EU har kommet til enighet om AI-loven, og den vil trolig tre i kraft i 2024-2025 som planlagt.
Denne skjellsettende beslutningen var resultatet av en intens 37 timer lang forhandlingsrunde mellom Europaparlamentet og EUs medlemsland.
Thierry Breton, EU-kommissæren som er hovedansvarlig for denne nye lovpakken, beskrev avtalen som "historisk". Forhandlingene har pågått siden tirsdag, og enkelte dager har forhandlerne jobbet hele natten.
Historisk!
EU blir det aller første kontinentet som setter klare regler for bruk av AI 🇪🇺
Den #AIAct er mye mer enn en regelbok - det er en utskytningsrampe for oppstartsbedrifter og forskere i EU som vil lede an i det globale AI-kappløpet.
Det beste er ennå ikke kommet! 👍 pic.twitter.com/W9rths31MU
- Thierry Breton (@ThierryBreton) 8. desember 2023
Carme Artigas, Spanias statssekretær for kunstig intelligens, var avgjørende for at disse forhandlingene førte frem til en vellykket avslutning.
Artigas påpekte den betydelige støtten teksten fikk fra store europeiske land, og sa spesifikt at "Frankrike og Tyskland støttet teksten". Dette er bemerkelsesverdig, ettersom Frankrike og Tyskland, som er opptatt av å oppmuntre sine egne voksende AI-industrier, satte spørsmålstegn ved noen av de strengere elementene i loven.
EU er nå i ferd med å vise vei når det gjelder regulering av kunstig intelligens. Selv om det spesifikke innholdet og konsekvensene av de nye lovene fortsatt er under utvikling, vil de sannsynligvis tre i kraft i 2024/2025.
Viktige avtaler og aspekter ved EUs AI Act
Den foreløpig avtale om AI-loven representerer et historisk skritt i reguleringen av kunstig intelligens. Den følger i fotsporene til andre teknologiregler i EU, som GDPR, som har påført teknologiselskaper milliardbøter i årenes løp.
Carme Artigas, spansk statssekretær for digitalisering og kunstig intelligens, sa om loven: "Dette er en historisk prestasjon og en enorm milepæl mot fremtiden! Dagens avtale tar effektivt tak i en global utfordring i et teknologisk miljø i rask utvikling på et nøkkelområde for samfunnets og økonomiens fremtid. Og i dette arbeidet har vi klart å holde en svært hårfin balanse: å fremme innovasjon og utbredelse av kunstig intelligens i hele Europa, samtidig som vi fullt ut respekterer borgernes grunnleggende rettigheter."
Her er de sentrale nye aspekter av den vedtatte lovgivningen:
- AI-systemer med stor innvirkning og høy risiko: Avtalen innfører regler for generelle AI-modeller som kan utgjøre en "systemisk" risiko. Nøyaktig hva dette betyr, er fortsatt tvetydig, men det er stort sett utformet for å imøtekomme nye generasjoner av modeller på GPT-4-nivå og utover.
- Styring og håndheving: Et revidert styringssystem ble etablert, inkludert visse håndhevingsbeføyelser på EU-nivå. Dette sikrer en sentralisert tilnærming til regulering av AI på tvers av medlemslandene.
- Forbud og unntak for rettshåndhevelse: Avtalen utvider listen over forbudte AI-praksiser, men åpner for bruk av biometrisk fjernidentifikasjon av politimyndigheter i det offentlige rom på strenge vilkår. Dette har som mål å balansere offentlig sikkerhet med personvern og borgerrettigheter.
- Beskyttelse av rettigheter: Et sentralt aspekt ved avtalen er at de som tar i bruk høyrisikosystemer for kunstig intelligens, er forpliktet til å vurdere konsekvensene for menneskers rettigheter før de tar i bruk et AI-system. "Brukere" er nøkkelordet her, ettersom loven pålegger ansvar i hele AI-verdikjeden.
Andre avtalte områder inkluderer:
- Definisjoner og omfang: Definisjonen av AI-systemer har blitt justert i tråd med OECDs definisjon, og forordningen utelukker AI-systemer som utelukkende brukes til militære, forsvars-, forsknings- og innovasjonsformål eller av enkeltpersoner av ikke-profesjonelle grunner.
- Klassifisering av AI-systemer: AI-systemer vil bli klassifisert basert på risiko, der høyrisikosystemer vil være underlagt strenge krav, mens systemer med begrenset risiko vil ha mindre strenge krav til åpenhet. Dette har vært intensjonen hele tiden.
- Fundamentmodeller: Avtalen omhandler grunnmodeller, store AI-systemer som kan utføre ulike oppgaver, slik som ChatGPT/Bard/Claude 2. Disse modellene er underlagt spesifikke krav til åpenhet, med strengere regler for grunnmodeller med stor innvirkning.
- Krav til AI-systemer med høy risiko: AI-systemer med høy risiko vil bli tillatt på EU-markedet, men må oppfylle spesifikke krav, blant annet til datakvalitet og teknisk dokumentasjon, særlig for små og mellomstore bedrifter.
- Ansvar i AI-verdikjeder: Avtalen klargjør rollene og ansvarsområdene til de ulike aktørene i AI-systemets verdikjeder, inkludert leverandører og brukere, og hvordan disse forholder seg til eksisterende EU-lovgivning.
- Forbudt AI-praksis: Loven forbyr visse uakseptable AI-praksiser, for eksempel kognitiv atferdsmanipulering, ikke-målrettet skraping av ansiktsbilder og følelsesgjenkjenning på arbeidsplasser og i utdanningsinstitusjoner.
- Nødprosedyrer for politimyndigheter: En nødprosedyre gjør det mulig for politimyndigheter å ta i bruk høyrisiko AI-verktøy som ikke har bestått samsvarsvurderingen, i hastesituasjoner.
- Biometrisk identifikasjon i sanntid: Politiets bruk av biometriske identifikasjonssystemer i sanntid i det offentlige rom er tillatt på strenge vilkår for spesifikke formål, som å forhindre terrorangrep eller lete etter mistenkte for alvorlig kriminalitet.
Styring, sanksjoner og håndheving:
- Styresett: Et AI-kontor i Kommisjonen skal overvåke avanserte AI-modeller, støttet av et vitenskapelig panel av uavhengige eksperter og et AI-råd bestående av representanter fra medlemslandene.
- Straff: Avtalen fastsetter bøter basert på en prosentandel av selskapets globale årsomsetning for ulike overtredelser, med mer proporsjonale tak for små og mellomstore bedrifter og oppstartsbedrifter.
- Bøter: Det er fastsatt bøter for manglende overholdelse basert på overtredelsens alvorlighetsgrad. Bøtene beregnes enten som en prosentandel av selskapets globale årsomsetning fra det foregående regnskapsåret eller som et fast beløp. Det høyeste av de to beløpene legges til grunn. Bøtene er strukturert på følgende måte: 35 millioner euro eller 7% av omsetningen for brudd som involverer forbudte AI-applikasjoner, 15 millioner euro eller 3% for brudd på lovens forpliktelser, og 7,5 millioner euro eller 1,5% for å ha gitt uriktige opplysninger.
- Støtte: Avtalen omfatter AI-regulatoriske sandkasser for å teste innovative AI-systemer under reelle forhold, og gir støtte til mindre selskaper.
Den foreløpige avtalen må fortsatt godkjennes av Europaparlamentet og EUs 27 medlemsland.
Hvordan vil lovgivningen påvirke "frontier-modeller"?
I henhold til det nye regelverket må alle utviklere av generelle AI-systemer, særlig de med et bredt spekter av potensielle bruksområder som ChatGPT og Bard, ha oppdatert informasjon om hvordan modellene deres er trent opp, gi et detaljert sammendrag av dataene som er brukt i opplæringen, og ha retningslinjer som respekterer opphavsrettslover og sikrer akseptabel bruk.
Loven klassifiserer også visse modeller som "systemrisiko". Denne vurderingen er først og fremst basert på hvor stor regnekraft disse modellene bruker. EU har satt en terskel for denne kategorien ved modeller som bruker mer enn 10 billioner billioner operasjoner per sekund.
For øyeblikket er OpenAIs GPT-4 den eneste modellen som automatisk oppfyller denne terskelen. EU kan imidlertid merke andre modeller under denne definisjonen.
Modeller som anses som systemrisiko, vil bli underlagt ytterligere, strengere regler. Disse omfatter blant annet
- Obligatorisk rapportering av energiforbruk.
- Gjennomføring av red-teaming eller kontradiktoriske tester.
- Vurdere og redusere potensielle systemiske risikoer.
- Sikre robuste kontroller for cybersikkerhet.
- Rapporterer både informasjonen som brukes til å finjustere modellen, og detaljer om systemarkitekturen.
Hvordan har avtalen blitt mottatt?
AI-loven har utløst et mylder av reaksjoner med kommentarer om innovasjon, regulering og samfunnsmessige konsekvenser.
Fritz-Ulli Pieper, spesialist i IT-rett hos Taylor Wessing, påpekte at selv om slutten er i sikte, kan loven fortsatt bli endret.
Han bemerket: "Det er mange punkter som det fortsatt må jobbes videre med i den tekniske trilogen. Ingen vet hvordan den endelige ordlyden vil se ut, og om eller hvordan man virkelig kan få gjennomslag for den nåværende enigheten i en endelig lovtekst."
Piepers innsikt avslører kompleksiteten og usikkerheten rundt AI-loven, noe som tyder på at det gjenstår mye arbeid for å sikre at den endelige lovgivningen blir effektiv og praktisk gjennomførbar.
Et sentralt tema på disse møtene har vært å balansere risiko og muligheter knyttet til kunstig intelligens, særlig siden modeller kan være "dobbeltnaturlige", noe som betyr at de både kan gi fordeler og forårsake skade. Alexandra van Huffelen, Nederlands digitaliseringsminister, sa: "Å håndtere KI betyr å fordele mulighetene og risikoene på en rettferdig måte."
Loven klarte tilsynelatende heller ikke å beskytte EU-borgere mot storstilt overvåking, noe som vakte oppmerksomhet hos interesseorganisasjoner som Amnesty International.
Mher Hakobyan, Advocacy Advisor on Artificial Intelligence, sa om dette kontroversielle punktet: "Å ikke sikre et fullstendig forbud mot ansiktsgjenkjenning er derfor en enormt forspilt mulighet til å stoppe og forhindre kolossal skade på menneskerettighetene, det sivile rom og rettsstatsprinsippene, som allerede er truet i hele EU."
Etter denne foreløpige avtalen vil AI-loven tre i kraft to år etter at den offisielt er vedtatt, slik at myndigheter og bedrifter i hele EU kan forberede seg på å etterleve bestemmelsene.
I mellomtiden vil tjenestemennene forhandle om de tekniske detaljene i forordningen. Når de tekniske detaljene er ferdigforhandlet, vil kompromisteksten bli sendt til medlemslandenes representanter for godkjenning.
Det siste trinnet innebærer en juridisk-lingvistisk revisjon for å sikre klarhet og juridisk nøyaktighet, etterfulgt av den formelle vedtakelsen. AI-loven kommer helt sikkert til å endre bransjen både i EU og globalt, men det er vanskelig å forutsi i hvilken grad.
