Az EU mesterséges intelligencia szabályozása és a szükséges lépések a japán vállalatok számára

2024. július 12-én (Reiwa 6) az Európai Unióban kihirdették az „AI Szabályozási Törvényt (EU AI Act)”, amely 2024. augusztus 1-jén lépett hatályba.
Ez a törvény szabályozza az AI rendszerek használatát és szolgáltatását az EU területén belül, és 2025-től kezdődően a japán vállalatoktól is bizonyos intézkedéseket követel meg.

Specifikusan, hasonlóan ahhoz az esethez, amikor egy Japán belső e-kereskedelmi oldal üzemeltetőjének meg kell felelnie az EU „Általános Adatvédelmi Rendeletének (GDPR)”, a japán vállalatoknak is, amennyiben AI kapcsolódó termékeket vagy szolgáltatásokat nyújtanak az EU területén belüli ügyfelek számára, számolniuk kell az EU AI Szabályozási Törvény alkalmazásával.

Itt bemutatjuk, hogy a törvény hatálybalépésével milyen követelményeknek kell megfelelniük az érintett vállalkozásoknak az AI rendszerek kockázatbesorolásával és megfelelőségi értékelésével kapcsolatban, valamint a szabályozásra való reagálás tekintetében.

Alapvetés: A „rendeletek” és „irányelvek” közötti különbség az EU-ban

Mielőtt részletesen kifejtenénk az AI-szabályozási törvényt, először is meg kell értenünk az EU jogában lévő „rendeletek” és „irányelvek” közötti különbséget.

Először is, a „rendeletek” olyan jogszabályok, amelyek közvetlenül alkalmazandók az EU tagállamaira, vállalatokra és egyéb szervezetekre. Ennek eredményeképpen az EU tagállamainak nemzeti jogszabályainál elsőbbséget élveznek, és az egész EU területén egységes szabályokat alkalmaznak. Tehát, ha egy rendelet hatályba lép, az azonos szabályozási tartalom alkalmazása valósul meg az EU összes tagállamában.

Ezzel szemben az „irányelvek” olyan jogszabályok, amelyek célja az EU tagállamai közötti szabályozási tartalom összehangolása és egységesítése. Azonban az irányelvek alapvetően nem közvetlenül alkalmazandók a tagállamokra, hanem az egyes államoknak az irányelvekben meghatározott tartalmat saját nemzeti jogukba kell átültetniük. Általában az irányelvek az EU Hivatalos Lapjában való közzétételüktől számított három éven belül kell, hogy a tagállamok jogszabályt hozzanak vagy módosítsanak.

Az „irányelvek” egyik jellemzője, hogy a nemzeti jogba való átültetés során a tagállamoknak bizonyos mértékű mérlegelési jogkört biztosítanak, ami azt jelenti, hogy az egyes államok jogszabályai között eltérések keletkezhetnek. Más szóval, az „irányelvek” alapján létrehozott jogszabályok nem feltétlenül egységesek az egész EU területén, és figyelembe kell venni, hogy országonként kisebb különbségek merülhetnek fel.

Ezt a megkülönböztetést figyelembe véve az AI-szabályozási törvény „rendeletként” került elfogadásra. Ez azt jelenti, hogy az AI-szabályozási törvény közvetlenül alkalmazandó az EU területén működő vállalkozásokra.

Kapcsolódó cikk: Az Európába terjeszkedő vállalatok számára kötelező EU jog és jogrendszer alapvető magyarázata[ja]

Az AI szabályozási törvény és a területi hatályon túli alkalmazás

Mi az a területi hatályon túli alkalmazás?

A “területi hatályon túli alkalmazás” azt jelenti, hogy egy adott ország által megalkotott törvény az adott ország szuverenitásának határain kívül végrehajtott tevékenységekre is vonatkozik. A területi hatályon túli alkalmazás hátterében a gazdaság globalizációja és a vállalati tevékenységek nemzetközivé válása áll, célja pedig a világgazdasági tevékenységek tisztességes és megfelelő működésének biztosítása.

E fogalom széles körű elismerését az GDPR (EU Általános Adatvédelmi Rendelet) hozta meg. Az GDPR szerint, még ha egy vállalkozásnak nincs is bázisa az EU területén, a következő feltételeknek megfelelő esetekben alkalmazható lehet a rendelet (területi hatályon túli alkalmazás):

• Amennyiben az EU területén belüli személyeknek szolgáltatásokat vagy termékeket nyújt.
• Amennyiben az EU területén belüli személyek viselkedésének megfigyelése céljából személyes adatokat dolgoz fel.

Például, ha egy EU-n kívüli vállalat munkatársait az EU területére küldi kiküldetésre, és ebben az időszakban kapcsolódó személyes adatokat dolgoz fel, a 2020-as irányelvek szerint ez “nem alkalmazandó”, de ez az eset kezdetben területi hatályon túli alkalmazás tárgyát képezte.

Az AI szabályozási törvény területi hatályon túli alkalmazása

Az EU AI szabályozási törvénye is lehetővé teszi a területi hatályon túli alkalmazást az EU-n kívül található vállalkozások esetében. Az alábbi vállalkozások és tevékenységek esnek ebbe a kategóriába:

• Szolgáltatók (Providers): Azok, akik AI rendszereket vagy GPAI modelleket fejlesztenek, piacra dobnak, vagy saját névvel vagy védjeggyel indítanak AI rendszereket.
• Felhasználók (Users): Azok, akik saját hatáskörük alatt használnak AI rendszereket (kivéve, ha az AI rendszert személyes és nem szakmai tevékenység keretében használják).
• Importőrök (Importers): Az EU-n kívül alapított természetes vagy jogi személyek nevével vagy védjegyével ellátott AI rendszereket az EU piacára bevezető, az EU területén belül található vagy alapított importőrök.
• Kereskedők (Distributers): A szolgáltatók vagy importőrök által nem ellátott, az AI rendszereket az EU piacára szállító ellátási láncban részt vevő természetes vagy jogi személyek.

Mint látható, még az EU-n kívül található vállalkozások esetében is, ha az EU területén belül AI rendszereket vagy GPAI modelleket szállítanak, üzemeltetnek, importálnak vagy használnak, akkor közvetlenül alkalmazandó rájuk az EU AI szabályozási törvénye.

Az EU mesterséges intelligencia szabályozásának jellemzői: Kockázatalapú megközelítés

Mi az a kockázatalapú megközelítés?

Az EU mesterséges intelligencia szabályozásának legnagyobb sajátossága a “kockázat tartalmának és mértékének megfelelő szabályozás” (kockázatalapú megközelítés) alkalmazása.

A “kockázatalapú megközelítés” olyan módszert jelent, amely a kockázat tartalmát és mértékét figyelembe véve állítja be a szabályozás szigorúságát. Ebben a megközelítésben az AI rendszerek által okozható potenciális kockázatok súlyosságától függően határozzák meg a rendszerre vonatkozó szabályozás szigorát.

Konkrétan, a magas kockázatú AI rendszerekre szigorúbb szabályozás vonatkozik, míg a kisebb kockázatú rendszerek esetében viszonylag lazább szabályozást alkalmaznak. Ezáltal elkerülhető a kisebb kockázatú rendszerek túlzott szabályozása, miközben a magas kockázatú rendszerek megfelelő felügyeletét és kezelését biztosítják.

Elfogadhatatlan kockázatot jelentő AI rendszerek Japánban

Először is, az elfogadhatatlan kockázatot jelentő AI rendszerek fenyegetést jelentenek az emberekre, és alapvetően tilosak.

Például azok az AI rendszerek tartoznak ide, amelyek manipulálják a sebezhető csoportokhoz, mint például a gyerekekhez tartozó felhasználók kognitív képességeit vagy viselkedését, mint amilyen a veszélyes tevékenységeket ösztönző hangvezérlésű játékok. Továbbá, a szociális pontozó rendszerek is tilosak, amelyek az embereket viselkedésük, társadalmi-gazdasági helyzetük vagy személyes jellemzőik alapján osztályozzák. Ezenkívül, az arc-felismerő technológiát használó, és az emberek biometrikus adatait referenciáként használó adatbázisokkal összehasonlító, távolról azonosító “valós idejű és távoli biometrikus azonosító rendszerek” is alapvetően tilosak.

Az említett rendszerek használata azonban bizonyos kivételes esetekben megengedett. Konkrétan, a valós idejű távoli biometrikus azonosító rendszerek használata csak korlátozott számú súlyos esemény esetén engedélyezett. Másrészről, a távoli biometrikus azonosító rendszerek utólagos használata csak akkor engedélyezett, ha a bíróság jóváhagyásával történik, súlyos bűncselekmények ügyészi vádemelési céljából.

Továbbá, kivételes esetekben megengedett a használat, például eltűnt gyerekek vagy más bűncselekmény áldozatainak felkutatására, konkrét és közvetlen fenyegetést jelentő emberi élet vagy testi épség védelmére, terrorcselekmények megelőzésére, valamint súlyos bűncselekmények elkövetőinek vagy gyanúsítottainak azonosítására és tartózkodási helyük meghatározására. Ezek a kivételek szigorú korlátozásokhoz kötöttek, amelyek alapvetően a bíróság előzetes engedélyét követelik meg, és óvatos működést igényelnek az AI rendszerek használatával kapcsolatban.

A magas kockázatú AI rendszerek

A magas kockázatú AI rendszerek olyan mesterséges intelligencia alapú rendszerek, amelyek potenciálisan negatív hatással lehetnek a biztonságra vagy az alapvető emberi jogokra. Ezek használata csak akkor engedélyezett, ha megfelelnek bizonyos követelményeknek és kötelezettségeknek (megfelelőségi értékelés).

A magas kockázatú AI rendszerek két fő kategóriába sorolhatók. Az első kategória azokat az AI rendszereket foglalja magában, amelyek az EU termékbiztonsági jogszabályainak megfelelő termékekben kerülnek felhasználásra, például játékokban, légi közlekedési eszközökben, autókban, orvosi berendezésekben és felvonókban. A második kategória azokat az AI rendszereket tartalmazza, amelyek regisztrációja kötelező az EU adatbázisában, és különleges területeken kerülnek alkalmazásra. Ide tartozik a kritikus infrastruktúra kezelése és üzemeltetése, az oktatás és szakmai képzés, a foglalkoztatás és a munkavállalók kezelése, az elengedhetetlen közszolgáltatásokhoz és juttatásokhoz való hozzáférés, a jogérvényesítés, a bevándorlás és menedékjog, a határellenőrzés, valamint a jogértelmezés és alkalmazás támogatása.

A magas kockázatú AI rendszerek esetében a piacra lépés előtt és a teljes életciklus során értékelés szükséges. Ezenkívül a felhasználóknak joguk van panaszt tenni az AI rendszerekkel kapcsolatban a kijelölt nemzeti hatóságoknál.

Általánosságban elmondható, hogy a magas kockázatú AI rendszerek közé tartoznak azok a gépek és járművek, amelyek az emberi élet vagy testi épség biztonságának megőrzését szolgálják. Például az önvezető AI is ide tartozhat, így amikor egy japán vállalat önvezető AI-t fejleszt és nemzetközi piacra lép vele, alaposan meg kell vizsgálnia, hogy az megfelel-e a magas kockázatú AI rendszerek követelményeinek, és megfelelően kell kezelnie ezt a kérdést.

Korlátozott kockázatú japán AI rendszerek

A korlátozott kockázatú AI rendszerek esetében felmerülhetnek átláthatósági kockázatok, valamint azonosítás- és manipulációval, csalással kapcsolatos kockázatok. Konkrétan ilyenek a chatbotok, a deepfake technológiák és a generatív AI rendszerek, amelyek az Európai Parlament véleménye szerint a jelenleg használt AI rendszerek nagy részét képezik. Például az automatikus fordítórendszerek, videojáték-konzolok, ismétlődő gyártási folyamatokat végrehajtó robotok, valamint a “Eureka Machine” típusú AI rendszerek is ide tartoznak.

A generatív AI rendszerek esetében, bár nem sorolják őket magas kockázatú kategóriába, követelmény az átláthatóság és az EU szerzői jogi törvényeknek való megfelelés. Konkrétan a következő intézkedésekre van szükség:

• A tartalom AI általi generálásának egyértelmű feltüntetése
• A modell tervezése során az illegális tartalom generálásának elkerülése
• Az AI tréningjéhez használt szerzői jogvédelem alatt álló adatok összefoglalójának nyilvánosságra hozatala

Továbbá, a “GPT-4” mint a magas szintű és nagy hatású általános célú AI modellek (GPAI modellek) esetében, mivel rendszerszintű kockázatot jelenthetnek, alapos értékelésre van szükség. Súlyos incidens esetén jelentési kötelezettség áll fenn az Európai Bizottság felé. Ezenkívül az AI által generált vagy módosított tartalmak (képek, hangfájlok, videók, deepfake-ek stb.) esetében egyértelműen jelezni kell, hogy azokat AI hozta létre, és biztosítani kell, hogy a felhasználók felismerjék a tartalmat.

A minimális kockázatú japán AI rendszerek

Végezetül, a minimális kockázatú AI rendszerek esetében Japánban nem kerültek meghatározásra különleges szabályozások. Ilyen példák lehetnek a spam szűrők vagy ajánló rendszerek. Ebben a kategóriában a szabályozás helyett a viselkedési kódexek kidolgozását és betartását ösztönzik.

Követelmények és kötelezettségek a magas kockázatú AI rendszerekkel kapcsolatban Japánban

A szolgáltatók, felhasználók, importőrök és kereskedők kötelezettségei

A fent említett megkülönböztetések alapján, különösen a magas kockázatú AI rendszerek esetében, a kockázat súlyossága miatt szigorú szabályozások vannak érvényben, és a szolgáltatókra, valamint a felhasználókra konkrét kötelezettségek hárulnak.

Elsőként a szolgáltatókra, felhasználókra, importőrökre és kereskedőkre vonatkozóan kötelező a kockázatkezelési rendszer kiépítése (9. cikk). Ez azt jelenti, hogy kötelesek azonosítani a magas kockázatú AI rendszerekben rejlő kockázatokat, megfelelően kezelni azokat, és a rendszert dokumentálni, valamint fenntartani. Adataink kormányzásával kapcsolatban (10. cikk) elvárás a minőségi szabványoknak megfelelő tanuló, ellenőrző és teszt adatkészletek használata. Ez azért szükséges, mert az AI rendszerek fejlesztési szakaszában is szigorúan kell kezelni az adatok minőségét és megbízhatóságát.

Továbbá, kötelező a műszaki dokumentáció elkészítése (11. cikk). Ebben a dokumentációban szerepelnie kell azoknak az információknak, amelyek igazolják, hogy a magas kockázatú AI rendszer megfelel a szabályozási követelményeknek, és azokat az uniós tagállamok illetékes hatóságai vagy harmadik fél által hitelesített szervezetek számára elérhetővé kell tenni. Emellett szükséges a logolási funkció tervezése és fejlesztése is, amely automatikusan rögzíti az eseményeket az AI rendszer működése során (12. cikk). A magas kockázatú AI rendszereknek az EU által kezelt adatbázisba történő piaci bevezetés előtti regisztrációja is kötelező, és a szolgáltatóknak felelősségük van a minőségirányítási rendszer kiépítésére, dokumentálására és fenntartására.

A szolgáltatók kötelezettségei

A szolgáltatóknak kötelezettségük van a piaci bevezetés vagy a működés megkezdése után 10 évig megőrizni a műszaki dokumentációt, a minőségirányítási rendszerrel kapcsolatos dokumentumokat, a harmadik fél által hitelesített szervezetek jóváhagyásait és döntéseit tartalmazó dokumentumokat, és azokat a hazai hatóságok kérésére bemutatni. Így a szolgáltatóknak felelősségük van az AI rendszer minőségének és biztonságának hosszú távú fenntartására és az átláthatóság biztosítására.

A felhasználók kötelezettségei

Másrészről, a felhasználókra is konkrét kötelezettségek hárulnak a magas kockázatú AI rendszerek használatával kapcsolatban. A felhasználóknak meg kell őrizniük az AI rendszer által automatikusan generált logokat, az EU jogszabályai vagy a tagállamok jogszabályai által külön előírtak hiányában, az AI rendszer szándékolt céljának megfelelően megfelelő időtartamra. Konkrétan legalább 6 hónapig kell megőrizniük ezeket a logokat.

Ezenkívül, ha a munkahelyen magas kockázatú AI rendszert vezetnek be vagy használnak, a munkáltatóként szolgáló felhasználóknak kötelezettségük van előzetesen tájékoztatni az alkalmazottak képviselőit és az érintett alkalmazottakat a rendszer használatáról. Ez a munkavállalók jogainak védelme és az átláthatóság biztosítása érdekében van meghatározva.

Így a magas kockázatú AI rendszerek esetében szigorú követelmények és kötelezettségek vonatkoznak mind a szolgáltatókra, mind a felhasználókra. Különösen olyan fejlett AI technológiák kezelésekor, mint az orvosi eszközök vagy az önvezető rendszerek, figyelembe kell venni az egyeztetést a meglévő szabályozási keretekkel, és esetenként szükség lehet a megfelelőségi értékelés végrehajtására és a harmadik fél által hitelesített szervezetek általi felülvizsgálatra, így a vállalkozásoknak óvatosan és tervezetten kell eljárniuk.

Az AI szabályozási törvény fokozatos bevezetésének ütemterve Japánban

Az EU AI szabályozási törvénye a kihirdetéstől a végrehajtásig fokozatosan lép életbe, amely ütemterv szerint különböző előkészületeket és intézkedéseket igényel a vállalkozásoktól.

2024. július 12-én (2024) került közzétételre a hivatalos közlönyben a japán AI szabályozási törvény, és ugyanezen év augusztus 1-jén lépett hatályba. Ebben a szakaszban a vállalkozásoknak elsősorban a szabályozás tartalmának felülvizsgálatát és megfontolását kell elvégezniük.

2025. február 2-án (2025) lépnek életbe az „Általános rendelkezések” és a „Elfogadhatatlan kockázatot jelentő AI rendszerek” cikkei. Amennyiben egy vállalkozás ilyen kockázatot jelentő AI rendszereket kezel, haladéktalanul meg kell szüntetnie azok kezelését.

Ezt követően, 2025. május 2-án (2025) kerülnek nyilvánosságra a GPAI (General Purpose AI) modellszolgáltatók számára szóló gyakorlati szabályzatok (Codes of Practice). A vállalkozásoknak ezeket a gyakorlati szabályzatokat figyelembe véve kell eljárniuk.

Azután, 2025. augusztus 2-án (2025) lépnek életbe a „GPAI modellek” és a „Büntetések” cikkei, és minden tagállamban kinevezésre kerülnek a felügyeleti hatóságok. Ebben a szakaszban a GPAI modelleket szolgáltató vállalkozásoknak be kell tartaniuk a kapcsolódó szabályozást.

2026. február 2-án (2026) kerülnek közzétételre az AI szabályozási törvény alapján az AI rendszerek implementálására vonatkozó irányelvek. Ezzel egyidőben kötelezővé válik a piacra került magas kockázatú AI rendszerek utólagos monitorozása, és a vállalkozásoknak meg kell felelniük ennek a követelménynek.

Továbbá, 2026. augusztus 2-án (2026) lépnek életbe a III. mellékletben felsorolt „Magas kockázatú AI rendszerek” cikkei. Ebben a szakaszban a tagállamoknak létre kell hozniuk az AI szabályozási homokozókat (sandboxokat), és kötelezővé válik a magas kockázatú AI rendszerek szabályoknak való megfelelése.

Végül, 2027. augusztus 2-án (2027) lépnek életbe az I. mellékletben felsorolt „Magas kockázatú AI rendszerek” cikkei. Ezzel a vállalkozások számára kötelezővé válik az I. mellékletben meghatározott AI rendszerek szabályoknak való megfelelése.

Így az AI szabályozási törvény több éven keresztül fokozatosan lép életbe, és a kockázat súlyosságának megfelelően sorban alkalmazzák a szabályozást. A vállalkozásoknak pontosan kell ismerniük az egyes alkalmazási időpontokat, és megfelelő intézkedéseket kell foganatosítaniuk az érintett AI rendszerekre vonatkozóan.

Kapcsolódó cikk: Mi a helyzet az EU AI szabályozási törvényével és milyen kilátásai vannak? A japán vállalatokra gyakorolt hatások elemzése[ja]

A Monolith Ügyvédi Iroda által nyújtott intézkedések bemutatása

A Monolith Ügyvédi Iroda egy olyan jogi szolgáltató, amely gazdag tapasztalattal rendelkezik az IT területén, különösen az internet és a jogi kérdések terén.

Az AI üzletág számos jogi kockázattal jár, és elengedhetetlen az AI jogi kérdéseiben jártas ügyvédek támogatása. Irodánk AI-ban jártas ügyvédek és mérnökök, többek között a ChatGPT-vel kapcsolatos AI üzleti tevékenységekhez, szerződéskészítéshez, üzleti modellek jogi megfelelőségének vizsgálatához, szellemi tulajdonjogok védelméhez és adatvédelmi megoldásokhoz nyújt magas szintű jogi támogatást. A részleteket az alábbi cikkben ismertetjük.

A Monolith Ügyvédi Iroda szolgáltatási területei: AI (ChatGPT stb.) jogi szolgáltatások[ja]