De Europese AI-regels in gewone taal

Dat is niet alleen voorzichtigheid. De Europese regels rond AI worden gefaseerd ingevoerd en de praktische uitwerking ervan wordt op nationaal niveau nog ingevuld. Er verschijnen richtsnoeren, toezichthouders bepalen hun lijn en er zijn onderdelen waarover deskundigen het onderling oneens zijn. Wie u nu een sluitend antwoord geeft over uw specifieke geval, overschat wat er te weten valt.

Wat er wel al vaststaat, is de opzet en de richting. Die opzet is bovendien redelijk te volgen zonder juridische opleiding, en dat is precies genoeg om te bepalen of u zich zorgen moet maken. Voor het overgrote deel van de mkb-ondernemers met een chatbot op hun site is het antwoord daarop: niet erg, mits u een paar dingen op orde brengt.

Wij vertellen erbij wat wij zelf wel en niet oppakken. Wij zorgen dat de technische en zichtbare kant klopt: openheid over wat er op de site draait, vastleggen welke dienst er wordt gebruikt en het beperken van gegevens die weggaan. De beoordeling of u aan uw verplichtingen voldoet, laten wij aan iemand anders.

Grofweg zijn er vier niveaus. Bovenaan staat een categorie toepassingen die eenvoudigweg verboden is; dat gaat over zaken als het beoordelen van burgers op hun gedrag en bepaalde vormen van manipulatie. Daaronder zit een categorie met hoog risico, waar zware eisen gelden aan documentatie, toezicht en kwaliteit. Denk aan systemen die meebeslissen over wie er wordt aangenomen, wie krediet krijgt of wie toegang krijgt tot onderwijs of zorg.

Daaronder zit een categorie waar vooral eisen aan openheid gelden. Systemen die met mensen praten of die inhoud maken vallen daar doorgaans in: er wordt van u verwacht dat duidelijk is dat er een machine in het spel is. En onderaan zit alles wat geen bijzonder risico oplevert, waar in de basis geen aanvullende verplichtingen aan hangen.

Voor u is dus de eerste vraag: waar zit ik? Een chatbot die vragen beantwoordt over uw openingstijden en uw retourbeleid zit niet in de zware categorieën. Zet u AI in bij het selecteren van sollicitanten of bij het beoordelen van kredietwaardigheid, dan is dat een heel ander gesprek en hoort u daarvoor deskundig advies in te winnen.

Dat betekent niet dat er niets geldt. De kern van wat er wel geldt, laat zich in één zin samenvatten: iemand die met een machine praat, hoort dat te weten. Dat is een verplichting die wij hoe dan ook zouden aanraden, ook als er geen enkele regel over bestond, omdat het in de praktijk gewoon beter werkt.

Er zit een randgeval in dat u wel moet herkennen. Zodra uw chatbot meer doet dan informeren, verschuift het beeld. Een systeem dat zelfstandig beslist of iemand in aanmerking komt voor iets, dat prijzen per klant aanpast op basis van een inschatting van die persoon, of dat aanvragen sorteert op een manier die mensen kan uitsluiten, komt in zwaarder vaarwater. Ook als het technisch dezelfde chatbot is.

Onze eigen lijn is daarom streng en dat scheelt discussie. Wij richten dit soort systemen in om informatie te geven en door te verwijzen, niet om beslissingen te nemen. Wat wij op dit vlak wel en niet doen, staat bij de AI-onderdelen die wij op een bestaande site aansluiten. Zodra een wens richting beoordelen of selecteren gaat, verwijzen wij door.

Concreet komt dat neer op een paar zichtbare dingen. In het chatvenster staat bovenaan dat dit een geautomatiseerde assistent is die antwoordt op basis van de informatie op deze website. Er staat bij hoe iemand een mens bereikt. Er wordt geen verzonnen persoonsnaam gebruikt en er wordt niet gedaan alsof er iemand meeleest.

Datzelfde principe geldt breder dan alleen chat. Laat u teksten of afbeeldingen genereren, dan is de verwachting dat kunstmatig gemaakt materiaal als zodanig herkenbaar is, zeker wanneer het om beeld of geluid gaat dat echt lijkt. Voor een productbeschrijving die u zelf heeft nagelezen en aangepast, is dat een minder scherp punt dan voor een foto van een gebeurtenis die nooit heeft plaatsgevonden. Bij twijfel geldt: hoe meer het op echt lijkt, hoe belangrijker het is dat u erbij zet wat het is.

Er is nog een onderdeel dat weinig aandacht krijgt en waar u wel iets mee kunt. Van organisaties wordt verwacht dat de mensen die met deze systemen werken, begrijpen wat ze doen en wat de beperkingen zijn. Voor een klein bedrijf betekent dat geen opleidingstraject, maar wel dat degene die de antwoorden beoordeelt weet dat het systeem dingen kan verzinnen. Een half uur uitleg en een korte notitie erover is voldoende, en het is sowieso verstandig.

Zodra er een chatvoorziening van een externe partij meelaadt, gaan er gegevens naar die partij. Dat begint al bij het adres van de bezoeker en de pagina waar hij is, ook als hij nooit iets typt. Zodra hij wel typt, kan er van alles in dat venster belanden, inclusief zaken die u nooit had willen ontvangen. Bezoekers zijn in een chatvenster opvallend openhartig.

De vragen die u dan moet kunnen beantwoorden, zijn de gebruikelijke. Wie is de partij achter de dienst, waar worden de gegevens verwerkt, hoe lang blijven gesprekken bewaard, is er een verwerkersovereenkomst, en staat de dienst in uw privacyverklaring. Wij hebben de punten die specifiek rond een chatvenster spelen apart op een rij gezet, naast de bredere lijst van wat er voor de privacywetgeving op een website geregeld hoort te zijn.

Een concreet aandachtspunt: veel diensten worden buiten Europa verwerkt. Dat is niet zonder meer verboden, maar het is wel iets waar u van moet weten en wat u moet kunnen uitleggen. Vraag er expliciet naar voordat u tekent, want achteraf overstappen op een andere aanbieder is een stuk duurder dan vooraf de juiste kiezen. Dat het technische deel goed staat, hoort bij het afschermen van uw site en de gegevens die erop binnenkomen.

Neemt u een bestaande dienst af, koppelt u die aan uw website en gebruikt u hem zoals bedoeld, dan bent u de gebruikende partij. Het zwaardere werk aan documentatie en beoordeling ligt dan bij degene die de dienst levert. Wat er van u wordt verwacht, is vooral dat u hem gebruikt zoals is voorgeschreven, dat u open bent naar bezoekers en dat u kunt aantonen welke dienst u afneemt.

Dat verandert als u het systeem onder uw eigen naam aanbiedt, het wezenlijk anders gaat gebruiken dan de leverancier bedoelde, of het zo verbouwt dat het iets anders doet. Dan schuift u op richting de kant van de aanbieder, met de bijbehorende verplichtingen.

Voor een mkb-onderneming met een chatbot op de eigen site is dat in de praktijk zelden aan de orde. Toch is het verstandig om dit expliciet met uw leverancier te bespreken en op papier te krijgen wie waarvoor verantwoordelijk is. Dat is dezelfde vraag die u ook stelt bij een betaalkoppeling of een boekhoudkoppeling, en om dezelfde reden: als er iets misgaat, wilt u niet dan pas ontdekken dat niemand zich eigenaar voelt.

• Schrijf op wat er draait. Welke AI-onderdelen staan er op uw site, wat doen ze, van welke leverancier zijn ze en sinds wanneer. Eén A4 volstaat en het is het eerste wat iemand van u zal vragen.
• Zet openheid in het venster. Eén zin dat het een geautomatiseerde assistent is, met een zichtbare route naar een mens ernaast.
• Beperk wat het mag. Informeren en doorverwijzen wel, toezeggingen doen en beoordelen niet. Leg die grens vast in de instellingen én op papier.
• Regel de privacykant. Verwerkersovereenkomst, vermelding in uw privacyverklaring, een bewaartermijn voor gesprekken en toestemming waar dat nodig is.
• Zorg dat iemand het begrijpt. Degene die de antwoorden beoordeelt, weet dat het systeem dingen kan verzinnen en weet wat er dan moet gebeuren.
• Houd bij wat er misging. Een simpel logboekje van foute antwoorden en wat u eraan heeft gedaan. Dat is uw bewijs dat u erbovenop zit.

Merkt u dat dit lijstje vooral gaat over ordelijk werken, dan klopt dat. Wie zijn zaken op deze manier heeft liggen, staat er bij vrijwel elke uitwerking van de regels redelijk voor. Wilt u dit een keer aan uw eigen situatie toetsen, dan kunt u het rustig een keer met ons doornemen; voor het juridische oordeel verwijzen wij u door naar iemand die daarvoor is opgeleid.