Οδηγός προς τις επιχειρήσεις για τον ευρωπαϊκό Κανονισμό για την Τεχνητή Νοημοσύνη, γνωστό ως EU AI Act, παρουσιάστηκε σε εκδήλωση της Συνδέσμου.
Όπως τονίστηκε, ακόμη και η χρήση εργαλείων ΑΙ για καθημερινές εργασίες γραφείου δημιουργεί υποχρεώσεις για τις επιχειρήσεις. Το ζητούμενο δεν είναι μόνο ποιο εργαλείο χρησιμοποιούν, αλλά για ποιον σκοπό, με ποια δεδομένα και υπό ποια εποπτεία.
Στο πλαίσιο της εκδήλωσης, ο Σύνδεσμος παρουσίασε τον «Οδηγό για τη Συμμόρφωση των Επιχειρήσεων με τον Κανονισμό EU AI Act». Πρόκειται, όπως επισημαίνει ο ΣΕΒ, για ένα πρακτικό εργαλείο που βοηθά τις επιχειρήσεις να εντοπίσουν τις υποχρεώσεις τους και να οργανώσουν, βήμα προς βήμα, το κατάλληλο πλαίσιο διακυβέρνησης.
Το βασικό μήνυμα είναι ότι η συμμόρφωση δεν εξαντλείται στην αγορά ενός εργαλείου το οποίο ο προμηθευτής χαρακτηρίζει ασφαλές ή συμβατό με τη νομοθεσία. Χρειάζεται καταγραφή των χρήσεων, αξιολόγηση και τεκμηρίωση, ανάλογα με τον ρόλο της επιχείρησης και τον κίνδυνο της εφαρμογής.
Τι ισχύει για την απλή χρήση ChatGPT και Copilot
Σύμφωνα με τις διευκρινίσεις του Οδηγού, μια επιχείρηση που χρησιμοποιεί μόνο ChatGPT ή Copilot για γραφειακές εργασίες δεν βρίσκεται εκτός του πεδίου του Κανονισμού.
Την αφορούν τουλάχιστον η επαρκής κατάρτιση του προσωπικού στην Τεχνητή Νοημοσύνη -το λεγόμενο AI literacy-, η διαμόρφωση πολιτικής χρήσης και ο έλεγχος ότι οι εφαρμογές δεν εμπίπτουν σε απαγορευμένες πρακτικές.
Οι χρήσεις γενικής παραγωγικότητας χαρακτηρίζονται στον Οδηγό συνήθως ως ελάχιστου ή περιορισμένου κινδύνου. Ωστόσο, πρέπει να καταγράφονται και να επανεξετάζονται όταν επεκτείνονται. Επομένως, η απλή χρήση ενός τέτοιου εργαλείου δεν συνεπάγεται αυτομάτως παράβαση, αλλά ούτε απαλλάσσει την επιχείρηση από τις υποχρεώσεις που την αφορούν.
Ευθύνη της διοίκησης η συμμόρφωση
Ο Συν-πρόεδρος της Επιτροπής Τεχνολογίας & Ψηφιακού Μετασχηματισμού του ΣΕΒ, Κυριάκος Σαμπατακάκης, υπογράμμισε ότι ο Κανονισμός επιδιώκει να προστατεύσει τα θεμελιώδη δικαιώματα και την ασφάλεια, χωρίς να ανακόψει την καινοτομία.
«Για τις επιχειρήσεις, η συμμόρφωση δεν είναι μια αποσπασματική άσκηση αλλά ζήτημα εταιρικής διακυβέρνησης και στρατηγικής ετοιμότητας», ανέφερε.
Όπως εξήγησε, η διοίκηση πρέπει να γνωρίζει ποια συστήματα ΤΝ χρησιμοποιούνται, για ποιον σκοπό, με ποια δεδομένα, ποιοι επηρεάζονται και ποιος λογοδοτεί για τις αποφάσεις και τα αποτελέσματά τους. Παράλληλα, χαρακτήρισε την εφαρμογή του Κανονισμού ευκαιρία για την ενίσχυση της εμπιστοσύνης πελατών και επενδυτών.
Δεν αρκεί η διαβεβαίωση του προμηθευτή
Η δήλωση ενός προμηθευτή ότι το εργαλείο του «είναι συμμορφωμένο» αποτελεί στοιχείο του αρχικού ελέγχου, όχι υποκατάστατο της αξιολόγησης που οφείλει να κάνει η ίδια η επιχείρηση.
Όπως διευκρινίζει ο Οδηγός, ο φορέας εφαρμογής διατηρεί δικές του υποχρεώσεις για τη χρήση σύμφωνα με τις οδηγίες, την εποπτεία, τη διαφάνεια και την παρακολούθηση, όπου αυτές προβλέπονται.
Ιδιαίτερη προσοχή απαιτείται και όταν μια επιχείρηση αλλάζει ρόλο. Ο Οδηγός επισημαίνει ότι μπορεί να αναλάβει υποχρεώσεις παρόχου όταν διαθέτει σύστημα υψηλού κινδύνου με δικό της σήμα ή επωνυμία, το τροποποιεί ουσιωδώς ή μεταβάλλει τον επιδιωκόμενο σκοπό χρήσης του.
Η ανθρώπινη απόφαση δεν αποκλείει τον υψηλό κίνδυνο
Το γεγονός ότι ένα σύστημα κάνει μόνο προτάσεις και η τελική απόφαση λαμβάνεται από άνθρωπο δεν αρκεί για να θεωρηθεί η εφαρμογή εκτός υψηλού κινδύνου.
Κρίσιμο στοιχείο, σύμφωνα με τον Οδηγό, είναι αν ο άνθρωπος έχει πραγματική δυνατότητα κατανόησης, αμφισβήτησης και παράκαμψης του αποτελέσματος. Η ανθρώπινη εποπτεία δεν πρέπει, δηλαδή, να περιορίζεται σε μια τυπική έγκριση.
Χαρακτηριστικό παράδειγμα αποτελούν συστήματα που επηρεάζουν ουσιωδώς αποφάσεις για φυσικά πρόσωπα, όπως η επιλογή υποψηφίων για πρόσληψη. Η πρόβλεψη ουσιαστικής ανθρώπινης εποπτείας αποτελεί μία από τις βασικές απαιτήσεις για τα συστήματα υψηλού κινδύνου.
Οι τομείς που απαιτούν αυξημένη προσοχή
Στο υλικό που παρουσιάστηκε περιγράφονται εφαρμογές υψηλού κινδύνου σε κρίσιμους τομείς. Η κατάταξη αφορά τη συγκεκριμένη λειτουργία και τον σκοπό ενός συστήματος και όχι αδιακρίτως κάθε χρήση τεχνητής νοημοσύνης στον ίδιο κλάδο.
Μεταξύ των εφαρμογών που αναφέρονται είναι:
- Απασχόληση: πρόσληψη και επιλογή υποψηφίων, αποφάσεις για προαγωγές ή λύση εργασιακών σχέσεων, κατανομή εργασιών και παρακολούθηση επιδόσεων.
- Εκπαίδευση και κατάρτιση: πρόσβαση σε εκπαιδευτικές υπηρεσίες, αξιολόγηση μαθησιακών αποτελεσμάτων και παρακολούθηση κατά τη διάρκεια εξετάσεων.
- Υποδομές ζωτικής σημασίας: συστήματα που λειτουργούν ως στοιχεία ασφάλειας σε υποδομές, όπως η κυκλοφορία, το νερό και η ενέργεια.
- Βασικές υπηρεσίες: αξιολόγηση πρόσβασης σε δημόσιες παροχές, πιστοληπτικής ικανότητας και κινδύνων για ασφαλίσεις ζωής και υγείας.
- Δικαιοσύνη, επιβολή του νόμου και μετανάστευση: συγκεκριμένες χρήσεις για αξιολόγηση στοιχείων, εκτίμηση κινδύνων και εξέταση αιτημάτων.
- Δημοκρατικές διαδικασίες και ασφάλεια προϊόντων: εφαρμογές που μπορούν να επηρεάσουν εκλογικά αποτελέσματα ή αποτελούν στοιχεία ασφάλειας προϊόντων.
Πρακτικές στην απαγορευμένη ζώνη
Διαφορετική από την κατηγορία υψηλού κινδύνου είναι εκείνη των απαγορευμένων πρακτικών. Στην παρουσίαση αναφέρθηκαν, μεταξύ άλλων, η χειραγώγηση μέσω υποσυνείδητων ή παραπλανητικών τεχνικών που μπορεί να προκαλέσει σημαντική βλάβη και η εκμετάλλευση ευάλωτων χαρακτηριστικών, όπως η ηλικία, η αναπηρία ή η κοινωνικοοικονομική κατάσταση.
Αναφέρθηκαν επίσης η κοινωνική βαθμολόγηση που οδηγεί σε αδικαιολόγητη ή δυσανάλογη δυσμενή μεταχείριση, η πρόβλεψη τέλεσης εγκλήματος αποκλειστικά βάσει προφίλ ή χαρακτηριστικών προσωπικότητας και η μη στοχευμένη συλλογή εικόνων προσώπου από το διαδίκτυο ή κάμερες ασφαλείας για βάσεις αναγνώρισης προσώπου.
Ειδικοί περιορισμοί και εξαιρέσεις περιγράφονται για τη συναγωγή συναισθημάτων σε χώρους εργασίας και εκπαιδευτικά ιδρύματα, καθώς και για ορισμένες βιομετρικές χρήσεις. Η αξιολόγηση κάθε εφαρμογής χρειάζεται να λαμβάνει υπόψη τις συγκεκριμένες προϋποθέσεις του Κανονισμού.
Εκτίμηση αντικτύπου και πιστοποιήσεις
Η Εκτίμηση Αντικτύπου στα Θεμελιώδη Δικαιώματα, γνωστή ως FRIA, δεν παρουσιάζεται στον Οδηγό ως γενική υποχρέωση για κάθε επιχείρηση. Αφορά συγκεκριμένες περιπτώσεις φορέων εφαρμογής συστημάτων υψηλού κινδύνου, όπως η παροχή δημόσιων υπηρεσιών συνδεόμενων με καθήκοντα δημόσιου συμφέροντος, η αξιολόγηση πιστοληπτικής ικανότητας φυσικών προσώπων και η τιμολόγηση ασφαλίσεων ζωής ή υγείας.
Αντίστοιχα, η πιστοποίηση ISO/IEC 42001 μπορεί να αποδεικνύει οργανωτική ωριμότητα και να διευκολύνει την προετοιμασία, αλλά, όπως επισημαίνεται, δεν παρέχει από μόνη της πλήρη νομική κάλυψη.
Έλεγχοι στην αγορά και έμφαση στην επιμόρφωση
Ο Ειδικός Γραμματέας Τεχνητής Νοημοσύνης & Διακυβέρνησης Δεδομένων, Βασίλης Καρκατζούνης, ανέφερε ότι βρίσκεται σε εξέλιξη διερεύνηση της ελληνικής αγοράς για ενδεχόμενη χρήση απαγορευμένων πρακτικών ΤΝ.
Υπογράμμισε ότι στόχος της Πολιτείας είναι να βοηθήσει τις επιχειρήσεις να συμμορφωθούν και όχι να τις απειλήσει με πρόστιμα. Σύμφωνα με τον ίδιο, η εφαρμογή προγραμμάτων επιμόρφωσης των εργαζομένων στην τεχνητή νοημοσύνη θα προσμετράται ευνοϊκά κατά τον προσδιορισμό ενδεχόμενων κυρώσεων σε περιπτώσεις παραβάσεων.
Ο Οδηγός προτείνει επτά κρίσιμες διαδικασίες για τις επιχειρήσεις που αναπτύσσουν, διαθέτουν ή χρησιμοποιούν συστήματα ΤΝ. Επισημαίνει, παράλληλα, ότι ορισμένες υποχρεώσεις ισχύουν ήδη και ότι η προετοιμασία για συστήματα υψηλού κινδύνου μπορεί να απαιτήσει 12 έως 24 μήνες. Το πρακτικό μήνυμα προς τις επιχειρήσεις είναι να ξεκινήσουν από την καταγραφή των εφαρμογών τους και την αποσαφήνιση των ευθυνών, αντί να αντιμετωπίζουν τη συμμόρφωση ως μελλοντική εκκρεμότητα.
