EL-i tehisintellekti reguleerimise seadus ja vajalikud meetmed Jaapani ettevõtete jaoks

12. juulil 2024 (Reiwa 6) avaldati Euroopa Liidus “AI regulatsiooniseadus (EU AI Act)”, mis jõustus 1. augustil samal aastal.
See seadus reguleerib AI-süsteemide kasutamist ja pakkumist ELi territooriumil ning alates 2025. aastast nõuab see ka Jaapani ettevõtetelt teatud vastavusmeetmeid.

Konkreetselt, sarnaselt juhtudele, kus Jaapani e-kaubanduse veebilehtede haldajad peavad järgima ELi “Üldist Andmekaitse Määrust (GDPR)”, võivad ka Jaapani ettevõtted, mis pakuvad AI-ga seotud tooteid või teenuseid ELi territooriumil asuvatele klientidele, kuuluda EU AI regulatsiooniseaduse alla.

Siin selgitame, milliseid nõudeid AI-süsteemide riskiklassifikatsioonile ja vastavushindamisele seaduse jõustumisega seoses ettevõtjatelt oodatakse.

Eeldus: Mis vahe on EL-i “määrustel” ja “direktiividel”?

Enne AI regulatsiooni seaduse enda selgitamist on vaja mõista EL-i õiguses “määruste” ja “direktiivide” erinevust eeldusena.

Esiteks, “määrused” on õigusaktid, mis rakenduvad otse kõigile EL-i liikmesriikidele, ettevõtetele jne. Selle tulemusena rakendatakse neid EL-i liikmesriikide siseriiklikust õigusest eelistatumalt ja kogu EL-i territooriumil kehtivad ühtlustatud reeglid. Seega, kui määrus jõustub, rakendatakse EL-i liikmesriikides ühtset reguleerimissisu.

Teisalt, “direktiivid” on õigusaktid, mille eesmärk on reguleerimissisu kooskõlastamine ja ühtlustamine EL-i liikmesriikide vahel. Siiski ei rakendu direktiivid põhimõtteliselt otse liikmesriikidele, vaid iga riik peab direktiivis sätestatud sisu oma siseriiklikku õigusesse üle kandma. Tavaliselt peavad liikmesriigid direktiivi EL-i ametlikus väljaandes avaldamisest kolme aasta jooksul oma siseriiklikku õigust looma või muutma.

“Direktiivide” eripäraks on see, et siseriiklikku õigusesse ülevõtmisel antakse liikmesriikidele teatud määral kaalutlusõigust, mistõttu võivad riikide õigusaktide sisus esineda erinevused. See tähendab, et direktiivide alusel loodud õigusaktid ei ole EL-i territooriumil täielikult ühtlustatud ja riigiti võivad esineda teatud erinevused, mida tuleb arvestada.

Selle eristuse põhjal on AI regulatsiooni seadus loodud “määrusena”. See tähendab, et AI regulatsiooni seadus rakendub otseselt EL-i territooriumil asuvatele ettevõtjatele.

Seotud artikkel: Ettevõtetele, kes laiendavad tegevust Euroopasse: EL-i õiguse ja õigussüsteemi põhipunktid selgitatud[ja]

AI regulatsioonide välismõju Jaapanis

Mis on välismõju?

“Välismõju” tähendab olukorda, kus ühe riigi kehtestatud seadused rakenduvad ka väljaspool selle riigi suveräänsust omavat territooriumi toimuvatele tegevustele. Välismõju tunnustamine põhineb majanduse globaliseerumisel ja ettevõtluse rahvusvahelistumisel, eesmärgiga tagada maailma majandustegevuse õiglane ja korrektne toimimine.

Selle kontseptsiooni laialdase tunnustamise üheks näiteks on GDPR (Euroopa Liidu üldine andmekaitsemäärus). GDPRi kohaselt võivad isegi väljaspool ELi asuvad ettevõtjad kuuluda määruse alla (välismõju), kui nad vastavad järgmistele nõuetele:

• ELi territooriumil asuvatele isikutele teenuste või kaupade pakkumine
• ELi territooriumil asuvate isikute käitumise jälgimine isikuandmete töötlemise eesmärgil

Näiteks, kui ELi väline ettevõte saadab töötajad ELi komandeeringusse ja töötleb sel perioodil seotud isikuandmeid, siis 2020. aasta juhendis märgiti see “mittekohaldatavaks”, kuigi algselt arutati välismõju rakendamist.

AI regulatsioonide välismõju Jaapanis

ELi AI regulatsioonides tunnustatakse samuti välismõju ELi välistele ettevõtjatele. Järgmised ettevõtjad ja tegevused kuuluvad selle alla:

• Pakkujad (Providers): Isikud, kes arendavad AI süsteeme või GPAI mudeleid, toovad need turule või käivitavad AI süsteeme oma nime või kaubamärgi all
• Kasutajad (Users): Isikud, kes kasutavad AI süsteeme oma volituste alusel (välja arvatud isiklikul ja mitteprofessionaalsel eesmärgil kasutamine)
• Importijad (Importers): ELi välistest isikutest või juriidilistest isikutest koosnevad importijad, kes toovad AI süsteeme ELi turule
• Müüjad (Distributors): Pakkujatest ja importijatest erinevad isikud või juriidilised isikud, kes kuuluvad tarneahelasse ja pakuvad AI süsteeme ELi turul

Nagu eelpool mainitud, kuuluvad ELi välistest riikidest pärit ettevõtjad, kes pakuvad, käitavad, impordivad või kasutavad AI süsteeme või GPAI mudeleid ELi territooriumil, otseselt ELi AI regulatsioonide alla.

EL-i tehisintellekti reguleerimise seaduse tunnusjooned: riskipõhine lähenemine

Mis on riskipõhine lähenemine?

EL-i tehisintellekti reguleeriva õigusakti peamine eripära on “regulatsioon, mis põhineb riski olemusel ja tasemel” (riskipõhine lähenemine).

Riskipõhine lähenemine viitab meetodile, kus regulatsiooni tugevust kohandatakse vastavalt riski olemusele ja tasemele. Selle lähenemise kohaselt määratakse tehisintellekti süsteemidele kohaldatava regulatsiooni rangus vastavalt riskide tõsidusele, mida süsteemid võivad põhjustada.

Konkreetselt tähendab see, et kõrge riskitasemega tehisintellekti süsteemidele rakendatakse rangemaid regulatsioone, samas kui madalama riskitasemega süsteemidele kehtivad suhteliselt leebemad regulatsioonid. See võimaldab vältida liigset regulatsiooni madala riskiga süsteemidele ja samal ajal tagada kõrge riskiga süsteemidele asjakohane järelevalve ja haldamine.

AI-süsteemid, mis kujutavad endast lubamatut riski

Esiteks peetakse lubamatuks riskiks AI-süsteeme, mis kujutavad endast ohtu inimestele ja on põhimõtteliselt keelatud.

Näiteks kuuluvad siia AI-süsteemid, mis manipuleerivad teatud haavatavate rühmade, nagu laste, kognitiivseid võimeid või käitumist, näiteks hääleaktiveerimisega mänguasjad, mis soodustavad laste ohtlikku käitumist. Samuti on keelatud sotsiaalsed skoorisüsteemid, mis klassifitseerivad inimesi nende käitumise, sotsiaalmajandusliku staatuse või isiklike omaduste põhjal. Lisaks on põhimõtteliselt keelatud “reaalajas ja kaug-biomeetrilised tuvastussüsteemid”, mis kasutavad näotuvastustehnoloogiat või muid vahendeid inimeste biomeetriliste andmete võrdlemiseks andmebaasiga, et tuvastada isikuid kaugelt.

Siiski on määratletud erandeid, mis lubavad nende süsteemide kasutamist teatud tingimustel. Näiteks on reaalajas kaug-biomeetrilise tuvastuse süsteemide kasutamine lubatud ainult piiratud arvu tõsiste juhtumite puhul. Teisalt on tagantjärele kaug-biomeetrilise tuvastuse süsteemide kasutamine lubatud ainult kohtu loal ja seda eesmärgiga süüdistada tõsistes kuritegudes.

Lisaks on erandlikult lubatud kasutada AI-süsteeme sellistel juhtudel nagu kadunud laste või võimalike kuriteoohvrite otsimine, konkreetsete ja vahetute ohtude või terrorirünnakute ärahoidmine inimeste elule või tervisele ning tõsiste kuritegude toimepanijate või kahtlusaluste tuvastamine ja asukoha kindlakstegemine. Nendele eranditele on kehtestatud ranged piirangud, sealhulgas kohtu eelnev nõusolek, mis nõuab AI-süsteemide kasutamisel ettevaatlikku käsitlust.

Kõrge riskiga AI-süsteemid Jaapanis

Järgnevalt käsitleme kõrge riskiga AI-süsteeme, mis võivad potentsiaalselt avaldada negatiivset mõju ohutusele või põhiõigustele. Nende kasutamine on lubatud tingimusel, et nad vastavad teatud nõuetele ja kohustustele (sobivushindamine).

Kõrge riskiga AI-süsteemid jagunevad kaheks suureks kategooriaks. Esiteks, need AI-süsteemid, mida kasutatakse toodetes, mis kuuluvad ELi tooteohutuse seaduse alla, näiteks mänguasjad, lennundus, autotööstus, meditsiiniseadmed, tõstukid jne. Teiseks, need AI-süsteemid, mis kuuluvad teatud valdkondadesse, mille registreerimine ELi andmebaasis on kohustuslik. Nendeks valdkondadeks on olulise infrastruktuuri haldamine ja käitamine, haridus ja kutseõpe, tööhõive ja töötajate haldamine, juurdepääs hädavajalikele avalikele teenustele ja hüvedele, õiguskaitse, immigratsioon ja varjupaik, piirihaldus, õiguse tõlgendamine ja rakendamise toetamine.

Kõrge riskiga AI-süsteemide puhul nõutakse hindamist enne turule toomist ja kogu elutsükli vältel. Lisaks on ette nähtud õigus esitada kaebusi AI-süsteemide kohta määratud riiklikele asutustele.

Üldiselt võib öelda, et kõrge riskiga AI hõlmab masinaid ja sõidukeid, mille puhul on eelduseks inimese elu ja füüsilise tervise turvalisus. Näiteks võib ka isejuhtiv AI kuuluda kõrge riskiga AI hulka, seega kui Jaapani ettevõtted arendavad isejuhtivat AI-d ja soovivad seda rahvusvaheliselt turustada, peavad nad hoolikalt kaaluma, kas see vastab kõrge riskiga AI nõuetele, ja vastavalt sellele tegutsema.

Piiratud riskiga AI-süsteemid Jaapanis

Jaapanis piiratud riskiga AI-süsteemide puhul on tuvastatud läbipaistvusriske ning identiteedivarguse, manipuleerimise ja pettuse riske. Konkreetselt hõlmavad need chatbot’id, deepfake’id ja generatiivseid AI-sid, millest Euroopa Parlamendi hinnangul kuulub suurem osa praegu kasutusel olevatest AI-süsteemidest sellesse kategooriasse. Näiteks kuuluvad siia automaattõlkesüsteemid, mängukonsoolid, korduvaid tootmisprotsesse sooritavad robotid ning isegi sellised AI-süsteemid nagu “Eureka masin”.

Generatiivse AI puhul, kuigi see ei klassifitseeru kõrge riskiga kategooriasse, nõutakse läbipaistvuse nõuete täitmist ja vastavust EL-i autoriõiguse seadusele. Konkreetselt on vajalikud järgmised meetmed:

• Sisu on selgelt märgistatud kui AI poolt loodud
• Disainida mudelid nii, et need ei looks ebaseaduslikku sisu
• Avalikustada kokkuvõte autoriõigusega kaitstud andmetest, mida on kasutatud AI treenimiseks

Lisaks peavad sellised kõrgelt mõjukad ja laiaulatuslikud üldotstarbelised AI-mudelid nagu “GPT-4” läbima põhjaliku hindamise, kuna need võivad kaasa tuua süsteemseid riske. Samuti on oluline, et tõsiste intsidentide korral tuleb need raporteerida Euroopa Komisjonile. Lisaks tuleb AI abil loodud või muudetud sisu (pildid, helifailid, videod, deepfake’id jne) selgelt märgistada kui AI poolt loodud, et kasutajad saaksid sisu ära tunda ja sellest aru saada.

Minimaalse riskiga AI-süsteemid Jaapani õiguse kohaselt

Lõpetuseks, minimaalse riskiga AI-süsteemide puhul, nagu näiteks rämpspostifiltrid ja soovitussüsteemid, ei ole Jaapanis kehtestatud erilisi regulatsioone. Selles kategoorias eelistatakse regulatsioonide asemel käitumisjuhiste väljatöötamist ja nende järgimist.

Nõuded ja kohustused kõrge riskiga AI-süsteemidele Jaapanis

Kohustused pakkujatele, kasutajatele, importijatele ja müüjatele

Eeltoodud eristuste põhjal on kõrge riskiga AI-süsteemidele kehtestatud eriti ranged reguleerimised nende riski tõsiduse tõttu, ja pakkujatele ning kasutajatele on seatud konkreetseid kohustusi.

Esiteks, pakkujad, kasutajad, importijad ja müüjad peavad looma riskijuhtimissüsteemi (artikkel 9). See tähendab kõrge riskiga AI-süsteemidele omaste riskide tuvastamist, nende asjakohast haldamist ning süsteemi loomist, rakendamist ja dokumenteerimist. Andmehalduse osas (artikkel 10) nõutakse õppimiseks, valideerimiseks ja testimiseks mõeldud andmekogumite kasutamist, mis vastavad kvaliteedistandarditele. See on vajalik, kuna AI-süsteemide arendusetapis tuleb andmete kvaliteeti ja usaldusväärsust rangelt hallata.

Lisaks on kohustuslik luua tehniline dokumentatsioon (artikkel 11). See dokumentatsioon peab sisaldama teavet, mis tõendab, et kõrge riskiga AI-süsteem vastab reguleerivatele nõuetele, ja see peab olema ette valmistatud esitamiseks liikmesriikide pädevatele asutustele või kolmandate osapoolte sertifitseerimisasutustele. Samuti on vajalik kujundada ja arendada logifunktsioon, mis automaatselt registreerib AI-süsteemi töötamise ajal toimuvaid sündmusi (artikkel 12). Kõrge riskiga AI-süsteemid peavad enne turule toomist registreerima EL-i haldusalas olevasse andmebaasi, ja pakkujatel on kohustus luua ja dokumenteerida kvaliteedijuhtimissüsteem.

Pakkujate kohustused

Pakkujatel on kohustus säilitada tehniline dokumentatsioon ja kvaliteedijuhtimissüsteemi dokumentatsioon, kolmandate osapoolte sertifitseerimisasutuste heakskiidud ja otsused ning muud asjakohased dokumendid kümme aastat pärast turule toomist või kasutuselevõttu ning esitada need riigisiseste reguleerivate asutuste nõudmisel. Seega on pakkujatel vastutus säilitada AI-süsteemi kvaliteeti ja ohutust pikas perspektiivis ning tagada läbipaistvus.

Kasutajate kohustused

Teisalt on kasutajatele seatud konkreetseid kohustusi seoses kõrge riskiga AI-süsteemide kasutamisega. Kasutajad peavad säilitama AI-süsteemi poolt automaatselt genereeritud logisid, kui EL-i õigus või liikmesriigi õigus ei sätesta teisiti, sobiva aja jooksul vastavalt AI-süsteemi ettenähtud eesmärgile. Konkreetselt on nõutud vähemalt kuue kuu pikkust säilitamist.

Lisaks, kui töökohal võetakse kasutusele või kasutatakse kõrge riskiga AI-süsteemi, on tööandjana tegutseval kasutajal kohustus teavitada eelnevalt töötajate esindajaid ja mõjutatud töötajaid süsteemi kasutuselevõtust. See on kehtestatud töötajate õiguste kaitse ja läbipaistvuse tagamise eesmärgil.

Nii on kõrge riskiga AI-süsteemidele kehtestatud ranged nõuded ja kohustused nii pakkujatele kui ka kasutajatele. Eriti kui tegemist on keerukate AI-tehnoloogiatega nagu meditsiiniseadmed või autonoomsed sõidukid, võib olla vajalik läbi viia sobivuse hindamine ja kolmandate osapoolte sertifitseerimisasutuste läbivaatus, arvestades olemasolevate reguleerivate raamistikega, mistõttu peavad ettevõtjad olema ettevaatlikud ja planeerima oma tegevust hoolikalt.

AI regulatsioonide järkjärguline jõustumise ajakava Jaapanis

ELi AI regulatsioonid jõustuvad etapiviisiliselt alates väljakuulutamisest kuni rakendamiseni. See nõuab ettevõtjatelt igas etapis asjakohast ettevalmistust ja vastavust.

2024. aasta 12. juulil avaldati Jaapani ametlikus väljaandes AI regulatsioonid, mis jõustusid samal aastal 1. augustil. Selles etapis peavad ettevõtjad esmalt tutvuma regulatsioonide sisuga ja kaaluma nende mõju.

2025. aasta 2. veebruaril hakkavad kehtima sätted, mis puudutavad “üldpõhimõtteid” ja “lubamatute riskidega AI süsteeme”. Kui ettevõtja kasutab lubamatute riskidega AI süsteemi, peab ta selle kasutamise viivitamatult lõpetama.

Järgnevalt, 2025. aasta 2. mail avaldatakse üldkasutatavate AI (GPAI) mudelite pakkujatele mõeldud praktilised juhised (Codes of Practice). Ettevõtjad peavad neid juhiseid järgima.

Seejärel, 2025. aasta 2. augustil hakkavad kehtima sätted, mis puudutavad “GPAI mudeleid” ja “karistusi”, ning liikmesriigid nimetavad ametisse vastutavad asutused. Selles etapis peavad GPAI mudelite pakkujad järgima asjakohaseid eeskirju.

2026. aasta 2. veebruaril avaldatakse AI regulatsioonide alusel AI süsteemide rakendamise juhised. Samal ajal muutub kohustuslikuks kõrge riskiga AI süsteemide turujärgne jälgimine, milleks on vaja vastavat süsteemi.

Lisaks, 2026. aasta 2. augustil hakkavad kehtima lisa III-s kirjeldatud “kõrge riskiga AI süsteemide” sätted. Sel hetkel peavad liikmesriigid looma AI regulatsiooni katsetuskeskkonnad ja tagama, et kõrge riskiga AI süsteemid järgivad nõudeid.

Lõpuks, 2027. aasta 2. augustil hakkavad kehtima lisa I-s kirjeldatud “kõrge riskiga AI süsteemide” sätted. Sellega muutub kohustuslikuks ka lisa I-s määratletud AI süsteemide eeskirjade järgimine.

Nii jõustuvad AI regulatsioonid mitme aasta jooksul järk-järgult, rakendades riske arvestades asjakohaseid regulatsioone. Ettevõtjad peavad olema teadlikud iga rakendusetapi tähtaegadest ja vastavalt nendele AI süsteemidele sobivaid meetmeid rakendama.

Seotud artikkel: Mis on ELi AI regulatsioonide praegune seis ja väljavaated? Jaapani ettevõtete mõju analüüs[ja]

Monolit Õigusbüroo poolt pakutavad lahendused

Monolit Õigusbüroo on õigusteenuste firma, mis omab rikkalikke kogemusi nii IT kui ka õiguse valdkonnas, eriti internetiõiguses.

AI-äris kaasnevad paljud õiguslikud riskid ning on hädavajalik, et AI-ga seotud õigusküsimustes oleksid abiks advokaadid, kes on selles valdkonnas pädevad. Meie büroo pakub AI-spetsialistidest advokaatide ja inseneride meeskonna kaudu kõrgtasemelist õigusabi AI-äris, sealhulgas ChatGPT ja muude AI-tehnoloogiatega seotud lepingute koostamisel, ärimudelite seaduslikkuse hindamisel, intellektuaalomandi õiguste kaitsmisel ja privaatsuse küsimustes. Allpool olevas artiklis on toodud täpsemad üksikasjad.

Monolit Õigusbüroo teenindusvaldkonnad: AI (sh ChatGPT) õigusteenused[ja]