Mitä EU:n tekoälylaki tarkoittaa yrityksellesi

Viime kuussa julkaistiin Euroopan unionin maamerkki tekoälyä koskeva asetus mene lakikirjoihin. EU:n tekoälylaki, joka hyväksyi Euroopan parlamentin ylivoimaisesti äänin 523–46, hahmottelee erilaisia ​​riskitasoja, velvoitteita ja vaatimuksia yrityksille, jotka kehittävät, ottavat käyttöön ja käyttävät tekoälyratkaisuja tai -malleja.

Vaikka tämä on eurooppalainen laki, brittiläisten teknologiayritysten, jotka haluavat tarjota tekoälypalvelujaan ja -mallejaan EU:n markkinoilla, on noudatettava vaatimuksia tai uhkaavat suuret sakot. Tämä edellyttää konkreettista ymmärrystä siitä, kuinka lain lopullinen versio toimii, ja yritysten vaatimustenmukaisuusohjelmien täydellistä uudistamista.

Keskeiset muutokset EU:n tekoälylakiin

Yksi merkittävimmistä muutoksista EU:n tekoälylain lopulliseen versioon on "riskipohjaisempi lähestymistapa" tekniikan säätelyyn, sanoo virustentorjuntaa valmistavan ESETin globaali kyberturvallisuusneuvoja Jake Moore.

Moore kertoo ISMS.online-sivustolle, että säännöt vaihtelevat vähäriskisille ja korkeariskisille tekoälysovelluksille, ja tiukimmat koskevat "niitä, joilla on suurempi haitan mahdollisuus". Esimerkkejä jälkimmäisistä ovat tekoälyllä toimivat lääketieteelliset laitteet ja automatisoidut poliisitekniikat.

Hän lisää, että laki pakottaa yritykset myös olemaan avoimia tekoälyn käytöstä, kieltämään vaaralliset tekoälysovellukset, kuten ennakoivan poliisin, ja tarkastelemaan generatiivisia tekoälymalleja, kuten ChatGPT 4 ja Google Gemini.

"Tämä on ensimmäinen merkki oivalluksesta, että yksi tekoälykoko ei sovi kaikille", Moore jatkaa.

Leonie Power, kumppani ja tekoälyasiantuntija lakitoimistosta Fieldfisher, sanoo, että tärkeimpiin muutoksiin kuuluu taloudellisen yhteistyön ja kehityksen järjestön (OECD) hyväksymän tekoälyn määritelmän lisäksi syväväärennöksiä ja yleiskäyttöisiä säännöksiä. AI mallit.

Lakitoimisto Foot Ansteyn partneri Paolo Sbuttoni huomauttaa, että monet näistä muutoksista hahmoteltiin vuotaneessa lainsäädäntöluonnoksessa, josta EU:n lainsäätäjät sopivat alustavasti viime joulukuussa. Se sisälsi lopullisen tekoälyjärjestelmän määritelmän, perusoikeusvaikutusten arvioinnin vaatimukset, reaaliaikaisen biometrisen tunnistamisen rajoitukset ja säännöt yleiskäyttöisille tekoälyjärjestelmille, hän sanoo.

"Lainsäätäjät tekivät lakiin joitain teknisiä muutoksia tammikuussa 2024 johdanto-osan kappaleiden tekstin yhdenmukaistamiseksi artiklojen kanssa, kuten joulukuun neuvotteluissa sovittiin, mutta joulukuun 2023 luonnokseen ei ole tehty olennaisia ​​muutoksia", hän kertoo ISMS:lle. .verkossa.

Vaikutus Yhdistyneen kuningaskunnan järjestöihin

Britannia on saattanut erota Euroopan unionista kehittänyt oman lähestymistapansa Tekoälytekniikan säätelyyn, mutta tämä ei tarkoita, ettei EU:n tekoälylaki vaikuttaisi Yhdistyneen kuningaskunnan yrityksiin. Foot Anstey's Sbuttonin mukaan kaikkien brittiläisten yritysten, jotka haluavat myydä tai asentaa tekoälypalveluita EU:ssa, on noudatettava sääntöjä.

Artiklan 28 mukaan nämä velvoitteet vaihtelevat kuitenkin brittiyritysten kehittämien tai tarjoamien tekoälypalvelujen EU:ssa sijaitsevien käyttöönottajien, jakelijoiden tai maahantuojien tekemien muutosten mukaan, hän selventää. Nämä ryhmät tunnetaan laajemmin "jatkokäyttäjinä", kun taas tekoälypalvelujen tarjoajat ovat "ylävirran" kokonaisuuksia.

Viitaten 3 artiklan 23 kohtaan Sbuttoni sanoo, että EU:n sääntelyviranomaiset pitävät näitä ryhmiä palveluntarjoajina, jos ne tekevät merkittäviä muutoksia brittiläisten yritysten tarjoamiin järjestelmiin. Tässä sisällössä hän sanoo, että Yhdistyneen kuningaskunnan yksikön olisi annettava EU:n jatkokäyttäjälle – nyt palveluntarjoajalle – tekniset asiakirjat, kykytiedot sekä tekniset käyttöoikeudet ja apu, jotta toinen osapuoli voi noudattaa lakia.

Näiden velvoitteiden täyttäminen

Kun kyse on näiden uusien lakisääteisten vaatimusten täyttämisestä, brittiläisten tekoälyyritysten, jotka haluavat toimia EU:n markkinoilla, on tehtävä useita muutoksia vaatimustenmukaisuusohjelmiinsa. Fieldfisher's Power suosittelee, että organisaatiot aloittavat tämän prosessin tarkistamalla kehitetyt, käyttöönotetut tai suunnitellut tekoälyjärjestelmät ja määrittämällä EU:n tekoälylain vaikutuksen niihin.

Hän neuvoo sitten, että organisaatiot luokittelevat tekoälymallit ja -järjestelmät riskitasonsa, kuten korkean tai systemaattisen riskin, perusteella ja ymmärtävät niiden roolin tekoälyn toimitusketjussa. Viimeinen vaihe on tekoälyn hallintokehyksen käyttöönotto. Power sanoo, että organisaatiot voivat hyödyntää hyväksi havaittuja riski- ja hallintokehyksiä, kuten tietosuojaa varten käytettyjä.

"Erityisesti harkitse päällekkäisyyttä GDPR vaatimustenmukaisuus ja missä määrin organisaatio voi hyödyntää näitä noudattamistoimia täyttääkseen EU:n tekoälylain velvoitteet", hän kertoo ISMS.online-sivustolle. "Yllä olevaa lähestymistapaa noudattaessaan organisaatioiden tulee pitää mielessä erityisvaatimusten siirtymäajat, jotka vaihtelevat kuuden ja 36 kuukauden välillä."

Foot Ansteyn Sbuttoni sanoo, että organisaatioiden tulisi suunnitella noudattamisohjelmat tekoälyjärjestelmiensä mahdollisten riskien ympärille. EU:n tekoälylain neljä riskiluokkaa ovat: minimaalinen, rajoitettu, korkea ja ei-hyväksyttävä.

”Matalin/minimaalisen riskin järjestelmiin kohdistuu rajoitettuja velvoitteita, kun taas laki asettaa useita merkittäviä vaatimuksia korkean riskin järjestelmien ylläpitäjille. Näitä ovat riskienhallinta, vaatimustenmukaisuus- ja vaikutusarvioinnit, tiedon laatu, läpinäkyvyys tai inhimillinen valvonta”, hän sanoo.

Näiden säännösten noudattamatta jättäminen voi aiheuttaa suuria taloudellisia kustannuksia. EU voi määrätä yrityksille jopa 35 miljoonan euron (30 miljoonan punnan) tai 7 prosentin sakon edellisvuoden maailmanlaajuisesta liikevaihdosta, jos ne harjoittavat kiellettyjä käytäntöjä, 15 miljoonan euron (13 miljoonan punnan) tai 3 prosentin sakot, jos ne eivät täytä muita säännösvaatimuksia, ja 7.5 miljoonaa euroa. (6.4 miljoonaa puntaa) tai 1 % väärien tietojen antamisesta.

Miten ISO 42001 voi auttaa?

Kun brittiläiset yritykset mukauttavat vaatimustenmukaisuusohjelmiaan EU:n tekoälylain asettamien vaatimusten mukaisesti, voisi myös olla hyvä idea ottaa käyttöön ISO 42001 -standardi tekoälynhallintajärjestelmille.

Fieldfisher's Power sanoo, että tämän alan standardin hyödyntäminen antaisi yrityksille mahdollisuuden noudattaa EU:n tekoälylakia "luomalla tekoälyn läpinäkyvyyden, vastuullisuuden ja eettisen käytön kulttuurin".

Foot Ansteyn Sbuttoni lisää, että ISO 42001:n tarjoama tekninen opastus auttaa yrityksiä hallitsemaan tekoälyn riskejä ja mahdollisuuksia.

"Vaikka se ei takaa lain noudattamista, se on hyvä askel auttaa tekoälyä käyttäviä yrityksiä noudattamaan alan tai lakisääteisiä vaatimuksia", hän väittää.

Euroopan markkinoiden koon vuoksi monet brittiläiset yritykset, jotka haluavat hyödyntää tekoälyn tehoa tuotetarjonnassaan, katselevat standardia keinona tehostaa kansainvälistä laajentumistaan.