AI Act

AI Act — это регламент Европейского союза, устанавливающий единые правила регулирования систем искусственного интеллекта (ИИ) на основе оценки степени риска, который они представляют для здоровья, безопасности и фундаментальных прав граждан. Принятый в 2024 году, AI Act стал первым в мире всеобъемлющим законом, направленным на регулирование технологий ИИ, и вступил в силу поэтапно, начиная с 2025 года.

История принятия

Разработка AI Act началась в 2018 году, когда Европейская комиссия создала Группу экспертов высокого уровня по искусственному интеллекту. В 2020 году был опубликован проект «Белой книги по искусственному интеллекту», в котором излагались подходы к регулированию. Официальный проект регламента был представлен Европейской комиссией 21 апреля 2021 года.

После длительных переговоров между Европейским парламентом, Советом ЕС и Европейской комиссией, политическое соглашение по тексту AI Act было достигнуто 8 декабря 2023 года. Окончательное утверждение регламента состоялось 13 марта 2024 года, когда Европейский парламент проголосовал за него. 21 мая 2024 года Совет ЕС официально принял регламент. AI Act вступил в силу 1 августа 2024 года, однако его положения вводятся поэтапно: запреты на неприемлемые риски начали действовать с 2 февраля 2025 года, правила для систем общего назначения — с 2 августа 2025 года, а полное применение всех норм ожидается к 2 августа 2026 года.

Классификация рисков

Основой AI Act является риск-ориентированный подход. Все системы ИИ классифицируются по четырём категориям в зависимости от уровня потенциальной угрозы.

Неприемлемый риск

Системы ИИ, представляющие явную угрозу фундаментальным правам, свободам и безопасности людей, полностью запрещены. К ним относятся:

• Системы социального скоринга (оценка граждан на основе их поведения или личных характеристик государственными органами).
• Системы биометрической категоризации, использующие чувствительные характеристики (раса, политические убеждения, религия, сексуальная ориентация).
• Системы распознавания эмоций на рабочем месте и в образовательных учреждениях.
• Системы, манипулирующие поведением человека или использующие уязвимости (например, возрастные).
• Системы удалённой биометрической идентификации в реальном времени в общедоступных местах правоохранительными органами, за исключением строго ограниченных случаев (например, поиск пропавших людей или предотвращение терактов).

Высокий риск

К этой категории относятся системы ИИ, которые могут существенно повлиять на здоровье, безопасность или фундаментальные права. Они подлежат строгим требованиям, включая оценку соответствия, управление рисками, прозрачность и человеческий надзор. Высокорисковые системы делятся на две группы:

• Системы, используемые в качестве компонентов безопасности продуктов, подпадающих под действие существующего законодательства ЕС (например, медицинские изделия, игрушки, лифты).
• Автономные системы в определённых сферах, таких как:
• Биометрическая идентификация и категоризация физических лиц.
• Управление критической инфраструктурой (водоснабжение, электросети).
• Образование и профессиональное обучение (например, системы для оценки знаний или приёма студентов).
• Трудоустройство, управление персоналом и доступ к самозанятости (например, системы для отбора резюме или оценки сотрудников).
• Доступ к основным частным и публичным услугам (например, системы кредитного скоринга или оценки права на получение социальных пособий).
• Правоохранительная деятельность (например, системы оценки риска рецидивизма).
• Миграция, предоставление убежища и пограничный контроль.
• Отправление правосудия и демократические процессы (например, системы для помощи судьям в принятии решений).

Ограниченный риск

Системы ИИ с ограниченным риском, такие как чат-боты или системы, генерирующие контент (deepfakes), подлежат требованиям прозрачности. Пользователи должны быть проинформированы о том, что они взаимодействуют с ИИ, а контент, созданный ИИ, должен быть явно маркирован.

Минимальный риск

Большинство систем ИИ, используемых в настоящее время (например, фильтры спама, видеоигры с ИИ), относятся к категории минимального риска. Они не подпадают под действие AI Act, хотя разработчики могут добровольно применять кодексы поведения.

Основные требования для высокорисковых систем

Разработчики и поставщики высокорисковых систем ИИ обязаны соблюдать ряд строгих требований до вывода продукта на рынок ЕС:

• Управление рисками: создание и поддержание системы для выявления, оценки и минимизации рисков на протяжении всего жизненного цикла системы.
• Качество данных: использование репрезентативных, релевантных и безошибочных наборов данных для обучения, валидации и тестирования.
• Техническая документация: составление подробной документации, включая описание архитектуры, методов обучения, данных и результатов оценки.
• Прозрачность и предоставление информации: обеспечение возможности интерпретации работы системы и предоставление пользователям чёткой информации о её возможностях и ограничениях.
• Человеческий надзор: проектирование системы таким образом, чтобы она могла быть эффективно контролирована человеком, включая возможность отключения или отмены решений.
• Точность, надёжность и кибербезопасность: обеспечение стабильной работы системы, её устойчивости к ошибкам и атакам.

Регулирование систем общего назначения (GPAI)

Отдельный раздел AI Act посвящён системам ИИ общего назначения (General-Purpose AI, GPAI), таким как большие языковые модели (например, GPT-4). Для них установлены облегчённые требования, включая:

• Политику соблюдения авторских прав.
• Публикацию подробного резюме используемых для обучения данных.
• Для систем GPAI с системным риском (наиболее мощных моделей) — дополнительные обязательства по оценке и смягчению рисков, тестированию и отчётности об инцидентах.

Органы управления и надзора

Для обеспечения исполнения AI Act создана многоуровневая система управления:

• Европейский совет по искусственному интеллекту (European AI Board): координирует деятельность национальных органов надзора.
• Офис по искусственному интеллекту (AI Office): создан в составе Европейской комиссии для контроля за соблюдением правил в отношении систем GPAI.
• Национальные компетентные органы: в каждом государстве-члене ЕС назначаются органы, отвечающие за надзор на национальном уровне.

Санкции за нарушения

За несоблюдение требований AI Act предусмотрены значительные штрафы:

• За использование запрещённых систем — до 35 миллионов евро или 7% от мирового годового оборота компании (в зависимости от того, какая сумма больше).
• За нарушение требований к высокорисковым системам — до 15 миллионов евро или 3% от мирового оборота.
• За предоставление неверной информации — до 7,5 миллионов евро или 1,5% от оборота.

Критика и ограничения

AI Act подвергается критике по нескольким направлениям. Представители бизнеса, особенно малые и средние предприятия, опасаются чрезмерной бюрократизации и высоких затрат на соблюдение требований. Некоторые эксперты отмечают, что закон может сдерживать инновации в Европе по сравнению с США и Китаем, где регулирование ИИ менее строгое. Правозащитные организации, в свою очередь, критикуют AI Act за недостаточную защиту от использования ИИ в правоохранительных целях и за оставление лазеек для биометрической идентификации. Также высказываются опасения, что закон не успевает за быстрым развитием технологий, особенно в области генеративного ИИ.

Источники

• Regulation (EU) 2024/1689 of the European Parliament and of the Council of 13 June 2024 laying down harmonised rules on artificial intelligence (Artificial Intelligence Act)
• European Commission. (2021). Proposal for a Regulation laying down harmonised rules on artificial intelligence (Artificial Intelligence Act)
• European Parliament. (2024). Artificial Intelligence Act: landmark rules for the development of trustworthy AI
• Council of the EU. (2024). Artificial intelligence (AI) act: Council gives final green light to the first worldwide rules on AI
• Madiega, T. (2024). Artificial Intelligence Act. European Parliamentary Research Service