Kodėl ES nusprendė pirmoji pasaulyje sureguliuoti dirbtinį intelektą
2024 metų pradžioje Europos Parlamentas patvirtino tai, ką daugelis vadina istoriškai reikšmingiausiu technologijų reguliavimo dokumentu per pastaruosius dešimtmečius – ES Dirbtinio intelekto aktą (AI Act). Tai pirmasis pasaulyje visapusiškas teisinis dokumentas, skirtas konkrečiai dirbtinio intelekto technologijoms. Ir nors daugelis technologijų kompanijų šį žingsnį sutiko su tam tikru skepticizmu, o kai kurie kritikai iš karto pradėjo kalbėti apie inovacijų slopinimą, realybė yra kur kas sudėtingesnė ir įdomesnė.
ES nusprendė veikti pirmoji dėl kelių priežasčių. Pirma, Europa jau turėjo skaudžios patirties su technologijų reguliavimu post factum – prisiminkime, kaip socialinių tinklų algoritmai, reklamos ekosistemos ir duomenų rinkimas tapo nekontroliuojami dar prieš atsirandant bet kokiems teisiniams rėmams. GDPR buvo bandymas taisyti situaciją jau po fakto, ir nors jis padarė nemažą įtaką, daugelis ekspertų sutinka, kad ankstesnis reguliavimas būtų buvęs efektyvesnis. Antra, DI technologijos auga eksponentiškai – laukti, kol problemos taps akivaizdžios, reiškia laukti, kol bus per vėlu.
Tačiau čia slypi ir pagrindinis paradoksas: kaip sureguliuoti technologiją, kuri keičiasi greičiau, nei spėja rašyti įstatymai?
Rizikos pagrindu grįsta sistema – kaip ji veikia praktiškai
AI Act nėra monolitinis dokumentas, kuris draudžia viską iš eilės. Jo architektūra grįsta rizikos lygių sistema, kuri skirsto DI sistemas į keturias kategorijas. Tai gana elegantiškas sprendimas, nors ir su savo trūkumais.
Nepriimtina rizika – tai visiškai draudžiamos sistemos. Čia patenkama socialinio reitingavimo sistemos (tokios, kokias naudoja Kinija), realaus laiko biometrinė stebėjimo sistema viešose vietose (su tam tikromis išimtimis teisėsaugai), sistemos, manipuliuojančios žmonėmis pasąmoniniais metodais. Šis sąrašas nėra labai ilgas, bet principas aiškus – kai kurie DI panaudojimo būdai tiesiog nesuderinami su demokratinėmis vertybėmis.
Didelė rizika – čia viskas įdomiau. Šiai kategorijai priskiriamos sistemos, naudojamos kritinėje infrastruktūroje, švietimo sistemose (pvz., automatinis egzaminų vertinimas), darbo rinkoje (CV filtravimo algoritmai), teisinėje sistemoje, medicinos diagnostikoje. Šios sistemos gali veikti, bet turi atitikti griežtus reikalavimus: skaidrumas, žmogaus priežiūra, techninė dokumentacija, registracija ES duomenų bazėje.
Ribota rizika – čia patenkama chatbotai, deepfake generavimo įrankiai. Pagrindinis reikalavimas – informuoti vartotoją, kad jis bendrauja su DI sistema. Tai skamba paprastai, bet praktikoje įgyvendinti ne visada lengva.
Minimali rizika – šachmatų programos, spam filtrai, Netflix rekomendacijos. Jokių papildomų reikalavimų.
Praktinis patarimas verslui: jei kuriate DI sistemą ir nesate tikri, į kurią kategoriją ji patenka, atsakymas beveik visada yra – konsultuokitės su teisininku specializuojančiu technologijų teisėje, ir darykite tai kuo anksčiau. Kategorijų ribos nėra visada akivaizdžios, o klaidos gali kainuoti brangiai.
Bendrosios paskirties DI modeliai – naujas galvos skausmas reguliuotojams
Vienas iš labiausiai diskutuojamų AI Act aspektų – kaip jis traktuoja vadinamuosius GPAI (General Purpose AI) modelius. Tai tokie modeliai kaip GPT-4, Claude, Gemini – sistemos, kurios nėra sukurtos vienai konkrečiai užduočiai, bet gali būti naudojamos tūkstančiams skirtingų tikslų.
Problema čia fundamentali: jei modelis sukurtas bendrai paskirčiai, kaip įvertinti jo riziką? OpenAI nekuria GPT-4 tam, kad jis būtų naudojamas medicinos diagnostikoje – bet niekas nedraudžia ligoninei sukurti savo sistemą GPT-4 pagrindu. Kas tada atsako už riziką – modelio kūrėjas ar galutinis naudotojas?
AI Act bando spręsti šią problemą dviem lygmenimis. Visi GPAI modelių kūrėjai turi teikti techninę dokumentaciją, laikytis autorių teisių reikalavimų ir skelbti mokymo duomenų santraukas. Tačiau modeliams, kurie viršija tam tikrą galios slenkstį (10²⁵ FLOP skaičiavimų mokymui), taikomi papildomi reikalavimai – sisteminės rizikos vertinimas, incidentų pranešimų sistema, kibernetinio saugumo priemonės.
Šis slenkstis jau sulaukė kritikos. Technologijos tobulėja, ir tai, kas šiandien atrodo kaip „labai galingas modelis”, po dvejų metų gali būti vidutiniu standartu. Reguliavimas, grįstas absoliučiais skaičiais, rizikuoja greitai tapti nebeaktualus.
Kas privalo laikytis taisyklių ir nuo kada
AI Act taikomas ne tik ES įmonėms. Jei jūsų sistema naudojama ES rinkoje arba jos rezultatai veikia ES piliečius, taisyklės galioja ir jums – nepriklausomai nuo to, kur įsikūrusi jūsų įmonė. Tai labai svarbu suprasti Lietuvos startuoliams, kurie galbūt įsikūrę Vilniuje, bet planuoja plėstis į Vakarų Europą.
Laiko grafikas yra laipsniškas:
- 2024 m. rugpjūtis – AI Act oficialiai įsigaliojo
- 2025 m. vasaris – draudimai dėl nepriimtinos rizikos sistemų pradeda galioti
- 2025 m. rugpjūtis – GPAI modeliams taikomi reikalavimai
- 2026 m. rugpjūtis – didelės rizikos sistemoms taikomi visi reikalavimai
- 2027 m. – tam tikros išimtys baigiasi, visas aktas pilnai veikia
Baudos už pažeidimus nėra simbolinės. Už draudžiamų sistemų naudojimą – iki 35 milijonų eurų arba 7% pasaulinės apyvartos (imama didesnė suma). Už kitus pažeidimus – iki 15 milijonų arba 3%. Mažesnėms įmonėms ir startuoliams numatytos proporcingesnės baudos, bet tai nereiškia, kad galima ignoruoti reikalavimus.
Praktinė rekomendacija: pradėkite DI inventorizaciją dabar. Sudarykite sąrašą visų DI sistemų, kurias naudojate arba kuriate, ir įvertinkite, į kurią rizikos kategoriją jos patenka. Tai nėra vienkarinis projektas – tai turėtų tapti nuolatinio valdymo proceso dalimi.
Lietuvos ir Baltijos šalių perspektyva – galimybė ar našta
Lietuvoje DI reguliavimo tema dar nėra tapusi plačiai diskutuojama viešojoje erdvėje, nors verslo bendruomenė jau pradeda reaguoti. Mūsų technologijų ekosistema turi keletą specifinių bruožų, kurie daro AI Act ypač aktualų.
Pirma, Lietuva turi gana stiprų fintech sektorių – o finansinės paslaugos yra viena iš sričių, kurioje DI naudojimas patenka į didelės rizikos kategoriją. Kreditų vertinimo algoritmai, sukčiavimo aptikimo sistemos, automatizuoti investavimo sprendimai – visa tai reikalauja papildomos dokumentacijos ir žmogaus priežiūros mechanizmų.
Antra, Lietuva turi nemažai kibernetinio saugumo įmonių, kurios naudoja DI grėsmių aptikimui. Čia situacija yra sudėtingesnė – gynybiniai DI įrankiai turi tam tikrų išimčių, bet ribos nėra visada aiškios.
Trečia, ir tai galbūt svarbiausia – Lietuva gali pasinaudoti AI Act kaip konkurenciniu pranašumu. Įmonės, kurios anksti prisitaiko prie reguliavimo ir gali įrodyti savo sistemų atitiktį reikalavimams, turės aiškų pranašumą prieš konkurentus, kurie atidėlioja. Europos rinkoje „AI Act compliant” ženklas gali tapti tokiu pat svarbiu kaip kadaise buvo ISO sertifikatai.
Valstybinė duomenų apsaugos inspekcija (VDAI) yra numatyta kaip viena iš nacionalinių priežiūros institucijų, tačiau jos pajėgumai ir resursai šiai naujai funkcijai dar formuojasi. Tai reiškia, kad pirmuosius metus gali būti tam tikras neaiškumas dėl vietinės priežiūros praktikos.
Kritika iš abiejų pusių – kodėl niekas nėra visiškai patenkintas
AI Act sulaukė kritikos iš visiškai priešingų stovyklų, ir tai iš tikrųjų yra gana geras ženklas – reiškia, kad reguliavimas nėra visiškai vienašališkas.
Technologijų pramonė, ypač stambios kompanijos, skundžiasi pernelyg dideliu administraciniu krūviu. Meta, Google ir kiti technologijų gigantai per konsultacines procedūras teigė, kad dokumentacijos reikalavimai yra neproporcingi ir gali sulėtinti inovacijas. Yra ir konkretus argumentas: jei ES reguliavimas per griežtas, kompanijos tiesiog perkels DI kūrimą į JAV ar Aziją, o ES vartotojai vis tiek naudos tas sistemas, tik be jokio reguliavimo.
Pilietinės visuomenės organizacijos, atvirkščiai, mano, kad AI Act per švelnus. Jų pagrindiniai argumentai: biometrinės stebėjimo išimtys teisėsaugai yra per plačios, didelės rizikos sistemų sąrašas nepakankamai išsamus, o savireguliavimo elementai (ypač GPAI srityje) suteikia per daug laisvės pačioms kompanijoms.
Akademinė bendruomenė kelia dar kitą klausimą – ar rizikos pagrindu grįsta sistema iš viso yra tinkamas metodas? Kai kurie mokslininkai teigia, kad DI rizika yra per daug kontekstuali, kad ją būtų galima klasifikuoti pagal iš anksto nustatytus kriterijus. Ta pati sistema gali būti visiškai saugi viename kontekste ir labai pavojinga kitame.
Mano asmeninis požiūris: AI Act nėra tobulas dokumentas, bet jis yra realistiškas. Jis bando sureguliuoti technologiją, kuri keičiasi greičiau nei bet kas kitas istorijoje, ir tai neišvengiamai reiškia kompromisus. Klausimas nėra ar reguliavimas tobulas – klausimas yra ar jis pakankamai geras, kad apsaugotų žmones, neužsmaugdamas inovacijų.
Techniniai reikalavimai – ką konkrečiai reikia daryti
Jei kuriate arba naudojate didelės rizikos DI sistemas, AI Act reikalavimai yra gana konkretūs. Pabandykime juos išdėstyti praktiškai.
Rizikos valdymo sistema – tai nėra vienkartinis dokumentas, o nuolatinis procesas. Turite identifikuoti galimas rizikas, įvertinti jų tikimybę ir poveikį, ir dokumentuoti, kaip jas mažinate. Tai primena ISO 27001 procesus, tik pritaikytus DI kontekstui.
Duomenų valdymas – mokymo duomenys turi atitikti kokybės kriterijus, būti relevantūs, reprezentatyvūs ir kiek įmanoma neturintys šališkumų. Tai lengva pasakyti, bet praktiškai labai sudėtinga įgyvendinti. Šališkumas duomenyse yra viena iš sunkiausiai sprendžiamų DI problemų.
Techninė dokumentacija – išsami informacija apie sistemos paskirtį, veikimo principus, apribojimus, testavimo rezultatus. Ši dokumentacija turi būti prieinama priežiūros institucijoms bet kuriuo metu.
Žurnalų saugojimas (logging) – sistema turi automatiškai registruoti savo veikimą tiek, kad būtų galima retrospektyviai įvertinti sprendimus. Tai ypač svarbu teisinėms ir medicinos sistemoms.
Skaidrumas vartotojams – žmonės, su kuriais sistema sąveikauja arba kuriuos ji vertina, turi būti informuoti, kad sprendimą priima DI sistema, ir turi turėti galimybę prašyti žmogaus peržiūros.
Žmogaus priežiūra – tai vienas iš kontroversiškiausių reikalavimų. Kaip užtikrinti prasmingą žmogaus priežiūrą sistemoje, kuri priima tūkstančius sprendimų per sekundę? Reguliavimas šiuo klausimu palieka daug erdvės interpretacijai.
Kibernetinis atsparumas – sistemos turi būti apsaugotos nuo bandymų jas apgauti ar manipuliuoti (adversarial attacks). Tai techninis reikalavimas, kuriam reikia specialistų.
Praktinė rekomendacija startuoliams: jei esate ankstyvoje stadijoje, integruokite šiuos reikalavimus į savo kūrimo procesą nuo pat pradžių. „Privacy by design” principas, kurį daugelis jau žino iš GDPR, dabar papildomas „AI safety by design” principu. Daug pigiau ir lengviau tai padaryti iš karto, nei bandyti pritaikyti jau sukurtą sistemą.
Kai reguliavimas tampa technologijų evoliucijos dalimi
Grįžkime prie pradinio klausimo – ar ES padarė teisingą sprendimą reguliuodama DI pirmoji? Atsakymas, kaip dažnai būna sudėtingose situacijose, yra „tai priklauso nuo to, ką laikome sėkme”.
Jei sėkmė reiškia, kad ES technologijų kompanijos augs tokiu pat tempu kaip Silicio slėnyje – greičiausiai ne. Reguliavimas visada sukuria papildomų kaštų, ir tai yra faktas, kurį reikia pripažinti. Tačiau jei sėkmė reiškia, kad ES piliečiai galės naudotis DI technologijomis su didesniu pasitikėjimu ir mažesne rizika – galbūt taip.
Yra ir trečia perspektyva, kuri man atrodo labiausiai įtikinama: AI Act gali tapti de facto pasauliniu standartu, panašiai kaip tai nutiko su GDPR. Kompanijos, kurios nori veikti ES rinkoje, turi laikytis taisyklių. O kadangi ES rinka yra pakankamai didelė, daugelis kompanijų tiesiog pritaikys tuos pačius standartus visur – nes paprasčiau turėti vieną procesą nei du. Tai vadinamas „Brussels effect” – ES reguliavimo galia eksportuoti savo standartus be jokios formalios tarptautinės sutarties.
Technologijų istorija rodo, kad reguliavimas ir inovacijos nėra nesuderinami. Automobilių pramonė tapo saugesnė dėl saugos diržų ir oro pagalvių reikalavimų – ir tai nesustabdė automobilių kūrimo. Farmacijos pramonė turi vienus griežčiausių reguliavimo reikalavimų pasaulyje – ir vis tiek kuria naujus vaistus. DI gali eiti tuo pačiu keliu.
Galutinis klausimas nėra ar reguliuoti, bet kaip reguliuoti išmintingai. AI Act yra pirmas bandymas. Jis bus keičiamas, papildomas, galbūt iš dalies perrašytas. Technologijų reguliavimas niekada nėra statiškas dokumentas – tai nuolatinis dialogas tarp technologijų galimybių, visuomenės poreikių ir politinės valios. Ir šiame dialoge kiekvienas – tiek kūrėjai, tiek vartotojai, tiek reguliuotojai – turi savo balsą ir atsakomybę.
