Pro­vo­că­ri­le im­ple­men­tă­rii Re­gu­la­men­tu­lui UE pri­vind in­te­li­gen­ța ar­ti­fi­ci­a­lă pen­tru sis­te­me­le IA cu grad ri­di­cat de risc

In­tro­du­ce­re

Re­gu­la­men­tul pri­vind in­te­li­gen­ța ar­ti­fi­ci­a­lă al Uniu­nii Eu­ro­pe­ne („AI Act”) sta­bi­leș­te un cadru de re­gle­men­ta­re cu­prin­ză­tor pen­tru dezvol­ta­rea și uti­li­za­rea in­te­li­gen­ței ar­ti­fi­ci­a­le (IA) în UE [1], [2]. În func­ție de tipul sis­te­mu­lui IA, de sco­pul său pre­co­ni­zat și de rolul or­ga­ni­za­ți­ei im­pli­ca­te, re­gu­la­men­tul in­tro­du­ce ce­rin­țe pri­vind ma­na­ge­men­tul ris­cu­ri­lor, gu­ver­nan­ța da­te­lor, trans­pa­ren­ța, su­pra­ve­ghe­rea umană, do­cu­men­ta­ția teh­ni­că și alte as­pec­te ale dezvol­tă­rii și uti­li­ză­rii IA.

To­tuși, iden­ti­fi­ca­rea ce­rin­țe­lor de re­gle­men­ta­re apli­ca­bi­le re­pre­zin­tă doar o parte a pro­ce­su­lui de asi­gu­ra­re a con­for­mi­tă­ții. Or­ga­ni­za­ți­i­le tre­bu­ie să sta­bi­leas­că și cum să im­ple­men­te­ze aces­te ce­rin­țe în sis­te­me­le IA exis­ten­te, în in­fras­truc­tu­ra teh­ni­că, în pro­ce­se­le de dezvol­ta­re și în flu­xu­ri­le de lucru or­ga­ni­zațio­na­le. De exem­plu, ce­rin­țe­le pri­vind ca­li­ta­tea da­te­lor, acu­ra­te­țea și ro­bus­te­țea pot ne­ce­si­ta schim­bări în modul în care mo­de­le­le IA sunt an­tre­na­te, eva­lu­a­te și mo­ni­to­ri­za­te, în timp ce obli­ga­ți­i­le le­ga­te de ma­na­ge­men­tul ris­cu­ri­lor și do­cu­men­ta­ție pot ne­ce­si­ta noi pro­ce­duri și res­pon­sa­bi­li­tăți in­ter­ne. Im­ple­men­ta­rea aces­tor mă­suri poate ri­di­ca di­fi­cul­tăți sem­ni­fi­ca­ti­ve, mai ales atunci când sis­te­me­le și pro­ce­se­le exis­ten­te nu au fost con­ce­pu­te ini­țial pen­tru a în­de­plini ce­rin­țe de re­gle­men­ta­re [3].

Im­ple­men­ta­rea AI Act poate fi de­o­se­bit de di­fi­ci­lă pen­tru fur­ni­zo­rii de sis­te­me IA cu grad ri­di­cat de risc, că­ro­ra li se apli­că unele din­tre cele mai ex­tin­se ce­rin­țe ale re­gu­la­men­tu­lui. Aces­te sis­te­me in­clud anu­mi­te apli­ca­ții care pot afec­ta sem­ni­fi­ca­tiv să­nă­ta­tea, si­gu­ran­ța sau drep­tu­ri­le fun­damen­ta­le ale per­soa­ne­lor. Exem­ple­le va­ri­a­ză de la sis­te­me IA uti­li­za­te pen­tru eva­lu­a­rea can­di­da­ți­lor la an­ga­ja­re, eva­lu­a­rea re­zul­ta­te­lor în­vă­ță­rii și de­ter­mi­na­rea bo­ni­tă­ții per­soa­ne­lor fi­zi­ce până la sis­te­me IA fo­lo­si­te drept com­po­nen­te de si­gu­ran­ță în ges­tio­na­rea și ope­ra­rea in­fras­truc­tu­rii cri­ti­ce, în func­ție de cri­te­ri­i­le de cla­si­fi­ca­re apli­ca­bi­le [1].

În aceas­tă pos­ta­re exa­mi­năm prin­ci­pa­le­le pro­vo­cări ale im­ple­men­tă­rii ce­rin­țe­lor AI Act pen­tru sis­te­me­le IA cu grad ri­di­cat de risc, dis­cu­tăm felul în care ca­pa­ci­tă­ți­le teh­ni­ce și prac­ti­ci­le or­ga­ni­zațio­na­le in­flu­en­țea­ză efor­tu­ri­le de con­for­ma­re și ex­plo­răm mo­da­li­tăți de abor­da­re a aces­tor di­fi­cul­tăți.

Ce­rin­țe pen­tru sis­te­me­le IA cu grad ri­di­cat de risc

Po­tri­vit ar­ti­co­lu­lui 6 din AI Act, sis­te­me­le IA pot fi cla­si­fi­ca­te ca având un grad ri­di­cat de risc în func­ție de sco­pul lor pre­co­ni­zat și de ris­cu­ri­le aso­ci­a­te uti­li­ză­rii. Re­gu­la­men­tul dis­tin­ge în spe­cial două ca­te­go­rii prin­ci­pa­le:

• Sis­te­me IA care intră sub in­ci­den­ța le­gi­sla­ți­ei pri­vind si­gu­ran­ța pro­du­se­lor. Sis­te­me­le IA care ser­vesc drept com­po­nen­te de si­gu­ran­ță ale unor pro­du­se sau care sunt ele în­se­le pro­du­se re­gle­men­ta­te de anu­mi­te acte le­gi­sla­ti­ve de ar­mo­ni­za­re ale UE pot fi cla­si­fi­ca­te ca având un grad ri­di­cat de risc atunci când pro­du­se­le sau sis­te­me­le res­pec­ti­ve ne­ce­si­tă eva­luări ale con­for­mi­tă­ții de către terți. Exem­ple­le in­clud anu­mi­te apli­ca­ții le­ga­te de dis­po­zi­ti­ve me­di­ca­le, uti­la­je și alte pro­du­se re­gle­men­ta­te.

• Sis­te­me IA uti­li­za­te în do­me­nii cu grad ri­di­cat de risc. Anexa III iden­ti­fi­că mai multe do­me­nii în care sis­te­me­le IA pot fi cla­si­fi­ca­te ca având un grad ri­di­cat de risc, prin­tre care bi­o­me­tria, in­fras­truc­tu­ra cri­ti­că, edu­ca­ția, ocu­pa­rea for­ței de muncă, ac­ce­sul la ser­vi­cii esen­ți­a­le, apli­ca­rea legii, mi­gra­ția și con­tro­lul fron­ti­e­re­lor, pre­cum și ad­mi­nis­tra­rea jus­ti­ți­ei. De exem­plu, sis­te­me­le IA uti­li­za­te pen­tru eva­lu­a­rea can­di­da­ți­lor la an­ga­ja­re sau pen­tru sta­bi­li­rea bo­ni­tă­ții per­soa­ne­lor fi­zi­ce pot face parte din aceas­tă ca­te­go­rie. Ar­ti­co­lul 6 pre­ve­de și ex­cep­ții pen­tru anu­mi­te sis­te­me din anexa III care nu pre­zin­tă un risc sem­ni­fi­ca­tiv în con­di­ți­i­le pre­ci­zate de re­gu­la­ment [1].

Pen­tru ca sis­te­me­le IA cu grad ri­di­cat de risc să în­de­pli­neas­că ce­rin­țe­le AI Act, fur­ni­zo­rii tre­bu­ie să im­ple­men­te­ze o serie de mă­suri teh­ni­ce și or­ga­ni­zațio­na­le pe par­cur­sul dezvol­tă­rii și ex­ploa­tă­rii aces­to­ra. Ar­ti­co­le­le 8–17 sta­bi­lesc ce­rin­țe pri­vind ma­na­ge­men­tul ris­cu­ri­lor, da­te­le și gu­ver­nan­ța da­te­lor, do­cu­men­ta­ția teh­ni­că, păs­tra­rea evi­den­țe­lor, trans­pa­ren­ța, su­pra­ve­ghe­rea umană, acu­ra­te­țea, ro­bus­te­țea, se­cu­ri­ta­tea ci­ber­ne­ti­că și ma­na­ge­men­tul ca­li­tă­ții [1], [2].

Prin­ci­pa­le­le ce­rin­țe in­clud:

• Ma­na­ge­men­tul ris­cu­ri­lor (ar­ti­co­lul 9). Fur­ni­zo­rii tre­bu­ie să in­sti­tu­ie și să men­ți­nă un sis­tem de ma­na­ge­ment al ris­cu­ri­lor pen­tru iden­ti­fi­ca­rea, eva­lu­a­rea și tra­ta­rea ris­cu­ri­lor pen­tru să­nă­ta­te, si­gu­ran­ță și drep­tu­ri­le fun­damen­ta­le pe în­tre­gul ciclu de viață al sis­te­mu­lui IA. Ma­na­ge­men­tul ris­cu­ri­lor pre­su­pu­ne și eva­lu­a­rea efi­ca­ci­tă­ții mă­su­ri­lor de ate­nu­a­re și abor­da­rea ris­cu­ri­lor re­le­van­te care apar în tim­pul dezvol­tă­rii și uti­li­ză­rii.

• Da­te­le și gu­ver­nan­ța da­te­lor (ar­ti­co­lul 10). Sis­te­me­le IA cu grad ri­di­cat de risc dezvol­ta­te fo­lo­sind teh­nici de an­tre­na­re a mo­de­le­lor tre­bu­ie să în­de­pli­neas­că ce­rin­țe pri­vind ca­li­ta­tea și ges­tio­na­rea se­tu­ri­lor de date de an­tre­na­re, va­li­da­re și tes­ta­re. Mă­su­ri­le re­le­van­te in­clud exa­mi­na­rea adec­vă­rii și re­pre­zen­ta­ti­vi­tă­ții se­tu­ri­lor de date, iden­ti­fi­ca­rea po­ten­ți­a­le­lor pre­ju­de­căți și tra­ta­rea pro­ble­me­lor de ca­li­ta­te a da­te­lor.

• Do­cu­men­ta­ția teh­ni­că și păs­tra­rea evi­den­țe­lor (ar­ti­co­le­le 11–12). Fur­ni­zo­rii tre­bu­ie să în­toc­meas­că și să ac­tu­a­li­ze­ze do­cu­men­ta­ția teh­ni­că pen­tru a de­mon­stra modul în care sis­te­mul IA în­de­pli­neș­te ce­rin­țe­le apli­ca­bi­le. Sis­te­me­le IA cu grad ri­di­cat de risc tre­bu­ie, de ase­me­nea, să per­mi­tă în­re­gis­tra­rea auto­ma­tă a eve­ni­men­te­lor pe în­tre­gul lor ciclu de viață, de­nu­mi­tă frec­vent jur­na­li­za­re (lo­gging), pen­tru a fa­ci­li­ta tra­sa­bi­li­ta­tea și mo­ni­to­ri­za­rea.

• Trans­pa­ren­ța și su­pra­ve­ghe­rea umană (ar­ti­co­le­le 13–14). Sis­te­me­le IA cu grad ri­di­cat de risc tre­bu­ie să fie su­fi­cient de trans­pa­ren­te pen­tru ca ope­ra­to­rii să le poată in­ter­pre­ta re­zul­ta­te­le și uti­li­za co­res­pun­ză­tor. Fur­ni­zo­rii tre­bu­ie să pună la dis­po­zi­ție in­struc­țiuni și in­for­ma­ții re­le­van­te des­pre ca­pa­ci­tă­ți­le și li­mi­te­le sis­te­mu­lui. În plus, sis­te­me­le tre­bu­ie pro­iec­ta­te ast­fel încât să per­mi­tă o su­pra­ve­ghe­re umană efi­ca­ce, in­clu­siv în­țe­le­ge­rea și mo­ni­to­ri­za­rea func­țio­nă­rii și, după caz, in­ter­ven­ția asu­pra aces­te­ia.

• Acu­ra­te­țea, ro­bus­te­țea și se­cu­ri­ta­tea ci­ber­ne­ti­că (ar­ti­co­lul 15). Sis­te­me­le IA cu grad ri­di­cat de risc tre­bu­ie să atingă nive­luri adec­va­te de acu­ra­te­țe, ro­bus­te­țe și se­cu­ri­ta­te ci­ber­ne­ti­că pe în­tre­gul ciclu de viață. Mă­su­ri­le re­le­van­te in­clud tes­ta­rea per­for­man­ței sis­te­mu­lui, abor­da­rea ero­ri­lor și de­fec­țiu­ni­lor pre­vi­zi­bi­le în mod re­zo­na­bil și pro­te­ja­rea îm­po­tri­va în­cer­că­ri­lor de ma­ni­pu­la­re a com­por­ta­men­tu­lui sis­te­mu­lui sau de com­pro­mi­te­re a se­cu­ri­tă­ții sale.

• Ma­na­ge­men­tul ca­li­tă­ții (ar­ti­co­lul 17). Fur­ni­zo­rii tre­bu­ie să in­sti­tu­ie un sis­tem de ma­na­ge­ment al ca­li­tă­ții care să aco­pe­re pro­ce­du­ri­le și res­pon­sa­bi­li­tă­ți­le ne­ce­sa­re con­for­mi­tă­ții cu re­gle­men­ta­rea. Aces­ta in­clu­de, prin­tre al­te­le, mă­suri pri­vind pro­iec­ta­rea și dezvol­ta­rea, tes­ta­rea, do­cu­men­ta­rea, ma­na­ge­men­tul ris­cu­ri­lor și mo­ni­to­ri­za­rea ul­te­ri­oa­ră in­tro­du­ce­rii pe piață [1].

Pe lângă ce­rin­țe­le pri­vind pro­iec­ta­rea, dezvol­ta­rea și ope­ra­rea sis­te­me­lor IA cu grad ri­di­cat de risc, AI Act sta­bi­leș­te obli­ga­ții su­pli­men­ta­re pen­tru fur­ni­zo­rii aces­to­ra. În spe­cial, fur­ni­zo­rii tre­bu­ie să păs­tre­ze do­cu­men­ta­ția teh­ni­că pen­tru pe­ri­oa­da apli­ca­bi­lă, de re­gu­lă zece ani con­form ar­ti­co­lu­lui 18, și să păs­tre­ze jur­na­le­le ge­ne­ra­te auto­mat afla­te sub con­tro­lul lor timp de cel puțin șase luni, cu ex­cep­ția ca­zu­lui în care le­gi­sla­ția apli­ca­bi­lă pre­ve­de alt­fel (ar­ti­co­lul 19). Fur­ni­zo­rii tre­bu­ie, de ase­me­nea, să ia mă­suri co­rec­ti­ve în caz de ne­con­for­mi­ta­te (ar­ti­co­lul 20), să co­o­pe­re­ze cu au­to­ri­tă­ți­le com­pe­ten­te prin fur­ni­za­rea in­for­ma­ți­i­lor și do­cu­men­te­lor re­le­van­te la ce­re­rea mo­ti­va­tă a aces­to­ra (ar­ti­co­lul 21) și, atunci când este ne­ce­sar, să de­sem­ne­ze un re­pre­zen­tant au­to­ri­zat în Uniu­ne (ar­ti­co­lul 22). Alte obli­ga­ții se re­fe­ră la eva­lu­a­rea con­for­mi­tă­ții, de­cla­ra­ți­i­le de con­for­mi­ta­te, mar­ca­jul CE, în­re­gis­tra­re, mo­ni­to­ri­za­rea ul­te­ri­oa­ră in­tro­du­ce­rii pe piață și ra­por­ta­rea in­ci­den­te­lor grave [1], [2].

Pro­vo­că­ri­le im­ple­men­tă­rii ce­rin­țe­lor pen­tru sis­te­me­le IA cu grad ri­di­cat de risc

Deși AI Act sta­bi­leș­te ce­rin­țe pen­tru sis­te­me­le IA cu grad ri­di­cat de risc, transpu­ne­rea lor în mă­suri teh­ni­ce și pro­ce­se or­ga­ni­zațio­na­le poate pre­zen­ta di­fi­cul­tăți sem­ni­fi­ca­ti­ve. Unele pro­vo­cări re­zul­tă di­rect din ce­rin­țe in­di­vi­du­a­le, cum ar fi iden­ti­fi­ca­rea și ate­nu­a­rea pre­ju­de­că­ți­lor din da­te­le de an­tre­na­re sau eva­lu­a­rea ro­bus­te­ții unui sis­tem IA. Al­te­le pri­vesc ac­ti­vi­tăți care sus­țin si­mul­tan mai multe ce­rin­țe, in­clu­siv do­cu­men­ta­rea, mo­ni­to­ri­za­rea și men­ți­ne­rea con­for­mi­tă­ții pe în­tre­gul ciclu de viață al sis­te­mu­lui. Am­ploa­rea aces­tor di­fi­cul­tăți de­pin­de, de ase­me­nea, de ca­pa­ci­tă­ți­le teh­ni­ce ale or­ga­ni­za­ți­ei, de pro­ce­se­le exis­ten­te și de ex­pe­rien­ța sa în do­me­ni­ul re­gle­men­tă­ri­lor [3].

Cum vă poate ajuta Kla­de­ro

Im­ple­men­ta­rea ce­rin­țe­lor AI Act pen­tru sis­te­me­le IA cu grad ri­di­cat de risc ne­ce­si­tă atât ex­per­ti­ză teh­ni­că, cât și pro­ce­se care sus­țin con­for­mi­ta­tea pe în­tre­gul ciclu de viață al sis­te­me­lor IA. La Kla­de­ro, aju­tăm or­ga­ni­za­ți­i­le să abor­de­ze aces­te pro­vo­cări prin com­bi­na­rea ca­pa­ci­tă­ți­lor de dezvol­ta­re IA cu ex­per­ti­za în gu­ver­nan­ța IA și ce­rin­țe­le de re­gle­men­ta­re.

Pen­tru pro­vo­că­ri­le teh­ni­ce spe­ci­fi­ce anu­mi­tor ce­rin­țe, spri­ji­nim or­ga­ni­za­ți­i­le să sta­bi­leas­că prac­tici de gu­ver­nan­ță a da­te­lor, să eva­lu­e­ze ca­li­ta­tea da­te­lor și po­si­bi­le­le pre­ju­de­căți și să dezvol­te me­to­de adec­va­te de eva­lu­a­re a acu­ra­te­ței și ro­bus­te­ții sis­te­me­lor IA. De ase­me­nea, aju­tăm or­ga­ni­za­ți­i­le să ana­li­ze­ze ca­pa­ci­tă­ți­le și li­mi­te­le sis­te­me­lor lor IA și să sta­bi­leas­că modul în care in­for­ma­ți­i­le re­le­van­te pot fi co­mu­ni­ca­te uti­li­za­to­ri­lor și altor părți in­te­re­sa­te. În spe­cial, va­lo­ri­fi­căm ex­pe­rien­ța dobândită prin dezvol­ta­rea vera[tag], so­lu­ția noas­tră de iden­ti­fi­ca­re și eti­che­ta­re a con­ți­nu­tu­lui ge­ne­rat de IA, pen­tru a spri­jini dezvol­ta­rea unor mă­suri adec­va­te de trans­pa­ren­ță și in­for­ma­re.

Pen­tru a abor­da pro­vo­că­ri­le transver­sa­le ale im­ple­men­tă­rii, spri­ji­nim in­te­gra­rea ma­na­ge­men­tu­lui ris­cu­ri­lor, do­cu­men­ta­ți­ei teh­ni­ce, mo­ni­to­ri­ză­rii și ac­ti­vi­tă­ți­lor de eva­lu­a­re în flu­xu­ri­le de dezvol­ta­re exis­ten­te. În func­ție de sis­tem și de me­di­ul său de im­ple­men­ta­re, acest lucru poate pre­su­pu­ne dezvol­ta­rea flu­xu­ri­lor de pre­lu­cra­re a da­te­lor, im­ple­men­ta­rea in­fras­truc­tu­rii teh­ni­ce pen­tru co­lec­ta­rea in­for­ma­ți­i­lor ope­ra­țio­na­le sau sta­bi­li­rea unor pro­ce­duri de do­cu­men­ta­re a mo­di­fi­că­ri­lor mo­de­le­lor și a re­zul­ta­te­lor eva­luă­rii.

De­o­a­re­ce efor­tu­ri­le de con­for­ma­re de­pind și de ca­pa­ci­tă­ți­le or­ga­ni­zațio­na­le, ofe­rim con­sul­tan­ță în gu­ver­nan­ța IA și for­ma­re pro­fe­sio­na­lă pen­tru a ajuta or­ga­ni­za­ți­i­le să își eva­lu­e­ze prac­ti­ci­le exis­ten­te, să iden­ti­fi­ce la­cu­ne­le și să sta­bi­leas­că res­pon­sa­bi­li­tăți și pro­ce­duri adec­va­te. Abor­da­rea noas­tră ține cont de ma­tu­ri­ta­tea or­ga­ni­za­ți­ei în do­me­ni­ul IA, de me­di­ul său de re­gle­men­ta­re și de re­sur­se­le dis­po­ni­bi­le.

Con­clu­zii

În aceas­tă pos­ta­re am ana­li­zat pro­vo­că­ri­le prac­ti­ce ale im­ple­men­tă­rii ce­rin­țe­lor AI Act pen­tru sis­te­me­le IA cu grad ri­di­cat de risc. Am dis­cu­tat di­fi­cul­tă­ți­le teh­ni­ce pri­vind gu­ver­nan­ța da­te­lor, acu­ra­te­țea, ro­bus­te­țea, se­cu­ri­ta­tea ci­ber­ne­ti­că și trans­pa­ren­ța, pre­cum și pro­vo­că­ri­le transver­sa­le le­ga­te de do­cu­men­ta­re, mo­ni­to­ri­za­re și in­te­gra­rea mă­su­ri­lor de con­for­mi­ta­te în pro­ce­se­le de dezvol­ta­re. Am ana­li­zat, de ase­me­nea, modul în care ma­tu­ri­ta­tea unei or­ga­ni­za­ții în do­me­ni­ul IA, ex­pe­rien­ța în ma­te­rie de re­gle­men­ta­re și re­sur­se­le dis­po­ni­bi­le in­flu­en­țea­ză ca­pa­ci­ta­tea aces­te­ia de a abor­da pro­vo­că­ri­le.

După cum arată dis­cu­ția, în­țe­le­ge­rea ce­rin­țe­lor de re­gle­men­ta­re este doar punc­tul de ple­ca­re. Sar­ci­na mai di­fi­ci­lă este ade­sea transpu­ne­rea lor în so­lu­ții teh­ni­ce fi­a­bi­le și pro­ce­se care rămân efi­ca­ce pe mă­su­ră ce sis­te­me­le IA evo­lu­ea­ză. Deși acest lucru poate pre­su­pu­ne un efort con­si­de­ra­bil, prac­ti­ci­le de dezvol­ta­re exis­ten­te și ex­pe­rien­ța or­ga­ni­zațio­na­lă pot oferi o bază utilă. În final, am pre­zen­tat modul în care Kla­de­ro poate sus­ți­ne aces­te efor­turi prin dezvol­ta­re IA, con­sul­tan­ță în gu­ver­nan­ță și for­ma­re pro­fe­sio­na­lă.

Urmăriți-​ne pen­tru noi ar­ti­co­le des­pre re­gle­men­ta­rea IA, gu­ver­nan­ță și abor­dări prac­ti­ce ale con­for­mi­tă­ții cu ce­rin­țe­le le­ga­le.

Bi­bli­o­gra­fie