Maandelijkse archieven: april 2023

Recht en ChatGPT

Wat zijn de hoofdlijnen van juridische aspecten bij gebruik van ChatGPT en Artificial Intelligence (AI) bij recruitment, werving & selectie?

Door Inge Brattinga, VRF Advocaten

Het maakt niet uit waar je kijkt, veelal zie je berichten als ‘de banen die het meest bedreigd worden door generatieve AI zoals ChatGPT’ ^[1], ‘nieuwe uitdaging op scholen: scholieren laten huiswerk maken door ChatGPT’ ^[2], ‘ChatGPT op de werkvloer: een ingewikkeld vraagstuk’ ^[3]. Veel zorgen en in ieder geval is gerechtvaardigd te stellen dat ChatGPT de wereld heeft geschokt op velerlei terreinen. Hoogste tijd om dan ook eens naar de juridische aspecten te kijken.

Op woensdag 29 maart 2023 sprak ik met Han Hendriks, Marcel van der Meer en Geert-Jan Waasdorp op het Werf& Seminar: De toekomst van recruitment: Hoe ChatGPT de spelregels verandert. Hoe mooi was het dat niet alleen naar alle mogelijkheden en onmogelijkheden voor de business werd gekeken door Marcel en Geert-Jan, maar ook de juridische aspecten werden besproken.

In dit artikel willen we de hoofdlijnen van de juridische aspecten die een rol spelen bij het gebruik van ChatGPT, maar die ook bij het gebruik van Artificial Intelligence (AI) in het algemeen van toepassing zijn, bespreken in het kader van recruitment (werving en selectie). Daar waar het hierna gaat over ChatGPT kun je derhalve ook AI lezen. Het overzicht is zeker niet uitputtelijk, maar een startpunt waar wij binnen het lectoraat Recht en Digitale Technologie verder onderzoek naar blijven doen.

Hoe ziet dit overzicht eruit?

1. AVG/UAVG
Indien bij het gebruik van ChatGPT persoonsgegevens worden verwerkt van burgers uit de EU is de AVG/UAVG van toepassing. Eerste advies is natuurlijk, niet doen, maar dit zal zeker wel voorkomen. Bij ChatGPT is het niet toegestaan nu de gegevens naar Amerika gaan. Dit betekent dat je de persoonsgegevens gaat verstrekken buiten de EER, dus naar een derdeland. Binnen de Europese Economische Ruimte (EER) is het toegestaan persoonsgegevens te delen. Artikel 44 AVG bepaalt dat de doorgifte van persoonsgegevens naar een derde land (dus geen EER land) alleen kan plaatsvinden als het derde land een passend beschermingsniveau waarborgt. Enerzijds kan dit vastgelegd worden in een zogenoemd adequaatheidsbesluit door de Europese Commissie. Indien dit niet aanwezig is voor het land waar je persoonsgegevens aan door wilt geven, c.q. delen, moet je als verstrekker van deze persoonsgegevens (verwerkingsverantwoordelijke) in de Europese Unie aantonen dat de partij waar je gegevens aan doorgeeft in een derde land passende waarborgen biedt voor de bescherming van persoonsgegevens. De Europese Commissie heeft hiervoor standard contractual clauses opgesteld die je hiervoor kunt gebruiken. Daarnaast kun je de doorgifte baseren op bindende bedrijfsvoorschriften.^[5]

Verder zijn in dit kader van belang dat je je moet houden aan de beginselen van verwerking van persoonsgegevens van artikel 5 AVG en de rechtmatigheid ex artikel 6 AVG. Die veronderstellen we als bekend.

Maar ook is van belang dat profilering (artikel 22 AVG jo. 4 lid 4 AVG) niet is toegestaan. Juist met AI toepassingen zal er snel sprake kunnen zijn van volledig geautomatiseerde besluitvorming. Een betrokkene heeft het recht om niet te worden onderworpen aan uitsluitend op geautomatiseerde verwerking gebaseerd besluit waaraan voor de betrokkene rechtsgevolgen zijn verbonden. En eenieder kent de desastreuse gevolgen van de toeslagenaffaire. Dit een belangrijk juridisch aspect om goed in te regelen bij gebruik van AI toepassingen.

2. Grondwet/EVRM
Elke vorm van AI zal naar verwachting een aanzienlijke impact hebben op de mensenrechten en fundamentele vrijheden van individuen. De bescherming van mensenrechten en fundamentele vrijheden is een grondrecht zowel in het EVRM (artikel 8) en het Handvest van de grondrechten van de EU (artikel 7). Dit naast het feit dat de Europese Commissie in een verklaring van 26 januai 2022 het voorgaande als basis recht heeft geformuleerd bij digitale ontwikkelingen.^[6] De Europese Commissie stelt hierin kortgezegd dat bij digitale ontwikkelingen:

• de mens centraal staat;
• mensen sterker staan en innovatie stimuleren;
• er sprake is van digitale transformatie waarbij mensen en hun mensenrechten in de hele wereld centraal worden gesteld;
• digitale transitie gebaseerd moet zijn op Europese waarden die goed zijn voor alle mensen en ondernemingen;
• digitale ontwikkelingen:
  – ten goede komen aan mensen;
  – ten dienste staan aan mensen;
  – volledig veiligheid en eerbiediging van grondrechten in acht nemen.

Een flinke uitdaging. Dit betekent dat de bescherming van mensenrechten en fundamentele vrijheden van individuen in ogenschouw genomen moet worden bij het gebruik van een AI toepassing. Een instrument dat hierbij kan helpen is het HRIA (Human Rights Impact Assessment). In Nederland is inmiddels Impact Assessment Mensenrechten Algoritmes (IAMA) in dit kader ontwikkeld.

3. (Anti)discriminatie
Voorts is het niet ondenkbaar dat een AI toepassing tot ongeoorloofd onderscheid leidt op bijvoorbeeld ras, man/vrouw etc. Belangrijkste reden hiervoor is dat een AI toepassing gevoed wordt met data waar ‘bias’ aanwezig is. Het is genoegzaam bekend dat discriminatie in beginsel niet is toegestaan. Dit is onder meer opgenomen in artikel 1 Grondwet, de Algemene wet gelijke behandeling, maar ook de Wet toezicht gelijke kansen bij werving en selectie welke op dit moment in de tweede kamer is aangenomen. En in basis weet ChatGPT hoe het moet, maar zeker niet altijd. Zie de voorbeelden hieronder. De exact zelfde vraag over een grap over typisch vrouwengedrag geeft een substantieel andere reactie dan dezelfde vraag over typisch mannengedrag.

4. AI-Verordening
Tenslotte gaat de AI-verordening, welke op dit moment in Europa wordt voorbereid en naar verwachting in 2024 in werking zal gaan treden een rol spelen bij het ontwikkelen en inzetten van AI-toepassingen. In de AI-verordening is als definitie opgenomen:
“Software die is ontwikkeld aan de hand van een of meer technieken en benaderingen op het gebied van artificiële intelligentie en die voor een bepaalde reeks door mensen gedefinieerde doelstellingen output kan genereren, zoals inhoud, voorspellingen, aanbevelingen of beslissingen die van invloed zijn op de omgeving waarmee op elkaar wordt gereageerd.”

De AI-verordening is blijkens Bijlage I van toepassing op technieken en benaderingen op het gebied van machine learning, op logica en kennis gebaseerde benaderingen, statistische benaderingen en zoek- en optimalisatiemethoden. Daarnaast is ingevolge artikel 2 lid 1 AI-verordening deze van toepassing op:

• aanbieders die AI-systemen in de EU in de handel brengen of in gebruik stellen. Waarbij het niet uitmaakt dat de aanbieder niet in de Unie of in een derde land zijn gevestigd;
• gebruikers van AI-systemen die zich in de EU bevinden;
• aanbieders en gebruikers van AI-systemen die zich in een derde land bevinden wanneer de output van het systeem in de Unie wordt gebruikt.

Conclusie: De AI-verordening zal op ChatGPT van toepassing zijn.

De AI-verordening werkt met een risico classifisering. Hoe hoger het risico op inbreuk hoe meer eisen er worden gesteld. Er zijn een aantal vooraf gedefinieerde AI-systemen die een onacceptabel risico met zich meebrengen. Onder andere benoemt de AI-verordening een ‘social scoring system’ (denk aan Black Mirror).

Een hoog risico is aanwezig als onder meer het AI-systeem actief is op een gebied als is benoemd in Bijlage 3 van de AI-verordening. Hierin is opgenomen: het gebied van ‘werkgelegenheid, personeelsbeheer en toegang tot zelfstandige arbeid’. In het bijzonder wordt aanwerving of selectie van natuurlijke personen benoemd. Als een AI-systeem wordt ingezet bij recruitment zal de AI-verordening van toepassing zijn. Bij een hoog risico legt de AI-verordening ingevolge artikel 9 lid 1 AI-verordening het volgende risicobeheerssysteem op:

“Dat ontwikkelaars voor AI-systemen met een hoog risico een risicobeheer moeten vaststellen, uitvoeren en documenteren. Dit wordt gedaan om de eventuele risico’s van een AI-systeem met een hoog risico op een rij te kunnen zetten en te beoordelen. Hierdoor kan in een vroeg stadium actie ondernomen worden op het moment zich mogelijk schadelijke bedreigingen voordoen. Op die manier kunnen de gevolgen van deze bedreigingen tot een minimum beperkt worden.”

Voorts worden er kwaliteitseisen gesteld aan de data en het databeheer. Er moet technische documentatie worden opgesteld, nog voordat het AI-systeem op de markt wordt gebracht. Waarbij ook een conformiteitsbeoordeling moet worden uitgevoerd (artikel 19 AI-verordening). Hieronder valt bijvoorbeeld een gedetailleerde beschrijving van het AI-systeem met het daarbij beoogde doel, de betreffende software en de werking en controle van systemen.

Verder bepaalt de AI- verordening dat gebeurtenissen automatische geregistreerd moeten worden ten behoeve van evaluatie, het AI-systeem moet voldoende transparant zijn voor gebruikers, er moet menselijk toezicht zijn en blijven en tenslotte moet er sprake zijn van een passend beschermingsniveau (die kennen we ook in de AVG) tegen wangebruik. En last but not least er moeten voorschriften opgesteld worden voor de gebruikers (artikel 29 AI-verordening).

Conclusie
ChatGPT en AI-toepassingen zijn here to stay. Use them wisely en blijf ALERT (gebruik het als Aanvulling, Legitiem, Ethisch verantwoord, controleer het Resultaat, en besef het is een Tool ter ondersteuning).

Voetnoten
[1] Techzine.nl
[2] Nu.nl
[3] Customerfirst.nl
[4] H. Hendriks, ‘Werf& Seminar: De toekomst van recruitment: Hoe ChatGPT de spelregels verandert’, 27 maart 2023
[5] I. Brattinga, ‘Delen persoonsgegevens met VS, nog lang geen witte rook?’, flexnieuws.nl 17 maart 2023
[6] Europese Commissie, ‘Europese Verklaring over digitale rechten en beginselen voor het digitale decennium’, 26 januari 2022