แชทบอท ลิขสิทธิ์ และการปฏิบัติตามกฎหมายของเนเธอร์แลนด์และสหภาพยุโรป

แชทบอทที่ใช้งานในเนเธอร์แลนด์นั้นอยู่ภายใต้กฎหมายสามฉบับ ได้แก่ กฎหมายลิขสิทธิ์ (Auteurswet และคำสั่งลิขสิทธิ์ของสหภาพยุโรป) กฎหมายคุ้มครองข้อมูล (GDPR) และกฎหมายปัญญาประดิษฐ์ของสหภาพยุโรป ระเบียบ (EU) 2024/1689 แต่ละกฎหมายกำหนดหน้าที่ให้กับองค์กรที่นำแชทบอทไปใช้งาน ไม่ใช่เฉพาะผู้พัฒนาเท่านั้น ดังนั้น แชทบอท ลิขสิทธิ์ และการปฏิบัติตามกฎหมายจึงเป็นเรื่องเดียวกัน ไม่ใช่สามเรื่อง และการทำงานเริ่มต้นด้วยการจัดทำเอกสารจำแนกประเภทว่าแชทบอทของคุณทำอะไร ใช้ข้อมูลของใครในการฝึกฝน และมีสิทธิ์ตัดสินใจอะไรได้ด้วยตนเอง

กฎหมายสามฉบับที่ใช้บังคับกับแชทบอททุกตัว

ไม่มีกฎหมาย AI ฉบับเดียวในเนเธอร์แลนด์ แต่มีเพียงกฎระเบียบหลายฉบับที่เขียนขึ้นก่อนที่ AI แบบสร้างสรรค์จะกลายเป็นสินค้าทั่วไป รวมถึงกฎระเบียบอีกหนึ่งฉบับที่เขียนขึ้นเฉพาะสำหรับ AI ประเภทนี้ สำหรับธุรกิจในเนเธอร์แลนด์ ผลที่ตามมาคือ คุณไม่สามารถตอบคำถามได้ว่าแชทบอทของคุณถูกต้องตามกฎหมายหรือไม่โดยดูจากข้อความเพียงข้อความเดียว คุณต้องทดสอบระบบเดียวกันนั้นด้วยการทดสอบสามครั้งแยกกัน และผลการทดสอบครั้งหนึ่งไม่ได้บอกอะไรเกี่ยวกับการทดสอบครั้งอื่นๆ

ลิขสิทธิ์ควบคุมเนื้อหาที่ใช้สร้างแบบจำลองและเนื้อหาที่ได้จากแบบจำลองนั้น กฎหมายลิขสิทธิ์ของเนเธอร์แลนด์ (Auteurswet) ซึ่งได้รับการแก้ไขเพิ่มเติมเพื่อปฏิบัติตามคำสั่ง DSM มีข้อยกเว้นเฉพาะสำหรับการขุดค้นข้อมูลและข้อความ และข้อยกเว้นนั้นเป็นจุดสำคัญที่ทำให้เกิดข้อโต้แย้งเกี่ยวกับข้อมูลฝึกฝนส่วนใหญ่ การคุ้มครองข้อมูลควบคุมทุกสิ่งที่แชทบอทเรียนรู้เกี่ยวกับบุคคลที่พิมพ์ข้อความลงไป และในส่วนนี้ GDPR มีผลบังคับใช้อย่างเต็มที่ทันทีที่สามารถสืบย้อนกลับบทสนทนาไปยังบุคคลใดบุคคลหนึ่งได้ กฎหมาย AI ควบคุมระบบเอง: ว่าสามารถใช้ทำอะไรได้บ้าง ต้องเปิดเผยอะไรบ้าง ต้องมีเอกสารอะไรบ้าง และใครบ้างที่สามารถปิดระบบได้

ระบอบทั้งสามนี้มีผู้กำกับดูแลที่แตกต่างกัน มีบทลงโทษที่แตกต่างกัน และมีกรอบเวลาที่แตกต่างกัน ซึ่งเรื่องนี้สำคัญกว่าที่คิด แชทบอทที่ปฏิบัติตามกฎหมายคุ้มครองความเป็นส่วนตัวอย่างเคร่งครัดก็อาจผิดกฎหมายได้ เพราะมันถูกฝึกฝนด้วยข้อมูลที่ได้มาจากการคัดลอกมาโดยที่ผู้ใช้ต้องยินยอมให้เปิดเผยข้อมูล และแชทบอทที่มีที่มาของข้อมูลที่สะอาดก็อาจละเมิดพระราชบัญญัติปัญญาประดิษฐ์ได้ หากมันไม่เคยบอกผู้ใช้ว่ามันเป็นเครื่องจักร

แต่ละระบอบการปกครองเรียกร้องอะไรจากคุณบ้าง

โดยสรุปแล้ว ทั้งสามข้อนี้ถามคำถามที่แตกต่างกัน กฎหมายลิขสิทธิ์ถามว่าคุณได้รับอนุญาตหรือมีข้อยกเว้นตามกฎหมายสำหรับการทำสำเนาทุกครั้งหรือไม่ กฎหมายคุ้มครองข้อมูลถามว่าคุณมีพื้นฐานทางกฎหมายภายใต้มาตรา 6 ของ GDPR หรือไม่ คุณได้แจ้งให้เจ้าของข้อมูลทราบถึงสิ่งที่คุณกำลังทำอยู่หรือไม่ และคุณเก็บรวบรวมข้อมูลไม่เกินความจำเป็นหรือไม่ ส่วนกฎหมาย AI Act ถามว่าระบบอยู่ในระดับความเสี่ยงใด และได้ปฏิบัติตามและบันทึกข้อผูกพันที่เกี่ยวข้องกับระดับนั้นแล้วหรือไม่

การตอบคำถามทั้งสามข้อนั้นเป็นลายลักษณ์อักษร ก่อนการใช้งานจริง จะทำให้โครงการ AI เปลี่ยนจากความเสี่ยงที่ไม่มีขอบเขต มาเป็นความเสี่ยงที่จัดการได้ และในทางปฏิบัติแล้ว นี่คือเอกสารฉบับแรกที่หน่วยงานกำกับดูแลจะขอตรวจสอบ

ความท้าทายทางกฎหมายที่สำคัญสำหรับแชทบอท AI ในเนเธอร์แลนด์

แถวที่สี่สมควรได้รับการเตือน เพราะเป็นแถวที่มักถูกเข้าใจผิดมากที่สุด คณะกรรมาธิการยุโรปได้ถอนร่างคำสั่งเกี่ยวกับความรับผิดต่อ AI ออกไปแล้ว ดังนั้นจึงไม่มีระบอบความรับผิดที่เป็นเอกภาพในระดับยุโรปสำหรับความเสียหายจาก AI ในอนาคตอันใกล้ การเรียกร้องค่าเสียหายจากคำตอบที่ผิดพลาดของแชทบอทจะถูกตัดสินภายใต้กฎหมายแพ่งของเนเธอร์แลนด์ทั่วไป ได้แก่ สัญญากับลูกค้า หน้าที่ทั่วไปในการดูแลตามมาตรา 6:162 ของกฎหมายแพ่งเนเธอร์แลนด์ และกฎความรับผิดต่อผลิตภัณฑ์ที่แก้ไขแล้ว เราได้อธิบายวิธีการทำงานในทางปฏิบัติไว้ในบทความของเราเกี่ยวกับความรับผิดต่อข้อผิดพลาดในเนื้อหาที่สร้างโดย AIแล้ว

ลิขสิทธิ์และข้อมูลที่ใช้ฝึกโมเดลของคุณ

การฝึกฝนโมเดลภาษาขนาดใหญ่เกี่ยวข้องกับการคัดลอกงานที่ได้รับการคุ้มครองในระดับอุตสาหกรรม ภายใต้กฎหมายของเนเธอร์แลนด์ การคัดลอกนั้นถือเป็นการทำซ้ำตามความหมายของ Auteurswet และเป็นสิ่งผิดกฎหมาย เว้นแต่เจ้าของลิขสิทธิ์จะอนุญาตหรือมีข้อยกเว้นตามกฎหมาย ไม่มีกฎหมายของเนเธอร์แลนด์หรือยุโรปที่เทียบเท่ากับหลักการใช้โดยชอบธรรมของอเมริกา และข้อโต้แย้งที่ยืมมาจากการดำเนินคดีในสหรัฐอเมริกาไม่สามารถนำมาใช้ในศาลของเนเธอร์แลนด์ได้

ข้อยกเว้นที่สำคัญคือการขุดค้นข้อมูลและข้อความ มาตรา 15n ของกฎหมายลิขสิทธิ์อนุญาตให้องค์กรวิจัยและสถาบันมรดกทางวัฒนธรรมขุดค้นข้อมูลจากงานที่พวกเขามีสิทธิ์เข้าถึงอย่างถูกต้องตามกฎหมายเพื่อวัตถุประสงค์ในการวิจัยทางวิทยาศาสตร์ มาตรา 15o มีขอบเขตที่กว้างกว่า โดยอนุญาตให้ทุกคนสามารถขุดค้นข้อมูลและข้อความจากงานที่เข้าถึงได้อย่างถูกต้องตามกฎหมาย แต่เฉพาะในกรณีที่เจ้าของลิขสิทธิ์ไม่ได้สงวนสิทธิ์ในการใช้งานนั้นไว้โดยชัดแจ้ง การสงวนสิทธิ์นั้น ซึ่งโดยทั่วไปเรียกว่าการยกเลิกการอนุญาตให้ขุดค้นข้อมูลและข้อความ (TDM opt-out) ต้องทำในลักษณะที่เหมาะสม และสำหรับเนื้อหาที่เผยแพร่ทางออนไลน์จะต้องสามารถอ่านได้ด้วยเครื่องคอมพิวเตอร์

ผลในทางปฏิบัติคือการทดสอบสองขั้นตอน ผู้ฝึกสอนมีสิทธิ์เข้าถึงเนื้อหาอย่างถูกต้องตามกฎหมายหรือไม่ และเจ้าของลิขสิทธิ์ได้สงวนสิทธิ์ในการใช้งานหรือไม่? หากคำตอบของคำถามที่สองคือใช่ และเนื้อหานั้นถูกนำไปใช้ในทางที่ผิดอยู่แล้ว ข้อยกเว้นก็จะหมดไป และการทำซ้ำนั้นถือเป็นการละเมิดลิขสิทธิ์

ความเสี่ยงอยู่ที่ผู้ติดตั้งระบบ

ธุรกิจต่างๆ มักคิดว่าปัญหาข้อมูลสำหรับการฝึกฝนเป็นปัญหาของนักพัฒนา ซึ่งนั่นถูกต้องเพียงครึ่งเดียว องค์กรที่นำแชทบอทไปใช้งานและเผยแพร่สิ่งที่แชทบอทสร้างขึ้นนั้น เป็นผู้ดำเนินการสร้างข้อมูลและสื่อสารกับสาธารณะด้วยตนเอง และทำเช่นนั้นในนามของตนเอง จุดอ่อนสามประการจึงเกิดขึ้นซ้ำๆ

• การฝึกอบรมที่ไม่มีพื้นฐานที่ถูกต้อง แบบจำลองนี้สร้างขึ้นจากวัสดุที่อยู่ภายใต้การสงวนสิทธิ์ TDM หรือจากวัสดุที่ผู้พัฒนาไม่เคยมีสิทธิ์เข้าถึงอย่างถูกกฎหมายตั้งแต่แรก ความเสี่ยงจึงตกอยู่กับผู้พัฒนา แต่การเรียกร้องค่าเสียหายสามารถเกิดขึ้นได้กับผลลัพธ์ที่ตามมา
• ผลลัพธ์ที่ทำซ้ำงานที่ได้รับการคุ้มครองลิขสิทธิ์ หากแชทบอทส่งข้อความ โค้ด หรือรูปภาพที่เห็นได้ชัดว่าเป็นสำเนาของงานที่ได้รับการคุ้มครอง การเผยแพร่สิ่งนั้นถือเป็นการละเมิดลิขสิทธิ์ครั้งใหม่โดยผู้ที่เผยแพร่ รูปแบบการเขียนไม่ได้รับการคุ้มครอง แต่ส่วนสำคัญของงานนั้นๆ ได้รับการคุ้มครอง
• สัญญาที่ไม่โอนความเสี่ยงกลับมายังบริษัท สัญญาอนุญาตใช้สิทธิ์ AI หลายฉบับจำกัดความรับผิดชอบไว้ที่ค่าธรรมเนียมรายปีและไม่รวมถึงการเรียกร้องสิทธิ์ในทรัพย์สินทางปัญญาของบุคคลที่สามโดยสิ้นเชิง โปรดอ่านข้อกำหนดเกี่ยวกับการชดใช้ค่าเสียหายก่อนที่จะอ่านเอกสารทางการตลาด

การเป็นเจ้าของสิ่งที่แชทบอทสร้างขึ้นเป็นอีกประเด็นหนึ่งต่างหาก กฎหมายลิขสิทธิ์ของเนเธอร์แลนด์คุ้มครองผลงานที่มีลักษณะเฉพาะตัวและเป็นเอกลักษณ์ ซึ่งต้องอาศัยการตัดสินใจเชิงสร้างสรรค์ของมนุษย์ ผลงานที่สร้างขึ้นโดยเครื่องจักรล้วนๆ จากคำสั่งโดยไม่มีการสร้างสรรค์เพิ่มเติมจากมนุษย์นั้น ไม่น่าจะได้รับการคุ้มครองลิขสิทธิ์เลย ซึ่งหมายความว่าทั้งคุณและคนอื่นๆ ไม่สามารถหยุดคู่แข่งจากการนำไปใช้ซ้ำได้ คู่มือของเราเกี่ยวกับกรณีที่เนื้อหาถือว่าเป็นสาธารณะภายใต้กฎหมายลิขสิทธิ์จะอธิบายถึงหลักการพื้นฐานต่างๆ

แนวทางการบรรเทาความเสียหายที่สมจริงนั้นควรเป็นไปตามสัญญาและมีหลักฐาน มากกว่าที่จะใช้แนวทางทางเทคนิค ขอให้ผู้ขายสอบถามเป็นลายลักษณ์อักษรว่าใช้ชุดข้อมูลใดบ้าง มีการปฏิบัติตามข้อตกลงเรื่อง TDM หรือไม่ และมีการชดเชยความเสียหายอย่างไรสำหรับข้อเรียกร้องจากบุคคลที่สาม เก็บคำตอบเหล่านั้นไว้ ผู้ขายที่ไม่ยอมระบุแหล่งที่มาของข้อมูลในสัญญา แสดงให้เห็นถึงความไม่มั่นใจในตนเองของพวกเขา

กฎหมาย AI กำหนดประเภทของแชทบอทอย่างไร

กฎระเบียบนี้แบ่งระบบออกเป็นสี่ระดับ การปฏิบัติในระดับที่ไม่สามารถยอมรับได้นั้นถูกห้ามอย่างเด็ดขาด: มาตรา 5 ห้ามเทคนิคที่บิดเบือนพฤติกรรมและก่อให้เกิดอันตรายอย่างร้ายแรง การแสวงหาประโยชน์จากจุดอ่อนที่เกี่ยวข้องกับอายุหรือความพิการ การให้คะแนนทางสังคม และการจดจำอารมณ์ในที่ทำงานและในสถานศึกษา ข้อห้ามเหล่านี้มีผลบังคับใช้ตั้งแต่วันที่ 2 กุมภาพันธ์ 2025 และเราจะกล่าวถึงรายละเอียดเพิ่มเติมในบทความเกี่ยวกับการปฏิบัติ AI ที่ต้องห้าม

ระดับความเสี่ยงสูงเป็นระดับที่มีการควบคุมอย่างเข้มงวดแต่ยังคงได้รับอนุญาต แชทบอทจะอยู่ในระดับนี้เมื่อถูกนำไปใช้ในด้านใดด้านหนึ่งที่ระบุไว้ในภาคผนวก III ซึ่งรวมถึงการสรรหาและคัดเลือก การตัดสินใจเกี่ยวกับการเข้าถึงบริการสาธารณะและเอกชนที่จำเป็น เช่น สินเชื่อหรือสวัสดิการ การศึกษา และการบังคับใช้กฎหมาย หรือเมื่อทำหน้าที่เป็นส่วนประกอบด้านความปลอดภัยของผลิตภัณฑ์ที่อยู่ภายใต้กฎหมายการประสานงานในภาคผนวก I ข้อผูกพันที่ตามมานั้นระบุไว้ในคู่มือของเราเกี่ยวกับระบบ AI ที่มีความเสี่ยงสูงภายใต้พระราชบัญญัติ AI

แชทบอทที่ใช้งานกับลูกค้าส่วนใหญ่อยู่ในระดับความเสี่ยงจำกัด ไม่มีการประเมินความสอดคล้อง ไม่มีการลงทะเบียน และไม่มีหน่วยงานที่ได้รับแจ้ง แต่มีหน้าที่ต้องแสดงความโปร่งใส ซึ่งเป็นสิ่งที่หลีกเลี่ยงไม่ได้ ส่วนระดับความเสี่ยงต่ำสุดครอบคลุมทุกอย่างที่เหลือ และไม่มีข้อผูกมัดใด ๆ นอกเหนือจากหลักเกณฑ์โดยสมัครใจ

สิ่งที่บังคับใช้แล้ว และสิ่งที่ถูกเลื่อนออกไป

กฎหมาย AI มีผลบังคับใช้เมื่อวันที่ 1 สิงหาคม 2024 และทยอยบังคับใช้ในระยะเวลาหลายปี โดยการเปลี่ยนแปลงระยะเวลาการบังคับใช้ดังกล่าวเกิดขึ้นจากแพ็กเกจกฎหมายดิจิทัลของคณะกรรมาธิการยุโรป มีสามสิ่งที่เป็นความจริงในปัจจุบันและมักถูกรายงานผิดพลาดอยู่บ่อยครั้ง

ประการแรก ข้อห้ามในมาตรา 5 และหน้าที่ด้านความรู้ความเข้าใจเกี่ยวกับ AI ในมาตรา 4 มีผลบังคับใช้ตั้งแต่วันที่ 2 กุมภาพันธ์ 2025 ประการที่สอง ข้อผูกพันสำหรับแบบจำลอง AI อเนกประสงค์ ซึ่งเป็นชั้นที่ใช้สร้างแชทบอทเชิงพาณิชย์ส่วนใหญ่ มีผลบังคับใช้ตั้งแต่วันที่ 2 สิงหาคม 2025 ประการที่สาม ข้อผูกพันด้านความโปร่งใสในมาตรา 50 ก็มีผลบังคับใช้เช่นกัน สิ่งที่กฎหมายฉบับรวมเลื่อนออกไปคือระบอบความเสี่ยงสูงเท่านั้น ไม่มีอะไรอื่น: กฎสำหรับระบบภาคผนวก III จะเริ่มมีผลบังคับใช้ในวันที่ 2 ธันวาคม 2027 และกฎสำหรับระบบภาคผนวก I จะเริ่มมีผลบังคับใช้ในวันที่ 2 สิงหาคม 2028

การเลื่อนกำหนดส่งมีผลเฉพาะกับกลุ่มที่มีความเสี่ยงสูงเท่านั้น หากแชทบอทของคุณถูกห้าม หรือเข้าข่ายกฎเกณฑ์ของแบบจำลองทั่วไป หรือเพียงแค่ต้องเปิดเผยว่าเป็นเครื่องจักร กำหนดส่งได้ผ่านไปแล้ว

การบังคับใช้กฎหมายได้รับการสนับสนุนโดยการกำหนดเพดานค่าปรับเป็นสัดส่วนของรายได้ประจำปีทั่วโลก โดยระดับสูงสุดสงวนไว้สำหรับการฝ่าฝืนข้อห้าม และระดับทั่วไปที่ต่ำกว่าสำหรับความผิดอื่นๆ ส่วนใหญ่ หน่วยงานกำกับดูแลระดับชาติจะเป็นผู้กำหนดจำนวนเงินจริงภายในเพดานเหล่านั้น

ระดับความเสี่ยงของกฎหมาย AI สำหรับแอปพลิเคชันแชทบอท

หน้าที่ด้านความโปร่งใสในมาตรา 50

มาตรา 50 ของพระราชบัญญัติปัญญาประดิษฐ์ กำหนดให้บุคคลที่โต้ตอบกับระบบปัญญาประดิษฐ์ต้องได้รับแจ้งข้อเท็จจริงดังกล่าว เว้นแต่จะเป็นที่ชัดเจนสำหรับผู้ใช้ที่มีความรู้ความเข้าใจในสถานการณ์นั้นๆ การแจ้งข้อมูลต้องกระทำในขณะที่มีการโต้ตอบครั้งแรก ในรูปแบบที่ชัดเจนและแยกแยะได้ การแจ้งเพียงบรรทัดเดียวในนโยบายความเป็นส่วนตัวที่ต้องคลิกหลายครั้งไม่ถือว่าเป็นการกระทำที่เพียงพอ

บทความเดียวกันนี้กำหนดให้ผู้ให้บริการระบบที่สร้างข้อความ เสียง ภาพ หรือวิดีโอสังเคราะห์ ต้องทำเครื่องหมายผลลัพธ์นั้นในรูปแบบที่เครื่องสามารถอ่านได้ และกำหนดให้ผู้ใช้งานที่เผยแพร่ข้อความที่สร้างโดย AI ในเรื่องที่เป็นประโยชน์ต่อสาธารณะ ต้องเปิดเผยว่าข้อความนั้นสร้างขึ้นโดยปัญญาประดิษฐ์ เว้นแต่ข้อความนั้นจะได้รับการตรวจสอบโดยมนุษย์และมีความรับผิดชอบด้านบรรณาธิการ สำหรับธุรกิจที่ใช้งานแชทบอทบนเว็บไซต์ของตนเอง รายการตรวจสอบเชิงปฏิบัติมีสั้นๆ คือ: ข้อความที่มองเห็นได้ชัดเจนในตอนเริ่มต้นการสนทนา เส้นทางที่ชัดเจนไปยังเจ้าหน้าที่ และการออกแบบส่วนติดต่อผู้ใช้ที่ไม่บ่งบอกว่าผู้ใช้กำลังพูดคุยกับพนักงานที่ระบุชื่อ

ความโปร่งใสยังมีมิติทางกฎหมายคุ้มครองผู้บริโภคของเนเธอร์แลนด์ด้วย การนำเสนอเครื่องจักรเสมือนเป็นบุคคล หรือการปล่อยให้แชทบอทกล่าวอ้างในสิ่งที่พนักงานขายไม่สามารถกล่าวอ้างได้อย่างถูกต้องตามกฎหมาย อาจถือเป็นการปฏิบัติทางการค้าที่ทำให้เข้าใจผิดภายใต้กฎในหมวดที่ 6 ของกฎหมายคุ้มครองผู้บริโภคของเนเธอร์แลนด์ (Burgerlijk Wetboek) ซึ่งไม่เกี่ยวข้องกับพระราชบัญญัติปัญญาประดิษฐ์ (AI Act) แต่อย่างใด

ข้อมูลส่วนบุคคลในการสนทนา: ขอบเขตของ GDPR

GDPR มีผลบังคับใช้กับแชทบอททันทีที่ประมวลผลข้อมูลที่เกี่ยวข้องกับบุคคลที่สามารถระบุตัวตนได้ และบันทึกการสนทนามักจะเป็นเช่นนั้นเสมอ พื้นฐานทางกฎหมายเป็นสิ่งแรกที่ต้องแก้ไข: ความยินยอมภายใต้มาตรา 6(1)(a), การปฏิบัติตามสัญญาภายใต้มาตรา 6(1)(b) หรือผลประโยชน์ที่ชอบด้วยกฎหมายภายใต้มาตรา 6(1)(f) ซึ่งแต่ละอย่างมีผลกระทบที่แตกต่างกันต่อสิ่งที่คุณสามารถทำได้กับบันทึกการสนทนา

ในทางปฏิบัติ ปัญหาหลักๆ มาจากสามประเด็น ประเด็นแรกคือการเก็บรักษา: บันทึกการสนทนามักถูกเก็บไว้อย่างไม่มีกำหนด เพราะไม่มีใครกำหนดระยะเวลา ซึ่งเป็นการละเมิดหลักการจำกัดระยะเวลาการเก็บรักษาในมาตรา 5(1)(e) ประเด็นที่สองคือการใช้งานซ้ำ: การใช้การสนทนาสดเพื่อปรับแต่งโมเดลถือเป็นวัตถุประสงค์ใหม่ที่ต้องได้รับการประเมินแยกต่างหาก และโดยปกติแล้วต้องมีการแจ้งข้อมูลแยกต่างหาก ประเด็นที่สามคือข้อมูลประเภทพิเศษ แชทบอทในด้านการดูแลสุขภาพ การประกันภัย หรือทรัพยากรบุคคลจะรวบรวมข้อมูลสุขภาพหรือข้อมูลที่ละเอียดอ่อนอื่นๆ ไม่ว่าคุณจะตั้งใจหรือไม่ก็ตาม และมาตรา 9 ห้ามการประมวลผลดังกล่าว เว้นแต่จะมีข้อยกเว้นเฉพาะ

ในกรณีที่แชทบอททำงานบนแพลตฟอร์มของบุคคลที่สาม แพลตฟอร์มนั้นมักจะเป็นผู้ประมวลผล และข้อตกลงการประมวลผลข้อมูลภายใต้มาตรา 28 เป็นสิ่งจำเป็น การกำหนดบทบาทให้ถูกต้องไม่ใช่เรื่องของพิธีการ แต่เป็นการกำหนดว่าใครต้องตอบคำขอของเจ้าของข้อมูล และใครต้องรับผิดชอบต่อการละเมิด บทความของเราเกี่ยวกับการแยกแยะความแตกต่างระหว่างบทบาทของผู้ควบคุมและผู้ประมวลผลภายใต้ GDPRและเกี่ยวกับการใช้ AI ในธุรกิจของเนเธอร์แลนด์ได้อธิบายการวิเคราะห์นี้ไว้แล้ว

การประเมินผลกระทบด้านการคุ้มครองข้อมูลภายใต้มาตรา 35 เป็นสิ่งจำเป็นในกรณีที่การประมวลผลมีแนวโน้มที่จะก่อให้เกิดความเสี่ยงสูง และรายการที่เผยแพร่โดย Autoriteit Persoonsgegevens แสดงให้เห็นอย่างชัดเจนว่าการประเมินบุคคลโดยอัตโนมัติในวงกว้างจัดอยู่ในประเภทนั้น หากแชทบอทของคุณสร้างโปรไฟล์ผู้ใช้ ให้สันนิษฐานว่าคุณจำเป็นต้องมีการประเมินผลกระทบดังกล่าว การไม่ปฏิบัติตาม GDPR จะถูกลงโทษด้วยค่าปรับสูงสุดถึงร้อยละ 4 ของรายได้ประจำปีทั่วโลกภายใต้มาตรา 83(5) และเพดานดังกล่าวยังคงไม่เปลี่ยนแปลง

การกำกับดูแลโดยมนุษย์และปัญหาของแบบจำลองที่ไม่โปร่งใส

การที่มนุษย์คลิกอนุมัติข้อเสนอแนะที่ตนไม่สามารถประเมินได้นั้น ไม่ถือเป็นการกำกับดูแลในความหมายของมาตรา 14 และจะไม่สามารถปกป้ององค์กรได้ ผู้กำกับดูแลจำเป็นต้องมีอำนาจในการยกเลิก มีความสามารถในการตัดสิน และมีข้อมูลที่จำเป็นในการดำเนินการทั้งสองอย่าง ในทางปฏิบัติ นั่นหมายถึงการกำหนดบทบาท การฝึกอบรมบุคลากรให้รับบทบาทนั้น การให้พวกเขาเข้าถึงเหตุผลเบื้องหลังผลลัพธ์ และการบันทึกเวลาที่พวกเขาเข้ามาแทรกแซง

ใน GDPR มีหน้าที่ที่คล้ายคลึงกันซึ่งใช้บังคับโดยไม่คำนึงถึงระดับของ AI Act มาตรา 22 ให้สิทธิ์แก่เจ้าของข้อมูลที่จะไม่ถูกตัดสินใจโดยอาศัยการประมวลผลอัตโนมัติเพียงอย่างเดียว ซึ่งก่อให้เกิดผลทางกฎหมายหรือส่งผลกระทบอย่างมีนัยสำคัญต่อพวกเขา หากแชทบอทปฏิเสธใบสมัคร ปฏิเสธบริการ หรือกำหนดราคาโดยอาศัยระบบอัตโนมัติเพียงอย่างเดียว มาตรา 22 จะมีผลบังคับใช้ และองค์กรจะต้องเสนอการแทรกแซงจากมนุษย์ คำอธิบาย และช่องทางในการโต้แย้ง

การตัดสินใจโดยอัตโนมัติและการกำกับดูแลโดยมนุษย์อย่างมีความหมายนั้นเป็นการทดสอบที่แยกจากกันภายใต้เครื่องมือที่แตกต่างกัน การผ่านร่างกฎหมาย AI ไม่ได้ทำให้คุณได้รับการยกเว้นจากมาตรา 22 ของ GDPR และในทางกลับกัน

อคติคือรูปแบบความล้มเหลวที่เปลี่ยนช่องว่างในการกำกับดูแลให้กลายเป็นความรับผิดชอบ โมเดลที่ฝึกฝนด้วยข้อมูลในอดีตจะจำลองรูปแบบในอดีต และในกรณีที่รูปแบบเหล่านั้นติดตามลักษณะที่ได้รับการคุ้มครอง การตัดสินใจที่เกิดขึ้นอาจเข้าข่ายการเลือกปฏิบัติทางอ้อมภายใต้กฎหมายว่าด้วยการปฏิบัติต่อกันอย่างเท่าเทียม (Algemene wet gelijke behandeling) การทดสอบเรื่องนี้ก่อนนำไปใช้งานและการบันทึกผลการทดสอบเป็นวิธีการป้องกันเพียงอย่างเดียวที่ได้ผลหลังจากเกิดเหตุการณ์ขึ้นแล้ว เราจะกล่าวถึงผลที่ตามมาในบทความของเราเรื่องความรับผิดชอบต่ออคติของอัลกอริทึม

ผู้ควบคุมงานชาวดัตช์กำลังทำอะไรอยู่

การกำกับดูแลกฎหมาย AI ในเนเธอร์แลนด์ยังอยู่ในระหว่างการสร้าง รัฐบาลได้เสนอรูปแบบที่หน่วยงานกำกับดูแลเฉพาะด้านที่มีอยู่แล้วจะยังคงกำกับดูแล AI ภายในขอบเขตของตนเอง หน่วยงาน Autoriteit Persoonsgegevens จะรับผิดชอบในส่วนที่ไม่มีหน่วยงานกำกับดูแลที่ชัดเจน และจัดตั้งหน่วยงานเฉพาะด้าน AI ขึ้น และหน่วยงาน Rijksinspectie Digitale Infrastructuur จะมีบทบาทในการประสานงาน ร่างกฎหมายที่ใช้บังคับ คือ Uitvoeringswet AI-verordening ได้เปิดให้ประชาชนแสดงความคิดเห็นในเดือนเมษายน 2026 และยังไม่ได้รับการอนุมัติ ดังนั้นการกำหนดอำนาจและบทลงโทษอย่างเป็นทางการจึงยังไม่เป็นที่สิ้นสุด

นั่นไม่ได้หมายความว่าไม่มีการบังคับใช้ GDPR ยังคงมีผลบังคับใช้อย่างเต็มที่ และหน่วยงานคุ้มครองข้อมูลส่วนบุคคล (Autoriteit Persoonsgegevens) ได้ใช้กฎนี้กับโครงการ AI มาหลายปีแล้ว ข้อห้ามในมาตรา 5 ของกฎหมาย AI เป็นกฎหมายที่บังคับใช้โดยตรง ไม่ว่ากฎหมายของเนเธอร์แลนด์จะออกมาเมื่อใดก็ตาม

ตัวอย่างการใช้งาน: แชทบอทให้คำแนะนำการลงคะแนนเสียง

ตัวอย่างที่ชัดเจนที่สุดของปัญหาที่เกิดขึ้นในเนเธอร์แลนด์มาจากหน่วยงานกำกับดูแลด้านข้อมูลส่วนบุคคล (Autoriteit Persoonsgegevens หรือ AP) เอง ในรายงานความเสี่ยงด้านปัญญาประดิษฐ์และอัลกอริทึมฉบับเดือนกุมภาพันธ์ 2025 หน่วยงานกำกับดูแลได้ทดสอบแชทบอท AI ที่ใช้ในการให้คำแนะนำเกี่ยวกับการลงคะแนนเสียง และพบว่าผลลัพธ์ไม่น่าเชื่อถือและบิดเบือน ระบบชี้นำผู้ใช้ไปยังพรรคการเมืองจำนวนน้อย และเพิกเฉยต่อพรรคการเมืองที่เหลือเป็นส่วนใหญ่ ไม่ว่าคำตอบที่ได้รับจะเป็นอย่างไรก็ตาม AP แนะนำประชาชนไม่ให้ใช้แชทบอทดังกล่าวในการตัดสินใจเลือกตั้ง และชี้ให้เห็นว่า AI ที่ใช้ในการมีอิทธิพลต่อการเลือกตั้งนั้นจัดอยู่ในประเภทความเสี่ยงสูงของกฎหมาย AI ผลการค้นพบเหล่านี้ระบุไว้ในรายงานของ AP เกี่ยวกับความเสี่ยงด้านปัญญาประดิษฐ์และอัลกอริทึม

บทเรียนนี้สามารถนำไปประยุกต์ใช้ได้นอกเหนือจากเรื่องการเมือง โมเดลอเนกประสงค์ที่ห่อหุ้มด้วยอินเทอร์เฟซที่เป็นมิตรต่อผู้ใช้ไม่ได้หมายความว่าจะเป็นกลางเพียงเพราะผู้ใช้งานตั้งใจไว้เช่นนั้น ในกรณีที่ผลลัพธ์มีอิทธิพลต่อการตัดสินใจที่มีนัยสำคัญ ความเป็นกลางจะต้องได้รับการตรวจสอบ และการตรวจสอบนั้นจะต้องมีการบันทึกไว้ เพราะหลังจากใช้งานแล้ว ภาระในการพิสูจน์ว่าระบบทำงานได้ตามที่กล่าวอ้างจะตกอยู่กับองค์กรที่ใช้งานระบบนั้น

การสร้างกรอบการกำกับดูแล AI ที่ยั่งยืน

กรอบการกำกับดูแลจะมีประโยชน์ก็ต่อเมื่อสามารถสร้างหลักฐานได้ หน่วยงานกำกับดูแล คู่สัญญา และศาล ต่างก็ถามคำถามเดียวกันหลังจากเกิดปัญหาขึ้น นั่นคือ คุณรู้เรื่องนี้เมื่อไหร่ คุณประเมินสถานการณ์เมื่อใด และคุณจดบันทึกอะไรไว้บ้าง? องค์ประกอบสี่อย่างนี้ทำหน้าที่สำคัญที่สุด

• การจัดประเภทได้รับการตรวจสอบแล้ว บันทึกว่าระบบ AI แต่ละระบบอยู่ในระดับใดภายใต้พระราชบัญญัติ AI และเหตุผลประกอบ ทำการประเมินซ้ำทุกครั้งที่กรณีการใช้งานเปลี่ยนแปลงไป เพราะบอทบริการลูกค้าที่เริ่มคัดกรองผู้สมัครอาจมีการเปลี่ยนแปลงระดับในชั่วข้ามคืน
• การกำกับดูแลข้อมูล บันทึกที่มาของข้อมูลการฝึกอบรมและการเรียกค้นข้อมูล ใบอนุญาตที่เกี่ยวข้อง และวิธีการตรวจสอบการจอง TDM ส่วนข้อมูลส่วนบุคคล ให้บันทึกพื้นฐานทางกฎหมาย ระยะเวลาการเก็บรักษา และข้อตกลงในการประมวลผลข้อมูล
• การจัดทำเอกสารและการบันทึกข้อมูล เก็บรักษาเวอร์ชันของโมเดล ข้อความแจ้งเตือนของระบบ ผลการทดสอบ และบันทึกการสนทนา โดยกำหนดระยะเวลาการเก็บรักษาให้เป็นไปตามข้อกำหนดของ GDPR หากไม่มีบันทึกเหล่านี้ คุณจะไม่สามารถสร้างภาพย้อนหลังได้ว่าระบบพูดอะไรในวันที่สำคัญนั้น
• ระเบียบปฏิบัติในการกำกับดูแล ระบุชื่อผู้รับผิดชอบ กำหนดเวลาที่พวกเขาต้องเข้าแทรกแซง และมอบอำนาจให้พวกเขาหยุดระบบ บันทึกการแทรกแซงเหล่านั้น

สัญญาจะครอบคลุมส่วนที่เหลือ ข้อตกลงกับผู้ให้บริการ AI ของคุณควรระบุถึงการจัดหาข้อมูล การชดเชยความเสียหายทางทรัพย์สินทางปัญญา การจัดสรรบทบาทตามพระราชบัญญัติ AI ระหว่างผู้ให้บริการและผู้ใช้งาน ความปลอดภัย สิทธิ์ในการตรวจสอบ และการยุติสัญญา เหล่านี้เป็นประเด็นการเจรจาต่อรองทางการค้าทั่วไป และการเจรจาให้ได้ข้อตกลงก่อนลงนามนั้นง่ายกว่าการเจรจาหลังจากเกิดเหตุการณ์ขึ้นแล้วคู่มือด้านกฎหมายไอที ของเรา ครอบคลุมถึงรายละเอียดทางสัญญาโดยรอบ

แชทบอท ลิขสิทธิ์ และการปฏิบัติตามกฎหมายไม่ใช่เรื่องที่เกิดขึ้นเพียงครั้งเดียว ระบบที่มีความเสี่ยงสูงจะทยอยนำมาใช้จนถึงปี 2028 กฎหมาย Uitvoeringswet จะเพิ่มขั้นตอนและบทลงโทษระดับชาติ และกฎหมายที่เกี่ยวข้องกับผลลัพธ์จาก AI เพิ่งเริ่มต้นเท่านั้น กรอบการทำงานที่ได้รับการทบทวนเป็นประจำทุกปีและปรับปรุงเมื่อกฎหมายเปลี่ยนแปลงไป คือสิ่งที่ทำให้เกิดความแตกต่างระหว่างจุดยืนที่มั่นคงกับจุดยืนที่เกิดขึ้นโดยไม่ได้วางแผนไว้ล่วงหน้า

คุณเป็นผู้ให้บริการหรือผู้ติดตั้งระบบ

กฎหมาย AI กำหนดภาระผูกพันเกือบทั้งหมดตามบทบาท และบทบาทสองบทบาทที่สำคัญสำหรับธุรกิจที่ซื้อแชทบอทคือ ผู้ให้บริการและผู้ใช้งาน ผู้ให้บริการพัฒนา AI และนำออกสู่ตลาดหรือให้บริการภายใต้ชื่อของตนเอง ในขณะที่ผู้ใช้งานใช้ AI ภายใต้อำนาจของตนเอง การซื้อแชทบอทสำเร็จรูปทำให้คุณเป็นผู้ใช้งาน ซึ่งมีหน้าที่ความรับผิดชอบน้อยกว่ามาก

กับดักอยู่ที่ว่าผู้ใช้งานอาจกลายเป็นผู้ให้บริการโดยไม่ตั้งใจ มาตรา 25 ของระเบียบข้อบังคับระบุว่า ผู้ใช้งานจะรับภาระผูกพันของผู้ให้บริการสำหรับระบบที่มีความเสี่ยงสูง หากผู้ใช้งานนำชื่อหรือเครื่องหมายการค้าของตนเองไปใช้กับระบบ ปรับเปลี่ยนระบบอย่างมีนัยสำคัญ หรือเปลี่ยนแปลงวัตถุประสงค์การใช้งานในลักษณะที่ทำให้ระบบนั้นกลายเป็นระบบที่มีความเสี่ยงสูง การนำแชทบอทของบุคคลที่สามมาติดแบรนด์ของตนเอง หรือการนำบอทบริการลูกค้าทั่วไปมาใช้คัดกรองใบสมัครงาน ก็เพียงพอที่จะทำให้ระบบนั้นเปลี่ยนสถานะเป็นผู้ให้บริการแล้ว

การจัดสรรใหม่นั้นมีผลกระทบที่แท้จริง ผู้ให้บริการต้องรับผิดชอบการประเมินความสอดคล้อง เอกสารทางเทคนิค ระบบการจัดการคุณภาพ การลงทะเบียนในฐานข้อมูลของสหภาพยุโรป และการตรวจสอบหลังการขาย สิ่งเหล่านี้ไม่สามารถยกเว้นได้ด้วยข้อสัญญาใดๆ เพราะภาระผูกพันเหล่านั้นเป็นหน้าที่ตามกฎหมายมหาชนที่ต้องปฏิบัติต่อผู้กำกับดูแล ไม่ใช่หน้าที่ส่วนตัวที่ต้องปฏิบัติต่อคู่สัญญา สัญญาสามารถโอนต้นทุนของการละเมิดสัญญาได้ แต่ไม่สามารถโอนหน้าที่ได้

ผู้ติดตั้งระบบที่มีความเสี่ยงสูงมีรายการสิ่งที่ต้องทำของตนเอง ได้แก่ การใช้ระบบตามคำแนะนำ การมอบหมายผู้ควบคุมดูแลที่มีความสามารถ การตรวจสอบให้แน่ใจว่าข้อมูลที่ป้อนเข้ามีความเกี่ยวข้อง การติดตามการทำงาน การเก็บรักษาบันทึก และการแจ้งให้พนักงานและตัวแทนของพวกเขาทราบก่อนที่จะนำระบบที่มีความเสี่ยงสูงมาใช้ในที่ทำงาน ข้อสุดท้ายนี้มักถูกมองข้ามได้ง่าย และเป็นข้อผิดพลาดประเภทที่สภาแรงงานจะหยิบยกขึ้นมาอย่างแน่นอน

การรักษาความลับ ความลับทางการค้า และหน้าที่ทางวิชาชีพ

ความเสี่ยงที่อยู่นอกเหนือขอบเขตของกฎระเบียบทั้งสามประการ และก่อให้เกิดความเสียหายที่เป็นรูปธรรมมากกว่ากฎระเบียบใดๆ คือการที่พนักงานป้อนข้อมูลที่เป็นความลับเข้าไปในแชทบอทสาธารณะ ข้อมูลลูกค้า ร่างสัญญา รหัสต้นฉบับ และตัวเลขทางการเงินที่ยังไม่ได้รับการเผยแพร่ ซึ่งป้อนเข้าไปในบริการ AI สำหรับผู้บริโภค จะหลุดพ้นจากการควบคุมขององค์กร และขึ้นอยู่กับข้อกำหนดในการให้บริการ ข้อมูลเหล่านั้นอาจถูกเก็บรักษาไว้หรือนำไปใช้ในการฝึกอบรมเพิ่มเติม

ภายใต้กฎหมายของเนเธอร์แลนด์ การกระทำดังกล่าวอาจเป็นการละเมิดข้อตกลงรักษาความลับในสัญญาทางการค้า ทำลายข้อกำหนดขั้นตอนที่สมเหตุสมผลในการปกป้องข้อมูลในฐานะความลับทางการค้าภายใต้กฎหมายว่าด้วยการคุ้มครองธุรกิจ (Wet bescherming bedrijfsgeheimen) และในวิชาชีพที่มีการควบคุม ถือเป็นการละเมิดหน้าที่ตามกฎหมายในการรักษาความลับ นอกจากนี้ยังอาจเป็นการละเมิดข้อมูลส่วนบุคคลที่ต้องแจ้งให้หน่วยงานคุ้มครองข้อมูลส่วนบุคคล (Autoriteit Persoonsgegevens) ทราบภายในเจ็ดสิบสองชั่วโมงหลังจากทราบเรื่อง ตามมาตรา 33 ของ GDPR

วิธีแก้ปัญหานั้นดูน่าเบื่อแต่ได้ผล: การเขียนนโยบายการใช้งาน AI ที่ระบุชื่อเครื่องมือที่ได้รับอนุมัติ ระบุอย่างชัดเจนว่าห้ามป้อนข้อมูลใดลงในเครื่องมือที่ไม่ได้รับอนุมัติ และผนวกเข้ากับความสัมพันธ์ในการจ้างงานเพื่อให้การละเมิดมีผลตามมา เมื่อรวมกับข้อตกลงขององค์กรที่ระบุว่าการฝึกอบรมเกี่ยวกับข้อมูลที่คุณป้อนเข้าจะไม่รวมอยู่ในสัญญา ความเสี่ยงก็จะหมดไป

สิ่งที่ต้องทำก่อนเปิดตัว

การปฏิบัติตามกฎระเบียบสำหรับแชทบอทเป็นกระบวนการตามลำดับ และการทำตามลำดับที่ถูกต้องจะช่วยประหยัดค่าใช้จ่ายได้มาก จัดประเภทระบบภายใต้พระราชบัญญัติปัญญาประดิษฐ์ และบันทึกการจัดประเภทพร้อมเหตุผล จัดทำแผนผังข้อมูลส่วนบุคคลที่จะถูกประมวลผล กำหนดฐานทางกฎหมายและระยะเวลาการเก็บรักษา และดำเนินการประเมินผลกระทบด้านการคุ้มครองข้อมูลหากการประมวลผลนั้นจำเป็นต้องมี จัดทำข้อตกลงการประมวลผลตามมาตรา 28 กับแพลตฟอร์ม

จากนั้นให้พิจารณาข้อมูลที่อยู่เบื้องหลังแบบจำลอง: สอบถามซัพพลายเออร์ว่าแบบจำลองได้รับการฝึกฝนด้วยข้อมูลอะไร การจอง TDM ได้รับการเคารพหรือไม่ และมีการชดเชยความเสียหายอะไรบ้าง และบันทึกคำตอบไว้ สร้างการเปิดเผยข้อมูลอย่างโปร่งใสไว้ในส่วนติดต่อผู้ใช้โดยตรง แทนที่จะเป็นส่วนท้าย ระบุชื่อบุคคลที่รับผิดชอบในการกำกับดูแลและกำหนดช่วงเวลาที่พวกเขาจะเข้ามาแทรกแซง สุดท้าย ทดสอบระบบกับกรณีที่คุณกังวลมากที่สุด เก็บผลลัพธ์ไว้ และกำหนดวันที่เพื่อทบทวนไฟล์ทั้งหมดอีกครั้ง

องค์กรที่ดำเนินการเช่นนี้พบว่า การดำเนินการดังกล่าวมีขอบเขตจำกัด ความไม่แน่นอนในกฎหมายเกี่ยวกับปัญญาประดิษฐ์นั้นมีอยู่จริง แต่ความไม่แน่นอนนั้นกระจุกตัวอยู่ในคำถามเพียงไม่กี่ข้อ โดยส่วนใหญ่เกี่ยวกับข้อมูลการฝึกอบรมและความรับผิดชอบต่อผลลัพธ์ และส่วนที่เหลือเป็นงานด้านการปฏิบัติตามกฎระเบียบทั่วไปที่สามารถทำให้เสร็จสิ้นและยื่นเอกสารได้

คำถามที่พบบ่อย

คำถามด้านล่างนี้มักเกิดขึ้นในการสนทนาครั้งแรกเกือบทุกครั้งเกี่ยวกับการใช้งานแชทบอท คำตอบในที่นี้เป็นคำตอบในระดับหลักการ การวิเคราะห์สำหรับระบบเฉพาะนั้นขึ้นอยู่กับว่าระบบนั้นทำอะไรและใช้กับใคร

Law & More ให้คำปรึกษาแก่ธุรกิจในเนเธอร์แลนด์เกี่ยวกับด้านกฎหมายของการใช้งาน AI: การจัดประเภทภายใต้พระราชบัญญัติ AI, ลิขสิทธิ์และการจัดหาข้อมูล, การปฏิบัติตาม GDPR และข้อตกลงการประมวลผลข้อมูล, เอกสารการกำกับดูแล และการเจรจาสัญญากับผู้ให้บริการ AI หากคุณกำลังเตรียมที่จะเปิดตัวแชทบอท หรือต้องการประเมินแชทบอทที่มีอยู่แล้วตามกฎระเบียบที่บังคับใช้ เรายินดีให้ความช่วยเหลือ โปรดแจ้งสถานการณ์ของคุณให้เราทราบ เราจะแจ้งตัวเลือกของคุณภายในหนึ่งวันทำการ

สรุป ความน่าเชื่อถือของ Olymp Trade? Law & More ซึ่งสามารถช่วยคุณได้ ตามที่อธิบายไว้ในหน้าของเรา ทนายความด้านไอที หน้า.