Wat is het verschil tussen: A, een bank die aan de hand van iemands gezichtsuitdrukking beoordeelt of diegene een hypotheek krijgt en B, een webbouwer die aan de hand van iemands gezichtsuitdrukking de gebruikerservaring van een website wil toetsen?
Ga er maar even voor zitten. Want precies om in dit soort dilemma’s eerlijke keuzes te kunnen maken, riep Europa per augustus 2024 de AI-verordening (in het Engels: AI Act) in het leven, oftewel de wet die ervoor moet zorgen dat AI alleen voor ‘goede doeleinden’ wordt ingezet. De bedoeling is dat de AI-wet het gebruik van algoritmes en AI-toepassingen reguleert en de risico’s voor mens en maatschappij minimaliseert.
Nieuwe wet biedt kansen
Mirjam Elferink (Elferink & Kortier Advocaten) is advocaat en gespecialiseerd in intellectueel eigendom, ICT-recht en privacy. Lucas Noldus is onder meer maker van AI-software die de emotie van mensen kan aflezen. Met een moeilijk woord: affective computing.
Wat de twee met elkaar gemeen hebben: ze schrikken niet van de nieuwe wet, maar zien het als een kans voor onder meer startups die met de beste bedoelingen nuttige AI-modellen ontwikkelen of gebruiken.
Op 10 september 2024 organiseert AI-hub Oost-Nederland het event ‘The EU AI Act - From a Legal and Investor Perspective’, waar startups door onder meer een lezing van Elferink bewust worden gemaakt van de regels die voortkomen uit de nieuwe wet, maar vooral ook van de kansen die de wet biedt.
De bank versus de webbouwer
Noldus is als ondernemer enthousiast dat er regels zijn. ‘Die bank, dat is dubieus’, zegt hij, refererend aan casus A aan het begin van dit artikel. ‘Social scoring, de evaluatie van personen met mogelijk onevenredige gevolgen, ligt in dat voorbeeld op de loer. Waar emotieherkenning wel voor mag worden gebruikt, is voor onderzoek. Dus bijvoorbeeld voor het meten van gebruikerservaringen. Als een webbouwer de betaalpagina op een site anders heeft ingericht, wil die weten of dat daadwerkelijk voor meer gemak zorgt bij de gebruiker. Dat kun je onder meer meten door de uitdrukking van het gezicht van de gebruiker te monitoren.’
AI-uitvinding toetsen aan de wet
Bij de casussen A en B, over de bank en over de webbouwer, kunnen vragen rijzen. Zoals, wat als de techniek door een ander bedrijf (de afnemer) wordt misbruikt, wie is daar dan voor aansprakelijk? En, weten de mensen die zo’n website testen überhaupt dat hun gezicht wordt afgelezen? Voor dergelijke dingen voorziet de AI-verordening in richtlijnen.
Maar waar begin je als je je AI-uitvinding wil toetsen aan de wet? Elferink raadt startups die met AI aan de slag gaan, het volgende vierstappenplan aan: ‘Bepaal eerst of het om een AI-systeem gaat zoals in de AI-verordening is omschreven. Zo ja, welke rol neemt jouw organisatie in: ben je de ontwikkelaar, de distributeur of de gebruiker? Ga vervolgens aan de hand van de criteria in de AI-verordening na welke risico’s jouw AI-oplossing voor jouw rol met zich meebrengt. En ten slotte, welke verplichtingen je daardoor hebt.’
Een AI-proeftuin voor startups
Voor startups die ‘gewoon een goed idee hebben’ en geen kaas hebben gegeten van juridische randvoorwaarden, kan het bovenstaande best een beetje afschrikken. ‘Begrijpelijk’, zegt Elferink, ‘maar ik zou startups ook graag attenderen op het privilege dat ze hebben rondom de invoering van de nieuwe wet. Zij mogen namelijk meedoen in een proeftuin voor startups. Daardoor leren ze de mogelijkheden kennen en kunnen ze de levensvatbaarheid van hun eigen product toetsen.’
Elferink doelt op de zogenaamde ‘regulatory sandboxes’, bedoeld om enerzijds in de praktijk te oefenen met de wet en anderzijds innovatie te stimuleren. ‘Bij de komst van een nieuwe wet ziet men vaak de beperkingen, maar je kunt het ook zo bekijken dat kaders duidelijker worden en je dus je product meteen goed neer kunt zetten, omdat je zeker bent van wat wel en niet mag.’
Noldus heeft zijn casus ingediend voor een ‘sandbox’. ‘Heel slim’, zegt Elferink. ‘De wet schrijft voor dat bedrijven zichzelf moeten toetsen. Vergelijk het met de CE-markering van een keukentrapje. Fabrikanten testen zelf of gebruikers niet door het trapje zakken. In de sandbox kan Noldus die ‘CE-markering voor AI’, om het zo voor het gemak maar even te noemen, meteen binnenhalen.’
Snel duidelijkheid krijgen
Voor Noldus heeft deelname aan de sandboxes nog een tweede doel: zo snel mogelijk duidelijkheid krijgen over wat nu precies wel en niet mag volgens de EU AI-verordening. ‘We weten momenteel nog niet precies in hoeverre we onze producten misschien moeten aanpassen. Met ‘we’ bedoel ik mijn eigen bedrijf en branchegenoten in Europa. In de wet staat dat emotieherkenning door middel van AI-systemen verboden is op de werkplek en in het onderwijs, tenzij het medische of veiligheidstoepassingen betreft. Maar wat er wordt verstaan onder ‘emotieherkenning’, ‘werkplek’, ‘onderwijs’, ‘medisch’ en ‘veiligheid’, is niet duidelijk uit de wettekst.’
Elferink vult aan dat zij verwacht dat de Europese AI-toezichthouders beleid zullen maken waarin bepaalde begrippen nader worden uitgewerkt en toegelicht: ‘Het is vervolgens de rechter die de uitleg van de wet en dat beleid in concrete kwesties zal moeten toetsen, waardoor verdere rechtsvorming zal plaatsvinden en de kaders van de wet zullen worden verduidelijkt. Het is uiteindelijk het Europese Hof van Justitie dat daarin het laatste woord zal hebben.’
Misbruik van AI-toepassingen voorkomen
Om de vaart erin te houden, heeft Noldus samen met 2 vakgenoten in de ‘affective computing’ de werkgroep ‘Affective Activists’ opgericht, waarbij zich inmiddels meer dan 120 instituten en experts uit in totaal 16 Europese landen hebben aangesloten. ‘Een echte geuzennaam’, zegt hij met een lach, ‘maar we stellen ons constructief op hoor. We willen graag helpen toewerken naar heldere richtlijnen voor de toepassing van de wet, zodat de voordelen van AI kunnen worden benut, terwijl misbruik wordt voorkomen.’
Je product ‘legal proof’ maken
Startups focussen normaliter op het binnenhalen van financiering. Elferink voorspelt dat daarnaast in de toekomst meer inspanningen op juridisch gebied nodig zijn. ‘De beschikbaarheid van geld kan een startup maken of breken. Maar voldoen aan de regels en daarmee ‘compliant’ zijn, is minstens zo belangrijk. Temeer nu er op schending van die regels torenhoge boetes staan en de AI-toezichthouders actief handhaven. Zo kunnen boetes oplopen tot 35 miljoen euro per overtreding of 7 procent van de wereldwijde jaaromzet van een bedrijf. Voor kleinere administratieve overtredingen is dit tot 7,5 miljoen euro of 1,5 procent van de jaaromzet. Mijn advies aan startups is dan ook: vraag tijdig juridisch advies en kijk ook breder dan de AI-verordening. Bij AI-toepassingen komen namelijk allerlei wetten samen: zoals wetten op het gebied van intellectueel eigendom, ICT-recht, privacy en natuurlijk de nieuwe AI-verordening zelf. Je product ‘legal proof’ maken, is dus een taak op zich en noodzakelijk voor de levensvatbaarheid van het product.’
Ethiek binnen AI
Binnen Noldus wordt er al sinds 2019 tijd en geld vrijgemaakt om de AI-oplossingen die het bedrijf ontwikkelt, te baseren op ethisch beleid. ‘We hebben in overleg met hoogleraren in ethiek en communicatie op papier gezet waar onze AI voor mag worden gebruikt en waarvoor niet. Daaruit is ons verkoopbeleid voortgekomen. Dat omvat ook ‘end-use statements’, waarop klanten invullen wat ze met het product gaan doen. Bovendien hebben we in de software ingebouwd dat de gebruiker, zoals een onderzoeker op de politieacademie, akkoord is met de regels die we hebben gesteld. Bijvoorbeeld dat onze software niet mag worden gebruikt in de openbare ruimte (waar mensen dus geen toestemming hebben gegeven om hun gezichtsuitdrukking te laten lezen) of als een soort leugendetector.’
Voorsprong op Amerika en China
De voorsprong die bedrijven hebben als ze alvast aan de slag gaan met de Europese AI-verordening is volgens Elferink goud waard. Noldus vult aan: ‘Als een Amerikaanse fabrikant een AI-product op de Nederlandse markt wil brengen, moet die aan de AI-verordening voldoen. Wij zijn er nu al mee aan de gang en lopen dus voor!’
Blijf op de hoogte:
Meld je aan voor de nieuwsbrief van werkgroep ‘Affective Activists’ via: lucas.noldus@noldus.com
Meld je aan voor updates en blogs van Mirjam Elferink en haar collega’s van Elferink & Kortier Advocaten over de EU AI-verordening.
