Deel II - AI & Recht: Hoe maak ik AI beleid voor mijn eigen bedrijf of organisatie?

In Nederland worstelen veel bedrijven op dit moment met de vraag

“We moeten iets met AI, maar wat dan precies?”.

In dit artikel wordt de opkomst van AI vooral vanuit het perspectief van de juridische aandachtspunten bij het formuleren van beleid over het gebruik van AI binnen uw organisatie of bedrijf belicht. Het doel van dit artikel is om een aantal eerste handvatten te bieden voor de praktijk.

Het artikel dat u nu leest is Deel II in een drieluik over de rol van AI binnen de huidige stand van het Nederlandse recht. Deel III gaat over de Europese AI verordening en Deel I gaat over de vermogensrechtelijke aspecten van AI en auteursrecht in Nederlands recht.

I. Waarom AI beleid?

De vragen die de huidige explosie in populariteit van online publiekelijk toegankelijke generatieve AI-voorzieningen zoals, ChatGPT uitgebracht door OpenAI, maar ook de toename van integratie van AI assistenten als functionaliteit binnen bestaande online dienstverlening, oproepen zijn voor alle bedrijven, organisaties, beroepen en zelfs ieder individu uniek. AI beleid opstellen is een middel om voor uzelf een antwoord te formuleren op de vele vragen die binnen uw eigen context gaan spelen op het moment dat AI zijn intrede doet op de werkvloer.

In het bijzonder, is er bij gebruik van AI sprake van een significant juridisch risico voor werkgevers? Die vraag kan bevestigend worden beantwoord. Een werkgever kan inderdaad op grond van de wet of in verband met een contractuele verplichting aansprakelijk zijn indien een medewerker bij gebruik van een AI tool in strijd handelt met een contractuele (geheimhoudings)verplichting of in strijd handelt met een wettelijke verplichting. Wettelijke verplichtingen zijn bijvoorbeeld: het verbod op geautomatiseerde besluitvorming/profilering (AVG) en - naarmate de AI verordening begint te gelden- de nieuwe verboden op bepaalde AI praktijken en uitlegbaarheidsvereisten.

II. De juridische aandachtspunten

II.I Wettelijk beschermde categorieën van informatie

Vanuit informatierechtelijk perspectief is het volgende uitgangspunt op dit moment heersend: In beginsel is informatie "vrij", tenzij wettelijk of contractueel rechten of verplichtingen ten aanzien van bepaalde informatie zijn toegekend.

De volgende categorieën van informatie kunnen beschermd zijn uit hoofde van een wettelijke of contractuele verplichting:

• intellectuele eigendomsrechten (incl. bedrijfsgeheimen),
• privacygevoelige informatie zoals persoonsgegevens,
• confidentiële informatie.

Confidentiële Informatie

In de praktijk treft men name contractuele geheimhoudingsverplichtingen, bijvoorbeeld in NDA’s. De wet bevat echter ook, mede afhankelijk van het type beroep of bedrijf wettelijke geheimhoudingsverplichtingen.

De werkgever kan op grond van de wet, of in verband met een contractuele verplichting, verplicht zijn om:

1. Zelf geheimhouding in acht te nemen ten aanzien van bepaalde namen, documenten of overige bescheiden, ideeën, correspondentie of bedrijfsgeheimen etc.
2. haar medewerkers contractueel te binden tot inachtneming van geheimhouding.

Vult iemand de confidentiële informatie in bij een dienst in de informatiemaatschappij, bijvoorbeeld bij een AI assistent of generatieve AI tool, dan ‘verstrekt’ diegene deze confidentiële informatie aan de aanbieder van deze dienst in de informatiemaatschappij. Het is mogelijk dat hierdoor de geheimhoudingsverplichting geschonden wordt. De schending van een bepaalde wettelijke of contractuele verplichting ten aanzien van deze categorieën van informatie kan in het ergste geval leiden tot schadeplichtigheid of boeteplichtigheid.

Het is dus raadzaam om expliciet te vermelden dat verplichtingen t.a.v. confidentiële informatie óók van toepassing zijn bij gebruik van AI.

Intellectuele eigendomsrechten

De populariteit van online publiekelijk toegankelijke generatieve AI-voorzieningen zoals, ChatGPT uitgebracht door OpenAI, maar ook de toename van integratie van AI assistenten als functionaliteit binnen bestaande online dienstverlening roept bij menigeen de vraag op hoe deze technologische ontwikkeling zich verhoudt tot de huidige stand van het Nederlandse intellectuele eigendomsrecht, in het bijzonder het auteursrecht.

Ook zien wij hoe makkelijk deze nieuwe AI technologie het maakt om artificieel het gelaat of de stem van een natuurlijke persoon na te bootsen. Ook om beelden te genereren waarin een natuurlijk persoon iets ‘zegt’ of een handeling verricht die hij of zij in werkelijkheid nooit heeft verricht. Ook wel de problematiek van ‘deepfakes’ genoemd. De ontwikkeling roept vragen op over de toereikendheid van het portretrecht en het verbod op wraakporno in Nederlands recht, nu de toepasselijke wetgeving dateert van vóórdat deze technologie breed vrij beschikbaar is gemaakt.

Eerder publiceerde wij dit artikel over AI en auteursrecht:

AI en Auteursrecht

In dit artikel wezen wij op het risico dat op (grotendeels) door AI genereerd werk géén auteursrecht rust, omdat niet is voldaan aan de volgende criteria van de (“menselijke?”) ‘maker’ van bepaalde werken wier schepping voorwerp is van intellectuele eigendomsrechten:

• Eigen,
• Oorspronkelijk
• Karakter
  En:
• Persoonlijk
• Stempel

Het is dus raadzaam om randvoorwaarden te stellen aan gebruik van AI, zowel ter voorkoming van inbreuk op intellectuele eigendomsrechten, inclusief persoonlijkheidsrechten van derden, als om ervoor te zorgen dat de intellectuele eigendomsrechten op werkzaamheden voor het bedrijf of de organisatie tot stand komen.

LET OP!: Een IT leverancier of softwarebedrijf dient er bij uitstek op te letten dat het niet mogelijk is om een licentie te verstrekken indien op de programmatuur geen auteursrecht rust! Indien u een IT leverancier bent met programmeurs in dienst adviseren wij direct contact met ons op te nemen.

Persoonsgegevens

De werkgever kan op grond van artikel 28 lid 3 onder b Algemene Verordening Gegevensbescherming (“AVG”) , of in verband met een contractuele verplichting uit een verwerkersovereenkomst, verplicht zijn om:

1. Zelf geheimhouding in acht te nemen ten aanzien van persoonsgegevens
2. haar medewerkers contractueel te binden tot inachtneming van geheimhouding.

Opvallend is ook dat verreweg de meeste aanbieders van diensten in de informatiemaatschappij, o.a. generatieve AI, buiten de EU/EER in de VS of China gevestigd zijn. Het is mogelijk om in personeelsbeleid een schriftelijke instructie op te nemen om bepaalde categorieën van informatie niet te verstrekken aan dergelijke aanbieders van AI toepassingen.

II.II De EU AI verordening

Vanaf 2 augustus 2026 zal ’s werelds eerste AI wet, de EU AI verordening (EU) 2024/1689, volledig van toepassing zijn in de gehele EU. De EU AI verordening dateert op 13 juni 2024. Voor EU verordeningen geldt doorgaans een ‘gewenningsperiode’ van 2 jaar, op het moment van schrijven van dit artikel is deze 2 jaarlijkse implementatieperiode voor deze verordening nog lopende. Kortom, de AI verordening is dus wel al wet, maar nog niet alle onderdelen zijn al van toepassing.

Een aantal onderdelen van de AI verordening zijn inmiddels al stapsgewijs in werking getreden vanaf 2 februari 2025, zullen al vanaf 2 augustus 2025 in werking treden of worden een jaar uitgesteld en zullen pas vanaf 2 augustus 2027 gelden.

Verboden AI praktijken

Sinds 2 februari 2025 zijn de volgende AI praktijken expliciet verboden:

• Manipulatieve of misleidende AI-systemen;
• AI-systemen voor ‘social scoring’;
• AI-gebaseerde voorspelde risicobeoordelingen voor criminaliteit;
• Biometrische categorisering;
• Het gebruik van AI-systemen voor biometrische identificatie op afstand in realtime in openbare ruimten;
• Emotieherkenning op de werkplek en in het onderwijs; ongericht scrapen van gezichtsafbeeldingen van internet of camerabeelden om databanken voor gezichtsherkenning aan te leggen of aan te vullen etc.

Terzijde, sinds 2 februari 2025 is het verplicht om ‘AI geletterdheid’ te bevorderen binnen uw bedrijf of organisatie.

“Artikel 4 AI verordening - AI-geletterdheid
Aanbieders en gebruiksverantwoordelijken van AI-systemen nemen maatregelen om, zoveel als mogelijk, te zorgen voor een toereikend niveau van AI-geletterdheid bij hun personeel en andere personen die namens hen AI-systemen exploiteren en gebruiken, en houden daarbij rekening met hun technische kennis, ervaring, onderwijs en opleiding en de context waarin de AI-systemen zullen worden gebruikt, evenals met de personen of groepen personen ten aanzien van wie de AI-systemen zullen worden gebruikt.”

Organiseer dus bijeenkomsten of cursussen over AI, voor zover u dit nog niet reeds had opgepakt.

Menselijk toezicht

Onverantwoord gebruik van een AI tool kan bijvoorbeeld leiden tot schadeplichtigheid, maar er kunnen bijvoorbeeld ook bepaalde boetes staan op ongeoorloofd gebruik van een AI praktijk, of ongeoorloofd verstrekken van bepaalde beschermde informatie.

Een bekend probleem met generatieve AI systemen is bijvoorbeeld het zogenaamde ‘hallucineren’ van onjuiste of onvolledige informatie, waarvan niet wenselijk is dat deze leidt tot een oordeel of besluit om op een bepaalde manier te handelen. Het kan raadzaam zijn een expliciete waarschuwing voor dit gebrek in de technologie op te nemen in het AI beleid.

Ingevolge artikel 14 AI verordening zal op zogenoemde ‘hoog risico’ AI systemen menselijk toezicht wettelijk verplicht worden.

Het is daarom zeer raadzaam expliciet te benoemen dat verantwoordelijkheid voor de gebruikte middelen en voor te verrichten werkzaamheden bij de medewerker blijft rusten.

II.III. Het verbod op geautomatiseerde besluitvorming met impact op de rechten en vrijheden van een individu

Ingevolge artikel 22 AVG heeft ieder data-subject het recht niet te worden onderworpen aan een besluit gebaseerd uitsluitend op geautomatiseerde verwerking, waaronder profilering. Almede het recht om inzage te krijgen in de onderliggende redenering hiervan. Zodra artikel 86 AI verordening geldt zal ieder getroffen persoon het “recht op uitleg bij individuele besluitvorming” krijgen uit hoofde van deze wet.

De inhoudelijk overlap tussen de AVG en de AI verordening is onder de aandacht van de Europese wetgever gebracht door onder andere de European Data Protection Board (EDPB). Het is mogelijk dat in de toekomst meer verduidelijking zal worden gebracht.

In Nederland is de Autoriteit Persoonsgegevens de bevoegde toezichthouder, deze toezichthouder is bevoegd om boetes of andere sanctiemaatregelen te treffen indien de wet is overtreden bij geautomatiseerde besluitvorming waaraan voor een persoon rechtsgevolgen zijn verbonden of die een persoon anderszins in aanmerkelijke mate treffen.

Het is in ieder geval zeer raadzaam om strenge grenzen te stellen aan het gebruik van AI bij geïndividualiseerde besluitvorming. De beruchte misstanden rondom de Fraudesignaleringsvoorziening (FSV) bij de belastingdienst bij het toeslagenschandaal waarbij onschuldige ouders zonder hun medeweten ten onrechte als ‘fraudeur’ gemarkeerd werden zonder de mogelijkheid om hier tegen op te komen leidde tot de hoogste boete ooit en is een schrijnend praktijkvoorbeeld van hoe het niet moet!

III. Belangenafweging: risicobeheersing vs. innovatie aanmoedigen

De afgelopen jaren is er vanuit de Europese wetgever vooral veel aandacht geweest voor de potentiële risico’s voor de fundamentele waarden, zoals de rechten en vrijheden van natuurlijke personen die AI- technologie met zich meebrengt. Afhankelijk van de functie van een bepaalde medewerker is het dus ook denkbaar dat de werkgever er belang bij zou hebben het gebruik van AI geheel te verbieden, bijvoorbeeld bij ernstige veiligheidsrisico's.

Andersom kan een onnodig restrictief AI beleid bijvoorbeeld ook economische schade toebrengen aan een onderneming. Innovatiekansen zonder noodzaak links laten liggen zou bijvoorbeeld in strijd met een vennootschapsbelang kunnen zijn.

De Europese wetgever is zich ook bewust van deze afweging en heeft bijvoorbeeld de “AI safety summit” omgedoopt naar de “AI action summit”. Mede in het licht van aanbevelingen van het Draghi-rapport over Competetiveness dat uitmondde in het ‘competitiveness compass’ van de Commissie von der Leyen II. Op 9 april 2025 publiceerde de Commissie Von der Leyen II de ‘European AI Continent Action Plan’ .

De European AI Office publiceert gezaghebbende richtsnoeren en adviezen over de interpretatie en implementatie van AI gerelateerde wet- en regelgeving in de EU, daar zal naast de borging van Europese waarden en rechten en vrijheden voor “human-centric and trustworthy” AI, naar verwachting ook het juist bemoedigen van adoptie van AI in strategische sectoren vaker deel van uit maken.

IV. Certificering: ISO 42001 AI - managementsystemen

Komt u er echt niet uit met uw AI beleid? U kunt overwegen om aansluiting te zoeken bij een branchestandaard of bij gezaghebbende certificeringen. Dergelijke standaarden bieden géén garantie dat uw bedrijf of organisatie voldoet aan toepasselijke wet- en regelgeving, maar kan houvast bieden.

Op 1 december 2023 is een nieuwe standaard gepubliceerd over AI, de ISO 42001 standaard voor AI-managementsystemen.

LET OP! De ISO 42001 certificering over AI managementsystemen is niet hetzelfde als de ISO 27001 certificering over informatiebeveiliging, het is dus niet het geval dat u ervan uit kunt gaan dat uw ISO 27001 certificering, indien uw bedrijf of organisatie hierover reeds beschikt, ook het onderwerp AI omvat, dat is (nog) niet het geval.

V. AI beleid periodiek controleren en evalueren

Nadat u het AI beleid voor uw bedrijf of organisatie hebt opgesteld is het zeer raadzaam om alvast een evaluatiemoment in te plannen. De toepasselijke wet- en regelgeving op het gebied van AI technologie, alsmede AI – technologie zelf zijn een zeer nieuwe ontwikkeling. De AI verordening is nog niet volledig in werking getreden, ook is er nog maar beperkt jurisprudentie over het gebruik van deze technologie beschikbaar. De normen en kaders rondom AI in de praktijk zijn dus volop in ontwikkeling.

Hanteert u reeds een uitgebreid intern gedocumenteerd informatiebeveiligingsbeleid, in de praktijk ook wel afgekort tot ‘ISMS’, dan kunt u uw AI beleid hierin toevoegen.

Neemt uw AI beleid vooral de vorm van concrete instructies aan medewerkers – al dan niet voor bepaalde functies of rollen - dan kunt u hier een hoofdstuk aan weiden in uw personeelshandboek, opdat u niet steeds opnieuw de vraag “mag ik dit gebruiken?” hoeft te beantwoorden.

Ook hier geldt dat uw AI beleid op de behoeften en aandachtspunten binnen uw bedrijf of organisatie, wellicht uw branche, zal moeten worden toegesneden.

Vragen?

Zoekt u juridisch advies over wat de opkomst van AI betekent voor u of uw organisatie? Wilt u meer weten over de juridische aspecten van AI? Hebt u AI beleid opgesteld en wilt u hiervan een juridische beoordeling aanvragen?

Neem vandaag nog contact op met onze IT-juristen en advocaten. Zij staan u graag bij!

Virtuele Juridische Afdeling

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!