Tehisintellekti poliitika ettevõtetes: kuidas valmistada oma organisatsiooni ette ELi tehisintellekti seaduseks
Tehisintellekt (AI) areneb kiiresti ja on integreeritud igapäevastesse äritegevustesse. Alates generatiivsetest tehisintellekti tööriistadest ja vestlusrobotitest kuni värbamise, kliendianalüütika ja otsuste tegemise süsteemideni tugineb üha rohkem organisatsioone tehisintellekti süsteemidele, sageli ilma täieliku selguseta nendega kaasnevate juriidiliste ja organisatsiooniliste kohustuste osas.
ELi tehisintellekti seadusega on see põhimõtteliselt muutumas. Organisatsioonidelt oodatakse teadlike valikute tegemist tehisintellekti kasutamise kohta ja sellega seotud riskide aktiivset juhtimist. See artikkel selgitab, kuidas töötada välja praktiline, toimiv ja õiguslikult tugev tehisintellekti poliitika, et teie organisatsioon oleks ELi tehisintellekti seaduseks valmis ja järgiks jätkuvalt kehtivaid eeskirju, näiteks isikuandmete kaitse üldmäärust (GDPR).
Mis on tehisintellekti poliitika ja miks see on vajalik?
Tehisintellekti poliitika on sise-eeskirjade kogum, mis määratleb, kuidas, miks ja millistel tingimustel võib organisatsioonis tehisintellekti kasutada. See annab töötajatele juhiseid ja aitab juhtkonnal säilitada järelevalvet ja kontrolli tehnoloogia arenedes.
Tehisintellekt ei piirdu enam ainult IT-osakondade või suurte tehnoloogiaettevõtetega. Paljud tehisintellekti funktsioonid on sisse ehitatud olemasolevasse tarkvarasse, näiteks CRM-süsteemidesse, personalijuhtimise tööriistadesse ja turundusplatvormidesse. Töötajad katsetavad sageli ka avalikke tehisintellekti tööriistu omal algatusel. Ilma selgete piireteta võib see viia privaatsuse rikkumiste, diskrimineerimise, läbipaistvuse puudumise või vigaste otsuste tegemiseni.
ELi tehisintellekti seadus ja isikuandmete kaitse üldmäärus panevad organisatsioonidele selged kohustused. Nende hulka kuuluvad riskijuhtimise, andmete kasutamise, inimjärelevalve ja läbipaistvusega seotud kohustused. Hästi läbimõeldud tehisintellekti poliitika aitab neid nõudeid igapäevapraktikasse rakendada.
Õigusraamistik: ELi tehisintellekti seadus, isikuandmete kaitse üldmäärus ja tööhõive seadus
ELi tehisintellekti seadus järgib riskipõhist lähenemisviisi. Tehisintellekti süsteemid liigitatakse erinevatesse kategooriatesse, alates minimaalsest riskist kuni vastuvõetamatu riskini. Kõrge riskiga tehisintellekti kasutusviiside, näiteks värbamis- ja valikusüsteemide, krediidiskoori või muude üksikisikutele olulist mõju avaldavate otsuste puhul kehtivad ranged nõuded.
Need nõuded hõlmavad muu hulgas riskijuhtimist ja dokumenteerimist, andmete kvaliteeti ja päritolu, süsteemi toimimise ja piirangute läbipaistvust ning tõhusat inimjärelevalvet koos sekkumisvõimalusega. Teatud tehisintellekti tavad on täielikult keelatud, sealhulgas teatud manipuleeriva tehisintellekti ja sotsiaalse hindamise vormid.
Lisaks jääb isikuandmete kaitse üldmäärus täielikult kohaldatavaks. Kui tehisintellekti süsteemid töötlevad isikuandmeid, on eriti olulised sellised põhiprintsiibid nagu andmete minimeerimine, seaduslikkus, turvalisus ja automatiseeritud otsuste tegemise piiramine. Samuti võivad kehtida tööõiguse ja tarbijakaitse eeskirjad, näiteks personalijuhtimisega seotud tehisintellekti või klientidega suhtlevate tehisintellekti rakenduste puhul. Tehisintellekti poliitika seob need õiguslikud nõuded igapäevase äritegevusega.
Tugeva tehisintellekti poliitika eesmärk ja ulatus
Tõhus tehisintellekti poliitika ei ole teoreetiline dokument; see on praktiline kompass kõigile, kes tehisintellektiga töötavad. See peaks selgitama, miks organisatsioon tehisintellekti kasutab, mida see soovib saavutada, millised riskid tekivad ja kuidas töötajatelt oodatakse tehisintellekti tööriistade vastutustundlikku kasutamist.
Ulatusmääratlus on ülioluline. Poliitikas tuleks täpsustada, millistele osakondadele see kohaldub, näiteks personalijuhtimine, turundus, klienditeenindus, rahandus, operatsioonid ning teadus- ja arendustegevus. Samuti peaks see selgitama, millist tüüpi süsteemid poliitika alla kuuluvad, sealhulgas ostetud tehisintellekti tarkvara, sisemised mudelid, genereerivad tehisintellekti tööriistad, vestlusrobotid, hindamisvahendid ja soovitussüsteemid. Lõpuks peaks see käsitlema, kas ja millistel tingimustel on lubatud individuaalne katsetamine avalike tehisintellekti tööriistadega.
Tehisintellekti poliitika põhikomponendid
Tehisintellekti poliitika peaks algama selgete definitsioonidega, mis on kooskõlas tehisintellekti laia kontseptsiooniga ELi tehisintellekti seaduse alusel, kuid kirjutatud keeles, millest töötajad aru saavad. Töötajad peaksid suutma ära tunda, millal nad kasutavad poliitika alla kuuluvat tehisintellekti süsteemi. Praktilised näited valdkondade kaupa, näiteks personalijuhtimine, kliendisuhtlus ja sisemised protsessid, aitavad seda ellu viia.
Seejärel peaks poliitika eristama tehisintellekti lubatud kasutamist, piiratud kasutamist teatud tingimustel ja keelatud kasutamist. Keelatud kasutamine hõlmab tehisintellekti tavasid, mis on ELi tehisintellekti seaduse kohaselt liigitatud vastuvõetamatu riskina. Piiratud riskiga kasutusjuhtude korral võib poliitika kehtestada tingimusi, näiteks läbipaistvuskohustused või eelnev heakskiit. Lubatud kasutamist saab siduda kaitsemeetmetega, nagu riskihindamine, andmekaitsealane mõjuhinnang ning täiendavad tehnilised ja korralduslikud meetmed.
Juhtimine on veel üks põhielement. Poliitikas tuleks selgelt määratleda, kes vastutab tehisintellekti nõuetele vastavuse eest, kellel on õigus valida või rakendada uusi tehisintellekti rakendusi ning kes teostab järelevalvet nõuetele vastavuse ja intsidentide käsitlemise üle. Samuti on olulised müüjate valik ja tarnijate haldamine. Organisatsioonid peaksid hindama, kas pakkujad suudavad täita ELi tehisintellekti seaduse nõudeid, ja tagama, et need kohustused kajastuvad lepingutes nõuetekohaselt.
Andmed, privaatsus, turvalisus ja läbipaistvus
Kuna tehisintellekt sõltub andmetest, peaks poliitika määratlema, milliseid andmeid tehisintellekti süsteemide abil töödelda võib ja milliseid mitte. See peaks käsitlema andmete minimeerimist, anonüümseks muutmist või pseudonümiseerimist, kui see on asjakohane, säilitusaegu ja treeningandmete eraldamist tootmisandmetest. Kõrge riskiga süsteemide puhul on sageli vaja kombineeritud hindamist, mis arvestab nii ELi tehisintellekti seadust kui ka isikuandmete kaitse üldmäärust.
Tehisintellekti süsteemid ja andmed, millele need tuginevad, peavad olema korralikult turvatud. Poliitikas tuleks kirjeldada, kuidas on korraldatud juurdepääsuõigused, kuidas kasutamist logitakse ja jälgitakse ning kuidas intsidente ja andmetega seotud rikkumisi käsitletakse.
ELi tehisintellekti seadus nõuab läbipaistvust, kui üksikisikud suhtlevad tehisintellekti süsteemidega või kui tehisintellekt loob sisu. Seetõttu võib poliitika nõuda, et töötajaid, kliente ja teisi sidusrühmi teavitataks alati, kui tehisintellekti kasutatakse, sealhulgas peamistest omadustest ja piirangutest.
Inimjärelevalve, eelarvamused ja otsuste kvaliteet
Tehisintellekti süsteemide puhul, millel on üksikisikutele märkimisväärne mõju, on inimese järelevalve hädavajalik. Poliitikas tuleks täpsustada, millal on inimese järelevalve või otsustusprotsess kohustuslik ja kuidas seda järelevalvet praktikas rakendatakse. Samuti on soovitatav tehisintellekti süsteeme perioodiliselt testida eelarvamuste, veamäärade ja ettenägematute tagajärgede suhtes, eriti sellistes valdkondades nagu personalijuhtimine ja klientide kaasamine.
Koolitus ja tehisintellekti kirjaoskus
ELi tehisintellekti seadus nõuab organisatsioonidelt tehisintellekti oskuste edendamist. Seetõttu peaks tehisintellekti poliitika hõlmama koolitusraamistikku, mis hõlmab kõigi töötajate baastaseme koolitust ja edasijõudnute koolitust konkreetsete rollide jaoks, nagu personalijuhtimine, IT, andmemeeskonnad ja juhtkond. Regulaarsed uuendused on vajalikud, et pidada sammu tehnoloogia ja õigusalase arenguga.
Esialgsest inventuurist küpse tehisintellekti poliitikani
Toimiv tehisintellekti poliitika töötatakse tavaliselt välja etappidena. Esiteks tuvastab organisatsioon, millised tehisintellekti rakendused on kasutusel, sealhulgas töötajate poolt kasutusele võetud tarkvarasse ja tööriistadesse integreeritud tehisintellekti funktsioonid. Seejärel liigitatakse need rakendused riski järgi. Järgneb juriidiline ja organisatsiooniline riskihindamine, mille järel koostatakse tehisintellekti poliitika ja viiakse see vastavusse olemasolevate privaatsus-, infoturbe- ja personalijuhtimise raamistikega. Seejärel rakendatakse poliitikat protsessides, lepingutes ja süsteemides. Lõpuks tagavad koolitus, suhtlus, jälgimine ja perioodilised uuendused poliitika aja jooksul tõhususe.
Järeldus
ELi tehisintellekti seadus teeb selgeks, et tehisintellektiga ad hoc või struktureerimata katsetamine ei ole enam jätkusuutlik. Organisatsioonid, kes investeerivad varakult hästi läbimõeldud tehisintellekti poliitikasse, vähendavad õiguslikku riski ja loovad usaldust töötajate, klientide ja reguleerivate asutustega.
Kas soovite teada, kas teie organisatsioon on EL-i tehisintellekti seaduseks valmis või vajate tuge tehisintellekti poliitika väljatöötamisel või rakendamisel? Võtke ühendust Law & More. Meil on hea meel aidata.
KKK
Kas tehisintellekti poliitika on ELi tehisintellekti seaduse kohaselt kohustuslik?
ELi tehisintellekti seadus ei nõua organisatsioonidelt otseselt dokumendi pealkirjaga „Tehisintellekti poliitika“ olemasolu. Praktikas on tehisintellekti poliitika aga hädavajalik, et näidata vastavust tehisintellekti seaduse ja isikuandmete kaitse üldmäärusega kehtestatud kohustustele, nagu riskijuhtimine, inimeste järelevalve, läbipaistvus ja tehisintellekti oskusteave.
Millised organisatsioonid kuuluvad ELi tehisintellekti seaduse alla?
ELi tehisintellekti seadus kehtib praktiliselt kõigile organisatsioonidele, mis arendavad, lasevad turule või kasutavad tehisintellekti süsteeme Euroopa Liidus. See hõlmab lisaks tehnoloogiaettevõtetele ka tööandjaid, teenusepakkujaid ja organisatsioone, kes kasutavad tehisintellekti personalijuhtimises, turunduses, kliendisuhtluses, rahanduses või otsustusprotsessides.
Kas ELi tehisintellekti seadus kehtib ka siis, kui kasutame ainult standardset valmistarkvara?
Jah. Isegi kui tehisintellekti funktsioonid on integreeritud kolmanda osapoole tarkvarasse, jääb süsteemi kasutav organisatsioon selle kasutamise eest vastutavaks. Tarnijale lootmine ei vabasta kasutajat ELi tehisintellekti seaduse ja isikuandmete kaitse üldmääruse (GDPR) kohastest kohustustest.
Mis vahe on madala, piiratud ja kõrge riskiga tehisintellekti süsteemidel?
ELi tehisintellekti seadus liigitab tehisintellekti süsteeme vastavalt sellele, kui suurt riski nad kujutavad üksikisikute põhiõigustele ja huvidele. Kõrge riskiga tehisintellekti hulka kuuluvad süsteemid, mida kasutatakse värbamiseks ja valikuks, töötajate hindamiseks, krediidivõimelisuse hindamiseks või olulistele teenustele juurdepääsuks. Nendele süsteemidele kehtivad oluliselt rangemad nõuded.
Kas kõiki tehisintellekti rakendusi tuleb eelnevalt hinnata?
Praktikas küll. Organisatsioonid peaksid enne juurutamist tehisintellekti rakendusi inventuuri tegema ja hindama ning need vastavalt riskile liigitama. Kõrge riskiga tehisintellekti puhul on vaja põhjalikku hindamist, mis on sageli kombineeritud isikuandmete kaitse üldmääruse kohase andmekaitsealase mõjuhinnanguga.
Kuidas on tehisintellekti poliitika seotud isikuandmete kaitse üldmäärusega?
ELi tehisintellekti seadus ja isikuandmete kaitse üldmäärus täiendavad teineteist. Kui tehisintellekti seadus keskendub juhtimisele, riskijuhtimisele ja tehisintellekti süsteemide toimimisele, siis isikuandmete kaitse üldmäärus reguleerib isikuandmete töötlemist. Tõhus tehisintellekti poliitika integreerib mõlemad raamistikud ja tagab järjepideva vastavuse nõuetele.
Kas tehisintellekti kasutamisel on alati vaja andmekaitsealast mõjuhinnangut?
Mitte alati, aga sageli. Kui tehisintellekti süsteem töötleb isikuandmeid ja see võib tõenäoliselt kujutada endast üksikisikutele suurt ohtu, on andmekaitsealane mõjuhinnang (DPIA) isikuandmete kaitse üldmääruse kohaselt kohustuslik. ELi tehisintellekti seaduse kohaselt kõrge riskiga tehisintellekti puhul on DPIA praktikas sageli vältimatu.
Kas tehisintellekti süsteemid võivad teha autonoomseid otsuseid töötajate või klientide kohta?
Ainult rangetel tingimustel. Isikuandmete kaitse üldmäärus piirab täielikult automatiseeritud otsuste tegemist ja ELi tehisintellekti seadus nõuab kõrge riskiga tehisintellekti süsteemide puhul sisukat inimese järelevalvet. Paljudel juhtudel peab inimene saama tehisintellektil põhinevaid otsuseid sekkuda, üle vaadata või tühistada.
Kas tehisintellekti poliitika saab piirata töötajate avalike tehisintellekti tööriistade kasutamist?
Jah. Tehisintellekti poliitika üks peamisi eesmärke on määratleda, kas ja millistel tingimustel võivad töötajad avalikke tehisintellekti tööriistu kasutada. See hõlmab tavaliselt reegleid konfidentsiaalse teabe, isikuandmete või tundliku äriteabe sisestamise kohta.
Kes vastutab tehisintellekti poliitika järgimise eest?
Tehisintellekti poliitika peaks selgelt jaotama vastutuse tehisintellekti nõuetele vastavuse eest. Lõplik vastutus lasub tavaliselt tippjuhtkonnal või juhatusel, kus olulised rollid on õigus-, vastavus-, IT- ja personaliosakonnal. Ilma selge juhtimiseta on tõhus järelevalve ebatõenäoline.
Millised on riskid, kui organisatsioonil puudub tehisintellekti poliitika?
Tehisintellekti poliitika puudumine suurendab ELi tehisintellekti seaduse ja isikuandmete kaitse üldmääruse rikkumise riski. See võib kaasa tuua märkimisväärseid trahve, täitemeetmeid, mainekahju ja potentsiaalset tsiviilvastutust. Samuti raskendab see tehisintellekti vastutustundliku juhtimise demonstreerimist regulaatoritele.
Kui tihti tuleks tehisintellekti poliitikat läbi vaadata?
Tehisintellekti poliitikat ei tohiks käsitleda staatilise dokumendina. Regulaarsed läbivaatused on vajalikud, eriti uute tehisintellekti süsteemide kasutuselevõtul, õigusaktide või regulatiivsete juhiste muutumisel või intsidentide korral. Iga-aastast läbivaatamist peetakse sageli miinimumiks.
Kas tehisintellekti oskus on nõutav kõigilt töötajatelt?
ELi tehisintellekti seadus nõuab organisatsioonidelt meetmete võtmist tehisintellekti alase kirjaoskuse edendamiseks. See ei tähenda, et iga töötaja peab saama tehniliseks eksperdiks, kuid nad peaksid mõistma, mis on tehisintellekt, kuidas seda organisatsioonis kasutatakse ja millised riskid sellega kaasnevad.
Millal on soovitatav pöörduda õigusnõustamise poole?
Õigusnõustamine on eriti soovitatav kõrge riskiga tehisintellekti süsteemide juurutamisel, kui on ebakindlust konkreetsete rakenduste seaduslikkuse osas või kui tekivad küsimused seoses jõustamise, auditite või vastutusega. Varajane õiguslik läbivaatamine aitab vältida kulukaid parandusmeetmeid hiljem.
