Megérkezett a jövő? A mesterséges intelligenciáról szóló uniós rendelettervezet áttekintése

2021. április 21-én az Európai Bizottság közzétette a mesterséges intelligenciáról szóló rendeletjavaslatot (mesterséges intelligenciáról szóló rendelettervezet, rendelettervezet)^[1] Az "európai adatstratégia"^[2 ] részeként a mesterséges intelligenciáról szóló rendelettervezet célja, hogy aranyszabályt állítson fel a mesterséges intelligencia Unión belüli szabályozására.[^3] Bár jelenleg a rendelettervezetet vitatják, és több ezer módosító javaslat van, a rendelettervezetet várhatóan 2022 őszére fogadják el. 20 nappal a kihirdetése után húsz nappal az elfogadás után hatályba lép, és 24 hónapos átmeneti időszakot hagy az EU-n belül mesterséges intelligencia rendszereket nyújtó vagy használó valamennyi szervezet számára a vonatkozó intézkedések és kötelezettségek végrehajtására.^[4] A rendelettervezet elfogadása után a mesterséges intelligencia rendelet húsz nappal lép hatályba, és 24 hónapos átmeneti időszakot hagy a megfelelő intézkedések és kötelezettségek végrehajtására.

Ez a cikk áttekintést nyújt a mesterséges intelligenciáról szóló rendelettervezetről és annak a szervezetekre világszerte gyakorolt hatásairól.

Az alkalmazási kör

A mesterséges intelligenciáról szóló rendelettervezet a GDPR-hez hasonlóan extraterritoriális hatályú lesz, és a következőkre vonatkozik (2. cikk):

• az EU-ban forgalmazó vagy az EU-ban AI-rendszereket üzembe helyező szolgáltatókra;
• a mesterséges intelligencia rendszerek felhasználói az EU-ban; és
• az olyan AI-rendszerek szolgáltatóira és felhasználóira, amelyek eredményét az EU-ban használják fel.

A mesterséges intelligenciáról szóló rendelettervezet a "szolgáltató" fogalmát úgy határozza meg, mint olyan személy, aki mesterséges intelligencia rendszert fejleszt, vagy aki mesterséges intelligencia rendszert fejleszt azzal a céllal, hogy azt saját neve vagy védjegye alatt forgalomba hozza vagy üzembe helyezze (3. cikk). Meg kell jegyezni, hogy bármely forgalmazó, importőr, felhasználó vagy más harmadik fél szolgáltatónak minősül, ha az (28. cikk):

1. saját neve vagy védjegye alatt hoz forgalomba egy mesterséges intelligencia rendszert;
2. módosítja egy meglévő mesterséges intelligencia rendszer rendeltetését; vagy
3. jelentős módosításokat hajt végre az AI-rendszeren.

A "felhasználó" fogalmát úgy kell meghatározni, mint az a személy, aki az AI-rendszert annak fennhatósága alatt használja, kivéve, ha az AI-rendszert személyes, nem szakmai tevékenység során használja (3. cikk).

Figyelemre méltó, hogy a mesterséges intelligenciáról szóló rendelettervezet horizontális szabályozási keretről rendelkezik.^[5] A technológiákra vonatkozó meglévő rendeletek, jogszabályok, szabványok, normák stb. a legtöbb esetben konkrét iparágakra vonatkoznak, és nem foglalkoznak e technológiák hardver- és szoftverrendszereken keresztül történő megvalósításával. A javasolt rendelet megkísérli horizontálisan és így a felhasználási esetektől függetlenül szabályozni a mesterséges intelligenciát^[6].

A mesterséges intelligencia meghatározása

A javasolt rendelet nem határozza meg a mesterséges intelligencia fogalmát. Ehelyett a mesterséges intelligencia rendszerek fogalmát határozza meg (3. cikk):

"[Mesterséges intelligencia rendszer (AI rendszer): olyan szoftver, amelyet az I. mellékletben felsorolt technikák és megközelítések közül egy vagy több alkalmazásával fejlesztettek ki, és amely adott, ember által meghatározott célok tekintetében képes olyan kimeneteket, például tartalmat, előrejelzéseket, ajánlásokat vagy döntéseket létrehozni, amelyek befolyásolják a környezetet, amellyel kölcsönhatásba lépnek.".

Az I. mellékletben felsorolt technikák és megközelítések között szerepelnek a gépi tanulási megközelítések, a logikai és tudásalapú megközelítések, valamint a statisztikai megközelítések.

A mesterséges intelligenciáról szóló rendelettervezetben a mesterséges intelligenciáról szóló rendszerek túlságosan tág fogalommeghatározását több érdekelt fél is kritikával illette. Bár még nem tudni, hogy milyen lesz az AI-rendelettervezet végleges változata, egyes államok a mesterséges intelligencia szűkebb meghatározását javasolták, két további követelménnyel: a rendszer képes "a technikákkal és megközelítésekkel megvalósított tanulásra, következtetésre vagy modellezésre", valamint "generatív rendszer", amely közvetlenül befolyásolja a környezetét^[7].

Az AI-rendszerek típusai és a vonatkozó megfelelési követelmények

Az AI-rendelettervezet az AI-rendszereket négy kategóriába sorolja: elfogadhatatlan kockázatú AI-rendszerek, magas kockázatú AI-rendszerek, átláthatósági kötelezettséggel járó AI-rendszerek és minimális kockázatú AI-rendszerek.

Elfogadhatatlan kockázatú mesterséges intelligencia rendszerek (5. cikk): Elfogadhatatlan kockázatú rendszereknek minősülnek például azok a mesterséges intelligenciával kapcsolatos gyakorlatok, amelyek ellentétesek az uniós értékekkel, és egyértelműen veszélyeztetik az emberek biztonságát, megélhetését és alapvető jogait. Az ilyen rendszerek nem engedélyezettek a mesterséges intelligenciáról szóló rendelettervezet szerint.

Magas kockázatú mesterséges intelligencia rendszerek (6. cikk): A mesterséges intelligencia rendszerek következő kategóriái tartoznak ebbe a kategóriába:

1. Biometrikus azonosítási rendszerek;
2. létfontosságú infrastruktúrák, amelyek veszélyeztethetik a polgárok életét és egészségét;
3. Oktatási vagy szakképzési rendszerek, amelyek meghatározhatják valakinek az oktatáshoz való hozzáférését és szakmai életútját;
4. Termékek biztonsági elemei;
5. Foglalkoztatás, a munkavállalók irányítása és az önfoglalkoztatáshoz való hozzáférés;
6. Alapvető magán- és közszolgáltatások;
7. Jogérvényesítés, igazságszolgáltatás és demokratikus folyamatok;
8. Migráció, menekültügy és határellenőrzés.

A magas kockázatú mesterséges intelligencia rendszerek szolgáltatóira a következő érdemi kötelezettségek vonatkoznak:

1. Megfelelő kockázatkezelési és kockázatcsökkentési rendszer létrehozása és végrehajtása (9. cikk);
2. Az adatok és az adatkezelés gondos kezelése, beleértve a nagy kockázatú mesterséges intelligencia alapú rendszerek képzését és tesztelését az adatok felhasználásával (10. cikk);
3. Technikai dokumentáció létrehozása és a felhasználók számára történő biztosítása (11. cikk);
4. Részletes nyilvántartás vezetése a hatóságok számára (12. és 20. cikk);
5. Világos és megfelelő információkkal lássa el a felhasználókat (13. cikk);
6. Megfelelő szintű emberi felügyelet biztosítása (14. cikk);
7. Gondoskodjon a pontosságról, a megbízhatóságról és a kiberbiztonságról (15. cikk);
8. megfelelő minőségirányítási rendszer bevezetése (17. cikk);
9. Végezze el a nagy kockázatot jelentő mesterséges intelligencia rendszerek teljesítményének forgalomba hozatal utáni nyomon követését (61. cikk).

A nagy kockázatú mesterséges intelligencia rendszerek szolgáltatóinak a következő eljárási kötelezettségeknek is meg kell felelniük:

1. A szolgáltatóknak biztosítaniuk kell, hogy a nagy kockázatú mesterséges intelligencia alapú AI-rendszereik teljesítsék az úgynevezett "megfelelőségértékelést", mielőtt azokat a piacon kínálnák vagy üzembe helyeznék (19. cikk). A biometrikus azonosító rendszerek megfelelőségét az illetékes "bejelentett szervezetnek" kell elvégeznie (VII. melléklet). A magas kockázatú mesterséges intelligencia rendszerek minden más típusa esetében a szolgáltatók önértékelést végezhetnek (VI. melléklet);
2. Miután a magas kockázatú mesterséges intelligencia alapú azonosító rendszer átesett a megfelelőségértékelésen, a szolgáltatóknak írásos megfelelőségi nyilatkozatot kell kiállítaniuk (48. cikk), a magas kockázatú mesterséges intelligencia alapú rendszer dokumentációjához csatolniuk kell a CE megfelelőségi jelölést (49. cikk), és a magas kockázatú mesterséges intelligencia alapú rendszert be kell jegyezniük az uniós adatbázisba (51. cikk);
3. A szolgáltatóknak 15 napon belül jelenteniük kell az illetékes hatóságnak, ha a nagy kockázatú mesterséges intelligenciával működő AI-rendszerrel kapcsolatban "súlyos esemény" vagy "üzemzavar" történik (62. cikk).

A szolgáltatókkal ellentétben a magas kockázatú mesterséges intelligencia rendszerek felhasználóira korlátozott követelmények vonatkoznak. Kiterjesztve, biztosítaniuk kell, hogy a magas kockázatú mesterséges intelligencia rendszereket a használatukra vonatkozó utasításoknak megfelelően használják, valamint figyelemmel kell kísérniük a magas kockázatú mesterséges intelligencia rendszerek működését, és nyilvántartást kell vezetniük a magas kockázatú mesterséges intelligencia rendszerek által generált naplófájlokról (29. cikk).

Átláthatósági kötelezettséggel rendelkező mesterséges intelligencia rendszerek (52. cikk): A csevegőrobotok vagy a megszemélyesítő robotok ebbe a kategóriába tartoznak. Az ilyen rendszerek szolgáltatóinak biztosítaniuk kell, hogy azokat úgy tervezték és fejlesztették ki, hogy a természetes személyek tájékoztatást kapjanak arról, hogy mesterséges intelligenciával működő rendszerrel lépnek kapcsolatba.

Minimális kockázatú mesterséges intelligenciával működő rendszerek (69. cikk): Az AI-alapú videojátékok vagy a spamszűrők tartoznak ebbe a kategóriába. Az ilyen mesterséges intelligenciával működő rendszerekre vonatkozóan nincsenek megfelelési követelmények. Az EU-ban jelenleg használt mesterséges intelligencia rendszerek túlnyomó többsége minimális kockázatú mesterséges intelligencia rendszerként definiálható.

Szankciók

Az AI-rendelettervezet szerinti kötelezettségek megszegése a jogsértés típusától függően számszerűsített bírságokat von maga után (71. cikk).

A jogsértő (adott esetben a szolgáltató és/vagy a felhasználó) a következő két típusú jogsértés esetén akár 30 000 000 EUR-ig terjedő közigazgatási bírsággal, vagy - ha a jogsértő egy vállalat - az előző pénzügyi év teljes világméretű éves forgalmának 6 %-áig terjedő bírsággal sújtható, attól függően, hogy melyik a magasabb összeg:

• elfogadhatatlan kockázatú mesterséges intelligenciainformatikai gyakorlatok forgalomba hozatala, üzembe helyezése vagy alkalmazása (5. cikk);
• a magas kockázatú mesterséges intelligencia rendszer adatkezelési követelményeinek nem teljesítése (10. cikk (4) bekezdés).

Az említetteken kívüli egyéb követelmények és kötelezettségek be nem tartása esetén a jogsértőre 20 000 000 EUR-ig terjedő közigazgatási bírság szabható ki, vagy ha a jogsértő vállalat, akkor az előző pénzügyi év teljes világméretű éves forgalmának 4 %-áig terjedő közigazgatási bírság, attól függően, hogy melyik a magasabb összeg.

A madárinformatikai rendelettervezet szankciókat ír elő a bejelentett szervezeteknek és az illetékes nemzeti hatóságoknak bármilyen kérésre történő helyes, teljes vagy pontos információszolgáltatás elmulasztása esetén is. Ebben az esetben a jogsértőkre 10 000 000 EUR-ig terjedő közigazgatási bírságot szabnak ki, vagy ha a jogsértő egy vállalat, akkor az előző pénzügyi év teljes világméretű éves forgalmának 2 %-áig terjedő közigazgatási bírságot, attól függően, hogy melyik a magasabb összeg.

Következmények az üzleti életre nézve

A mesterséges intelligenciáról szóló rendelettervezet magasra teszi a lécet az iparágak megfelelési kötelezettségei tekintetében a mesterséges intelligencia területén valamennyi gazdasági ágazatban. A McKinsey által végzett globális felmérés azt mutatja, hogy sok szervezet jócskán le van maradva a készülő rendelet potenciális megfelelési követelményeinek teljesítésében, mivel csak 38 százalékuk foglalkozik aktívan a jogszabályi megfelelési kockázatokkal az AI területén.^[8] Ebben a tekintetben az érintett szervezeteknek fel kell készülniük a biztosan következő szabályozásra, és stratégiai megfelelési programot kell elfogadniuk az AI-rendszereikre vonatkozóan. Ehhez szükséges készségekre és erőforrásokra lesz szükség, ami a megfelelőségi szakemberek megnövekedett szerepéhez vezet. A vállalatoknak várhatóan bővíteniük kell a megfelelőségi csapataikat, és több, ilyen speciális háttérrel rendelkező szakembert kell felvenniük. A külső jogi tanácsadókra is egyre nagyobb szükség lesz.