Hva er statusen og utsiktene for AI-reguleringsloven i EU? En forklaring på effekten på japanske selskaper

Med utviklingen av AI blir AI-relaterte forretninger stadig mer aktive, som bruk av AI-verktøy som ChatGPT i arbeidsoppgaver, samtidig som internasjonale reguleringer av AI også tiltrekker seg oppmerksomhet.

I Japan har det japanske nærings- og handelsdepartementet (METI) publisert “Governance Guidelines for the Implementation of AI Principles Ver. 1.1″[ja] (per tidspunktet for skriving). Den 14. juni 2023 (2023) ble verdens første internasjonale “AI Regulation Act” vedtatt i EU-parlamentet, noe som også har vakt stor interesse i Japan.

I denne artikkelen vil vi introdusere den nåværende situasjonen og utsiktene for AI-reguleringsloven, samt forklare dens innvirkning på japanske selskaper.

Hva er AI-lovgivningen (AI Act)?

Den 14. juni 2023 ble en omfattende “AI-reguleringsforslag” som omhandler bruk av AI generelt, vedtatt i EU-parlamentet. Dette er verdens første internasjonale “AI-lovgivning (AI Act)”, bestående av 85 artikler, og fungerer som en sekundær lovgivning (sekundærrett) i EU.

I tiden fremover, med mål om enighet innen utgangen av 2023, vil uformelle forhandlinger (trilog) finne sted mellom de tre partene (Europakommisjonen, EU-parlamentet og Rådet for den europeiske union). Etter godkjenning fra de lovgivende organene EU-parlamentet og Rådet for den europeiske union, er det forventet at lovgivningen vil tre i kraft i 2024.

EUs rettssystem

EUs rettssystem består av tre typer rettskilder: primærrett (traktater), sekundærrett (EU-lovgivning) og rettspraksis.

Sekundærrett er basert på primærrett (traktater) og består av lovgivning som regulerer medlemslandene direkte eller indirekte innenfor EU, og er kjent som EU-lovgivning eller avledet rett.

Det finnes hovedsakelig fem typer sekundærrett, men “EU AI-reguleringen” faller under kategorien forordninger (Regulation), som binder medlemslandene direkte og etablerer enhetlige regler.

Det finnes fem typer EU-lovgivning (sekundærrett):

• Forordninger (Regulation): Har bindende kraft for alle medlemsland og blir direkte anvendelig (blir en del av nasjonalt rettssystem uten ratifiseringsprosedyrer) når de er vedtatt.
• Direktiver (Directive): Pålegger medlemslandene en juridisk forpliktelse til å innføre ny nasjonal lovgivning eller endre eksisterende lovgivning for å oppnå de fastsatte målene.
• Vedtak (Decision): En form for lovgivning med juridisk bindende kraft som er rettet mot spesifikke objekter, ikke generelt, og kan gjelde spesifikke medlemsland, selskaper eller individer.
• Anbefalinger (Recommendation): Europakommisjonen oppfordrer medlemslandenes regjeringer, selskaper eller individer til å ta visse handlinger eller tiltak. De har ingen juridisk bindende kraft eller tvangsmakt, men de kan fremme lovgivning eller endringer innenfor EU-landene.
• Meninger (Opinion): Også kjent som “uttalelser”, hvor Europakommisjonen uttrykker sin mening om et spesifikt tema, uten juridisk bindende kraft eller tvangsmakt.

“Regulation” er ansett som den mest bindende formen for sekundærrett, og for eksempel GDPR (General Data Protection Regulation) – “Den generelle databeskyttelsesforordningen” er et eksempel på en forordning.

Anvendelsesområdet for EUs AI-reguleringslov

EUs “AI-reguleringslov” vil bli direkte anvendt innenfor EU, samt ha ekstraterritoriell anvendelse i tredjeland som er handelspartnere, og vil inneha juridisk bindende kraft. Reguleringen gjelder for virksomheter som lanserer AI-systemer og -tjenester rettet mot det europeiske markedet, inkludert AI-utviklere, deployere, tilbydere, importører, distributører og brukere.

AI-reguleringsloven fastsetter klare krav til spesifikke AI-systemer og forpliktelser for virksomheter, men søker samtidig å redusere den administrative og finansielle belastningen for små og mellomstore bedrifter (SMB).

Lovforslaget er en del av et omfattende AI-pakke som sikter mot å garantere sikkerheten til AI og grunnleggende rettigheter, samt å styrke innsatsen, investeringene og innovasjonen i AI over hele EU.

Europeisk regulering må være i tråd med grunnleggende prinsipper i Traktaten om Den europeiske union. Det betyr at menneskerettigheter og friheter innenfor EU må sikres også innen AI-teknologi, og at det er nødvendig med sikkerhetsmekanismer for dette formålet.

Lovforslaget forklarer at formålet med reguleringen er “å fremme pålitelig bruk av AI under menneskelig tilsyn, og å sikre beskyttelse av helse, sikkerhet, grunnleggende rettigheter, demokrati og rettsstaten, samt miljøet mot risikoene ved AI”.

Spesifikt er følgende “generelle prinsipper som gjelder for alle AI-systemer” oppført:

• Menneskelig autonomi og tilsyn (human agency and oversight)
• Teknisk robusthet og sikkerhet (technical robustness and safety)
• Personvern og datastyring (privacy and data governance)
• Gjennomsiktighet (transparency)
• Diversitet, ikke-diskriminering og rettferdighet (diversity, non-discrimination and fairness)
• Sosial og miljømessig velvære (social and environmental well-being)

I denne reguleringen er det klart angitt at for å oppnå AI-prinsippene, er det avgjørende å sikre tiltak for AI-literacy blant AI-utviklere, brukere og tilbydere.

Ved overtredelse kan det bli ilagt store bøter basert på global omsetning (opp til 30 millioner euro, tilsvarende omtrent 4,7 milliarder yen eller 6% av den globale omsetningen, avhengig av hvilket beløp som er høyest), og det kan føre til at man ikke lenger kan drive AI-virksomhet innenfor EU.

Derfor kreves det at bedrifter, inkludert japanske bedrifter som allerede er engasjert i AI-virksomhet i EU-markedet eller som vurderer å gå inn i EU-markedet i fremtiden, tilpasser seg EUs nye AI-regulering.

Bakgrunnen for etableringen av AI-reguleringslovgivningen

Generativ AI er et nyttig verktøy, men det innebærer også risikoer som kan fremme kriminalitet og true demokratiet. Ettersom AI-teknologien utvikler seg og blir mer utbredt, blir disse problemene uunngåelige utfordringer.

Etter 2016 har Den europeiske union (EU), USA og Kina publisert retningslinjer og nasjonale strategiforslag relatert til AI. EU har spesielt vært aktiv i å utvikle reguleringer for AI og big data, og mellom 2017 og 2022 ble viktige retningslinjer, erklæringer og reguleringsforslag utarbeidet.

For eksempel ble “General Data Protection Regulation (GDPR)” vedtatt i april 2016, “AI-reguleringsforslaget” ble annonsert den 21. april 2021, “European Data Governance Act (DGA)” ble vedtatt den 30. mai 2022, og har vært i kraft siden 24. september 2023.

Disse reguleringene sikter mot å sikre at AI og big data brukes på en sikker og rettferdig måte i hele samfunnet, samtidig som de fremmer innovasjon og økonomisk vekst.

EU har som sin digitale strategi å være “A Europe fit for the Digital Age” (Et Europa klart for den digitale tidsalderen).

Etter at “AI-reguleringsforslaget” ble annonsert, og i lys av den raske utviklingen og spredningen av generativ AI, vedtok Europakommisjonen en revidert versjon den 14. juni 2023, som inkluderte nye perspektiver og krav relatert til generativ AI.

Kjennetegn ved den japanske AI-reguleringsloven

Den japanske AI-reguleringsloven er i hovedsak bygget opp rundt tre kjennetegn: ‘risikobasert AI-klassifisering’, ‘krav og forpliktelser’, og ‘støtte til innovasjon’.

Denne reguleringen følger en metodikk kalt ‘risikobasert tilnærming’, hvor AI-systemers risikonivå kategoriseres i fire nivåer, og tilsvarende reguleringer blir anvendt.

Spesifikt er det, som vist i tabellen nedenfor, fastsatt forbud, krav og forpliktelser tilpasset de fire risikonivåene for AI-systemer. AI-systemer med høy risiko er spesifikt regulert for å sikre menneskers fysiske og livmessige sikkerhet, selvbestemmelsesrett, samt opprettholdelse av demokrati og rettferdig prosess.

Påvirkningen av AI-reguleringsloven på Japan

EU har internasjonalt vært en pioner innen reguleringer i områder som menneskerettigheter, personvern, og miljøvern, og har etablert det som kan betraktes som “gullstandarden” for etterfølgende lands systemdesign.

Revisjonen av den japanske loven om beskyttelse av personopplysninger ble også fremmet med mål om å harmonisere desentraliserte reguleringer, samt å adressere utfordringene knyttet til EUs GDPR (General Data Protection Regulation). Videre finnes det reguleringer som ‘Loven om forbedring av transparens og rettferdighet for spesifikke digitale plattformer’ (trådte i kraft 1. februar 2021), som er utformet med EU-reguleringer som referanse.

I Japan er det for øyeblikket ingen hardlovgivning som regulerer AI, og landet følger en politikk som støtter selvregulering gjennom soft law.

Som nevnt tidligere vil EUs ‘AI-reguleringslov’ gjelde direkte for medlemslandene, samt ha ekstraterritoriell anvendelse for virksomheter som opererer innenfor EU, noe som også påvirker virksomheter basert utenfor EU.

Som vi vil diskutere senere, kan flere lover med ulike perspektiver gjelde for distribusjon av AI-produkter innenfor EU, og det er avgjørende å ha strategier for å håndtere disse. Japanske selskaper må følge nøye med på utviklingen og iverksette lovlige tiltak.

Adopsjon av endringsforslag inkludert generativ AI

AI-reguleringsloven er en lov som har blitt endret av de tre EU-institusjonene: Det europeiske råd, Europaparlamentet og Europakommisjonen.

Den 11. mai 2023 vedtok IMCO (Committee on Internal Market and Consumer Protection) – ‘Komiteen for det indre marked og forbrukerbeskyttelse’ og LIBE (Committee on Civil Liberties, Justice and Home Affairs) – ‘Komiteen for borgerrettigheter, justis og innenrikssaker’, et endringsforslag til AI-reguleringsloven.

Disse endringsforslagene ble adoptert av Europaparlamentet den 14. juni 2023.

Rapporten inneholder viktige endringer i lovforslaget, som inkluderer forbud mot prediktiv politiarbeid, en omfattende liste over høyrisiko selvstendige AI-systemer, og etableringen av et nytt og kraftfullt AI-kontor (EAIB – European Artificial Intelligence Board) som skal erstatte den eksisterende institusjonen.

I tillegg er det foreslått en sterkere kobling med GDPR (General Data Protection Regulation) – ‘Den generelle databeskyttelsesforordningen’, økt engasjement fra interessenter i visse sektorer, og innføring av spesifikke bestemmelser relatert til generativ AI og generell AI.

Deretter, den 24. oktober 2023, ble det fjerde trilogmøtet (trepartssamtaler) om AI-reguleringsloven avholdt, hvor det ble gjort betydelige fremskritt på politisk sensitive spørsmål. Spesielt ble det oppnådd en foreløpig enighet om filtermekanismen for høyrisiko AI-systemer (Art. 6).

Ytterligere politisk veiledning ble gitt om fremtidig retning for grunnmodeller/generell AI-systemer, styring, forbud og retning for rettshåndhevende organer, og tekniske team ble pålagt å jobbe med konkrete tekstforslag om de nevnte problemstillingene.

Om AI-regulering i relevante lover

AI-reguleringsloven omfatter flere lover som er fastsatt fra forskjellige perspektiver. Disse tre lovene ble vedtatt av Den europeiske union (EU) for å sikre beskyttelse av personopplysninger i det digitale rommet og for å garantere rettferdig konkurranse.

DSA (Den digitale tjenesteloven)

EU sin “Digitale tjenestelov” (DSA = Digital Services Act) er en omfattende regulering relatert til elektronisk handel i EU, som trådte i kraft 16. november 2022 (med full implementering planlagt for 17. februar 2024).

I EU ble et direktiv for elektronisk handel etablert i år 2000, men det har blitt vanskelig å tilpasse dette til den digitale utviklingen, som internett og online plattformer. Derfor ble DSA innført som en revidert EU-uniform lov for å erstatte det eksisterende direktivet.

DSA ble etablert med mål om å sikre at tjenester som fungerer som mellomledd i EU sitt indre marked opererer korrekt, for å beskytte brukernes grunnleggende rettigheter og opprettholde et tryggere digitalt miljø. Reguleringen gjelder for online mellomleddstjenester, hostingtjenester og online plattformer (inkludert VLOP og VLOSE).

Denne loven regulerer omfattende både BtoB og BtoC aspekter, ved å fastsette ansvar for ulovlig innhold som blir publisert, og håndtering av tvister som oppstår.

Spesifikt krever loven tiltak for å eliminere ulovlig innhold, produkter og tjenester, styrker beskyttelsen av brukernes grunnleggende rettigheter, og krever omfattende regler for å sikre transparens og ansvarlighet.

I tillegg er det pålagt strengere regler for VLOP (Very Large Online Platform) = “svært store online plattformer” og VLOSE (Very Large Online Search Engine) = “svært store online søkemotorer” i EU, som har et gjennomsnitt på over 45 millioner brukere per måned.

Utpekte VLOP og VLOSE må innen fire måneder etter å ha blitt varslet, tilpasse sine systemer, ressurser og prosesser til DSA, implementere avbøtende tiltak og etablere et uavhengig system for å sikre overholdelse av loven. Deretter må de gjennomføre en revisjon og den første årlige risikovurderingen, og rapportere til Europakommisjonen.

DSA er planlagt å bli fullt ut anvendt fra 17. februar 2024, og overholdelsen av DSA for virksomheter som ikke er VLOP eller VLOSE vil bli overvåket av Europakommisjonen og medlemsstatenes myndigheter fremover.

Medlemsstatene skal innen 17. februar 2024 etablere en “Digital tjenestekoordinator” med uavhengig myndighet for å overvåke overholdelsen av DSA, og de vil ha myndighet til å håndheve sanksjoner, inkludert bøter, for brudd på forpliktelsene.

På den annen side vil Europakommisjonen direkte overvåke VLOP og VLOSE, og ha myndighet til å håndheve straffetiltak.

Bøtene for å bryte loven kan beløpe seg til opptil 6 % av den aktuelle virksomhetens globale årsomsetning fra foregående år.

Denne loven er en del av EU sin digitale strategi kjent som “Et Europa klart for den digitale tidsalderen”, og er ment å adressere nye utfordringer og risikoer i en stadig utviklende digital æra.

DMA (Den digitale markedsloven)

EU sin “Digitale markedslov” (DMA = Digital Markets Act) trer i hovedsak i kraft fra 2. mai 2023, og har som mål å gjøre det digitale markedet rettferdig og konkurransedyktig, samt å forhindre at visse digitale plattformer dominerer markedet.

Reguleringen gjelder utpekte gatekeepers, som har definerte plikter, og ved brudd på disse kan det ilegges sanksjoner som bøter opp til 10 % av den globale omsetningen.

En “gatekeeper” er en av de største digitale plattformene som opererer innenfor EU, og er kjennetegnet ved å ha en vedvarende posisjon i markedet innenfor visse digitale sektorer, og ved å oppfylle visse kriterier relatert til antall brukere, omsetning og kapital.

Europakommisjonen skal innen 6. september 2023 utpeke de nyeste gatekeepers, og disse selskapene vil få en frist på opptil seks måneder (til mars 2024) for å overholde de nye pliktene i henhold til den digitale markedsloven. De selskapene som ble utpekt som “gatekeepers” var Alphabet, Amazon, Apple, ByteDance, Meta og Microsoft, og totalt 22 av deres viktigste plattformer og tjenester ble utpekt som underlagt loven.

Dette lovverket sikter mot å forhindre at store digitale plattformer misbruker sin markedsstyrke og gjøre det enklere for nye aktører å tre inn i markedet.

GDPR (General Data Protection Regulation)

GDPR (General Data Protection Regulation) er en ny ‘personvernlov’ som trådte i kraft i EU den 25. mai 2018.

Det er et juridisk rammeverk som setter retningslinjer for innsamling og behandling av personopplysninger fra individer både innenfor og utenfor EU. Denne reguleringen pålegger forpliktelser på organisasjoner som enten opererer i EU, eller samler inn data relatert til personer i EU.

Relatert artikkel: Hvordan lage en GDPR-tilpasset personvernpolicy[ja]

Forventede trender i AI-reguleringer fremover

Vi vil forklare AI-systemene som bedrifter bør følge nøye med på, basert på den tidligere nevnte risikoklassifiseringstabellen for AI.

Forbud mot bruk av sosiale kredittscore

En av AI-systemene som faller under “forbudte risikoer” i henhold til EU-regelverket, er den sosiale kredittscoren (Social Credit Score), som vil bli fullstendig forbudt, ikke bare for offentlige etater, men også generelt, i henhold til endringsforslaget.

En “sosial kredittscore” refererer til et system som scorer enkeltpersoners sosiale status og atferd.

I Kina fungerer dette som et verktøy for et overvåkningssamfunn og er en del av nasjonal politikk, hvor et sosialt kredittsystem er etablert innen fire områder: offentlig tjeneste, handel, samfunn og rettsvesen.

Spesifikke restriksjoner inkluderer forbud mot å bruke fly eller høyhastighetstog, utestengelse fra private skoler, forbud mot å etablere organisasjoner som NPOer, utestengelse fra prestisjefylte jobber, utestengelse fra hoteller, redusert internettlinjehastighet, og offentliggjøring av personlig informasjon på nettsteder og i media. På den annen side, hvis scoren er høy, kan man motta ulike “fordeler”.

Imidlertid har et slikt system vekket bekymringer om personvern og frihet, og det pågår en debatt om bruken av det.

Forbudet mot bruk av sosiale kredittscore innenfor EU er ment å sikre at bruken av AI-teknologi er rettferdig og gjennomsiktig.

Forsterkede restriksjoner for generativ AI

En av AI-systemene som faller under “begrenset risiko” i EU-regelverket, er generativ AI.

Generativ AI (Generative AI) er en type AI som skaper nytt innhold eller løsninger basert på treningsdata, og har fått økt oppmerksomhet i de senere år, med eksempler som Chat GPT. Imidlertid er det ulike utfordringer knyttet til generativ AI, noe som gjør regulering nødvendig.

I AI-regelverket har det blitt lagt til nye perspektiver og krav knyttet til generativ AI som følge av dens raske utvikling og økende utbredelse.

Spesifikt blir leverandører av generativ AI, inkludert selskaper som OpenAI, pålagt å avsløre opphavsrettsbeskyttede data som er brukt i treningen av deres LLM (Large Language Models – store språkmodeller).

Formålet med dette er å sikre transparens og forsterke reguleringen av risikostyring for generativ AI.

I EU-lovgivningen har det tradisjonelt vært lagt stor vekt på prinsippet om “transparens”, og det har vært påbudt å på forhånd informere de berørte om beskyttelsestiltak og AI’s bruksområder og formål. Dette prinsippet har blitt en internasjonal “gullstandard”.

Bruksbegrensninger for følelsesgjenkjennende AI

Følelsesgjenkjennende AI, som faller under “begrenset risiko” i henhold til EU-regelverket, er også et AI-system som pålegges forpliktelser som gjelder transparens, inkludert forhåndsvarsling om bruk av AI.

“Følelsesgjenkjennende AI” refererer til kunstig intelligens som kan tolke menneskelige følelsesmessige endringer.

Det finnes spesifikt fire typer, som analyserer følelser som glede, sinne, sorg og interesse gjennom mikrofoner, kameraer og sensorer:

• Tekstbasert følelsesgjenkjennende AI: Analyserer følelser basert på tekst som mennesker har skrevet, eller informasjon konvertert fra tale til tekst.
• Lydbasert følelsesgjenkjennende AI: Analyserer følelser fra menneskelig tale.
• Ansiktsuttrykksbasert følelsesgjenkjennende AI: Tolker følelser fra ansiktsuttrykk gjennom kameraer.
• Biometrisk følelsesgjenkjennende AI: Gjenkjenner følelser basert på biometriske data som hjernebølger og puls.

Disse teknologiene brukes i ulike sammenhenger som kundeservice, callsentre og salgsarbeid. Det forventes at de vil finne ytterligere anvendelser i medisinsk sektor etter hvert som teknologien utvikler seg.

Det er imidlertid nødvendig å beskytte personvernet knyttet til biometrisk informasjon og innsamlede personopplysninger, samt å utvikle lovgivning som følger med dette.

Oppsummering: Nåværende status og fremtidsutsikter for AI-reguleringsloven

Ovenfor har vi forklart den nåværende statusen og fremtidsutsiktene for EUs ‘AI-reguleringslov’, samt dens innvirkning på japanske selskaper. Det er sannsynlig at EUs ‘AI-reguleringslov’, som er den første i sitt slag i verden, vil bli en internasjonal ‘gullstandard’.

For japanske selskaper som planlegger å entre EU-markedet, vil det være viktig å følge nøye med på utviklingen av denne AI-reguleringsloven. Vi anbefaler at du konsulterer med en advokat som har ekspertise innen internasjonal juridisk rådgivning og AI-teknologi for å navigere i EUs AI-reguleringslandskap.

Veiledning om tiltak fra vår advokatfirma

Monolith Advokatfirma har omfattende erfaring med IT, spesielt internett og juss. AI-virksomhet medfører mange juridiske risikoer, og støtte fra advokater som er eksperter på juridiske problemer relatert til AI, er avgjørende. Vårt firma tilbyr avansert juridisk støtte for AI-virksomheter, inkludert ChatGPT, gjennom et team av AI-kyndige advokater og ingeniører. Vi tilbyr tjenester som utarbeidelse av kontrakter, vurdering av lovligheten av forretningsmodeller, beskyttelse av immaterielle rettigheter og personvern. Detaljer er gitt i artikkelen nedenfor.

Monolith Advokatfirmas tjenesteområder: AI (inkludert ChatGPT) juridiske tjenester[ja]