Kas tulevik on saabunud? Ülevaade ELi tehisintellekti määruse eelnõust

21. aprillil 2021 avaldas ELi komisjon ettepaneku tehisintellekti määruse kohta (tehisintellekti määruse eelnõu, määruse ettepanek)^[1], mis on osa "Euroopa andmestrateegiast"^[2] ja mille eesmärk on kehtestada kuldstandard tehisintellekti reguleerimiseks liidus.[^3] Ehkki praegu arutatakse määruse eelnõu üle ja muudatusettepanekuid on mitu tuhat, peaks see vastu võetama 2022. aasta sügiseks^[4 ]. 20 päeva pärast vastuvõtmist jõustub tehisintellekti määrus ja jätab kõigile organisatsioonidele, kes pakuvad või kasutavad ELis tehisintellekti süsteeme, 24-kuulise üleminekuperioodi, et rakendada vastavad meetmed ja kohustused.

Käesolevas artiklis antakse ülevaade tehisintellekti määruse eelnõust ja selle mõjust organisatsioonidele kogu maailmas.

Kohaldamisala

Tehisintellekti määruse eelnõu on GDPRi stiilis eksterritoriaalse kohaldamisalaga ja seda kohaldatakse (artikkel 2):

• teenuseosutajad, kes turustavad ELis või võtavad AI-süsteeme kasutusele ELis;
• tehisintellekti süsteemide kasutajad ELis ja
• tehisintellekti süsteemide pakkujad ja kasutajad, kelle toodangut kasutatakse ELis.

Tehisintellekti määruse eelnõus on mõiste "teenuseosutaja" määratletud kui isik, kes arendab tehisintellekti süsteemi või kes laseb arendada tehisintellekti süsteemi eesmärgiga viia see oma nime või kaubamärgi all turule või võtta see kasutusele (artikkel 3). Tuleb märkida, et iga turustaja, importija, kasutaja või muu kolmas isik loetakse teenuseosutajaks, kui ta seda teeb (artikkel 28):

1. laseb AI-süsteemi turule oma nime või kaubamärgi all;
2. muudab olemasoleva tehisintellekti süsteemi otstarvet või
3. muudab tehisintellekti süsteemi oluliselt.

Mõiste "kasutaja" on määratletud kui isik, kes kasutab tehisintellekti süsteemi tema volitusel, välja arvatud juhul, kui tehisintellekti süsteemi kasutatakse isikliku mitteprofessionaalse tegevuse käigus (artikkel 3).

Märkimisväärne on, et tehisintellekti määruse eelnõus on ette nähtud horisontaalne reguleeriv raamistik. ⁵. Olemasolevad tehnoloogiate määrused, seadused, standardid, normid jne kehtivad enamasti konkreetsete tööstusharude kohta ja ei käsitle nende tehnoloogiate rakendamist riist- ja tarkvarasüsteemide kaudu. Kavandatava määrusega püütakse reguleerida tehisintellekti horisontaalselt ja seega kasutusviisidest sõltumatult^[6].

Tehisintellekti määratlus

Kavandatavas määruses ei ole sätestatud tehisintellekti mõistet. Selle asemel esitatakse selles tehisintellekti süsteemide määratlus (artikkel 3):

"Tehisintellekti süsteem (AI-süsteem) on tarkvara, mis on välja töötatud ühe või mitme I lisas loetletud tehnika ja lähenemisviisiga ning mis suudab teatava inimese poolt määratletud eesmärkide puhul luua väljundid, näiteks sisu, prognoose, soovitusi või otsuseid, mis mõjutavad keskkondi, millega nad suhtlevad."

I lisas esitatud tehnikate ja lähenemisviiside loetelu hõlmab nii masinõppe, loogika- ja teadmistepõhiseid kui ka statistilisi lähenemisviise.

Tehisintellekti määruse eelnõus esitatud tehisintellekti süsteemide liiga lai määratlus on pälvinud erinevate sidusrühmade kriitikat. Kuigi on veel lahtine, milline saab olema tehisintellekti määruse eelnõu lõplik versioon, pakkusid mõned riigid välja tehisintellekti kitsama määratluse, mis sisaldaks kahte lisanõuet: süsteem peab olema võimeline "õppima, arutlema või modelleerima, mida rakendatakse tehnikate ja lähenemisviiside abil", ning olema ka "genereeriv süsteem", mis mõjutab otseselt oma keskkonda^[7].

Tehisintellekti süsteemide tüübid ja asjakohased nõuetele vastavuse nõuded

Tehisintellekti määruse eelnõus jagatakse tehisintellekti süsteemid nelja kategooriasse: lubamatu riskiga tehisintellekti süsteemid, suure riskiga tehisintellekti süsteemid, läbipaistvuskohustusega tehisintellekti süsteemid ja minimaalse riskiga tehisintellekti süsteemid.

Ebakõlbliku riskiga tehisintellekti süsteemid (artikkel 5): Näiteks loetakse vastuvõetamatu riskiga tehisintellekti süsteeme, mis on vastuolus ELi väärtustega ja kujutavad endast selget ohtu inimeste turvalisusele, elatusvahenditele ja põhiõigustele. Sellised süsteemid ei ole tehisintellekti määruse eelnõu kohaselt lubatud.

Kõrge riskiga tehisintellektuaalsed süsteemid (artikkel 6): Sellesse kategooriasse kuuluvad järgmised tehisintellekti süsteemide kategooriad:

1. Biomeetrilised identifitseerimissüsteemid;
2. elutähtsad infrastruktuurid, mis võivad ohustada kodanike elu ja tervist;
3. haridus- või kutseõpe, mis võib määrata kellegi juurdepääsu haridusele ja kutsealale;
4. toodete ohutusalased komponendid;
5. Tööhõive, töötajate juhtimine ja juurdepääs füüsilisest isikust ettevõtjana tegutsemisele;
6. Olulised era- ja avalikud teenused;
7. õiguskaitse, õigusemõistmine ja demokraatlikud protsessid;
8. rände-, varjupaiga- ja piirikontrolli haldamine.

Kõrge riskiga AI-süsteemide pakkujate suhtes kehtivad järgmised sisulised kohustused:

1. Luua ja rakendada asjakohane riskijuhtimis- ja riskimaandamissüsteem (artikkel 9);
2. hallata hoolikalt andmeid ja andmehaldust, sealhulgas koolitada ja testida kõrge riskiga tehisintellekti süsteeme, kasutades andmeid (artikkel 10);
3. Luua ja anda kasutajatele tehniline dokumentatsioon (artikkel 11);
4. Anda ametiasutustele üksikasjalik dokumentatsioon (artiklid 12, 20);
5. Kohustada kasutajaid selge ja piisava teabega (artikkel 13);
6. Tagada asjakohane inimkontrolli tase (artikkel 14);
7. hoolitseda täpsuse, töökindluse ja küberturvalisuse eest (artikkel 15);
8. kehtestama nõuetekohase kvaliteedijuhtimissüsteemi (artikkel 17);
9. teostada turuleviimisjärgset järelevalvet kõrge riskiteguriga tehisintellekti süsteemide toimimise üle (artikkel 61).

Kõrge riskiga tehisintellektiiside süsteemide pakkujad peavad täitma ka järgmisi menetluslikke kohustusi:

1. Pakkujad peaksid tagama, et nende kõrge riskiteguriga AI-süsteemid läbivad nn vastavushindamise, enne kui neid saab turul pakkuda või kasutusele võtta (artikkel 19). Biomeetriliste identifitseerimissüsteemide vastavushindamise peab läbi viima asjaomane "teavitatud asutus" (VII lisa). Kõigi muude kõrge riskitasemega AI-süsteemide puhul võivad teenuseosutajad teostada enesehindamist (VI lisa);
2. Kui kõrge riskiteguriga AI-süsteem on läbinud vastavushindamise, peaksid teenuseosutajad koostama kirjaliku vastavusdeklaratsiooni (artikkel 48), kinnitama kõrge riskiteguriga AI-süsteemi dokumentidele CE-vastavusmärgise (artikkel 49) ja registreerima kõrge riskiteguriga AI-süsteemi ELi andmebaasis (artikkel 51);
3. teenuseosutajad peaksid 15 päeva jooksul teatama asjaomasele asutusele ohtliku AI-süsteemi "tõsisest vahejuhtumist" või "talitlushäirest" (artikkel 62).

Erinevalt teenuseosutajatest kehtivad kõrge riskitasemega tehisintellekti-süsteemide kasutajate suhtes piiratud nõuded. Nad peavad tagama, et nad kasutavad kõrge riskiteguriga tehisintellekti süsteeme vastavalt nende kasutusjuhendile, jälgivad kõrge riskiteguriga tehisintellekti süsteemide toimimist ja peavad arvestust kõrge riskiteguriga tehisintellekti süsteemide tekitatud logide üle (artikkel 29).

Läbipaistvuskohustusega tehisintellekti-süsteemid (artikkel 52): Selle kategooria alla kuuluvad juturobotid või impersonaatorrobotid. Selliste süsteemide pakkujad peavad tagama, et need on kavandatud ja välja töötatud nii, et füüsilised isikud oleksid teavitatud sellest, et nad suhtlevad tehisintellekti süsteemiga.

Minimaalse riskiga tehisintellekti süsteemid (artikkel 69): Sellesse kategooriasse kuuluvad tehisintellektipõhised videomängud või rämpspostifiltrid. Selliste tehisintellekti süsteemide puhul ei ole nõuetele vastavuse nõudeid. Suuremat osa ELis praegu kasutatavatest tehisintellekti süsteemidest võib määratleda kui minimaalse riskiga tehisintellekti süsteeme.

Sanktsioonid

Tehisintellekti määruse eelnõu kohaste kohustuste rikkumine toob kaasa trahvid, mille suurus sõltub rikkumise liigist (artikkel 71).

Rikkuja (vajaduse korral teenuseosutaja ja/või kasutaja) suhtes kohaldatakse haldustrahvi kuni 30 000 000 eurot või, kui rikkuja on äriühing, kuni 6 % tema eelmise majandusaasta ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem, järgmiste kahe liiki rikkumiste eest:

• vastuvõetamatu riskiga AI tavade turuleviimine, kasutuselevõtmine või kasutamine (artikkel 5);
• kõrge riskiga tehisintellekti süsteemi andmehaldusnõuete täitmata jätmine (artikli 10 lõige 4).

Muude kui nimetatud nõuete ja kohustuste täitmata jätmise eest määratakse rikkujale haldustrahv kuni 20 000 000 eurot või, kui rikkuja on äriühing, kuni 4 % tema eelmise majandusaasta ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem.

AI määruse eelnõus on ette nähtud ka sanktsioonid, kui teavitatud asutustele ja riiklikele pädevatele asutustele ei esitata õiget, täielikku või täpset teavet vastuseks mis tahes taotlusele. Sellisel juhul määratakse rikkujale haldustrahv kuni 10 000 000 eurot või, kui rikkuja on äriühing, kuni 2 % tema eelmise majandusaasta ülemaailmsest aastakäibest, olenevalt sellest, kumb summa on suurem.

Mõju ettevõtlusele

Tehisintellekti määruse eelnõuga seatakse kõrged nõuded tööstusharude vastavuskohustustele kõigis majandussektorites. McKinsey poolt läbi viidud ülemaailmne uuring näitab, et paljud organisatsioonid on tulevase määruse võimalike nõuetele vastavuse nõuete täitmisega tublisti hiljaks jäänud, sest vaid 38 protsenti neist tegeleb aktiivselt tehisintellekti valdkonna regulatiivsete nõuete täitmise riskidega^[8]. sellega seoses peaksid asjaomased organisatsioonid valmistuma kindlasti järgmiseks määruseks ja võtma vastu strateegilise nõuetele vastavuse programmi oma tehisintellekti süsteemide jaoks. Selleks on vaja vajalikke oskusi ja ressursse, mis viivad nõuetele vastavuse spetsialistide suurenenud rollile. Ettevõtetelt võib oodata, et nad laiendavad oma vastavusmeeskondi ja võtavad tööle rohkem spetsiifilise taustaga spetsialiste. Suureneb ka vajadus väliste õigusnõustajate järele.