Efter ett 36-timmars förhandlingsmaraton (enligt rykten nytt EU-rekord) nådde Europeiska rådet, EU kommissionen och EU parlamentet äntligen en politisk överenskommelse om AI-akten. Det var många som tvivlade på att det ens skulle bli någon akt, än mindre att en överenskommelse skulle kunna nås under 2023.
Ni som lyssnade på passet om AI-akten på Certezzas säkerhetsdag känner till flera av de stora problemområdena. För er som missade årets säkerhetsdag kommer här en snabb recap:
Oacceptabel risk
AI-tillämpningar som bedöms utgöra en oacceptabel risk ska enligt AI-akten vara förbjudna. En av de stora diskussionerna i slutförhandlingarna har handlat om att parlamentet vill utöka listan över förbjudna tillämpningar. Här var den stora stridsfrågan biometrisk fjärridentifiering i realtid. Parlamentet ville förbjuda det helt medans kommissionen ville ha flera undantag från förbudet. Parlamentet ville även lägga till förbud mot att AI-system som identifierar känslor hos personer på arbetsplatser och i utbildningsinstitutioner. En annan diskussion avseende förbjudna tillämpningar av AI var om AI-system skulle tillåtas användas för utvärdering av personers framtida risk för brottslighet.
Högrisk-AI
Avseende högrisk-AI handlade diskussionen framförallt om hur man skulle identifiera vad som kan anses vara högrisk-AI. Vidare ville parlamentet ha ytterligare krav på AI-system som klassas som högrisk, bl.a. obligatoriska bedömningar avseende konsekvenser för grundläggande rättigheter för de som exponeras för AI-systemet.
Grundmodeller
Parlamentet ville införa krav på AI-grundmodeller att registrera sina modeller i en EU-databas, utföra konsekvensbedömningar avseende risker för människors hälsa, säkerhet, grundläggande rättigheter, miljö samt risker för demokrati och rättsstaten. Parlamentet ville även införa transparenskrav för grundmodeller som skulle säkerställa att leverantörer av dessa AI-system informerar om att t.ex. innehållet är AI-genererat eller hjälper de som exponerats för genererat material att avgöra om det är s.k. deep fake. Under de sista veckorna av förhandlingarna slängde Tyskland, Frankrike och Italiens representanter från Rådet in ett krav på att grundmodeller skulle vara helt oreglerade i AI-akten.
Hur gick det då?
Alla parter är nu överens om att AI-akten ska förbjuda AI-system som:
Vidare förbjuds även AI-system som tillämpas för känsloidentifiering på arbetsplatsen eller utbildningsinstitutioner och AI-system som utvärderar framtida risk för brottslighet. Överenskommelsen verkar dock innehålla ett litet undantag avseende detta förbud. AI-system som används för att analysera trender inom brottslighet och analys av anonyma data, som inte kan knytas till specifika personer kommer tillåtas. Det blir även förbjudet att använda AI för att “skrapa” ansiktsbilder på människor på internet i syfte att bygga databaser för ansiktsigenkänning. Biometrisk fjärridentifiering i realtid tillåts, men endast under vissa omständigheter (t.ex. vid terroristbrott eller eftersökande av brottsoffer).
För att identifiera vad som ska falla under kategorin högrisk-AI kommer AI-akten innehålla kriterier och högrisk-områden. Parlamentet fick igenom sitt krav att det för alla AI-system som klassas som högrisk-AI även ska göras en konsekvensbedömning avseende grundläggande rättigheter.
Avseende grundmodeller verkar parterna ha landat i att transparenskraven ska gälla för grundmodeller och de AI-system som bygger på grundmodeller. När det gäller AI-system som bygger på grundmodeller, men som har stor genomslagskraft och innebär en systemrisk fick parlamentet igenom sitt krav på strängare skyldigheter. Bl.a. måste bedömningar genomföras och åtgärder vidtas för att minska systemrisker, incidenter rapporteras, cybersäkerhets åtgärder vidtas.
Kort implementeringstid
AI-akten kommer att ha kortare implementeringstid än många bedömare förutsett. Många medlemsländer har bedömt att de behöver åtminstone upp till fem år för att bli redo för en fullskalig implementering av AI-akten. Resultatet av trilogförhandlingarna blev dock ett helt annat. Formella beslut om AI-akten väntas i början på 2024. Kort därefter kommer akten träda i kraft och sedan har medlemsstaterna 24 månader på sig innan den ska ha implementerats fullt ut. Förbuden i AI-akten ska dock tillämpas redan sex månader efter att akten trätt i kraft och krav på bl.a. högrisk-AI kommer börja tillämpas redan efter 12 månader.
Källor:
Press conference – Part 9 (Q&A) (europa.eu)
AI Act: EU policymakers nail down rules on AI models, butt heads on law enforcement – EURACTIV.com
Parliament’s negotiating position on the artificial intelligence act (europa.eu)
