AI Regulacje Porównane: Jak UE, USA i Pozostały Świat Piszą Zasady

Wasze początkowe założenia, dwa zupełnie różne prawa

Unia Europejska i Stany Zjednoczone zaczęły od przeciwstawnych założeń, gdy próbowały uregulować sztuczną inteligencję, a ta pojedyncza różnica wyjaśnia większość tego, co następuje. UE postrzega AI jako problem bezpieczeństwa produktu – nową kategorię technologii, podobnie jak leki lub urządzenia medyczne, która powinna być klasyfikowana według ryzyka przed wejściem na rynek i podlegać zgodności z oceną proporcjonalnej do tego ryzyka. Akt o AI, który wszedł w życie w 2024 roku z obowiązkami wprowadzonymi stopniowo przez 2026 rok i później, klasyfikuje systemy AI na cztery poziomy – niedopuszczalne ryzyko (zakazane bezwarunkowo, obejmujące m.in. ocenianie społeczne przez rządy i pewne formy kategoryzacji biometrycznej), wysokie ryzyko (podlega szczegółowym obowiązkom przed wprowadzeniem na rynek), ograniczone ryzyko (obowiązki dotyczące przejrzystości, takie jak ujawnienie, że chatbot jest maszyną) i minimalne ryzyko (w dużej mierze niezregulowane). System wykorzystywany do sprawdzania CV lub oceniania zdolności kredytowej znajduje się na poziomie wysokiego ryzyka nie dlatego, jaki algorytm on uruchamia, ale z powodu decyzji, jaką podejmuje w odniesieniu do dostępu danej osoby do możliwości.

Z drugiej strony, Stany Zjednoczone nie posiadają jednego aktu prawnego dotyczącego AI. Ich podejście jest sektorowe i oparte na egzekwowaniu prawa: istniejące agencje stosują istniejące prawo do zachowań opartych na AI w swoim jurysdykcji. Komisja Handlowa Federalna nadzoruje wprowadzające w przestępczą reklamę lub nieuczciwe twierdzenia dotyczące AI pod jej ogólną władzą ochrony konsumentów. Komisja ds. Równości Szans Emerytalnych stwierdziła, że pracodawca wykorzystujący narzędzie do rekrutacji oparte na AI nadal ponosi odpowiedzialność za dyskryminację ze względu na wpływ niezamierzony dokładnie taką samą jakby człowiek-rekruter dokonał tych samych stronniczych wywołań. Kolorado i Illinois przyjęły własne ustawy dotyczące AI, które obejmują decyzje o wysokim ryzyku w zakresie zatrudnienia i ubezpieczeń, a wykonczący w 2023 roku rozkaz (później zmieniany przez kolejne administracje) nakazał agencjom federalnym opracowywanie wytycznych dotyczących zarządzania ryzykiem AI w ich własnych domenach. W rezultacie mamy patchwork, gdzie obowiązujące prawo dla danego systemu AI zależy od tego, który regulator, które państwo i jaki przypadek użycia się w nim znajduje, a nie od pojedynczej klasyfikacji, która towarzyszy modelowi.”]} p{heading}:

paragraphs

Dlaczego ten sam model jest regulowany inaczej

Ta różnica ma znaczenie dla każdego, kto buduje lub wdraża model działający na wielu krajach, ponieważ akt AI reguluje się w oparciu o przeznaczenie i kontekst wdrożenia systemu, a nie o jego architekturę. Duży model językowy dostrojony do ogólnej obsługi klienta mógłby kwalifikować się do kategorii niskiego lub minimalnego ryzyka z powodu aktu AI. Ten sam bazowy model, dostrojony i wdrożony do triagowania roszczeń ubezpieczeniowych lub sprawdzania wniosków kredytowych, natychmiast przechodzi do kategorii wysokiego ryzyka i wywołuje lawinę obowiązków: system zarządzania ryzykiem, nadzór nad jakością danych szkoleniowych, dokumentacja techniczna, projektowanie nadzoru ludzkiego, testy odporności i dokładności oraz rejestracja w bazie danych UE przed wprowadzeniem produktu na rynek. Obowiązek ten dotyczy przypadku użycia, a nie wag sieci neuronowej, co jest dokładnie powodem, dla którego ten sam dostawca bazowego modelu może wysłać jeden produkt, który wymaga procesu zgodności w stylu CE-marking w UE i, gdy zostanie ponownie wykorzystany do łagodnego zastosowania, potrzebuje prawie nic.

W Stanach Zjednoczonych podobny produkt napotyka inny rodzaj zmienności: nie formalnej oceny ryzyka, ale patchworku prawa obowiązującego, który zależy od jurysdykcji i sektora. Narzędzie rekrutacyjne sprzedawane w kraju może być zobowiązane do przestrzegania lokalnego przepisu nr 144 Nowego Jorku (obowiązkowe audyty uprzedzeń dla narzędzi decyzyjnych oparte na automatyzacji zatrudnienia), jeśli jest używane przez pracodawców w tym mieście, Illinois AI Video Interview Act, jeśli jest używany do wywiadów wideo tam oraz ogólne wytyczne EEOC wszędzie – trzy nakładające się, ale nieidentyczne systemy zgodności dla jednego produktu, żadna z nich nie wymaga rejestracji przed wprowadzeniem na rynek w taki sposób jak akt UE. To jest praktyczny sens stwierdzenia „ten sam model jest regulowany inaczej”: geografia i przypadek użycia wspólnie determinują obciążenie zgodnością, a naprawdę globalny produkt AI potrzebuje architektury zgodności, która może odpowiedzieć dla danego wdrożenia, które prawo obowiązuje.”]}**”**

Ogólnozaadane AI i problem modeli bazowych

Oba systemy musiały zmierzyć się z problemem, który nie przewidziano podczas tworzenia – ogólnodostępne modele bazowe, które są wdrażane w dalszych etapach w sposób, którego pierwotni twórcy nie mogą w pełni przewidzieć ani kontrolować. Rozporządzenie UE o AI adresuje to poprzez oddzielny poziom dla modeli ogólnodostępnnych AI (OGAI), nakładając podstawowe obowiązki dotyczące przejrzystości (dokumentacja techniczna, podsumowanie danych szkoleniowych, zgodność z prawami autorskimi) na wszystkich dostawców OGAI oraz cięższy poziom obowiązków – ocena modelu, testy odporności na ataki, raportowanie incydentów, zabezpieczenia cybernetyczne – dla modeli uznanych za posiadające „systemiczną ryzyko”, próg obecnie zdefiniowany przez proxy oparte na mocy obliczeniowej (modele wytrenowane przy użyciu ponad 10^25 operacji zmiennoprzecinkowych są uważane za systemiczne). To przekłada obciążenie zgodnością częściowo na upstreamowego dewelopera (OpenAI, Google, Anthropic, Meta) zamiast wyłącznie na downstreamowego użytkownika wdrażającego, co stanowi uznanie faktu, że szpital dostosowujący model bazowy do triages nie może wnikliwie zweryfikować danych szkoleniowych, których nigdy nie widział.

USA nie mają odpowiednika prawnego, ale rozporządzenie z 2023 roku wykorzystało akt produkcyjny obrony narodowej, aby wymagać od firm trenujących największe modele brzegowe raportowania wyników testów bezpieczeństwa do rządu, znacznie lżejszego i bardziej dyscyplinarnego mechanizmu niż system hierarchicznej ujawniania UE, którego trwałość w różnych administracjach okazała się znacznie mniej stabilna niż statut. Ta przepaść ilustruje rzeczywiste i nierozwiązane pytanie polityczne, a nie prostą historię „UE-restrykcyjna/USA-luźna”. Powinien ponosić odpowiedzialność podmiot trenujący model ogólnodostępny za późniejsze nadużycia, których nie przewiduje, czy też odpowiedzialność powinna spoczywać wyłącznie na tym, kto wdraża go do konkretnego celu? UE odpowiedziała udziałem, hierarchiczną odpowiedzialnością; USA w dużej mierze pozostawiły to kwestię regulatorom sektorowym i pozwanym w sądzie cywilnym.

Międzynarodowa koordynacja i jej ograniczenia

Pod spodem kontrastu między UE a USA znajduje się wolniejszy, cichszy wysiłek na rzecz koordynacji. Proces AI w Hiroszimie przy Grupcie 7 wyprodukował dobrowolny kodeks postępowania dla twórców zaawansowanej sztucznej inteligencji w 2023 roku, Wielka Brytania zorganizowała pierwszy globalny szczyt ds. bezpieczeństwa AI w Bletchleym Parku tego samego roku, wyprodukował deklarację podpisana przez 28 krajów, w tym USA, UE i Chiny, a Zasady AI OECD (pierwsze opublikowane w 2019 roku, odświeżone) dostarczają wspólnego słownictwa – przejrzystość, odpowiedzialność, wytrzymałość – które zarówno Akt AI, jak i wytyczne agencji USA wyraźnie wykorzystują. Ramowa Konwencja Rady Europy na temat sztucznej inteligencji, otwarta na podpis w 2024 roku, jest pierwszą prawnie wiążącą międzynarodową umową dotyczącą sztucznej inteligencji, choć celowo pozostawia szczegóły dotyczące wdrażania prawom lokalnym, co dokładnie powoduje ponowny pojawienie się rozbieżności między UE a USA.

Te wysiłki doprowadziły do zbieżności w definicjach i taksonomiach ryzyka – większość jurysdykcji obecnie mówi o „wysokim ryzyku” sztucznej inteligencji, przejrzystości i nadzorze ludzkim, używając rozpoznawalnie podobnego języka – bez zbieżności w mechanizmach egzekwowania prawa lub formie prawnej. Ta przepaść prawdopodobnie nie zostanie zamknięta szybko, ponieważ odzwierciedla prawdziwą różnicę w filozofii regulacyjnej: tradycję UE opartą na prewencyjnym podejściu i uzyskaniu jasnych zgód przed wprowadzeniem na rynek oraz tradycję USA opartą na egzekwowaniu prawa po fakcie i procesach sądowych, ta sama podziałka widoczna jest w sposobie, w jaki oba jurysdykcje od dawna regulują chemikalia, ochronę danych osobowych i produkty finansowe. Globalnie działająca firma powinna spodziewać się tego, że będzie to trwało i planować warstwę zgodności, która mapuje wdrożenia na jurysdykcje, a nie pojedynczej globalnej polityki AI, która zadowoli wszystkich regulatorów jednocześnie.

Często zadawane pytania

Wypróbuj na żywo

Wszystko powyżej działa bezpośrednio w Twojej przeglądarce — otwórz the simulation i zmieniaj parametry podczas działania. Nic nie jest instalowane ani przesyłane na serwer, cały model działa w jednej karcie.