GDPR dan AI di Belanda bertemu pada satu titik: begitu sebuah algoritma memproses informasi tentang seseorang yang dapat diidentifikasi, Peraturan Perlindungan Data Umum (GDPR) berlaku sepenuhnya, apa pun teknologinya dan siapa pun yang membangunnya. Itu berarti dasar hukum untuk setiap operasi pemrosesan, informasi kepada orang-orang yang bersangkutan tentang logika sistem, hak untuk intervensi manusia jika keputusan diambil oleh mesin semata, dan penilaian risiko yang terdokumentasi sebelum penerapan. Otoritas Perlindungan Data Pribadi (Autoriteit Persoonsgegevens) menegakkan kewajiban tersebut, dan Undang-Undang AI Uni Eropa menambahkan lapisan keamanan produk terpisah di atasnya tanpa menggantikan salah satu dari yang ada.
Artikel ini membahas sisi operasional: apa yang harus dilakukan suatu organisasi ketika data pribadi benar-benar mengalir melalui aplikasi AI. Pertanyaan sebelumnya tentang bagaimana membenarkan pengumpulan dataset besar sejak awal, dan bagaimana uji kompatibilitas bekerja ketika data yang dikumpulkan untuk satu tujuan digunakan kembali untuk melatih model, dibahas secara terpisah dalam artikel kami tentang GDPR dan big data.
Kapan suatu sistem AI termasuk dalam cakupan GDPR?
Regulasi ini bersifat netral terhadap teknologi. Regulasi ini tidak menanyakan apakah suatu sistem merupakan pohon keputusan, model statistik, atau model bahasa yang besar; regulasi ini menanyakan apakah data pribadi diproses. Ambang batas tersebut dilampaui pada tiga momen terpisah dalam siklus hidup aplikasi AI, dan masing-masing momen tersebut membutuhkan analisis tersendiri.
Pertama adalah pelatihan. Jika set pelatihan berisi informasi yang berkaitan dengan orang yang dapat diidentifikasi, maka menyusun dan menggunakannya adalah pemrosesan, dan fakta bahwa outputnya adalah model dan bukan basis data tidak mengubah apa pun tentang hal itu. Kedua adalah inferensi. Setiap perintah, kueri, atau catatan input yang berisi data pribadi adalah operasi pemrosesan, begitu pula output yang menyebutkan sesuatu tentang orang yang dapat diidentifikasi. Ketiga adalah pencatatan. Log inferensi, catatan umpan balik, dan kumpulan data evaluasi sering kali menyimpan lebih banyak data pribadi daripada set pelatihan, dan data-data ini secara rutin terlupakan dalam catatan aktivitas pemrosesan.
Kesalahpahaman umum adalah bahwa model yang telah dilatih secara definisi bersifat anonim. Padahal tidak demikian. Sebuah model dapat menyimpan data pribadi dalam bentuk yang dapat diekstrak, dan apakah hal itu terjadi atau tidak adalah pertanyaan faktual yang harus dinilai untuk setiap model. Dewan Perlindungan Data Eropa mencapai kesimpulan tersebut dalam pendapatnya tentang model AI pada akhir tahun 2024, dan menambahkan poin yang penting secara komersial: jika sebuah model dilatih menggunakan data pribadi yang diproses secara ilegal, maka ilegalitas tersebut dapat memengaruhi legalitas penerapan model tersebut, kecuali dapat dibuktikan bahwa model itu sendiri benar-benar anonim. Dasar-dasar peraturan tersebut dijelaskan dalam pengantar kami tentang hukum perlindungan data dan dalam tinjauan umum kami tentang Peraturan Perlindungan Data Umum (GDPR).
Siapa yang bertanggung jawab, dan untuk bagian mana?
Tanggung jawab mengikuti pengambilan keputusan, bukan teknologi. Pihak yang menentukan tujuan dan cara pemrosesan adalah pengendali; pihak yang hanya memproses berdasarkan instruksi yang terdokumentasi adalah pengolah. Dalam rantai AI, peran ini bergeser dari langkah ke langkah: vendor suatu model biasanya adalah pengendali untuk pengembangannya sendiri dan pengolah untuk penggunaan pelanggan, dan di mana kedua pihak menentukan tujuan bersama, mereka adalah pengendali bersama dan harus mencatat bagaimana kewajiban yang dihasilkan dibagi. Perbedaan dan konsekuensinya dijelaskan dalam artikel kami tentang peran pengendali dan pengolah , dan sisi kontraktual dalam panduan kami tentang perjanjian pemrosesan data.
Dalam praktiknya, dua klausul menentukan sebagian besar pertanyaan ini. Jika pemasok diizinkan menggunakan masukan pelanggan untuk meningkatkan modelnya sendiri, maka pemasok tersebut bertindak sebagai pengendali data untuk tujuan tersebut dan Anda mengungkapkan data pribadi kepada mereka. Jika pemasok tersebut bergantung pada sub-prosesor atau infrastruktur di luar Wilayah Ekonomi Eropa, maka aturan transfer dalam Bab V peraturan tersebut berlaku dan diperlukan mekanisme transfer serta penilaian. Kedua poin tersebut tidak dapat diselesaikan setelah sistem beroperasi.
Pengambilan keputusan otomatis dan hak atas intervensi manusia
Pasal 22 GDPR adalah ketentuan yang paling keras menghukum aplikasi AI. Pasal ini memberikan hak kepada setiap orang untuk tidak tunduk pada keputusan yang didasarkan semata-mata pada pemrosesan otomatis, termasuk pembuatan profil, yang menghasilkan efek hukum yang menyangkut mereka atau secara signifikan memengaruhi mereka. Jika dibaca sebagai larangan dan bukan sebagai hak untuk keberatan, seperti yang ditafsirkan oleh Mahkamah Eropa, ini berarti keputusan tersebut sama sekali tidak diizinkan kecuali salah satu dari tiga pengecualian berikut berlaku: keputusan tersebut diperlukan untuk mengadakan atau melaksanakan kontrak, diizinkan oleh hukum Uni Eropa atau negara anggota dengan perlindungan yang memadai, atau didasarkan pada persetujuan eksplisit dari orang yang bersangkutan.
Tiga elemen menentukan apakah pasal ini berlaku. Keputusan harus didasarkan sepenuhnya pada pemrosesan otomatis, yang tidak dibatalkan oleh persetujuan manusia secara simbolis; orang yang terlibat harus memiliki wewenang nyata dan harus benar-benar mempertimbangkan hasilnya. Dampaknya harus legal atau signifikan, yang mencakup penolakan kredit, penolakan lamaran pekerjaan, penghentian layanan, penolakan klaim asuransi, dan peringatan penipuan otomatis yang memblokir pelanggan. Dan keputusan tersebut harus menyangkut individu, itulah sebabnya aturan penetapan harga umum berada di luar cakupan pasal ini sementara penilaian individual termasuk di dalamnya.
Mahkamah Eropa telah memperluas hal ini lebih jauh daripada yang diasumsikan banyak organisasi. Apabila suatu perusahaan menghitung skor tentang seseorang dan pihak ketiga sangat bergantung pada skor tersebut dalam memutuskan apakah akan mengadakan kontrak, maka pembuatan skor itu sendiri merupakan keputusan otomatis dalam arti Pasal 22. Dengan kata lain, penyedia skor tidak dapat bersembunyi di balik fakta bahwa keputusan formal diambil oleh kliennya. Bagi organisasi Belanda yang membeli skor kredit, penipuan, atau risiko, hal ini mengubah pertanyaan kepatuhan dari apakah mereka mengambil keputusan otomatis menjadi apakah pemasok mereka yang melakukannya.
Apabila salah satu pengecualian berlaku, perlindungan yang diberikan bersifat wajib dan spesifik: minimal hak untuk mendapatkan intervensi manusia, hak untuk menyampaikan sudut pandang, dan hak untuk menentang keputusan tersebut. Artinya, harus ada prosedur yang berjalan, dikelola, dan didokumentasikan, bukan sekadar kotak surat. Data kategori khusus hanya boleh digunakan dalam keputusan tersebut berdasarkan persetujuan eksplisit atau kepentingan publik yang substansial, dan keputusan semacam ini tidak boleh diambil terkait anak-anak.
Seperti inilah seharusnya pengawasan manusia sebenarnya.
Keterlibatan manusia yang bermakna adalah titik di mana sebagian besar sistem gagal. Seorang peninjau yang hanya melihat keluaran model dan rekomendasi, yang tidak memiliki akses ke data yang mendasarinya, yang diukur berdasarkan throughput dan yang mengesampingkan sistem dalam sebagian kecil kasus, tidak menjalankan pengawasan dalam arti yang dipersyaratkan oleh peraturan. Pengawasan yang efektif berarti peninjau memiliki kompetensi dan wewenang untuk mencapai kesimpulan yang berbeda, melihat informasi yang digunakan model, mencatat alasan untuk mengkonfirmasi atau menyimpang dari hasil, dan dipantau seberapa sering dan mengapa penyimpangan terjadi. Statistik pengesampingan tersebut juga merupakan hal pertama yang akan diminta oleh seorang penyelidik.
Transparansi: apa yang harus Anda sampaikan kepada orang-orang tentang sebuah algoritma.
Apabila pengambilan keputusan otomatis sebagaimana dimaksud dalam Pasal 22 terjadi, kewajiban informasi dalam Pasal 13 dan 14 serta hak akses dalam Pasal 15 mengharuskan Anda untuk mengungkapkan keberadaan pengambilan keputusan otomatis tersebut, informasi yang bermakna tentang logika yang terlibat, dan signifikansi serta konsekuensi yang diperkirakan dari pemrosesan tersebut bagi orang yang bersangkutan. Kewajiban tersebut berlaku pada saat pengumpulan dan sekali lagi pada saat permintaan.
Informasi yang bermakna tentang logika tidak berarti mempublikasikan kode sumber atau bobot model, dan tidak berarti deskripsi matematis yang tidak dapat dipahami oleh orang awam. Mahkamah Eropa telah memutuskan bahwa seseorang berhak atas penjelasan tentang prosedur dan prinsip-prinsip yang sebenarnya diterapkan, yang dijelaskan secara konkret agar mereka dapat memahami data pribadi mana yang digunakan dan dengan cara apa, sehingga mereka dapat memeriksa keakuratan data dan menantang keputusan tersebut. Deskripsi tentang kategori data yang digunakan, bobot relatifnya, ambang batas yang diterapkan, dan efek yang akan ditimbulkan oleh nilai-nilai yang berbeda adalah jenis penjelasan yang memenuhi hal ini.
Kerahasiaan komersial merupakan faktor, tetapi bukan kartu truf. Jika pengontrol menganggap bahwa memberikan penjelasan akan mengungkapkan rahasia dagang atau hak orang lain, ia tidak dapat begitu saja menolak: ia harus memberikan informasi yang diduga dilindungi tersebut kepada otoritas pengawas atau pengadilan, yang kemudian menyeimbangkan kepentingan dan menentukan apa yang harus diungkapkan. Membangun sistem yang logikanya sama sekali tidak dapat dijelaskan oleh karena itu menciptakan masalah hukum daripada alasan teknis. Cakupan hak akses itu sendiri dibahas dalam artikel kami tentang hak akses berdasarkan Pasal 15.
Transparansi juga memiliki dimensi yang lebih sederhana. Pernyataan privasi yang menjelaskan tujuan dalam bahasa yang cukup luas untuk mencakup apa pun dianggap oleh otoritas pengawas Belanda sebagai pelanggaran tersendiri, dan sebagian besar penegakan hukum baru-baru ini berkaitan dengan hal tersebut. Panduan kami tentang kebijakan privasi di Belanda menjelaskan cara menjelaskan pemrosesan algoritmik dalam istilah yang akurat dan mudah dibaca, dan prinsip yang sama berlaku untuk pemberitahuan internal, misalnya di mana sistem digunakan untuk pemantauan karyawan atau untuk pengawasan kamera di tempat kerja.
Data yang Anda masukkan ke dalam sistem, dan data yang dihasilkan oleh sistem tersebut.
Diperlukan dasar hukum untuk setiap operasi pemrosesan dalam rantai tersebut, dan dasar untuk pelatihan tidak secara otomatis menjadi dasar untuk penerapan. Persetujuan, kebutuhan untuk kontrak, dan kepentingan sah adalah tiga kandidat yang realistis, dan masing-masing harus dinilai dan dicatat sebelum pemrosesan dimulai. Jika kepentingan sah diandalkan, penilaian tiga langkah tentang kepentingan, kebutuhan, dan keseimbangan harus dituliskan; kepentingan komersial murni dapat memenuhi syarat, seperti yang dikonfirmasi oleh Mahkamah Eropa dalam kasus di Belanda pada tahun 2024, tetapi hanya jika pemrosesan tersebut benar-benar diperlukan dan keseimbangan terpenuhi.
Dua kategori masukan memerlukan perlakuan terpisah. Kategori khusus data pribadi, yang meliputi data kesehatan, data biometrik yang digunakan untuk identifikasi, dan data yang mengungkapkan asal etnis, opini politik, keyakinan agama, keanggotaan serikat pekerja, atau orientasi seksual, tidak boleh diproses kecuali kondisi dalam Pasal 9 berlaku; jalur praktisnya adalah persetujuan eksplisit dan, dalam kasus-kasus terbatas, kepentingan publik substansial yang ditetapkan dalam hukum. Jebakannya adalah inferensi: di mana suatu model memperoleh karakteristik yang dilindungi dari data biasa, rezim yang lebih ketat berlaku meskipun tidak ada yang mengumpulkan karakteristik tersebut. Aturan khusus untuk biometrik diuraikan dalam artikel kami tentang data biometrik dan kepatuhan GDPR.
Kategori kedua adalah data yang diambil dari internet atau data yang dapat diakses publik. Fakta bahwa informasi dapat ditemukan secara daring tidak serta merta menjadikan penggunaannya sah. Anda tetap membutuhkan dasar, dan uji keseimbangan harus memperhitungkan fakta bahwa individu tersebut tidak memiliki hubungan dengan Anda, tidak diberitahu, dan tidak mengharapkan data mereka digunakan untuk tujuan ini. Jika data diperoleh dari sumber selain individu, kewajiban informasi dalam Pasal 14 berlaku, dengan pengecualian yang terbatas.
Kesalahan yang paling sering dilakukan organisasi adalah pada output. Kesimpulan yang dihasilkan oleh model tentang seseorang yang dapat diidentifikasi merupakan data pribadi tentang orang tersebut: skor risiko, peringkat kesesuaian, diagnosis yang diprediksi, atau pernyataan yang dihasilkan semuanya termasuk dalam peraturan. Oleh karena itu, output tersebut harus akurat, harus dikoreksi atau dilengkapi jika tidak akurat, dan dilindungi oleh hak akses. Model yang menghasilkan pernyataan yang salah tentang individu tertentu bukan hanya masalah kualitas; ini adalah kewajiban perbaikan, dan jika pernyataan yang salah tersebut disebarluaskan, hal itu juga dapat menimbulkan klaim di luar hukum perlindungan data. Langkah-langkah minimalisasi praktis yang mengurangi risiko ini adalah langkah-langkah yang sudah umum: menghapus pengidentifikasi yang tidak diperlukan, memisahkan data pengembangan dan produksi, membatasi siapa yang dapat mengakses sistem, menetapkan periode retensi untuk data pelatihan, penyimpanan fitur, dan log, serta menguji apakah model dapat mengungkapkan data pelatihannya. Jika lalu lintas email digunakan sebagai input, masalah spesifiknya dibahas dalam artikel kami tentang email dan perlindungan data berdasarkan GDPR.
Prasangka, diskriminasi, dan perlakuan setara
Hukum perlindungan data dan hukum perlakuan setara saling tumpang tindih di sini, dan suatu organisasi dapat mematuhi salah satunya sambil melanggar yang lain. GDPR mensyaratkan pemrosesan data harus adil dan akurat, dan melalui penilaian dampak, mensyaratkan risiko hasil diskriminatif untuk diidentifikasi dan dimitigasi. Legislasi perlakuan setara Belanda melangkah lebih jauh: melarang perbedaan langsung dan tidak langsung berdasarkan alasan termasuk ras, kebangsaan, agama, jenis kelamin, orientasi seksual, disabilitas, penyakit kronis, dan usia, di bidang-bidang seperti pekerjaan, penyediaan barang dan jasa, dan pendidikan. Algoritma yang menghasilkan hasil yang secara sistematis lebih buruk bagi kelompok yang dilindungi membuat perbedaan tidak langsung, yang melanggar hukum kecuali dapat dibenarkan secara objektif oleh tujuan yang sah yang dikejar melalui cara yang tepat dan perlu.
Lembaga Hak Asasi Manusia Belanda menilai pengaduan berdasarkan undang-undang tersebut dan telah menerbitkan panduan tentang diskriminasi algoritmik dalam perekrutan dan seleksi. Titik awalnya tidak nyaman tetapi benar: beban pembuktian bahwa perbedaan tersebut dapat dibenarkan secara objektif terletak pada pihak yang menggunakan sistem tersebut, sehingga organisasi yang tidak dapat menjelaskan mengapa modelnya menghasilkan hasil yang berbeda untuk kelompok yang berbeda berada dalam posisi yang lemah sejak awal.
Bias masuk melalui jalur yang sudah dikenal. Data pelatihan mencerminkan keputusan historis yang bias; kumpulan data kurang mewakili sebagian populasi; suatu fitur bertindak sebagai proksi untuk karakteristik yang dilindungi, seperti kode pos yang seringkali menjadi proksi untuk etnisitas; dan optimasi untuk akurasi di seluruh populasi menyembunyikan kinerja yang buruk untuk minoritas di dalamnya. Ada ketegangan nyata dalam hukum di sini, karena pengujian efek diskriminatif seringkali memerlukan pemrosesan data kategori khusus yang dibatasi oleh peraturan tersebut. Solusinya adalah melakukan pengujian secara terkontrol, dengan dasar hukum yang terdokumentasi, batasan akses yang ketat, dan hasil yang diagregasi, daripada menghindari pengujian dan berharap pertanyaan itu tidak pernah diajukan.
Pengalaman Belanda dengan sistem indikasi risiko yang digunakan untuk mendeteksi penipuan tunjangan menunjukkan apa yang terjadi ketika hal ini diabaikan. Pengadilan memutuskan bahwa undang-undang yang mendasarinya bertentangan dengan hak untuk menghormati kehidupan pribadi berdasarkan Konvensi Hak Asasi Manusia Eropa, karena sistem tersebut tidak cukup transparan dan dapat diverifikasi serta tidak dapat diperiksa dampak diskriminatifnya. Pelajaran yang tersisa dari putusan tersebut adalah bahwa ketidaktransparan itu sendiri merupakan cacat hukum, bukan karakteristik teknis yang netral. Jika kesalahan algoritma menyebabkan kerugian, pertanyaan tentang siapa yang bertanggung jawab adalah pertanyaan terpisah, yang dibahas dalam artikel kami tentang tanggung jawab atas kesalahan yang dibuat oleh kecerdasan buatan , dan dimensi hukum pidana dalam artikel kami tentang AI dan hukum pidana.
Siapa yang mengawasi AI dan algoritma di Belanda?
Autoriteit Persoonsgegevens (Autoriteit Persoonsgegevens) adalah otoritas pengawas untuk GDPR di Belanda dan menerapkan peraturan tersebut bersama dengan undang-undang pelaksana nasional, Uitvoeringswet AVG, yang mengisi pilihan yang diberikan peraturan kepada Negara Anggota daripada menambahkan rezim terpisah. Kewenangannya berkisar dari peringatan dan teguran hingga perintah yang dikenakan denda, larangan pemrosesan, dan denda administratif hingga dua puluh juta euro atau empat persen dari total omset tahunan di seluruh dunia, mana pun yang lebih tinggi. Di luar GDPR, otoritas ini memiliki unit khusus untuk koordinasi pengawasan algoritma dan menerbitkan laporan berkala tentang risiko algoritma di Belanda, yang merupakan pernyataan paling jelas yang tersedia tentang harapannya. Apa yang dilakukan otoritas ini dan bagaimana cara kerjanya dijelaskan dalam artikel kami tentang Otoritas Perlindungan Data Belanda.
Pengawasan terhadap AI sengaja dilakukan secara bersama-sama. Rijksinspectie Digitale Infrastructuur dan Autoriteit Persoonsgegevens bertindak bersama sebagai pengawas koordinator untuk Undang-Undang AI, sementara regulator sektoral mempertahankan kompetensi mereka masing-masing: pengawas keuangan untuk model yang digunakan dalam perbankan dan asuransi, inspektorat kesehatan untuk aplikasi medis, dan otoritas media untuk platform. Institut Hak Asasi Manusia Belanda menangani dimensi perlakuan yang setara. Bagi sebuah organisasi, ini berarti satu sistem dapat dinilai oleh beberapa otoritas berdasarkan alasan yang berbeda, yang merupakan argumen untuk satu berkas internal yang menjawab semua penilaian tersebut daripada jalur kepatuhan yang terpisah.
Lembaga publik memiliki lapisan tambahan. Organisasi pemerintah mendaftarkan algoritma yang mereka gunakan dalam register algoritma nasional, dan keputusan administratif yang didukung oleh algoritma tetap harus memenuhi persyaratan umum hukum administrasi Belanda bahwa keputusan tersebut harus disiapkan dengan cermat dan memiliki alasan yang tepat. Alasan yang hanya berupa pernyataan bahwa sistem menghasilkan hasil ini tidak memenuhi standar tersebut.
Bagaimana Undang-Undang AI berada di atas GDPR
Undang-Undang AI mengatur sistem AI sebagai produk, yang diklasifikasikan berdasarkan risiko, dengan kewajiban bagi penyedia dan pengimplementasikan. Undang-Undang ini bukanlah instrumen perlindungan data: undang-undang ini tidak menciptakan dasar hukum untuk memproses data pribadi, dan kepatuhan terhadapnya tidak mengatakan apa pun tentang kepatuhan terhadap GDPR. Jika suatu sistem AI memproses data pribadi, kedua rezim tersebut berlaku secara paralel dan sepenuhnya.
Tahapan penerapan penting untuk perencanaan. Larangan terhadap praktik yang tidak dapat diterima, termasuk penilaian sosial oleh otoritas publik dan pengambilan citra wajah tanpa target untuk membangun basis data pengenalan, sudah berlaku, begitu pula kewajiban untuk model AI tujuan umum dan kewajiban transparansi untuk sistem yang berinteraksi dengan orang atau menghasilkan konten sintetis. Deepfake dan teks yang dihasilkan AI yang dipublikasikan untuk menginformasikan publik harus diberi label. Rezim risiko tinggi ditunda oleh paket omnibus digital: kewajiban untuk sistem berisiko tinggi yang tercantum dalam Lampiran III, yang mencakup perekrutan dan seleksi, penilaian kelayakan kredit, pendidikan, dan akses ke layanan penting, sekarang berlaku mulai 2 Desember 2027, dan kewajiban untuk AI yang merupakan komponen keamanan produk yang diatur berdasarkan Lampiran I mulai 2 Agustus 2028. Usulan terpisah untuk Arahan Tanggung Jawab AI telah ditarik, sehingga kerusakan yang disebabkan oleh sistem AI ditangani berdasarkan hukum kontrak dan hukum perdata Belanda biasa dan aturan tanggung jawab produk Eropa.
Untuk sistem yang mengambil keputusan tentang orang dan termasuk dalam kategori berisiko tinggi, kedua rezim tersebut saling memperkuat: GDPR mewajibkan penilaian dampak perlindungan data dan intervensi manusia atas permintaan, dan Undang-Undang AI mewajibkan sistem manajemen risiko, tata kelola data, dokumentasi teknis, pencatatan, pengawasan manusia sejak tahap desain, dan, untuk pengembang tertentu, penilaian dampak hak asasi manusia. Membangunnya dalam satu proses jauh lebih murah daripada membangunnya dua kali. Aturan klasifikasi diuraikan dalam panduan kami tentang Undang-Undang AI Uni Eropa , tentang sistem AI berisiko tinggi , dan dalam panduan praktis kami untuk bisnis ; latar belakang yang lebih luas dibahas dalam artikel kami tentang sisi hukum kecerdasan buatan di Uni Eropa.
Aturan digital lain yang berlaku pada saat yang bersamaan
Tiga peraturan lainnya relevan dengan sistem algoritmik. Undang-Undang Layanan Digital memberlakukan kewajiban transparansi dan risiko pada platform daring yang menggunakan algoritma untuk moderasi dan rekomendasi konten, termasuk kewajiban untuk menjelaskan parameter utama sistem pemberi rekomendasi dan, untuk platform terbesar, untuk menawarkan opsi yang tidak berdasarkan profil; kami membahasnya dalam artikel kami tentang Undang-Undang Layanan Digital dan Undang-Undang Pasar Digital serta tentang apa yang harus diketahui bisnis tentangnya. Undang-Undang Ketahanan Siber menetapkan persyaratan keamanan untuk produk dengan elemen digital, yang diterapkan secara bertahap selama beberapa tahun mendatang, dan mewajibkan keamanan sejak tahap desain dan penanganan kerentanan. Dan Undang-Undang Keamanan Siber, implementasi Belanda dari NIS2 yang berlaku sejak 15 Agustus 2026, mewajibkan pendaftaran dengan NCSC dan pemberitahuan insiden dalam waktu dua puluh empat dan tujuh puluh dua jam pada entitas dalam lingkupnya, bersamaan dan secara independen dari kewajiban pemberitahuan pelanggaran GDPR; lihat ikhtisar kami tentang NIS2 dan Undang-Undang Keamanan Siber Belanda.
Tata Kelola: apa yang harus ada dalam berkas
Akuntabilitas adalah kewajiban pembuktian. Tidak cukup hanya patuh; pengontrol harus mampu menunjukkan kepatuhan, yang dalam konteks algoritmik berarti sebuah berkas yang sesuai dengan sistem sebagaimana sebenarnya dibangun dan digunakan. Lima dokumen melakukan sebagian besar pekerjaan tersebut.
Catatan aktivitas pemrosesan harus menjelaskan alur data di balik setiap model, termasuk data pelatihan, input inferensi, dan log, bukan departemen yang kebetulan memilikinya. Dasar hukum untuk setiap operasi dicatat di sebelahnya, dengan penilaian kepentingan sah dilampirkan jika dasar tersebut digunakan. Penilaian dampak perlindungan data wajib dilakukan jika pemrosesan kemungkinan akan menghasilkan risiko tinggi, yang diasumsikan oleh peraturan untuk evaluasi otomatis yang sistematis dan ekstensif terhadap aspek-aspek pribadi yang menjadi dasar keputusan dengan dampak signifikan, untuk pemrosesan skala besar kategori khusus, dan untuk pemantauan sistematis area yang dapat diakses publik; otoritas pengawas Belanda juga menerbitkan daftar operasi pemrosesan yang selalu memerlukan penilaian. Jika risiko residual yang tinggi tidak dapat dikurangi, otoritas harus dikonsultasikan sebelum pemrosesan dimulai.
Di samping itu terdapat register internal algoritma, yang bahkan semakin banyak disimpan oleh organisasi swasta karena itu adalah satu-satunya cara praktis untuk menjawab permintaan pengawasan, dan prosedur untuk menangani permintaan dari individu: akses, koreksi, penghapusan, keberatan, dan permintaan intervensi manusia, masing-masing dengan pemilik yang disebutkan dan tenggat waktu. Petugas perlindungan data wajib ada untuk badan publik dan untuk organisasi yang kegiatan intinya melibatkan pemantauan rutin dan sistematis dalam skala besar atau pemrosesan kategori khusus dalam skala besar, yang mencakup banyak sekali penerapan AI.
Semua ini tidak bisa dilakukan hanya di atas kertas. Orang-orang yang membangun model dan orang-orang yang menilai risiko harus mengerjakan dokumen yang sama, dan file tersebut harus diperbarui ketika model dilatih ulang atau digunakan kembali, karena sistem yang berubah secara signifikan merupakan operasi pemrosesan baru. Bagaimana hal ini sesuai dengan struktur kepatuhan yang lebih luas dibahas dalam artikel kami tentang jenis kepatuhan hukum dan kerangka tata kelola perusahaan , serta lanskap perlindungan data Belanda secara keseluruhan dalam panduan kami tentang hukum privasi data Belanda.
Melindungi sistem itu sendiri: Kekayaan intelektual dan rahasia dagang
Aturan yang melindungi suatu algoritma berjalan berlawanan arah dengan aturan yang mengharuskan algoritma tersebut dijelaskan, dan keduanya harus diselaraskan secara sengaja. Program komputer itu sendiri dikecualikan dari perlindungan paten, tetapi aplikasi AI yang memberikan solusi teknis untuk suatu masalah teknis pada prinsipnya dapat dipatenkan berdasarkan Undang-Undang Paten Belanda dan Konvensi Paten Eropa. Hak cipta melindungi kode sumber dan ekspresi asli lainnya berdasarkan Auteurswet, tetapi bukan ide, metode, atau teknik matematika yang mendasarinya. Dalam praktiknya, perlindungan yang paling berharga adalah hukum tentang rahasia dagang: Wet bescherming bedrijfsgeheimen, yang menerapkan arahan rahasia dagang Eropa, melindungi informasi yang bersifat rahasia, memiliki nilai komersial karena sifatnya yang rahasia, dan tunduk pada langkah-langkah yang wajar untuk menjaga kerahasiaannya. Hal itu mencakup data pelatihan, parameter model, dan arsitektur, asalkan langkah-langkah yang wajar tersebut benar-benar diambil dan didokumentasikan. Penegakan hukum dilakukan melalui pengadilan perdata, yang dapat memerintahkan larangan, penyerahan barang yang melanggar, dan ganti rugi; hal ini bukan wewenang otoritas persaingan.
Data pelatihan menimbulkan pertanyaan hak cipta tersendiri. Pengecualian penambangan teks dan data dalam hukum hak cipta Belanda, yang menerapkan arahan Eropa tentang hak cipta di pasar tunggal digital, mengizinkan penambangan karya yang dapat diakses secara sah, tetapi pemegang hak dapat mencadangkan hak mereka, dan penyedia model AI tujuan umum diwajibkan berdasarkan Undang-Undang AI untuk memiliki kebijakan untuk mematuhi hukum hak cipta Uni Eropa dan untuk menghormati pencadangan tersebut. Oleh karena itu, pengambilan data (scraping) dibatasi oleh dua rezim terpisah sekaligus, perlindungan data dan hak cipta, dan penghapusan satu rezim tidak mengatakan apa pun tentang rezim lainnya. Panduan kami tentang hukum kekayaan intelektual di Belanda dan artikel kami tentang perlindungan rahasia dagang membahas pertanyaan-pertanyaan ini secara rinci.
Batasan yang dimaksud adalah yang telah disebutkan sebelumnya: kerahasiaan tidak membebaskan Anda dari kewajiban untuk menjelaskan keputusan otomatis. Jika keduanya bertentangan, otoritas pengawas atau pengadilan akan memutuskan apa yang harus diungkapkan, sehingga tujuan desain yang masuk akal adalah sistem yang logikanya dapat dijelaskan pada tingkat prinsip dan faktor tanpa mengungkapkan apa pun yang benar-benar rahasia.
Pertanyaan yang sering diajukan
Pertanyaan-pertanyaan di bawah ini paling sering muncul ketika organisasi-organisasi Belanda memasukkan data pribadi ke dalam algoritma. Materi lebih lanjut tentang topik terkait dikumpulkan dalam panduan hukum TI Belanda kami.
Apa saja persyaratan bagi sistem AI berdasarkan GDPR saat memproses data pribadi di Belanda?
Sistem AI Anda harus mematuhi semua kewajiban GDPR saat memproses data pribadi di Belanda. Anda perlu menetapkan dasar hukum untuk pemrosesan, seperti persetujuan, pelaksanaan kontrak, atau kepentingan sah.
Anda harus memastikan bahwa pengumpulan data pribadi dibatasi hanya pada apa yang diperlukan untuk tujuan yang telah Anda tentukan. Aplikasi AI Anda tidak dapat memproses data lebih banyak daripada yang dibutuhkan untuk mencapai tujuan yang telah ditetapkan.
Otoritas Perlindungan Data Belanda mengharapkan Anda untuk menyimpan dokumentasi komprehensif tentang aktivitas pemrosesan data Anda. Anda perlu mencatat data apa yang Anda kumpulkan, mengapa Anda mengumpulkannya, dan berapa lama Anda menyimpannya.
Bagaimana GDPR memengaruhi pengembangan dan penerapan algoritma AI yang menangani informasi sensitif?
Anda menghadapi persyaratan yang lebih ketat ketika sistem AI Anda memproses kategori data pribadi yang sensitif. Ini termasuk informasi tentang kesehatan, ras, agama, opini politik, atau data biometrik.
Anda harus memperoleh persetujuan eksplisit atau mengidentifikasi dasar hukum sah lainnya sebelum memproses data sensitif melalui algoritma Anda. Persetujuan umum tidak cukup untuk kategori data ini.
Proses pengembangan Anda perlu mencakup pengamanan dan langkah-langkah keamanan tambahan untuk informasi sensitif. Anda harus menerapkan enkripsi, kontrol akses, dan penilaian keamanan secara berkala sepanjang siklus hidup sistem AI Anda.
Langkah-langkah apa yang harus diambil untuk memastikan transparansi dalam pengambilan keputusan AI yang melibatkan data pribadi warga Belanda?
Anda harus memberikan informasi yang jelas tentang bagaimana sistem AI Anda membuat keputusan yang memengaruhi individu. Pengguna Anda perlu memahami data apa yang Anda kumpulkan dan bagaimana algoritma Anda menggunakannya.
Anda harus mendokumentasikan logika dan proses pengambilan keputusan model AI Anda dalam bahasa yang mudah dipahami. Penjelasan teknis saja tidak memenuhi persyaratan transparansi GDPR.
Ketika sistem AI Anda membuat keputusan otomatis, Anda perlu memberi tahu individu yang terpengaruh tentang proses tersebut. Anda harus menjelaskan signifikansi dan potensi konsekuensi dari keputusan ini bagi mereka.
Apa saja hak yang dimiliki individu di Belanda terkait pengambilan keputusan otomatis berdasarkan GDPR?
Setiap individu berhak untuk tidak tunduk pada keputusan yang hanya didasarkan pada pemrosesan otomatis yang menghasilkan dampak hukum atau dampak signifikan serupa. Anda harus menawarkan keterlibatan manusia dalam proses pengambilan keputusan Anda ketika kondisi ini berlaku.
Pengguna Anda dapat meminta intervensi manusia untuk meninjau keputusan otomatis yang memengaruhi mereka. Anda perlu menetapkan prosedur untuk menangani permintaan ini dan memberikan pengawasan manusia yang berarti.
Subjek data dapat menantang keputusan otomatis dan meminta penjelasan tentang logika yang terlibat. Anda harus siap memberikan informasi tentang bagaimana sistem AI Anda mencapai kesimpulan spesifik tentang individu.
Dalam konteks Belanda, bagaimana GDPR mewajibkan sistem AI dirancang untuk perlindungan data secara default dan berdasarkan desainnya?
Anda harus mengintegrasikan perlindungan data ke dalam sistem AI Anda sejak tahap pengembangan paling awal. Pertimbangan privasi tidak dapat menjadi hal yang ditambahkan kemudian setelah algoritma Anda selesai.
Pengaturan default Anda seharusnya memberikan tingkat perlindungan data tertinggi yang mungkin. Pengguna seharusnya tidak perlu menyesuaikan pengaturan untuk mencapai perlindungan privasi dasar.
Anda perlu menerapkan langkah-langkah teknis seperti pseudonimisasi dan minimalisasi data di seluruh arsitektur sistem Anda. AI Anda seharusnya hanya mengakses dan memproses data minimum yang diperlukan untuk setiap fungsi spesifik.
Bagaimana organisasi dapat menunjukkan kepatuhan terhadap prinsip akuntabilitas GDPR saat menggunakan AI di Belanda?
Anda wajib menyimpan catatan rinci tentang aktivitas pemrosesan data dan pengoperasian sistem AI Anda. Dokumentasi membuktikan bahwa Anda telah mempertimbangkan dan memenuhi persyaratan GDPR.
Anda harus melakukan Penilaian Dampak Perlindungan Data sebelum menerapkan sistem AI yang menimbulkan risiko privasi tinggi. Penilaian ini mengidentifikasi potensi masalah.
Organisasi Anda perlu menerapkan kebijakan, program pelatihan, dan mekanisme pengawasan yang sesuai untuk penggunaan AI. Anda harus dapat menunjukkan bukti upaya kepatuhan berkelanjutan Anda kepada Otoritas Perlindungan Data Belanda kapan saja.
Seterpercayaapakah Olymp Trade? Kesimpulan Law & More dapat membantu
Law & More Memberikan konsultasi kepada organisasi Belanda dan internasional mengenai sisi perlindungan data AI: menilai apakah Pasal 22 berlaku untuk suatu sistem, merancang pengawasan manusia yang dapat dipertanggungjawabkan, menyusun penjelasan yang harus diberikan kepada orang-orang yang terdampak, melakukan penilaian dampak, menegosiasikan perjanjian pemrosesan dengan penyedia model dan platform, dan menanggapi Autoriteit Persoonsgegevens atau pengaduan dan klaim dari individu. Jika Anda menerapkan algoritma yang mengambil atau mendukung keputusan tentang orang, kami pengacara privasi bersedia meninjau berkas tersebut bersama Anda sebelum pihak regulator melakukannya.
Seterpercayaapakah Olymp Trade? Kesimpulan Law & More Yang dapat membantu Anda dalam hal ini dijelaskan di halaman kami. Pengacara TI .
