ES Mākslīgā intelekta akts: klasificējiet lietošanas gadījumus un plānojiet pierādījumus

MI pārvaldība sākas ar zināšanu, kuras sistēmas organizācija nodrošina, ievieš vai citādi dara pieejamas. Ar modeļu nosaukumu sarakstu nepietiek: izvērtējamos pienākumus nosaka paredzētais nolūks, ieviešanas vide un jūsu loma.

Vadībai klasifikācija ir ne tikai juridisks novērtējums, bet arī resursu sadales lēmums. Tā nosaka, kuriem projektiem nepieciešama speciālistu pārskatīšana, kas jāpierāda piegādātājiem un kādiem pierādījumiem jāpastāv pirms laišanas lietošanā. Personāla atlases rīks un iekšējs rakstīšanas palīgs var izmantot vienu un to pašu modeli, tomēr prasīt ļoti atšķirīgus novērtējumus.

Noderīgais rezultāts ir pārskatīts lietošanas gadījumu reģistrs, kas sasaistīts ar īpašniekiem, prasībām, pierādījumiem un izmaiņu lēmumiem, nevis visam uzņēmumam piešķirts apzīmējums „zema riska MI”.

Nosakiet tvērumu un atbildību, pirms piešķirat riska līmeni

ES Mākslīgā intelekta akts ir regula, kuras pienākumi ir atkarīgi no darbības, sistēmas un operatora. Tās teritoriālais tvērums ietver nodrošinātājus, kas laiž sistēmas ES tirgū vai nodod tās ekspluatācijā, uzturētājus, kas iedibināti vai atrodas ES, un noteiktus ārpus ES esošus nodrošinātājus un uzturētājus, ja sistēmu iznākumi tiek izmantoti ES. Pilsonība vien nav kritērijs.

Lūdziet juridiskajiem un tehniskajiem pārskatītājiem noteikt, vai lietojumprogramma atbilst akta MI sistēmas definīcijai un vai ir piemērojami kādi attiecīgi tvēruma izņēmumi. Nepieņemiet, ka katrs automatizācijas skripts ir MI vai ka ārēji mitināts pakalpojums ir ārpus jūsu atbildības.

Pēc tam reģistrējiet savu lomu:

• Nodrošinātājs: izstrādā sistēmu vai liek to izstrādāt un laiž to tirgū vai nodod ekspluatācijā ar savu nosaukumu vai preču zīmi.
• Uzturētājs: izmanto sistēmu savā pārziņā profesionālā kontekstā.
• Importētājs vai izplatītājs: ieved attiecīgās sistēmas ES tirgū vai dara tās pieejamas piegādes ķēdē, un tam ir saistīti pārbaudes pienākumi.
• Produkta ražotājs vai pilnvarotais pārstāvis: tam ir pienākumi, kas izriet no konkrētā produkta kārtības vai rakstiska pilnvarojuma.

Organizācija dažādās sava portfeļa daļās var ieņemt atšķirīgas lomas. API iegāde neatrisina gatavās lietojumprogrammas lomas jautājumu. Zīmola maiņa, būtiska modificēšana vai paredzētā nolūka maiņa piemērojamos apstākļos var radīt nodrošinātāja pienākumus. Tāpēc precizēta apmācība ir pārskatīšanas ierosinātājs, nevis automātisks juridisks secinājums.

Nošķiriet vispārīga lietojuma MI modeli no sistēmas, kas ap to izveidota. Modeļa nodrošinātāja pienākumi un lejupējās sistēmas pienākumi ir saistīti, bet nav savstarpēji aizstājami.

Izveidojiet lietošanas gadījumu sarakstu, kas atbalsta lēmumus

Inventarizējiet biznesa funkcijas, nevis tikai piegādātājus. Intervējiet iepirkumu, personāla, produktu, darbības un IT nodaļas: MI var ienākt caur esoša piegādātāja jaunu funkciju, nevis atsevišķu iegādi.

Katram lietošanas gadījumam fiksējiet:

Reģistrējiet faktiskās darba plūsmas līdzās paredzētajam nolūkam. Rīks, kas aprakstīts kā „palīdzība personāla atlases speciālistiem”, faktiski var izslēgt kandidātus, ja darbinieki pārbauda tikai tā sagatavoto īso sarakstu. Rakstiska politika, kas prasa cilvēka pārskatīšanu, nepierāda, ka pārskatīšana notiek.

Rezultāts ir versijēts ieraksts katram lietošanas gadījumam. Neatrisinātām klasifikācijām jāpaliek redzami neatrisinātām, ar īpašnieku un lēmuma termiņu, nevis pēc noklusējuma jānonāk vismazāk prasīgajā kategorijā.

Novērtējiet aizliegumus, augsta riska ceļus un pārredzamību atsevišķi

Pazīstamais četru līmeņu apraksts – aizliegts, augsta riska, ar pārredzamību saistīts un zemāka riska – ir noderīgs ievads. Tas nav pilnīgs lēmumu koks. Pārredzamības pienākumi var pārklāties ar augsta riska pienākumiem, un MI pratības pienākumi neattiecas tikai uz augsta riska sistēmām.

Vispirms pārbaudiet aizliegtās prakses

5. pants aizliedz noteiktas prakses, ievērojot šīs normas detalizētos nosacījumus un izņēmumus. Attiecīgi pārbaudes jautājumi ietver to, vai sistēma izmanto kaitējošu manipulāciju vai ievainojamības, veic aizliegtu sociālo novērtēšanu, veido sejas atpazīšanas datubāzes ar nemērķētu datu ievākšanu vai veic aizliegtu biometrisko kategorizēšanu.

Uz MI balstīta emociju secināšana no biometriskajiem datiem darba vietās un izglītības iestādēs arī ir aizliegta, izņemot noteiktus medicīniskus vai drošības iemeslus. Tikai teksta noskaņojuma analīze neietilpst šajā aizliegumā tikai tāpēc, ka tā novērtē emocionālo toni. Noteiktiem tiesībaizsardzības biometriskiem lietojumiem ir stingri ierobežoti noteikumi; „visa sejas atpazīšana ir aizliegta” nav precīzs novērtējuma aizstājējs.

Eskalējiet iespējamu aizliegtu praksi pirms iepirkuma vai ieviešanas. Pierādījumos jāapraksta funkcionalitāte un juridiskais pamatojums, nevis tikai jāatkārto piegādātāja paziņojums par „ētisku MI”.

Pārbaudiet abus ceļus uz augsta riska klasifikāciju

Regulēto produktu ceļš, 6. panta 1. punkts: izvērtējiet, vai MI pats ir produkts vai produkta drošības sastāvdaļa, uz ko attiecas attiecīgie I pielikuma tiesību akti, un vai šim produktam nepieciešama trešās personas veikta atbilstības novērtēšana. Abi nosacījumi ir svarīgi. Izmantojiet konkrētā produktu regulējuma grozīto juridisko tekstu; MI iestrādāšana vien nenosaka augsta riska statusu.

III pielikuma ceļš, 6. panta 2. punkts: izvērtējiet, vai paredzētā funkcija atbilst uzskaitītam lietošanas gadījumam. Astoņas jomas ir plaši virsraksti, nevis noteikumi, kas padara katru lietojumprogrammu nozarē par augsta riska.

Izlasiet detalizētos ierakstus un izņēmumus. Piemēram, finanšu krāpšanas atklāšana ir nošķirta no uzskaitītā kredītspējas lietojuma, un ceļošanas dokumentu verifikācija ir izslēgta no attiecīgā migrācijas identifikācijas ieraksta. Kampaņu administratīvā organizēšana nav līdzvērtīga vēlētāju ietekmēšanai.

Novērtējiet pārredzamību arī tad, ja augsta riska noteikumi nav piemērojami

50. pants attiecas uz konkrētām mijiedarbībām un iznākumiem. Atkarībā no lomas un apstākļiem pienākumi attiecas uz cilvēku informēšanu, ka viņi mijiedarbojas ar MI, sintētisku iznākumu mašīnlasāmu marķēšanu, dziļviltojumu atklāšanu un noteiktu MI ģenerētu tekstu par sabiedrības interešu jautājumiem. Emociju atpazīšanas un biometriskās kategorizēšanas lietojumiem, ja tie ir atļauti, arī ir atklāšanas noteikumi.

Nereducējiet to līdz „marķējiet katru ar MI palīdzību sagatavotu dokumentu”. Nosakiet, kura norma ir piemērojama, kam jārīkojas un vai ir būtisks kāds izņēmums. Saglabājiet paziņojumu formulējumu, izvietojumu, iznākumu marķēšanas kārtību un testu rezultātus kā pierādījumus.

Uztveriet 6. panta 3. punkta izņēmumu kā dokumentētu novērtējumu

Dažas III pielikuma sistēmas saskaņā ar 6. panta 3. punktu var neietilpt augsta riska klasifikācijā. Tas nav vispārējs atbrīvojums rīkiem, kuru procesā kaut kur ir iesaistīts cilvēks.

Novērtējumā jāizvērtē, vai sistēma rada būtisku kaitējuma risku veselībai, drošībai vai pamattiesībām, tostarp vai tā būtiski ietekmē lēmumu rezultātus. Norma nosaka apstākļus, kas ietver šauru procedurālu uzdevumu veikšanu, iepriekš pabeigtas cilvēka darbības rezultāta uzlabošanu, lēmumu pieņemšanas modeļu vai noviržu atklāšanu noteiktos pārskatīšanas apstākļos un sagatavojošus uzdevumus. Lai paļautos uz izņēmumu, jāizpilda vismaz viens no šiem nosacījumiem un jākonstatē, ka sistēma nerada noteikto būtisko risku.

Nodrošinātājam, kas paļaujas uz šo izņēmumu, novērtējums jādokumentē pirms sistēmas laišanas tirgū vai nodošanas ekspluatācijā un jāizpilda piemērojamais reģistrācijas pienākums. Būtiski, ka III pielikuma sistēma, kas veic fizisku personu profilēšanu, joprojām ir augsta riska sistēma; tas nenozīmē, ka katra profilēšanas sistēma jebkurā kontekstā automātiski kļūst par augsta riska sistēmu.

Pierādījumos jāpaskaidro, kādu informāciju sistēma izmanto, kā iznākumi ietekmē pārskatītājus un vai šķietami sagatavojošais uzdevums nosaka, kurš saņem pēc būtības izvērtējumu. Iekļaujiet darba plūsmu novērojumus un reprezentatīvus iznākumus. Teikums „galīgo lēmumu pieņem cilvēks” ir nepietiekams, ja sarindošana, filtrēšana vai ieteikumi faktiski nosaka šo lēmumu.

Plānojiet atbilstoši aktuālajiem piemērošanas datumiem

Pēc stāvokļa uz 2026. gada 7. oktobri Eiropas Komisijas aktuālais Mākslīgā intelekta akta pārskats un grafiks nosaka šādus atskaites punktus:

Pārbaudiet grozīto juridisko tekstu un jums piemērojamos pārejas noteikumus. Esošām sistēmām, modeļu laišanas tirgū datumiem, izmaiņām un konkrētai operatoru kārtībai var būt nepieciešama papildu analīze. Vecākos ceļvežos joprojām var būt norādīti agrāki augsta riska datumi.

Neinterpretējiet atjaunināto augsta riska grafiku kā visa akta atlikšanu. Atsevišķi plānojiet budžetu jau piemērojamajiem pienākumiem un sagatavošanās darbam attiecīgajam augsta riska režīmam. Jūsu reģistrā jānorāda piemērojamais atskaites punkts un avots, kas izmantots tā noteikšanai.

Pārvērtiet klasifikāciju pierādījumu plānā

Nodrošinātāja un uzturētāja pienākumi atšķiras. Vadībai jāpieprasa lomai specifisks plāns, nevis jāuztic katrs pienākums katrai komandai.

Ja jūs nodrošināt augsta riska sistēmu

Augsta riska prasības un nodrošinātāja pienākumi aptver riska pārvaldību, datu pārvaldību, tehnisko dokumentāciju, uzskaites veikšanu, informāciju uzturētājiem, cilvēka virsvadību, precizitāti, noturību, kiberdrošību un kvalitātes vadību. Jāplāno arī piemērojamā atbilstības novērtēšana, deklarācija, marķējums, reģistrācija, pēctirgus uzraudzība un incidentu procesi.

Pārvērtiet tos nododamos rezultātos:

• Dzīves cikla riska novērtējums ar mazināšanas pasākumiem, atlikušajiem riskiem un apstiprināšanas lēmumiem.
• Datu izcelsmes, piemērotības un kvalitātes ieraksti, ja tie attiecas uz sistēmu.
• Tehniskā dokumentācija, kas nosaka nolūku, uzbūvi, atkarības, ierobežojumus un izvērtēšanas metodes.
• Testu rezultāti, kas sasaistīti ar pieņemšanas kritērijiem un ieviešanas kontekstu.
• Virsvadības instrukcijas, kas izskaidro iejaukšanos, ignorēšanu un eskalāciju.
• Žurnalēšanas specifikācijas, uzraudzības kārtība un incidentu procedūras.
• Atbilstības darba plāns, kas nosaka piemērojamo ceļu un nepieciešamos ierakstus.

Ne katra augsta riska sistēma iet vienu un to pašu novērtēšanas ceļu. Neplānojiet budžetu universālam trešās personas auditam un neuzskatiet drošības sertifikāciju par atbilstības Mākslīgā intelekta aktam pierādījumu.

Ja jūs ieviešat augsta riska sistēmu

Koncentrējieties uz sistēmas darbināšanu atbilstoši instrukcijām, kompetentas virsvadības norīkošanu, tās lietošanas uzraudzību un nepieciešamo ierakstu uzturēšanu. Risiniet ievaddatu piemērotību, ja jūs kontrolējat šos ievaddatus, un piemērojamās prasības par darba ņēmēju informēšanu vai ietekmētajām personām.

Pieprasiet piegādātājiem attiecīgās instrukcijas, ierobežojumus, virsvadības prasības un atbilstības informāciju. Nosakiet, ko viņi nevar sniegt un kas novērsīs šo nepilnību. Piegādātāja apliecinājuma paziņojums nepierāda, ka jūsu lokālā konfigurācija ir piemērota.

Izvērtējiet, vai jūsu uzturētāja kategorijai un lietošanas gadījumam ir nepieciešams ietekmes uz pamattiesībām novērtējums. Tas nav universāls visām ieviešanām. Ja ir iesaistīti personas dati, atsevišķi izvērtējiet VDAR prasības; novērtējumam par ietekmi uz datu aizsardzību un Mākslīgā intelekta akta novērtējumam ir atšķirīgi juridiskie mērķi pat tad, ja pierādījumi pārklājas.

Katram nododamajam rezultātam norādiet īpašnieku, pārskatītāju, izpildes termiņu, avota atrašanās vietu un pieņemšanas kritēriju. „Politika augšupielādēta” nav līdzvērtīgs „kontrole pierādīta”.

Praktisks piemērs: viens modelis, divi biznesa lēmumi

Ilustratīvi pieņēmumi: ES darba devējs izmanto trešās puses valodas modeli iekšējam rakstīšanas palīgam un atsevišķai personāla atlases lietojumprogrammai. Personāla atlases lietojumprogramma novērtē kandidātus pret amata kritērijiem un parāda sarindotu īso sarakstu. Darba devējs abas izmanto iekšēji; tā precīzās operatora lomas ir jāpārskata.

Rakstīšanas palīgam reģistrējiet atļautos melnrakstu sagatavošanas uzdevumus, datu ierobežojumus, iznākumu pārskatīšanu un jebkuras piemērojamās pārredzamības prasības. Parasta iekšēja melnrakstu sagatavošana nekļūst par augsta riska darbību tikai tāpēc, ka tiek izmantots MI. Paplašināšana uz darbinieku izvērtēšanu ierosinātu atkārtotu novērtējumu.

Personāla atlasei III pielikuma nodarbinātības ieraksts ir tieši būtisks. Pārskatiet kandidātu novērtēšanu un profilēšanu, nevis tikai saskarnes aprakstu. Ja personāla atlases speciālisti izskata tikai īsajā sarakstā iekļautos kandidātus, sistēma būtiski ietekmē piekļuvi nodarbinātībai. Cilvēka apstiprinājums galīgajai pieņemšanai darbā šo ietekmi nenoņem.

Tāpēc vadības lēmums katrai lietojumprogrammai ir atšķirīgs. Rakstīšanas palīgs pēc pārskatīšanas var turpināt darbu ar samērīgām kontrolēm. Personāla atlases projektam nepieciešams gatavības plāns augsta riska prasībām, piegādātāja pierādījumi, apmācīta virsvadība, lokālās lietošanas izvērtējums un dokumentēts lēmums par laišanu lietošanā.

Ja komanda ierosina mainīt personāla atlases funkciju uz interviju kalendāra plānošanu, novērtējiet šo jauno nolūku un darba plūsmu no jauna. Plānošana var būt šaurs procedurāls uzdevums, taču kandidātu novērtēšanas saglabāšana aizkulisēs iedragātu pārskatīto pamatojumu. Versijējiet lēmumu, nevis pārrakstiet sākotnējo ierakstu.

Padariet pārskatatbildību redzamu darbības lēmumos

Norīkojiet biznesa īpašnieku, kas var izskaidrot nolūku un apstiprināt resursus, tehnisko īpašnieku, kas var pamatot sistēmas darbību, un juridisko vai atbilstības pārskatītāju, kas var apstrīdēt klasifikāciju. Vadības apstiprinājumam jāatrisina finansējuma jautājumi, laišanas lietošanā ierobežojumi un neatrisinātais risks, nevis jāaizstāj speciālistu analīze.

Kā praktisku ieteikumu pārskatiet klasifikāciju, kad mainās nolūks, lietotāji, dati, integrācijas, autonomija vai ietekme uz būtiskiem lēmumiem. Sasaistiet šo pārskatīšanu ar iepirkumu atjaunošanu un produktu laidieniem. Modeļa atjauninājums vien var nemainīt klasifikāciju, taču tas var padarīt nederīgus izvērtēšanas pierādījumus vai darbības pieņēmumus.

Biežas kļūdas ir piegādātāja vispārējās klasifikācijas pieņemšana, pieņēmums, ka cilvēka pārskatīšana automātiski rada izņēmumu, jau piemērojamo pratības un pārredzamības pienākumu neievērošana un dokumentu vākšana, netestējot lokālo darbību. ISO/IEC 42001 pārvaldības sistēma var atbalstīt pārvaldību, taču sertifikācija automātiski nenodrošina atbilstību Mākslīgā intelekta aktam.

Secani var atbalstīt pierādījumu darba plūsmu, savienojot prasības, kontroles, avota materiālus, īpašniekus, uzdevumus un pārskatītus lēmumus. Sāciet ar vienu procesu, piesaistiet pierādījumus tam, ko tie pierāda, un saglabājiet komentārus, apstiprinājumus un laika zīmogus kopā ar būtiskiem secinājumiem. Uztveriet MI atbalstītus ieteikumus kā melnrakstus cilvēka pārskatīšanai, nevis juridiskus lēmumus. Mūsu MI aģentu pārvaldības ceļvedis sniedz praktiskas kontroles atļaujām un pārskatīšanai.

Nākamais noderīgais solis ir mērķtiecīgs klasifikācijas seminārs: izvēlieties būtiskākos aktīvos lietošanas gadījumus, piesaistiet to biznesa un tehniskos īpašniekus un sagatavojiet pārskatītus ierakstus ar neatrisinātiem jautājumiem un pierādījumu uzdevumiem. Tas sniedz vadībai aizstāvamu pamatu, lai izlemtu, kas var turpināties, kam nepieciešami nosacījumi un kam nepieciešams papildu novērtējums.