Aug 27

Контроль за ШІ в дії

Європейська комісія вперше застосувала нові повноваження для контролю за розробниками моделей штучного інтелекту в межах AI Act.
Наприкінці серпня вона запросила інформацію про кібербезпеку та дотримання авторських прав. Одним із головних питань перевірки є те, як компанії захищають свої нейромережі від крадіжки – як з боку людей, так і за допомогою інших АІ-систем. Регулятор також цікавить, наскільки активно розробники залучають незалежних оцінювачів безпеки, як реагують на їхні рекомендації та як контролюють використання моделей після публічного запуску.

Окремо Єврокомісія звернулась до понад 30 компаній із вимогою надати інформацію про дотримання норм авторського права. Відповідно до AI Act, розробники зобов’язані публікувати короткий опис даних, які використовували для навчання моделей, однак досі не всі це роблять. У межах ширших повноважень регулятор також може проводити оцінювання нейромереж або вимагати від компаній конкретних заходів, а в крайньому випадку ‒ накладати штрафи до 3% річного обороту.
Нові правила АІ-регулювання
Із 2-го серпня Євросоюз також зобов’язав маркувати контент, створений чи змінений за допомогою ШІ. Від цієї дати набули чинності нові вимоги AI Act, які зобовʼязують позначати згенеровані штучним інтелектом зображення, аудіо- та відеоматеріали, а також тексти, якщо вони не пройшли перевірку людиною або редакційний контроль. Впроваджені норми мають сприяти кращому захисту від дезінформації і маніпуляцій.
Контент повинен мати чітке візуальне маркування та машинозчитувані позначки, щоб походження матеріалу могли визначити цифрові платформи, пошукові системи та спеціалізовані сервіси, – для цього ЄС розробив спеціальний набір іконок. Користувачів тепер обовʼязково мають попереджати, якщо вони спілкуються не з людиною, а із ШІ ‒ чат-ботом, AI-агентом чи віртуальним аватаром. Окремо людей потрібно інформувати про використання систем розпізнавання емоцій або біометричної категоризації. Водночас закон не поширюється на системи, що виконують суто допоміжні функції – наприклад, перевірку орфографії чи базову обробку фотографій. Також гнучкіший порядок діє для матеріалів очевидно художнього, творчого, сатиричного чи вигаданого характеру – в таких випадках допускають інші способи інформування аудиторії, щоб вони не заважали сприйняттю самого твору.

За порушення правил компаніям загрожують штрафи до 15 млн євро або 3% річного глобального обороту — залежно від того, яка сума більша. Для установ, органів та агентств ЄС максимальний розмір штрафу становить 750 тисяч євро. Щодо малих і середніх підприємств санкції застосовуватимуть із дотриманням принципу пропорційності.
Що передбачає АІ Act
AI Act набув чинності ще 1 серпня 2024 року, але різні його вимоги запроваджують поетапно, щоб компанії, державні органи та регулятори встигли до них підготуватися. Основу закону становить так званий ризик-орієнтований підхід: що серйозніше рішення, яке може ухвалювати або рекомендувати алгоритм, то більше обов’язків матимуть його розробники й користувачі.
Європейський Союз умовно розділяє ШІ-системи на 4 категорії: неприйнятного, високого, обмеженого та мінімального ризику. До першої належать технології, які ЄС вважає несумісними з базовими правами людини. Їх використання заборонене чи дозволене лише у вкрай обмежених виняткових ситуаціях. До систем високого ризику відносять алгоритми, здатні істотно впливати на освіту, працевлаштування, доступ до соціальних послуг, кредитування, страхування, міграційні процедури, правосуддя, охорону здоров’я, критичну інфраструктуру або роботу правоохоронних органів. Обмежений ризик передусім стосується прозорості: людина повинна розуміти, що вона взаємодіє зі штучним інтелектом або бачить створений ним матеріал.
Вимоги до постачальників
Окремий блок законодавства стосується ШІ-моделей загального призначення, або GPAI, які можуть виконувати широкий спектр завдань: створювати тексти й зображення, аналізувати документи, писати програмний код, перекладати, узагальнювати інформацію чи бути основою для інших програм. До цієї категорії належать ChatGPT, Gemini, Claude та інші подібні сервіси. Їх компанії-постачальники повинні вести технічну документацію, надавати необхідну інформацію розробникам, які інтегрують модель у власні продукти, дотримуватися законодавства ЄС про авторське право та публікувати змістовний опис матеріалів, використаних для навчання.
Для найпотужніших нейромереж, здатних створювати системні ризики, встановлені додаткові вимоги. Їх розробники мають оцінювати небезпечні можливості, проводити тестування, зменшувати загрози, повідомляти про серйозні інциденти та забезпечувати належний рівень кібербезпеки. Для глобальних технологічних корпорацій це означає, що випустити нову модель у Європі без пояснення того, як вона тестувалася і які ризики може створювати, ставатиме дедалі складніше.
Найжорсткіші практичні вимоги AI Act передбачає для систем високого ризику. До них належать ті, які використовують для відбору кандидатів на роботу, оцінювання працівників, прийому учнів до навчальних закладів, перевірки результатів іспитів, визначення кредитоспроможності, встановлення вартості страхування життя чи здоров’я, розгляду заяв на соціальну допомогу або управління міграційними процедурами. До цієї ж категорії можуть потрапляти біометричні системи, програми для роботи критичної інфраструктури, окремі медичні пристрої, компоненти машин, автомобілів, ліфтів та іншої фізичної продукції. Перед виходом такої системи на ринок розробник повинен створити систему управління ризиками, підтвердити якість даних, вести технічну документацію, забезпечити журналювання дій алгоритму, передбачити людський контроль і належний рівень точності, надійності та кібербезпеки.
На кого поширюються нові правила
Дія AI Act не обмежується компаніями, юридично зареєстрованими в ЄС. Правила можуть поширюватися на розробників і постачальників з інших країн, якщо вони пропонують та використовують свої ШІ-системи на ринку Євросоюзу, або якщо результати роботи системи застосовуються на його території. Тому американські, китайські, українські та інші технологічні компанії, що хочуть працювати з європейськими клієнтами, мають враховувати AI Act. Це може спричинити так званий брюссельський ефект. Великі корпорації часто не створюють повністю різні версії продуктів для кожного ринку, а поступово поширюють найжорсткіші стандарти на всі держави. Схожа ситуація вже відбулася із Загальним регламентом про захист даних GDPR. Європейські правила конфіденційності вплинули на роботу сайтів, рекламних платформ і цифрових сервісів далеко за межами ЄС.
Що змінює AI Act для пересічних користувачів
Для більшості людей AI Act не означатиме обмеження у застосуванні ChatGPT та інших різноманітних АІ-моделей. Але користувачі частіше бачитимуть попередження про взаємодію із ШІ, позначки на створеному ним контенті та повідомлення про використання біометричних або емоційних систем. У перспективі буде більше можливостей оскаржувати рішення, в яких важливу роль відігравав алгоритм. Особливо це стосується працевлаштування, освіти, кредитування, страхування та державних послуг. Водночас компанії повинні будуть краще контролювати дані, на яких навчаються або працюють їхні системи. Вони не зможуть просто заявити, що «так вирішив алгоритм», якщо це рішення серйозно вплинуло на права людини. Головний принцип AI Act можна сформулювати так: що більше влади над людиною отримує штучний інтелект, то вищими мають бути вимоги до його прозорості, безпеки та підконтрольності.