Изкуствен интелект (AI Act)

AI Act — Регламент (ЕС) 2024/1689 — е европейският регламент, който установява правила за разработването, предоставянето и използването на системи с изкуствен интелект.

Регламентът използва подход, основан на риска.

Това означава, че задълженията не са еднакви за всички AI системи и всички компании.

Те зависят от:

• каква AI система се използва;
• за каква цел;
• какви решения подпомага или взема;
• кои лица могат да бъдат засегнати;
• какъв риск създава употребата;
• дали компанията разработва AI или използва система на друг доставчик;
• каква е ролята на компанията според AI Act.

Използването на готов AI инструмент не означава автоматично, че компанията е доставчик на AI система.

Но това също не означава, че използването му е извън AI Act.

Трябва да се установи:

• кой инструмент се използва;
• за какви задачи;
• дали се използва спрямо клиенти или служители;
• дали подпомага решения за физически лица;
• дали се създава или променя съдържание;
• дали служители въвеждат лични, поверителни или защитени данни;
• дали AI резултатът се използва автоматично или се проверява от човек;
• дали конкретната употреба попада в специална категория по AI Act.

Затова Complwise проверява AI употребата, а не само дали компанията „има AI“.

Първата стъпка не е да изтеглите „AI Policy“.

Първата стъпка е да разберете какъв AI реално се използва във вашата организация.

Необходимо е да се установят:

AI системите

Какви AI инструменти и системи използва компанията?

Употребите

За какво се използва всяка система?

Ролята

Доставчик, внедрител, вносител, дистрибутор или друга приложима роля?

Рискът

Попада ли конкретната употреба сред забранените, високорисковите или други регулирани категории?

Приложимите изисквания

Какви действия трябва да бъдат предприети и от кога?

Както при GDPR, наличието на документ само по себе си не доказва, че реалното използване на AI в компанията отговаря на приложимите правила.

Например компанията може да има AI Policy, но впоследствие:

• HR е започнал да използва нов AI инструмент за CV screening;
• Marketing използва генеративен AI;
• Sales използва AI за профилиране на потенциални клиенти;
• Customer Service е въвел chatbot;
• служители използват различни публични AI инструменти;
• компанията е интегрирала AI функционалност в собствен продукт;
• нов AI доставчик обработва лични или поверителни данни.

AI инвентарът и документацията трябва да следват реалното използване на технологията.

AI Act се прилага поетапно и правилата продължават да се допълват от европейски насоки, стандарти, кодекси и други инструменти за прилагане.

Complwise следи:

• промени в AI Act;
• датите за прилагане на отделните изисквания;
• насоки на Европейската комисия;
• промени в класификацията и тълкуването на високорисковите системи;
• правила за прозрачност;
• приложими стандарти и кодекси;
• промени, които могат да засегнат вече класифицирани AI системи.

Целта не е компанията просто да има AI Policy. Целта е да знае какъв AI използва, какви правила се прилагат и какво трябва да направи.

Използването на AI не отменя останалите задължения на компанията.

Ако AI система обработва лични данни, може едновременно да се прилагат:

AI Act + GDPR

Например AI инструмент за подбор на кандидати може да изисква проверка както по AI Act, така и по правилата за защита на личните данни.

Complwise идентифицира връзките между различните регулаторни изисквания и показва кога е необходима допълнителна проверка.

AI Act предвижда европейска и национална система за управление и надзор.

На европейско ниво ключова роля има Европейската служба за изкуствен интелект (AI Office), включително по отношение на определени правила за модели с общо предназначение.

Националните компетентни органи на държавите членки имат функции по надзор и правоприлагане съобразно разпределението на компетентностите.

Complwise следи кои компетентни органи и процедури са приложими в България за съответната категория AI система.

Официални източници: Регламент (ЕС) 2024/1689 · Европейска комисия · AI Office

AI Act предвижда различни максимални административни глоби според вида на нарушението.

При определени нарушения максималните санкции могат да достигнат значителни фиксирани суми или процент от общия световен годишен оборот на предприятието.

Най-високите санкции са предвидени за нарушения, свързани със забранените AI практики.

Конкретната санкция не се определя само от това, че компанията „използва AI“.

Тя зависи от нарушеното задължение, ролята на организацията, конкретната система и обстоятелствата по случая.

Например:

6 AI инструмента идентифицирани

4 стандартни бизнес употреби 1 употреба със задължения за прозрачност 1 употреба за допълнителна оценка

7 приложими действия 4 необходими документа 2 области за допълнителна проверка

Така получавате конкретен план вместо общ списък с изисквания.

AI системите и регулацията се променят.

Днес компанията може да използва пет AI инструмента, а след шест месеца — дванадесет.

Complwise може да следи:

• AI системите и употребите;
• тяхната класификация;
• приложимите изисквания;
• бъдещите срокове;
• регулаторните промени;
• необходимостта от актуализиране на документи;
• нови AI доставчици;
• задачи и отговорници;
• историята на оценките и документите.

Използването на AI се променя. Съответствието трябва да го следва.