Politika v oblasti umelej inteligencie: čo musí zahŕňať zákon EÚ o umelej inteligencii, GDPR a WOR

Zákon EÚ o umelej inteligencii (nariadenie (EÚ) 2024/1689) doslovne nevyžaduje dokument s názvom „politika umelej inteligencie“. V praxi ju potrebujete: bez interných pravidiel o tom, ktoré systémy umelej inteligencie používate, ako sú klasifikované a kto je za ne zodpovedný, nemôžete preukázať súlad so zákonom o umelej inteligencii, GDPR ani s holandským pracovným právom.

Generatívne nástroje navrhujú korešpondenciu, náborový softvér hodnotí kandidátov a finančné systémy označujú transakcie, často prostredníctvom funkcií pridaných do softvéru, ktorý už máte licencovaný. Od 2. augusta 2026 sa uplatňujú povinnosti transparentnosti podľa článku 50 zákona o umelej inteligencii a režim s vysokým rizikom nasleduje 2. decembra 2027. Nižšie vysvetľujeme, čo obsahuje funkčná politika umelej inteligencie, aké lehoty platia a ako vytvoriť politiku, ktorú ľudia skutočne používajú.

Čo je to politika AI a prečo ju potrebujete?

Politika umelej inteligencie je súbor interných pravidiel, ktoré určujú, ako, prečo a za akých podmienok môže vaša organizácia používať umelú inteligenciu. Premieňa povinnosti uvedené v zákone o umelej inteligencii, GDPR a zákone o zamestnaneckých radách na pokyny, ktoré môže zamestnanec dodržiavať.

Politika uvádza, na ktoré systémy sa vzťahuje, čo sa do nich môže zadávať, kto schvaľuje nový nástroj, kedy musí osoba skontrolovať výsledok a čo sa stane po incidente. Riziká sú konkrétne: údaje klientov vložené do verejného chatbota predstavujú potenciálne porušenie ochrany údajov podľa článku 4(12) GDPR a výberový nástroj, ktorý filtruje skupinu uchádzačov, môže porušovať holandský zákon o rovnakom zaobchádzaní. V každom prípade zodpovednosť nesie organizácia, ktorá systém nasadila, nie dodávateľ.

Ktoré pravidlá sa uplatňujú: zákon o umelej inteligencii, GDPR a holandské pracovné právo?

Súčasne platia tri súbory pravidiel. Zákon o umelej inteligencii reguluje systém, GDPR reguluje údaje a holandské pracovné právo upravuje, čo môžete s údajmi robiť so svojimi vlastnými zamestnancami.

Ako zákon o umelej inteligencii klasifikuje systémy umelej inteligencie?

Zákon o umelej inteligencii (AI Act) uplatňuje prístup založený na riziku. Článok 5 úplne zakazuje malý počet praktík vrátane sociálneho bodovania a určitých manipulačných techník; náš článok o zakázaných praktikách umelej inteligencie ich vysvetľuje. Od omnibusu o umelej inteligencii z júla 2026 je zakázané aj vytváranie intímnych obrázkov identifikovateľných osôb bez súhlasu.

Použitie uvedené v prílohe III sa považuje za vysoko rizikové použitie umelej inteligencie , napríklad pri nábore a výbere zamestnancov, rozhodovaní o povýšení a prepustení, posudzovaní úverovej bonity a prístupe k základným službám. V prípade týchto systémov články 9 až 15 vyžadujú:

• systém riadenia rizík;
• správa údajov;
• technická dokumentácia a protokolovanie;
• transparentnosť voči nasadzovateľovi (organizácii používajúcej systém);
• ľudský dohľad;
• presnosť a robustnosť zodpovedajúca účelu.

Všetko ostatné podlieha najmä povinnostiam transparentnosti podľa článku 50 alebo žiadnej konkrétnej povinnosti podľa zákona o umelej inteligencii.

Čo prináša GDPR?

GDPR sa uplatňuje v plnom rozsahu všade, kde sa spracúvajú osobné údaje, a to aj na účely školení. Obmedzenie účelu, minimalizácia údajov a potreba právneho základu podľa článku 6 sú najvýraznejšie v projektoch umelej inteligencie.

Článok 22 GDPR obmedzuje rozhodnutia založené výlučne na automatizovanom spracovaní, ktoré majú právne alebo podobne významné účinky. Ak systém pravdepodobne povedie k vysokému riziku, článok 35 GDPR vyžaduje pred jeho použitím posúdenie vplyvu na ochranu údajov (DPIA). Náš článok o používaní umelej inteligencie vo vašom holandskom podnikaní sa týmito povinnosťami podrobnejšie zaoberá.

Čo vyžaduje holandské pracovné právo?

Podľa článku 27(1)(k) a (l) zákona o zamestnaneckých radách ( Wet op de ondernemingsraden , WOR) musí zamestnanecká rada súhlasiť s dohodami o spracovaní osobných údajov zamestnancov a so systémami vhodnými na monitorovanie prítomnosti, správania alebo výkonu zamestnancov. Politika umelej inteligencie, ktorá upravuje monitorovanie, analýzu produktivity alebo automatizované hodnotenie zamestnancov, často spadá pod toto ustanovenie.

Rozhodnutie prijaté bez požadovaného súhlasu je neplatné, ak ho zamestnanecká rada uplatní do jedného mesiaca (článok 27(5) WOR). Konzultácia je preto otázkou načasovania, nie formality.

Ktoré termíny zákona o umelej inteligencii platia teraz a ktoré sa posunuli?

Zákazy, pravidlá pre modely umelej inteligencie na všeobecné účely a povinnosti transparentnosti už platia. Povinnosti pre systémy s vysokým rizikom boli odložené na 2. decembra 2027 a 2. augusta 2028.

Zákon o umelej inteligencii nadobudol účinnosť 1. augusta 2024 a uplatňuje sa postupne:

• 2 2025 februára: nadobudli účinnosť zákazy praktík s neprijateľným rizikom a povinnosť gramotnosti v oblasti umelej inteligencie.
• 2 August 2025: nadobudli účinnosť povinnosti poskytovateľov univerzálnych modelov umelej inteligencie spolu s ustanoveniami o riadení a sankciách.
• 2 August 2026: všeobecný dátum uplatňovania vrátane povinností týkajúcich sa transparentnosti podľa článku 50: ľudia musia byť informovaní o interakcii so systémom umelej inteligencie a obsah vytvorený umelou inteligenciou musí byť označený.

Nariadenie (EÚ) 2026/1744, ktoré je súčasťou digitálneho súhrnu Komisie a ktoré sa týka umelej inteligencie, bolo uverejnené v Úradnom vestníku 24. júla 2026 a nadobudlo účinnosť 27. júla 2026. Harmonogram sa ním mení takto:

• Režim s vysokým rizikom pre samostatné systémy uvedené v prílohe III vrátane zamestnanosti, vzdelávania, úverov a základných služieb sa uplatňuje od 2. decembra 2027.
• Pre umelú inteligenciu, ktorá je bezpečnostnou súčasťou výrobkov, na ktoré sa vzťahujú právne predpisy EÚ o výrobkoch (príloha I), sa tento dátum stáva 2. augusta 2028.
• Generatívne systémy uvedené na trh pred 2. augustom 2026 musia do 2. decembra 2026 splniť povinnosť strojovo čitateľného označovania podľa článku 50.
• Povinnosť gramotnosti v oblasti umelej inteligencie je zmiernená: poskytovatelia a nasadzovatelia musia prijať opatrenia na podporu dostatočnej úrovne gramotnosti v oblasti umelej inteligencie, a nie na jej zabezpečenie.

To je obdobie na prípravu, nie odklad. Systém náboru alebo hodnotenia kreditov, ktorý si vyberiete teraz, bude fungovať aj v decembri 2027 a zmluva s dodávateľom, ktorú dnes podpíšete, určí, či v tom čase bude existovať dokumentácia, protokolovanie a funkcie dohľadu.

Čo by mala poistka pokrývať?

Začnite s rozsahom: ktoré oddelenia a typy systémov sa politika vzťahuje. Zvyčajne to znamená ľudské zdroje, marketing, zákaznícky servis, financie a prevádzku a zakúpený softvér umelej inteligencie, funkcie umelej inteligencie v existujúcich platformách, interné modely, generatívnych asistentov, chatbotov a nástroje na hodnotenie.

Dve hraničné otázky si vyžadujú explicitnú odpoveď. Môžu zamestnanci používať verejné nástroje umelej inteligencie na pracovné účely a za akých podmienok? A čo sa stane s funkciami umelej inteligencie, ktoré sa objavia v softvéri, ktorý už používate, bez rozhodnutia o kúpe? Obe sú spôsoby, ktorými umelá inteligencia vstupuje bez povšimnutia, a podľa článku 26 zákona o umelej inteligencii nesie nasadzujúca spoločnosť povinnosti v oboch prípadoch.

Ako definujete umelú inteligenciu a rozdelíte jej použitie?

Použite definície, ktoré zodpovedajú konceptu systému umelej inteligencie v článku 3(1) zákona o umelej inteligencii, spolu s príkladmi z každého oddelenia. Potom rozdeľte použitie do troch kategórií:

• Zakázané použitie: praktiky zakázané článkom 5, plus akékoľvek uplatnenie, ktoré vaša organizácia z vlastných dôvodov vylučuje.
• Podmienené použitie: povolené s výhradou záruk, ako je zdokumentovaná klasifikácia rizika, posúdenie vplyvu na ochranu údajov, ak sa to vyžaduje podľa článku 35 GDPR, a schválenie určenou osobou.
• Povolené použitie: aplikácie s nízkym rizikom, ktoré nepotrebujú viac ako všeobecné pravidlá týkajúce sa dôvernosti a kontroly výstupu.

Kto je zodpovedný?

Priraďte konečnú zodpovednosť za súlad s predpismi o umelej inteligencii na úrovni predstavenstva a vymenujte úlohy, ktoré schvaľujú nové aplikácie, vedú inventár a riešia incidenty. V prípadoch, keď sa systém môže stať vysoko rizikovým, by zmluva s dodávateľom mala zaviazať poskytovateľa k dodaniu technickej dokumentácie, návodu na použitie a funkcie protokolovania požadované v článkoch 11 až 13 zákona o umelej inteligencii.

Ako narábate s údajmi, súkromím, bezpečnosťou a transparentnosťou?

V zásadách musí byť uvedené, ktoré informácie sa môžu zadávať do ktorého systému. Dôverné obchodné informácie, klientske súbory, osobitné kategórie osobných údajov (článok 9 GDPR) a čokoľvek, na čo sa vzťahuje služobné tajomstvo, vo všeobecnosti nepatria do verejného nástroja.

Stanovte, kedy sa vyžaduje anonymizácia alebo pseudonymizácia, ako dlho sa uchovávajú vstupy a výstupy a ako sa tréningové údaje oddeľujú od produkčných údajov. Zahrňte incidenty umelej inteligencie do vášho existujúceho postupu pri porušení ochrany údajov: podľa článku 33 GDPR musí byť porušenie osobných údajov nahlásené holandskému úradu na ochranu údajov ( Autoriteit Persoonsgegevens , AP) bez zbytočného odkladu a podľa možnosti do 72 hodín.

Od 2. augusta 2026 článok 50 zákona o umelej inteligencii vyžaduje, aby boli ľudia informovaní o interakcii so systémom umelej inteligencie, pokiaľ to nie je zrejmé. Syntetický zvuk, obrázky, video a text musia byť označené strojovo čitateľným spôsobom. Preložte to do pokynov: čo chatbot hovorí vo svojej úvodnej správe, ako je označený obsah s podporou umelej inteligencie a čo sa kandidátom hovorí o umelej inteligencii vo výberovom konaní.

Ako zabezpečujete ľudský dohľad, testovanie zaujatosti a gramotnosť v oblasti umelej inteligencie?

Pre každý systém, ktorý ovplyvňuje osobu, musia pravidlá uvádzať, kedy sa človek rozhodne a čo môže táto osoba v skutočnosti urobiť. Podľa článku 14 zákona o umelej inteligencii musí kontrolór rozumieť limitom systému a byť schopný ignorovať alebo prepísať jeho výstup.

Podľa článku 22(3) GDPR si osoba, na ktorú sa vzťahuje automatizované rozhodnutie, zachováva právo na ľudský zásah, vyjadriť svoj názor a napadnúť rozhodnutie. Pole na podpis v pracovnom postupe tento štandard nespĺňa.

Prečo testovať skreslenie?

Systémy používané pri nábore, hodnotení výkonu a rozhodovaní o úveroch by sa mali pravidelne testovať na rozdiely vo výsledkoch medzi skupinami a výsledky by sa mali zaznamenávať. Tento záznam podporuje vašu dokumentáciu podľa zákona o umelej inteligencii a slúži ako váš dôkaz, ak sa zamietnutý kandidát dovoláva diskriminácie: podľa holandského zákona o rovnakom zaobchádzaní ( Algemene wet gelijke behandeling , AWGB, článok 10) skutočnosti naznačujúce diskrimináciu presúvajú dôkazné bremeno na zamestnávateľa.

Čo si vyžaduje gramotnosť v oblasti umelej inteligencie?

Článok 4 zákona o umelej inteligencii zaväzuje poskytovateľov a nasadzovateľov prijať opatrenia na podporu dostatočnej úrovne gramotnosti v oblasti umelej inteligencie u zamestnancov, ktorí pracujú so systémami umelej inteligencie. V praxi to znamená základný modul pre všetkých, hlbšie školenie pre ľudské zdroje, IT, obstarávanie a manažment a záznam o tom, kto a kedy bol vyškolený.

Kto dohliada na zákon o umelej inteligencii v Holandsku?

Holandsko organizuje dohľad prostredníctvom existujúcich regulačných orgánov. Návrh zákona o implementácii regulácie umelej inteligencie ( Uitvoeringswet AI-verordening ) bol zverejnený na konzultáciu 20. apríla 2026 a zatiaľ nebol prijatý.

Podľa návrhu sa Holandský úrad pre digitálnu infraštruktúru ( Rijksinspectie Digitale Infrastructuur , RDI) a AP delia o koordinačnú úlohu a sektoroví dozorcovia si ponechávajú vlastné domény. Pokuty pochádzajú z článku 99 zákona o umelej inteligencii: do výšky 35 miliónov EUR alebo 7 % celosvetového ročného obratu za zakázané praktiky a do výšky 15 miliónov EUR alebo 3 % za väčšinu ostatných porušení.

Ako sa dostanete od prvého inventára k fungujúcej politike umelej inteligencie?

Začnite s inventárom toho, čo sa skutočne používa, vrátane funkcií umelej inteligencie v existujúcom softvéri a nástrojoch, ktoré si zamestnanci osvojili. Potom postupujte podľa týchto krokov:

• zaradiť každá aplikácia: zakázaná, vysokoriziková podľa prílohy III, s výhradou článku 50 alebo nízkoriziková.
• posúdiť riziká, kombináciou klasifikácie podľa zákona o umelej inteligencii s analýzou GDPR a v prípade, že sú zamestnanci dotknutí, otázkou WOR podľa článku 27.
• Výčap zásady a zosúladiť ich s vašimi rámcami pre ochranu súkromia, bezpečnosť informácií, obstarávanie a ľudské zdroje.
• Realizovať v ňom sa prijímajú rozhodnutia: nákup šablón, proces prijímania softvéru, náborový proces a kalendár školení.
• preskúmanie aspoň raz ročne a keď príde nový významný systém, zmení sa zákon alebo dôjde k incidentu.

Čo by ste si mali ako organizácia, ktorá používa umelú inteligenciu, overiť?

Ako nasadzovateľ máte svoje vlastné povinnosti podľa článku 26 zákona o umelej inteligencii, bez ohľadu na to, kto systém vytvoril. Skontrolujte tieto body:

• Žiadny používaný systém nespadá pod zákazy podľa článku 5, ktoré platia od 2. februára 2025.
• Chatboty a nástroje na tvorbu obsahu spĺňajú povinnosti transparentnosti podľa článku 50, ktoré platia od 2. augusta 2026.
• Posúdenie vplyvu na ochranu údajov podľa článku 35 GDPR sa vykonáva pre umelú inteligenciu, ktorá spracúva osobné údaje s vysokým rizikom.
• Zamestnanecká rada súhlasila podľa článku 27 WOR s umelou inteligenciou, ktorá monitoruje alebo hodnotí zamestnancov.
• Zmluvy na budúce systémy s vysokým rizikom zabezpečujú dokumentáciu a protokolovanie pred 2. decembrom 2027.

Čo by ste si mali overiť ako dodávateľ systému umelej inteligencie?

Ako poskytovateľ systému s vysokým rizikom nesiete najťažšie povinnosti stanovené v článku 16 zákona o umelej inteligencii. Skontrolujte tieto body:

• Či váš systém spadá pod prílohu III alebo prílohu I a ktorý dátum sa naň vzťahuje.
• Či vaše riadenie rizík, správa údajov a technická dokumentácia spĺňajú požiadavky článkov 9 až 11.
• Či systém zaznamenáva udalosti a či je k nemu priložený návod na použitie (články 12 a 13).
• Či sa plánuje posudzovanie zhody (článok 43) a registrácia v databáze EÚ (článok 49).
• Či je váš generatívny výstup označený strojovo čitateľným spôsobom podľa článku 50(2).

Čo pre vás môžeme urobiť s vašou politikou v oblasti umelej inteligencie?

Naši IT právnici poskytujú poradenstvo v oblasti zákona o umelej inteligencii (AI Act) spolu s otázkami súkromia a zamestnania, ktoré s ním súvisia. Konkrétne:

• Preskúmame váš inventár umelej inteligencie a klasifikujeme každý systém podľa zákona o umelej inteligencii.
• Vypracujeme alebo skontrolujeme vašu politiku v oblasti umelej inteligencie a zosúladíme ju s vašimi pravidlami ochrany osobných údajov a ľudských zdrojov.
• Kontrolujeme dodávateľské a licenčné zmluvy pre systémy umelej inteligencie z hľadiska dokumentácie, protokolovania a zodpovednosti.
• Vykonávame alebo kontrolujeme DPIA pre aplikácie umelej inteligencie, ktoré spracúvajú osobné údaje.
• Pripravujeme žiadosť o súhlas pre zamestnaneckú radu podľa článku 27 WOR.

zhrnutie

• Zákon o umelej inteligencii nevyžaduje dokument s názvom politika umelej inteligencie, ale bez neho len ťažko preukážete súlad so zákonom o umelej inteligencii, GDPR a holandským pracovným právom.
• Zákazy, pravidlá pre modely umelej inteligencie na všeobecné účely a povinnosti transparentnosti podľa článku 50 sa už uplatňujú.
• Nariadením (EÚ) 2026/1744 sa režim s vysokým rizikom odložil na 2. decembra 2027 (príloha III) a 2. augusta 2028 (príloha I).
• Umelá inteligencia, ktorá monitoruje alebo hodnotí zamestnancov, bude často potrebovať súhlas zamestnaneckej rady podľa článku 27 WOR.
• Začnite s inventárom, potom klasifikujte, posúďte, vypracujte návrh, implementujte a prehodnoťte.

Často kladené otázky