Дошло ли е бъдещето? Преглед на проекта за регламент на ЕС относно изкуствения интелект

На 21 април 2021 г. Комисията на ЕС публикува предложение за регламент относно изкуствения интелект (проект за регламент относно изкуствения интелект, предложен регламент).Като част от "европейската стратегия за данните"^[2], проектът за регламент относно изкуствения интелект има за цел да установи златен стандарт за регулиране на изкуствения интелект в рамките на Съюза.[^3] Въпреки че към момента предложеният регламент се обсъжда и има няколко хиляди предложения за изменения, се очаква той да бъде приет до есента на 2022 г.^[4] След като бъде приет, Регламентът за ИИ ще влезе в сила двадесет дни след публикуването му и ще остави 24-месечен преходен период за всички организации, които предоставят или използват системи за ИИ в рамките на ЕС, за да приложат съответните мерки и задължения.

В тази статия се прави преглед на проекта на Регламент за ИИ и неговите последици за организациите по целия свят.

Обхват на прилагане

Проектът за регламент относно ИИ ще има екстериториален обхват в стила на GDPR и ще се прилага за (чл. 2):

• доставчиците, които продават на пазара в ЕС или пускат в експлоатация системи за ИИ в ЕС;
• потребителите на системи за ИИ в ЕС; и
• доставчиците и потребителите на системи за ИИ, чиито резултати се използват в ЕС.

В проекта на регламент за ИИ понятието "доставчик" се определя като лице, което разработва система за ИИ или което възлага разработването на система за ИИ с цел да я пусне на пазара или да я въведе в експлоатация под свое име или търговска марка (чл. 3). Следва да се отбележи, че всеки дистрибутор, вносител, потребител или друга трета страна ще се счита за доставчик, ако той (чл. 28):

1. пуска на пазара система за ИИ под свое име или търговска марка;
2. променя предназначението на съществуваща система за ИИ; или
3. прави съществени промени в системата за ИИ.

Терминът "потребител" се определя като лице, което използва система за ИИ под негово ръководство, освен когато системата за ИИ се използва в хода на лична непрофесионална дейност (чл. 3).

Забележително е, че проектът на Регламент за ИИ предвижда хоризонтална регулаторна рамка^[5]. съществуващите разпоредби, закони, стандарти, норми и др. на технологиите в повечето случаи се отнасят за конкретни отрасли и не разглеждат прилагането на тези технологии чрез хардуерни и софтуерни системи. Предложеният регламент ще се опита да регулира ИИ хоризонтално и по този начин независимо от случаите на използване^[6].

Определение за ИИ

Предложеният регламент не съдържа определение за ИИ. Вместо това в него се дава определение на системите за ИИ (член 3):

"[С]истема за изкуствен интелект" (система за ИИ) означава софтуер, който е разработен с една или повече от техниките и подходите, изброени в приложение I, и може, за даден набор от дефинирани от човека цели, да генерира резултати като съдържание, прогнози, препоръки или решения, влияещи върху средата, с която взаимодейства."

Списъкът на техниките и подходите в приложение I включва подходи за машинно обучение, логически и основани на знания подходи, както и статистически подходи.

Прекалено широкото определение на системите за изкуствен интелект в проекта за регламент за изкуствения интелект получи критики от различни заинтересовани страни. Макар че предстои да се види как ще изглежда окончателният вариант на проекта за регламент за ИИ, някои държави предложиха по-тясно определение на изкуствения интелект с две допълнителни изисквания: системата да е способна на "учене, разсъждение или моделиране, осъществени с техниките и подходите", както и да е "генеративна система", влияеща пряко върху заобикалящата я среда^[7].

Видове системи с изкуствен интелект и съответни изисквания за съответствие

Проектът за регламент за ИИ разделя системите за ИИ на четири категории: системи за ИИ с неприемлив риск, системи за ИИ с висок риск, системи за ИИ със задължения за прозрачност и системи за ИИ с минимален риск.

Системи на ИИ с неприемлив риск (член 5): Например, практиките на ИИ, които противоречат на ценностите на ЕС и представляват явна заплаха за безопасността, препитанието и основните права на хората, се считат за системи с неприемлив риск. Такива системи не са разрешени съгласно проекта за регламент за ИИ.

Високорискови системи за ИИ (член 6): В тази категория попадат следните категории системи за ИИ:

1. Системи за биометрична идентификация;
2. критични инфраструктури, които могат да изложат на риск живота и здравето на гражданите;
3. Образователни или професионални обучения, които могат да определят достъпа до образование и професионалния път на някого;
4. компоненти за безопасност на продукти;
5. Заетост, управление на работници и достъп до самостоятелна заетост;
6. Основни частни и обществени услуги;
7. правоприлагане, правораздаване и демократични процеси;
8. управление на миграцията, убежището и граничния контрол.

Доставчиците на високорискови системи за изкуствен интелект подлежат на следните съществени задължения:

1. Създават и прилагат адекватна система за управление и намаляване на риска (член 9);
2. старателно да управляват данните и управлението на данните, включително да обучават и тестват високорискови системи за ИИ, използващи данни (чл. 10);
3. да създават и предоставят на потребителите техническа документация (чл. 11);
4. Осигуряване на подробна документация за органите (чл. 12, 20);
5. Осигуряване на потребителите на ясна и адекватна информация (чл. 13);
6. Осигуряване на подходящо ниво на човешки надзор (чл. 14);
7. да се грижи за точността, надеждността и киберсигурността (чл. 15);
8. да въведете подходяща система за управление на качеството (член 17);
9. да извършва постмаркетингов мониторинг на работата на високорисковите системи за ИИ (чл. 61).

От доставчиците на високорискови системи за ИИ се изисква също така да спазват следните процедурни задължения:

1. Доставчиците трябва да гарантират, че техните високорискови системи за ИИ са преминали през така наречената "оценка на съответствието", преди да бъдат предложени на пазара или пуснати в експлоатация (чл. 19). Оценката на съответствието на системите за биометрична идентификация трябва да се извърши от съответния "нотифициран орган" (приложение VII). За всички останали видове високорискови системи за ИИ доставчиците могат да извършат самооценка (приложение VI);
2. След като високорисковата система за ИИ премине през оценяване на съответствието, доставчиците следва да изготвят писмена декларация за съответствие (член 48), да поставят маркировка "СЕ" за съответствие към документацията на високорисковата система за ИИ (член 49) и да регистрират високорисковата система за ИИ в базата данни на ЕС (член 51);
3. Доставчиците следва да докладват на съответния орган в срок от 15 дни за "сериозен инцидент" или "неправилно функциониране" на високорисковата система за ИИ (чл. 62).

За разлика от доставчиците, потребителите на високорискови системи за ИИ подлежат на ограничени изисквания. В по-широк план те трябва да гарантират, че използват високорисковите системи за ИИ в съответствие с инструкциите за тяхното използване, да наблюдават работата на високорисковите системи за ИИ и да водят регистър на регистрите, генерирани от високорисковите системи за ИИ (чл. 29).

Системи за ИИ със задължения за прозрачност (член 52): Чатботовете или ботовете-персонажи попадат в тази категория. Доставчиците на такива системи трябва да гарантират, че те са проектирани и разработени по такъв начин, че физическите лица да бъдат информирани, че взаимодействат със система на ИИ.

Системи с ИИ с минимален риск (член 69): В тази категория попадат видеоигрите с ИИ или филтрите за спам. За такива системи с ИИ няма изисквания за съответствие. Огромното мнозинство от системите с ИИ, които понастоящем се използват в ЕС, могат да бъдат определени като системи с минимален риск.

Санкции

Нарушаването на задълженията по проекта за регламент относно ИИ води до глоби, определени количествено в зависимост от вида на нарушението (член 71).

На нарушителя (доставчик и/или потребител, когато е приложимо) ще бъдат наложени административни глоби в размер до 30 000 000 EUR или, ако нарушителят е дружество, до 6 % от общия му световен годишен оборот за предходната финансова година, в зависимост от това коя от двете суми е по-висока, за следните два вида нарушения:

• пускане на пазара, въвеждане в експлоатация или използване на практики за ИИ с неприемлив риск (член 5);
• неспазване на изискванията за управление на данните на високорисковата система за ИИ (член 10, параграф 4).

За неспазване на други изисквания и задължения, различни от посочените, на нарушителя се налагат административни глоби в размер до 20 000 000 EUR или, ако нарушителят е дружество, до 4 % от общия му годишен оборот в световен мащаб за предходната финансова година, в зависимост от това коя от двете суми е по-висока.

Проектът за регламент относно ИИ предвижда също така санкции за непредоставяне на вярна, пълна или точна информация на нотифицираните органи и националните компетентни органи в отговор на всяко искане. В такъв случай на нарушителите се налагат административни глоби в размер до 10 000 000 EUR или, ако нарушителят е дружество, до 2 % от общия му световен годишен оборот за предходната финансова година, в зависимост от това коя от двете суми е по-висока.

Последици за бизнеса

Проектът за регламент относно ИИ поставя висока летва за задълженията за спазване на законодателството от страна на промишлените предприятия в областта на ИИ във всички икономически сектори. Глобално проучване, проведено от McKinsey, показва, че много организации изостават значително в изпълнението на потенциалните изисквания за съответствие на предстоящия регламент, тъй като само 38% от тях активно се занимават с рисковете, свързани с нормативното съответствие в областта на ИИ^{[8]. в} тази връзка засегнатите организации трябва да се подготвят за регламентите, които със сигурност ще последват, и да приемат стратегическа програма за съответствие за своите системи за ИИ. Това ще изисква необходимите умения и ресурси, водещи до повишаване на ролята на специалистите по съответствието. От дружествата може да се очаква да разширят своите екипи по съответствието и да наемат повече специалисти с тази специфична подготовка. Ще има и повишена нужда от външни правни консултанти.