Is de toekomst aangebroken? Overzicht van de EU-ontwerpverordening inzake kunstmatige intelligentie

Op 21 april 2021 publiceerde de Europese Commissie een voorstel voor een verordening inzake kunstmatige intelligentie (ontwerp-AI-verordening, voorgestelde verordening).^[1] De ontwerp-AI-verordening maakt deel uit van de "Europese strategie voor data"^[2] en heeft tot doel een gouden standaard vast te stellen voor de regulering van AI binnen de Unie.[^3] Hoewel er op dit moment over de voorgestelde verordening wordt gedebatteerd en er enkele duizenden voorstellen voor wijzigingen zijn, zal de verordening naar verwachting in het najaar van 2022 worden aangenomen.^[4] Zodra de AI-verordening is aangenomen, zal deze twintig dagen na publicatie in werking treden en zal er een overgangsperiode van 24 maanden zijn voor alle organisaties die AI-systemen aanbieden of gebruiken binnen de EU om de respectieve maatregelen en verplichtingen te implementeren.

Dit artikel geeft een overzicht van de concept-AI-verordening en de gevolgen voor organisaties wereldwijd.

Toepassingsgebied

De ontwerp-AI-verordening heeft een extraterritoriale reikwijdte in de stijl van de GDPR en is van toepassing op (art. 2):

• aanbieders die in de EU op de markt komen of AI-systemen in de EU in gebruik nemen;
• gebruikers van AI-systemen in de EU; en
• aanbieders en gebruikers van AI-systemen waarvan de output binnen de EU wordt gebruikt.

De ontwerp-AI-verordening definieert de term "aanbieders" als een persoon die een AI-systeem ontwikkelt of laat ontwikkelen met de bedoeling het onder zijn eigen naam of handelsmerk op de markt te brengen of in gebruik te nemen (artikel 3). Er zij op gewezen dat een distributeur, importeur, gebruiker of andere derde als een dienstverlener wordt beschouwd als hij (art. 28):

1. een AI-systeem onder zijn eigen naam of handelsmerk op de markt brengt;
2. het beoogde doel van een bestaand AI-systeem wijzigt; of
3. substantiële wijzigingen aanbrengt in het AI-systeem.

De term "gebruiker" wordt gedefinieerd als een persoon die een AI-systeem onder zijn gezag gebruikt, behalve wanneer het AI-systeem wordt gebruikt in het kader van een persoonlijke, niet-beroepsmatige activiteit (artikel 3).

De ontwerp-AI-verordening voorziet met name in een horizontaal regelgevingskader.^[5] Bestaande voorschriften, wetten, normen, standaarden, enz. van technologieën zijn in de meeste gevallen van toepassing op specifieke bedrijfstakken en hebben geen betrekking op de implementatie van deze technologieën via hardware- en softwaresystemen. De voorgestelde verordening probeert AI horizontaal te reguleren en dus onafhankelijk van use cases.^[6]

Definitie van AI

De voorgestelde verordening bevat geen definitie van AI. In plaats daarvan wordt een definitie van AI-systemen gegeven (artikel 3):

Onder "kunstmatige-intelligentiesysteem" (AI-systeem) wordt verstaan software die is ontwikkeld met behulp van een of meer van de in bijlage I genoemde technieken en benaderingen en die, voor een bepaalde reeks door mensen bepaalde doelstellingen, output kan genereren zoals inhoud, voorspellingen, aanbevelingen of beslissingen die van invloed zijn op de omgevingen waarmee zij interageren."

De lijst van technieken en benaderingen in bijlage I omvat benaderingen van machinaal leren, logica, kennis en statistische benaderingen.

De te brede definitie van AI-systemen in de ontwerp-AI-verordening heeft kritiek opgeleverd van verschillende belanghebbenden. Hoewel nog moet worden afgewacht hoe de definitieve versie van de ontwerp-AI-verordening eruit zal zien, hebben sommige staten een engere definitie van kunstmatige intelligentie voorgesteld, met twee aanvullende vereisten: dat het systeem in staat is om te "leren, redeneren of modelleren met behulp van de technieken en benaderingen", en dat het ook een "generatief systeem" is, dat zijn omgeving rechtstreeks beïnvloedt.^[7]

Soorten AI-systemen en relevante nalevingsvereisten

De ontwerp-AI-verordening verdeelt AI-systemen in vier categorieën: AI-systemen met onaanvaardbaar risico, AI-systemen met hoog risico, AI-systemen met transparantieverplichtingen en AI-systemen met minimaal risico.

AI-systemen met onaanvaardbaar risico (artikel 5): Zo worden AI-praktijken die in strijd zijn met de EU-waarden en een duidelijke bedreiging vormen voor de veiligheid, de bestaansmiddelen en de grondrechten van mensen, beschouwd als systemen met een onaanvaardbaar risico. Dergelijke systemen zijn niet toegestaan onder de ontwerp-AI-verordening.

AI-systemen met een hoog risico (artikel 6): De volgende categorieën AI-systemen vallen onder deze categorie:

1. Biometrische identificatiesystemen;
2. Kritische infrastructuren die het leven en de gezondheid van burgers in gevaar kunnen brengen;
3. Onderwijs of beroepsopleiding, die bepalend kunnen zijn voor de toegang tot onderwijs en de beroepsloopbaan van iemands leven;
4. Veiligheidscomponenten van producten;
5. Werkgelegenheid, management van werknemers en toegang tot zelfstandig ondernemerschap;
6. Essentiële particuliere en openbare diensten;
7. Rechtshandhaving, rechtsbedeling en democratische processen;
8. beheer van migratie, asiel en grenscontroles.

Aanbieders van AI-systemen met een hoog risico zijn onderworpen aan de volgende inhoudelijke verplichtingen:

1. Een adequaat systeem voor risicobeheer en -beperking opzetten en implementeren (art. 9);
2. Gegevens en gegevensbeheer zorgvuldig beheren, met inbegrip van het opleiden en testen van AI-systemen met een hoog risico die gebruikmaken van gegevens (artikel 10);
3. Technische documentatie samenstellen en ter beschikking stellen van gebruikers (artikel 11);
4. Zorg voor een gedetailleerde registratie voor autoriteiten (art. 12, 20);
5. Voorzie gebruikers van duidelijke en adequate informatie (artikel 13);
6. Zorg voor een passend niveau van menselijk toezicht (art. 14);
7. Zorg voor nauwkeurigheid, robuustheid en cyberveiligheid (artikel 15);
8. een goed kwaliteitsmanagementsysteem opzetten (art. 17);
9. na het in de handel brengen toezicht houden op de prestaties van AI-systemen met een hoog risico (artikel 61).

Aanbieders van AI-systemen met een hoog risico moeten ook voldoen aan de volgende procedurele verplichtingen:

1. Aanbieders moeten ervoor zorgen dat hun AI-systemen met een hoog risico de zogenaamde "conformiteitsbeoordeling" doorlopen voordat ze op de markt kunnen worden aangeboden of in gebruik kunnen worden genomen (art. 19). De conformiteit van de biometrische identificatiesystemen moet worden beoordeeld door de relevante "aangemelde instantie" (bijlage VII). Voor alle andere soorten AI-systemen met een hoog risico kunnen aanbieders een zelfbeoordeling uitvoeren (bijlage VI);
2. Zodra het AI-systeem met hoog risico de conformiteitsbeoordeling heeft doorlopen, moeten de aanbieders de schriftelijke conformiteitsverklaring opstellen (art. 48), een CE-markering van conformiteit aan de documentatie van het AI-systeem met hoog risico hechten (art. 49) en het AI-systeem met hoog risico in de EU-databank registreren (art. 51);
3. Aanbieders moeten een "ernstig incident" of een "storing" in het hoog-risico-AI-systeem binnen 15 dagen melden bij de bevoegde autoriteit (art. 62).

In tegenstelling tot aanbieders gelden voor gebruikers van AI-systemen met een hoog risico beperkte eisen. Zij moeten ervoor zorgen dat zij de AI-systemen met hoog risico gebruiken overeenkomstig de instructies voor het gebruik ervan, de werking van de AI-systemen met hoog risico monitoren en de door de AI-systemen met hoog risico gegenereerde logbestanden bijhouden (art. 29).

AI-systemen met transparantieverplichtingen (art. 52): Chatbots of imitatiebots vallen onder deze categorie. Aanbieders van dergelijke systemen moeten ervoor zorgen dat ze zodanig worden ontworpen en ontwikkeld dat natuurlijke personen ervan op de hoogte zijn dat ze interactie hebben met een AI-systeem.

AI-systemen met een minimaal risico (artikel 69): Videospellen met AI of spamfilters vallen onder deze categorie. Er zijn geen nalevingsvereisten voor dergelijke AI-systemen. De overgrote meerderheid van AI-systemen die momenteel in de EU worden gebruikt, kunnen worden gedefinieerd als AI-systemen met een minimaal risico.

Sancties

Inbreuken op de verplichtingen uit hoofde van de ontwerp-AI-verordening leiden tot boetes die worden berekend op basis van het soort inbreuk (artikel 71).

De overtreder (aanbieder en/of gebruiker, indien van toepassing) kan worden onderworpen aan administratieve boetes tot 30 000 000 euro of, indien de overtreder een bedrijf is, tot 6% van de totale wereldwijde jaaromzet in het voorafgaande boekjaar, indien dat hoger is, voor de volgende twee soorten overtredingen:

• het op de markt brengen, in gebruik nemen of gebruiken van AI-praktijken met onaanvaardbare risico's (artikel 5);
• niet-naleving van de eisen inzake gegevensbeheer van het AI-systeem met hoog risico (artikel 10, lid 4).

Bij niet-naleving van andere dan de genoemde eisen en verplichtingen wordt de overtreder een administratieve boete opgelegd van maximaal 20 000 000 euro of, indien de overtreder een onderneming is, van maximaal 4% van zijn totale wereldwijde jaaromzet in het voorafgaande boekjaar, indien dat bedrag hoger is.

De ontwerp-AI-verordening voorziet ook in sancties voor het niet verstrekken van juiste, volledige of nauwkeurige informatie aan aangemelde instanties en nationale bevoegde autoriteiten in antwoord op een verzoek. In dat geval worden overtreders bestraft met administratieve boetes tot 10 000 000 euro of, als de overtreder een bedrijf is, tot 2% van de totale wereldwijde jaaromzet in het voorafgaande boekjaar, als dat bedrag hoger is.

Gevolgen voor het bedrijfsleven

De ontwerp-AI-verordening legt de lat hoog voor de nalevingsverplichtingen van bedrijven op het gebied van AI in alle economische sectoren. Uit een wereldwijd onderzoek van McKinsey blijkt dat veel organisaties ver achterlopen bij het voldoen aan de mogelijke compliance-eisen van de aankomende verordening, aangezien slechts 38 procent van hen actief bezig is met het aanpakken van risico's op het gebied van regelnaleving op het gebied van AI.^[8] In dit verband moeten de betrokken organisaties zich voorbereiden op de regelgeving die zeker zal volgen en een strategisch complianceprogramma voor hun AI-systemen invoeren. Dit vereist de nodige vaardigheden en middelen, waardoor complianceprofessionals een grotere rol gaan spelen. Van bedrijven kan worden verwacht dat ze hun compliance teams uitbreiden en meer professionals met deze specifieke achtergrond aannemen. Er zal ook een grotere behoefte zijn aan externe juridische adviseurs.