IA și dreptul penal: cine este răspunzător atunci când un algoritm provoacă prejudicii?

Conform legislației olandeze și europene, un algoritm nu poate fi tras la răspundere penală, nici măcar parțial. Articolul 51 din Codul penal olandez (Wetboek van Strafrecht, Sr.) recunoaște doar persoanele fizice și persoanele juridice ca fiind infractori, așadar adevărata întrebare este care persoană sau companie este responsabilă pentru ceea ce a făcut sistemul de inteligență artificială.

Dreptul penal olandez răspunde deja la această întrebare prin intermediul săvârșirii funcționale (functioneel daderschap) și al răspunderii penale corporative. Acest articol explică modul în care aceste doctrine se aplică IA, modul în care Legea UE privind IA stabilește standardul de diligență, modul în care rezultatul algoritmic este utilizat ca probă și cum arată un program de apărare și conformitate. Pentru perspectiva lanțului de aprovizionare, consultați articolul nostru însoțitor despre cine este responsabil atunci când o mașină comite o infracțiune.

De ce un algoritm nu poate fi suspect?

O infracțiune necesită conduita unui făptuitor care poate fi învinovățit, iar un sistem de inteligență artificială nu are voință și nu poate fi pedepsit. Articolul 51(1) din Secțiunea S prevede că infracțiunile pot fi comise atât de persoane fizice, cât și de persoane juridice; programele informatice nu reprezintă niciuna dintre acestea.

Sancțiuni precum închisoarea, amenda sau pedeapsa comunitară nu pot fi impuse unui model. Ștergerea unui model pedepsește proprietarul acestuia, nu sistemul. Prin urmare, tot ceea ce dorește să realizeze legea penală după daunele cauzate de inteligența artificială trebuie realizat prin intermediul persoanelor și organizațiilor din spatele acestuia.

Cine este răspunzător în schimb?

Operatorul, compania și conducerea acesteia. Legea penală olandeză are două mecanisme pentru a trage la răspundere pe cineva pentru un comportament pe care nu l-a săvârșit fizic, iar ambele se aplică IA fără modificări.

Perpetrarea funcțională

Conform testului formulat de Curtea Supremă (Hoge Raad) în hotărârea IJzerdraad, o persoană este autorul funcțional dacă a avut puterea de a decide dacă comportamentul a avut loc și l-a acceptat sau a acceptat în mod obișnuit un astfel de comportament.

Pentru IA, puterea de eliminare este de obicei ușor de demonstrat: operatorul poate configura, recalifica și opri sistemul. Acceptarea decide cazul. Dovezile se referă la ceea ce știa operatorul despre modurile de defecțiune, ce au arătat testele și incidentele anterioare și ce s-a făcut în acest sens. Acceptarea în cunoștință de cauză a unui risc considerabil este suficientă; acesta este standardul olandez pentru intenția condiționată (voorwaardelijk opzet).

Răspunderea corporativă și conducerea de facto

În cazul în care operatorul este o companie, se aplică articolul 51 Sr. În hotărârea Drijfmest (ECLI:NL:HR:2003:AF7938), Curtea Supremă a hotărât că un comportament poate fi atribuit unei persoane juridice dacă a avut loc în sfera sa de competență. Indicatorii sunt că respectivul comportament a fost săvârșit de cineva care lucrează pentru aceasta, se încadrează în activitatea sa normală, a adus beneficii acesteia și că societatea l-a putut controla și l-a acceptat, inclusiv prin faptul că nu a luat măsuri rezonabile. Un sistem de inteligență artificială implementat pentru activitatea companiei îndeplinește majoritatea acestor indicatori.

Articolul 51(2) din Sr permite, de asemenea, urmărirea penală a celor care au dat ordinul sau au condus de facto infracțiunea (feitelijk leidinggeven). În hotărârea sa din 26 aprilie 2016 (ECLI:NL:HR:2016:733), Curtea Supremă a hotărât că o poziție formală nu este nici necesară, nici suficientă. Un rol pasiv poate fi suficient atunci când persoana a fost capabilă și obligată să prevină comportamentul și cel puțin a acceptat în mod conștient șansa considerabilă ca acesta să se producă. Într-un caz de IA, dovada constă în cine a primit raportul de validare, cine a aprobat desfășurarea și cine a acceptat o rată de eroare cunoscută.

Care infracțiuni sunt cele mai probabile?

Urmăririle penale care implică sisteme automate se bazează de obicei pe neglijență. Dacă un vehicul, o mașină sau un dispozitiv medical condus de inteligență artificială provoacă decesul, infracțiunea constituie cauzare de deces prin neglijență în temeiul articolului 307 Sr (până la doi ani de închisoare); pentru vătămări corporale grave, se aplică articolul 308 Sr.

Discriminarea este a doua categorie. Discriminarea persoanelor în exercitarea unei funcții, profesii sau activități comerciale pe motive precum rasa, religia, convingerile, sexul sau orientarea sexuală constituie o infracțiune în temeiul articolului 429quater Sr; discriminarea intenționată pe motive de rasă constituie o infracțiune în temeiul articolului 137g Sr. Prin urmare, un model care dezavantajează sistematic un grup protejat poate deveni o chestiune penală. Ghidul nostru de procedură penală în Țările de Jos explică modul în care se desfășoară un astfel de caz.

Cum afectează Legea IA răspunderea penală?

Legea UE privind inteligența artificială (Regulamentul (UE) 2024/1689) nu creează infracțiuni penale, dar stabilește ce trebuie să facă un furnizor sau un implementator atent. O abatere de la acest standard constituie o dovadă de neglijență; respectarea normelor este o dovadă de atenție.

Legea clasifică sistemele în funcție de risc. Unele practici sunt interzise, ​​cum ar fi scorarea socială, extragerea nețintită a imaginilor faciale și recunoașterea emoțiilor la locul de muncă sau în educație. Sistemele cu risc ridicat includ componente de siguranță ale produselor reglementate și utilizări precum recrutarea, scorarea de credit, aplicarea legii, migrația și administrarea justiției. Sistemele care interacționează cu oamenii sau generează conținut sintetic au obligații de transparență.

Furnizor sau implementator: ce rol aveți?

Un furnizor dezvoltă un sistem și îl introduce pe piață sub propriul nume; un implementator utilizează un sistem sub propria autoritate. Furnizorii au obligațiile de proiectare, iar implementatorii au obligațiile de utilizare corectă, supraveghere umană și monitorizare.

Un implementator devine furnizor dacă își pune propriul nume pe un sistem cu risc ridicat, îl modifică substanțial sau îi schimbă scopul astfel încât acesta să devină cu risc ridicat. Ajustarea fină a unui model achiziționat și utilizarea acestuia pentru un scop nou vă poate ajuta să depășiți această linie. Într-o anchetă penală, aceeași întrebare revine ca: cine avea puterea de a dispune? Înregistrați rolurile în scris și în contract.

Ce se aplică deja?

Interdicțiile, obligația de alfabetizare în domeniul inteligenței artificiale, regulile pentru modelele de inteligență artificială cu uz general și obligațiile de transparență prevăzute la articolul 50 se aplică deja. Regulamentul omnibus digital (Regulamentul (UE) 2026/1744) a amânat obligațiile pentru sistemele cu risc ridicat. Propunerea de Directivă privind răspunderea în domeniul inteligenței artificiale a fost retrasă, astfel încât răspunderea civilă pentru prejudiciile aduse inteligenței artificiale rămâne o chestiune de drept olandez privind răspunderea delictuală și răspunderea pentru produse.

Amenzile prevăzute în lege sunt administrative: până la 35 de milioane EUR sau 7% din cifra de afaceri anuală mondială pentru practici interzise, ​​cu plafoane mai mici pentru alte încălcări. În Țările de Jos, Autoritatea olandeză pentru protecția datelor (Autoriteit Persoonsgegevens) și Autoritatea olandeză pentru infrastructură digitală (Rijksinspectie Digitale Infrastructuur) coordonează supravegherea. Consultați articolele noastre despre practicile de IA interzise , ​​sistemele de IA cu risc ridicat și prezentarea generală a Legii UE privind IA.

Un procuror folosește Legea ca pe o listă de verificare. Dacă un implementator a folosit un instrument de screening fără a verifica datele de instruire pentru a depista părtiniri și fără supravegherea umană necesară, încălcarea este documentată, iar acceptarea rezultă din decizia de implementare oricum. În schimb, o companie care își poate produce evaluarea riscurilor, rezultatele validării, protocolul de supraveghere și registrul incidentelor și-a construit apărarea în avans.

Cum este folosit rezultatul algoritmic ca dovadă?

Rezultatele algoritmice, cum ar fi potrivirile de recunoaștere facială, recunoașterea plăcuțelor de înmatriculare sau scorurile de risc de fraudă, nu reprezintă o categorie separată de probe. În temeiul articolului 339 din Codul de procedură penală (Wetboek van Strafvordering, Sv), probele sunt limitate la categorii fixe, astfel încât rezultatele ajung la instanță prin documente scrise, cum ar fi un proces-verbal oficial al poliției sau printr-o declarație de expert.

Apărarea testează trei întrebări. Este metoda validată și de către cine? În ce condiții eșuează și au fost acestea prezente? Și poate apărarea să o verifice, având acces la informații despre datele de antrenament, ratele de eroare și configurație? O potrivire prezentată fără o rată de eroare sau orice posibilitate de verificare este o dovadă slabă, iar contestarea acesteia este o apărare legitimă.

Instanța poate numi un expert din proprie inițiativă sau la cererea apărării. Atunci când o metodă de inteligență artificială nu se încadrează în niciun domeniu de expertiză recunoscut, aceasta în sine constituie un argument privind fiabilitatea. Noul Cod de procedură penală a fost adoptat și se preconizează că va intra în vigoare în 2029; până atunci se aplică actualul Cod Sv.

Ce adaugă legea privind protecția datelor?

Articolul 22 din RGPD conferă unei persoane dreptul de a nu fi supusă unei decizii bazate exclusiv pe prelucrarea automată care o afectează în mod semnificativ. În domeniul aplicării legii penale, Legea privind datele poliției (Wet politiegegevens) implementează normele paralele ale UE pentru poliție. Pentru un suspect, aceasta poate fi o cale de acces la informații despre un sistem; pentru o companie, luarea deciziilor automatizate fără temei legal reprezintă o încălcare separată care va fi interpretată alături de orice acuzație penală.

Cum te aperi într-un caz în care este implicată IA?

Apărarea bazată pe „cutia neagră”, conform căreia nimeni nu ar putea ști ce va face sistemul, este mai slabă decât pare. Dreptul penal olandez întreabă dacă inculpatul a putut decide dacă a avut loc comportamentul și a acceptat riscul, nu dacă a prevăzut rezultatul exact; implementarea unui sistem inexplicabil care poate provoca daune grave poate însemna în sine acceptarea acestui risc.

Trei apărări funcționează mai bine și toate sunt evidente:

• Fără control real: Sistemul a fost cumpărat ca produs finit, configurat și întreținut de către furnizor, iar pârâtul nu avea nici informațiile, nici capacitatea de a interveni. Acest lucru mută atenția către furnizor și depinde de contract și de ceea ce a fost raportat.
• Grija cuvenită: o evaluare documentată a riscurilor, validare înainte de implementare, supraveghere umană de către o persoană cu autoritate de a depăși așteptările, monitorizare și acțiune promptă în caz de incidente.
• Cauza: Într-un lanț de la datele de antrenament la model, la decizia umană și la rezultat, acuzarea trebuie să dovedească faptul că conduita acestui inculpat a cauzat rezultatul.

Păstrați jurnalele, versiunile de model, configurațiile și rapoartele de incidente din timp, deoarece acestea sunt suprascrise în mod curent. Garanțiile obișnuite se aplică integral, inclusiv dreptul de a păstra tăcerea în temeiul articolului 29 Sv; consultați articolul nostru despre dreptul de a păstra tăcerea în materie penală . Pentru frauda cu instrumente automate, consultați ghidul nostru privind frauda și infracțiunile financiare în Țările de Jos.

Ce arată afacerea cu beneficiile pentru îngrijirea copiilor?

Afacerea alocațiilor pentru îngrijirea copiilor (toeslagenaffaire) arată cum selecția automatizată a riscurilor, combinată cu rezultate necontestate, poate dăuna miilor de familii fără ca nimeni să fie tras la răspundere penală. Administrația Fiscală Olandeză (Belastingdienst) a folosit o clasificare a riscurilor în care naționalitatea a jucat un rol; Autoritatea Olandeză pentru Protecția Datelor a constatat că prelucrarea este ilegală și a aplicat o amendă, iar guvernul a demisionat în ianuarie 2021.

Trei eșecuri se traduc prin expunere juridică pentru orice organizație: deciziile nu au putut fi explicate și, prin urmare, nu au putut fi contestate, supravegherea umană exista doar pe hârtie, iar un sistem de semnalizare inversa sarcina probei în practică. Această difuzie a responsabilității este exact ceea ce săvârșirea funcțională și Articolul 51 Sr sunt menite să combată și motivul pentru care Legea privind inteligența artificială impune o supraveghere și o documentație umane identificabile.

Ce ar trebui să verificați ca și companie care implementează inteligența artificială?

Majoritatea activităților de conformitate în temeiul Legii privind inteligența artificială produc și probele de care ați avea nevoie într-o anchetă penală.

• Ați enumerat toate sistemele de inteligență artificială utilizate, inclusiv funcțiile din software-ul achiziționat, și ați clasificat fiecare sistem în conformitate cu Legea privind inteligența artificială?
• Există o persoană numită responsabilă pentru fiecare sistem, cu autoritatea de a aproba implementarea și de a-l opri?
• Este reală supravegherea umană: poate recenzentul să înțeleagă rezultatul și să-l respingă și sunt înregistrate modificările?
• Ați documentat datele de antrenament, testele, ratele de eroare cunoscute și deciziile luate cu privire la acestea?
• A fost efectuată o evaluare a impactului asupra protecției datelor sau a drepturilor fundamentale, acolo unde a fost necesar?
• Contractele dumneavoastră vă oferă documentația tehnică a furnizorului și notificările de incidente?

Ce ar trebui să verificați ca furnizor de sisteme de inteligență artificială?

Ca furnizor, vă asumați obligațiile de proiectare și sunteți primul în rând atunci când dezvoltatorii urmăresc lanțul.

• Este scopul propus definit precis în instrucțiunile de utilizare?
• Aveți documentație tehnică privind sursele de date, testarea erorilor de prejudecată și alegerile de design?
• Ați dezvăluit în scris furnizorilor limitările și condițiile de defecțiune cunoscute?
• Aveți o procedură pentru raportarea incidentelor și pentru informarea distribuitorilor cu privire la modificări substanțiale?
• Contractul dumneavoastră stabilește care parte poate modifica sau recalifica sistemul?

Ce se întâmplă dacă IA este folosită ca instrument pentru a comite o infracțiune?

Atunci infracțiunea este pur și simplu infracțiunea; tehnologia nu schimbă analiza juridică. Frauda cu o voce clonată sau un videoclip sintetic al unui regizor este fraudă (oplichting) în temeiul articolului 326 Sr; un document fals generat este falsificare în temeiul articolului 225 Sr; a se da drept cineva cu datele sale de identificare este fraudă de identitate în temeiul articolului 231b Sr.

De la intrarea în vigoare a Legii privind infracțiunile sexuale (Wet seksuele misdrijven) la 1 iulie 2024, publicarea unei imagini cu caracter sexual a unei persoane, știind că i-ar putea face rău, se pedepsește în temeiul articolului 254ba Sr; o imagine generată nu este exclusă pentru că nu a fost înregistrată. Hărțuirea sistematică prin intermediul conturilor automate poate fi considerată urmărire penală în temeiul articolului 285b Sr, care se urmărește penal doar în baza unei plângeri. IA modifică în principal amploarea și dificultatea dovedirii: autenticitatea audio și video trebuie acum dovedită. Consultați articolul nostru despre dovedirea înșelăciunii digitale în Olanda.

Ce putem face pentru dumneavoastră în ceea ce privește inteligența artificială și răspunderea penală?

Echipele noastre de drept penal și drept IT lucrează împreună la aceste cazuri.

• Evaluăm expunerea dumneavoastră în temeiul articolului 51 din Regulamentul de procedură și săvârșirea infracțiunilor în mod funcțional pentru fiecare sistem de inteligență artificială pe care îl utilizați.
• Revizuim guvernanța, protocolul de supraveghere și documentația privind inteligența artificială, astfel încât acestea să poată servi drept dovadă a îngrijirii.
• Redactăm și negociem alocarea responsabilităților între furnizor și implementator.
• Contestăm dovezile algoritmice și solicităm acces la datele de validare în cadrul procedurilor penale.
• Asistăm companii și directori în timpul investigațiilor efectuate de Parchet și autoritățile de reglementare.

Rezumat

• Un algoritm nu poate fi considerat un contravenient; articolul 51 din Sr. se aplică doar persoanelor fizice și juridice.
• Operatorii sunt răspunzători prin săvârșirea faptei funcționale, companiile prin criteriile Drijfmest, iar directorii prin conducerea de facto.
• Legea privind inteligența artificială stabilește standardul de diligență: o încălcare este o dovadă de neglijență, iar conformitatea este o dovadă de diligență.
• Rezultatul algoritmic intră într-un dosar penal printr-un raport de poliție sau o declarație de expert și poate fi contestat în ceea ce privește validarea și ratele de eroare.

Întrebări frecvente