Ce efecte au legislațiile pentru date și IA asupra companiilor?

Cine ce obligații are?

Legislația clasifică mai multe tipuri de actori care sunt implicați în realizarea, comercializarea, importul sau distribuirea sistemelor de IA, anume: furnizori, cei care implementează aceste sisteme, importatorii, distribuitorii și producătorii de dispozitive. Principalele obligații pe care le au aceștia se vor materializa DOAR DACĂ oricare din acești actori vor pune pe piață sisteme cu risc ridicat. După unele estimări, 30% din sistemele IA produse la nivelul UE ar fi în această categorie, evaluarea de impact a UE spune că sunt mai puține, în jur de 15%. Va fi clară treaba doar după ce aceste sisteme de mare risc se vor înregistra în baza de date europeană cerută de legislație.

Să spicuim din textul de compromis realizat între Parlament și Consiliu.

Furnizorii trebuie:

• să realizeze evaluări de conformitate înainte de a pune pe piață sisteme de risc ridicat (se pot face intern dar și externalizat) pe 3 paliere – sistemul de management al calității, documentația tehnică și evaluarea conformității dintre documentația tehnică și procesul de design și dezvoltare
• să se asigure că persoanele fizice care realizează supravegherea umană a sistemelor IA sunt informate despre riscul biasului de confirmare (adică să știe că nu ar trebui să se bazeze în luarea deciziilor doar pe rezultatul dat de sistemul IA)
• să ofere specificații pentru datele cu care sistemul IA se antrenează, inclusiv informații despre limitările și posibilele ipoteze deja existente în interiorul setului de date. De ex., dacă datele sunt preponderent dintr-o anumită regiune geografică, ceea ce ar putea crea limitări în utilizarea sistemelor în alte regiuni
• să realizeze documentație tehnică
• să realizeze acțiuni de corecție pentru a duce sistemul în conformitate și să informeze importatorul și cel care implementează

Atenție! Devii furnizor dacă faci modificări substanțiale la un sistem IA deja pus pe piață, fie de risc ridicat, fie dacă-l schimbi și devine de risc ridicat. Sau dacă îți pui marca pe un sistem care există deja.

Cei care implementează astfel de sisteme trebuie:

• să se asigure că pun în funcțiune sistemele în conformitate cu instrucțiunile de folosință
• dacă exercită control asupra sistemului, să implementeze sisteme de supravegherea umană
• să se asigure că persoanele care supraveghează sistemul sunt “competente, calificate și pregătite în mod adecvat și au resursele pentru a asigura supravegherea sistemului IA”
• să se asigure că monitorizează măsurile de securitate cibernetică puse în aplicare
• (dacă exercită control asupra datelor de intrare), trebuie să se asigure că sunt relevante și reprezentative pentru scopul intenționat al sistemului
• să informeze producătorul, importatorul sau distribuitor și autoritățile naționale competente dacă utilizarea sistemului ar putea rezulta într-un risc la adresa sănătății, siguranței sau la adresa drepturilor fundamentale ale cetățenilor și vor suspenda folosirea sistemului
• să țină jurnalul generat în mod automat, dacă au acces și se află sub controlul lor
• înainte de a pune în funcțiune un sistem la locul de muncă, trebuie să informeze reprezentanții angajaților și să ajungă la un acord cu privire la utilizarea sa. Dacă e necesar, trebuie să facă și o evaluare de impact asupra protecției datelor
• să realizeze o evaluare de impact în contextul destinat de utilizare (cu câteva excepții – cum ar fi sistemele de siguranță din managementul traficului sau furnizarea de utilități)

Importatorii trebuie să se asigure că:

• furnizorul a realizat o evaluare de impact
• există documentație tehnică și instrucțiuni de utilizare
• sistemul are marca de conformitate

Dacă sistemul interacționează cu persoane fizice, atunci furnizorii trebuie să informeze utilizatorii că aceștia interacționează cu un sistem IA. Utilizatorii de sisteme din categoria deep-fake trebuie să scoată în evidență că acel conținut este falsificat sau creat în mod artificial.

Contrabalansarea acestor obligații, din care am enumerat doar o parte, stă prin măsurile conținute pentru stimularea inovației care sunt cuprinse în acest act. Principalul instrument este “regulatory sandbox”, o unealtă de experimentare a unor produse, de testare a unor inovații înainte de a fi puse pe piață sub supravegherea unor autorități competente. Nu prezintă asta ca o obligație a statelor membre, ci e o opțiune. Mai mult, propunerea cere ca startupurile și furnizorii mici să aibă prioritate la intrarea în astfel de instrumente.

Aici cred că e momentul să ne uităm la impactul și plângerile pe care le au principalii actori țintiți de această legislație. Putem începe cu asta cu privire la sandboxes:

• o organizație care reprezintă startupurile din UE afirmă că ar trebuie să fie mai clară legislația cu privire la aceste “cutii de nisip pentru joacă” pentru că startupurile adesea nu țin neapărat de un domeniu sau poate că-și mai schimbă locația
• alții sunt mai pesimiști. Un raport al AI Austria arată că 2/3 din startupurile chestionate consideră că activitatea le-ar fi încetinită, având în vedere adaptările pe care trebuie să le facă. Aproximativ 30% din startupurile incluse și-ar încadra sistemele la risc ridicat, iar costurile de adaptare s-ar ridica până la câteva sute de mii de euro
• să nu mai zicem de climatul de capital de risc, același raport arată că fondurile de capital s-ar putea reorienta, având în vedere scăderea interesului pentru sisteme de risc ridicat care ar deveni mai scumpe

Deci, cum e? Prea multă reglementare? După cum vedem, majoritatea regulilor se aplică sistemelor IA de mare risc, iar piața acestora este limitată. Încă. După estimările Comisiei, până în 15% din sisteme ar fi de mare risc. Estimările rapoartelor citate arată că undeva la 30% din sisteme ar fi afectate. Piața de IA va crește oricum, mai ales după explozia IA generativă de tipul Chat-GPT, care oricum va beneficia de alte reguli în interiorul acestei legislații, dar să nu ne lungim acum.

La o primă vedere, nu există un echilibru foarte mare între regulile puse în legislație și măsura de regulatory sandbox propusă. Compensează asta exodul capitalului de risc din UE? Poate că nu, dar fondurile puse la dispoziție la nivelul UE, prin programe cum este Digital Europe Programme, ar putea. Problema e că pitchul în fața unui VC este foarte diferit de cererea de finanțare care trebuie completată pentru a accesa astfel de fonduri. Să nu uităm că există și DIH-urile, al căror rol este să sprijine companiile să testeze soluțiile pe care vor să le pună pe piață. Problema aici e de vizibilitate, când confirmation biasul pe care AI Act vrea să-l reducă este prezent în companii. Confirmation bias de forma “mai ușor e cu VC, nu-mi bat capul că nu știu ce câștig aici etc”.