Legea de reglementare a IA în UE și măsurile necesare pentru companiile japoneze

La data de 12 iulie 2024 (Reiwa 6), a fost promulgată “Legea privind Reglementarea Inteligenței Artificiale (EU AI Act)” în Uniunea Europeană, iar aceasta a intrat în vigoare la 1 august același an.
Această lege reglementează utilizarea și furnizarea sistemelor de inteligență artificială în cadrul UE și, începând cu anul 2025, va solicita anumite măsuri și din partea companiilor japoneze.

Concret, similar cu cazurile în care operatorii de site-uri de comerț electronic din Japonia trebuie să se conformeze “Regulamentului General privind Protecția Datelor (GDPR)” al UE, chiar și companiile japoneze care oferă produse și servicii legate de inteligența artificială clienților din UE ar putea fi supuse aplicării Legii privind Reglementarea Inteligenței Artificiale a UE.

Aici vom explica despre cum trebuie să răspundă operatorii relevanți la reglementări, inclusiv clasificarea riscurilor sistemelor de AI și evaluarea conformității, în urma implementării acestei legi.

Premisă: Diferența dintre „Regulamente” și „Directive” în Dreptul UE

Înainte de a explica în detaliu Legea privind reglementarea IA, este necesar să înțelegem diferența dintre „Regulamente” și „Directive” în cadrul legislației UE.

În primul rând, „Regulamentele” sunt acte legislative care se aplică direct în toate statele membre ale UE, companiilor și alte entități. Acestea au prioritate față de legislația națională a statelor membre și asigură aplicarea unor reguli unificate în întreaga UE. Astfel, odată ce un Regulament intră în vigoare, toate statele membre ale UE aplică același conținut regulatoriu.

Pe de altă parte, „Directivele” sunt acte legislative care vizează armonizarea sau unificarea conținutului regulatoriu între statele membre ale UE. Cu toate acestea, Directivele nu se aplică direct statelor membre, ci necesită ca fiecare stat să transpună conținutul Directivei în legislația națională. De obicei, statele membre trebuie să elaboreze sau să modifice legislația națională în termen de trei ani de la publicarea Directivei în Jurnalul Oficial al UE.

O caracteristică a „Directivelor” este că, în timpul transpunerii în legislația națională, statele membre au un anumit grad de discreție, ceea ce poate duce la diferențe în conținutul legislației naționale. Adică, legislația bazată pe „Directive” nu este complet unificată în cadrul UE și poate exista posibilitatea unor diferențe între țări.

Pe baza acestei distincții, Legea privind reglementarea IA este stabilită ca un „Regulament”. Acest lucru înseamnă că Legea privind reglementarea IA se aplică direct entităților comerciale situate în interiorul UE.

Articolul conex: Esential pentru companiile care se extind în Europa: Explicații despre legea și sistemul juridic al UE[ja]

Legea Reglementării AI și Aplicabilitatea Extrateritorială în Japonia

Ce înseamnă aplicabilitatea extrateritorială

“Aplicabilitatea extrateritorială” se referă la situația în care o lege adoptată într-o țară este aplicabilă și actelor desfășurate în afara teritoriului pe care se extinde suveranitatea acelei țări. Recunoașterea aplicabilității extrateritoriale este susținută de globalizarea economiei și internaționalizarea activităților corporative, având ca scop desfășurarea echitabilă și corectă a activităților economice la nivel mondial.

Un exemplu care a contribuit la recunoașterea largă a acestui concept este GDPR (Regulamentul General pentru Protecția Datelor al UE). Conform GDPR, chiar și operatorii economici care nu au sedii în UE pot fi supuși regulamentului (aplicabilitate extrateritorială) dacă îndeplinesc următoarele condiții:

• Oferirea de servicii sau produse persoanelor din UE
• Procesarea datelor personale în scopul monitorizării comportamentului persoanelor din UE

De exemplu, în cazul unei companii din afara UE care trimite angajați în delegație în UE și procesează date personale legate de acea perioadă, liniile directoare din 2020 au clarificat că aceasta este “exclusă de la aplicare”, deși inițial a fost un caz în care s-a discutat aplicabilitatea extrateritorială.

Aplicabilitatea extrateritorială a Legii Reglementării AI

Și în cadrul Legii Reglementării AI a UE, aplicabilitatea extrateritorială este recunoscută pentru operatorii economici care se află în afara UE. Sunt vizate următoarele categorii de operatori economici și activități:

• Furnizorii (Providers): cei care dezvoltă sisteme AI sau modele GPAI, cei care comandă dezvoltarea și introducerea pe piață a acestora sau cei care pun în funcțiune sisteme AI sub propriul nume sau marcă comercială
• Utilizatorii (Users): cei care utilizează sisteme AI sub propria autoritate (cu excepția cazurilor în care utilizarea este pentru activități personale și non-profesionale)
• Importatorii (Importers): importatorii care se află sau sunt înființați în UE și introduc pe piața UE sisteme AI marcate cu numele sau marca comercială a unei persoane fizice sau juridice stabilite în afara UE
• Distribuitorii (Distributers): persoane fizice sau juridice care fac parte din lanțul de aprovizionare și oferă sisteme AI pe piața UE, altele decât furnizorii sau importatorii

Astfel, chiar și operatorii economici care se află în afara UE, dacă oferă, operează, importă sau utilizează sisteme AI sau modele GPAI în UE, vor fi direct supuși Legii Reglementării AI a UE.

Caracteristicile Legislației UE privind IA: Abordarea Bazată pe Risc

Ce înseamnă Abordarea Bazată pe Risc

Una dintre cele mai importante caracteristici ale Regulamentului UE privind Inteligența Artificială este “reglementarea în funcție de conținutul și gradul de risc” (abordarea bazată pe risc).

“Abordarea bazată pe risc” se referă la metoda de ajustare a intensității reglementărilor pe baza conținutului și gradului de risc. Această abordare determină severitatea reglementărilor aplicate unui sistem AI în funcție de gravitatea riscurilor pe care le-ar putea genera.

Concret, sistemele AI cu risc ridicat sunt supuse unor reglementări mai stricte, în timp ce sistemele cu risc scăzut sunt reglementate mai lejer. Astfel, se evită reglementările excesive pentru sistemele cu risc scăzut și, invers, se asigură o supraveghere și gestionare adecvată pentru sistemele cu risc ridicat.

Sisteme AI cu riscuri inacceptabile sub legislația japoneză

În primul rând, sistemele AI considerate a avea riscuri inacceptabile sunt văzute ca o amenințare pentru oameni și sunt, în principiu, interzise.

De exemplu, sistemele AI care manipulează cogniția sau comportamentul anumitor grupuri vulnerabile de utilizatori, precum jucăriile activabile vocal care încurajează comportamente periculoase la copii, se încadrează în această categorie. De asemenea, scorurile sociale care clasifică oamenii pe baza comportamentului, statutului socio-economic sau a caracteristicilor personale sunt interzise. În plus, sistemele de autentificare biometrică în timp real și la distanță, care utilizează tehnologii precum recunoașterea facială pentru a identifica persoane comparând datele biometrice umane cu o bază de date de referință, sunt de asemenea principial interzise.

Totuși, există cazuri excepționale în care utilizarea acestor sisteme este permisă. Concret, sistemele de autentificare biometrică în timp real și la distanță pot fi utilizate doar în cazul unor incidente grave limitate. Pe de altă parte, sistemele de autentificare biometrică la distanță post-eveniment sunt permise doar în scopul de a urmări infracțiuni grave, cu aprobarea prealabilă a instanței.

Mai mult, există situații excepționale în care implementarea este permisă, cum ar fi căutarea persoanelor care pot fi victime ale infracțiunilor, cum ar fi copiii dispăruți, prevenirea amenințărilor concrete și iminente la adresa vieții sau siguranței fizice a oamenilor, inclusiv atacuri teroriste, și detectarea infractorilor sau a suspecților de infracțiuni grave și localizarea acestora. Aceste excepții sunt supuse unor restricții stricte, inclusiv aprobarea prealabilă a instanței ca regulă generală, cerând o operare prudentă a sistemelor AI.

Sisteme AI cu Risc Înalt sub Legislația Japoneză

În continuare, sistemele AI clasificate ca fiind cu risc înalt sunt acelea care pot avea un impact negativ asupra siguranței sau drepturilor fundamentale ale omului. Acestea sunt permise pentru utilizare atunci când îndeplinesc anumite cerințe și obligații (evaluarea conformității).

Sistemele AI cu risc înalt sunt împărțite în două categorii principale. Prima categorie include sistemele AI utilizate în produse care se supun legislației UE privind siguranța produselor, incluzând, de exemplu, jucării, aeronave, automobile, dispozitive medicale, lifturi. A doua categorie cuprinde sistemele AI care sunt obligate să fie înregistrate în bazele de date ale UE și care aparțin unor domenii specifice. Aceste domenii includ gestionarea și operarea infrastructurii critice, educația și formarea profesională, angajarea și managementul forței de muncă, accesul la servicii publice esențiale și beneficii, aplicarea legii, imigrația și azilul, gestionarea frontierelor, asistența în interpretarea și aplicarea legii.

Sistemele AI cu risc înalt necesită evaluare înainte de a fi introduse pe piață și pe parcursul întregului ciclu de viață. În plus, este recunoscut dreptul de a depune plângeri legate de sistemele AI la autoritățile naționale desemnate.

Pe scurt, putem spune că mașinile și vehiculele care presupun ca premisă asigurarea siguranței vieții și integrității fizice a persoanelor sunt vizate de AI-ul cu risc înalt. De exemplu, AI-ul pentru conducerea automată poate fi inclus aici, astfel că, atunci când companiile japoneze dezvoltă AI pentru conducere automată și doresc să se extindă pe piețele externe, trebuie să examineze cu atenție dacă îndeplinesc cerințele pentru AI cu risc înalt și să răspundă corespunzător.

Sisteme AI cu Risc Limitat Sub Legislația Japoneză

În ceea ce privește sistemele AI cu risc limitat, acestea presupun riscuri legate de transparență, precum și riscuri de impostură, manipulare și fraudă. Concret, chatboți, deepfake-uri și AI-ul generativ se încadrează în această categorie, iar conform opiniei Parlamentului European, majoritatea sistemelor AI utilizate în prezent sunt clasificate în această categorie. De exemplu, sistemele automate de traducere, consolele de jocuri, roboții care execută procese de fabricație repetitive și chiar sisteme AI precum “mașina Eureka” sunt incluse aici.

În ceea ce privește AI-ul generativ, deși nu este clasificat ca fiind de înalt risc, sunt necesare conformitatea cu cerințele de transparență și respectarea legislației europene privind drepturile de autor. În mod specific, sunt necesare următoarele măsuri:

• Dezvăluirea clară a faptului că conținutul a fost generat de AI
• Proiectarea modelelor pentru a evita crearea de conținut ilegal
• Publicarea unui rezumat al datelor protejate de drepturile de autor utilizate pentru antrenarea AI-ului

Mai mult, modelele generale de AI cu impact semnificativ, precum “GPT-4”, care pot prezenta riscuri sistemice, necesită o evaluare amănunțită. În plus, în cazul unor incidente grave, există o obligație de raportare către Comisia Europeană. De asemenea, conținutul generat sau modificat de AI (imagini, fișiere audio, videoclipuri, deepfake-uri etc.) trebuie să afișeze clar că a fost creat de AI, astfel încât utilizatorii să poată recunoaște conținutul respectiv.

Sisteme AI cu Risc Minim Sub Legislația Japoneză

În final, în ceea ce privește sistemele AI cu risc minim, nu s-au stabilit reglementări speciale în Japonia. Exemple concrete includ filtrele de spam și sistemele de recomandare. În această categorie, nu se încurajează reglementarea, ci mai degrabă elaborarea și respectarea unui cod de conduită.

Cerințe și Obligații pentru Sistemele AI cu Risc Înalt în Japonia

Obligațiile Furnizorilor, Utilizatorilor, Importatorilor și Distribuitorilor

Pe baza distincțiilor menționate anterior, în special sistemele AI cu risc înalt sunt supuse unor reglementări stricte datorită gravității riscurilor lor, iar furnizorii și utilizatorii au obligații specifice care le sunt impuse.

În primul rând, furnizorii, utilizatorii, importatorii și distribuitorii trebuie să dezvolte un sistem de gestionare a riscurilor (Articolul 9). Aceasta presupune identificarea riscurilor inerente sistemelor AI cu risc înalt, gestionarea adecvată a acestora prin construirea și implementarea unui sistem, și menținerea acestuia documentat. În plus, în ceea ce privește guvernanța datelor (Articolul 10), se cere utilizarea seturilor de date pentru învățare, validare și testare care îndeplinesc standardele de calitate. Acest lucru este necesar deoarece calitatea și fiabilitatea datelor trebuie gestionate strict chiar și în faza de dezvoltare a sistemului AI.

Mai mult, este obligatorie crearea de documentație tehnică (Articolul 11). Această documentație tehnică trebuie să conțină informații necesare pentru a demonstra că sistemele AI cu risc înalt respectă cerințele de reglementare și să fie pregătită pentru a fi furnizată autorităților competente din statele membre sau organismelor de certificare terțe. De asemenea, este necesară proiectarea și dezvoltarea unei funcții de log care să înregistreze automat evenimentele în timpul funcționării sistemului AI (Articolul 12). În plus, sistemele AI cu risc înalt trebuie înregistrate într-o bază de date sub controlul UE înainte de a fi introduse pe piață, iar furnizorii au responsabilitatea de a menține și documenta un sistem de control al calității.

Obligațiile Furnizorilor

Furnizorii au obligația de a păstra documentația tehnică și documentele legate de sistemul de management al calității, precum și aprobările sau deciziile organismelor de certificare terțe, pentru o perioadă de 10 ani după introducerea pe piață sau începerea operării și de a le prezenta la cererea autorităților naționale competente. Astfel, furnizorii au responsabilitatea de a menține calitatea și siguranța sistemului AI pe termen lung și de a asigura transparența.

Obligațiile Utilizatorilor

Pe de altă parte, utilizatorii au de asemenea obligații specifice asociate cu utilizarea sistemelor AI cu risc înalt. Utilizatorii trebuie să păstreze logurile generate automat de sistemul AI cu risc înalt pentru o perioadă adecvată, în lumina scopului intenționat al sistemului AI, cu excepția cazului în care există prevederi speciale în legislația UE sau națională. În mod specific, este obligatorie păstrarea acestora pentru cel puțin 6 luni.

În plus, atunci când un sistem AI cu risc înalt este introdus sau utilizat într-un mediu de lucru, utilizatorul, care este angajatorul, are obligația de a notifica în prealabil reprezentanții angajaților și angajații afectați cu privire la utilizarea acestui sistem. Aceasta este o măsură stabilită din perspectiva protecției drepturilor lucrătorilor și asigurării transparenței.

Astfel, sistemele AI cu risc înalt impun cerințe și obligații stricte atât pentru furnizori cât și pentru utilizatori. În special, în cazul tehnologiilor AI avansate, cum ar fi dispozitivele medicale sau sistemele de conducere automată, este posibil să se solicite evaluări de conformitate și revizuiri de către organisme de certificare terțe, ținând cont de alinierea cu cadrul de reglementare existent, ceea ce necesită ca întreprinderile să răspundă cu prudență și planificare.

Programul de implementare graduală a Legii privind reglementarea IA în Japonia

Legea UE privind reglementarea inteligenței artificiale (IA) prevede un program de implementare graduală de la promulgare până la aplicare. Acest lucru necesită ca întreprinderile să se pregătească și să răspundă corespunzător la fiecare etapă.

Legea privind reglementarea IA a fost publicată în Monitorul Oficial pe 12 iulie 2024 și a intrat în vigoare pe 1 august 2024. În această etapă, întreprinderile sunt solicitate să verifice și să examineze conținutul reglementărilor.

Pe 2 februarie 2025, vor fi aplicabile articolele referitoare la “Dispoziții generale” și “Sistemele AI cu riscuri inacceptabile”. În cazul în care o întreprindere gestionează un sistem AI cu riscuri inacceptabile, va trebui să înceteze imediat gestionarea acestuia.

Următorul pas, pe 2 mai 2025, va fi publicarea normelor de practică (Codes of Practice) pentru furnizorii de modele generale de IA (GPAI). Întreprinderile vor trebui să răspundă în conformitate cu aceste norme de practică.

După aceea, pe 2 august 2025, articolele referitoare la “Modelele GPAI” și “Sancțiunile” vor fi aplicabile, iar autoritățile de reglementare vor fi numite în fiecare stat membru. În această etapă, furnizorii de modele GPAI vor trebui să respecte reglementările relevante.

Pe 2 februarie 2026, vor fi publicate ghidurile privind metodele de implementare a sistemelor AI conform Legii privind reglementarea IA. În același timp, monitorizarea post-comercializare a sistemelor AI cu risc înalt va deveni obligatorie, iar întreprinderile vor trebui să se organizeze pentru a răspunde acestei cerințe.

Mai mult, pe 2 august 2026, articolele referitoare la “Sistemele AI cu risc înalt” enumerate în Anexa III vor fi aplicabile. La acest moment, statele membre vor trebui să stabilească un sandbox de reglementare pentru IA și să asigure respectarea reglementărilor pentru sistemele AI cu risc înalt vizate.

În final, pe 2 august 2027, articolele referitoare la “Sistemele AI cu risc înalt” enumerate în Anexa I vor fi aplicabile. Astfel, sistemele AI vizate de Anexa I vor trebui, de asemenea, să respecte reglementările stabilite.

Astfel, Legea privind reglementarea IA va fi implementată gradual pe parcursul mai multor ani, aplicând reglementări în funcție de gravitatea riscurilor. Întreprinderile trebuie să înțeleagă exact fiecare termen de aplicare și să avanseze în răspunsurile adecvate pentru sistemele AI vizate.

Articolul asociat: Care este situația actuală și perspectivele Legii privind reglementarea IA în UE? Explicăm și impactul asupra companiilor japoneze[ja]

Ghidul măsurilor noastre de intervenție

Cabinetul de Avocatură Monolith este o firmă de avocatură cu experiență bogată în IT, în special în domeniul internetului și al legii.

Afacerile bazate pe AI implică numeroase riscuri legale, iar suportul unui avocat specializat în problemele legale legate de AI este esențial. Cabinetul nostru oferă suport juridic avansat pentru afacerile cu AI, inclusiv ChatGPT, printr-o echipă de avocați și ingineri cu expertiză în AI, care se ocupă de crearea de contracte, evaluarea legalității modelelor de afaceri, protecția drepturilor de proprietate intelectuală și conformitatea cu reglementările privind confidențialitatea. Detalii suplimentare sunt furnizate în articolul de mai jos.

Domeniile de practică ale Cabinetului de Avocatură Monolith: Servicii juridice pentru AI (inclusiv ChatGPT)[ja]