在荷兰企业中使用人工智能：GDPR 和合规风险

荷兰企业正以惊人的速度采用人工智能工具，但许多企业却忽视了其中涉及的严重法律风险。如果您在业务中使用处理个人数据的人工智能系统，则必须遵守GDPR的要求，否则将面临荷兰数据保护局的巨额罚款和强制执行措施。

相关规定非常严格，最近的指导意见表明，目前大多数人工智能模型都达不到法律标准。

您的企业在实施人工智能技术时会面临诸多合规性挑战。《通用数据保护条例》(GDPR) 对您如何收集和使用个人数据以进行人工智能训练和部署做出了严格的限制。

与此同时，欧盟人工智能法案根据不同人工智能系统的风险等级引入了额外的要求。了解这些法规的重叠之处以及它们对贵组织的要求，对于避免法律纠纷至关重要。

本指南阐述了您需要了解的合规风险，并提供了在荷兰合法使用人工智能的实用步骤。您将了解到哪些人工智能系统需要额外审查、您必须履行哪些义务，以及如何构建完善的治理控制机制。

荷兰企业面临的主要 GDPR 和 AI 合规风险

荷兰企业在使用人工智能系统时，在GDPR法规下面临三大合规挑战：需要了解人工智能工具如何处理个人数据、妥善管理敏感信息以及满足透明度要求。

利用人工智能系统处理个人数据

在业务中使用人工智能系统时，您必须严格遵守 GDPR 关于个人数据收集和处理的规定。通用数据保护条例要求您在处理任何个人信息之前必须拥有有效的法律依据。

数据最小化原则意味着您只能收集实际需要的个人数据。许多人工智能系统都希望处理大量数据，但您必须将其限制在服务于您特定业务目的的范围内。

用途限制可防止您将数据用于与收集目的不同的其他用途。例如，如果您收集客户信息用于聊天机器人，则在没有正当法律依据的情况下，您不能使用相同的数据来训练其他人工智能模型。

您还必须证明您的AI训练数据是合法获取的。荷兰数据保护局指出，目前大多数AI模型都缺乏合法性，因为它们未经适当许可就抓取公开的互联网数据。

主要要求包括：

• 所有数据处理均有合法依据
• 数据来源的清晰记录
• 在需要的地方设立适当的同意机制
• 处理系统 数据主体权利 要求

特殊类别的个人数据和敏感数据管理

根据GDPR，特殊类别的个人数据需要额外保护。这些数据包括种族或民族出身、政治观点、宗教信仰、健康数据和生物识别信息。

如果您的AI系统处理这些敏感数据类型，您将面临严重风险。荷兰当局发现，AI模型通常包含一些特殊类别的个人数据，而这些数据并非由个人公开。

如果您将人工智能用于招聘、客户画像或医疗服务，您很可能需要处理特殊类别的数据。这项工作需要更严格的条件和额外的安全保障措施。

您的企业必须：

• 确定哪些人工智能系统处理敏感数据
• 实施更强有力的安全措施
• 通过适当的数据管理删除不需要的个人信息
• 清晰记录您的合规措施

涉及敏感数据的隐私侵权行为会导致更高的罚款和更严厉的执法行动。您不能指望人工智能提供商替您承担这项责任。

透明度义务和人工智能系统可解释性

当人工智能系统就用户做出决定时，您必须告知用户。GDPR 要求提供关于自动化决策及其运作方式的清晰信息。

人工智能的技术复杂性带来了透明度方面的挑战。人工智能模型模式嵌入在权重和数值中，这使得解释决策过程变得困难。

当您使用聊天机器人或其他与客户互动的AI工具时，您需要：

• 告知用户他们正在与人工智能交互。
• 解释自动化决策背后的逻辑
• 描述人工智能处理的意义和后果
• 提供有关数据主体权利的信息

如果您在工作场所使用人工智能进行决策，那么您的透明度义务也适用于员工。您必须解释人工智能系统如何评估绩效、分配任务或做出招聘选择。

诸如检索增强生成等新技术有助于减少个人数据的错误复制。您应实施既能满足透明度要求又能符合数据保护标准的技术解决方案。

如何理解欧盟人工智能法案及其相关法规

欧盟人工智能法案引入了基于风险的框架，根据人工智能系统的潜在危害对其进行分类。与此同时，荷兰当局与现有的数据保护法律合作，以确保合规性。您的企业必须了解该法规如何与NIS2、数据法案以及其他影响人工智能部署的欧盟框架相交织。

欧盟人工智能法案：范围、基于风险的方法和主要禁令

《人工智能法案》采用基于风险的方法，将人工智能系统分为四个级别：不可接受的风险、高风险、有限风险和极低风险。无论公司总部位于何处，该框架均适用于在欧盟市场运营的供应商、部署商、进口商和分销商。

被禁止的人工智能应用包括操纵用户行为、剥削弱势群体或在公共场所进行实时生物识别的系统。这些应用与基本权利和欧盟价值观相冲突。

高风险人工智能系统面临最严格的要求。这些系统包括用于雇佣决策、信用评分、执法和关键基础设施管理的人工智能。您必须进行符合性评估、维护技术文档并实施人工监督措施。

该法案的地域适用范围很广。如果您向荷兰客户提供人工智能系统或服务，或者您的人工智能系统的输出结果在荷兰境内使用，那么您很可能受其管辖。

不遵守规定将面临巨额罚款，最严重的违规行为可处以相当于全球年收入 7% 的罚款。

荷兰监管格局：主要监管机构和地方实施情况

荷兰数据保护局（Autoriteit Persoonsgegevens，简称荷兰DPA）是荷兰人工智能系统数据保护方面的主要执法机构。在《人工智能法》正式实施之前，该机构已对违反GDPR的人工智能相关行为采取了执法行动。

经济事务部和内政及王国关系部都在国家层面参与人工智能法的实施。这两个部门共同合作，设立国家主管机构，并协调各领域的执法活动。

荷兰当局的主要职责：

• 监控人工智能系统是否符合欧盟法规
• 调查有关人工智能实践的投诉
• 对违反数据保护法和人工智能法的行为处以罚款
• 提供监管解释方面的指导
• 与欧洲数据保护委员会协调

荷兰政府已表示将把《人工智能法案》的执行纳入现有的监管框架。您的企业应预料到荷兰数据保护局将对其进行更严格的审查，特别是如果您通过人工智能系统处理个人数据。

与NIS2和欧盟数据法案的整合

《人工智能法》并非孤立存在，它与多项欧盟法规协同运作，这些法规共同影响您在荷兰企业中使用人工智能系统的方式。

NIS2 指令加强了对关键实体和重要实体的网络安全要求。如果您的 AI 系统处理关键基础设施或重要服务的数据，则您必须同时满足《人工智能法》和 NIS2 指令的要求。

《数据法》规范了对互联产品和服务所生成数据的访问和使用。当您的人工智能系统依赖物联网数据或工业数据时，您必须遵守数据共享要求和合同公平条款。

《数据治理法》建立了数据共享和重用的框架。如果您使用公共部门数据或个人数据公益组织的数据来训练人工智能模型，则必须遵循特定的治理结构和透明度要求。

当您的人工智能系统构成在线平台或服务的一部分时，《数字服务法案》适用。您必须评估系统性风险，提高推荐系统的透明度，并允许用户选择退出基于用户画像的推荐。

您的合规策略必须同时应对这些重叠的法规。欧洲数据保护委员会负责协调各成员国的指导意见，以确保解释的一致性。

人工智能系统风险类别和高风险用例

欧盟《人工智能法案》将人工智能划分为四个风险等级，每个等级都有不同的合规要求。被禁止的系统将面临彻底的禁令，高风险应用需要严格的监管，而风险有限或极低的系统则承担较轻的义务。

被禁止的人工智能实践和不可接受的风险

欧盟《人工智能法》完全禁止某些人工智能用途，因为它们对基本权利构成不可接受的风险。您不能部署通过潜意识技术操纵人们行为或基于年龄或残疾等原因剥削弱势群体的系统。

政府禁止进行社会评分。这意味着公共机构不能根据公民的社会行为或个人特征对其进行排名。

在公共场所进行实时生物识别，执法部门基本上是被禁止的。只有恐怖主义或绑架等严重犯罪案件才有例外，而且这些情况都需要事先获得司法批准。

你也不能仅仅根据侧写或人格特征就利用人工智能来预测犯罪行为。从互联网或闭路电视监控录像中抓取面部图像来构建识别数据库的系统也面临同样的限制。

高风险人工智能系统的定义和管理

高风险人工智能系统是指在八个特定领域中使用的系统，这些领域的错误可能会严重损害人们的安全或基本权利。这些系统并未被禁止，但必须满足严格的要求才能部署。

八大高风险类别包括：

• 生物特征识别和情绪识别
• 关键基础设施（能源、交通、水）
• 教育和职业培训
• 就业和人力资源管理
• 基本公共和私人服务
• 法律 强制
• 移民和边境管制
• 司法和民主进程

在招聘、信用评分或福利分配等领域采用自动化决策属于高风险范畴。如果您使用算法筛选求职者或确定贷款资格，则必须记录决策过程并允许人工审核。

用于评估信用度或保险风险的金融行业应用需要定期进行偏差测试。您的训练数据必须代表不同人群，以避免出现歧视性结果。

对于高风险系统，您需要技术文档、风险管理流程和数据治理程序。系统必须维护审计跟踪，记录所有决策，以便进行监督。

您还必须在部署前进行基本权利影响评估。像ChatGPT、Gemini或LLaMA这样的通用人工智能，在集成到特定应用程序时可能会带来高风险。

即使底层基础模型本身并非高风险，用于人力资源筛选的大型语言模型也属于高风险范畴。网络安全义务要求您保护高风险系统免受篡改和未经授权的访问。

定期测试和上市后监测有助于发现产品上市后出现的问题。

有限且风险极低的AI应用

大多数人工智能系统属于风险有限或风险极低的类别，合规负担也较轻。风险有限适用于需要履行透明度义务的情况，而风险极低的系统几乎无需任何合规要求。

聊天机器人和生成式人工智能工具会触发透明度规则。您必须告知用户，他们是在与人工智能而非真人互动。

这包括您网站上的客服机器人和人工智能助手。由于担心虚假信息传播，人工智能生成的内容需要进行标注。

如果您制作合成图像、音频或视频，则必须明确披露其合成性质。深度伪造视频尤其需要醒目地标示出其合成本质。

向客户提供信息的RAG（检索增强生成）系统通常属于有限风险系统。即使不完全符合高风险合规要求，也应记录数据来源和准确率。

用于撰写电子邮件或摘要文档等基本任务的基础模型和LLM通常风险极低。您可以采用基本的透明措施来部署这些模型，而无需编写大量的文档。

垃圾邮件过滤器、人工智能视频游戏和库存管理算法通常风险极低。这些应用无需进行合规性评估或注册。

但是，您仍然应该保留系统运行方式的基本记录，以备日后出现疑问。

实施负责任的人工智能治理和内部控制

您的组织需要清晰的治理结构和系统化的控制措施来有效管理人工智能风险。明确责任归属、维持人工监督以及建立健全的审计流程，是您在荷兰企业负责任地部署人工智能的基础。

人工智能治理结构和问责制

您需要在组织内部指定专门人员或团队负责人工智能监管。由于人工智能系统涉及多个学科领域，因此应由一人或一个专门团队负责所有人工智能应用的开发、实施和监控。

您的治理架构应清晰阐明人工智能系统的使用方式以及必须遵循的审批流程。明确各部门的职责划分，包括法务、IT、运营和合规团队的角色。

关键问责措施包括：

• 记录人工智能采购和部署的决策权限
• 为新的人工智能应用程序建立审批工作流程
• 当人工智能系统产生意外结果时，应制定升级处理程序。
• 明确由谁负责监督 GDPR 及其他法规的遵守情况

营造一种员工对人工智能治理拥有主人翁意识的企业文化。鼓励员工报告对人工智能系统的担忧，并积极参与改进流程。

这种共同责任制有助于及早发现风险，并增强整个组织对人工智能的信任。

人为监督和符合伦理的人工智能部署

您必须在人工智能的整个生命周期中保持人工监督，以确保其符合伦理规范地部署。您的员工应了解人工智能系统如何做出决策，并拥有在必要时进行干预的权限。

制定明确的标准，界定人工智能决策何时需要人工审核。涉及个人权利的高风险决策，例如雇佣决定或信用评估，通常需要人工验证。

记录这些标准，并对相关工作人员进行干预程序方面的培训。通过使用反映荷兰社会多样性的多样化且具有代表性的数据集，解决人工智能系统中的公平性和偏见问题。

定期监控人工智能输出，以检测是否存在基于GDPR和荷兰法律保护的特征的潜在歧视行为。提供培训项目，帮助员工了解人工智能的功能、局限性和伦理考量。

您的员工应该知道何时质疑人工智能的建议，以及如何上报有关系统行为的担忧。

数据治理和审计流程

您需要健全的数据治理机制，以确保人工智能系统符合 GDPR 的要求。定期进行风险分析，以识别人工智能处理如何影响个人数据和个人隐私权。

您的数据治理框架应最大限度地减少个人信息的收集。仅收集人工智能系统运行所必需的数据。

记录您处理个人数据的法律依据，并保持个人数据使用方式的透明度。

必要的审计控制措施包括：

• 对人工智能系统架构进行定期安全评估
• 访问限制了谁可以修改人工智能系统。
• AI模型的版本控制和变更日志
• 定期评估人工智能决策准确性

对人工智能控制措施进行独立审计。您的内部审计团队可以评估治理有效性、审查控制设计，并评估是否符合 GDPR 和其他法规。

维护相关文档，以证明您的人工智能系统决策过程可解释且可验证。这种透明度符合 GDPR 的问责原则，并有助于您回应数据主体关于自动化决策的请求。

数据保护影响评估和法律义务

荷兰企业在使用人工智能系统处理个人数据之前，必须完成特定的评估。这些评估有助于识别隐私风险，确保符合GDPR的要求，同时在整个人工智能实施过程中保护个人权利。

开展数据保护影响评估（DPIA）

当您的人工智能系统以可能造成高隐私风险的方式处理个人数据时，您必须进行数据保护影响评估 (DPIA)。荷兰数据保护局要求您在开始通过人工智能工具收集、使用或共享个人信息之前进行此项评估。

当您的人工智能系统符合两项或两项以上特定标准时，数据保护影响评估 (DPIA) 即成为强制性要求。这些标准包括：具有重大影响的自动化决策、对公共区域的大规模监控、处理医疗或财务记录等敏感数据，以及使用可能产生未知社会后果的新技术。

能够对个人进行画像或整合多个数据集的人工智能系统通常会触发数据保护影响评估 (DPIA) 的要求。您的 DPIA 必须描述您将处理哪些个人数据、为何需要这些数据以及如何使用这些数据。

识别所有隐私风险，并说明您将采取哪些措施来预防或降低这些风险。如果您的评估发现存在无法缓解的高风险，则必须在继续操作前咨询荷兰数据保护局。

每当您改变人工智能处理数据的方式或实施新技术时，都需要进行新的数据保护影响评估 (DPIA)。

基本权利影响评估

基本权利影响评估旨在审查您的人工智能系统如何影响除隐私之外的更广泛的人权。《人工智能法案》要求对可能影响就业、教育、服务获取或执法的高风险人工智能应用进行此类评估。

您的评估应考察您的人工智能系统是否可能导致歧视、不公平待遇或限制人们的基本自由。请审查该系统如何做出决策，以及是否存在某些群体处于不利地位的情况。

记录对平等、人的尊严和不歧视权利的潜在影响。这些评估与数据保护影响评估 (DPIA) 并行开展，但侧重于更广泛的社会影响，而不仅仅是数据保护问题。

处理个人数据主体权利问题

您的AI系统必须尊重GDPR赋予您所处理数据的个人的权利。人们有权访问自己的个人信息、更正不准确的数据，并在特定情况下要求删除数据。

当这些请求涉及人工智能处理的数据时，应制定清晰的处理流程。这包括解释您的人工智能系统如何使用他人的信息，并提供有关自动化决策的实质性细节。

个人可以对对其产生重大影响的自动化决策提出异议，并要求人工审核。您的企业必须在一个月内回复数据主体提出的请求。

除非请求过多或无理，否则不得收取费用。请保留所有请求及回复记录，以证明您遵守荷兰数据保护局的规定。

提升人工智能素养并增强组织应对能力

人工智能素养能够让您的员工掌握安全有效地使用人工智能工具的技能，同时确保符合相关法规。这需要结构化的培训计划、跨部门的人工智能法规教育以及持续学习，以保持组织的应对能力。

开发结构化的AI素养课程

您的AI素养培训计划应该从所有员工都能理解的基本概念入手。向您的团队讲解什么是AI、它的工作原理以及它的局限性。

注重实用技能而非技术术语。围绕岗位特定的学习路径来构建你的课程体系。

您的市场营销团队和财务部门需要不同的AI知识。每天使用AI驱动工具的员工需要接受关于撰写提示、输出验证和风险识别方面的培训。

管理层需要了解人工智能的功能、商业应用和伦理考量。

创建一个涵盖三个核心领域的框架：

• 警觉了解人工智能在您特定业务环境中的潜力和局限性
• 应用领域学习使用经批准的人工智能驱动工具完成日常任务
• 问责：认识到GDPR下的隐私风险、偏见和合规要求

安排实践环节，让员工参与实际工作任务的练习。设立“人工智能办公时间”，让员工可以提出实际工作难题，并在合规准则范围内学习如何正确使用人工智能。

针对各业务职能的人工智能合规性培训

您的合规培训必须涵盖 GDPR 中针对荷兰商业运营中人工智能应用的具体要求。每个处理个人数据的部门都需要了解人工智能创新与数据保护法之间的交集。

培训员工识别人工智能处理何时涉及个人数据。这包括了解数据最小化原则、处理的合法依据以及何时进行数据保护影响评估。

您的团队应该知道，人工智能开发商和供应商在向您的组织提供服务时也必须遵守 GDPR。

不同职能需要针对性培训：

制定清晰的使用政策，明确规定哪些人工智能驱动的工具可以获准使用，以及在何种条件下可以使用。您的员工需要书面指南，了解哪些数据可以输入人工智能系统，以及哪些输出结果在实施前需要人工审核。

持续教育和最佳实践的采纳

人工智能法规瞬息万变，培训绝不能是一次性的。要创造持续学习机会，让员工及时了解新的合规要求和新兴的最佳实践。

定期开展时长 15-20 分钟的微学习课程，重点讲解特定主题。这些课程可以涵盖人工智能法规的最新变化、行业内的新案例研究，或者从其他组织发生的事件中吸取的教训。

短期、频繁的培训课程比冗长的年度课程更能保持员工的积极性。建立一个共享知识库，供员工记录他们成功应用人工智能以及遇到的合规性挑战。

提供优秀提示、输出验证方法和风险缓解策略的实用示例。在每个部门指定人工智能负责人。

这些人接受过高级培训，是解答有关人工智能驱动工具和合规性问题的第一联系人。他们搭建了合规团队与日常运营之间的桥梁。

通过实践评估而非理论测试来监控整个组织的 AI 素养。评估员工是否能够在真实场景中识别合规风险、正确验证 AI 输出，以及运用人类判断来评估自动化建议。

常见问题

使用人工智能的荷兰企业必须了解GDPR关于个人数据处理、透明度义务以及荷兰个人数据保护局（Autoriteit Persoonsgegevens）监管的要求。欧盟人工智能法案在现有数据保护规则的基础上，增加了一层合规要求。