Главные законы и правила в сфере ИИ, за которыми стоит следить

Эра беззаконного искусственного интеллекта подошла к концу. Правительства по всему миру переходят от расплывчатых рекомендаций к строгим законам с огромными штрафами. Если вы создаете или используете ПО, правила меняются прямо у вас под ногами. Речь уже не только об этике. Речь о юридическом соответствии и угрозе миллиардных убытков. Европейский союз задал темп, приняв первый масштабный комплексный закон, но США и Китай не сильно отстают. Эти правила определят, какие функции вы сможете использовать и как компании будут обрабатывать ваши данные. Многие думают, что это далекая проблема для юристов. Они ошибаются. Это влияет на всё: от того, как вы подаете заявку на работу, до того, как ранжируется ваша лента в соцсетях. Мы наблюдаем рождение регулируемой индустрии, которая больше похожа на банковское дело или медицину, чем на открытый интернет прошлого. Этот сдвиг определит следующее десятилетие технического развития и корпоративной стратегии. Пришло время взглянуть на конкретные требования, которые переходят из правительственных кабинетов в код ваших приложений.

Глобальный сдвиг в сторону контроля над искусственным интеллектом

Основой текущего регулирования является Закон ЕС об ИИ (EU AI Act). Этот закон не относится ко всему ПО одинаково. Он использует риск-ориентированный подход, чтобы решить, что разрешено, а что нет. На вершине пирамиды находятся запрещенные системы. К ним относятся, например, биометрическая идентификация в реальном времени в общественных местах или социальный скоринг со стороны правительств. Они просто запрещены, так как представляют слишком большой риск для гражданских свобод. Ниже находятся системы высокого риска. В эту категорию попадает ИИ, используемый в образовании, найме или критической инфраструктуре. Если компания создает инструмент для отбора резюме, она должна доказать отсутствие предвзятости. Они обязаны вести подробные логи и обеспечить контроль со стороны человека. Закон также затрагивает модели общего назначения. Такие модели должны быть прозрачными в отношении того, как они обучались. Они должны соблюдать законы об авторском праве и резюмировать данные, использованные для обучения. Это колоссальное изменение по сравнению с секретностью, с которой создавались модели всего два года назад.

В США подход иной, но не менее значимый. Белый дом выпустил Исполнительный указ, который требует от разработчиков мощных систем делиться результатами тестов безопасности с правительством. Он использует Закон об оборонном производстве, чтобы гарантировать, что ИИ не станет угрозой национальной безопасности. Это не закон, принятый Конгрессом, но он имеет вес федеральных закупок и надзора. Он фокусируется на red-teaming — практике тестирования системы на уязвимости или вредоносные результаты. У Китая свой набор правил, которые фокусируются на правдивости контента и защите общественного порядка. Хотя методы различаются, цель одна. Правительства хотят вернуть контроль над технологией, которая развивалась быстрее, чем они ожидали. Вы можете найти больше подробностей о конкретных требованиях в официальной документации Закона ЕС об ИИ. Эти правила — новая база для любой компании, которая хочет работать в глобальном масштабе.

Эти законы имеют влияние, выходящее далеко за пределы стран, которые их пишут. Это часто называют «эффектом Брюсселя». Если крупная тех-компания хочет продавать свое ПО в Европе, она должна соблюдать правила ЕС. Вместо создания разных версий для каждой страны, большинство компаний просто применят самые строгие правила ко всему своему глобальному продукту. Это означает, что закон, принятый в Брюсселе, фактически становится законом для разработчика в Калифорнии или пользователя в Токио. Это создает глобальный стандарт безопасности и прозрачности. Однако это также создает фрагментированный мир, где некоторые функции просто отключаются в определенных регионах. Мы уже видим, как это происходит. Некоторые компании отложили запуск продвинутых функций в Европе, потому что юридический риск слишком высок. Это создает цифровой разрыв, когда пользователи в США могут иметь доступ к инструментам, которых нет у пользователей во Франции. Для авторов это означает, что их работы лучше защищены от использования в качестве обучающих данных без разрешения. Для правительств это гонка за то, кто станет глобальным хабом для доверенных технологий. Ставки высоки. Если страна введет избыточное регулирование, она может потерять лучшие таланты. Если недостаточное — рискует безопасностью граждан. Это напряжение — новая норма для глобальной тех-экономики. Вы можете отслеживать эти изменения через Исполнительный указ Белого дома об ИИ, который описывает американскую стратегию баланса между инновациями и безопасностью.

Представьте день из жизни инженера-программиста Маркуса. Два года назад Маркус мог взять датасет из интернета и обучить модель за одни выходные. Ему не нужно было ни у кого спрашивать разрешения. Сегодня его утро начинается с совещания по комплаенсу. Он должен документировать происхождение каждого изображения в своем обучающем наборе. Он должен проводить тесты, чтобы убедиться, что модель не дискриминирует людей по почтовым индексам. Его компания наняла нового директора по комплаенсу в сфере ИИ, у которого есть право остановить любой запуск. Это операционная реальность. Речь больше не только о коде. Речь об аудиторском следе. Маркус тратит тридцать процентов своего времени на написание отчетов для регуляторов вместо написания функций для пользователей. Это скрытый налог новой регуляторной эры. Для обычного пользователя влияние более тонкое, но не менее глубокое. Когда вы подаете заявку на кредит, банк должен уметь объяснить, почему ИИ отказал вам. У вас есть право на объяснение. Это заканчивает эру «черного ящика» автоматизированного принятия решений. Люди склонны переоценивать, как быстро эти законы остановят ошибки. Они недооценивают, насколько эти законы замедлят выпуск новых функций. Мы переходим из мира бета-версий в мир сертифицированного ПО. Это приведет к более стабильным продуктам, но к меньшему количеству радикальных прорывов.

Авторы также наблюдают сдвиг. Крупные платформы теперь обязаны маркировать сгенерированный контент. Если вы видите фотореалистичное изображение в своей ленте, скорее всего, у него будет небольшая метка, указывающая, что оно создано машиной. Это прямой результат требований прозрачности. Это меняет то, как мы доверяем тому, что видим онлайн. Шум политических дебатов часто скрывает эти практические изменения. Пока политики говорят об экзистенциальных рисках, реальная работа происходит в отделах комплаенса каждой крупной фирмы. Чтобы оставаться в курсе этих сдвигов, следите за последним анализом политики в области ИИ для глубокого погружения в специфические региональные правила.

Практические изменения для индустрии

• Обязательное тестирование безопасности для любой модели, превышающей определенные пороги вычислительной мощности.
• Право пользователей на получение объяснения любого автоматизированного решения, влияющего на их юридический статус.
• Строгие требования к маркировке данных и раскрытию авторских прав в обучающих наборах.
• Крупные штрафы, которые могут достигать семи процентов от общего глобального дохода компании.
• Создание национальных офисов по ИИ для мониторинга соблюдения правил и расследования жалоб.

У вас есть история об ИИ, инструмент, тренд или вопрос, который, по вашему мнению, мы должны осветить? Пришлите нам свою идею статьи — мы будем рады ее услышать.

Мы должны спросить, действительно ли эти правила защищают общественность или они просто защищают сильных мира сего. Помогает ли четырехсотстраничное регулирование маленькому стартапу, или оно гарантирует, что выжить смогут только компании с юридическими отделами стоимостью в миллиарды долларов? Если стоимость комплаенса слишком высока, мы можем передать постоянную монополию нынешним тех-гигантам. Нам также нужно поставить под сомнение определение безопасности. Кто решает, что является неприемлемым риском? Если правительство может запретить определенные типы ИИ, оно также может использовать эту власть, чтобы заставить замолчать инакомыслящих или контролировать информацию. У прозрачности есть и скрытая стоимость. Если компания должна раскрыть, как именно работает ее модель, не облегчает ли это поиск уязвимостей для злоумышленников? Мы меняем скорость на безопасность, но еще не определили, как на самом деле выглядит безопасность. Возможно ли регулировать индустрию, которая меняется каждые полгода, законами, на написание которых уходят годы? Это вопросы, которые определят, станет ли эта эра регулирования успехом или провалом. Мы должны быть осторожны, чтобы не построить систему, которая настолько жесткая, что станет неактуальной еще до того, как высохнут чернила. Правила в Китае, которыми управляет Администрация киберпространства Китая, показывают, как безопасность может интерпретироваться как социальная стабильность. Это подчеркивает разные философские пути, которые выбирают страны. Нам нужно скептически относиться к любому закону, который претендует на решение всех проблем, создавая при этом новые для следующего поколения разработчиков.

Технические стандарты и рабочие процессы комплаенса

Для технарей фокус смещается в сторону стека комплаенса. Это включает инструменты для отслеживания происхождения данных и автоматизированного аудита моделей. Разработчики смотрят на стандарты C2PA для цифровых водяных знаков. Это предполагает встраивание метаданных в файлы, которые сохраняются при обрезке или повторном сохранении. Также наблюдается движение в сторону локального хранения чувствительных данных. Чтобы соответствовать правилам конфиденциальности, компании отходят от централизованной облачной обработки для определенных задач. Они используют edge computing, чтобы хранить данные пользователей на устройстве. Лимиты API также перерабатываются. Речь уже не только об ограничении частоты запросов для трафика. Речь о фильтрах безопасности, которые блокируют определенные типы запросов на аппаратном уровне. Мы видим рост «карточек моделей» (Model Cards), которые похожи на этикетки с составом для ИИ. В них указаны обучающие данные, предполагаемое использование и известные ограничения. С точки зрения рабочего процесса это означает интеграцию автоматизированного тестирования в процесс непрерывной интеграции (CI). Каждый раз, когда модель обновляется, она должна пройти серию тестов на предвзятость и безопасность, прежде чем ее можно будет развернуть. Это добавляет задержку в цикл разработки, но снижает риск юридической катастрофы. Компании также ищут способы обработки запросов на удаление данных для обученных моделей, что является значительной технической задачей. Если пользователь просит удалить свои данные, как «разучить» эти данные из нейронной сети? Здесь закон встречается с пределами современной компьютерной науки. Мы видим новый класс ПО, разработанный специально для управления этими юридическими требованиями.

Следующий год станет первым настоящим испытанием для этих законов. Мы увидим первые крупные штрафы и первые судебные дела, которые определят границы власти правительства. Значимым прогрессом стал бы четкий набор стандартов, позволяющих маленьким компаниям конкурировать, не утопая в бюрократии. Нам следует ожидать появления сторонних аудиторов, которые смогут сертифицировать безопасность ИИ. Цель — выйти за рамки хайпа и страха. Нам нужна система, где технологии служат людям, не нарушая их прав. Реализация **EU AI Act** будет основным сигналом, за которым стоит следить. Если правоприменение будет слишком агрессивным, мы можем увидеть отток капитала в другие регионы. Если слишком слабым, закон будут считать «бумажным тигром». Правила уже здесь. Теперь нам нужно посмотреть, работают ли они на самом деле в реальном мире.

Нашли ошибку или что-то, что нужно исправить? Сообщите нам.

Примечание редактора: Мы создали этот сайт как многоязычный центр новостей и руководств по ИИ для людей, которые не являются компьютерными гиками, но все же хотят понять искусственный интеллект, использовать его с большей уверенностью и следить за будущим, которое уже наступает.