Закон про штучний інтелект в ЄС: що потрібно знати українцям?

21 травня Рада ЄС остаточно схвалила законопроєкт про штучний інтелект, за який 13 березня проголосував Європарламент. 

Artificial Intelligence Act (AI Act) експерти називають еталоном у сфері регулювання технологій та систем штучного інтелекту і прогнозують, що на нього будуть рівнятися законотворці усіх держав світу. 

Його сфера дії охоплює всі сектори економіки (за винятком військового) та всі типи штучного інтелекту.

Українцям важливо розібратися в положеннях закону про штучний інтелект насамперед з наступних причин:

• Оскільки Україна впевнено крокує до вступу в Євросоюз, найближчими роками норми AI Act будуть імплементовані в наше законодавство.
• Нормам AI Act повинні відповідати всі системи штучного інтелекту, які бажають отримати доступ до внутрішнього ринку ЄС, тобто їх мають дотримуватися відповідно українські розробники та постачальники для транскордонного надання послуг і продуктів, пов’язаних зі штучним інтелектом.

Встановлення комплексних правил щодо технології ШІ

Artificial Intelligence Act – це перший в світі комплексний закон про регулювання штучного інтелекту, хоча обмеження для цієї технології намагаються зараз запроваджувати державні інституції по всьому світу. 

Комісія ЄС матиме повноваження штрафувати компанії, які порушують закон на суми до 35 мільйонів євро або 7% їхнього річного глобального доходу. Однак для малих і середніх підприємств, включаючи новостворені, закон про AI дозволяє застосовувати нижчу шкалу штрафів і вимагає, щоб їхні інтереси та економічна життєздатність бралися до уваги.

Отже, нові правила матимуть серйозні наслідки для будь-якої фізичної чи юридичної особи, яка розробляє, використовує або продає системи штучного інтелекту в ЄС. 

Деякі з них взагалі забороняються, а на генеративні системи ШІ "загального призначення" (General purpose AI, GPAI) закон накладає жорсткі обмеження. Зокрема, це вимоги дотримання закону ЄС про авторське право, розкриття інформації щодо того, як навчаються моделі, регулярне тестування та адекватне дотримання кібербезпеки.

Однак обмеження щодо систем загального призначення почнуть діяти не одразу, а лише через 12 місяців після набрання чинності закону. І навіть тоді генеративні системи штучного інтелекту, які наразі є комерційно доступними, як-то ChatGPT від OpenAI, Gemini від Google і Copilot від Microsoft, отримають "перехідний період" — 36 місяців, щоб привести свою технологію у відповідність із законодавством.

Згідно зі статтею 113 закону, послідовність впровадження його положень наступна:

• Закон про ШІ набере чинності найближчим часом – через 20 днів після публікації (в The Official Journal of the European Union);
• через 6 місяців після набрання чинності (кінець 2024 року/ початок 2025 року) буде застосована заборона на певні системи ШІ, що не відповідають критеріям ризику;
• через 12 місяців (з червня/липня 2025 року) почнуть діяти правила щодо моделей GPAI;
• через 24 місяці (з червня/липня 2026 року) почнуть діяти всі положення закону в повному обсязі, у тому числі для систем штучного інтелекту з високим рівнем ризику;
• через 36 місяців (середина 2027 року) закінчиться перехідний період для моделей GPAI.

Основні ідеї

Прийняття закону має подвійну мету: 1) сприяти поширенню ШІ, інвестиціям та інноваціям у цій сфері завдяки правовій визначеності; 2) усунути або принаймні мінімізувати ризики, пов’язані з використанням такої технології. 

Крім того, це значно посилює роль Європейського Союзу у формуванні глобальних норм і стандартів щодо ШІ.

Головна ідея закону полягає в тому, щоб регулювати ШІ на основі його потенційних ризиків і впливу на суспільство: чим вищий ризик заподіяння шкоди суспільству, тим суворіші правила. 

При цьому усунення ризиків і проблем, пов’язаних із штучним інтелектом, повинно відбуватися без надмірного обмеження або перешкоджання технологічному розвитку та не має призводити до непропорційного збільшення вартості рішень з ШІ на ринку.

Згідно з його першою статтею, закон встановлює:

• узгоджені правила виведення на ринок, введення в експлуатацію та використання систем штучного інтелекту;
• заборони певних практик штучного інтелекту;
• спеціальні вимоги до систем штучного інтелекту з високим рівнем ризику та зобов’язання для операторів таких систем;
• узгоджені правила для систем штучного інтелекту, що призначені для взаємодії з фізичними особами, систем розпізнавання емоцій і біометричної категоризації, а також систем штучного інтелекту, які використовуються для створення або обробки зображень, аудіо- чи відеоконтенту;
• правила моніторингу ринку та нагляду.

Ризик-орієнтований підхід

Закон про штучний інтелект встановлює категорії систем штучного інтелекту на основі ймовірності заподіяння шкоди та потенційної тяжкості цієї шкоди:

1. Заборонені системи ШІ – це системи з неприйнятним рівнем ризику для безпеки, прав або основних свобод людини. Наприклад, системи створення баз даних розпізнавання облич і біометричної ідентифікації в реальному часі на основі інформації з камер, встановлених в загальнодоступних місцях (з певними винятками).

Як зазначається в Розділі II закону, заборони стосуються систем, які мають значний потенціал для маніпулювання людьми за допомогою підсвідомих методів або використання вразливостей конкретних груп, таких як діти чи люди з обмеженими можливостями. 

Забороняються також соціальні оцінки на основі ШІ, які проводять державні органи (ранжування осіб на основі їхніх особистих характеристик, соціально-економічного статусу або поведінки).

2. Системи штучного інтелекту з високим рівнем ризику – системи, що мають високий потенціал завдати значної шкоди або порушити права людини (Розділ III закону). Вони потребують суворого регулювання та нагляду протягом усього життєвого циклу для зменшення ризиків. Наприклад, системи, які використовуються в критичній інфраструктурі, освіті, підборі кадрів, при наданні державних послуг, в правоохоронних органах, управлінні прикордонним контролем і правосудді.

Системи штучного інтелекту високого рівня ризику охоплюють автономні транспортні засоби або медичні пристрої. Також це системи ШІ, що використовуються у фінансових послугах і освіті, де існує ризик упередженості. Постачальники систем ШІ високого ризику повинні, серед іншого повинні забезпечити відповідність систем штучного інтелекту закону, вести спеціальну документацію, зберігати журнали, автоматично створені системою ШІ тощо.

3. Системи штучного інтелекту загального призначення (GPAI) – це, зокрема, ChatGPT, Gemini і Copilot. Вони можуть створювати системні ризики та повинні проходити процес ретельної оцінки.

4. Системи ШІ з обмеженим ризиком – системи, що створюють менше ризиків. Для них все ще потрібно дотримуватися певних заходів безпеки, однак нормативні вимоги до цих систем менш суворі. Наприклад, ​​чат-боти для обслуговування клієнтів на основі штучного інтелекту, який використовується для надання автоматизованих відповідей на запитання.

Також до цієї категорії, згідно з Розділом IV закону, входять системи штучного інтелекту, які взаємодіють з людьми, використовуються для виявлення емоцій або створюють контент категорії deep fakes. 

Коли люди взаємодіють із системою штучного інтелекту або їхні емоції розпізнаються за допомогою автоматизованих засобів, люди повинні бути проінформовані про цю обставину. 

Якщо система штучного інтелекту використовується для створення або обробки зображень, аудіо- чи відеоконтенту, який нагадує автентичний, слід розкривати, що контент створено за допомогою автоматизованих засобів, з урахуванням винятків для законних цілей (правоохоронна діяльність). Це дозволить людям зробити усвідомлений вибір.

5. Системи штучного інтелекту з мінімальним ризиком підпадають під найменший нормативний тягар. Наприклад, основні фільтри електронної пошти, які класифікують повідомлення як спам.

Закон встановлює кілька винятків зі сфери його застосування. Наприклад, йдеться про системи штучного інтелекту, які використовуються виключно для військових цілей, оборони чи національної безпеки, або системи та моделі штучного інтелекту, спеціально розроблені та введені в експлуатацію виключно з метою наукових досліджень і розробок.

Нові регулятори

Імплементацію та виконання закону контролюватиме нещодавно створене Управління з питань штучного інтелекту (AI Office) на рівні ЄС. Управління, зокрема, може проводити оцінку моделей загального призначення (GPAI) та допомагати національним органам влади з наглядом за ринком систем штучного інтелекту з високим ризиком.

Іншою інституцією, створеною відповідно до закону, є Європейська рада зі штучного інтелекту (Розділ VI закону), що складається з представників держав-членів ЄС та відповідатиме за консультативні завдання, такі як надання висновків і рекомендацій. 

Крім того створюється ще наукова комісія (The Scientific Panel), що складається з незалежних експертів та відповідатиме за підтримку імплементації і виконання закону, зокрема, за моніторингову діяльність Офісу AI щодо GPAI. Держави-члени також зможуть отримувати підтримку від комісії у своїй правозастосовній діяльності. 

Висновки

Комплексний закон, що включає понад 420 сторінок, – спроба ЄС встановити "глобальний стандарт регулювання ШІ". Наскільки вдалою буде ця спроба покаже час. Експерти вже говорять про ймовірні труднощі при інтерпретації та імплементації тих чи інших положень Закону в національні законодавства, а також при їх безпосередньому застосуванні.

При цьому українським юристам, законотворцям та компаніям-розробникам ШІ вже зараз варто починати детальне вивчення закону. Ба більше – найближчим часом після його публікації в офіційному виданні ЄС з’явиться чимало коментарів та роз’яснень від європейських експертів. 

Все це сприятиме накопиченню необхідного підґрунтя для застосування положень закону по мірі їх поетапного введення в дію.