EU AI-wet Artikel 26: Verplichtingen Van Inzetters Voor AI Met Een Hoog Risico

Wie Is Een Inzetter?

Een inzetter is elke natuurlijke of rechtspersoon die een AI-systeem onder zijn eigen gezag gebruikt in het kader van een beroepsactiviteit (personen die AI voor zuiver persoonlijke, niet-beroepsdoeleinden gebruiken, zijn uitgesloten).

De verplichtingen van de inzetter staan naast, en niet in plaats van, de verplichtingen van de aanbieder. De aanbieder bouwt en documenteert het systeem; de inzetter is verantwoordelijk voor de werking van het systeem. Als een inzetter een AI-systeem met een hoog risico aanzienlijk wijzigt of zijn eigen naam erop zet, kan hij ook de verplichtingen van de aanbieder onder Artikel 25 op zich nemen.

De Kernverantwoordelijkheden Van De Inzetter

Artikel 26 legt een bepaald set van operationele verplichtingen op aan inzetters van AI-systemen met een hoog risico:

• Gebruik volgens instructies — passende technische en organisatorische maatregelen nemen om het systeem te gebruiken in overeenstemming met de instructies van de aanbieder voor gebruik
• Bevoegde menselijke toezicht toewijzen — toezicht toevertrouwen aan natuurlijke personen die de nodige competentie, opleiding, autoriteit en ondersteuning hebben om dit onder Artikel 14 uit te voeren
• Invoergegevens controleren — waar de inzetter de invoergegevens controleert, ervoor zorgen dat deze relevant en voldoende representatief zijn voor het beoogde doel
• Werking bewaken — de werking van het systeem bewaken tegen de instructies voor gebruik en de aanbieder of distributeur informeren waar een risico ontstaat
• Automatisch gegenereerde logbestanden bewaren — de logbestanden die het systeem automatisch genereert, bewaren voor zolang deze onder het gezag van de inzetter vallen, voor ten minste zes maanden (tenzij een langere periode is voorgeschreven door Unie- of nationale wetgeving)
• Werknemers en vertegenwoordigers informeren — voordat een AI-systeem met een hoog risico in de werkomgeving in gebruik wordt genomen, de getroffen werknemers en hun vertegenwoordigers informeren dat zij aan het systeem zullen worden onderworpen
• Gegevensbeschermingseffectbeoordeling — waar van toepassing, de informatie die onder Artikel 13 is verstrekt, gebruiken om een gegevensbeschermingseffectbeoordeling uit te voeren onder de AVG
• Opheffen en informeren bij ernstig risico — waar het systeem een risico vormt voor de gezondheid, veiligheid of fundamentele rechten, of een ernstig incident optreedt, het gebruik opheffen, de aanbieder, distributeur en de relevante autoriteiten informeren en meewerken

De Zes-Maanden Logbewaring

Inzetters moeten de logbestanden die automatisch door het AI-systeem met een hoog risico worden gegenereerd, voor een periode die passend is voor het beoogde doel, en in elk geval voor ten minste zes maanden, bewaren — tenzij een langere bewaarperiode is vereist door Unie- of nationale wetgeving.

Dit geldt voor de logbestanden die onder het gezag van de inzetter vallen. Het is het tegenhanger van de loggingontwerpverplichting van de aanbieder onder de Artikelen 12 en 19: de aanbieder bouwt de loggingcapaciteit, en de inzetter is verantwoordelijk voor het daadwerkelijk bewaren en kunnen produceren van de resulterende records. Sectorregels (bijvoorbeeld in de financiële of gezondheidssector) stellen vaak een langere vloer, dus behandel zes maanden als het minimum, niet het doel.

Openbare autoriteiten die als inzetters optreden, hebben aanvullende transparantie- en registratieverplichtingen onder de Artikelen 26 en 49.