Наступило ли будущее? Обзор проекта постановления ЕС об искусственном интеллекте

21 апреля 2021 года Комиссия ЕС опубликовала предложение о принятии Положения об искусственном интеллекте (проект Положения об ИИ, предлагаемое Положение).^[1] Будучи частью "Европейской стратегии в области данных",^[2] проект Положения об ИИ призван установить золотой стандарт регулирования ИИ в рамках Союза.^[3] Хотя в настоящее время проект Постановления обсуждается и в него внесено несколько тысяч предложений о поправках, ожидается, что он будет принят к осени 2022 г.^[4] После принятия Постановление об ИИ вступит в силу через двадцать дней после публикации и оставит 24-месячный переходный период для всех организаций, предоставляющих или использующих системы ИИ на территории ЕС, для реализации соответствующих мер и обязательств.

В этой статье представлен обзор проекта Постановления об искусственном интеллекте и его последствий для организаций по всему миру.

Сфера применения

Проект Постановления об искусственном интеллекте будет иметь экстерриториальное действие в стиле GDPR и будет применяться к (ст. 2):

• поставщиков, которые занимаются маркетингом в ЕС или вводят системы ИИ в эксплуатацию в ЕС;
• пользователей систем искусственного интеллекта в ЕС; и
• поставщиков и пользователей систем искусственного интеллекта, чья продукция используется на территории ЕС.

Проект Положения об ИИ определяет термин "поставщик" как лицо, которое разрабатывает систему ИИ или имеет разработанную систему ИИ с целью размещения ее на рынке или введения в эксплуатацию под своим именем или товарным знаком (ст. 3). Следует отметить, что любой дистрибьютор, импортер, пользователь или другая третья сторона будет считаться поставщиком, если он (ст. 28):

1. выпускает систему искусственного интеллекта на рынок под своим именем или товарным знаком;
2. изменяет целевое назначение существующей системы ИИ; или
3. вносит существенные изменения в систему ИИ.

Термин "пользователь" определяется как лицо, использующее систему искусственного интеллекта в соответствии с его полномочиями, за исключением случаев, когда система искусственного интеллекта используется в ходе личной непрофессиональной деятельности (ст. 3).

Примечательно, что проект Положения об ИИ предусматривает горизонтальную нормативную базу.^[5] Существующие нормативные акты, законы, стандарты, нормы и т. д. в отношении технологий в большинстве случаев относятся к конкретным отраслям и не касаются внедрения этих технологий в аппаратно-программные комплексы. Предлагаемое Положение попытается регулировать ИИ горизонтально и, таким образом, независимо от вариантов использования^[6].

Определение ИИ

Предлагаемые Правила не содержат определения ИИ. Вместо этого в нем дается определение систем ИИ (ст. 3):

"[Система искусственного интеллекта] (система ИИ) означает программное обеспечение, разработанное с использованием одного или нескольких методов и подходов, перечисленных в Приложении I, и способное при заданном наборе целей, определенных человеком, генерировать такие результаты, как контент, прогнозы, рекомендации или решения, влияющие на среду, с которой они взаимодействуют".

Список методов и подходов в Приложении I включает подходы машинного обучения, логические подходы, подходы, основанные на знаниях, а также статистические подходы.

Слишком широкое определение систем ИИ в проекте Положения об ИИ вызвало критику со стороны различных заинтересованных сторон. Хотя еще предстоит выяснить, как будет выглядеть окончательная версия проекта Положения об искусственном интеллекте, некоторые государства предложили более узкое определение искусственного интеллекта с двумя дополнительными требованиями: система должна быть способна "обучаться, рассуждать или моделировать, используя методы и подходы", а также быть "генеративной системой", непосредственно влияющей на свое окружение^[7].

Типы систем ИИ и соответствующие требования к соответствию

В проекте Положения об ИИ системы ИИ подразделяются на четыре категории: системы ИИ с неприемлемым риском, системы ИИ с высоким риском, системы ИИ с обязательствами по обеспечению прозрачности и системы ИИ с минимальным риском.

Системы ИИ с неприемлемым риском (ст. 5): Например, системы ИИ, противоречащие ценностям ЕС и представляющие явную угрозу безопасности, средствам к существованию и основным правам людей, считаются системами с неприемлемым риском. Такие системы не допускаются проектом Постановления об ИИ.

Системы ИИ с высоким уровнем риска (ст. 6): К этой категории относятся следующие категории систем ИИ:

1. Системы биометрической идентификации;
2. Критические инфраструктуры, которые могут подвергнуть риску жизнь и здоровье граждан;
3. Системы образования или профессиональной подготовки, которые могут определять доступ к образованию и профессиональный путь человека;
4. компоненты безопасности продукции;
5. Занятость, управление работниками и доступ к самозанятости;
6. Основные частные и государственные услуги;
7. Правоохранительная деятельность, отправление правосудия и демократические процессы;
8. управление миграцией, предоставлением убежища и пограничным контролем.

На поставщиков систем ИИ с высоким уровнем риска распространяются следующие основные обязательства:

1. Создать и внедрить адекватную систему управления рисками и их снижения (ст. 9);
2. Тщательно управлять данными и управлением данными, включая обучение и тестирование систем ИИ высокого риска, использующих данные (ст. 10);
3. Создать и предоставить пользователям техническую документацию (ст. 11);
4. Обеспечить подробное ведение учета для органов власти (ст. 12, 20);
5. Предоставить пользователям четкую и адекватную информацию (ст. 13);
6. Обеспечить надлежащий уровень человеческого надзора (Ст. 14);
7. Заботиться о точности, надежности и кибербезопасности (ст. 15);
8. Создать надлежащую систему управления качеством (ст. 17);
9. Проводить постмаркетинговый мониторинг эффективности систем искусственного интеллекта с высокой степенью риска (ст. 61).

Поставщики систем искусственного интеллекта высокого риска также должны соблюдать следующие процедурные обязательства:

1. Поставщики должны обеспечить, чтобы их системы ИИ повышенного риска прошли так называемую "оценку соответствия", прежде чем они будут предложены на рынке или введены в эксплуатацию (ст. 19). Оценка соответствия систем биометрической идентификации должна проводиться соответствующим "нотифицированным органом" (Приложение VII). Для всех остальных типов систем ИИ повышенного риска поставщики могут проводить самооценку (Приложение VI);
2. После того как система ИИ повышенного риска пройдет оценку соответствия, поставщики должны составить письменную декларацию о соответствии (ст. 48), прикрепить маркировку соответствия СЕ к документации системы ИИ повышенного риска (ст. 49) и зарегистрировать систему ИИ повышенного риска в базе данных ЕС (ст. 51);
3. Поставщики должны сообщить в соответствующий орган в течение 15 дней о "серьезном инциденте" или "неисправности" системы ИИ повышенного риска (ст. 62).

В отличие от поставщиков, к пользователям систем ИИ повышенного риска предъявляются ограниченные требования. В частности, они должны обеспечить использование систем ИИ повышенного риска в соответствии с инструкциями по их использованию, а также контролировать работу систем ИИ повышенного риска и вести учет журналов, создаваемых системами ИИ повышенного риска (ст. 29).

Системы искусственного интеллекта с обязательствами по обеспечению прозрачности (ст. 52): В эту категорию попадают чат-боты или боты-самозванцы. Поставщики таких систем должны обеспечить их проектирование и разработку таким образом, чтобы физические лица были информированы о том, что они взаимодействуют с системой ИИ.

Системы ИИ с минимальным риском (ст. 69): К этой категории относятся видеоигры с поддержкой ИИ или спам-фильтры. К таким системам ИИ не предъявляются требования по соблюдению требований. Подавляющее большинство систем ИИ, используемых в настоящее время в ЕС, можно определить как системы ИИ с минимальным риском.

Санкции

Нарушение обязательств, предусмотренных проектом Положения об искусственном интеллекте, влечет за собой наложение штрафов в зависимости от типа нарушения (ст. 71).

На нарушителя (поставщика и/или пользователя, если применимо) будут наложены административные штрафы в размере до 30 000 000 евро или, если нарушителем является компания, до 6 % ее общего мирового годового оборота за предыдущий финансовый год, в зависимости от того, что выше, за следующие два вида нарушений:

• размещение на рынке, введение в эксплуатацию или использование практики ИИ с неприемлемым риском (Статья 5);
• несоблюдение требований к управлению данными в системе ИИ высокого риска (статья 10.4).

За несоблюдение других требований и обязательств, кроме указанных, на нарушителя налагаются административные штрафы в размере до 20 000 000 евро или, если нарушителем является компания, до 4 % ее общего мирового годового оборота за предыдущий финансовый год, в зависимости от того, какая сумма больше.

Проект Положения об искусственном интеллекте также предусматривает санкции за непредоставление правильной, полной или точной информации уведомленным органам и национальным компетентным органам в ответ на любой запрос. В этом случае на нарушителей будут наложены административные штрафы в размере до 10 000 000 евро или, если нарушителем является компания, до 2 % от ее общего мирового годового оборота за предыдущий финансовый год, в зависимости от того, какая сумма больше.

Последствия для бизнеса

Проект Постановления об искусственном интеллекте устанавливает высокую планку для выполнения обязательств по соблюдению законодательства в области искусственного интеллекта во всех отраслях экономики. Глобальное исследование, проведенное компанией McKinsey, показывает, что многие организации значительно отстают в выполнении потенциальных требований к соблюдению норм грядущего Постановления, поскольку только 38 % из них активно занимаются рисками соблюдения нормативных требований в области ИИ.^[8] В связи с этим затронутые организации должны подготовиться к нормативным требованиям, которые обязательно последуют, и принять стратегическую программу соблюдения нормативных требований для своих систем ИИ. Это потребует необходимых навыков и ресурсов, что приведет к повышению роли специалистов по соблюдению нормативных требований. Возможно, компаниям придется расширить свои команды по соблюдению нормативных требований и нанять больше профессионалов с подобным опытом. Кроме того, возрастет потребность во внешних юридических консультантах.