Искусственная простота: ЕС принимает первый в мире закон об ИИ

Весь прошлый год чиновники в Брюсселе обсуждали регулирование искусственного интеллекта. Итогом их работы стал первый в мире закон об ИИ — The EU Artificial Intelligence Act. За фасадом красивого рекорда находится противоречивый документ, который не снимает многих противоречий быстро развивающейся индустрии, а создает новые проблемы для отрасли.

После четырех раундов дискуссий в конце прошлого года Еврокомиссия приняла политическое решение одобрить законопроект о регулировании систем с использованием технологий искусственного интеллекта. В марте Европарламент принял окончательный вариант документа: В поддержку закона проголосовали 523 депутата, 46 законодателей высказались против, еще 49 человек воздержались. После одобрения парламентом текст должен пройти обязательную юридическую и лингвистическую проверки, затем его одобрит Совет Европы. Правила вступят в силу через 20 дней после публикации закона в официальном журнале ЕС. 

Сейчас текст первого в мире закона, регулирующего искусственный интеллект, выглядит как осторожный компромисс депутатов с индустрией и европейским законодательством. В основе регулирования лежит риск-ориентированный подход: чем выше риски ИИ-системы, тем строже правила. Закон вводит четыре «категории риска» в зависимости от предполагаемого уровня опасности: минимальный, ограниченный, высокий и неприемлемый. Каждая категория налагает свои обязательства: при высоких рисках к компании предъявят самые строгие требования, при низких — незначительные.

К неприемлемым, например, относятся любые системы биометрической идентификации, профилирования личных данных, системы социального рейтинга. Они фактически запрещены новыми правилами. Исключение сделали лишь для правоохранительных органов для конкретных случаев: поиск пропавших, помощь беженцам и жертвам насилия, при террористической угрозе. Но и тогда силовикам придется получать специальное административное или судебное разрешение на использование подобных систем.

К высокорисковым системам отнесли те, которые используют в критически важных инфраструктурах, образовательных, медицинских проектах, банковских и государственных услугах, работе правоохранительных органов, суде и на выборных мероприятиях. В первую очередь это касается ИИ, который может поставить под угрозу жизнь и здоровье граждан. Разработчики должны будут оценивать и смягчать риски, следить за качеством данных для обучения, постоянно отчитываться о работе ИИ перед властями и обеспечивать меры человеческого надзора за технологией.

Категория ограниченного риска включает уже привычные всем генеративные системы, к которым применяется принцип прозрачности. Еврокомиссия требует соблюдать авторское право и раскрывать все источники, откуда берутся данные для машинного обучения. Генеративный контент должен быть обязательно маркирован, в первую очередь это касается аудио– и видеоконтента. Пользователей необходимо информировать, что они взаимодействуют с машиной, а не человеком.

Наконец, в категорию минимальных рисков входят все остальные ИИ-системы, которые относительно безопасны в использовании. Это, например, приложения видеоигр или спам-фильтры. В этой категории находится подавляющее большинство систем, которые сегодня используются в ЕС. Каждая ИИ-система перед релизом будет проходить «оценку соответствия». Регулятор определит, отвечает ли она необходимым требованиям закона, и отнесет ее к соответствующей категории рисков.

Достижением можно назвать широкие права, которые получили потребители. Теперь они могут подать жалобу регулятору в любой ситуации, если у них есть основания полагать, что закон был нарушен. Для этого не обязательно быть пострадавшей стороной или участником разбирательства. Тем самым закон об ИИ отличается, к примеру, от GDPR — Генерального регламента о защите данных, согласно которому субъекты данных могут подать жалобу только в том случае, если их касается обработка персональных данных.

Эксперты называют документ примером «запаздывающего» законотворчества. Обсуждение проекта началось еще в 2021 году и было посвящено регулированию конкретных инструментов. Ажиотаж вокруг ChatGPT и появление множества генеративных моделей вынудило законодателей спешно перекраивать законопроект и вводить новые юридические механизмы. В итоге текст превратился в «лоскутное одеяло», которое до сих пор требует согласования и отлаживания механизмов.

Например, депутаты оставили в законе два термина «искусственный интеллект общего назначения» (General-purpose AI — GPAI) и «модель GPAI». Выделение в отдельную сущность модели было необходимо, чтобы юридически оформить статус генеративных моделей. Из-за чего возникла путаница, так как при определенных обстоятельствах такие системы могут относиться сразу к двум категориям: и высокому уровню риска, и ограниченному. Это не единственная двусмысленность в тексте, что может привести к разночтениям в толковании правил.

AI Act предполагает создание отдельного регулятора в составе Еврокомиссии — Управления по искусственному интеллекту, который будет следить за исполнением закона и наказанием за нарушение правил. Кроме управления, также будут созданы различные экспертные и технические советы и Совет AI, куда войдут представители стран-членов ЕС. Полномочия новой структуры входят в очевидное противоречие с функциями разветвленной сети органов защиты данных в ЕС, и пока нет ясности, каким образом они будут разграничены.

В целом закон лишь намечает основные рамки регулирования отрасли, поскольку теперь уже ясно, что столь быстро развивающаяся сфера пока непредсказуема для юридического оформления. Еврокомиссия заранее создала длительный период апробации документа: отдельные положения будут постепенно вступать в силу в течение следующих 2-3 лет. За это время индустрия может кардинально измениться, что потребует оперативных вмешательств в принятые правила. Пока же можно сказать с уверенностью, что первый европейский закон об ИИ повлияет не только на рынок ЕС, но и в целом на мировую цифровую индустрию.