Законодательство ЕС об ИИ и необходимые меры со стороны японских компаний

12 июля 2024 года (令和6年7月12日) в Европейском Союзе был опубликован «Закон об ИИ (EU AI Act)», который вступил в силу с 1 августа того же года.
Данный закон регулирует использование и предоставление систем искусственного интеллекта в пределах ЕС и, начиная с 2025 года, будет требовать определенных действий также от японских компаний.

Конкретно это означает, что японские операторы интернет-магазинов, подобно необходимости соответствия «Общему регламенту по защите данных (GDPR)» ЕС, также должны будут учитывать законодательство ЕС об ИИ при предоставлении продуктов и услуг, связанных с искусственным интеллектом, для клиентов внутри Европейского Союза.

Здесь мы объясним, какие меры должны предпринять соответствующие предприятия в связи с введением этого закона, включая классификацию рисков систем ИИ и оценку соответствия, а также другие аспекты регулирования.

Основы: Различия между “регламентами” и “директивами” в законодательстве ЕС

Прежде чем перейти к объяснению самого закона об ИИ, необходимо понять различия между “регламентами” и “директивами” в законодательстве ЕС.

Во-первых, “регламент” – это законодательный акт, который применяется непосредственно во всех странах-членах ЕС, предприятиях и прочих организациях. Это означает, что он имеет приоритет над национальным законодательством стран-членов и обеспечивает единое применение правил на всей территории ЕС. Таким образом, когда регламент вступает в силу, во всех странах-членах ЕС начинают действовать одни и те же регулирующие положения.

С другой стороны, “директива” предназначена для согласования и унификации регулирующих положений между странами-членами ЕС. Однако директива не применяется непосредственно к странам-членам, и каждая страна должна внести содержание директивы в свое национальное законодательство. Обычно страны должны принять или изменить национальное законодательство в течение трех лет после публикации директивы в официальном журнале ЕС.

Одной из особенностей “директивы” является то, что при преобразовании ее в национальное законодательство странам-членам предоставляется определенная свобода действий, что может привести к различиям в законодательстве разных стран. То есть, законодательство, основанное на “директиве”, не является полностью унифицированным в пределах ЕС, и между странами могут возникать некоторые различия, на что следует обратить внимание.

Исходя из этого различия, закон об ИИ разработан как “регламент”. Это означает, что закон об ИИ применяется непосредственно к предприятиям, находящимся на территории ЕС.

Связанная статья: Необходимо знать компаниям, развивающим бизнес в Европе: ключевые моменты законодательства и правовой системы ЕС[ja]

Регулирование ИИ и экстерриториальное применение в Японии

Что такое экстерриториальное применение

Экстерриториальное применение означает, что закон, принятый в одной стране, может применяться к действиям, совершенным за пределами ее суверенной территории. Это понятие призвано обеспечить справедливость и корректность мировой экономической деятельности на фоне глобализации экономики и интернационализации бизнеса.

Примером широкого признания этого концепта стал GDPR (Общий регламент по защите данных ЕС). Согласно GDPR, даже компании, не имеющие базы в ЕС, могут подпадать под его действие (экстерриториальное применение), если они соответствуют следующим критериям:

• Предоставление товаров или услуг лицам в ЕС
• Обработка персональных данных с целью мониторинга поведения лиц в ЕС

Например, в случае, когда компания за пределами ЕС отправляет своих сотрудников в командировку в ЕС и обрабатывает связанную с этим персональную информацию, руководство 2020 года указывало на исключение из применения, хотя изначально вопрос экстерриториального применения был предметом дискуссии.

Экстерриториальное применение закона о регулировании ИИ в Японии

В законе о регулировании ИИ ЕС также предусмотрено экстерриториальное применение к компаниям, находящимся за пределами ЕС. Это касается следующих субъектов и видов деятельности:

• Поставщики (Providers): разработчики систем ИИ или моделей GPAI, а также те, кто поручает разработку и вводит их на рынок или начинает использовать системы ИИ под своим именем или торговой маркой
• Пользователи (Users): лица, использующие системы ИИ под своей ответственностью (за исключением случаев личного и непрофессионального использования)
• Импортеры (Importers): импортеры, находящиеся или учрежденные в ЕС, которые вводят на рынок ЕС системы ИИ с наименованием или торговой маркой лиц, учрежденных за пределами ЕС
• Дистрибьюторы (Distributers): физические или юридические лица, не являющиеся поставщиками или импортерами, которые вводят системы ИИ на рынок ЕС

Таким образом, даже если компания находится за пределами ЕС, но занимается предоставлением, эксплуатацией, импортом или использованием систем ИИ или моделей GPAI внутри ЕС, на нее будет прямо распространяться закон о регулировании ИИ ЕС.

Особенности регулирования искусственного интеллекта в ЕС: подход, основанный на оценке рисков

Что такое подход, основанный на оценке рисков

Одной из ключевых особенностей законодательства ЕС об искусственном интеллекте является регулирование, основанное на содержании и степени риска (подход, основанный на оценке рисков).

Подход, основанный на оценке рисков, предполагает регулирование силы в зависимости от содержания и степени риска. В рамках этого подхода степень строгости регулирования системы искусственного интеллекта определяется в соответствии с серьезностью рисков, которые она может представлять.

Конкретно, для систем искусственного интеллекта с высоким уровнем риска применяются более строгие регулятивные меры, в то время как системы с низким уровнем риска подлежат относительно более мягкому регулированию. Это позволяет избежать чрезмерного регулирования систем с низким риском и, наоборот, обеспечить адекватный контроль и управление для систем с высоким риском.

Системы искусственного интеллекта с недопустимыми рисками под японским законодательством

Прежде всего, системы искусственного интеллекта (AI), которые считаются имеющими недопустимые риски, воспринимаются как угроза для людей и в принципе запрещены в Японии.

Например, к таким системам относятся голосовые игрушки, которые могут поощрять опасное поведение у детей, манипулируя восприятием и поведением определенных уязвимых групп пользователей. Также запрещено социальное скорингование, которое классифицирует людей на основе их поведения, социально-экономического статуса или личных характеристик. Кроме того, в принципе запрещены системы «реального времени и удаленной биометрической аутентификации», которые используют технологии распознавания лиц для сравнения биометрических данных человека с базой данных для удаленной идентификации личности.

Однако существуют исключения, при которых использование этих систем может быть разрешено. В частности, системы удаленной биометрической аутентификации в реальном времени могут быть разрешены только в ограниченном числе серьезных случаев. В то же время, системы удаленной биометрической аутентификации после события могут быть разрешены только с судебного разрешения и только с целью привлечения к ответственности за серьезные преступления.

Кроме того, существуют исключительные случаи, когда такие системы могут быть использованы, например, для поиска пропавших детей или потенциальных жертв преступлений, для предотвращения конкретных и неминуемых угроз безопасности жизни и здоровья людей или террористических атак, а также для обнаружения преступников или подозреваемых в совершении тяжких преступлений и определения их местонахождения. Для этих исключений установлены строгие ограничения, включая принцип предварительного разрешения суда, что требует осторожного использования AI систем.

Высокорисковые AI-системы под японским законодательством

Высокорисковые AI-системы в Японии классифицируются как таковые, которые могут оказать негативное воздействие на безопасность и основные человеческие права. Их использование разрешается при условии соответствия определенным требованиям и обязательствам (оценка соответствия).

Высокорисковые AI-системы делятся на две основные категории. Во-первых, это AI-системы, используемые в продукции, подпадающей под законодательство ЕС о безопасности продукции, включая, например, игрушки, авиационную технику, автомобили, медицинские устройства и лифты. Во-вторых, это AI-системы, относящиеся к определенным сферам, регистрация которых в базе данных ЕС является обязательной. К этим сферам относятся управление и эксплуатация критически важной инфраструктуры, образование и профессиональное обучение, управление трудоустройством и работниками, доступ к необходимым общественным услугам и льготам, правоприменение, иммиграция и убежище, управление границами, поддержка в толковании и применении закона.

Для высокорисковых AI-систем требуется оценка до введения в оборот на рынке и на протяжении всего жизненного цикла. Кроме того, предусмотрено право обращения с жалобами на AI-системы в назначенные национальные органы.

В общих чертах можно сказать, что к высокорисковым AI относятся системы, связанные с обеспечением безопасности жизни и здоровья человека, такие как машины и транспортные средства. Например, AI для автономного вождения также может подпадать под эту категорию, поэтому японским компаниям, разрабатывающим AI для автономного вождения и планирующим выход на международный рынок, необходимо тщательно рассмотреть соответствие требованиям высокорисковых AI и обеспечить адекватное реагирование.

Системы ИИ с ограниченным риском под японским законодательством

В отношении систем искусственного интеллекта (ИИ) с ограниченным риском предполагаются риски, связанные с прозрачностью, а также риски мошенничества, манипуляций и подделки личности. Конкретно это касается чат-ботов, технологий создания глубоких подделок (deepfake) и генеративного ИИ, которые, согласно мнению Европейского парламента, составляют большую часть ИИ-систем, используемых на сегодняшний день. К таким системам относятся, например, автоматические системы перевода, игровые консоли, роботы, выполняющие повторяющиеся производственные процессы, а также ИИ-системы типа “машины Эврика”.

Что касается генеративного ИИ, то хотя он не классифицируется как высокорисковый, требуется соблюдение требований прозрачности и соответствие законодательству ЕС об авторском праве. В частности, необходимо выполнение следующих мер:

• Ясно раскрывать информацию о том, что контент был создан с помощью ИИ
• Проектировать модели таким образом, чтобы не генерировать незаконный контент
• Публиковать обзор данных, защищенных авторским правом, использованных для обучения ИИ

Кроме того, для таких продвинутых и влиятельных общих моделей ИИ, как “GPT-4”, которые могут представлять системные риски, требуется тщательная оценка. В случае возникновения серьезных инцидентов налагается обязанность сообщать о них Европейской комиссии. Дополнительно, контент, созданный или измененный с помощью ИИ (изображения, аудио, видеофайлы, deepfake и т.д.), должен ясно обозначаться как созданный с помощью ИИ, чтобы пользователи могли правильно идентифицировать такой контент.

Системы ИИ с минимальным уровнем риска в Японии

Наконец, в отношении систем искусственного интеллекта с минимальным уровнем риска в Японии не предусмотрены специальные регулятивные меры. Конкретные примеры включают такие системы, как фильтры для спама и рекомендательные системы. В этой категории вместо регулирования преимущественно поощряется разработка и соблюдение кодекса поведения.

Требования и обязанности по высокорисковым AI системам в Японии

Обязанности поставщиков, пользователей, импортеров и дистрибьюторов

В соответствии с вышеупомянутым различием, особенно для высокорисковых AI систем, в связи с серьезностью рисков, предусмотрены особенно строгие регулирования, и от поставщиков и пользователей требуются конкретные обязанности.

Во-первых, от поставщиков, пользователей, импортеров и дистрибьюторов требуется создание системы управления рисками (статья 9). Это означает обязанность построения, внедрения и поддержания системы, которая позволяет идентифицировать и адекватно управлять рисками, присущими высокорисковым AI системам, а также её документирование. Кроме того, в области управления данными (статья 10) требуется использование наборов данных для обучения, проверки и тестирования, соответствующих стандартам качества. Это необходимо, поскольку на этапе разработки AI системы качество и надежность данных должны быть строго контролируемы.

Далее, предусмотрена обязанность создания технической документации (статья 11). Эта техническая документация должна содержать информацию, необходимую для подтверждения соответствия высокорисковых AI систем регуляторным требованиям, и быть подготовленной к предоставлению компетентным органам стран-членов или организациям по сертификации третьих сторон. Также необходимо разработать и внедрить функцию логирования, которая автоматически записывает события во время работы AI системы (статья 12). Кроме того, высокорисковые AI системы должны быть зарегистрированы в базе данных под управлением ЕС до их ввода в эксплуатацию, и поставщики несут ответственность за разработку, документирование и поддержание системы управления качеством.

Обязанности поставщиков

Поставщики обязаны сохранять техническую документацию, документы системы управления качеством, документы утверждения или решения организаций по сертификации третьих сторон и другие связанные документы в течение 10 лет после ввода в эксплуатацию или начала использования на рынке и предоставлять их по запросу национальных регулирующих органов. Таким образом, поставщики несут ответственность за долгосрочное поддержание качества и безопасности AI систем и обеспечение прозрачности.

Обязанности пользователей

С другой стороны, на пользователей также возлагаются конкретные обязанности, связанные с использованием высокорисковых AI систем. Пользователи обязаны сохранять логи, автоматически генерируемые высокорисковыми AI системами, в течение соответствующего периода времени в соответствии с предполагаемыми целями этих AI систем, если только законодательство ЕС или законодательство стран-членов не предусматривает иное. Конкретно, обязательное сохранение данных не менее чем на шесть месяцев.

Кроме того, если высокорисковая AI система вводится в эксплуатацию или используется на рабочем месте, пользователь, являющийся работодателем, обязан заранее уведомить представителей работников и затронутых работников о том, что данная система будет использоваться. Это предусмотрено с точки зрения защиты прав работников и обеспечения прозрачности.

Таким образом, для высокорисковых AI систем установлены строгие требования и обязанности как для поставщиков, так и для пользователей. Особенно в случаях обращения с передовыми AI технологиями, такими как медицинское оборудование или системы автономного вождения, может потребоваться проведение оценки соответствия и проверка организациями по сертификации третьих сторон с учетом согласованности с существующими регуляторными рамками, поэтому предприятиям необходимо подходить к этому вопросу осторожно и планомерно.

Пошаговое введение в действие закона о регулировании ИИ в Японии

Закон ЕС о регулировании искусственного интеллекта предусматривает поэтапное введение в действие, начиная с официального опубликования и до полного применения. Это требует от компаний подготовки и соответствующего реагирования на каждом этапе.

12 июля 2024 года закон о регулировании ИИ был опубликован в официальном вестнике, а 1 августа того же года вступил в силу. На этом этапе от компаний требуется лишь проверка и оценка содержания регулирования.

2 февраля 2025 года начнут применяться положения, касающиеся “Общих положений” и “Систем ИИ с недопустимым риском”. Если компания обнаружит, что она использует систему ИИ с недопустимым риском, ей необходимо немедленно прекратить её использование.

Затем, 2 мая 2025 года будут опубликованы практические нормы (Codes of Practice) для поставщиков универсальных моделей ИИ (GPAI). Компаниям необходимо будет следовать этим практическим нормам.

После этого, 2 августа 2025 года начнут действовать положения, касающиеся “Моделей GPAI” и “Наказаний”, а также будет произведено назначение регулирующих органов в каждой стране-участнице. На этом этапе поставщики моделей GPAI должны будут соблюдать соответствующие правила.

2 февраля 2026 года будут опубликованы руководящие принципы по реализации систем ИИ в соответствии с законом о регулировании ИИ. В то же время будет введен обязательный послепродажный мониторинг систем ИИ с высоким риском, что потребует соответствующей организации работы.

Далее, 2 августа 2026 года начнут применяться положения, касающиеся “Систем ИИ с высоким риском”, указанных в Приложении III. На этом этапе страны-участницы должны будут установить регулирующие песочницы для ИИ и обеспечить соблюдение правил для соответствующих систем ИИ с высоким риском.

Наконец, 2 августа 2027 года начнут действовать положения, касающиеся “Систем ИИ с высоким риском”, указанных в Приложении I. Это означает, что для систем ИИ, перечисленных в Приложении I, также будет обязательным соблюдение установленных правил.

Таким образом, закон о регулировании ИИ будет вводиться в действие поэтапно на протяжении нескольких лет, и регулирование будет применяться последовательно в соответствии с уровнем риска. Компаниям необходимо точно понимать сроки введения в действие и продвигать соответствующие меры в зависимости от систем ИИ, на которые они распространяются.

Связанные статьи: Каковы текущее состояние и перспективы закона о регулировании ИИ в ЕС? Анализ влияния на японские компании[ja]

Информация о мерах, предпринимаемых нашей юридической фирмой

Юридическая фирма “Монолит” обладает обширным опытом в области IT, особенно в интернете и праве. Мы предоставляем уникальные и эффективные юридические услуги, сочетая IT и юридическую экспертизу.

Бизнес, связанный с искусственным интеллектом (AI), сопряжен с множеством юридических рисков, и поддержка адвокатов, специализирующихся на вопросах AI, является необходимой. Наша фирма предлагает высококвалифицированную юридическую поддержку для бизнеса, связанного с AI, включая ChatGPT, с помощью команды адвокатов, разбирающихся в AI, и инженеров. Мы предоставляем услуги по составлению договоров, проверке законности бизнес-моделей, защите интеллектуальной собственности и обеспечению конфиденциальности. Подробности вы найдете в статье ниже.

Сферы деятельности юридической фирмы “Монолит”: Юридические услуги в области AI (включая ChatGPT и др.)[ja]