Евросоюз начал обсуждение проекта первого в мире закона, который детально регулирует разработку и использование систем, основанных на искусственном интеллекте. При его создании использован риск-ориентированный подход.

Регуляторные рамки, регламентирующие создание и эксплуатацию искусственного интеллекта (ИИ), пока находятся в зачаточном состоянии. До сих пор документы, регулирующие создание и использование ИИ, предлагали лишь различные этические принципы, на которые должны ориентироваться создатели систем ИИ. Описание того, как эти принципы применять на практике, оставалось совершенно абстрактным.

Ситуация кардинально изменилась 21 апреля: Европейский союз выпустил 108-страничный черновик Акта об ИИ (Artificial Intelligence Act). Этот документ — первая в мире попытка регулирования технологий ИИ. Пока документ не имеет юридической силы и открыт для комментариев. Но, вероятнее всего, ключевые положения останутся в его финальной редакции, когда он вступит в силу через несколько лет.

Размытое определение

Основные цели Акта об ИИ — создание регуляторной рамки, гарантирующей безопасность и соответствие европейскому законодательству ИИ-систем, выходящих на рынок ЕС; обеспечение правовых условий для инвестиций и инноваций в области ИИ; создание механизма правоприменения в этой области. Еврокомиссия стремится предотвратить фрагментирование рынка ИИ под влиянием различных национальных законов и поэтому предлагает создать единый рынок и регуляторный режим для всех стран ЕС.

Под ИИ акт понимает «программное обеспечение, разработанное с использованием одного или нескольких подходов и способное для заданного набора целей, определенных человеком, генерировать результаты (outputs): например, контент, прогнозы, рекомендации или решения, влияющие на среду, с которой они взаимодействуют». Это неконкретное определение еще больше размывается при перечислении подходов к созданию ИИ, которые включают машинное обучение, логическое программирование, а также традиционные статистические методы.

Акт избирает риск-ориентированный подход к регулированию. По уровню риска выделены три группы систем:

1) запрещенные системы, несущие неприемлемый риск;

2) системы с высоким риском;

3) системы с малым или минимальным риском.

Использование систем первого типа полностью запрещается, для систем второго типа будут созданы строгие регуляторные рамки, а остальным предлагается мягкий режим саморегулирования.

Запрещенные системы

Запрещаются системы, действующие на подсознание для причинения физического или психологического вреда человеку, использующие уязвимости определенных групп населения.

Запрещаются и системы социального скоринга, которые оценивают и прогнозируют надежность человека на основе его прошлого поведения в различных социальных контекстах или на основе личностных характеристик (самый известный пример — система социального рейтинга в Китае).

Запрещается использование систем биометрической идентификации (к примеру, распознавание лиц) в режиме реального времени в публичных местах. Исключения из этого правила — поиск жертв преступлений (например, пропавших детей), предотвращение терактов, расследование особо тяжких преступлений с получением предварительного административного или судебного разрешения.

Системы высокого риска

Это ключевой объект регулирования Акта об ИИ. К таким системам относятся продукты или компоненты безопасности в продуктах, которые уже регулируются существующим законодательством (например, медицинское оборудование). Под категорию систем ИИ с высоким риском попадает биометрическая идентификация и категоризация людей, управление критической инфраструктурой (например, системой газоснабжения), образовательной деятельностью, наем и оценка работников, предоставление социальных льгот, создание кредитного рейтинга, отправка служб быстрого реагирования. Также к группе высокого риска относятся системы, использующиеся правоохранительными органами, миграционными службами, судебной властью, в образовании. В эту категорию попадают все системы, несущие потенциальный риск здоровью, безопасности и фундаментальным правам человека.

Провайдеры таких систем должны гарантировать постоянную проверку их соответствия нормам безопасности на протяжении всего периода эксплуатации. Наборы данных для обучения, валидации и тестирования, используемые в этих системах, должны быть актуальными, репрезентативными, безошибочными и полными (complete). Техническая документация, подтверждающая соответствие правилам, должна быть написана до вывода продукта на рынок. Она должна включать информацию об общих характеристиках, возможностях и ограничениях систем, алгоритмов и данных.

Еще одно обязательное условие использования систем ИИ высокого риска — обеспечение прозрачности, чтобы пользователи могли интерпретировать результаты работы системы. Это условие должно соблюдаться посредством составления инструкций, описывающих цель создания данной системы; уровень ее точности и надежности; данные, использованные для обучения, валидации и тестирования; прогнозируемые ситуации, когда использование системы несет риск.

Системы ИИ с высоким риском, согласно Акту, обязательно должны работать с человеческим надзором. Человек должен понимать возможности и ограничения системы, чтобы замечать ее аномальное поведение, предотвращать его и корректно интерпретировать результаты работы системы. Он должен быть осведомлен о вероятности автоматического следования за указаниями системы без критической оценки ситуации. И у него должна быть возможность не полагаться на систему и остановить ее деятельность, нажав на «стоп-кнопку».

Системы ИИ высокого риска должны также пройти через процедуру оценки на соответствие регуляторным требованиям перед выходом на рынок. Для систем, использующихся в качестве компонента безопасности потребительских товаров, и систем распознавания лиц, оценку на соответствие требованиям должна проводить третья сторона. В остальных случаях проверку можно провести внутри организации. В случае несоблюдения этих требований компании могут быть оштрафованы на сумму до 30 млн евро, или максимум на 6% от их годового оборота. Это требование касается любых используемых в ЕС систем вне зависимости от того, где они произведены.

Системы низкого риска

Важное требование для некоторых систем низкого риска — обязательное информирование людей, что они взаимодействуют с ИИ-системой. Например, в разговоре с голосовым помощником при звонке в банк. Люди должны быть проинформированы, когда они взаимодействуют с системами, распознающими эмоции или создающими дип-фейки (соединение и наложение генеративно-состязательными нейросетями существующих изображений и видео на исходные, в результате чего создаются видео, не отличимые от реальных). В остальном документ не предусматривает строгого регулирования систем ИИ низкого риска. Избирается подход саморегулирования, когда компании на добровольной основе создают кодекс поведения, ориентируясь на установки из акта о регулировании ИИ.

Регуляторная архитектура

Для соблюдения выполнения регуляторных обязательств планируется создание Европейского совета по ИИ. Он будет формироваться из представителей государств — членов ЕС и Еврокомиссии. Каждое государство должно будет выбрать компетентный орган власти для осуществления надзорной деятельности. Национальный надзорный орган обязан регулярно отчитываться перед Еврокомиссией о результатах своей деятельности.

Для развития инноваций предлагается активная поддержка созданию национальных регуляторных песочниц, где компании могут тестировать решения с регуляторными послаблениями под надзором компетентных органов до вывода продукта на рынок. Приоритетный доступ в песочницы должен быть предоставлен мелким компаниям и стартапам.

Эффект Брюсселя

Некоторые положения Акта об ИИ уже вызывают дискуссию. Во-первых, слишком общее описание запрещаемых систем (например, использующие уязвимости определенных групп населения) оставляет большой простор для трактования запретов регуляторами. Во-вторых, проведение оценки на соответствие регуляторным требованиям внутри компании — провайдера ИИ-системы может вызвать критику со стороны академического сообщества и активистов, которые поставят под вопрос возможность саморегулирования технологических компаний. В-третьих, Европарламент может выступить за полный запрет использования системы биометрической идентификации в режиме реального времени, не делая исключений для правоохранительных органов, и за запрет использования технологий ИИ для определения пола, расы и сексуальной ориентации человека. Однако страны ЕС, больше озабоченные проблемами общественной безопасности, вряд ли поддержат такую позицию.

Для мирового сообщества этот документ потенциально может привести к очередному «эффекту Брюсселя» — процессу регуляторной глобализации, когда ЕС экстернализирует свои законы за пределами границ через рыночные механизмы. Компании, работающие с технологиями ИИ, могут начать создавать продукты, соответствующие требованиям ЕС, для всего мира, ведь создавать продукты под каждый отдельно взятый регуляторный режим будет дороже.

Будучи первым документом в своем роде, Акт ИИ может стать шаблоном для регуляторов из других стран, когда они будут работать над созданием своих регуляторных режимов. Однако из-за усиливающегося геополитического напряжения, популярности идеи технологического суверенитета и гонки по созданию систем ИИ существует большая вероятность, что единого подхода к регулированию этой технологии не сложится. В этом случае такие страны, как США, Китай и Россия, создадут свои, уникальные подходы к регулированию ИИ.