Huidige stand van zaken en vooruitzichten van de AI-regelgeving in de EU: Wat is de impact op Japanse bedrijven?

Door de ontwikkeling van AI worden tools zoals ChatGPT steeds vaker gebruikt in bedrijfsprocessen, wat de AI-gerelateerde business stimuleert. Tegelijkertijd krijgt de internationale regulering van AI steeds meer aandacht.

In Japan heeft het Ministerie van Economie, Handel en Industrie de “Governance Guidelines for the Implementation of AI Principles Ver. 1.1″[ja] gepubliceerd (op het moment van schrijven). Op 14 juni 2023 (Reiwa 5) werd ‘s werelds eerste internationale “AI Regulation Act” aangenomen door het Europees Parlement, wat ook in Japan veel aandacht heeft getrokken.

In dit artikel introduceren we de huidige stand van zaken en de vooruitzichten van de AI-regelgeving, en leggen we uit wat de impact is op Japanse bedrijven.

Wat is de AI-regelgeving (AI Act)?

Op 14 juni 2023 werd een alomvattende ‘AI-regelgevingsvoorstel’ dat zich richt op het gebruik van AI in het algemeen, aangenomen door het Europees Parlement van de EU. Het is de eerste internationale ‘AI-regelgeving (AI Act)’ bestaande uit 85 artikelen, die als een uniforme regel (secundaire wetgeving) binnen de EU zal functioneren.

In de toekomst zullen er informele onderhandelingen (trilogen) plaatsvinden tussen de drie partijen (de Europese Commissie, het Europees Parlement en de Raad van de Europese Unie) met als doel een overeenkomst binnen 2023. Na goedkeuring door het wetgevende orgaan, het Europees Parlement en de Raad van de Europese Unie, wordt verwacht dat de wetgeving in 2024 in werking zal treden.

Het rechtssysteem van de EU

Het rechtssysteem van de EU bestaat uit drie soorten wetgeving: primaire wetgeving (verdragen), secundaire wetgeving (gemeenschapswetgeving) en jurisprudentie.

Secundaire wetgeving is gebaseerd op primaire wetgeving (verdragen) en bestaat uit wetten die direct of indirect de lidstaten binnen de EU reguleren, ook bekend als EU-wetgeving of afgeleide wetgeving.

Er zijn grofweg vijf soorten secundaire wetgeving, maar de ‘EU AI-regelgeving’ valt onder de categorie verordeningen (Regulation), wat betekent dat het uniforme regels zijn die direct bindend zijn voor de EU-lidstaten.

De EU-wetgeving (secundaire wetgeving) omvat de volgende vijf soorten:

• Verordeningen (Regulation): Deze hebben bindende kracht voor alle lidstaten en worden direct van toepassing (zonder dat nationale ratificatieprocedures nodig zijn, ze worden een deel van het nationale rechtssysteem).
• Richtlijnen (Directive): Lidstaten zijn verplicht om nationale wetgeving te creëren of te wijzigen om de doelstellingen te bereiken die in de richtlijn zijn vastgesteld.
• Besluiten (Decision): Dit is een vorm van wetgeving met juridische bindende kracht die specifiek gericht is op bepaalde entiteiten, zoals specifieke lidstaten, bedrijven of individuen.
• Aanbevelingen (Recommendation): De Europese Commissie adviseert regeringen van lidstaten, bedrijven of individuen om bepaalde acties te ondernemen of maatregelen te treffen. Ze hebben geen juridische bindende kracht of dwang, maar zijn bedoeld om de implementatie of wijziging van wetgeving binnen de EU-lidstaten te stimuleren.
• Adviezen (Opinion): Soms ook ‘meningen’ genoemd, waarbij de Europese Commissie haar standpunt over een specifiek thema uitdrukt, zonder juridische bindende kracht of dwang.

Verordeningen worden beschouwd als de meest dwingende vorm van secundaire wetgeving, met bijvoorbeeld de GDPR (General Data Protection Regulation) = ‘Algemene Verordening Gegevensbescherming’ als een voorbeeld van een verordening.

Toepassingsgebied van de Europese AI-regelgeving

De ‘AI-regelgeving’ van de EU is niet alleen direct van toepassing binnen de EU, maar heeft ook extraterritoriale werking in derde landen die handelspartners zijn, waardoor het juridisch bindend is. De regelgeving is van toepassing op ondernemingen die AI-systemen en -diensten op de Europese markt introduceren, waaronder ontwikkelaars, implementeerders, aanbieders, importeurs, distributeurs en gebruikers van AI.

De AI-regelgeving stelt duidelijke eisen aan bepaalde AI-systemen en verplichtingen voor ondernemers, maar streeft tegelijkertijd naar het verminderen van administratieve en financiële lasten voor kleine en middelgrote ondernemingen (KMO’s).

Dit wetsvoorstel maakt deel uit van een uitgebreid AI-pakket dat gericht is op het waarborgen van de veiligheid van AI en fundamentele rechten, en het versterken van de inzet, investeringen en innovatie in AI in de hele EU.

Europese regelgeving moet in overeenstemming zijn met de fundamentele filosofie van het Verdrag betreffende de Europese Unie. Dit betekent dat ook in de context van AI-technologie de mensenrechten en vrijheden binnen de EU gewaarborgd moeten worden, en dat hiervoor de nodige waarborgen vereist zijn.

Het wetsvoorstel beschrijft het doel van de regelgeving als ‘het bevorderen van het gebruik van betrouwbare AI onder menselijk toezicht en het waarborgen van de bescherming van gezondheid, veiligheid, fundamentele rechten, democratie en de rechtsstaat, en het milieu tegen de risico’s van AI’.

Specifiek zijn de volgende ‘algemene principes die op alle AI-systemen van toepassing zijn’ vastgelegd:

• Menselijke autonomie en toezicht
• Technische robuustheid en veiligheid
• Privacy en gegevensbeheer
• Transparantie
• Diversiteit, non-discriminatie en eerlijkheid
• Welzijn van de samenleving en het milieu

Binnen deze regelgeving wordt duidelijk aangegeven dat het essentieel is om maatregelen te nemen die de AI-geletterdheid van ontwikkelaars, gebruikers en aanbieders van AI waarborgen om de AI-principes te bereiken.

Bij overtredingen kunnen er enorme boetes worden opgelegd op basis van de wereldwijde omzet (tot een maximum van 30 miljoen euro, ongeveer 4,7 miljard yen, of 6% van de totale wereldwijde omzet, afhankelijk van welke van de twee het hoogst is), wat kan leiden tot het onvermogen om AI-business binnen de EU uit te voeren.

Daarom wordt van bedrijven die momenteel AI-business in de EU-markt introduceren, inclusief Japanse bedrijven, en van bedrijven die overwegen om in de toekomst de EU-markt te betreden, verwacht dat zij hun activiteiten in overeenstemming brengen met de nieuwe Europese AI-regelgeving.

De achtergrond van de totstandkoming van de AI-regelgeving

Hoewel generatieve AI een handig hulpmiddel is, brengt het ook risico’s met zich mee, zoals het bevorderen van criminaliteit en het bedreigen van de democratie. Naarmate AI-technologie zich ontwikkelt en meer wordt toegepast, worden deze problemen onvermijdelijke uitdagingen.

Sinds 2016 hebben de Europese Unie (EU), de Verenigde Staten en China richtlijnen en nationale strategievoorstellen voor AI gepubliceerd. De EU heeft met name gewerkt aan de ontwikkeling van regelgeving voor AI en big data, en tussen 2017 en 2022 zijn belangrijke richtlijnen, verklaringen en regelgevingsvoorstellen opgesteld.

Zo werd in april 2016 de ‘Algemene Verordening Gegevensbescherming (AVG)’ aangenomen, op 21 april 2021 werd het ‘Voorstel voor een AI-regelgeving’ gepresenteerd, op 30 mei 2022 werd de ‘Europese Data Governance Act (DGA)’ vastgesteld, die vanaf 24 september 2023 (2023) van kracht is.

Deze regelgevingen zijn bedoeld om te waarborgen dat AI en big data veilig en eerlijk worden gebruikt in de hele samenleving, en tegelijkertijd innovatie en economische groei te stimuleren.

De EU heeft als digitale strategie ‘A Europe fit for the Digital Age’ geformuleerd.

Ook na de presentatie van het ‘Voorstel voor een AI-regelgeving’ heeft de Europese Commissie, in reactie op de snelle evolutie en verspreiding van generatieve AI, op 14 juni 2023 (2023) een gewijzigd voorstel aangenomen dat nieuwe overwegingen en vereisten voor generatieve AI toevoegt.

Kenmerken van de Japanse AI-reguleringswet

De kern van de ‘Japanse AI-reguleringswet’ bestaat uit drie hoofdkenmerken: ‘risicogebaseerde AI-classificatie’, ‘vereisten en verplichtingen’, en ‘ondersteuning van innovatie’.

Deze regelgeving hanteert een methodologie die bekend staat als ‘risicogebaseerde benadering’, waarbij AI wordt gecategoriseerd in vier risiconiveaus, en de bijbehorende regelgeving wordt toegepast op basis van deze classificatie.

Concreet zijn, zoals in de onderstaande tabel weergegeven, voor de vier risicocategorieën van AI-systemen specifieke verboden, vereisten en verplichtingen vastgesteld. Voor AI met een hoog risico zijn de toepassingen specifiek gedefinieerd vanuit het oogpunt van het waarborgen van de veiligheid van het menselijk lichaam en leven, het beschermen van het zelfbeschikkingsrecht, en het handhaven van democratie en een eerlijk proces.

De impact van de AI-regelgeving op Japan

De EU heeft internationaal een voortrekkersrol gespeeld door regelgeving in te voeren op gebieden zoals mensenrechten, bescherming van persoonsgegevens en milieubehoud. Deze regelgeving is vaak de ‘gouden standaard’ geworden voor de systeemontwerpen van andere landen.

De herziening van de Japanse Wet op de Bescherming van Persoonsgegevens werd ook gedreven door de noodzaak om gedecentraliseerde regelgeving te harmoniseren, en om te voldoen aan de EU’s Algemene Verordening Gegevensbescherming (GDPR). Daarnaast bestaan er wetten zoals de ‘Wet op de Transparantie en Eerlijkheid van Specifieke Digitale Platforms’ (in werking getreden op 1 februari 2021), die zijn ontworpen met de EU-regelgeving als referentie.

In Japan is er momenteel geen harde wetgeving die AI reguleert; het land volgt een beleid van zelfregulering door middel van soft law.

Zoals eerder vermeld, is de ‘AI-regelgeving’ van de EU niet alleen direct van toepassing op de lidstaten, maar heeft het ook extraterritoriale werking voor bedrijven die activiteiten ontplooien binnen de EU. Dit betekent dat het ook van toepassing is op ondernemingen die buiten de EU zijn gevestigd.

Zoals later besproken zal worden, kunnen bij de export van AI-producten binnen de EU meerdere wetten vanuit verschillende perspectieven van toepassing zijn, en het is essentieel om hierop voorbereid te zijn. Japanse bedrijven moeten de ontwikkelingen nauwlettend in de gaten houden en passende wettelijke maatregelen treffen.

Aanneming van het amendement inclusief generatieve AI

De AI-regelgeving is een wet die is aangepast door de drie EU-instellingen: de Europese Raad, het Europees Parlement en de Europese Commissie.

Op 11 mei 2023 heeft de IMCO (Commissie Interne Markt en Consumentenbescherming) en de LIBE (Commissie Burgerlijke Vrijheden, Justitie en Binnenlandse Zaken) de amendementen op de AI-regelgeving goedgekeurd.

Deze amendementen zijn op 14 juni 2023 door het Europees Parlement aangenomen.

Het rapport bevat belangrijke wijzigingen in het wetgevingsvoorstel, zoals het verbod op voorspellende politietaken, talrijke toevoegingen aan de lijst van hoogrisico stand-alone AI en een sterke en alomvattende rol voor het nieuwe AI-bureau (EAIB – European Artificial Intelligence Board ter vervanging van de bestaande instantie).

Er is ook een voorstel voor een sterkere samenwerking met de GDPR (Gegevensbeschermingswet) en een toename van de betrokkenheid van stakeholders in bepaalde gebieden, evenals de introductie van specifieke bepalingen met betrekking tot generatieve en algemene AI.

Daarna, op 24 oktober 2023, werd de vierde triloog (driepartijenoverleg) over de AI-regelgeving gehouden, waarbij aanzienlijke vooruitgang werd geboekt op politiek gevoelige kwesties. In het bijzonder werd een voorlopige overeenkomst bereikt over het filtermechanisme voor risicovolle AI-systemen (Art. 6).

Verder werd politieke richtlijnen gegeven over de toekomstige richting van basis-/algemene AI-systemen, governance, verboden en wetshandhavingsinstanties, en technische teams werden verplicht om te werken aan specifieke tekstvoorstellen met betrekking tot de bovengenoemde kwesties.

Over de AI-regelgeving in verband met relevante wetgeving

De AI-regelgeving omvat verschillende wetten die vanuit diverse perspectieven zijn vastgesteld. Deze drie wetten zijn door de Europese Unie (EU) ingevoerd om de bescherming van persoonsgegevens in de digitale ruimte en eerlijke concurrentie te waarborgen.

DSA (De Digital Services Act)

De ‘Digital Services Act’ (DSA) van de EU, die op 16 november 2022 (Reiwa 4) in werking is getreden, is een alomvattende regelgeving met betrekking tot e-commerce binnen de EU (volledige implementatie gepland voor 17 februari 2024 (Reiwa 6)).

In de EU was sinds het jaar 2000 een richtlijn voor e-commerce van kracht, maar door de evolutie van het internet en online platforms werd het steeds moeilijker om deze toe te passen. Daarom is de DSA, een uniforme EU-regelgeving, ingevoerd ter vervanging van de bestaande richtlijn.

De DSA is opgesteld met als doel de interne markt van de EU voor bemiddelingsdiensten goed te laten functioneren, de fundamentele rechten van gebruikers te beschermen en een veiligere digitale omgeving te handhaven. De gereguleerde entiteiten zijn online bemiddelingsdiensten, hostingdiensten en online platforms (inclusief VLOP en VLOSE).

Het is een wet die op een alomvattende manier zowel BtoB als BtoC reguleert, met betrekking tot de verantwoordelijkheid voor illegale inhoud die wordt gepubliceerd en de afhandeling van geschillen die zich voordoen.

Specifiek legt het maatregelen op om illegale inhoud, producten en diensten te verwijderen, versterkt het de bescherming van fundamentele rechten van gebruikers en vraagt het om uitgebreide regels voor transparantie en verantwoordingsplicht.

Daarnaast zijn er strengere regels opgelegd voor VLOP (Very Large Online Platform) – ‘gigantische online platforms’ en VLOSE (Very Large Online Search Engine) – ‘gigantische online zoekmachines’, die in de EU gemiddeld meer dan 45 miljoen gebruikers per maand hebben.

De aangewezen VLOP en VLOSE moeten binnen vier maanden na kennisgeving van het besluit hun systemen, middelen en processen aanpassen aan de DSA, verzachtende maatregelen invoeren en een onafhankelijk systeem opzetten voor naleving van de wetgeving. Vervolgens moeten zij een audit en de eerste jaarlijkse risicobeoordeling uitvoeren en hierover rapporteren aan de Europese Commissie.

De DSA zal vanaf 17 februari 2024 (Reiwa 6) volledig van toepassing zijn, en de naleving van de DSA door bedrijven anders dan VLOP en VLOSE zal in de toekomst worden gemonitord door de Europese Commissie en de autoriteiten van de lidstaten.

Lidstaten moeten tegen 17 februari 2024 (Reiwa 6) een onafhankelijke ‘Digital Services Coordinator’ hebben opgericht om toezicht te houden op de naleving van de DSA, met bevoegdheden om sancties uit te voeren, inclusief boetes voor niet-naleving.

Aan de andere kant zal de Europese Commissie direct toezicht houden op VLOP en VLOSE en heeft zij de bevoegdheid om sancties uit te voeren.

De boetes voor het overtreden van de wet kunnen oplopen tot 6% van de totale wereldwijde jaaromzet van het voorgaande jaar van de betreffende onderneming.

Deze wetgeving maakt deel uit van de EU’s digitale strategie, bekend als ‘A Europe fit for the Digital Age’, en is bedoeld om de nieuwe uitdagingen en risico’s van het evoluerende digitale tijdperk aan te pakken.

DMA (De Digital Markets Act)

De ‘Digital Markets Act’ (DMA) van de EU treedt grotendeels in werking vanaf 2 mei 2023 en heeft als doel de digitale markt eerlijk en concurrerend te maken en te voorkomen dat bepaalde digitale platforms de markt domineren.

De regelgeving is van toepassing op aangewezen gatekeepers en stelt hun verplichtingen vast. Bij overtreding kunnen sancties worden opgelegd, zoals boetes tot 10% van de wereldwijde omzet.

Een ‘gatekeeper’ is een van de grootste digitale platforms die binnen de Europese Unie actief zijn en die in bepaalde digitale sectoren een aanhoudende positie op de markt innemen. Ze worden zo genoemd omdat ze voldoen aan bepaalde criteria met betrekking tot het aantal gebruikers, omzet en kapitaal.

De Europese Commissie zal uiterlijk op 6 september 2023 de nieuwste gatekeepers aanwijzen. Deze bedrijven krijgen dan maximaal zes maanden (tot maart 2024) de tijd om aan de nieuwe verplichtingen van de Digital Markets Act te voldoen. De bedrijven die als ‘gatekeepers’ zijn aangewezen, zijn Alphabet, Amazon, Apple, ByteDance, Meta en Microsoft. In totaal zijn 22 belangrijke platform- en dienstenaanbiedingen van deze gatekeepers aangewezen als onderwerp van de wet.

Deze wetgeving is bedoeld om misbruik van marktmacht door grote digitale platforms te voorkomen en het voor nieuwkomers makkelijker te maken om tot de markt toe te treden.

GDPR (Algemene Verordening Gegevensbescherming)

De GDPR (Algemene Verordening Gegevensbescherming) is een nieuwe ‘gegevensbeschermingswet’ van de EU die op 25 mei 2018 (2018年5月25日) in werking is getreden.

Het is een juridisch kader dat richtlijnen stelt voor het verzamelen en verwerken van persoonlijke informatie van individuen binnen en buiten de EU. Deze regelgeving legt verplichtingen op aan organisaties die zich richten op de EU of gegevens verzamelen die gerelateerd zijn aan mensen binnen de EU.

Gerelateerd artikel: Uitleg over de belangrijkste punten bij het opstellen van een privacybeleid dat voldoet aan de GDPR[ja]

Verwachte trends in AI-regulering

In dit artikel lichten we de AI-systemen toe die bedrijven nauwlettend in de gaten moeten houden, zoals beschreven in de eerdergenoemde risicoclassificatietabel voor AI.

Verbod op het gebruik van sociale kredietscores

Een van de AI-systemen die onder de ‘verboden risico’s’ van de Europese Unieregulering valt, is de sociale kredietscore (Social Credit Score). Volgens het amendement wordt dit systeem niet alleen beperkt tot overheidsinstanties, maar volledig verboden.

Met ‘sociale kredietscore’ wordt een systeem bedoeld dat individuele burgers scoort op basis van hun sociale status en gedrag.

In China functioneert het als een instrument van de surveillancemaatschappij en is het als nationaal beleid opgezet in vier sectoren: ‘overheid’, ‘handel’, ‘maatschappij’ en ‘rechtspraak’.

Specifieke beperkingen omvatten onder andere het verbod op het gebruik van vliegtuigen en hogesnelheidstreinen, uitsluiting van privéscholen, verbod op het oprichten van organisaties zoals NPO’s, uitsluiting van prestigieuze banen, uitsluiting van hotels, verlaging van internetsnelheden en openbaarmaking van persoonlijke informatie op websites en in de media. Aan de andere kant kunnen mensen met een hoge score verschillende ‘privileges’ ontvangen.

Desalniettemin roept een dergelijk systeem zorgen op over de privacy en vrijheid van individuen, en de discussie over de implementatie ervan gaat door.

Het verbod op het gebruik van sociale kredietscores binnen de EU is bedoeld om te zorgen dat het gebruik van AI-technologie eerlijk en transparant is.

Versterking van de beperkingen op generatieve AI

Een van de AI-systemen die onder de ‘beperkte risico’s’ van de Europese Unie (EU) regelgeving valt, is generatieve AI.

Generatieve AI (Generative AI) is een soort AI die, gebaseerd op trainingsdata, nieuwe content of oplossingen genereert en heeft recentelijk veel aandacht gekregen met voorbeelden zoals Chat GPT. Echter, er zijn diverse uitdagingen verbonden aan generatieve AI, wat de noodzaak voor regulering onderstreept.

In de AI-regelgeving wordt, gezien de snelle evolutie en adoptie van generatieve AI, het denkkader en de vereisten met betrekking tot generatieve AI uitgebreid.

Specifiek worden aanbieders van generatieve AI, waaronder OpenAI, verplichtingen opgelegd zoals het openbaar maken van auteursrechtelijk beschermde data die gebruikt zijn voor het trainen van hun LLM’s (Large Language Models – Grote Taalmodellen).

Het doel hiervan is om de transparantie van generatieve AI te waarborgen en de regelgeving voor risicobeheer te versterken.

In de EU-wetgeving wordt, net als bij de GDPR (Algemene Verordening Gegevensbescherming), traditioneel veel waarde gehecht aan het principe van ‘transparantie’. Beschermingsmaatregelen en de verplichting om het gebruik en doel van AI vooraf aan de betrokkenen te openbaren, zijn opgelegd, en dit principe is uitgegroeid tot de internationale ‘gouden standaard’.

Gebruiksbeperkingen van Emotieherkenning AI

Emotieherkenning AI, die valt onder de ‘beperkte risico’s’ van de EU-regelgeving, is ook een AI-systeem waarop transparantieverplichtingen van toepassing zijn, en er worden beperkte verplichtingen opgelegd, zoals voorafgaande kennisgeving van het gebruik van AI.

‘Emotieherkenning AI’ verwijst naar AI die in staat is om veranderingen in menselijke emoties te lezen.

Specifiek zijn er de volgende vier soorten, die via microfoons, camera’s en sensoren emoties zoals vreugde, woede, verdriet en plezier, en het niveau van interesse analyseren:

• Tekstgebaseerde emotieherkenning AI: analyseert emoties door menselijk ingevoerde tekst of spraakgegevens die naar tekst zijn omgezet.
• Stemgebaseerde emotieherkenning AI: analyseert emoties uit de stemgeluiden die mensen produceren.
• Gezichtsuitdrukking emotieherkenning AI: leest emoties af van gezichtsuitdrukkingen via een camera.
• Biometrische emotieherkenning AI: herkent emoties op basis van biometrische gegevens zoals hersengolven en hartslag.

Deze technologieën worden gebruikt in verschillende situaties, zoals in de klantenservice, callcenters en verkoop. Naarmate de technologie zich verder ontwikkelt, wordt ook het gebruik ervan in de medische sector verwacht.

Echter, de bescherming van privacy met betrekking tot biometrische gegevens en de daaruit voortvloeiende persoonlijke informatie, evenals de ontwikkeling van bijbehorende wetgeving, zijn noodzakelijk.

Samenvatting: De huidige staat en toekomstperspectieven van de AI-regelgeving

Hierboven hebben we de huidige staat en toekomstperspectieven van de ‘EU AI-regelgeving’ en de impact ervan op Japanse bedrijven besproken. Het is waarschijnlijk dat deze wereldprimeur van de ‘EU AI-regelgeving’ zal uitgroeien tot een internationale ‘gouden standaard’.

Voor Japanse bedrijven die van plan zijn de EU-markt te betreden, zal het van cruciaal belang zijn om de ontwikkelingen van deze AI-regelgeving nauwlettend in de gaten te houden. We raden aan om advies in te winnen bij een advocaat die gespecialiseerd is in internationaal recht en AI-technologie, met betrekking tot de AI-regelgeving in de EU.

Maatregelen van ons kantoor

Monolith Advocatenkantoor is een juridische firma met uitgebreide ervaring in IT, en in het bijzonder op het gebied van internet en recht. De AI-business brengt vele juridische risico’s met zich mee, en de ondersteuning van een advocaat die gespecialiseerd is in juridische kwesties rondom AI is essentieel. Ons kantoor biedt geavanceerde juridische ondersteuning voor AI-bedrijven, inclusief ChatGPT, door middel van een team van AI-geïnformeerde advocaten en ingenieurs. We verzorgen contractopstelling, beoordeling van de wettelijkheid van bedrijfsmodellen, bescherming van intellectuele eigendomsrechten en privacykwesties. Meer details vindt u in het onderstaande artikel.

Expertisegebieden van Monolith Advocatenkantoor: AI (zoals ChatGPT) juridische diensten[ja]