Regulamentul european privind AI (AI Act) pe scurt

Regulamentul european privind inteligența artificială, cunoscut sub numele englezesc AI Act, este primul set cuprinzător de reguli dedicat inteligenței artificiale adoptat la nivelul Uniunii Europene. Oficial, este Regulamentul (UE) 2024/1689 și, fiind regulament, se aplică direct în toate statele membre, inclusiv în România, fără să mai fie nevoie de o lege națională care să-l preia.

Logica lui este simplă: cu cât un sistem de AI poate face mai mult rău oamenilor, cu atât regulile sunt mai stricte. În rândurile de mai jos afli cum sunt împărțite sistemele pe niveluri de risc, ce practici sunt interzise, ce trebuie să facă firmele care dezvoltă sau folosesc AI și ce drepturi ai tu ca persoană afectată de o decizie automată.

Important: Articolul are caracter informativ general și nu reprezintă consultanță juridică. Legislația, ghidurile de aplicare și calendarul se pot modifica; pentru o situație concretă, consultă un avocat specializat sau autoritatea competentă și verifică textul oficial, în versiunea consolidată, în Jurnalul Oficial al Uniunii Europene.

Ce este AI Act și pe cine privește

AI Act este un regulament de siguranță a produselor adaptat inteligenței artificiale: stabilește condițiile în care un sistem de AI poate fi pus pe piață sau folosit în Uniune. Se aplică atât firmelor europene, cât și celor din afara Uniunii, dacă sistemele lor sunt folosite aici sau dacă rezultatele lor produc efecte aici.

Rolurile din regulament

Regulamentul împarte responsabilitatea între mai mulți actori:

• furnizorul (provider): cel care dezvoltă un sistem de AI și îl pune pe piață sub numele său;
• implementatorul (deployer): firma sau instituția care folosește un sistem de AI în activitatea profesională, de pildă o bancă, un spital sau o primărie;
• importatorul și distribuitorul: cei care aduc sau vând sisteme dezvoltate de alții;
• persoanele afectate: oamenii asupra cărora se aplică rezultatele sistemului.

Folosirea AI de către persoane fizice în scop strict personal, nonprofesional, nu intră sub obligațiile implementatorilor. Sunt exceptate și sistemele folosite exclusiv în scopuri militare, de apărare sau de securitate națională, precum și cele dezvoltate doar pentru cercetare științifică.

Ce înseamnă „sistem de AI” în regulament

Definiția este largă: un sistem bazat pe o mașină, care funcționează cu un anumit grad de autonomie și deduce din datele primite cum să genereze rezultate precum predicții, conținut, recomandări sau decizii. Un program clasic care aplică doar reguli scrise integral de om nu intră, de regulă, în definiție. Diferența dintre aceste două abordări este explicată în Învățarea automată (machine learning) explicată simplu.

Abordarea bazată pe risc: cele patru niveluri

Esența regulamentului este clasificarea sistemelor de AI în funcție de riscul pe care îl prezintă pentru sănătate, siguranță și drepturile fundamentale. Fiecare nivel are alt regim juridic.

Majoritatea aplicațiilor de AI folosite azi se află în ultima categorie și nu primesc obligații suplimentare. Regulamentul se concentrează pe situațiile în care o eroare sau un abuz poate afecta grav viața oamenilor.

Practicile interzise

Practicile interzise sunt utilizările de AI considerate incompatibile cu valorile Uniunii, indiferent de cât de bine ar funcționa tehnic. Lista include, în esență:

1. manipularea subliminală sau înșelătoare care denaturează comportamentul unei persoane și îi poate produce un prejudiciu semnificativ;
2. exploatarea vulnerabilităților legate de vârstă, dizabilitate sau situație socială ori economică;
3. scorul social: evaluarea sau clasificarea oamenilor după comportamentul social ori trăsăturile personale, cu tratament defavorabil nejustificat;
4. evaluarea riscului de a comite infracțiuni bazată exclusiv pe profilare sau pe trăsături de personalitate;
5. colectarea nețintită de imagini faciale de pe internet sau din camere de supraveghere pentru a construi baze de date de recunoaștere facială;
6. recunoașterea emoțiilor la locul de muncă și în instituțiile de învățământ, cu excepții pentru motive medicale sau de siguranță;
7. clasificarea biometrică care deduce rasa, opiniile politice, apartenența sindicală, convingerile religioase sau orientarea sexuală;
8. identificarea biometrică la distanță în timp real în spații publice, în scopul aplicării legii, cu excepții strict delimitate și cu autorizare prealabilă.

Atenție: Interdicțiile nu depind de bunele intenții declarate. Un sistem care exploatează vulnerabilitățile copiilor pentru a-i împinge spre cumpărături riscante este interzis, chiar dacă furnizorul îl prezintă drept „personalizare”.

Sistemele cu risc ridicat

Sistemele cu risc ridicat sunt cele care pot influența semnificativ siguranța sau drepturile oamenilor; ele sunt permise, dar numai dacă respectă un set de cerințe verificabile înainte și după punerea pe piață.

Unde se găsesc

Regulamentul definește două mari categorii. Prima cuprinde AI folosită drept componentă de siguranță în produse deja reglementate la nivel european, cum ar fi dispozitivele medicale, jucăriile, ascensoarele sau utilajele. A doua cuprinde domenii enumerate explicit:

• identificarea și clasificarea biometrică, acolo unde este permisă;
• infrastructura critică: apă, gaz, electricitate, trafic rutier;
• educația: admitere, evaluarea elevilor, detectarea copiatului;
• ocuparea forței de muncă: selecția CV-urilor, promovări, monitorizarea angajaților;
• accesul la servicii esențiale: scoruri de credit, beneficii sociale, prioritizarea apelurilor de urgență, evaluarea riscului la asigurările de viață și de sănătate;
• aplicarea legii, migrația și controlul frontierelor;
• administrarea justiției și procesele democratice.

Ce obligații au furnizorii

Ce obligații au cei care le folosesc

Firmele și instituțiile care folosesc sisteme cu risc ridicat trebuie să le utilizeze conform instrucțiunilor, să desemneze persoane competente pentru supraveghere, să păstreze jurnalele generate și să-și informeze angajații când sunt evaluați cu astfel de sisteme. Organismele publice și anumite entități private care oferă servicii publice trebuie să facă și o evaluare a impactului asupra drepturilor fundamentale înainte de folosire.

Cerințele privind calitatea datelor răspund direct problemei prejudecăților moștenite din datele istorice, discutată în ghidul complet despre inteligența artificială.

Obligațiile de transparență

Obligațiile de transparență se aplică sistemelor cu risc limitat și au un scop simplu: să știi când ai de-a face cu o mașină sau cu un conținut creat artificial. Ele privesc atât furnizorii, cât și pe cei care publică acest conținut.

• chatboții și asistenții trebuie să te informeze că vorbești cu un sistem de AI, dacă nu este evident din context;
• conținutul sintetic (imagini, sunet, video, text) generat de AI trebuie marcat într-un format care poate fi detectat automat;
• deepfake-urile trebuie semnalate ca fiind generate sau manipulate artificial de cel care le publică, cu adaptări pentru operele evident artistice sau satirice;
• textele generate publicate pentru a informa publicul despre subiecte de interes public trebuie semnalate, cu excepția celor revizuite editorial de un om care își asumă răspunderea;
• sistemele de recunoaștere a emoțiilor și de clasificare biometrică, acolo unde sunt permise, trebuie să informeze persoanele expuse.

Felul în care sunt create deepfake-urile și semnele după care le recunoști sunt explicate în Deepfake-urile: cum sunt create și cum le recunoști, iar mecanismul tehnic al imaginilor generate în Generarea de imagini cu AI: cum funcționează difuzia.

Modelele de AI de uz general

Modelele de uz general, cum sunt marile modele de limbaj care pot fi folosite pentru mii de sarcini diferite, au un capitol separat în regulament, pentru că nu pot fi încadrate după o singură utilizare. Funcționarea lor este descrisă în Modelele de limbaj mari (LLM): cum generează text.

Toți furnizorii acestor modele trebuie să:

• întocmească documentație tehnică și să o pună la dispoziția firmelor care integrează modelul;
• aibă o politică de respectare a dreptului de autor european;
• publice un rezumat suficient de detaliat al conținutului folosit la antrenare.

Modelele considerate cu risc sistemic, adică cele mai puternice, identificate după puterea de calcul folosită la antrenare sau prin decizie a Comisiei Europene, au obligații suplimentare: evaluări și teste de rezistență, raportarea incidentelor grave și măsuri de securitate cibernetică. Supravegherea lor este coordonată de Oficiul european pentru AI, din cadrul Comisiei.

Calendarul de aplicare

Regulamentul a intrat în vigoare la 1 august 2024, dar obligațiile se aplică eșalonat, ca firmele și autoritățile să aibă timp să se pregătească. Calendarul stabilit inițial prin textul regulamentului este următorul:

Instituțiile europene pot ajusta prin acte ulterioare anumite termene și detalii de aplicare, iar Comisia publică ghiduri și standarde care precizează cerințele. Înainte de orice decizie, verifică versiunea actualizată a textului și ghidurile oficiale.

Alfabetizarea în domeniul AI

O obligație mai puțin cunoscută, dar cu efect larg, este cea de alfabetizare în domeniul AI: furnizorii și implementatorii trebuie să ia măsuri ca personalul care lucrează cu sisteme de AI să aibă cunoștințe suficiente despre ele, potrivite contextului. În practică, firmele organizează instruiri despre funcționare, limite și riscuri, inclusiv despre informațiile inventate de modele, descrise în Halucinațiile AI: de ce inventează uneori modelele.

Sancțiunile și supravegherea

Încălcarea regulamentului poate fi sancționată cu amenzi foarte mari, calculate fie ca sumă fixă, fie ca procent din cifra de afaceri anuală globală a firmei, după care valoare este mai mare. Pentru întreprinderile mici și mijlocii se aplică, de regulă, valoarea mai mică dintre cele două.

Aplicarea la nivel național este asigurată de autoritățile de supraveghere a pieței desemnate de fiecare stat membru, iar coordonarea europeană de Oficiul pentru AI și de un comitet al statelor membre. Când sistemul prelucrează date personale, rămân valabile și regulile GDPR, a căror aplicare în România este supravegheată de ANSPDCP.

Ce drepturi ai tu ca cetățean

Ca persoană afectată de un sistem de AI, regulamentul îți oferă câteva drepturi concrete, care se adaugă celor din legislația privind protecția datelor și protecția consumatorilor.

1. Dreptul de a ști că vorbești cu un chatbot sau că un conținut este generat artificial.
2. Dreptul la explicație: dacă o decizie bazată pe un sistem cu risc ridicat produce efecte juridice sau te afectează semnificativ, de exemplu refuzul unui credit, poți cere implementatorului o explicație clară despre rolul sistemului și elementele principale ale deciziei.
3. Dreptul de a depune o plângere la autoritatea de supraveghere a pieței, dacă apreciezi că regulamentul a fost încălcat.
4. Drepturile din GDPR: acces la datele tale, rectificare, ștergere și, în anumite condiții, dreptul de a nu fi supus unei decizii bazate exclusiv pe prelucrare automată.

Sfat: Dacă primești un refuz de la o bancă, un angajator sau o instituție și bănuiești că decizia a fost luată de un sistem automat, cere în scris informații despre felul în care s-a ajuns la ea. Păstrează copii după cerere și după răspuns.

Pentru partea de protecție a contului și a datelor tale în relația cu serviciile online, vezi și Securitatea online: ghid complet pentru utilizatori obișnuiți. Exemple concrete de sisteme pe care le întâlnești zilnic găsești în Inteligența artificială în viața de zi cu zi: exemple concrete.

Esențialul despre AI Act, adunat

AI Act reglementează inteligența artificială după riscul pe care îl prezintă: interzice câteva practici considerate inacceptabile, impune cerințe stricte pentru sistemele folosite în domenii sensibile, cere transparență pentru chatboți și conținut generat și lasă libere aplicațiile cu risc minim. Se aplică direct în România, eșalonat, iar respectarea lui este verificată de autorități naționale și europene, cu amenzi proporționale cu mărimea firmei.

De reținut:

• regulamentul se aplică direct, fără lege națională de transpunere;
• scorul social și manipularea care exploatează vulnerabilități sunt interzise;
• AI la angajare, creditare sau educație are obligații stricte;
• chatboții și deepfake-urile trebuie semnalate;
• ai dreptul la explicații și la plângere când o decizie automată te afectează.