Что такое Закон ЕС об ИИ?

Закон ЕС об ИИ — это комплексная нормативно-правовая база, которая регулирует разработку, вывод на рынок и использование систем искусственного интеллекта в Европейском Союзе. Она применяется как к поставщикам ИИ, так и к развертываниям, и устанавливает четкие юридические обязательства на основе того, как ИИ-системы влияют на отдельных людей, общество и фундаментальные права. Закон продвигает инновации, одновременно защищая здоровье, безопасность и фундаментальные права, устанавливая требования к прозрачности, управлению рисками, надзору за людьми, управлению данными и кибербезопасности на протяжении всего жизненного цикла ИИ.

Закон ЕС об ИИ использует подход, основанный на оценке рисков, то есть системы ИИ регулируются в соответствии с уровнем риска, который они представляют для отдельных людей и общества. Чем выше потенциальный риск, тем строже обязательства, возложенные на поставщиков и организации, развертывающие ИИ.

• Запрещенные практики
  ИИ-системы, представляющие неприемлемый риск, запрещены. К ним относятся когнитивно-поведенческие манипуляции, социальная оценка со стороны государственных органов, недискриминационный сбор изображений лица и биометрический вывод конфиденциальных атрибутов, таких как политические убеждения или сексуальная ориентация.
• Системы ИИ с высоким риском
  Системы с высоким уровнем риска — это системы, используемые в таких важных или регулируемых областях, как критическая инфраструктура, управление персоналом, оценка кредитоспособности, образование, здравоохранение, правоохранительные органы, пограничный контроль и осуществление правосудия. Эти системы можно выпускать на рынок, только если они отвечают строгим требованиям, включая процессы управления рисками, высококачественные обучающие данные, техническую документацию, надзор за персоналом, меры кибербезопасности и маркировку CE.
• Модели ИИ общего назначения
  Эта категория включает крупномасштабные модели, например большие языковые модели (Large Language Model, LLM). Поставщики должны соблюдать обязательства по прозрачности, уважать авторские права, документировать методы обучения и внедрять меры для устранения системных рисков, особенно для самых эффективных или широко используемых моделей.
• Системы ИИ с ограниченным риском
  На эти системы, в основном, распространяются обязательства по прозрачности. Пользователей следует информировать о том, что они взаимодействуют с контентом, созданным ИИ, таким как чат-боты или дипфейки, за исключением некоторых случаев.
• Системы ИИ с минимальным риском или без риска
  ИИ-приложения, которые не представляют риска, например видеоигры с поддержкой ИИ или спам-фильтры, по большей части освобождаются от соблюдения требований, предусмотренных Законом об ИИ.

Нарушение Закона об ИИ может привести к штрафам в размере до 35 миллионов евро, но не менее 7% от глобального годового оборота.

Со 2 февраля 2025 года поставщики услуг и разработчики должны обеспечить достаточную грамотность персонала при работе с ИИ. Проводить обучение рекомендуется, но это не обязательно.

Все зависит от роли в компании и связанных рисков, но требуется обеспечить общее понимание ИИ и индивидуальные меры по повышению грамотности на основе технических знаний и контекста.

Принятие Закона ЕС об ИИ требует, чтобы организации внедрили меры по выполнению соответствующих обязательств. Аудит играет важнейшую роль в этом процессе, помогая компаниям понять, как используются ИИ-системы, где существуют риски и какие меры по обеспечению соответствия необходимо принять.

Аудиты помогают:

• Идентифицировать и классифицировать ИИ-системы в соответствии с категориями риска, предусмотренными Законом.
• Определять роль организации: поставщик, разработчик и т. д.
• Оценивать, как ИИ-системы обрабатывают данные и генерируют вывод.
• Выявлять проблемы с прозрачностью, контролем над пользователями, кибербезопасностью и управлением рисками.
• Собирать ценные данные для составления планов, проектирования структур управления и разработки средств контроля, необходимых для комплаенса.

На практике эти оценки формируют основу для программ управления ИИ и позволяют организациям приоритизировать меры по комплаенсу в зависимости от рисков и требований регуляторов.