Legea UE privind inteligența artificială este Regulamentul (UE) 2024/1689, prima lege cuprinzătoare privind inteligența artificială din lume. A intrat în vigoare la 1 august 2024 și se aplică în etape, iar pentru că este un regulament, funcționează direct în Țările de Jos, fără ca vreun statut olandez să fie nevoit să îl repete. Logica sa este bazată pe risc: o serie de practici de inteligență artificială sunt interzise complet, un grup definit de sisteme cu risc ridicat are obligații importante, sistemele care interacționează cu oamenii sau generează conținut au obligații de transparență, iar orice altceva este lăsat liber.
Ce este Legea UE privind inteligența artificială și când se aplică fiecare parte
Legea reglementează sistemele de IA și modelele de IA de uz general introduse pe piața UE sau puse în funcțiune în Uniune, și o face în funcție de rol, mai degrabă decât de sector. Cele două roluri care contează pentru majoritatea organizațiilor sunt furnizorul, adică partea care dezvoltă un sistem de IA sau îl dezvoltă și îl introduce pe piață sub propriul nume, și implementatorul, adică partea care utilizează un sistem de IA sub propria autoritate în scop profesional. Importatorii și distribuitorii au propriul set de îndatoriri mai puțin stricte. O companie olandeză care cumpără un instrument de screening de la un furnizor american este un implementator; aceeași companie devine furnizor în momentul în care își pune propriul nume pe instrument sau îl modifică substanțial în scopuri proprii.
Legea are și o acoperire extrateritorială. Un furnizor stabilit în afara UE este vizat dacă introduce un sistem pe piața Uniunii, la fel ca și un furnizor sau un implementator din afara UE al cărui sistem produce rezultate utilizate în Uniune. Efectul practic este același ca în cazul RGPD: contractele cu furnizori din afara UE trebuie să îndeplinească obligațiile, deoarece un implementator olandez nu se poate conforma pe hârtie pe care nu o are.
Calendarul de aplicare
Intrarea în aplicare etapizată este cea mai neînțeleasă parte a legii, parțial pentru că calendarul a fost modificat după adoptare. Interdicțiile și obligația de a asigura alfabetizarea în domeniul inteligenței artificiale se aplică din 2 februarie 2025. Regulile pentru modelele de inteligență artificială cu scop general, împreună cu structura de guvernanță și regimul de sancțiuni, se aplică din 2 august 2025. Cea mai mare parte a prevederilor rămase, inclusiv obligațiile de transparență pentru sistemele care interacționează cu oamenii sau generează conținut sintetic, au devenit aplicabile la 2 august 2026.
Regimul pentru sisteme cu risc ridicat este partea care a fost mutată. În cadrul pachetului omnibus digital, obligațiile pentru sistemele cu risc ridicat enumerate în anexa III, sistemele independente utilizate în domenii precum ocuparea forței de muncă, educația, creditul și serviciile esențiale, se aplică de la 2 decembrie 2027. Obligațiile pentru IA cu risc ridicat care este o componentă de siguranță a unui produs deja acoperită de legislația UE privind produsele, enumerată în anexa I, se aplică de la 2 august 2028. Nimic altceva din lege nu a fost amânat: interdicțiile, regulile privind modelele cu scop general și obligațiile de transparență rămân neschimbate.
| Ce | Se aplică de la |
|---|---|
| Practici de inteligență artificială interzise și obligația de alfabetizare în domeniul inteligenței artificiale | 2 februarie 2025 |
| Modele de inteligență artificială de uz general, guvernanță și sancțiuni | August 2 2025 |
| Obligațiile de transparență și corpul general al legii | August 2 2026 |
| Sisteme cu risc ridicat enumerate în anexa III | 2 decembrie 2027 |
| IA cu risc ridicat ca și componentă de siguranță în temeiul legislației privind produsele din anexa I | August 2 2028 |
Amânat nu înseamnă irelevant. Ciclurile de achiziții, instruirea modelelor și contractele cu furnizorii pentru sisteme care vor prezenta riscuri ridicate vor funcționa ani de zile, iar un sistem cumpărat astăzi va funcționa în continuare atunci când obligațiile vor apărea. Amânarea cumpără timp de implementare; nu elimină necesitatea de a proiecta pentru acesta.
Cele patru niveluri de risc
Clasificarea are prioritate, deoarece nivelul respectiv decide obligațiile. Greșirea în ambele direcții este costisitoare: subclasificarea expune organizația la aplicarea legii, iar supraclasificarea încarcă un regim de conformitate pe un instrument care nu a avut niciodată nevoie de el.
Practici interzise
Articolul 5 interzice complet o listă închisă de practici, iar această interdicție este în vigoare din februarie 2025. Aceasta acoperă IA care manipulează comportamentul prin tehnici subliminale sau deliberat înșelătoare într-un mod care provoacă daune semnificative și IA care exploatează vulnerabilitățile legate de vârstă, dizabilitate sau situație socială sau economică. Aceasta acoperă scorarea socială aplicată de actori publici sau privați în cazul în care tratamentul rezultat este nejustificat sau disproporționat față de comportamentul evaluat. Aceasta acoperă sistemele care prezic infracțiunile doar pe baza profilării sau a trăsăturilor de personalitate, extragerea nețintită a imaginilor faciale de pe internet sau de pe camerele de supraveghere video pentru a construi baze de date de recunoaștere, recunoașterea emoțiilor la locul de muncă și în educație în afara utilizărilor medicale sau de siguranță restrânse și clasificarea biometrică pentru a deduce caracteristici precum rasa, opinia politică sau orientarea sexuală. Identificarea biometrică de la distanță în timp real în spații accesibile publicului pentru aplicarea legii este interzisă, cu excepția situațiilor strict definite, sub rezerva unei autorizații prealabile.
Două dintre acestea sunt relevante în mod direct pentru angajatorii obișnuiți. Recunoașterea emoțiilor aplicată personalului, de exemplu, software-ul care evaluează tonul vocii într-un call center sau atenția într-o ședință, nu este o zonă gri, ci o practică interzisă. Iar riscul de aplicare în acest caz este cel mai mare din Lege.
Sisteme cu risc ridicat
Un sistem prezintă un risc ridicat în unul din două moduri. Este o componentă de siguranță a unui produs care intră sub incidența legislației UE privind produsele enumerate în anexa I, cum ar fi dispozitivele medicale, utilajele, ascensoarele sau vehiculele, iar produsul respectiv necesită o evaluare a conformității de către o terță parte. Sau se încadrează într-unul dintre domeniile enumerate în anexa III: biometrie, infrastructură critică, educație și formare profesională, ocuparea forței de muncă și gestionarea lucrătorilor, accesul la servicii private și publice esențiale, inclusiv bonitatea și stabilirea prețurilor asigurărilor de viață și de sănătate, aplicarea legii, migrația și controlul la frontiere, precum și administrarea justiției și a proceselor democratice.
Anexa III nu este o regulă generală. Un sistem dintr-unul dintre aceste domenii nu prezintă risc ridicat atunci când îndeplinește o sarcină procedurală restrânsă, îmbunătățește rezultatul activității umane efectuate anterior, detectează modele decizionale fără a înlocui evaluarea umană sau îndeplinește o sarcină pregătitoare. Un furnizor care se bazează pe această excepție trebuie să își documenteze evaluarea, iar profilarea persoanelor fizice menține întotdeauna sistemul în categoria de risc ridicat. Rezultatul practic pentru angajatorii olandezi este că un instrument care ierarhizează sau filtrează candidații, alocă sarcini sau monitorizează și evaluează performanța prezintă risc ridicat, în timp ce un instrument care doar formatează sau verifică ortografia unui text de post vacant nu prezintă risc ridicat.
Obligații de transparență
Articolul 50 se aplică indiferent de nivelul de risc și este aplicabil din august 2026. Un sistem care interacționează direct cu oamenii trebuie să precizeze clar că are de-a face cu un sistem de inteligență artificială, cu excepția cazului în care acest lucru este evident din context. Conținutul audio, imagine, video și text sintetic trebuie marcat într-un mod lizibil de mașină ca fiind generat sau manipulat artificial. Un implementator care publică un deepfake, adică conținut care seamănă în mod apreciabil cu persoane, locuri sau evenimente reale și ar părea autentic în mod fals, trebuie să dezvăluie faptul că este generat artificial, iar un implementator care publică text generat de inteligență artificială pentru a informa publicul cu privire la chestiuni de interes public trebuie să îl dezvăluie, cu excepția cazului în care o persoană a revizuit textul și cineva își asumă responsabilitatea editorială pentru acesta. Sistemele de recunoaștere a emoțiilor și de categorizare biometrică, acolo unde sunt permise, au obligația de a informa persoanele expuse la acestea.
Orice altceva
Marea majoritate a inteligenței artificiale (IA) utilizate în scopuri comerciale, de la filtrele de spam și prognozarea cererii până la căutarea de documente, nu se încadrează în toate cele menționate mai sus și nu implică nicio obligație în temeiul legii, dincolo de obligația generală de alfabetizare în domeniul IA. Legea nu creează o cerință de licență pentru IA ca atare și nu impune nimănui să înregistreze software-ul de afaceri obișnuit.
Ce trebuie să facă un furnizor al unui sistem cu risc ridicat
Regimul de risc ridicat este construit similar legislației UE privind produsele, iar aceasta este cheia pentru a-l înțelege. Furnizorul trebuie să demonstreze conformitatea înainte ca sistemul să ajungă pe piață și trebuie să continue să o demonstreze și după aceea. Cerințele se află în articolele 9-15 din Lege și fiecare abordează o modalitate specifică în care un sistem de inteligență artificială poate eșua.
Un sistem de gestionare a riscurilor trebuie să funcționeze pe întregul ciclu de viață, identificând riscurile previzibile în mod rezonabil pentru sănătate, siguranță și drepturile fundamentale și adoptând măsuri împotriva acestora, inclusiv pentru utilizarea necorespunzătoare previzibilă. Datele de instruire, validare și testare trebuie să îndeplinească cerințele de guvernanță a datelor: relevanță, reprezentativitate, examinare a erorilor și proprietăți statistice adecvate scopului propus. Documentația tehnică trebuie să existe înainte ca sistemul să fie introdus pe piață și trebuie să fie suficient de detaliată pentru ca o autoritate să poată evalua conformitatea. Sistemul trebuie să înregistreze automat evenimentele, astfel încât funcționarea sa să poată fi urmărită. Instrucțiunile de utilizare trebuie să informeze implementatorul despre ce face sistemul, cât de precis este, care sunt limitele sale cunoscute și cum să exercite supravegherea. Sistemul trebuie să fie proiectat astfel încât o ființă umană să poată interveni cu adevărat, inclusiv o funcție de oprire. Și trebuie să atingă un nivel adecvat de precizie, robustețe și securitate cibernetică, declarat în instrucțiuni.
Procesul se bazează pe aceste cerințe substanțiale. Furnizorul menține un sistem de management al calității, efectuează o evaluare a conformității, care pentru majoritatea sistemelor din anexa III este o procedură de control intern, dar pentru unele sisteme biometrice implică un organism notificat, întocmește o declarație UE de conformitate, aplică marcajul CE și înregistrează sistemul în baza de date a UE înainte de a-l pune în funcțiune. După lansare, un plan de monitorizare post-comercializare acumulează experiență din teren, iar incidentele grave trebuie raportate autorității de supraveghere a pieței în termene scurte.
Supravegherea umană merită o atenție separată, deoarece este punctul în care conformitatea pe hârtie și conformitatea reală se deosebesc. Un buton de anulare pe care nimeni nu este instruit să-l folosească sau un evaluator care aprobă o sută de recomandări algoritmice pe oră nu constituie supraveghere. Legea impune ca persoanele desemnate să înțeleagă capacitățile și limitele sistemului, să fie atente la erorile de automatizare, să poată interpreta corect rezultatul și să poată decide să nu-l utilizeze. Acest lucru are consecințe asupra personalului și a volumului de muncă, nu doar asupra interfeței.
Ce trebuie să facă un implementator
Majoritatea organizațiilor olandeze nu vor fi niciodată furnizori. Ele cumpără inteligență artificială și o utilizează, ceea ce le face implementatoare, iar obligațiile implementatoarelor din articolul 26 sunt cele mai susceptibile de a fi trecute cu vederea. Un implementator al unui sistem cu risc ridicat trebuie să îl utilizeze în conformitate cu instrucțiunile, să delege supravegherea umană persoanelor care au competența, instruirea și autoritatea necesare pentru a o exercita, să se asigure că datele de intrare pe care le controlează sunt relevante și suficient de reprezentative, să monitorizeze operațiunea și să suspende utilizarea, să informeze furnizorul în cazul în care identifică un risc și să păstreze jurnalele generate automat pentru o perioadă corespunzătoare.
Două îndatoriri sunt specifice locului de muncă. Înainte de a pune în funcțiune un sistem de IA cu risc ridicat la locul de muncă, implementatorul trebuie să informeze reprezentanții lucrătorilor și lucrătorii afectați că vor fi supuși acestuia. Iar în cazul în care sistemul este utilizat pentru a lua sau a ajuta la decizii privind persoanele fizice, aceste persoane trebuie să fie informate. Într-o companie olandeză, acest lucru se conectează direct la consiliul de întreprindere, al cărui consimțământ este necesar pentru acordurile privind prelucrarea datelor cu caracter personal ale angajaților și pentru facilitățile adecvate pentru observarea sau verificarea prezenței, conduitei sau performanței. Un instrument de IA care evaluează sau clasifică angajații implică ambele. Am prezentat mai detaliat aspectul legat de ocuparea forței de muncă în articolul nostru despre IA și automatizarea în dreptul muncii olandez.
Anumiți implementatori trebuie să efectueze suplimentar o evaluare a impactului asupra drepturilor fundamentale înainte de prima utilizare: organismele de drept public, entitățile private care furnizează servicii publice și implementatorii de sisteme care evaluează bonitatea sau care efectuează evaluarea riscurilor și stabilirea prețurilor în asigurările de viață și de sănătate. Această evaluare descrie procesele în care va fi utilizat sistemul, categoriile de persoane afectate, riscurile specifice de prejudiciu și supravegherea umană și măsurile corective. Aceasta se realizează alături de evaluarea impactului asupra protecției datelor în temeiul RGPD, nu în locul acesteia.
O singură obligație se aplică fiecărei organizații, indiferent de nivelul de risc, și este deja în vigoare din februarie 2025: furnizorii și implementatorii trebuie să ia măsuri pentru a asigura un nivel suficient de alfabetizare în domeniul inteligenței artificiale în rândul personalului care operează sisteme de inteligență artificială în numele lor, ținând cont de pregătirea, experiența și contextul de utilizare al acestora. Aceasta nu este o cerință de certificare; este o datorie de a ne asigura că persoanele care utilizează instrumentele înțeleg de ce sunt și de ce nu sunt capabile. De asemenea, este cea mai ușoară obligație de a demonstra dovezi și cea mai ușoară de a eșua.
În cele din urmă, o persoană afectată de o decizie luată pe baza unui sistem cu risc ridicat care produce efecte juridice sau o afectează în mod similar în mod semnificativ are dreptul de a obține o explicație clară și semnificativă a rolului sistemului în luarea deciziei. De asemenea, oricine poate depune o plângere la autoritatea națională de supraveghere a pieței.
Modele de inteligență artificială de uz general
Capitolul V din Lege reglementează modelele de IA cu scop general, modelele mari care stau la baza majorității produselor de IA actuale, iar aceste reguli se aplică din august 2025. Un furnizor al unui astfel de model trebuie să întocmească și să păstreze documentația tehnică, să furnizeze informații furnizorilor din aval care construiesc sisteme pe baza modelului, să pună în aplicare o politică de conformitate cu legislația UE privind drepturile de autor, inclusiv rezervarea drepturilor împotriva extragerii de text și date, și să publice un rezumat suficient de detaliat al conținutului utilizat pentru instruire. Furnizorii de modele care prezintă risc sistemic au obligații suplimentare, inclusiv evaluarea modelului, testarea contradictorie, urmărirea și raportarea incidentelor grave și asigurarea securității cibernetice.
Pentru o afacere olandeză obișnuită, relevanța este indirectă, dar reală. Dacă construiești un produs pe baza modelului altcuiva, te bazezi pe informațiile pe care aceasta este obligată să ți le ofere, iar contractul tău ar trebui să prevadă acest lucru. Dacă ajustezi substanțial un model, poți prelua personal rolul de furnizor. Iar dacă cazul tău de utilizare este unul în care datele de antrenament ale modelului sau poziția drepturilor de autor contează, rezumatul pe care îl publică furnizorul modelului este acum un document despre care poți de fapt să întrebi.
Cine aplică Legea IA în Olanda
Aplicarea este împărțită între Bruxelles și statele membre. La nivel european, Oficiul pentru Inteligență Artificială din cadrul Comisiei Europene supraveghează direct modelele de inteligență artificială cu scop general, elaborează coduri de practică și îndrumări și se coordonează cu Consiliul European pentru Inteligență Artificială, care reunește statele membre, și cu un grup științific independent de experți. Tot ce nu este modelul cu scop general este aplicat la nivel național de către autoritățile de supraveghere a pieței desemnate de fiecare stat membru, organismele notificate efectuând evaluarea conformității de către terți, acolo unde legea o impune.
Poziția olandeză este încă în curs de soluționare. Legea în sine se aplică direct, astfel încât întreprinderile sunt deja obligate să respecte părțile care au intrat în vigoare, dar actul național de punere în aplicare care desemnează supraveghetorii și competențele acestora nu a intrat încă în vigoare. Proiectul a fost supus consultării publice în primăvara anului 2026 și este în curs de desfășurare a procesului legislativ, ceea ce înseamnă că desemnările finale și alocarea exactă a competențelor se pot schimba în continuare și nu ar trebui să se prevadă o dată.
Modelul din proiect este unul hibrid. Autoritățile de reglementare sectoriale existente devin autorități de supraveghere a pieței în propriile domenii, astfel încât inteligența artificială din domeniul sănătății se află sub inspectoratul de sănătate, inteligența artificială de la locul de muncă sub inspectoratul muncii și așa mai departe. Autoriteit Persoonsgegevens (autoritatea olandeză pentru protecția datelor) și Rijksinspectie Digitale Infrastructuur primesc roluri de coordonare, AP acționând ca supraveghetor rezidual pentru sistemele cu risc ridicat care nu au un autoritate de reglementare sectorială evidentă, iar RDI acționând ca punct național de contact. Pentru întreprinderi, aceasta înseamnă că întrebarea practică nu este doar dacă un sistem prezintă risc ridicat, ci și ce autoritate de reglementare îl va analiza.
Regimul de sancțiuni este eșalonat și sever. Cel mai sever nivel, exprimat ca un maxim fix sau ca procent din cifra de afaceri anuală mondială, oricare dintre acestea este mai mare, se aplică încălcărilor interdicțiilor prevăzute la articolul 5. Un nivel mediu se aplică încălcărilor majorității celorlalte obligații, inclusiv cerințelor privind riscul ridicat și obligațiilor de transparență. Un nivel inferior se aplică furnizării de informații incorecte, incomplete sau înșelătoare organismelor sau autorităților notificate. Maximele actuale sunt stabilite la articolul 99 din Regulament, iar plafoane mai puțin stricte se aplică întreprinderilor mici și mijlocii și startup-urilor. Cu toate acestea, aplicarea legii nu se referă doar la amenzi: autoritățile de supraveghere a pieței pot solicita măsuri corective, pot restricționa sau interzice punerea la dispoziție a unui sistem și pot dispune retragerea sau rechemarea acestuia.
Cum se încadrează Legea privind inteligența artificială în relația cu protecția datelor și răspunderea
Legea privind inteligența artificială nu înlocuiește nimic. Se adaugă la corpul de legi existent, iar în majoritatea proiectelor olandeze de inteligență artificială, GDPR rămâne instrumentul cu cerințe mai imediate. Fiecare sistem de inteligență artificială instruit pe baza datelor cu caracter personal sau aplicat acestora are nevoie în continuare de un temei juridic, declanșează în continuare obligații de transparență și necesită în continuare o evaluare a impactului asupra protecției datelor în cazul în care prelucrarea este susceptibilă să genereze un risc ridicat. Regula proprie a GDPR privind luarea deciziilor individuale automatizate se aplică independent de Legea privind inteligența artificială și conferă persoanei în cauză dreptul la intervenție umană și dreptul de a contesta decizia. Prezentarea noastră generală a Regulamentului general privind protecția datelor stabilește acest cadru.
Răspunderea este domeniul în care așteptările depășesc cel mai adesea realitatea. Directiva propusă privind răspunderea pentru inteligența artificială, care ar fi armonizat acțiunile civile pentru daunele cauzate de inteligența artificială, a fost retrasă. Rămân astfel două căi de atac. Prima este legislația națională: în Țările de Jos, o acțiune în răspundere delictuală în temeiul articolului 6:162 din Codul Civil sau o acțiune contractuală împotriva furnizorului, evaluată conform regulilor obișnuite privind cauzalitatea și sarcina probei. A doua este regimul european reformat al răspunderii pentru produse, care include în mod expres software-ul, inclusiv sistemele de inteligență artificială, în conceptul de produs și facilitează poziția probatorie a reclamanților; statele membre trebuie să îl transpună în legislația națională, iar până la intrarea în vigoare a legislației olandeze de punere în aplicare, se aplică prevederile existente privind răspunderea pentru produse din Codul Civil.
Răspunderea penală este din nou o chestiune separată, una la care Legea privind inteligența artificială nu răspunde deloc. În cazul în care un sistem autonom provoacă daune, dreptul penal olandez caută o persoană fizică sau juridică cu intenție sau neglijență culpabilă, ceea ce reprezintă un exercițiu foarte diferit de conformitatea cu reglementările. Discutăm acest aspect în articolul nostru despre inteligența artificială și dreptul penal: cine este responsabil atunci când o mașină comite o infracțiune.
O cale practică către conformitate
Munca se împarte în patru etape, iar primele două merită parcurse chiar și de organizațiile care sunt convinse că nu au nimic cu risc ridicat.
Începeți cu un inventar. Enumerați fiecare sistem de inteligență artificială pe care organizația îl dezvoltă, îl achiziționează, îl integrează sau îl pilotează, inclusiv instrumentele care au ajuns printr-un abonament departamental, mai degrabă decât prin achiziții. Pentru fiecare, înregistrați ce face, cine îl furnizează, ce date utilizează, cine îl operează și ce decizii influențează. Inteligența artificială din umbră, adoptată de echipe fără vizibilitate centrală, este locul unde se găsesc cele mai multe surprize în clasificare.
Apoi, stabiliți-vă rolul și nivelul de risc pentru fiecare sistem, în această ordine, deoarece același instrument generează obligații diferite în funcție de faptul că sunteți furnizorul sau implementatorul acestuia. Înregistrați raționamentul, în special acolo unde concluzionați că un sistem din anexa III se încadrează într-una dintre excepții; acea înregistrare este primul lucru pe care îl va solicita un supraveghetor.
Apoi, efectuați o analiză a decalajelor în raport cu obligațiile aferente. Pentru un implementator al unui sistem cu risc ridicat, aceasta înseamnă aranjamente de supraveghere și competența persoanelor care le execută, calitatea datelor de intrare, păstrarea jurnalelor, informarea lucrătorilor și a reprezentanților acestora și, acolo unde este cazul, evaluarea impactului asupra drepturilor fundamentale. Pentru un furnizor, aceasta înseamnă dosarul complet conform articolelor 9-15, plus sistemul de management al calității și ruta conformității.
În cele din urmă, trebuie să se repare contractele și guvernanța. Acordurile cu furnizorii ar trebui să oblige furnizorul să furnizeze instrucțiunile de utilizare, informațiile tehnice de care are nevoie un implementator, notificări de incidente și asistență pentru solicitările de reglementare și ar trebui să aloce responsabilitatea dacă se dovedește că sistemul este clasificat greșit. Intern, atribuiți responsabilitatea pentru conformitatea cu IA unei persoane numite, conectați-o la guvernanța existentă a confidențialității și securității, în loc să construiți o structură paralelă, și includeți obligația de alfabetizare în domeniul IA în calendarul de formare. Practica noastră juridică IT sprijină organizațiile exact prin această secvență.
Cinci concepții greșite care merită clarificate
Aceleași neînțelegeri apar în aproape fiecare conversație de admitere, iar fiecare dintre ele determină organizațiile să depună eforturi în locul nepotrivit.
Prima este că Legea interzice sau licențiază utilizarea generală a inteligenței artificiale. Nu face niciuna dintre aceste două. Utilizarea unui asistent de chat comercial pentru a redacta o notă internă nu declanșează nicio obligație dincolo de cunoștințele despre inteligența artificială și, în cazul în care rezultatul este publicat pentru a informa publicul, de obligația de dezvăluire. Ceea ce declanșează regimul restrictiv este scopul pe care îl servește sistemul, nu tehnologia din spatele său.
Al doilea aspect este că o semnătură umană elimină eticheta de risc ridicat. Nu o face. Excepția pentru sistemele care îndeplinesc o sarcină procedurală sau pregătitoare restrânsă este formulată strict, iar un instrument care clasifică candidații sau marchează dosarele pentru o analiză mai atentă influențează decizia chiar dacă o persoană îl semnează. O ștampilă nu reprezintă o supraveghere umană și nu este o cale de ieșire din Anexa III.
Al treilea aspect este că doar dezvoltatorii sunt reglementați. Obligațiile implementatorului sunt reale, sunt opozabile organizației care utilizează sistemul, iar multe dintre ele, cum ar fi informarea lucrătorilor și a reprezentanților acestora, atribuirea unei supravegheri competente, păstrarea jurnalelor, nu pot fi delegate deloc furnizorului.
A patra este că tot ceea ce este deja instalat beneficiază de clauze de preemțiune. Sistemele introduse pe piață înainte de aplicarea regulilor privind riscul ridicat sunt, în principiu, incluse în legislație numai dacă designul lor este modificat semnificativ ulterior, dar această excepție este mai restrânsă decât pare: actualizările modelului, recalificarea și reutilizarea sunt exact genul de modificare care readuce un sistem în domeniul de aplicare. O regulă separată și mai strictă se aplică sistemelor utilizate de autoritățile publice. Oricine intenționează să se bazeze pe poziția tranzitorie ar trebui să documenteze configurația așa cum este ea acum.
Al cincilea aspect este că Legea IA înlocuiește legislația existentă. Se suprapune acesteia. Protecția datelor, legislația privind nediscriminarea, legislația privind consumatorii, reglementarea sectorială, legislația muncii și drepturile consiliului de întreprindere continuă să se aplice pe deplin, iar în Olanda, de obicei, una dintre acestea, mai degrabă decât Legea IA în sine, produce prima plângere concretă. Un proiect de IA care respectă Legea IA, dar nu respectă GDPR-ul, nu este conform, iar inversul este la fel de adevărat.
Întrebări frecvente
Întrebările de mai jos apar în aproape fiecare primă conversație despre Lege.
Ce este un sistem de inteligență artificială cu risc ridicat?
Simplu spus, un sistem de IA cu risc ridicat este orice sistem care ar putea reprezenta o amenințare gravă la adresa sănătății, siguranței sau drepturilor fundamentale ale unei persoane. Legea stabilește mai multe categorii specifice, cum ar fi IA utilizată în infrastructura critică, precum transportul, în dispozitivele medicale și în sistemele de recrutare sau gestionare a angajaților.
De exemplu, un algoritm care filtrează CV-urile pentru a selecta candidații pentru un interviu de angajare este considerat a fi de mare risc . De ce? Deoarece deciziile sale pot avea un impact uriaș asupra carierei și mijloacelor de trai ale unei persoane. Sisteme de acest gen vor trebui să treacă de evaluări stricte de conformitate înainte de a putea fi introduse pe piața UE.
Legea privind inteligența artificială îmi afectează mica afacere dacă utilizez doar instrumente de inteligență artificială de la alte companii?
Da, aproape sigur așa este. Regulile Legii IA nu sunt doar pentru marile companii de tehnologie care construiesc IA. În timp ce „furnizorul” (compania care creează IA) are cea mai mare povară de conformitate, „utilizatorul” (adică afacerea dvs., atunci când implementați sistemul) are, de asemenea, responsabilități clare.
Dacă utilizați un sistem cu risc ridicat, sunteți responsabil pentru a vă asigura că acesta funcționează conform instrucțiunilor furnizorului, pentru a menține supravegherea umană și pentru a monitoriza performanța acestuia. Chiar și pentru ceva cu risc mai mic, cum ar fi un chatbot pentru serviciul clienți, aveți în continuare obligația de transparență de a le spune oamenilor că interacționează cu o inteligență artificială.
Care sunt primii pași pe care organizația mea trebuie să îi facă pentru a se pregăti?
Cel mai important prim pas este crearea unui inventar detaliat al fiecărui sistem de inteligență artificială utilizat în prezent de organizația dvs. sau pe care intenționează să îl adopte. Gândiți-vă la acest audit ca la fundamentul întregii dvs. strategii de conformitate.
Pentru fiecare sistem, trebuie să mergeți dincolo de simpla enumerare a numelui său. Trebuie să documentați scopul său și apoi să îl clasificați în funcție de categoriile de risc din Legea IA: inacceptabil, ridicat, limitat sau minim.
După ce ați identificat orice sisteme cu risc ridicat, următorul pas este să efectuați o analiză a decalajelor. Aceasta implică compararea practicilor dvs. actuale cu cerințele specifice ale Legii pentru aspecte precum guvernanța datelor, documentația tehnică și supravegherea umană. Începerea acestui proces acum este absolut vitală, deoarece atingerea conformității depline este o sarcină detaliată și consumatoare de timp.
Law & More oferă consultanță furnizorilor și implementatorilor cu privire la clasificarea conform Legii privind inteligența artificială, la contractele care fac ca conformitatea să fie funcțională într-un lanț de aprovizionare și la suprapunerea cu protecția datelor și răspunderea. Dacă vă aflați în situația de a stabili ce obligații se aplică unui sistem pe care îl construiți sau îl utilizați, suntem bucuroși să le parcurgem împreună cu dumneavoastră.
