Onko tulevaisuus saapunut? Yleiskatsaus EU:n tekoälyasetusluonnokseen

EU:n komissio julkaisi 21. huhtikuuta 2021 ehdotuksen tekoälyä koskevaksi asetukseksi (tekoälyasetusluonnos, asetusehdotus)^[1].^[2 ] Tekoälyasetusluonnoksessa, joka on osa "eurooppalaista datastrategiaa"^[3], pyritään asettamaan kultainen standardi tekoälyn sääntelylle unionissa.[³ ] Vaikka asetusehdotuksesta keskustellaan tällä hetkellä ja siihen on tehty useita tuhansia muutosehdotuksia, se on tarkoitus hyväksyä syksyllä 2022.^[4 ] Kun asetus on hyväksytty, tekoälyasetus tulee voimaan kahdenkymmenen päivän kuluttua sen julkaisemisesta, ja se jättää kaikille organisaatioille, jotka tarjoavat tai käyttävät tekoälyjärjestelmiä EU:ssa, 24 kuukauden siirtymäajan, jotta ne voivat panna täytäntöön vastaavat toimenpiteet ja velvoitteet.

Tässä artikkelissa luodaan katsaus tekoälyasetusluonnokseen ja sen vaikutuksiin organisaatioille kaikkialla maailmassa.

Soveltamisala

Tekoälyasetusluonnoksella on GDPR:n kaltainen ekstraterritoriaalinen soveltamisala, ja sitä sovelletaan (2 artikla):

• palveluntarjoajiin, jotka markkinoivat EU:ssa tai ottavat tekoälyjärjestelmiä käyttöön EU:ssa;
• tekoälyjärjestelmien käyttäjiin EU:ssa; ja
• sellaisten tekoälyjärjestelmien tarjoajiin ja käyttäjiin, joiden tuotoksia käytetään EU:ssa.

Tekoälyasetusluonnoksessa "tarjoajalla" tarkoitetaan henkilöä, joka kehittää tekoälyjärjestelmää tai joka teettää tekoälyjärjestelmän kehittämisen tarkoituksenaan saattaa se markkinoille tai ottaa se käyttöön omalla nimellään tai tavaramerkillään (3 artikla). On huomattava, että jakelija, maahantuoja, käyttäjä tai muu kolmas osapuoli katsotaan tarjoajaksi, jos se (28 artikla):

1. saattaa tekoälyjärjestelmän markkinoille omalla nimellään tai tavaramerkillään;
2. muuttaa olemassa olevan tekoälyjärjestelmän käyttötarkoitusta; tai
3. tekee tekoälyjärjestelmään merkittäviä muutoksia.

Käyttäjällä' tarkoitetaan henkilöä, joka käyttää tekoälyjärjestelmää sen valtuuttamana, paitsi jos tekoälyjärjestelmää käytetään henkilökohtaisessa ei-ammattimaisessa toiminnassa (3 artikla).

Tekoälyasetusluonnoksessa säädetään erityisesti horisontaalisesta sääntelykehyksestä.^[5] Nykyiset teknologioita koskevat asetukset, lait, standardit, normit jne. koskevat useimmissa tapauksissa tiettyjä teollisuudenaloja, eikä niissä käsitellä näiden teknologioiden toteuttamista laitteisto- ja ohjelmistojärjestelmien avulla. Asetusehdotuksessa pyritään sääntelemään tekoälyä horisontaalisesti ja siten käyttötapauksista riippumatta^[6].

Tekoälyn määritelmä

Asetusehdotuksessa ei esitetä tekoälyn määritelmää. Sen sijaan siinä annetaan tekoälyjärjestelmien määritelmä (3 artikla):

"[Tekoälyjärjestelmällä] (AI-järjestelmä) tarkoitetaan ohjelmistoa, joka on kehitetty yhden tai useamman liitteessä I luetellun tekniikan ja lähestymistavan avulla ja joka voi tietyn ihmisen määrittelemien tavoitteiden osalta tuottaa tuotoksia, kuten sisältöä, ennusteita, suosituksia tai päätöksiä, jotka vaikuttavat ympäristöihin, joiden kanssa ne ovat vuorovaikutuksessa.".

Liitteessä I olevaan tekniikoiden ja lähestymistapojen luetteloon sisältyy koneoppimisen lähestymistapoja, logiikkaan ja tietoon perustuvia lähestymistapoja sekä tilastollisia lähestymistapoja.

Tekoälyjärjestelmiä koskevan asetusluonnoksen liian laaja tekoälyjärjestelmien määritelmä on saanut kritiikkiä eri sidosryhmiltä. Vaikka on vielä nähtävissä, miltä tekoälyasetusluonnoksen lopullinen versio näyttää, jotkin valtiot ovat ehdottaneet tekoälyn suppeampaa määritelmää, jossa on kaksi lisävaatimusta: järjestelmä kykenee "oppimaan, päättelemään tai mallintamaan, joka on toteutettu tekniikoilla ja lähestymistavoilla", ja että se on myös "generatiivinen järjestelmä", joka vaikuttaa suoraan ympäristöönsä^[7].

Tekoälyjärjestelmien tyypit ja asiaa koskevat vaatimustenmukaisuusvaatimukset

Tekoälyasetusluonnoksessa tekoälyjärjestelmät jaetaan neljään luokkaan: tekoälyjärjestelmät, joiden riskiä ei voida hyväksyä, korkean riskin tekoälyjärjestelmät, tekoälyjärjestelmät, joihin liittyy avoimuusvelvoitteita, ja vähäisen riskin tekoälyjärjestelmät.

Tekoälyjärjestelmät, joiden riskiä ei voida hyväksyä (5 artikla): Esimerkiksi tekoälykäytännöt, jotka ovat EU:n arvojen vastaisia ja muodostavat selkeän uhan ihmisten turvallisuudelle, toimeentulolle ja perusoikeuksille, katsotaan riskijärjestelmiksi, joita ei voida hyväksyä. Tällaisia järjestelmiä ei sallita tekoälyasetusluonnoksessa.

Korkean riskin tekoälyjärjestelmät (6 artikla): Seuraavat tekoälyjärjestelmien luokat kuuluvat tähän luokkaan:

1. Biometriset tunnistusjärjestelmät;
2. elintärkeät infrastruktuurit, jotka voivat vaarantaa kansalaisten hengen ja terveyden;
3. Koulutus tai ammatillinen koulutus, joka voi määrittää henkilön pääsyn koulutukseen ja ammatillisen elämänkulun;
4. Tuotteiden turvakomponentit;
5. Työllisyys, työntekijöiden hallinta ja mahdollisuus itsenäiseen ammatinharjoittamiseen;
6. olennaiset yksityiset ja julkiset palvelut;
7. lainvalvonta, oikeudenkäyttö ja demokraattiset prosessit;
8. muuttoliike, turvapaikka-asiat ja rajavalvonta.

Korkean riskin tekoälyjärjestelmien tarjoajiin sovelletaan seuraavia aineellisia velvoitteita:

1. Luoda ja panna täytäntöön asianmukainen riskinhallinta- ja riskinhallintajärjestelmä (9 artikla);
2. Huolellinen tiedonhallinta ja tiedonhallinta, mukaan lukien koulutusta ja testausta tietoja käyttävissä korkean riskin tekoälyjärjestelmissä (10 artikla);
3. Luoda ja toimittaa käyttäjille teknistä dokumentaatiota (11 artikla);
4. Tarjota yksityiskohtainen kirjanpito viranomaisille (12 ja 20 artikla);
5. Tarjota käyttäjille selkeää ja riittävää tietoa (13 artikla);
6. Tarjota asianmukainen inhimillinen valvonta (14 artikla);
7. huolehdittava tarkkuudesta, luotettavuudesta ja kyberturvallisuudesta (15 artikla);
8. otettava käyttöön asianmukainen laadunhallintajärjestelmä (17 artikla);
9. Markkinoille tulon jälkeinen seuranta korkean riskin tekoälyjärjestelmien suorituskyvyn osalta (61 artikla).

Korkean riskin tekoälyjärjestelmien tarjoajien on myös noudatettava seuraavia menettelyllisiä velvoitteita:

1. Tarjoajien olisi varmistettava, että niiden riskialttiit tekoälyjärjestelmät läpäisevät niin sanotun vaatimustenmukaisuuden arvioinnin, ennen kuin niitä voidaan tarjota markkinoilla tai ottaa käyttöön (19 artikla). Asianomaisen "ilmoitetun laitoksen" on suoritettava biometristen tunnistusjärjestelmien vaatimustenmukaisuuden arviointi (liite VII). Kaikkien muiden korkean riskin tekoälyjärjestelmien osalta palveluntarjoajat voivat suorittaa itsearvioinnin (liite VI);
2. Kun riskialtis tekoälyjärjestelmä on läpäissyt vaatimustenmukaisuuden arvioinnin, palveluntarjoajien on laadittava kirjallinen vaatimustenmukaisuusvakuutus (48 artikla), liitettävä CE-vaatimustenmukaisuusmerkintä riskialttiin tekoälyjärjestelmän asiakirjoihin (49 artikla) ja rekisteröitävä riskialtis tekoälyjärjestelmä EU:n tietokantaan (51 artikla);
3. Palveluntarjoajien olisi ilmoitettava asianomaiselle viranomaiselle 15 päivän kuluessa riskialttiin tekoälyjärjestelmän "vakavasta vaaratilanteesta" tai "toimintahäiriöstä" (62 artikla).

Toisin kuin palveluntarjoajiin, riskialttiiden tekoälyjärjestelmien käyttäjiin sovelletaan rajoitettuja vaatimuksia. Niiden on varmistettava, että ne käyttävät riskialttiita tekoälyjärjestelmiä niiden käyttöohjeiden mukaisesti, valvovat riskialttiiden tekoälyjärjestelmien toimintaa ja pitävät kirjaa riskialttiiden tekoälyjärjestelmien tuottamista lokitiedoista (29 artikla).

Tekoälyjärjestelmät, joihin liittyy avoimuusvelvoitteita (52 artikla): Chatbotit tai imitaattoribotit kuuluvat tähän luokkaan. Tällaisten järjestelmien tarjoajien on varmistettava, että ne on suunniteltu ja kehitetty siten, että luonnolliset henkilöt saavat tiedon siitä, että he ovat vuorovaikutuksessa tekoälyjärjestelmän kanssa.

Vähäisen riskin tekoälyjärjestelmät (69 artikla): Tekoälyä hyödyntävät videopelit tai roskapostisuodattimet kuuluvat tähän luokkaan. Tällaisille tekoälyjärjestelmille ei aseteta vaatimustenmukaisuusvaatimuksia. Valtaosa EU:ssa tällä hetkellä käytössä olevista tekoälyjärjestelmistä voidaan määritellä minimaalisen riskin tekoälyjärjestelmiksi.

Seuraamukset

Tekoälyasetusluonnoksen mukaisten velvoitteiden rikkomisesta seuraa sakkoja, joiden suuruus määräytyy rikkomustyypin mukaan (71 artikla).

Seuraavista kahdesta rikkomustyypistä rikkomuksen tekijälle (palveluntarjoajalle ja/tai tarvittaessa käyttäjälle) määrätään hallinnollinen sakko, jonka suuruus on enintään 30 000 000 euroa tai, jos rikkomuksen tekijä on yritys, enintään 6 prosenttia sen edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä on suurempi:

• markkinoille saattaminen, käyttöönotto tai sellaisten tekoälykäytäntöjen käyttö, joiden riskiä ei voida hyväksyä (5 artikla);
• korkean riskin tekoälyjärjestelmää koskevien tiedonhallintavaatimusten noudattamatta jättäminen (10 artiklan 4 kohta).

Muiden kuin edellä mainittujen vaatimusten ja velvoitteiden noudattamatta jättämisestä rikkomuksen tekijälle voidaan määrätä hallinnollinen sakko, jonka suuruus on enintään 20 000 000 euroa tai, jos rikkomuksen tekijä on yritys, enintään 4 prosenttia sen edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä on suurempi.

Tekoälyasetusluonnoksessa säädetään myös seuraamuksista, jos ilmoitetuille laitoksille ja kansallisille toimivaltaisille viranomaisille ei anneta oikeita, täydellisiä tai täsmällisiä tietoja vastauksena mihin tahansa pyyntöön. Tällaisessa tapauksessa rikkojalle voidaan määrätä hallinnollinen sakko, jonka suuruus on enintään 10 000 000 euroa tai, jos rikkoja on yritys, enintään 2 prosenttia sen edellisen tilikauden maailmanlaajuisesta vuotuisesta kokonaisliikevaihdosta sen mukaan, kumpi näistä on suurempi.

Vaikutukset yrityksille

Tekoälyasetusluonnoksessa asetetaan rima korkealle teollisuudenalojen vaatimustenmukaisuusvelvoitteille tekoälyn alalla kaikilla talouden aloilla. McKinseyn tekemä maailmanlaajuinen tutkimus osoittaa, että monet organisaatiot ovat selvästi jäljessä tulevan asetuksen mahdollisten vaatimustenmukaisuusvaatimusten täyttämisessä, sillä vain 38 prosenttia niistä käsittelee aktiivisesti tekoälyyn liittyviä sääntelyn noudattamiseen liittyviä riskejä.^[8] Tältä osin asianomaisten organisaatioiden olisi valmistauduttava varmasti seuraaviin säännöksiin ja otettava käyttöön strateginen vaatimustenmukaisuusohjelma tekoälyjärjestelmiään varten. Tämä edellyttää tarvittavia taitoja ja resursseja, mikä johtaa compliance-ammattilaisten roolin kasvuun. Yritysten voidaan odottaa laajentavan compliance-tiimejään ja palkkaavan lisää ammattilaisia, joilla on tämä erityinen tausta. Myös ulkopuolisten lakimiesten tarve kasvaa.