AI Act, arba Europos Sąjungos Dirbtinio intelekto aktas, yra ES reglamentas 2024/1689, nustatantis privalomas taisykles dirbtinio intelekto sistemoms pagal jų keliamą riziką. Jis priklauso ES skaitmeninio reguliavimo ir produktų saugos teisės sričiai.
AI Act yra rizika grįstas reglamentas, todėl pareigos priklauso nuo AI naudojimo būdo
AI Act nereguliuoja viso dirbtinio intelekto vienodai. Europos Komisijos reguliavimo modelis remiasi keturiomis rizikos grupėmis: nepriimtina rizika, didelė rizika, ribota rizika ir minimali rizika. Kuo didesnė tikimybė pakenkti saugai, sveikatai ar pagrindinėms teisėms, tuo daugiau pareigų taikoma.
Praktiškai tai reiškia, kad įmonė, naudojanti tekstų generavimo įrankį vidinėms užduotims, dažniausiai turės mažiau pareigų nei bendrovė, kuri diegia AI darbuotojų atrankai, kreditingumo vertinimui ar medicinos prietaiso veikimui. Svarbi ne technologijos etiketė, o jos paskirtis ir poveikis žmonėms.
| Rizikos lygis | Pavyzdžiai | Ką turi daryti verslas |
|---|---|---|
| Nepriimtina rizika | Socialinis vertinimas, manipuliacinės sistemos, kai kurios biometrinio identifikavimo praktikos | Nenaudoti ir neteikti rinkai, nes tokios praktikos draudžiamos |
| Didelė rizika | AI įdarbinime, švietime, kredito vertinime, kritinėje infrastruktūroje, medicinos prietaisuose | Atlikti rizikos valdymą, dokumentuoti, užtikrinti duomenų kokybę, žmogaus priežiūrą ir atitiktį |
| Ribota rizika | Chatbotai, sintetiniai vaizdai, balsas ar tekstas | Informuoti žmogų, kad jis sąveikauja su AI arba kad turinys sukurtas dirbtinai |
| Minimali rizika | Šlamšto filtrai, pagalbinės vidinės analizės priemonės | Specialių AI Act pareigų paprastai nėra, bet lieka GDPR, sutartys ir saugumas |
Verslas pirmiausia turi nustatyti savo vaidmenį AI grandinėje
AI Act pareigos priklauso ne tik nuo rizikos, bet ir nuo to, ką įmonė daro su sistema. Reglamentas išskiria tiekėją, diegėją, importuotoją, platintoją ir produkto gamintoją. Lietuviškame verslo kontekste dažniausiai aktualūs du vaidmenys: tiekėjas ir diegėjas.
Tiekėjas kuria arba pateikia AI sistemą rinkai savo vardu. Diegėjas ją naudoja profesinėje veikloje, pavyzdžiui, klientų aptarnavimui, atrankai, kainodarai ar procesų automatizavimui. Jei įmonė pervadina įsigytą sistemą savo produktu arba iš esmės pakeičia jos paskirtį, jos pareigos gali priartėti prie tiekėjo pareigų.
Privalomos pareigos prasideda nuo draudžiamų praktikų ir AI raštingumo
AI Act numato praktikas, kurios laikomos nepriimtinos rizikos. Tai apima tam tikras manipuliacines sistemas, pažeidžiamų asmenų išnaudojimą, socialinį vertinimą ir kai kurias biometrinio identifikavimo bei klasifikavimo formas. Tokios sistemos negali būti naudojamos vien todėl, kad jos techniškai įmanomos.
Kartu reglamentas įpareigoja organizacijas užtikrinti pakankamą AI raštingumą. Tai nėra vien mokymai apie vieną programą. Darbuotojai turi suprasti, kada AI gali klysti, kodėl reikia tikrinti rezultatus, kaip saugoti asmens duomenis ir kada sprendimo negalima palikti vien automatinei sistemai.
- inventorizuoti naudojamas AI sistemas ir jų paskirtį;
- nustatyti, ar įmonė yra tiekėjas, diegėjas ar kitas rinkos dalyvis;
- įvertinti rizikos kategoriją pagal AI Act logiką;
- parengti vidaus taisykles dėl duomenų, žmogaus priežiūros ir rezultatų tikrinimo;
- mokyti darbuotojus, kurie perka, diegia arba naudoja AI priemones;
- tikrinti, ar AI naudojimas neprieštarauja GDPR ir darbo teisės reikalavimams.
Didelės rizikos AI sistemoms taikoma daugiausia dokumentavimo ir kontrolės pareigų
Didelės rizikos AI yra pagrindinė AI Act reguliavimo ašis. Tokios sistemos gali turėti reikšmingą poveikį žmogaus galimybėms gauti darbą, paskolą, išsilavinimą, viešąją paslaugą ar medicininę pagalbą. Todėl reglamentas reikalauja ne tik techninio veikimo, bet ir valdomo, patikrinamo proceso.
Tiekėjai turi turėti rizikos valdymo sistemą, duomenų valdymo taisykles, techninę dokumentaciją, registravimo žurnalus, naudojimo instrukcijas, kibernetinio saugumo priemones ir atitikties vertinimą. Kai kuriais atvejais sistema turi būti registruojama ES duomenų bazėje. Diegėjai privalo naudoti sistemą pagal instrukcijas, užtikrinti žmogaus priežiūrą, stebėti veikimą ir saugoti žurnalus, kai tai taikoma.
Generatyvinis AI turi atskiras skaidrumo ir bendros paskirties modelių taisykles
ChatGPT tipo sistemos AI Act logikoje dažnai patenka į bendros paskirties AI modelių kategoriją. Jeigu įmonė tik naudoja tokį įrankį tekstams, santraukoms ar idėjoms rengti, ji dažniausiai nėra modelio tiekėja. Tačiau ji vis tiek turi valdyti duomenų apsaugą, komercines paslaptis, autorių teises ir klaidų riziką.
Bendros paskirties AI modelių tiekėjams taikomos pareigos rengti techninę dokumentaciją, pateikti informaciją sistemų diegėjams, laikytis ES autorių teisių taisyklių ir skelbti mokymo duomenų turinio santrauką. Modeliams, keliantiems sisteminę riziką, taikomi papildomi vertinimo, incidentų pranešimo ir saugumo reikalavimai.
AI Act veikia kartu su GDPR, vartotojų apsauga ir sektoriniais įstatymais
AI Act nepakeičia Bendrojo duomenų apsaugos reglamento. Jei AI apdoroja asmens duomenis, įmonei vis tiek reikia teisinio pagrindo, duomenų minimizavimo, informavimo, saugojimo terminų ir galimybės įgyvendinti duomenų subjektų teises. Automatizuoti sprendimai, turintys reikšmingą poveikį žmogui, taip pat vertinami pagal GDPR 22 straipsnio logiką.
Kai AI naudojamas finansuose, sveikatos apsaugoje, transporte ar darbo santykiuose, atsiranda ir sektorinių taisyklių. Todėl praktinis atitikties klausimas nėra vien „ar leidžiama naudoti AI“. Teisingesnis klausimas: kokį sprendimą AI daro, kokius duomenis naudoja ir kam tas sprendimas sukelia pasekmes.
Įsigaliojimo datos rodo, kad verslas turi ruoštis etapais
AI Act įsigaliojo 2024 m. rugpjūčio 1 d., tačiau pareigos pradedamos taikyti etapais. Draudžiamų praktikų taisyklės taikomos po šešių mėnesių, bendros paskirties AI taisyklės – po dvylikos mėnesių, o dauguma kitų pareigų – po dvejų metų. Kai kurioms didelės rizikos sistemoms, susijusioms su jau reguliuojamais produktais, taikomas ilgesnis pereinamasis laikotarpis.
Dėl šios priežasties verslui racionalu pradėti nuo AI žemėlapio: kokios sistemos naudojamos, kas jas valdo, kokie duomenys įkeliami ir kokie sprendimai priimami. Toks sąrašas leidžia atskirti mažos rizikos įrankius nuo sistemų, kurioms reikės dokumentų, sutarčių, testavimo ir atitikties įrodymų.
Šaltinis: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
