Legea UE privind inteligența artificială: ce se aplică acum și ce este amânat

Regulamentul (UE) 2024/1689 privind inteligența artificială (IA), regulamentul UE privind inteligența artificială (IA), s-a aplicat în etape de la intrarea sa în vigoare la 1 august 2024: interdicțiile, regulile pentru modelele de IA cu uz general și obligațiile de transparență pentru chatboții și conținutul generat de IA se aplică deja. Cel mai strict regim, pentru IA cu risc ridicat, a fost amânat de IA Omnibus până la 2 decembrie 2027 pentru sistemele enumerate în anexa III și până la 2 august 2028 pentru IA din produsele reglementate.

Regulamentul (UE) 2026/1744, Omnibusul privind inteligența artificială, a fost publicat în Jurnalul Oficial în iulie 2026 și este acum în vigoare. Prin urmare, datele amânate reprezintă legislație constantă, nu o presupunere de planificare.

Ce este EU AI Act?

Legea privind IA este un regulament UE bazat pe risc: cu cât riscul prezentat de un sistem de IA este mai mare, cu atât obligațiile sunt mai grele. Se aplică direct în Țările de Jos, fără a fi nevoie de o legislație olandeză de implementare a normelor de bază.

Legea definește un sistem de IA în sens larg, în conformitate cu abordarea OCDE. Este un sistem bazat pe mașini care funcționează cu un anumit grad de autonomie, se poate adapta după implementare și, pe baza informațiilor primite, deduce cum să genereze rezultate, cum ar fi predicții, conținut, recomandări sau decizii care pot influența mediile fizice sau virtuale. Software-ul simplu bazat pe reguli care urmează doar instrucțiuni scrise de oameni nu se încadrează, în general, în această categorie.

Se aplică Legea privind inteligența artificială organizației dumneavoastră?

Probabil, dacă dezvoltați, vindeți sau utilizați sisteme de inteligență artificială într-un context profesional în UE. Legea se aplică și companiilor din afara UE atunci când sistemul lor este introdus pe piața UE sau rezultatele sale sunt utilizate în UE.

Prin urmare, o companie din SUA sau din Regatul Unit care deservește clienți europeni poate intra sub incidența legii. Legea distinge mai multe roluri, fiecare cu propriile atribuții:

• Furnizorii dezvoltă un sistem de inteligență artificială sau un model de inteligență artificială de uz general și îl introduc pe piață sau îl pun în funcțiune sub propriul nume sau marcă comercială. Aceștia au cele mai mari obligații.
• Implementatorii folosesc un sistem de inteligență artificială aflat sub autoritatea lor într-un context profesional, de exemplu, un angajator care folosește un instrument de inteligență artificială pentru a selecta candidații la un loc de muncă. Utilizarea pur personală, neprofesională, nu se încadrează în aceste atribuții.
• Importatorii și distribuitorii introduc pe piața UE un sistem de la o terță parte sau îl pun la dispoziție mai jos în lanțul de aprovizionare și trebuie să verifice dacă furnizorul și-a îndeplinit obligațiile.
• Producătorii de produse și, în unele cazuri, reprezentanții autorizați ai furnizorilor din afara UE își pot asuma obligații față de furnizori.

Rolul tău se poate schimba. Un implementator care modifică substanțial un sistem cu risc ridicat sau îl comercializează sub propriul nume devine furnizor și își asumă atribuții mai stricte. Verifică acest aspect înainte de a personaliza un sistem cumpărat de la un vânzător.

Cum clasifică Legea IA riscul?

Legea funcționează cu patru niveluri de risc: practici interzise, ​​risc ridicat, risc limitat cu obligații de transparență și risc minim. Nivelul depinde de scopul pentru care utilizați sistemul, nu de tehnologia din spatele acestuia.

Practici interzise

Unele utilizări sunt interzise complet în temeiul Articolului 5, iar aceste interdicții se aplică din 2 februarie 2025. Acestea includ tehnici manipulative sau înșelătoare care distorsionează semnificativ comportamentul și provoacă daune semnificative, precum și exploatarea vulnerabilităților legate de vârstă, dizabilitate sau situație socio-economică. De asemenea, sunt interzise scorarea socială, extragerea nețintită a imaginilor faciale pentru a construi baze de date de recunoaștere, recunoașterea emoțiilor la locul de muncă și în educație (cu excepția motivelor medicale sau de siguranță) și categorizarea biometrică care deduce caracteristici sensibile, cum ar fi religia sau orientarea sexuală.

Identificarea biometrică de la distanță în timp real în spațiile publice pentru forțele de ordine este interzisă, sub rezerva unor excepții restrânse, prevăzute de garanții. Legea Omnibus privind inteligența artificială adaugă o nouă interdicție privind sistemele de inteligență artificială care generează materiale cu abuzuri sexuale asupra copiilor sau imagini intime fără consimțământ ale unor persoane identificabile.

Risc ridicat

Sistemele cu risc ridicat sunt permise, dar strict reglementate. Există două grupuri. Anexa I acoperă IA care este o componentă de siguranță a unui produs sau este ea însăși un produs deja reglementat de legislația UE privind produsele, cum ar fi dispozitivele medicale, utilajele, ascensoarele și jucăriile. Anexa III enumeră utilizările independente în domenii sensibile: biometrie, infrastructură critică, educație, ocuparea forței de muncă și gestionarea lucrătorilor, accesul la servicii publice și private esențiale, cum ar fi creditul și asigurările, aplicarea legii, migrația și controlul la frontiere, precum și administrarea justiției și a proceselor democratice.

Un sistem enumerat în anexa III nu prezintă un risc ridicat dacă îndeplinește doar o sarcină procedurală sau pregătitoare limitată și nu influențează în mod semnificativ rezultatul unei decizii. Această excepție este formulată strict, iar un furnizor care se bazează pe ea trebuie să își documenteze evaluarea.

Risc limitat: transparență

Unele sisteme nu prezintă un risc ridicat, dar pot induce în eroare oamenii. Acestea au obligații de transparență în temeiul articolului 50. Oamenii trebuie să fie informați atunci când interacționează cu un chatbot, conținutul generat sau manipulat de inteligența artificială trebuie dezvăluit și marcat, iar oamenii trebuie informați atunci când sunt expuși la recunoașterea emoțiilor sau la clasificarea biometrică permisă.

Risc minim

Majoritatea inteligenței artificiale, cum ar fi filtrele de spam, motoarele de recomandări și inteligența artificială din jocurile video, se încadrează în această categorie. Legea nu impune obligații specifice aici, deși sunt încurajate codurile de conduită voluntare, iar obligația generală de alfabetizare în domeniul inteligenței artificiale din articolul 4 se aplică în continuare.

Când se aplică obligațiile?

Legea se aplică în etape. Interdicțiile, obligația de alfabetizare în domeniul inteligenței artificiale, regulile pentru inteligența artificială de uz general și obligațiile de transparență se aplică deja; regulile privind riscul ridicat urmează în decembrie 2027 și august 2028.

Începând cu 2 august 2026, obligațiile de transparență se aplică integral; doar sistemele de IA generativă deja existente pe piață înainte de această dată au termen până la 2 decembrie 2026 pentru marcarea lizibilă automată. Timpul suplimentar pentru IA cu risc ridicat este o amânare, nu o excepție: întocmirea unui dosar tehnic, gestionarea riscurilor și supravegherea umană durează luni de zile.

Ce trebuie să facă furnizorii, implementatorii și importatorii?

Furnizorii de sisteme cu risc ridicat poartă principala sarcină și trebuie să dovedească conformitatea înainte ca sistemul să ajungă pe piață. Furnizorii trebuie să utilizeze sistemul în mod corespunzător, să îl supravegheze și să informeze persoanele afectate.

Furnizorii de sisteme cu risc ridicat trebuie să instituie un sistem de gestionare a riscurilor care să acopere întregul ciclu de viață, să aplice guvernanța datelor, să păstreze documentația tehnică, să integreze înregistrarea automată și supravegherea umană și să atingă un nivel adecvat de acuratețe, robustețe și securitate cibernetică. Înainte de lansarea pe piață, aceștia finalizează evaluarea conformității, declarația UE de conformitate, marcajul CE și înregistrarea în baza de date a UE, iar ulterior monitorizează sistemul și raportează incidentele grave.

Implementatorii de sisteme cu risc ridicat trebuie să utilizeze sistemul în conformitate cu instrucțiunile furnizorului, să delege supraveghere umană personalului competent, să se asigure că datele de intrare sunt relevante, să monitorizeze funcționarea și să păstreze jurnalele. Acolo unde este necesar, aceștia trebuie să informeze persoanele afectate. Organismele publice și anumiți implementatori privați, de exemplu în domeniul scorurilor de credit și al prețurilor asigurărilor, trebuie să efectueze o evaluare a impactului asupra drepturilor fundamentale. Angajatorii trebuie să informeze lucrătorii și reprezentanții acestora înainte de a pune în funcțiune un sistem cu risc ridicat la locul de muncă.

Obligația privind alfabetizarea în domeniul inteligenței artificiale (IA) din Articolul 4 se aplică tuturor furnizorilor și implementatorilor. IA Omnibus a simplificat formularea: organizațiile trebuie acum să ia măsuri pentru a sprijini un nivel suficient de alfabetizare în domeniul inteligenței artificiale în rândul personalului lor. Se menține așteptarea ca persoanele care lucrează cu IA să înțeleagă ce face aceasta și unde poate greși.

Ce se aplică modelelor de IA de uz general?

Furnizorii de modele de inteligență artificială de uz general (GPAI) au propriile obligații începând cu 2 august 2025. Modelele cu risc sistemic se confruntă cu sarcini suplimentare.

În conformitate cu articolele 53-55, toți furnizorii de GPAI trebuie să mențină documentația tehnică, să publice un rezumat suficient de detaliat al conținutului utilizat pentru instruire, să aibă o politică de conformitate cu legislația UE privind drepturile de autor și să ofere informații companiilor care se bazează pe model. Furnizorii de modele cu risc sistemic trebuie, de asemenea, să își evalueze modelele, inclusiv testele contradictorii, să evalueze și să atenueze riscurile sistemice, să urmărească și să raporteze incidentele grave și să asigure o securitate cibernetică solidă. Respectarea Codului de bune practici oficial pentru inteligența artificială cu scop general este o modalitate recunoscută de a demonstra conformitatea. Oficiul pentru IA al Comisiei Europene supraveghează direct acești furnizori.

Ce obligații de transparență se aplică acum?

Începând cu 2 august 2026, Articolul 50 impune ca oamenii să știe când au de-a face cu inteligența artificială. Acest lucru se aplică chatboților, conținutului generat de inteligența artificială și deepfake-urilor, precum și recunoașterii emoțiilor și categorizării biometrice.

Furnizorii de chatboți și agenți conversaționali trebuie să clarifice faptul că utilizatorul interacționează cu o mașină, cu excepția cazului în care acest lucru este evident. Furnizorii de sisteme care generează audio, imagini, videoclipuri sau text sintetic trebuie să marcheze rezultatul într-un format lizibil de mașină, astfel încât acesta să poată fi detectat ca fiind artificial. Implementatorii care publică deepfake-uri trebuie să dezvăluie faptul că respectivul conținut a fost generat sau manipulat artificial, iar implementatorii care publică text generat de inteligență artificială pe teme de interes public trebuie să dezvăluie acest lucru, cu excepția cazului în care o persoană l-a revizuit și își asumă responsabilitatea editorială. Implementatorii de sisteme de recunoaștere a emoțiilor sau de clasificare biometrică permise trebuie să informeze persoanele expuse la acesta.

Care sunt amenzile prevăzute de Legea IA?

Amenzile depind de tipul de încălcare și sunt prevăzute la articolul 99. Pentru fiecare categorie se aplică cea mai mare dintre suma fixă ​​și procentul cifrei de afaceri.

• Practici interzise (articolul 5): până la 35 de milioane EUR sau 7% din cifra de afaceri anuală mondială, oricare dintre acestea este mai mare.
• Încălcări ale majorității celorlalte obligații, inclusiv ale cerințelor privind riscul ridicat și ale obligațiilor de transparență: până la 15 milioane EUR sau 3% din cifra de afaceri anuală la nivel mondial.
• Furnizarea de informații incorecte, incomplete sau înșelătoare către organismele sau autoritățile notificate: până la 7.5 milioane EUR sau 1% din cifra de afaceri anuală mondială.

Pentru IMM-uri și startup-uri, amenda este plafonată la cea mai mică dintre suma fixă ​​și procent. AI Omnibus extinde o serie de astfel de scutiri la întreprinderile mici cu capitalizare medie. Amenzile nu sunt singurul instrument: autoritățile de supraveghere a pieței pot solicita măsuri corective, pot restricționa sau interzice punerea la dispoziție a unui sistem și pot dispune retragerea sau rechemarea acestuia.

Cum se leagă Legea privind inteligența artificială de GDPR și de Cyberbevilingswet?

Legea privind inteligența artificială se adaugă legislației existente. Dacă sistemul dumneavoastră de inteligență artificială prelucrează date cu caracter personal, GDPR se aplică în întregime, iar dacă furnizați servicii esențiale sau importante, se aplică și legislația olandeză privind securitatea cibernetică.

Conform RGPD, aveți nevoie de un temei legal, trebuie să respectați limitarea scopului și drepturile persoanelor vizate și, adesea, trebuie să efectuați o evaluare a impactului asupra protecției datelor (DPIA). Evaluarea impactului asupra drepturilor fundamentale în temeiul Legii privind inteligența artificială și DPIA se suprapun, așadar este eficient să fie efectuate împreună.

Legea privind securitatea cibernetică (Cyberbeveiligingswet), care implementează Directiva NIS2 a UE, se aplică în Olanda începând cu 15 august 2026. Aceasta adaugă obligații privind gestionarea riscurilor și raportarea incidentelor pentru entitățile esențiale și importante, ceea ce consolidează cerințele Legii privind inteligența artificială privind robustețea și securitatea.

Cine aplică Legea IA în Olanda?

Modelele de inteligență artificială cu scop general sunt supravegheate de Oficiul pentru Inteligență Artificială din Bruxelles; toate celelalte aspecte sunt aplicate de autoritățile naționale de supraveghere a pieței. În Țările de Jos, legea care desemnează aceste autorități este încă în curs de desfășurare a procesului legislativ.

La nivelul UE, Oficiul pentru Inteligență Artificială al Comisiei Europene supraveghează direct modelele de IA cu scop general și colaborează cu Consiliul European pentru Inteligență Artificială. Inițiativa Omnibus pentru Inteligență Artificială (IA Omnibus) și-a extins competențele la sistemele de IA construite pe propriul model GPAI al unui furnizor și la IA din platformele online și motoarele de căutare de foarte mare amploare.

Legea privind IA se aplică direct, astfel încât întreprinderile sunt deja obligate să respecte părțile aplicabile. Cu toate acestea, legea olandeză care desemnează autoritățile de supraveghere și competențele acestora nu a intrat încă în vigoare, iar alocarea finală se poate încă schimba. Modelul propus până în prezent este unul hibrid. Autoritățile de reglementare sectoriale existente devin autorități de supraveghere a pieței în propriile domenii, astfel încât IA în domeniul sănătății revine inspectoratului de sănătate, iar IA la locul de muncă revine inspectoratului muncii. Autoritatea olandeză pentru protecția datelor (Autoriteit Persoonsgegevens, AP) și Autoritatea olandeză pentru infrastructură digitală (Rijksinspectie Digitale Infrastructuur, RDI) au roluri de coordonare, AP acționând ca supraveghetor rezidual pentru sistemele cu risc ridicat care nu au un autor de reglementare sectorial evident.

Ce concepții greșite ar trebui să eviți?

Patru neînțelegeri duc în mod regulat organizațiile să depună eforturi în locul nepotrivit.

Prima este că o semnătură umană elimină eticheta de risc ridicat. Nu o face. Excepția pentru sarcinile procedurale sau pregătitoare restrânse este formulată strict. Un instrument care clasifică candidații la un loc de muncă sau selectează dosarele pentru o analiză mai atentă influențează decizia chiar dacă o persoană semnează. O ștampilă de cauciuc nu reprezintă o supraveghere umană și nu scoate un sistem din anexa III.

Al doilea aspect este că doar dezvoltatorii sunt reglementați. Obligațiile implementatorului sunt reale și executorii față de organizația care utilizează sistemul. Mai multe dintre acestea, cum ar fi informarea lucrătorilor și a reprezentanților acestora, desemnarea unei supravegheri competente și păstrarea jurnalelor, nu pot fi transmise furnizorului.

A treia este că tot ceea ce este deja în uz este exceptat. În temeiul articolului 111, sistemele cu risc ridicat introduse pe piață înainte de aplicarea regulilor privind riscul ridicat sunt, în principiu, incluse în regulament, doar dacă designul lor se modifică semnificativ ulterior. Această excepție este mai restrânsă decât pare: actualizările, recalificarea și noile utilizări sunt exact genul de modificare care readuce un sistem în domeniul de aplicare. Sistemele utilizate de autoritățile publice trebuie să se conformeze până la 2 august 2030, indiferent de situație. Dacă intenționați să vă bazați pe regula tranzitorie, documentați configurația actuală acum.

Al patrulea este că Legea privind inteligența artificială înlocuiește legislația existentă. Se bazează pe aceasta. Protecția datelor, legea egalității de tratament, legislația consumatorilor, reglementarea sectorială, legislația muncii și drepturile consiliului de întreprindere (ondernemingsraad) continuă să se aplice în întregime. În Olanda, de obicei, una dintre acestea, și nu Legea privind inteligența artificială în sine, este cea care produce prima plângere concretă. În temeiul articolului 27 alineatul (1) litera (l) din Legea privind consiliile de întreprindere (Wet op de ondernemingsraden), de exemplu, introducerea unui sistem de monitorizare a personalului necesită acordul consiliului de întreprindere.

Ce ar trebui să verificați ca furnizor?

• Dacă fiecare sistem pe care îl introduceți pe piața UE este interzis, prezintă risc ridicat, face obiectul articolului 50 sau prezintă risc minim.
• Pentru IA generativă de pe piață înainte de 2 august 2026: marcarea lizibilă automată a rezultatului până la 2 decembrie 2026.
• Pentru sistemele cu risc ridicat: gestionarea riscurilor, guvernanța datelor, documentația tehnică, înregistrarea datelor și supravegherea umană înainte de 2 decembrie 2027 (anexa III).
• Evaluarea conformității, declarația UE de conformitate, marcajul CE și înregistrarea în baza de date a UE.
• Dacă dezvoltați modele cu scop general: documentația, rezumatul conținutului instruirii și politica privind drepturile de autor conform articolelor 53-55.

Ce ar trebui să verifici ca implementator?

• Un inventar al fiecărui sistem de inteligență artificială pe care îl utilizați, inclusiv inteligența artificială încorporată în software terț, cu nivelul său de risc.
• Nicio utilizare nu intră sub incidența interdicțiilor prevăzute la articolul 5, cum ar fi recunoașterea emoțiilor la locul de muncă.
• Indiferent dacă ați devenit furnizor prin modificarea substanțială a unui sistem sau prin comercializarea acestuia sub propriul nume.
• Divulgarea chatbot-urilor, a deepfake-urilor și a textelor generate de inteligență artificială în temeiul articolului 50 și măsurile de alfabetizare în domeniul inteligenței artificiale în temeiul articolului 4.
• Acordul consiliului de întreprindere în temeiul articolului 27 alineatul (1) litera (l) din Regulamentul privind munca (WOR) înainte de introducerea inteligenței artificiale care monitorizează personalul și o DPIA în temeiul GDPR.

Ce putem face pentru dumneavoastră cu Legea privind inteligența artificială?

Consiliem furnizorii și implementatorii cu privire la conformitatea cu Legea privind inteligența artificială, alături de GDPR și legislația muncii. Indexul nostru de ghiduri olandeze privind legislația IT și confidențialitatea listează articole conexe.

• Clasificăm sistemele dumneavoastră de inteligență artificială în funcție de nivelul de risc și determinăm rolul dumneavoastră pentru fiecare dintre ele.
• Examinăm contractele cu furnizorii pentru alocarea obligațiilor și răspunderii prevăzute de Legea privind inteligența artificială.
• Redactăm notificările de transparență prevăzute la articolul 50.
• Combinăm evaluarea impactului asupra drepturilor fundamentale cu DPIA (Evaluarea Impactului asupra Drepturilor Fundamentale) în cadrul GDPR.
• Pregătim cererea de aprobare a comitetului de întreprindere și desfășurăm consultarea.

Rezumat

• Legea UE privind inteligența artificială (Regulamentul (UE) 2024/1689) este în vigoare de la 1 august 2024 și se aplică în etape.
• Interdicțiile, alfabetizarea în domeniul inteligenței artificiale, regulile GPAI și obligațiile de transparență se aplică deja; marcarea rezultatelor sistemelor generative mai vechi trebuie efectuată până la 2 decembrie 2026.
• Regulamentul Omnibus privind inteligența artificială (Regulamentul (UE) 2026/1744) a amânat normele privind riscul ridicat până la 2 decembrie 2027 (anexa III) și 2 august 2028 (anexa I).
• Amenzile ajung până la 35 de milioane de euro sau 7% din cifra de afaceri mondială; pentru IMM-uri, se aplică cuantumul mai mic.
• Legea privind inteligența artificială se adaugă GDPR-ului, legislației privind protecția datelor cu caracter personal și legislației muncii; planificați conformitatea ca un singur program.

Întrebări frecvente