GDPR ובינה מלאכותית בהולנד: נתונים אישיים באלגוריתמים ובהחלטות אוטומטיות

GDPR ובינה מלאכותית בהולנד מתאחדות בנקודה אחת: ברגע שאלגוריתם מעבד מידע על אדם ניתן לזיהוי, תקנת הגנת המידע הכללית (GDPR) חלה במלואה, ללא קשר לטכנולוגיה ולמי שבנה אותה. משמעות הדבר היא בסיס חוקי לכל פעולת עיבוד, מידע לאנשים הנוגעים בדבר על הלוגיקה של המערכת, זכות להתערבות אנושית כאשר החלטה מתקבלת על ידי מכונה בלבד, והערכת סיכונים מתועדת לפני הפריסה. ה-Autoriteit Persoonsgegevens אוכפת את החובות הללו, וחוק הבינה המלאכותית של האיחוד האירופי מוסיף שכבת בטיחות מוצר נפרדת מעליהן מבלי להחליף אף אחת מהן.

מאמר זה עוסק בצד התפעולי: מה ארגון צריך לעשות כאשר נתונים אישיים זורמים בפועל דרך יישום בינה מלאכותית. השאלה הקודמת, כיצד להצדיק הרכבת מערך נתונים גדול מלכתחילה, וכיצד מבחן התאימות פועל כאשר נתונים שנאספו למטרה אחת משמשים שוב לאימון מודל, מכוסה בנפרד במאמר שלנו בנושא GDPR וביג דאטה.

כאשר מערכת בינה מלאכותית נופלת תחת תחום ה-GDPR

הרגולציה ניטרלית מבחינה טכנולוגית. היא אינה שואלת האם מערכת היא עץ החלטות, מודל סטטיסטי או מודל שפה גדול; היא שואלת האם נתונים אישיים מעובדים. סף זה נחצה בשלושה רגעים נפרדים בחיי יישום בינה מלאכותית, וכל אחד מהם זקוק לניתוח משלו.

הראשון הוא אימון. אם מערך האימון מכיל מידע הקשור לאנשים ניתנים לזיהוי, הרכבתו ושימוש בו נחשבים לעיבוד, והעובדה שהפלט הוא מודל ולא מסד נתונים לא משנה דבר בכך. השני הוא הסקה. כל רשומת הנחיה, שאילתה או קלט המכילה נתונים אישיים היא פעולת עיבוד, וכך גם הפלט שבו הוא אומר משהו על אדם מזוהה. השלישי הוא רישום. יומני הסקה, רישומי משוב ומערכי נתונים של הערכה מכילים לעתים קרובות יותר נתונים אישיים מאשר מערך האימון, והם נשכחים באופן שגרתי ברישום פעילויות העיבוד.

תפיסה מוטעית נפוצה היא שמודל מאומן הוא אנונימי מעצם הגדרתו. הוא אינו כזה. מודל רשאי לשמור נתונים אישיים בצורה שניתן לחלץ, והאם הוא אכן עושה זאת היא שאלה עובדתית שיש לבחון עבור כל מודל. המועצה האירופית להגנת נתונים הגיעה למסקנה זו בחוות דעתה על מודלים של בינה מלאכותית בסוף 2024, והוסיפה נקודה בעלת חשיבות מסחרית: כאשר מודל אומן על נתונים אישיים שעובדו שלא כדין, אי חוקיות זו יכולה להשפיע על חוקיות פריסת המודל, אלא אם כן ניתן להראות שהמודל עצמו אנונימי באמת. יסודות התקנה מפורטים במבוא שלנו לחוק הגנת המידע ובסקירה שלנו של תקנת הגנת המידע הכללית.

מי אחראי, ועל איזה חלק

האחריות נובעת מקבלת ההחלטות, לא מהטכנולוגיה. הצד שקובע את מטרות ואמצעי העיבוד הוא הבקר; צד שמעבד רק על פי הוראות מתועדות הוא מעבד. בשרשרת בינה מלאכותית, תפקידים אלה משתנים משלב לשלב: ספק המודל הוא בדרך כלל בקר לפיתוח שלו ומעבד לשימוש הלקוח, וכאשר שני הצדדים קובעים מטרה יחד, הם בקרים משותפים ועליהם לתעד כיצד מחולקות ההתחייבויות הנובעות מכך. ההבדלים והשלכותיהם מוסברים במאמר שלנו על תפקידי הבקר והמעבד , ועל הצד החוזי במדריך שלנו להסכם עיבוד הנתונים.

שני סעיפים מכריעים את רוב השאלות הללו בפועל. אם הספק רשאי להשתמש בקלט הלקוח כדי לשפר את המודל שלו, הוא פועל כגורם מבקר למטרה זו ואתה חושף לו נתונים אישיים. אם הוא מסתמך על מעבדי משנה או תשתית מחוץ לאזור הכלכלי האירופי, כללי ההעברה בפרק ה' של התקנה חלים ויש צורך במנגנון העברה בתוספת הערכה. לא ניתן לפתור אף אחת מהנקודות לאחר העלייה לאוויר.

קבלת החלטות אוטומטית והזכות להתערבות אנושית

סעיף 22 של ה-GDPR הוא הסעיף הפוגע ביותר ביישומי בינה מלאכותית. הוא מעניק לכל אדם את הזכות לא להיות כפוף להחלטה המבוססת אך ורק על עיבוד אוטומטי, כולל יצירת פרופילים, אשר מייצרת השלכות משפטיות הנוגעות לו או משפיעה עליו באופן דומה באופן משמעותי. אם קוראים זאת כאיסור ולא כזכות להתנגד, כפי שבית המשפט לצדק מפרש זאת, פירוש הדבר שהחלטות כאלה אינן מותרות כלל אלא אם כן חל אחד משלושה חריגים: ההחלטה נחוצה לכניסה לחוזה או לביצועו, היא מורשית על פי חוקי האיחוד או חוקי המדינה החברה עם אמצעי הגנה מתאימים, או שהיא מבוססת על הסכמה מפורשת של האדם הנוגע בדבר.

שלושה אלמנטים קובעים האם הסעיף חל. ההחלטה חייבת להתבסס אך ורק על עיבוד אוטומטי, שאינו ניתן לביטול על ידי אישור אנושי סמולי; האדם המעורב חייב להיות בעל סמכות ממשית ועליו לשקול בפועל את התוצאה. ההשפעה חייבת להיות משפטית או בעלת משמעות דומה, הכוללת סירוב אשראי, דחיית בקשת עבודה, סיום שירות, סירוב לתביעת ביטוח וסימני הונאה אוטומטיים החוסמים לקוח. וההחלטה חייבת להיות לגבי הפרט, ולכן כללי תמחור גנריים אינם נכללים בסעיף בעוד שניקוד אישי נופל בתוכו.

בית המשפט לצדק הרחיב את הגישה הזו מעבר להנחות של ארגונים רבים. כאשר חברה מחשבת ציון על אדם וצד שלישי מסתמך במידה רבה על ציון זה בהחלטה האם להתקשר בחוזה, הפקת הציון היא בעצמה החלטה אוטומטית כמשמעותה בסעיף 22. במילים אחרות, ספק הניקוד אינו יכול להסתתר מאחורי העובדה שההחלטה הרשמית מתקבלת על ידי הלקוח שלו. עבור ארגונים הולנדים הרוכשים ציוני אשראי, הונאה או סיכון, זה משנה את שאלת הציות משאל עם האם הם מקבלים החלטות אוטומטיות לשאלה האם הספק שלהם אכן עושה זאת.

כאשר אחד החריגים חל, אמצעי ההגנה הם חובה וספציפיים: לכל הפחות הזכות לקבל התערבות אנושית, הזכות להביע את נקודת המבט והזכות לערער על ההחלטה. משמעות הדבר היא הליך עובד, מאויש ומתועד, לא תיבת דואר. ניתן להשתמש בנתונים מקטגוריה מיוחדת בהחלטות כאלה רק על סמך הסכמה מפורשת או עניין ציבורי מהותי, והחלטות מסוג זה אינן יכולות להתקבל בנוגע לילדים.

איך באמת צריכה להיראות פיקוח אנושי

מעורבות אנושית משמעותית היא הנקודה שבה רוב המערכות כושלות. סוקר שרואה רק את פלט המודל וההמלצה, שאין לו גישה לנתונים הבסיסיים, שנמדד על פי תפוקה ודורס את המערכת בחלק זניח מהמקרים, אינו מפעיל פיקוח במובן הנדרש על ידי הרגולציה. פיקוח אפקטיבי פירושו שלסוקר יש את הסמכות והיכולת להגיע למסקנה שונה, רואה את המידע שהמודל השתמש בו, רושם את הסיבות לאישור או לסטייה מהתוצאה, ומנוטר על ידי מעקב אחר התדירות והסיבות של סטיות. סטטיסטיקות אלו של דורס הן גם הדבר הראשון שחוקר יבקש.

שקיפות: מה שחייבים לספר לאנשים על אלגוריתם

כאשר מתבצעת קבלת החלטות אוטומטית כמשמעותה בסעיף 22, חובות המידע בסעיפים 13 ו-14 וזכות הגישה בסעיף 15 מחייבות אותך לחשוף את קיומה של קבלת ההחלטות האוטומטית, מידע משמעותי על ההיגיון המעורב, ואת המשמעות וההשלכות הצפויות של העיבוד עבור האדם הנוגע בדבר. חובה זו חלה בעת איסוף המידע ושוב על פי בקשה.

מידע משמעותי על הלוגיקה אינו משמעו פרסום קוד מקור או משקלי מודל, ואינו משמעו תיאור מתמטי שאף אדם מן השורה לא יוכל לעקוב אחריו. בית המשפט לצדק קבע כי אדם זכאי להסבר על ההליך והעקרונות שהוחלו בפועל, המתוארים בצורה קונקרטית מספיק כדי לאפשר לו להבין אילו מהנתונים האישיים שלו שימשו ובאיזו דרך, כדי שיוכל לבדוק את דיוק הנתונים ולערער על ההחלטה. תיאור של קטגוריות הנתונים ששימשו, משקלם היחסי, הספים שהוחלו וההשפעה שהייתה לערכים שונים הוא סוג ההסבר העונה על דרישות אלה.

סודיות מסחרית היא גורם חשוב אך לא קלף מנצח. כאשר בקר סבור כי מתן ההסבר יחשוף סוד מסחרי או את זכויותיהם של אחרים, הוא אינו יכול פשוט לסרב: עליו לספק את המידע המוגן לכאורה לרשות המפקחת או לבית המשפט, אשר מאזנים לאחר מכן את האינטרסים וקובעים מה יש לחשוף. בניית מערכת שההיגיון שלה אינו ניתן להסבר כלל יוצרת אפוא בעיה משפטית ולא תירוץ טכני. היקף זכות הגישה עצמה נדון במאמר שלנו על זכות הגישה לפי סעיף 15.

לשקיפות יש גם ממד ברור יותר. הצהרות פרטיות המתארות מטרות בשפה רחבה מספיק כדי לכסות כל דבר מטופלות על ידי רשות הפיקוח ההולנדית כהפרה בפני עצמה, וחלק משמעותי מאכיפתה האחרונה עסק בדיוק בכך. המדריך שלנו למדיניות פרטיות בהולנד מפרט כיצד לתאר עיבוד אלגוריתמי במונחים מדויקים וקריאים כאחד, ואותו עיקרון חל על הודעות פנימיות, למשל כאשר מערכות משמשות לניטור עובדים או למעקב מצלמה במקום העבודה.

הנתונים שאתה מזין למערכת, והנתונים שהיא מייצרת

נדרש בסיס חוקי לכל פעולת עיבוד בשרשרת, והבסיס להכשרה אינו בהכרח הבסיס לפריסה. הסכמה, נחיצות בחוזה ואינטרסים לגיטימיים הם שלושת המועמדים הריאליים, ויש להעריך ולרשום כל אחד מהם לפני תחילת העיבוד. כאשר מסתמכים על אינטרסים לגיטימיים, יש לרשום את ההערכה בת שלושת השלבים של אינטרס, נחיצות ואיזון; אינטרס מסחרי גרידא יכול להיחשב כמתאים, כפי שאישר בית המשפט לצדק במקרה הולנדי בשנת 2024, אך רק אם העיבוד באמת נחוץ והאיזון מתקיים.

שתי קטגוריות של קלט ראויות לטיפול נפרד. קטגוריות מיוחדות של נתונים אישיים, הכוללות נתוני בריאות, נתונים ביומטריים המשמשים לזיהוי ונתונים החושפים מוצא אתני, דעות פוליטיות, אמונה דתית, חברות באיגוד מקצועי או נטייה מינית, אינן ניתנות לעיבוד אלא אם כן חל תנאי בסעיף 9; הדרכים המעשיות הן הסכמה מפורשת, ובמקרים צרים, עניין ציבורי מהותי הקבוע בחוק. המלכודת היא הסקה: כאשר מודל גוזר מאפיין מוגן מנתונים רגילים, המשטר המחמיר יותר חל גם אם איש לא אסף מאפיין זה. הכללים הספציפיים לביומטריה מפורטים במאמר שלנו בנושא נתונים ביומטריים ועמידה בתקנות ה-GDPR.

הקטגוריה השנייה היא נתונים שנגרמו או נגישים לציבור. העובדה שניתן למצוא מידע באינטרנט אינה הופכת את השימוש בו לחוקי. אתם עדיין זקוקים לבסיס, ומבחן האיזון צריך לקחת בחשבון את העובדה שלאדם אין קשר אתכם, הוא לא קיבל מידע, ולא ציפה שהנתונים שלו ישמשו למטרה זו. כאשר הנתונים מתקבלים ממקור שאינו האדם עצמו, חובת המידע בסעיף 14 חלה, עם פטורים מוגבלים בלבד.

פלט הוא המקום שבו ארגונים טועים לרוב. מסקנה המופקת ממודל לגבי אדם ניתן לזיהוי היא מידע אישי אודות אותו אדם: ציון סיכון, דירוג התאמה, אבחנה צפויה או הצהרה שנוצרה, כולם נופלים תחת הרגולציה. מכאן נובע שתפוקות כאלה חייבות להיות מדויקות, יש לתקן אותן או להשלים אותן כאשר הן אינן כאלה, והן מכוסות על ידי זכות הגישה. מודל שמייצר הצהרות שגויות לגבי אדם בעל שם אינו רק בעיית איכות; זוהי חובת תיקון, וכאשר ההצהרה השגויה מופצת, היא יכולה גם להצדיק תביעה מחוץ לחוק הגנת המידע. אמצעי המזעור המעשיים המפחיתים חשיפה זו הם המוכרים: הסרת מזהים שאינם נחוצים, שמירה על נתוני פיתוח וייצור נפרדים, הגבלת מי יכול לבצע שאילתות במערכת, קביעת תקופות שמירה לנתוני אימון, אחסון תכונות ויומני רישום כאחד, ובדיקה האם ניתן לגרום למודל לחשוף את נתוני האימון שלו. כאשר תעבורת דוא"ל משמשת כקלט, הסוגיות הספציפיות מכוסות במאמר שלנו בנושא הגנת דוא"ל ונתונים במסגרת ה-GDPR.

הטיה, אפליה ויחס שווה

חוק הגנת המידע וחוק שוויון יחס חופפים כאן, וארגון יכול לציית לאחד מהם תוך הפרת השני. ה-GDPR דורש שהעיבוד יהיה הוגן ומדויק, ובאמצעות הערכת ההשפעה, דורש לזהות ולמתן את הסיכון לתוצאות מפלות. חקיקת שוויון היחס בהולנד הולכת רחוק יותר: היא אוסרת על הבחנה ישירה ועקיפה על רקע גזע, לאום, דת, מין, נטייה מינית, מוגבלות, מחלה כרונית וגיל, בתחומים כמו תעסוקה, אספקת סחורות ושירותים וחינוך. אלגוריתם שמייצר תוצאה גרועה יותר באופן שיטתי עבור קבוצה מוגנת יוצר הבחנה עקיפה, שהיא בלתי חוקית אלא אם כן ניתן להצדיקה באופן אובייקטיבי על ידי מטרה לגיטימית הנרכשת באמצעים הולמים והכרחיים.

המכון ההולנדי לזכויות אדם מעריך תלונות במסגרת חקיקה זו ופרסם הנחיות בנושא אפליה אלגוריתמית בגיוס ובמינוי. נקודת המוצא שלה אינה נוחה אך נכונה: נטל ההוכחה שהבחנה מוצדקת באופן אובייקטיבי מוטל על הגורם המשתמש במערכת, כך שארגון שאינו יכול להסביר מדוע המודל שלו משיג תוצאות שונות עבור קבוצות שונות נמצא בעמדה חלשה מלכתחילה.

הטיה נכנסת דרך נתיבים מוכרים. נתוני אימון משקפים החלטות היסטוריות שהיו מוטות בעצמן; מערך הנתונים מייצג פחות מחלק מהאוכלוסייה; מאפיין משמש כמדד למאפיין מוגן, כפי שמיקוד עושה לעתים קרובות עבור מוצא אתני; ואופטימיזציה לדיוק על פני כלל האוכלוסייה מסתירה ביצועים ירודים עבור מיעוט בתוכה. יש כאן מתח אמיתי בחוק, משום שבדיקה לאיתור אפקט מפלה דורשת לעתים קרובות עיבוד מדויק של נתוני הקטגוריה המיוחדת שהרגולציה מגבילה. הדרך היא לבדוק על בסיס מבוקר, עם בסיס משפטי מתועד, מגבלות גישה מחמירות ותוצאות מצטברות, במקום להימנע מבדיקה ולקוות שהשאלה לעולם לא תישאל.

הניסיון ההולנדי עם מערכת אינדיקציית הסיכון המשמשת לגילוי הונאת הטבות מראה מה קורה כאשר הדבר מוזנח. בית המשפט קבע כי החקיקה הבסיסית מנוגדת לזכות לכבוד חיי הפרט במסגרת האמנה האירופית לזכויות אדם, משום שהמערכת לא הייתה שקופה ולא ניתנת לאימות מספיק ולא ניתן היה לבדוק אותה לאימות השפעתה. הלקח ששרד מפסק הדין הזה הוא שעמימות היא כשלעצמה פגם משפטי, ולא מאפיין טכני ניטרלי. כאשר טעות אלגוריתמית מובילה לנזק, השאלה מי אחראי עליה היא שאלה נפרדת, הנדונה במאמר שלנו על אחריות לטעויות שנעשו על ידי בינה מלאכותית , ובמימד המשפט הפלילי במאמר שלנו על בינה מלאכותית ומשפט פלילי.

מי מפקח על בינה מלאכותית ואלגוריתמים בהולנד

ה-Autoriteit Persoonsgegevens (Autoriteit Persoonsgegevens) היא הרשות המפקחת על ה-GDPR בהולנד, והיא מיישמת את התקנה יחד עם חוק היישום הלאומי, Uitvoeringswet AVG, אשר ממלא את האפשרויות שהתקנה מותירה למדינות החברות במקום להוסיף משטר נפרד. סמכויותיה נעות מאזהרה ונזיפה ועד לצו הכפוף לתשלום קנס, איסור על עיבוד וקנס מנהלי של עד עשרים מיליון יורו או ארבעה אחוזים מהמחזור השנתי הכולל העולמי, הגבוה מביניהם. מעבר ל-GDPR, הרשות מקיימת יחידה ייעודית לתיאום פיקוח על אלגוריתמים ומפרסמת דוחות תקופתיים על סיכונים אלגוריתמיים בהולנד, שהם ההצהרה הברורה ביותר הזמינה לגבי ציפיותיה. מה הרשות עושה וכיצד היא פועלת מתואר במאמר שלנו על רשות הגנת המידע ההולנדית.

הפיקוח על בינה מלאכותית משותף במכוון. ה-Rijksinspectie Digitale Infrastructuur וה-Autoriteit Persoonsgegevens פועלים יחד כמפקחים מתאמים עבור חוק הבינה המלאכותית, בעוד רגולטורים מגזריים שומרים על סמכויות משלהם: המפקחים הפיננסיים עבור מודלים המשמשים בבנקאות ובביטוח, פיקוח הבריאות עבור יישומים רפואיים ורשות התקשורת עבור פלטפורמות. המכון ההולנדי לזכויות אדם מכסה את ממד השוויון. עבור ארגון, משמעות הדבר היא שמערכת אחת יכולה להיבדק על ידי מספר רשויות על סמך נימוקים שונים, וזהו טיעון לטובת קובץ פנימי יחיד שעונה על כולם ולא למסלולי ציות נפרדים.

גופים ציבוריים נושאים שכבה נוספת. ארגוני ממשלה רושמים את האלגוריתמים בהם הם משתמשים במרשם האלגוריתמים הלאומי, והחלטות מנהליות הנתמכות על ידי אלגוריתם עדיין צריכות לעמוד בדרישות הכלליות של החוק המנהלי ההולנדי, לפיהן החלטה תוכנה בזהירות הראויה ותהיה מנומקת כראוי. נימוק שמסתכם בהצהרה שהמערכת הניבה תוצאה זו אינו עומד בסטנדרט זה.

כיצד חוק הבינה המלאכותית עומד מעל ה-GDPR

חוק הבינה המלאכותית מסדיר מערכות בינה מלאכותית כמוצרים, המסווגים לפי סיכון, עם התחייבויות לספקים ולמפעילים. הוא אינו מכשיר להגנה על נתונים: הוא אינו יוצר בסיס משפטי לעיבוד נתונים אישיים, ועמידה בו אינה אומרת דבר על עמידה בתקנת ה-GDPR. כאשר מערכת בינה מלאכותית מעבדת נתונים אישיים, שני המשטרים חלים במקביל ובמלואם.

השלבים חשובים לתכנון. האיסורים על פרקטיקות בלתי מקובלות, כולל ניקוד חברתי על ידי רשויות ציבוריות וגירוד לא ממוקד של תמונות פנים לבניית מאגרי מידע לזיהוי, כבר חלים, כמו גם החובות למודלים של בינה מלאכותית למטרות כלליות וחובות השקיפות למערכות המקיימות אינטראקציה עם אנשים או יוצרות תוכן סינתטי. יש לתייג דיפפייקס וטקסט שנוצר על ידי בינה מלאכותית שפורסם כדי ליידע את הציבור. משטר הסיכון הגבוה נדחה על ידי חבילת האומניבוס הדיגיטלי: חובות למערכות בסיכון הגבוה המפורטות בנספח III, הכוללות גיוס ובחירה, הערכת אשראי, חינוך וגישה לשירותים חיוניים, חלות כעת החל מ-2 בדצמבר 2027, וחובות לבינה מלאכותית שהיא רכיב בטיחות של מוצר המוסדר במסגרת נספח I החל מ-2 באוגוסט 2028. ההצעה הנפרדת להנחיית אחריות בגין בינה מלאכותית בוטלה, כך שנזק שנגרם על ידי מערכת בינה מלאכותית מטופל במסגרת דיני החוזים והנזקים ההולנדיים הרגילים וכללי אחריות המוצר האירופיים.

עבור מערכת שמקבלת החלטות לגבי אנשים וגם נופלת לקטגוריית הסיכון הגבוה, שני המשטרים מחזקים זה את זה: ה-GDPR דורש הערכת השפעה על הגנת נתונים והתערבות אנושית לפי בקשה, וחוק הבינה המלאכותית דורש מערכת ניהול סיכונים, ניהול נתונים, תיעוד טכני, רישום, פיקוח אנושי מכוונת, ועבור פריסות מסוימות, הערכת השפעה על זכויות יסוד. בנייתם ​​כתרגיל אחד זולה בהרבה מאשר בנייתם ​​פעמיים. כללי הסיווג מפורטים במדריכים שלנו לחוק הבינה המלאכותית של האיחוד האירופי , למערכות בינה מלאכותית בסיכון גבוה , ובמדריך המעשי שלנו לעסקים ; הרקע הרחב יותר מכוסה במאמר שלנו על הצד המשפטי של בינה מלאכותית באיחוד האירופי.

הכללים הדיגיטליים האחרים שחלים בו זמנית

שלושה משטרים נוספים רלוונטיים למערכות אלגוריתמיות. חוק השירותים הדיגיטליים מטיל חובות שקיפות וסיכון על פלטפורמות מקוונות המשתמשות באלגוריתמים לצורך ניהול והמלצות תוכן, כולל חובה להסביר את הפרמטרים העיקריים של מערכות המלצה, ועבור הפלטפורמות הגדולות ביותר, להציע אפשרות שאינה מבוססת על יצירת פרופילים; אנו מכסים זאת במאמרים שלנו על חוק השירותים הדיגיטליים וחוק השווקים הדיגיטליים ועל מה שעסקים חייבים לדעת עליהם. חוק חוסן הסייבר קובע דרישות אבטחה למוצרים עם אלמנטים דיגיטליים, שייכנסו בהדרגה בשנים הקרובות, ודורש אבטחה מכוונת וטיפול בפגיעויות. וחוק חוסן הסייבר ההולנדי, היישום ההולנדי של NIS2 בתוקף מאז 15 באוגוסט 2026, מטיל רישום ב-NCSC ודיווח על אירועים תוך עשרים וארבע ושבעים ושתיים שעות על הישויות הנכללות בתחומו, לצד ובאופן בלתי תלוי בחובת דיווח על הפרות GDPR; ראו את הסקירה שלנו על NIS2 וחוק אבטחת הסייבר ההולנדי.

ניהול: מה צריך להיות בתיק

אחריות היא חובת הוכחה. לא מספיק להיות תואם את התקנות; על הבקר להיות מסוגל להוכיח תאימות, שבמסגרת אלגוריתמית פירושה קובץ התואם את המערכת כפי שהיא בנויה ומשמשת בפועל. חמישה מסמכים עושים את רוב העבודה.

רישום פעילויות העיבוד צריך לתאר את זרימות הנתונים מאחורי כל מודל, כולל נתוני האימון, קלטי ההסקה והיומנים, ולא את המחלקות שבבעלותן אותם. הבסיס החוקי לכל פעולה נרשם לידו, כאשר מצורפת הערכת האינטרסים הלגיטימיים במקומות בהם נעשה שימוש בנימוק זה. הערכת השפעה על הגנת מידע היא חובה כאשר העיבוד צפוי לגרום לסיכון גבוה, כפי שהרגולציה מניחה לצורך הערכה אוטומטית שיטתית ונרחבת של היבטים אישיים עליהם מבוססות החלטות בעלות השפעות משמעותיות, לעיבוד בקנה מידה גדול של קטגוריות מיוחדות, ולניטור שיטתי של אזורים נגישים לציבור; רשות הפיקוח ההולנדית מפרסמת גם רשימה של פעולות עיבוד עבורן נדרשת תמיד הערכה. כאשר לא ניתן להפחית סיכון שיורי גבוה, יש להתייעץ עם הרשות לפני תחילת העיבוד.

לצד אלה נמצאים הרישום הפנימי של אלגוריתמים, שאפילו ארגונים פרטיים מנהלים יותר ויותר משום שזו הדרך המעשית היחידה לענות על בקשת פיקוח, והנהלים לטיפול בבקשות מאנשים פרטיים: גישה, תיקון, מחיקה, התנגדות ובקשה להתערבות אנושית, לכל אחת בעלים ותאריך יעד. קצין הגנת מידע הוא חובה עבור גופים ציבוריים ועבור ארגונים שפעילויות הליבה שלהם כוללות ניטור קבוע ושיטתי בקנה מידה גדול או עיבוד בקנה מידה גדול של קטגוריות מיוחדות, המכסה פריסות רבות של בינה מלאכותית.

שום דבר מזה לא עובד כתרגיל על נייר. האנשים שבונים את המודלים והאנשים שמעריכים את הסיכון צריכים לעבוד על אותו מסמך, ויש לעדכן את הקובץ כאשר המודל עובר אימון מחדש או שימוש מחדש, מכיוון שמערכת שעברה שינוי מהותי היא פעולת עיבוד חדשה. כיצד זה משתלב במבנה תאימות רחב יותר נדון במאמרים שלנו על סוגי תאימות משפטית ועל מסגרת הממשל התאגידי , ועל הנוף ההולנדי להגנה על נתונים בכללותו במדריך שלנו לחוקי פרטיות נתונים בהולנד.

הגנה על המערכת עצמה: קניין רוחני וסודות מסחריים

הכללים המגנים על אלגוריתם פועלים בכיוון ההפוך מהכללים המחייבים הסבר שלו, ויש ליישב ביניהם במכוון. תוכנות מחשב כשלעצמן אינן כלולות בהגנה על פטנט, אך יישום בינה מלאכותית המספק פתרון טכני לבעיה טכנית יכול באופן עקרוני להיות רשום כפטנט במסגרת חוק הפטנטים ההולנדי ואמנת הפטנטים האירופית. זכויות יוצרים מגנות על קוד המקור ועל ביטויים מקוריים אחרים במסגרת ה-Auteurswet, אך לא על הרעיון, השיטה או הטכניקה המתמטית הבסיסית. בפועל, ההגנה החשובה ביותר היא חוק סודות מסחריים: Wet bescherming bedrijfsgeheimen, המיישם את הוראת סודות המסחר האירופית, מגן על מידע סודי, בעל ערך מסחרי משום שהוא סודי וכפוף לצעדים סבירים לשמירתו בסוד. זה מכסה נתוני אימון, פרמטרי מודל וארכיטקטורה, בתנאי שאותם צעדים סבירים ננקטים בפועל ומתועדים. האכיפה מתבצעת באמצעות בתי המשפט האזרחיים, שיכולים להורות על איסורים, העברת סחורות מפרות זכויות יוצרים ונזקים; זה לא עניין של רשות התחרות.

אימון נתוני מידע מעלים שאלה משלו בנוגע לזכויות יוצרים. החריגים לכריית טקסט ונתונים בחוק זכויות היוצרים ההולנדי, המיישמים את ההנחיה האירופית בנושא זכויות יוצרים בשוק הדיגיטלי היחיד, מתירים כריית יצירות נגישות כדין, אך בעלי זכויות יוצרים רשאים לשמור לעצמם את זכויותיהם, וספקי מודלים של בינה מלאכותית למטרות כלליות נדרשים על פי חוק הבינה המלאכותית לגבש מדיניות לעמידה בחוק זכויות היוצרים של האיחוד האירופי ולכבד הסתייגויות כאלה. לכן, כריית נתונים מוגבלת על ידי שני משטרים נפרדים בו זמנית, הגנת נתונים וזכויות יוצרים, וניקוי האחד אינו אומר דבר על השני. המדריך שלנו לדיני קניין רוחני בהולנד והמאמר שלנו בנושא הגנה על סודות מסחריים עוסקים בשאלות אלו בפירוט.

המגבלה היא זו שצוינה קודם לכן: סודיות אינה פוטרת אותך מהחובה להסביר החלטה אוטומטית. כאשר השניים מתנגשים, הרשות המפקחת או בית המשפט מחליטים מה יש לחשוף, כך שמטרת התכנון ההגיונית היא מערכת שניתן לתאר את ההיגיון שלה ברמת העקרונות והגורמים מבלי לחשוף דבר שהוא סודי באמת.

שאלות נפוצות

השאלות שלהלן עולות לרוב כאשר ארגונים הולנדים מעבירים מידע אישי דרך אלגוריתם. חומר נוסף בנושאים קשורים נאסף במדריכים שלנו בנושא דיני IT בהולנד.

איך Law & More יכול לעזור

Law & More מייעץ לארגונים הולנדים ובינלאומיים בנוגע להגנת המידע של בינה מלאכותית: הערכת האם סעיף 22 חל על מערכת, תכנון פיקוח אנושי העומד בבדיקה, ניסוח ההסבר שיש לתת לאנשים המושפעים, ביצוע הערכות השפעה, משא ומתן על הסכמי עיבוד עם ספקי מודלים ופלטפורמות, ומענה ל-Autoriteit Persoonsgegevens או לתלונות ותביעות של אנשים פרטיים. אם אתם פורסים אלגוריתם שמקבל או תומך בהחלטות לגבי אנשים, שלנו... עורכי דין לפרטיות זמינים לעיין בקובץ איתך לפני שרגולטור יעשה זאת.

איך Law & More יכול לעזור לך עם זה מוסבר אצלנו עורך דין בתחום ה-IT .