Kas yra AI act. Kaip verslui dirbti su AI. Kas yra privaloma
AI Act, arba Europos Sąjungos dirbtinio intelekto aktas, yra ES reglamentas, nustatantis privalomas taisykles dirbtinio intelekto sistemoms pagal jų riziką žmogaus teisėms, saugai ir rinkai. Verslui tai reiškia, kad AI negalima naudoti vien tik „kaip įrankio“ be atsakomybės: reikia žinoti, kokia sistema naudojama, kokiam tikslui, ar ji patenka į draudžiamą, aukštos rizikos, ribotos rizikos ar bendrosios paskirties AI kategoriją, ir taikyti atitinkamus dokumentavimo, skaidrumo, priežiūros bei saugos reikalavimus.
AI Act yra ES reglamentas, todėl jis verslui taikomas tiesiogiai
AI Act yra ne rekomendacija, o Europos Sąjungos reglamentas. Tai svarbu, nes reglamentai ES valstybėse narėse taikomi tiesiogiai, kitaip nei direktyvos, kurias dar reikia perkelti į nacionalinę teisę. Lietuvoje veikiančios įmonės turi vertinti AI naudojimą pagal tas pačias bendras taisykles kaip ir kitos ES rinkos dalyvės.
Reglamentas taikomas ne tik AI kūrėjams. Jis apima tiekėjus, diegėjus, importuotojus, platintojus ir tam tikrais atvejais produktų gamintojus. Praktikoje tai reiškia, kad atsakomybė gali kilti ir įmonei, kuri nekuria modelio, bet naudoja AI personalo atrankoje, klientų aptarnavime, kreditingumo vertinime ar saugos procesuose.
Pagrindinė AI Act logika yra rizikos klasifikavimas
AI Act remiasi rizikos modeliu: kuo didesnis galimas poveikis žmogaus teisėms, sveikatai, saugumui ar esminėms paslaugoms, tuo griežtesni reikalavimai. Dėl šios priežasties verslui pirmas praktinis žingsnis yra ne programinės įrangos pirkimas, o AI naudojimo atvejų inventorizacija.
| AI kategorija | Tipiniai pavyzdžiai | Kas privaloma verslui |
|---|---|---|
| Draudžiama rizika | Manipuliacinės sistemos, socialinis vertinimas, kai kurios biometrinio identifikavimo formos | Nenaudoti ir neplatinti tokių sistemų ES rinkoje |
| Aukšta rizika | AI įdarbinime, švietime, kreditingumo vertinime, kai kuriuose saugos produktuose | Rizikos valdymas, techninė dokumentacija, duomenų valdymas, žmogaus priežiūra, atitikties vertinimas |
| Ribota rizika | Pokalbių robotai, sintetinė medija, deepfake turinys | Aiškiai informuoti žmogų, kad jis bendrauja su AI arba mato AI sukurtą turinį |
| Minimali rizika | Šlamšto filtrai, rekomendavimo ar vidiniai produktyvumo įrankiai, kai nėra reikšmingo poveikio teisėms | Specialių AI Act pareigų paprastai nėra, tačiau lieka kiti teisės aktai, pavyzdžiui, BDAR |
| Bendrosios paskirties AI | Dideli kalbos modeliai, naudojami įvairioms užduotims | Tiekėjams taikomi dokumentavimo, autorių teisių politikos ir saugos reikalavimai |
Kas verslui privaloma prieš pradedant naudoti AI
Įmonė pirmiausia turi nustatyti, kokį vaidmenį ji atlieka. Jei ji kuria AI sistemą ir ją pateikia rinkai, ji gali būti tiekėja. Jei tik naudoja kito tiekėjo sistemą savo veikloje, ji dažniausiai laikoma diegėja. Šis skirtumas lemia, kokios pareigos taikomos.
Praktiškai verslui reikalingas aiškus AI valdymo procesas. Jis turi apimti ne tik IT skyrių, bet ir teisę, duomenų apsaugą, personalą, rizikos valdymą bei padalinius, kurie realiai naudoja sistemą.
- sudaryti naudojamų AI sistemų sąrašą;
- aprašyti kiekvienos sistemos paskirtį ir naudotojus;
- įvertinti, ar sistema patenka į aukštos rizikos arba draudžiamą kategoriją;
- patikrinti tiekėjo pateiktą dokumentaciją ir naudojimo instrukcijas;
- nustatyti žmogaus priežiūros tvarką;
- užtikrinti darbuotojų AI raštingumą pagal jų funkcijas;
- įvertinti asmens duomenų tvarkymą pagal Bendrąjį duomenų apsaugos reglamentą.
Aukštos rizikos AI sukuria daugiausia pareigų
Aukštos rizikos AI yra centrinė AI Act kategorija, nes tokios sistemos gali daryti tiesioginę įtaką žmogaus galimybėms gauti darbą, paskolą, išsilavinimą, viešąsias paslaugas ar naudotis saugos požiūriu svarbiais produktais. Todėl vien paprasto tiekėjo pažado, kad sistema „veikia tiksliai“, nepakanka.
Aukštos rizikos AI sistemoms paprastai reikalinga rizikos valdymo sistema, duomenų kokybės kontrolė, techninė dokumentacija, įrašų saugojimas, aiškios instrukcijos naudotojui, žmogaus priežiūra, tikslumo ir kibernetinio saugumo priemonės. Tiekėjas taip pat turi atlikti atitikties vertinimą, o tam tikros sistemos registruojamos ES duomenų bazėje.
Diegėjui, kuris naudoja tokią sistemą, tenka kita praktinė atsakomybė: naudoti ją pagal instrukcijas, prižiūrėti veikimą, saugoti žurnalus, reaguoti į incidentus ir neužkrauti automatiniam sprendimui daugiau galios, nei leidžia teisė ir dokumentuota paskirtis.
Skaidrumo pareigos taikomos ir paprastesniems AI įrankiams
Ne kiekvienas pokalbių robotas ar tekstų generavimo įrankis bus aukštos rizikos sistema. Tačiau ribotos rizikos AI atvejais atsiranda skaidrumo pareigos. Žmogus turi suprasti, kad bendrauja su AI, jeigu tai nėra akivaizdu iš konteksto.
AI sugeneruotas arba pakeistas vaizdas, garsas ar vaizdo įrašas taip pat gali reikalauti žymėjimo, ypač kai turinys gali būti palaikytas tikru. Tai aktualu žiniasklaidai, rinkodarai, politinei komunikacijai, klientų aptarnavimui ir vidaus mokymams. Pareiga nėra formali smulkmena: ji saugo nuo klaidinimo.
AI raštingumas tampa privaloma organizacijos atsakomybe
AI Act numato, kad organizacijos turi imtis priemonių užtikrinti pakankamą AI raštingumą darbuotojams ir kitiems asmenims, kurie jų vardu dirba su AI sistemomis. Tai nereiškia, kad kiekvienas darbuotojas turi tapti programuotoju. Reikalavimas siejamas su realiomis pareigomis ir rizika.
Pavyzdžiui, personalo specialistas turi suprasti, kodėl AI atrankos rekomendacija negali būti aklai perkelta į sprendimą dėl kandidato. Klientų aptarnavimo vadovas turi žinoti, kada pokalbių robotas privalo prisistatyti kaip AI. Duomenų apsaugos specialistas turi vertinti, ar AI sistemoje tvarkomi asmens duomenys, specialių kategorijų duomenys arba sprendimai, darantys reikšmingą poveikį žmogui.
AI Act veikia kartu su BDAR, produktų sauga ir autorių teisėmis
AI Act nepakeičia kitų teisės aktų. Jei AI sistema tvarko asmens duomenis, lieka taikomas Bendrasis duomenų apsaugos reglamentas. Jei AI yra integruotas į medicinos priemonę, mašiną ar kitą reguliuojamą produktą, reikšmės turi ir atitinkamos produktų saugos taisyklės.
Bendrosios paskirties AI tiekėjams taip pat svarbios autorių teisių politikos ir techninės dokumentacijos pareigos. Įmonėms, kurios naudoja tokius modelius, praktinis klausimas paprastas: ar galima atsekti, kokie duomenys įvedami, kas gauna rezultatus, ar rezultatai tikrinami žmogaus, ir ar tiekėjas pateikia pakankamą informaciją apie sistemą.
AI Act terminai įsigalioja etapais
AI Act įsigaliojo 2024 m. rugpjūčio 1 d., tačiau pareigos pradedamos taikyti etapais. Draudžiamų AI praktikų ribojimai ir AI raštingumo reikalavimai pradėti taikyti anksčiau nei dauguma aukštos rizikos sistemų taisyklių. Dalis bendrosios paskirties AI reikalavimų taikoma nuo 2025 m., o dauguma pagrindinių aukštos rizikos AI pareigų – nuo 2026 m.
Todėl verslui laukti galutinės datos rizikinga. Aukštos rizikos sistemos dokumentavimas, tiekėjo vertinimas, duomenų patikra ir darbuotojų mokymai paprastai užtrunka ilgiau nei vieną vidaus susitikimą. Ankstyvas inventorius leidžia atskirti mažos rizikos įrankius nuo sistemų, kurios gali sukelti teisinę ir veiklos atsakomybę.
Kas realiai privaloma verslui
Verslui privaloma ne „turėti AI politiką“ dėl įvaizdžio, o gebėti parodyti, kad AI naudojamas teisėtai, aiškiai ir kontroliuojamai. Minimalus brandus požiūris yra paprastas: žinoti naudojamus AI įrankius, klasifikuoti jų riziką, turėti atsakingus asmenis, dokumentuoti sprendimus ir užtikrinti, kad žmogus neprarastų kontrolės ten, kur sprendimas gali paveikti teises ar saugą.
Jeigu AI naudojamas tik tekstų juodraščiams ar vidinei paieškai, pareigų gali būti nedaug. Jeigu AI sprendžia dėl darbo, kredito, švietimo, biometrinių duomenų ar saugos, įmonė patenka į griežtesnę zoną. Būtent šis skirtumas yra pagrindinis AI Act atsakymas verslui.
Šaltiniai:
https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai
https://eur-lex.europa.eu/eli/reg/2024/1689/oj
