A sosit viitorul? Prezentare generală a proiectului de regulament al UE privind inteligența artificială

La 21 aprilie 2021, Comisia Europeană a publicat o propunere de regulament privind inteligența artificială (proiect de regulament privind inteligența artificială, propunere de regulament)^[1], care face parte din "strategia europeană privind datele"^[2], proiectul de regulament privind inteligența artificială își propune să stabilească un standard de referință pentru reglementarea inteligenței artificiale în cadrul Uniunii[3].^[3] Deși, în prezent, regulamentul propus este dezbătut și există câteva mii de propuneri de modificare, se preconizează că acesta va fi adoptat până în toamna anului 2022.^[4] Odată adoptat, regulamentul privind IA va intra în vigoare la douăzeci de zile de la publicare și va lăsa o perioadă de tranziție de 24 de luni pentru ca toate organizațiile care furnizează sau utilizează sisteme de IA în UE să pună în aplicare măsurile și obligațiile respective.

Prezentul articol oferă o prezentare generală a proiectului de regulament privind IA și a implicațiilor sale pentru organizațiile din întreaga lume.

Domeniul de aplicare

Proiectul de regulament privind IA va avea o sferă de aplicare extrateritorială de tip GDPR și se aplică (art. 2)

• furnizorilor care comercializează în UE sau pun în funcțiune sisteme AI în UE;
• utilizatorilor de sisteme AI din UE; și
• furnizorilor și utilizatorilor de sisteme AI ale căror rezultate sunt utilizate în UE.

Proiectul de regulament privind inteligența artificială definește termenul "furnizor" ca fiind o persoană care dezvoltă un sistem de inteligență artificială sau care dispune dezvoltarea unui sistem de inteligență artificială în vederea introducerii pe piață sau a punerii în funcțiune a acestuia sub propriul nume sau propria marcă (articolul 3). Trebuie remarcat faptul că orice distribuitor, importator, utilizator sau alt terț va fi considerat furnizor dacă (art. 28):

1. introduce pe piață un sistem IA sub propriul nume sau propria marcă comercială;
2. modifică scopul propus al unui sistem IA existent; sau
3. efectuează modificări substanțiale ale sistemului de inteligență artificială.

Termenul "utilizator" este definit ca o persoană care utilizează un sistem AI sub autoritatea sa, cu excepția cazului în care sistemul AI este utilizat în cadrul unei activități personale neprofesionale (articolul 3).

În special, proiectul de regulament privind IA prevede un cadru de reglementare orizontal.^[5] Regulamentele, legile, standardele, normele etc. existente privind tehnologiile se aplică în majoritatea cazurilor unor industrii specifice și nu abordează implementarea acestor tehnologii prin sisteme hardware și software. Regulamentul propus va încerca să reglementeze IA în mod orizontal și, astfel, independent de cazurile de utilizare^[6].

Definiția IA

Regulamentul propus nu stabilește o definiție a IA. În schimb, acesta oferă o definiție a sistemelor AI (articolul 3):

"[S]istemul de inteligență artificială" (sistem AI) înseamnă un software care este dezvoltat cu una sau mai multe dintre tehnicile și abordările enumerate în anexa I și care poate, pentru un set dat de obiective definite de om, să genereze rezultate precum conținut, predicții, recomandări sau decizii care influențează mediile cu care interacționează."

Lista de tehnici și abordări din anexa I include abordări de învățare automată, abordări logice și bazate pe cunoștințe, precum și abordări statistice.

Definiția prea largă a sistemelor AI din proiectul de regulament privind AI a fost criticată de diverse părți interesate. Deși rămâne de văzut cum va arăta versiunea finală a proiectului de regulament privind inteligența artificială, unele state au propus o definiție mai restrânsă a inteligenței artificiale, cu două cerințe suplimentare: ca sistemul să fie capabil de "învățare, raționament sau modelare implementate cu tehnicile și abordările" și să fie, de asemenea, un "sistem generativ", care își influențează direct mediul^[7].

Tipuri de sisteme AI și cerințe de conformitate relevante

Proiectul de regulament privind AI împarte sistemele AI în patru categorii: sisteme AI cu risc inacceptabil, sisteme AI cu risc ridicat, sisteme AI cu obligații de transparență și sisteme AI cu risc minim.

Sisteme IA cu risc inacceptabil (articolul 5): De exemplu, practicile AI care contravin valorilor UE și reprezintă o amenințare clară la adresa siguranței, mijloacelor de subzistență și drepturilor fundamentale ale oamenilor sunt considerate sisteme cu risc inacceptabil. Astfel de sisteme nu sunt permise în temeiul proiectului de regulament privind IA.

Sisteme AI cu risc ridicat (articolul 6): Următoarele categorii de sisteme AI intră în această categorie:

1. Sisteme de identificare biometrică;
2. infrastructuri critice care ar putea pune în pericol viața și sănătatea cetățenilor;
3. Formarea educațională sau profesională, care ar putea determina accesul la educație și cursul profesional al vieții unei persoane;
4. componentele de siguranță ale produselor;
5. Ocuparea forței de muncă, gestionarea lucrătorilor și accesul la activități independente;
6. servicii publice și private esențiale;
7. aplicarea legii, administrarea justiției și procesele democratice;
8. migrația, azilul și gestionarea controlului frontierelor.

Furnizorii de sisteme de IA cu risc ridicat sunt supuși următoarelor obligații de fond:

1. Să creeze și să pună în aplicare un sistem adecvat de gestionare și reducere a riscurilor (articolul 9);
2. Să gestioneze cu diligență datele și guvernanța datelor, inclusiv formarea și testarea sistemelor AI cu risc ridicat care utilizează date (articolul 10);
3. Crearea și furnizarea de documentație tehnică utilizatorilor (articolul 11);
4. Asigurarea unei evidențe detaliate pentru autorități (articolele 12, 20);
5. Să ofere utilizatorilor informații clare și adecvate (art. 13);
6. Asigurați un nivel adecvat de supraveghere umană (articolul 14);
7. să aibă grijă de acuratețe, robustețe și securitate cibernetică (articolul 15);
8. Să pună în aplicare un sistem adecvat de management al calității (articolul 17);
9. să efectueze o monitorizare ulterioară introducerii pe piață a performanței sistemelor IA cu risc ridicat (articolul 61).

Furnizorii de sisteme IA cu risc ridicat trebuie, de asemenea, să respecte următoarele obligații procedurale:

1. Furnizorii trebuie să se asigure că sistemele lor de IA cu risc ridicat finalizează așa-numita "evaluare a conformității" înainte ca acestea să poată fi oferite pe piață sau puse în funcțiune (articolul 19). Evaluarea conformității sistemelor de identificare biometrică trebuie să fie efectuată de "organismul notificat" relevant (anexa VII). Pentru toate celelalte tipuri de sisteme AI cu risc ridicat, furnizorii pot efectua autoevaluarea (anexa VI);
2. După ce sistemul IA cu risc ridicat trece prin evaluarea conformității, furnizorii trebuie să întocmească declarația scrisă de conformitate (articolul 48), să atașeze un marcaj CE de conformitate la documentația sistemului IA cu risc ridicat (articolul 49) și să înregistreze sistemul IA cu risc ridicat în baza de date a UE (articolul 51);
3. Furnizorii trebuie să raporteze autorității competente, în termen de 15 zile, un "incident grav" sau o "funcționare defectuoasă" a sistemului IA cu risc ridicat (articolul 62).

Spre deosebire de furnizori, utilizatorii de sisteme de inteligență artificială cu grad ridicat de risc sunt supuși unor cerințe limitate. Prin extensie, aceștia trebuie să se asigure că utilizează sistemele IA cu grad ridicat de risc în conformitate cu instrucțiunile de utilizare a acestora, să monitorizeze funcționarea sistemelor IA cu grad ridicat de risc și să păstreze o evidență a jurnalelor generate de sistemele IA cu grad ridicat de risc (articolul 29).

Sistemele IA cu obligații de transparență (articolul 52): Roboții de chat sau roboții impersonatori intră în această categorie. Furnizorii de astfel de sisteme trebuie să se asigure că acestea sunt concepute și dezvoltate astfel încât persoanele fizice să fie informate că interacționează cu un sistem AI.

Sisteme AI cu risc minim (articolul 69): Jocurile video cu inteligență artificială sau filtrele de spam fac parte din această categorie. Nu există cerințe de conformitate pentru astfel de sisteme AI. Marea majoritate a sistemelor AI utilizate în prezent în UE pot fi definite ca sisteme AI cu risc minim.

Sancțiuni

Încălcarea obligațiilor care decurg din proiectul de regulament privind inteligența artificială conduce la amenzi cuantificate în funcție de tipul de încălcare (articolul 71).

Contravenientul (furnizorul și/sau utilizatorul, după caz) va fi supus unor amenzi administrative de până la 30 000 000 EUR sau, dacă contravenientul este o societate, de până la 6 % din cifra sa de afaceri anuală totală la nivel mondial pentru exercițiul financiar precedent, luându-se în considerare valoarea cea mai mare, pentru următoarele două tipuri de încălcări

• introducerea pe piață, punerea în funcțiune sau utilizarea de practici de IA cu risc inacceptabil (articolul 5);
• nerespectarea cerințelor privind guvernanța datelor din sistemul IA cu risc ridicat (articolul 10 alineatul (4)).

Pentru nerespectarea altor cerințe și obligații decât cele menționate, contravenientul va fi supus unor amenzi administrative de până la 20 000 000 EUR sau, în cazul în care contravenientul este o societate, de până la 4 % din cifra sa de afaceri anuală totală la nivel mondial pentru exercițiul financiar precedent, luându-se în considerare valoarea cea mai mare.

Proiectul de regulament AI prevede, de asemenea, sancțiuni pentru nerespectarea obligației de a furniza informații corecte, complete sau exacte organismelor notificate și autorităților naționale competente ca răspuns la orice solicitare. În acest caz, contravenienții sunt pasibili de amenzi administrative de până la 10 000 000 EUR sau, dacă contravenientul este o societate, de până la 2 % din cifra sa de afaceri anuală totală la nivel mondial pentru exercițiul financiar precedent, luându-se în considerare valoarea cea mai mare.

Implicații pentru întreprinderi

Proiectul de regulament privind inteligența artificială ridică ștacheta la un nivel ridicat pentru obligațiile de conformitate ale industriilor din domeniul inteligenței artificiale în toate sectoarele economice. Un studiu global realizat de McKinsey arată că multe organizații sunt cu mult în urmă în ceea ce privește îndeplinirea potențialelor cerințe de conformitate ale viitorului regulament, deoarece doar 38% dintre acestea abordează în mod activ riscurile de conformitate cu reglementările în domeniul IA^[8]. în acest sens, organizațiile afectate ar trebui să se pregătească pentru reglementările care vor urma cu siguranță și să adopte un program strategic de conformitate pentru sistemele lor de IA. Acest lucru va necesita seturi de competențe și resurse necesare, ceea ce va conduce la un rol sporit al profesioniștilor din domeniul conformității. Se poate aștepta ca întreprinderile să își extindă echipele de conformitate și să angajeze mai mulți profesioniști cu această pregătire specifică. De asemenea, va exista o nevoie crescută de consultanță juridică externă.