ELi tehisintellekti määrus: liigitage kasutusjuhud ja kavandage tõendid

Tehisintellekti juhtimine algab teadmisest, milliseid süsteeme organisatsioon pakub, juurutab või muul viisil kättesaadavaks teeb. Mudelinimede loetelust ei piisa: uuritavad kohustused määravad sihtotstarve, kasutuskeskkond ja teie roll.

Juhtkonna jaoks on liigitamine nii ressursside jaotamise otsus kui ka õiguslik hinnang. See määrab, millised projektid vajavad eksperdi ülevaatust, mida peavad tarnijad tõendama ja millised tõendid peavad olemas olema enne väljalaset. Värbamistööriist ja sisemine kirjutamisabiline võivad kasutada sama mudelit, kuid vajada väga erinevaid hinnanguid.

Kasulik tulemus on ülevaadatud kasutusjuhtude register, mis on seotud omanike, nõuete, tõendite ja muudatusotsustega – mitte kogu ettevõtet hõlmav silt „madala riskiga tehisintellekt“.

Määrake ulatus ja vastutus enne riski omistamist

ELi tehisintellekti määrus (EU AI Act) on määrus, mille kohustused sõltuvad tegevusest, süsteemist ja operaatorist. Selle territoriaalne kohaldamisala hõlmab pakkujaid, kes lasevad süsteeme ELi turule või võtavad neid kasutusele, ELis asutatud või asuvaid juurutajaid ning teatud ELi-väliseid pakkujaid ja juurutajaid, kui süsteemi väljundeid kasutatakse ELis. Kodakondsus üksi ei ole kriteerium.

Laske õigus- ja tehnilistel ülevaatajatel kindlaks teha, kas rakendus vastab määruse tehisintellektisüsteemi määratlusele ja kas kohaldub mõni asjakohane kohaldamisala välistus. Ärge eeldage, et iga automatiseerimisskript on tehisintellekt või et väliselt majutatud teenus jääb teie vastutusalast välja.

Seejärel salvestage oma roll:

• Pakkuja: arendab süsteemi või laseb selle arendada ning laseb selle turule või võtab kasutusele oma nime või kaubamärgi all.
• Juurutaja: kasutab süsteemi oma volitusel kutsetegevuse raames.
• Importija või levitaja: toob asjakohased süsteemid ELi turule või teeb need tarneahela kaudu kättesaadavaks, millega kaasnevad kontrollikohustused.
• Toote tootja või volitatud esindaja: omab kohustusi, mis tulenevad konkreetsest tootekorraldusest või kirjalikust volitusest.

Organisatsioon võib oma portfelli eri osades olla erinevates rollides. API ostmine ei määra valmisrakenduse rolli. Kaubamärgi muutmine, oluline muutmine või sihtotstarbe muutmine võib kohaldatavatel tingimustel kaasa tuua pakkuja kohustused. Peenhäälestus on seega ülevaatuse käivitaja, mitte automaatne õiguslik järeldus.

Eristage üldotstarbelist tehisintellektimudelit selle ümber ehitatud süsteemist. Mudeli pakkuja kohustused ja järgneva süsteemi kohustused on omavahel seotud, kuid mitte vahetatavad.

Looge kasutusjuhtude inventar, mis toetab otsuseid

Inventeerige ärifunktsioone, mitte ainult tarnijaid. Küsitlege hanke-, personali-, toote-, tegevus- ja IT-meeskondi: tehisintellekt võib saabuda olemasoleva tarnija uue funktsiooni kaudu, mitte eraldi ostuna.

Salvestage iga kasutusjuhu kohta:

Salvestage tegelikud töövood koos sihtotstarbega. Tööriist, mida kirjeldatakse kui „värbaja abi“, võib kandidaate tegelikult välja jätta, kui töötajad vaatavad ainult selle lühinimekirja. Kirjalik poliitika, mis nõuab inimese ülevaatust, ei tõenda, et ülevaatus toimub.

Tulemuseks on versioonitud kirje iga kasutusjuhu kohta. Lahendamata liigitused peaksid jääma nähtavalt lahendamata koos omaniku ja otsuse tähtajaga, selle asemel et vaikimisi langeda kõige vähem nõudlikku kategooriasse.

Hinnake keelde, suure riski teid ja läbipaistvust eraldi

Tuttav neljatasandiline kirjeldus – keelatud, suure riskiga, läbipaistvusega seotud ja madalama riskiga – on kasulik sissejuhatus. See ei ole täielik otsustuspuu. Läbipaistvuskohustused võivad kattuda suure riskiga seotud kohustustega ning tehisintellektialase kirjaoskuse kohustused ei piirdu suure riskiga süsteemidega.

Sõeluge esmalt välja keelatud tavad

Artikkel 5 keelab kindlaksmääratud tavad, arvestades sätte üksikasjalikke tingimusi ja erandeid. Asjakohased sõelumisküsimused hõlmavad seda, kas süsteem kasutab kahjulikku manipuleerimist või ärakasutab haavatavust, teeb keelatud sotsiaalset punktiarvestust, loob näotuvastuse andmebaase sihtimata kraapimise teel või teostab keelatud biomeetrilist liigitamist.

Tehisintellektil põhinev emotsioonide tuletamine biomeetrilistest andmetest töökohtadel ja haridusasutustes on samuti keelatud, välja arvatud kindlaksmääratud meditsiinilistel või ohutusega seotud põhjustel. Ainult tekstipõhine meelsusanalüüs ei kuulu selle keelu alla üksnes seetõttu, et see hindab emotsionaalset tooni. Teatud õiguskaitsealastel biomeetrilistel kasutusviisidel on rangelt piiritletud reeglid; „kogu näotuvastus on keelatud“ ei ole hindamise täpne asendaja.

Eskaleerige võimalik keelatud tava enne hanget või kasutuselevõttu. Tõendid peaksid kirjeldama funktsionaalsust ja õiguslikku arutluskäiku, mitte lihtsalt kordama tarnija väidet „eetilisest tehisintellektist“.

Kontrollige mõlemat suure riskiga liigitamise teed

Reguleeritud toote tee, artikli 6 lõige 1: uurige, kas tehisintellekt on ise toode või asjakohase I lisa õigusaktiga hõlmatud toote turvakomponent ning kas see toode nõuab kolmanda isiku tehtavat vastavushindamist. Mõlemad tingimused on olulised. Kasutage konkreetse tootekorra puhul muudetud õigusteksti; tehisintellekti lisamine ei tähenda üksi suure riskiga staatust.

III lisa tee, artikli 6 lõige 2: uurige, kas sihtotstarbeline funktsioon vastab loetletud kasutusjuhule. Kaheksa valdkonda on laiad pealkirjad, mitte reeglid, mis muudavad iga tööstusharu iga rakenduse suure riskiga rakenduseks.

Lugege üksikasjalikke kirjeid ja välistusi. Näiteks eristatakse finantspettuste avastamist loetletud krediidivõimelisuse kasutusjuhust ning reisidokumentide kontroll on asjakohasest rände tuvastamise kirjest välja jäetud. Kampaania halduslik korraldamine ei ole samaväärne valijate mõjutamisega.

Hinnake läbipaistvust ka siis, kui suure riski reeglid ei kohaldu

Artikkel 50 käsitleb konkreetseid suhtlusi ja väljundeid. Sõltuvalt rollist ja asjaoludest puudutavad kohustused inimeste teavitamist sellest, et nad suhtlevad tehisintellektiga, sünteetiliste väljundite masinloetavat märgistamist, süvavõltsingute avalikustamist ja kindlaksmääratud tehisintellekti loodud avalikku huvi pakkuvat teksti. Ka emotsioonituvastusel ja biomeetrilisel liigitamisel on lubatud juhtudel avalikustamissätted.

Ärge taandage seda põhimõttele „märgistage iga tehisintellekti abil koostatud dokument“. Tehke kindlaks, milline säte kohaldub, kes peab tegutsema ja kas mõni erand on asjakohane. Säilitage tõendina teavituse sõnastus, paigutus, väljundite märgistamise korraldus ja testitulemused.

Käsitlege artikli 6 lõike 3 erandit dokumenteeritud hindamisena

Mõned III lisa süsteemid võivad artikli 6 lõike 3 alusel jääda suure riskiga liigitusest välja. See ei ole üldine erand tööriistadele, mille protsessis on kusagil inimene.

Hindamine peab käsitlema seda, kas süsteem kujutab endast märkimisväärset kahjuriski tervisele, ohutusele või põhiõigustele, sealhulgas seda, kas see mõjutab oluliselt otsuste tulemusi. Säte määratleb olukorrad, mis hõlmavad kitsaid menetlusülesandeid, varem lõpetatud inimtegevuse parandamist, mustrite või kõrvalekallete tuvastamist kindlaksmääratud ülevaatustingimustel ja ettevalmistavaid ülesandeid. Erandile tuginemine eeldab vähemalt ühe sellise tingimuse täitmist ja tõendamist, et süsteem ei kujuta endast kindlaksmääratud märkimisväärset riski.

Sellele erandile tuginev pakkuja peab hindamise dokumenteerima enne süsteemi turule laskmist või kasutusele võtmist ning täitma kohaldatava registreerimiskohustuse. Mis kõige olulisem: III lisa süsteem, mis teostab füüsiliste isikute profileerimist, jääb suure riskiga süsteemiks; see ei tähenda, et iga profileerimissüsteem igas kontekstis muutub automaatselt suure riskiga süsteemiks.

Tõendid peaksid selgitama, millist teavet süsteem kasutab, kuidas väljundid ülevaatajaid mõjutavad ja kas väidetavalt ettevalmistav ülesanne määrab, kes saab sisulise käsitluse. Lisage töövoo tähelepanekud ja esinduslikud väljundid. Lause „lõpliku otsuse teeb inimene“ on ebapiisav, kui järjestamine, filtreerimine või soovitused määravad selle otsuse tegelikult.

Planeerige kehtivate kohaldamiskuupäevade järgi

7. oktoobri 2026 seisuga määratleb Euroopa Komisjoni ajakohane tehisintellekti määruse ülevaade ja ajakava järgmised verstapostid:

Kontrollige muudetud õigusteksti ja teie suhtes kehtivaid üleminekusätteid. Olemasolevad süsteemid, mudelite turule laskmise kuupäevad, muudatused ja konkreetsed operaatorikorraldused võivad vajada täiendavat analüüsi. Vanemates juhendites võivad endiselt olla toodud varasemad suure riski kuupäevad.

Ärge tõlgendage uuendatud suure riski ajakava kogu määruse edasilükkamisena. Eelarvestage eraldi juba kohaldatavad kohustused ja ettevalmistus asjakohaseks suure riski korraks. Teie register peaks tuvastama kohaldatava verstaposti ja allika, mille põhjal see kindlaks tehti.

Muutke liigitus tõendite plaaniks

Pakkuja ja juurutaja kohustused on erinevad. Juhtkond peaks nõudma rollipõhist plaani, selle asemel et määrata iga kohustus igale meeskonnale.

Kui pakute suure riskiga süsteemi

Suure riskiga süsteemide nõuded ja pakkuja kohustused hõlmavad riskijuhtimist, andmehaldust, tehnilist dokumentatsiooni, andmete säilitamist, teavet juurutajatele, inimjärelevalvet, täpsust, töökindlust, küberturvalisust ja kvaliteedijuhtimist. Planeerida tuleb ka kohaldatavat vastavushindamist, deklaratsiooni, märgistust, registreerimist, turustamisjärgset seiret ja intsidendiprotsesse.

Muutke need tulemiteks:

• Elutsükli riskihinnang koos leevendusmeetmete, jääkriskide ja kinnitusotsustega.
• Andmete päritolu, sobivuse ja kvaliteedi kirjed, kui need on süsteemi jaoks asjakohased.
• Tehniline dokumentatsioon, mis määratleb eesmärgi, ülesehituse, sõltuvused, piirangud ja hindamismeetodid.
• Testitulemused, mis on seotud vastuvõtukriteeriumide ja kasutuskontekstiga.
• Järelevalvejuhised, mis selgitavad sekkumist, tühistamist ja eskaleerimist.
• Logimise spetsifikatsioonid, seirekorraldus ja intsidendiprotseduurid.
• Vastavustöö plaan, mis määrab kohaldatava tee ja nõutavad kirjed.

Mitte iga suure riskiga süsteem ei järgi sama hindamisteed. Ärge eelarvestage universaalset kolmanda isiku auditit ega käsitlege turvasertifikaati tehisintellekti määrusele vastavuse tõendina.

Kui juurutate suure riskiga süsteemi

Keskenduge süsteemi kasutamisele vastavalt juhistele, pädeva järelevalve määramisele, selle kasutamise seirele ja nõutavate kirjete säilitamisele. Käsitlege sisendandmete sobivust, kui need sisendid on teie kontrolli all, ning kohaldatavaid nõudeid töötajate või mõjutatud isikute teavitamiseks.

Küsige tarnijatelt asjakohaseid juhiseid, piiranguid, järelevalvenõudeid ja vastavusteavet. Tehke kindlaks, mida nad ei suuda pakkuda ja kes lünga lahendab. Tarnija kindlustusavaldus ei tõenda, et teie kohalik konfiguratsioon on asjakohane.

Hinnake, kas teie juurutajakategooria ja kasutusjuhu puhul on nõutav põhiõigustele avalduva mõju hindamine. See ei ole kõigi kasutuselevõttude puhul universaalne. Kui on kaasatud isikuandmed, hinnake GDPR-i nõudeid eraldi; andmekaitsealane mõjuhinnang ja tehisintellekti määruse kohane hindamine teenivad erinevaid õiguslikke eesmärke, isegi kui tõendid kattuvad.

Määrake iga tulemi jaoks omanik, ülevaataja, tähtaeg, allika asukoht ja vastuvõtukriteerium. „Poliitika üles laaditud“ ei ole samaväärne väitega „kontrollimeede tõendatud“.

Läbitöötatud näide: üks mudel, kaks äriotsust

Illustratiivsed eeldused: ELi tööandja kasutab kolmanda osapoole keelemudelit sisemise kirjutamisabilise ja eraldi värbamisrakenduse jaoks. Värbamisrakendus hindab kandidaate töökohanõuete alusel ja esitab järjestatud lühinimekirja. Tööandja kasutab mõlemat sisemiselt; tema täpsed operaatorirollid vajavad ülevaatust.

Kirjutamisabilise puhul salvestage lubatud mustandiülesanded, andmepiirangud, väljundite ülevaatus ja kõik kohaldatavad läbipaistvusnõuded. Tavapärane sisemine mustandite koostamine ei muutu suure riskiga tegevuseks lihtsalt sellepärast, et see kasutab tehisintellekti. Laienemine tööalasele hindamisele käivitaks uue hindamise.

Värbamise puhul on III lisa tööhõive kirje otseselt asjakohane. Vaadake üle kandidaatide hindamine ja profileerimine, mitte ainult liidese kirjeldus. Kui värbajad arvestavad ainult lühinimekirja kandidaatidega, kujundab süsteem oluliselt juurdepääsu tööhõivele. Lõpliku töölevõtmise inimkinnitus seda mõju ei kõrvalda.

Juhtkonna otsus on seega iga rakenduse puhul erinev. Kirjutamisabiline võib pärast ülevaatust jätkata proportsionaalsete kontrollimeetmetega. Värbamisprojekt vajab suure riskiga süsteemiks valmistumise plaani, tarnija tõendeid, koolitatud järelevalvet, kohaliku kasutuse hindamist ja dokumenteeritud väljalaskeotsust.

Kui meeskond teeb ettepaneku muuta värbamisfunktsioon intervjuude kalendri ajastamiseks, hinnake seda uut eesmärki ja töövoogu algusest peale. Ajastamine võib olla kitsas menetlusülesanne, kuid kandidaatide hindamise säilitamine kulisside taga õõnestaks muudetud põhjendust. Versioonige otsus, selle asemel et algset kirjet üle kirjutada.

Muutke vastutus tegevusotsustes nähtavaks

Määrake äriomanik, kes suudab eesmärki selgitada ja ressursse kinnitada, tehniline omanik, kes suudab käitumist põhjendada, ning õigus- või vastavusülevaataja, kes suudab liigitust vaidlustada. Tippjuhtkonna kinnitus peaks lahendama rahastamise, väljalaskepiirangud ja lahendamata riskid – mitte asendama ekspertanalüüsi.

Praktilise soovitusena vaadake liigitus üle, kui muutuvad eesmärk, kasutajad, andmed, integratsioonid, autonoomia või oluline mõju otsustele. Siduge see ülevaatus hangete uuendamise ja tooteväljalasetega. Mudeli uuendus üksi ei pruugi liigitust muuta, kuid võib muuta hindamistõendid või tegevuseeldused kehtetuks.

Levinud vead on tarnija üldiste liigituste aktsepteerimine, eeldus, et inimese ülevaatus loob automaatselt erandi, juba kohaldatavate kirjaoskuse ja läbipaistvuse kohustuste tähelepanuta jätmine ning dokumentide kogumine ilma kohalikku toimimist testimata. ISO/IEC 42001 juhtimissüsteem võib toetada juhtimist, kuid sertifikaat ei tõenda automaatselt tehisintellekti määrusele vastavust.

Secani saab toetada tõendite töövoogu, ühendades nõuded, kontrollimeetmed, lähtematerjali, omanikud, ülesanded ja ülevaadatud otsused. Alustage ühest protsessist, siduge tõendid sellega, mida need tõendavad, ning hoidke kommentaarid, kinnitused ja ajatemplid oluliste järelduste juures. Käsitlege tehisintellekti abil tehtud ettepanekuid inimese ülevaatust ootavate mustanditena, mitte õiguslike otsustena. Meie tehisintellekti agentide juhtimise juhend pakub praktilisi kontrollimeetmeid õiguste ja ülevaatuse jaoks.

Järgmine kasulik samm on keskendunud liigitamise töötuba: valige kõige olulisemad kasutusel olevad kasutusjuhud, kutsuge kokku nende äri- ja tehnilised omanikud ning koostage ülevaadatud kirjed koos lahendamata küsimuste ja tõendiülesannetega. See annab juhtkonnale põhjendatud aluse otsustamiseks, mis võib jätkuda, mis vajab tingimusi ja mis nõuab täiendavat hindamist.