordening, byl v dubnu 2026 projednán ve veřejném řízení a stále se jedná o návrh zákona. Dokud nevstoupí v platnost, vymáhání porušení souvisejících s umělou inteligencí v praxi probíhá převážně prostřednictvím GDPR a Autoriteit Persoonsgegevens, které k řešení protiprávního zpracování nepotřebují prováděcí zákon.
Klíčové odpovědnosti nizozemských orgánů:
- Monitorování souladu systémů umělé inteligence s předpisy EU
- Vyšetřování stížností na praktiky umělé inteligence
- Ukládání pokut za porušení zákona o ochraně osobních údajů a umělé inteligenci
- Poskytování pokynů k interpretaci předpisů
- Koordinace s Evropskou radou pro ochranu osobních údajů a Úřadem EU pro umělou inteligenci
Nizozemská vláda naznačila, že do stávajících regulačních rámců integruje vymáhání zákona o umělé inteligenci. Vaše firma by měla očekávat důkladnější kontrolu ze strany nizozemského úřadu pro ochranu osobních údajů, zejména pokud zpracovává osobní údaje prostřednictvím systémů umělé inteligence.
Integrace s NIS2 a zákony EU o ochraně osobních údajů
Zákon o umělé inteligenci nefunguje samostatně. Funguje společně s několika nařízeními EU, která ovlivňují, jak můžete systémy umělé inteligence používat ve svém nizozemském podnikání.
Systém NIS2 byl v Nizozemsku zaveden úřadem Cyberbeveiligingswet a vstoupil v platnost 15. srpna 2026. Pokud splňujete podmínky pro včasné varování nebo důležitý subjekt, musíte se zaregistrovat u NCSC a nahlásit významné incidenty do 24 hodin, pokud chcete obdržet včasné varování, a do 72 hodin, pokud chcete obdržet podrobnější oznámení. Systém umělé inteligence, který podporuje základní službu, proto spadá současně pod zákon o umělé inteligenci i tento zákon.
Zákon o datech upravuje přístup k datům generovaným připojenými produkty a službami a jejich používání. Pokud vaše systémy umělé inteligence spoléhají na data internetu věcí nebo průmyslová data, musíte dodržovat požadavky na sdílení dat a ustanovení o smluvní spravedlnosti.
Zákon o správě dat (Data Governance Act) stanoví rámce pro sdílení a opětovné použití dat. Pokud používáte data veřejného sektoru nebo data organizací zabývajících se osobními daty a almužními organizacemi k trénování modelů umělé inteligence, musíte dodržovat specifické struktury správy a řízení a požadavky na transparentnost.
Zákon o digitálních službách se vztahuje na případy, kdy jsou vaše systémy umělé inteligence součástí online platforem nebo služeb. Musíte posoudit systémová rizika, zajistit transparentnost ohledně doporučovacích systémů a umožnit uživatelům odhlásit se z doporučení založených na profilování.
Vaše strategie dodržování předpisů musí řešit tato překrývající se nařízení současně. Evropský sbor pro ochranu osobních údajů koordinuje pokyny mezi členskými státy, aby byl zajištěn jednotný výklad.
Kategorie rizik systémů umělé inteligence a vysoce rizikové případy užití
Zákon EU o umělé inteligenci rozděluje umělou inteligenci do čtyř úrovní rizika, z nichž každá má odlišné požadavky na dodržování předpisů . Zakázané systémy čelí úplnému zákazu, vysoce rizikové aplikace vyžadují přísný dohled, zatímco systémy s omezeným a minimálním rizikem mají mírnější povinnosti.
Zakázané praktiky umělé inteligence a nepřijatelná rizika
Některá použití umělé inteligence jsou podle zákona EU o umělé inteligenci zcela zakázána, protože představují nepřijatelná rizika pro základní práva. Nelze zavádět systémy, které manipulují s chováním lidí pomocí podprahových technik nebo zneužívají zranitelné skupiny na základě věku nebo postižení.
Sociální bodování ze strany vlád je zakázáno. To znamená, že veřejné orgány nemohou hodnotit občany na základě jejich sociálního chování nebo osobních charakteristik.
Biometrická identifikace v reálném čase ve veřejných prostorách je pro orgány činné v trestním řízení z velké části zakázána. Omezené výjimky existují pouze u závažných trestných činů, jako je terorismus nebo únos, a ty vyžadují předchozí soudní souhlas.
Umělou inteligenci také nelze použít k předpovídání kriminálního chování pouze na základě profilování nebo osobnostních rysů. Systémy, které sbírají snímky obličejů z internetu nebo kamerových systémů za účelem vytváření databází rozpoznávání, také čelí omezením.
Co se považuje za vysoce rizikový systém umělé inteligence
Vysoce rizikové systémy umělé inteligence jsou ty, které se používají v osmi specifických odvětvích, kde by chyby mohly vážně ohrozit bezpečnost lidí nebo základní práva. Tyto systémy nejsou zakázané, ale před jejich nasazením musí splňovat přísné požadavky.
Mezi osm vysoce rizikových kategorií patří:
- Biometrická identifikace a rozpoznávání emocí
- Kritická infrastruktura (energie, doprava, voda)
- Vzdělávání a odborná příprava
- Řízení zaměstnanosti a lidských zdrojů
- Základní veřejné a soukromé služby
- Vymáhání práva
- Migrace a hraniční kontroly
- Spravedlnost a demokratické procesy
Automatizované rozhodování v oblasti náboru, kreditního skóre nebo přidělování benefitů spadá pod pravidla pro vysoce rizikové situace. Pokud používáte algoritmy k filtrování uchazečů o zaměstnání nebo k určení způsobilosti k úvěru, musíte dokumentovat, jak se rozhodování činí, a umožnit lidskou kontrolu.
Aplikace ve finančním sektoru , které posuzují úvěruschopnost nebo pojistné riziko, vyžadují pravidelné testování zkreslení. Vaše trénovací data musí reprezentovat různorodé populace, aby se předešlo diskriminačním výsledkům.
U vysoce rizikových systémů potřebujete technickou dokumentaci, procesy řízení rizik a postupy správy dat. Systémy musí uchovávat auditní záznamy , které zaznamenávají všechna rozhodnutí pro účely dohledu.
Před nasazením musíte také provést posouzení dopadů na základní práva. Univerzální umělá inteligence , jako je ChatGPT , Gemini nebo LLaMA, se může stát vysoce rizikovou, pokud je integrována do specifických aplikací.
Rozsáhlý jazykový model používaný pro screening HR spadá do kategorie vysoce rizikových, i když samotný základní model do kategorie nepatří. Povinnosti v oblasti kybernetické bezpečnosti vyžadují ochranu vysoce rizikových systémů před manipulací a neoprávněným přístupem.
Pravidelné testování a monitorování po uvedení na trh pomáhají identifikovat problémy po uvedení na trh.
Omezené a minimálně rizikové aplikace umělé inteligence
Většina systémů umělé inteligence spadá do kategorií s omezeným nebo minimálním rizikem s nižší zátěží v oblasti dodržování předpisů. Omezené riziko platí, pokud dávají smysl povinnosti transparentnosti, zatímco systémy s minimálním rizikem nepodléhají téměř žádným požadavkům.
Chatboti a generativní nástroje umělé inteligence aktivují pravidla transparentnosti. Musíte uživatele informovat, že interagují s umělou inteligencí, nikoli s člověkem.
To zahrnuje boty zákaznické podpory a asistenty s umělou inteligencí na vašem webu. Obavy z dezinformací znamenají, že je třeba označit obsah generovaný umělou inteligencí.
Pokud vytváříte syntetické obrázky, zvuk nebo video, musíte to jasně sdělit. Deepfake vyžadují obzvláště výrazná varování o jejich umělé povaze.
Systémy RAG (generování s rozšířeným vyhledáváním), které poskytují informace zákazníkům, se obvykle kvalifikují jako systémy s omezeným rizikem. Zdroje dat a míru přesnosti byste měli dokumentovat i bez úplného dodržování předpisů pro vysoké riziko.
Základní modely a LLM používané pro základní úkoly, jako je psaní e-mailů nebo shrnutí dokumentů, obvykle představují minimální riziko. Můžete je nasadit se základními opatřeními pro transparentnost, nikoli s rozsáhlou dokumentací.
Spamové filtry, videohry s umělou inteligencí a algoritmy pro správu zásob obecně představují minimální riziko. Pro tyto aplikace nepotřebujete posouzení shody ani registraci.
Přesto byste si měli uchovávat základní záznamy o fungování systémů pro případ, že by se později objevily otázky.
Implementace odpovědného řízení a interních kontrol umělé inteligence
Vaše organizace potřebuje jasné struktury řízení a systematické kontroly pro efektivní řízení rizik spojených s umělou inteligencí. Stanovení odpovědnosti, udržování lidského dohledu a zavedení robustních auditorských procesů tvoří základ odpovědného nasazení umělé inteligence ve vaší nizozemské firmě.
Struktury řízení a odpovědnosti umělé inteligence
V rámci vaší organizace je nutné určit konkrétní osoby nebo týmy odpovědné za dohled nad umělou inteligencí. Vzhledem k multidisciplinární povaze systémů umělé inteligence by na vývoj, implementaci a monitorování všech aplikací umělé inteligence měla dohlížet jedna osoba nebo specializovaný tým.
Vaše struktura řízení by měla jasně definovat, jak lze systémy umělé inteligence používat a jaké schvalovací procesy je třeba dodržovat. Definujte, kde leží odpovědnosti mezi jednotlivými odděleními, včetně rolí právního, IT, provozního a compliance týmu.
Mezi klíčová opatření odpovědnosti patří:
- Dokumentace rozhodovacích pravomocí pro nákupy a nasazení umělé inteligence
- Stanovení schvalovacích pracovních postupů pro nové aplikace umělé inteligence
- Vytvoření eskalačních postupů, když systémy umělé inteligence produkují neočekávané výsledky
- Definování toho, kdo sleduje dodržování GDPR a dalších předpisů
Podporujte kulturu, v níž zaměstnanci cítí odpovědnost za řízení AI. Povzbuzujte zaměstnance, aby hlásili obavy týkající se systémů AI a aktivně přispívali k procesům zlepšování.
Tento přístup sdílené odpovědnosti pomáhá včas identifikovat rizika a posiluje důvěru v umělou inteligenci v celé vaší organizaci.
Lidský dohled a etické nasazení umělé inteligence
Abyste zajistili etické nasazení, musíte v celém životním cyklu umělé inteligence zachovat lidský dohled. Vaši zaměstnanci by měli rozumět tomu, jak systémy umělé inteligence činí rozhodnutí, a měli by mít pravomoc v případě potřeby zasáhnout.
Zaveďte jasná kritéria pro to, kdy rozhodnutí o umělé inteligenci vyžadují lidskou kontrolu. Vysoce riziková rozhodnutí ovlivňující práva jednotlivců, jako jsou rozhodnutí o zaměstnání nebo úvěrové hodnocení, obvykle vyžadují lidské ověření.
Zdokumentujte tato kritéria a proškolte příslušné zaměstnance v intervenčních postupech. Řešte spravedlnost a zaujatost v systémech umělé inteligence používáním rozmanitých a reprezentativních datových sad, které odrážejí rozmanitost nizozemské společnosti.
Pravidelně monitorujte výstupy umělé inteligence za účelem odhalení potenciální diskriminace na základě chráněných charakteristik podle GDPR a nizozemského práva. Zajistěte školicí programy, které zaměstnancům pomohou porozumět možnostem, omezením a etickým aspektům umělé inteligence.
Vaši zaměstnanci by měli vědět, kdy zpochybnit doporučení umělé inteligence a jak eskalovat obavy ohledně chování systému.
Procesy správy a auditu dat
Abyste zajistili, že systémy umělé inteligence splňují požadavky GDPR, potřebujete robustní správu dat. Provádějte pravidelné analýzy rizik, abyste zjistili, jak zpracování umělou inteligencí ovlivňuje osobní údaje a práva jednotlivců na soukromí.
Váš rámec pro správu dat by měl minimalizovat shromažďování osobních údajů. Shromažďujte pouze data nezbytně nutná pro účel vašeho systému umělé inteligence.
Zdokumentujte právní základ pro zpracování a zachovejte transparentnost ohledně toho, jak osobní údaje používáte.
Mezi základní auditorské kontroly patří:
- Pravidelné bezpečnostní hodnocení architektury systémů umělé inteligence
- Omezení přístupu omezující, kdo může upravovat systémy umělé inteligence
- Správa verzí a protokoly změn pro modely AI
- Pravidelné kontroly přesnosti rozhodování umělé inteligence
Zaveďte nezávislé audity vašich kontrolních mechanismů umělé inteligence. Váš interní auditní tým může vyhodnotit efektivitu správy a řízení, přezkoumat návrh kontrol a posoudit soulad s GDPR a dalšími předpisy.
Veďte dokumentaci, která prokazuje, že rozhodovací procesy vašich systémů umělé inteligence lze vysvětlit a ověřit. Tato transparentnost podporuje princip odpovědnosti podle GDPR a pomáhá vám reagovat na žádosti subjektů údajů týkající se automatizovaného rozhodování.
Posouzení dopadů na ochranu osobních údajů a právní povinnosti
Nizozemské firmy používající systémy umělé inteligence musí před zpracováním osobních údajů provést specifická hodnocení. Tato hodnocení pomáhají identifikovat rizika pro soukromí a zajistit soulad s požadavky GDPR a zároveň chránit individuální práva v celém procesu implementace umělé inteligence.
Provádění posouzení vlivu na ochranu osobních údajů (DPIA)
Pokud váš systém umělé inteligence zpracovává osobní údaje způsobem, který představuje vysoká rizika pro soukromí, musíte provést posouzení vlivu na ochranu osobních údajů. Nizozemský úřad pro ochranu osobních údajů vyžaduje toto posouzení předtím, než začnete shromažďovat, používat nebo sdílet osobní údaje prostřednictvím nástrojů umělé inteligence.
Posouzení vlivu na ochranu osobních údajů (DPIA) se stává povinným, pokud se na váš systém umělé inteligence vztahují dvě nebo více specifických kritérií. Patří mezi ně automatizované rozhodování s významnými dopady, rozsáhlé monitorování veřejných prostor, zpracování citlivých údajů, jako jsou lékařské nebo finanční záznamy, a používání nových technologií s neznámými sociálními důsledky.
Systémy umělé inteligence, které profilují jednotlivce nebo kombinují více datových sad, obvykle vyžadují posouzení vlivu na ochranu osobních údajů (DPIA). Vaše posouzení vlivu na ochranu osobních údajů musí popisovat, jaké osobní údaje budete zpracovávat, proč je potřebujete a jak je budete používat.
Identifikujte všechna rizika pro soukromí a vysvětlete opatření, která podniknete k jejich prevenci nebo snížení. Pokud vaše posouzení odhalí vysoká rizika , která nemůžete zmírnit, musíte se před dalším postupem poradit s nizozemským úřadem pro ochranu osobních údajů.
Proveďte nové posouzení vlivu na ochranu osobních údajů (DPIA) vždy, když změníte způsob, jakým vaše umělá inteligence zpracovává data nebo implementuje nové technologie.
Posouzení dopadů na základní práva
Posouzení dopadů na základní práva zkoumají, jak váš systém umělé inteligence ovlivňuje širší lidská práva nad rámec soukromí. Zákon o umělé inteligenci vyžaduje tato posouzení pro vysoce rizikové aplikace umělé inteligence, které by mohly mít dopad na zaměstnanost, vzdělávání, přístup ke službám nebo vymáhání práva.
Vaše hodnocení by mělo vyhodnotit, zda by váš systém umělé inteligence mohl vést k diskriminaci, nespravedlivému zacházení nebo omezení základních svobod lidí. Prozkoumejte, jak systém rozhoduje a zda některé skupiny čelí nevýhodám.
Dokumentujte potenciální dopady na rovnost, lidskou důstojnost a práva na nediskriminaci. Tato hodnocení fungují společně s posouzením vlivu na ochranu osobních údajů, ale zaměřují se na širší společenské důsledky, nikoli pouze na obavy týkající se ochrany údajů.
Řešení práv jednotlivých subjektů údajů
Váš systém umělé inteligence musí respektovat práva, která GDPR uděluje jednotlivcům, jejichž údaje zpracováváte. Lidé mají právo na přístup ke svým osobním údajům, na opravu nepřesných údajů a za určitých okolností požádat o jejich vymazání.
Stanovte jasné postupy pro vyřizování těchto požadavků, pokud se týkají dat zpracovávaných umělou inteligencí. To zahrnuje vysvětlení, jak váš systém umělé inteligence používá informace o dané osobě, a poskytnutí smysluplných podrobností o automatizovaném rozhodování.
Jednotlivci mohou vznést námitky proti automatizovaným rozhodnutím, která se jich významně dotýkají, a požádat o kontrolu lidskou osobou. Vaše společnost musí na žádosti subjektů údajů reagovat do jednoho měsíce.
Poplatky si nemůžete účtovat, pokud nejsou žádosti nepřiměřené nebo neopodstatněné. Veďte záznamy o všech žádostech a vašich odpovědích, abyste prokázali soulad s požadavky nizozemského úřadu pro ochranu osobních údajů.
Budování gramotnosti v oblasti umělé inteligence a podpora organizační připravenosti
Gramotnost v oblasti umělé inteligence není jen otázkou osvědčených postupů. Článek 4 zákona o umělé inteligenci (AI Act) zavazuje poskytovatele a provozovatele přijmout opatření k zajištění dostatečné úrovně gramotnosti v oblasti umělé inteligence u zaměstnanců, kteří provozují a používají jejich systémy, a tato povinnost platí od 2. února 2025. Vybavuje vaše pracovníky dovednostmi pro bezpečné a efektivní používání nástrojů založených na umělé inteligenci a zároveň zajišťuje dodržování předpisů. To vyžaduje strukturované školicí programy, mezioborové vzdělávání v oblasti předpisů týkajících se umělé inteligence a průběžné vzdělávání pro udržení připravenosti organizace.
Vývoj strukturovaných programů pro gramotnost v oblasti umělé inteligence
Váš program gramotnosti v oblasti umělé inteligence by měl začínat základními koncepty, kterým rozumí všichni zaměstnanci. Naučte svůj tým, co je umělá inteligence, jak funguje a jaká jsou její omezení.
Zaměřte se na praktické dovednosti spíše než na technický žargon. Sestavte svůj program na základě vzdělávacích cest specifických pro danou roli.
Váš marketingový tým potřebuje jiné znalosti o umělé inteligenci než vaše finanční oddělení. Zaměstnanci, kteří denně používají nástroje založené na umělé inteligenci, potřebují školení v oblasti rychlého psaní, ověřování výstupů a identifikace rizik.
Management musí rozumět možnostem umělé inteligence , obchodním aplikacím a etickým aspektům.
Vytvořte rámec, který bude zahrnovat tři klíčové oblasti:
- AwarenessPochopení potenciálu a omezení umělé inteligence ve vašem specifickém obchodním kontextu
- editaci videaNaučit se používat schválené nástroje založené na umělé inteligenci pro každodenní úkoly
- OdpovědnostRozpoznání rizik pro soukromí, předpojatosti a požadavků na dodržování předpisů podle GDPR
Zahrňte praktické cvičení, kde zaměstnanci pracují s reálnými úkoly ze své práce. Stanovte „konzultační hodiny pro umělou inteligenci“, kdy mohou zaměstnanci přinášet skutečné pracovní výzvy a učit se správně používat umělou inteligenci v souladu s vašimi pokyny pro dodržování předpisů.
Školení pro dodržování předpisů v oblasti umělé inteligence napříč obchodními funkcemi
Vaše školení o dodržování předpisů se musí zabývat požadavky GDPR specifickými pro používání umělé inteligence v nizozemských obchodních operacích. Každé oddělení, které nakládá s osobními údaji, musí pochopit, jak se inovace v oblasti umělé inteligence prolínají s právními předpisy o ochraně osobních údajů.
Proškolte své zaměstnance, aby rozpoznali, kdy zpracování pomocí umělé inteligence zahrnuje osobní údaje. To zahrnuje pochopení zásad minimalizace dat, právních základů pro zpracování a kdy provádět posouzení vlivu na ochranu osobních údajů.
Váš tým by měl vědět, že vývojáři a dodavatelé umělé inteligence musí při poskytování služeb vaší organizaci dodržovat i GDPR.
Různé funkce vyžadují cílený výcvik:
| funkce | Klíčové zaměření školení |
|---|---|
| HR | Automatizované prověřování náboru, prevence předpojatosti, ochrana údajů zaměstnanců |
| Marketing | Profilování zákazníků, požadavky na souhlas, automatizované rozhodování |
| Služby | Soulad s předpisy pro chatboty, uchovávání dat a povinnosti transparentnosti |
| IT | Bezpečnostní opatření, kontroly přístupu k datům, správa dodavatelů |
Stanovte jasné zásady používání , které specifikují, které nástroje založené na umělé inteligenci jsou schváleny a za jakých podmínek. Vaši zaměstnanci potřebují písemné pokyny, jaká data mohou vstupovat do systémů umělé inteligence a jaké výstupy vyžadují před implementací lidskou kontrolu.
Neustálé vzdělávání a zavádění osvědčených postupů
Předpisy pro umělou inteligenci se rychle vyvíjejí a vaše školení nemůže být jednorázovou událostí. Vytvořte průběžné vzdělávací příležitosti, které vaši zaměstnanci informují o nových požadavcích na dodržování předpisů a o nově vznikajících osvědčených postupech.
Naplánujte si pravidelné mikrolearningové sezení v délce 15–20 minut zaměřené na konkrétní témata. Mohou se týkat nedávných změn v předpisech pro umělou inteligenci, nových případových studií z vašeho odvětví nebo poznatků z incidentů v jiných organizacích.
Krátká a častá školení udržují zapojení zaměstnanců lépe než zdlouhavé roční kurzy. Vytvořte sdílenou znalostní bázi, kde zaměstnanci dokumentují úspěšné aplikace umělé inteligence a problémy s dodržováním předpisů, s nimiž se setkali.
Uveďte praktické příklady dobrých pokynů, metod ověřování výstupů a strategií pro zmírňování rizik. V každém oddělení určete zastánce umělé inteligence.
Tito jednotlivci absolvují pokročilé školení a slouží jako první kontaktní osoby pro dotazy týkající se nástrojů založených na umělé inteligenci a dodržování předpisů. Propojují váš tým pro dodržování předpisů s každodenním provozem.
Sledujte gramotnost v oblasti umělé inteligence v celé organizaci prostřednictvím praktických hodnocení, nikoli teoretických testů. Zhodnoťte, zda zaměstnanci dokáží identifikovat rizika v oblasti dodržování předpisů v reálných situacích, vhodně ověřovat výstupy umělé inteligence a aplikovat lidský úsudek na automatizovaná doporučení.
Často kladené otázky
Nizozemské firmy používající umělou inteligenci musí rozumět požadavkům GDPR na zpracování osobních údajů, povinnostem transparentnosti a dohledu ze strany Autoriteit Persoonsgegevens . Zákon EU o umělé inteligenci přidává další vrstvu dodržování předpisů, která funguje vedle stávajících pravidel na ochranu osobních údajů.
Jaké jsou hlavní aspekty obecného nařízení o ochraně osobních údajů (GDPR) při implementaci umělé inteligence v podniku v Nizozemsku?
Před implementací musíte zjistit, zda váš systém umělé inteligence zpracovává osobní údaje. Pokud ano, potřebujete pro toto zpracování jasný právní základ podle článku 6 GDPR.
Nejběžnějšími právními základy jsou souhlas, smluvní nutnost nebo oprávněné zájmy. Zajistěte, aby váš systém umělé inteligence respektoval zásady minimalizace dat tím, že shromažďuje pouze osobní údaje, které skutečně potřebujete pro svůj konkrétní účel.
Nemůžete shromažďovat nadměrné množství informací jen proto, že váš systém umělé inteligence je schopen je zpracovat. Zaveďte vhodná technická a organizační opatření k ochraně osobních údajů.
To zahrnuje šifrování, kontroly přístupu a bezpečnostní protokoly, které zabraňují neoprávněnému přístupu nebo únikům dat. Nizozemský úřad pro ochranu osobních údajů očekává, že tato ochranná opatření budou zavedena od začátku vašeho projektu umělé inteligence.
Jak může nizozemská firma zajistit, aby rozhodování založené na umělé inteligenci zůstalo v souladu s požadavky GDPR na transparentnost?
Musíte informovat jednotlivce, kdykoli o nich systémy umělé inteligence činí rozhodnutí. Články 13 a 14 GDPR vyžadují, abyste vysvětlili, jaké osobní údaje shromažďujete, proč je zpracováváte a jak je váš systém umělé inteligence používá.
Tyto informace by měly být jasné a snadno srozumitelné. Poskytněte smysluplné informace o logice automatizovaného rozhodování.
Nemusíte prozrazovat obchodní tajemství ani složité algoritmy, ale musíte vysvětlit obecné principy a faktory, které ovlivňují rozhodnutí umělé inteligence. Vaše vysvětlení by mělo lidem pomoci pochopit, jak systém funguje v praxi.
Vytvořte přístupnou dokumentaci, která vysvětluje účel a fungování vašeho systému umělé inteligence. Tyto informace průběžně aktualizujte s tím, jak se váš systém umělé inteligence vyvíjí nebo mění.
Jaké kroky by měly být podniknuty ke zmírnění rizika zkreslení v systémech umělé inteligence v souladu s nařízeními GDPR?
Před nasazením musíte otestovat svůj systém umělé inteligence, zda nedochází k diskriminačním výsledkům. Prověřte, zda systém zachází s různými skupinami spravedlivě a neprodukuje zkreslené výsledky na základě chráněných charakteristik.
Pravidelné testování by mělo pokračovat i po spuštění. Pro své modely umělé inteligence používejte rozmanitá a reprezentativní trénovací data.
Zkreslená data ze školení vedou ke zkresleným výsledkům, což může být v rozporu s principy GDPR týkajícími se spravedlnosti a zákonnosti. Pečlivě zkontrolujte své zdroje dat, abyste identifikovali potenciální mezery nebo nadměrné reprezentace.
Zavést lidský dohled nad rozhodnutími s významným dopadem na jednotlivce. GDPR vyžaduje, aby lidé měli právo napadnout automatizovaná rozhodnutí a požadovat lidský zásah.
Vytvořte mechanismy, které vašim zaměstnancům umožní v případě potřeby kontrolovat a přepisovat rozhodnutí umělé inteligence.
Mohl byste vysvětlit proces posouzení vlivu na ochranu osobních údajů (DPIA) pro technologie umělé inteligence podle nizozemského rámce GDPR?
Pokud váš systém umělé inteligence zahrnuje vysoce rizikové zpracování osobních údajů, musíte provést posouzení vlivu na ochranu osobních údajů. Mezi vysoce rizikové scénáře patří automatizované rozhodování s právními nebo významnými důsledky, rozsáhlé zpracování údajů zvláštní kategorie nebo systematické monitorování veřejných prostor.
Vaše posouzení vlivu na ochranu osobních údajů by mělo popisovat povahu, rozsah, kontext a účely vašeho zpracování údajů pomocí umělé inteligence. Posuďte jak nezbytnost, tak i přiměřenost vašich činností v oblasti zpracování údajů.
Vysvětlete, proč potřebujete konkrétní údaje a proč jsou vámi zvolené metody zpracování vhodné. Identifikujte a vyhodnoťte rizika pro práva a svobody jednotlivců.
Zvažte, co by se mohlo s vaším systémem umělé inteligence pokazit a jak závažné by mohly být následky. Zdokumentujte opatření, která zavedete k řešení těchto rizik a jejich snížení na přijatelnou úroveň.
Pokud vaše posouzení vlivu na ochranu osobních údajů vykazuje vysoká zbytková rizika, poraďte se před nasazením systému umělé inteligence s úřadem pro ochranu osobních údajů. Úřad vaše posouzení přezkoumá a může poskytnout pokyny k dalším ochranným opatřením.
Tato konzultace je povinná, pokud nemůžete adekvátně zmírnit identifikovaná rizika.
Jaká je role nizozemského Úřadu pro ochranu osobních údajů (Autoriteit Persoonsgegevens) při dohledu nad využíváním umělé inteligence v podnicích?
Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) dohlíží na dodržování GDPR u systémů umělé inteligence, které zpracovávají osobní údaje. Úřad vyšetřuje stížnosti, provádí audity a přijímá donucovací opatření proti podnikům, které porušují pravidla ochrany osobních údajů.
Může ukládat pokuty až do výše 20 milionů eur nebo 4 % ročního celosvětového obratu. Úřad poskytuje nizozemským firmám pokyny k dodržování předpisů v oblasti umělé inteligence a GDPR.
V roce 2025 zveřejnila předpoklady pro generativní umělou inteligenci, které stanoví podrobné požadavky pro společnosti vyvíjející nebo používající systémy umělé inteligence. Tyto pokyny vám pomohou pochopit, jak aplikovat principy GDPR na konkrétní technologie umělé inteligence.
Během procesu vývoje umělé inteligence se můžete s příslušným úřadem poradit. Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) nabízí poradenství ohledně složitých otázek ochrany osobních údajů a kontroluje posouzení vlivu na ochranu osobních údajů (DPIA) v případě vysoce rizikového zpracování.
Včasné zapojení vám pomůže identifikovat problémy s dodržováním předpisů dříve, než se z nich stanou problémy s vymáháním.
Jak GDPR řeší automatizované zpracování osobních údajů a jaké to má důsledky pro nizozemské podniky používající umělou inteligenci?
Článek 22 GDPR omezuje pouze automatizované rozhodování s právními nebo významnými účinky. Nemůžete činit rozhodnutí založená výhradně na automatizovaném zpracování, pokud tato rozhodnutí mají právní důsledky nebo se podobně dotýkají fyzických osob.
To zahrnuje rozhodnutí o úvěru, výběr náboru nebo posouzení zdravotní péče. Musíte poskytnout ochranná opatření, pokud používáte automatizované rozhodování podle výjimky z článku 22.
Mezi tato ochranná opatření patří právo na lidský zásah, možnost vyjádřit svůj názor a právo napadnout rozhodnutí. Váš systém umělé inteligence potřebuje vestavěné mechanismy na podporu těchto práv.
Potřebujete jasné zásady pro to, kdy a jak vaše firma používá automatizované zpracování. Zaměstnanci musí rozumět omezením rozhodování s využitím umělé inteligence a kdy je nutná lidská kontrola.
Zdokumentujte tyto zásady a proškolte svůj tým, aby je konzistentně implementoval ve všech vašich operacích.
Co dělat dál
Začněte s inventářem: které systémy umělé inteligence vaše organizace skutečně používá, kdo je dodal, jaké osobní údaje jsou shromažďovány a jaké jsou zpracovávány. Tento inventář rozhoduje o všem ostatním, protože vám říká, které systémy jsou zakázané, které se mohou stát vysoce rizikovými v daných termínech a které vyžadují pouze oznámení o transparentnosti. Zaznamenejte právní základ pro každou operaci zpracování, proveďte posouzení vlivu na ochranu osobních údajů (DPIA) v případech, kdy je zpracování vysoce rizikové, a zařaďte povinnost gramotnosti v oblasti umělé inteligence do programu každého, kdo vede váš školicí program.
Law & More Poskytuje poradenství firmám v Nizozemsku ohledně interakce mezi GDPR a zákonem o umělé inteligenci: mapování systémů umělé inteligence s ohledem na rizikové kategorie, navrhování interních politik a smluv o zpracování údajů v oblasti umělé inteligence, provádění posouzení vlivu na ochranu osobních údajů (DPIA) a reagování na dotazy nebo vyšetřování ze strany Autoriteit Persoonsgegevens. Pokud si přejete, aby vaše používání umělé inteligence bylo zkontrolováno dříve, než to za vás provede regulační orgán, kontaktujte nás.
