AI gebruiken binnen je onderneming? Hierop moet je letten.

Wanneer je als gebruiker in een professionele context AI gebruikt zijn er een aantal regels waarmee je rekening moet houden. De AI Act bepaalt immers niet enkel de regels waaraan ontwikkelaars van AI-oplossingen zich moeten houden. Ook voor distributeurs én voor gebruikers zijn er regels waarmee je rekening moet houden. In deze blog lichten we toe waar je als gebruiker moet aan denken, ook wanneer je dat als onderneming bent.

Wat is de AI act?

De AI Act is een nieuwe Europese Verordening, net zoals de GDPR. Dat betekent dat dit Europese regels zijn die rechtstreeks van toepassing zijn op bedrijven in de Europese Unie. De AI Act legt niet enkel regels vast voor ontwikkelaars van AI-oplossingen, maar ook voor distributeurs én voor gebruikers.

De AI Act is finaal goedgekeurd en gepubliceerd en treedt in werking op 1 augustus 2024. De eerste verplichtingen zijn wel pas afdwingbaar vanaf februari 2025. In de daaropvolgende maanden zullen nog meer belangrijke voorschriften volgen totdat de hele wet, met uitzondering van bepaalde AI-systemen met een hoog risico, vanaf 1 augustus 2026 van toepassing is.

Welke AI-toepassingen?

De AI Act bepaalt de spelregels voor verschillende types van AI -systemen.

Afhankelijk van hoe groot het risico is op schending van de grondrechten moet je rekening houden met meer of minder regels. De AI Act maakt een onderscheid tussen volgende systemen:

Hoogrisico systemen die worden gebruikt voor het onderwijs (bv. beoordeling van examens), recruitment (bv. screenen van sollicitanten), wetshandhaving (bv. gezichtsherkenning),…

Beperkt risico systemen die direct met natuurlijke personen interageren, zoals chatbots, systemen die audio-, beeld-, video- of tekstcontent genereren, systemen voor het herkennen van emoties, en systemen die deepfakes genereren.

Minimaal risico systemen, dit zijn bijvoorbeeld AI-videogames & spamfilters.

Wie is “gebruiker”?

Een gebruiker is een natuurlijke of rechtspersoon die een AI-systeem onder eigen verantwoordelijkheid professioneel gebruikt. Bovendien moet die natuurlijke of rechtspersoon gevestigd zijn in de EU of zich in de EU bevinden.

Gebruikers kunnen ook buitenlandse natuurlijke of rechtspersonen zijn (gevestigd buiten de EU) maar waarbij de output van de AI-oplossing in de EU wordt gebruikt.

Met andere woorden: van zodra je AI professioneel gebruikt én er is een link met de EU, dan val je als “gebruiker” onder het toepassingsgebied.

Bijvoorbeeld: je werknemers gebruiken ChatGPT in kader van de uitvoering van hun job in de EU? In dat geval worden zij beschouwd als “gebruiker” en moeten zij (en jij als onderneming) rekening houden met bepaalde regels.

Welke regels moet je als gebruiker naleven?

AI geletterdheid: algemene verplichting

Over het algemeen moeten gebruikers beschikken over “AI-geletterdheid” vanaf 25 februari 2025.

Dit betekent dat gebruikers over voldoende vaardigheden en kennis moeten beschikken om AI op een verantwoorde manier te gebruiken, rekening houdend met de kansen, risico’s en mogelijk schade.

Je zal dus opleiding moeten voorzien en ook richtlijnen meegeven aan je medewerkers over hoe ze AI kunnen en mogen gebruiken.

Gebruik van hoog risico systemen

Gebruikers van hoog risico AI oplossingen moeten rekening houden met heel wat regels, namelijk: Begrijpen hoe het AI-systeem werkt, de werking ervan evalueren en de sterke punten en beperkingen begrijpen.

Meer concreet moet je rekening houden met volgende regels:

passende technische en organisatorische maatregelen nemen om ervoor te zorgen dat het gebruik in lijn is met de gebruiksaanwijzing;
maatregelen nemen om ervoor te zorgen dat de inputdata relevant en voldoende representatief is voor de beoogde output;
de werking van het AI-systeem moet je monitoren en de logs die door het systeem worden gegenereerd bewaren;
je moet een effectenbeoordeling uitvoeren om de specifieke risico’s voor de betrokken personen in te schatten (deze effectenbeoordeling zal ook deel uitmaken van je DPIA die je in kader van GDPR moet doen wanneer je een hoog risico systeem wil gebruiken) en is dus aanvullend op alle GDPR regels.
…

Gebruik van beperkt risico systemen

Wanneer je een AI-oplossing gebruikt om beeld-, audio- of video-content te genereren of te manipuleren die aanzienlijk lijkt op bestaande personen, voorwerpen, plaatsen, entiteiten of gebeurtenissen én voor een persoon ten onrechte authentiek of waarachtig kan lijken (deepfakes) moet je rekening houden met volgende regels:

Je moet klaar en duidelijk kenbaar maken dat de content kunstmatig is gecreëerd of gemanipuleerd. Dit doe je door in/op de output aan te geven dat die met AI is gemaakt.
Wanneer je AI-systemen gebruikt om tekst te genereren (bv. Chat GPT), dan geldt deze verplichting niet tenzij de tekst gebruikt wordt om het publiek te informeren over aangelegenheden van algemeen belang.

Gebruik van AI met minimaal risico

Voor het gebruik van minimaal risico AI-oplossingen zijn er geen specifieke regels, maar moet je uiteraard ook wel voldoen aan de algemene verplichting van “AI geletterdheid”.

GDPR

Uiteraard mag je ook de GDPR niet vergeten bij het gebruik van AI-oplossingen.

Zo zal je bijvoorbeeld een DPIA moeten uitvoeren wanneer je een hoog risico-oplossing wil gebruiken én moet je de personen wiens gegevens je verwerkt altijd informeren over het doel voor de verwerking. Dat laatste geldt overigens voor alle verwerkingen die je doet, zowel in hoog-, beperkt als minimaal risico oplossingen.

Waar moet je beginnen?

De kans is heel groot dat je medewerkers vandaag al AI gebruiken, zonder dat je als onderneming een zicht hebt op welke tools ze gebruiken, waarvoor en vooral: welke data ze als input geven. (Misschien zijn daar persoonsgegevens bij?)

Een eerste belangrijke stap is dus om hierover afspraken te maken: met welke tools mag gewerkt worden, voor welke doeleinden en welke afspraken wil je maken over de input die mag gegeven worden?

Die afspraken leg je vast in een policy én je voorziet best ook een opleiding voor je medewerkers om hen vertrouwd te maken met naast de voordelen, ook de risico’s en aandachtspunten bij het gebruik van AI. Je wil absoluut vermijden dat bedrijfsgeheimen als input worden gebruikt in externe AI-oplossingen.

Vragen over AI binnen je onderneming? We helpen je graag op weg, contacteer ons via hello@legalfreaks.be of plan een kennismaking in.