Regluvarsla samkvæmt gervigreindarreglugerð ESB: tækniskjölun, atburðaskráning, mannlegt eftirlit og gagnastjórnun

Nánast allt sem skrifað hefur verið um gervigreindarreglugerð ESB snýst um gildissvið: í hvaða áhættuflokk þú lendir, hvort þú ert veitandi eða notkunaraðili, hvort kerfið þitt fellur undir III. viðauka. Lögmenn þínir svara því.

Það sem næstum enginn fjallar um er hvað gerist eftir að svarið liggur fyrir. Sé kerfið þitt áhættumikið krefst reglugerðin áhættustjórnunarkerfis sem nær yfir allan líftímann, gagnastjórnunar sem þú getur sýnt fram á, sjálfvirkrar atburðaskráningar með skilgreindum varðveislutíma, tækniskjölunar í tiltekinni uppbyggingu, mannlegs eftirlits sem er hannað en ekki bara fullyrt, og eftirlits eftir markaðssetningu sem safnar í raun einhverju. Þetta eru verkfræðilegar afurðir. Það er hlutinn sem við smíðum.

Hvar frestirnir standa núna

Gervigreindarreglugerðin (reglugerð (ESB) 2024/1689) tók gildi í ágúst 2024 og kemur til framkvæmda í áföngum. Áfangaskiptingunni var breytt árið 2026 og rétt er að vera nákvæmur, því breytingin færði bæði fé og athygli til.

• 2. febrúar 2025: bannaðar aðferðir og skyldur um gervigreindarlæsi tóku gildi.
• 2. ágúst 2025: skyldur vegna gervigreindarlíkana til almennra nota tóku gildi.
• 2. ágúst 2026: gagnsæisskyldur samkvæmt 50. grein tóku gildi: upplýsingagjöf um að notandi eigi í samskiptum við gervigreindarkerfi, merking gervigerðs efnis, upplýsingagjöf um tilfinningagreiningu og lífkennaflokkun, og merking djúpfalsana.
• 2. desember 2027: skyldur vegna áhættumikilla sjálfstæðra kerfa, í kjölfar Digital Omnibus. Ráðið og Evrópuþingið samþykktu frestunina í maí 2026 og hún hlaut endanlega staðfestingu í júní 2026.
• 2. ágúst 2028: skyldur vegna áhættumikilla gervigreindarkerfa sem eru innbyggð í vörur sem falla undir aðra löggjöf.

Sértu veitandi áhættumikils kerfis keypti frestunin þér um sextán mánuði. Hún minnkaði ekki vinnuna, og hún hreyfði ekki við þeim tveimur skyldum sem þegar eru í gildi: gagnsæi samkvæmt 50. grein og gervigreindarlæsi hjá því starfsfólki sem rekur þessi kerfi.

Hvað við smíðum

Tækniskjölun sem afurð úr smíðaferlinu

IV. viðauki tilgreinir hvað tækniskjölunin verður að innihalda: lýsingu á kerfinu, hönnunarval, arkitektúr, gagnakröfur, þjálfunaraðferð þar sem það á við, sannprófunar- og prófunarferli, mælikvarða, áhættustýringaraðgerðir og þær breytingar sem gerðar hafa verið yfir líftímann.

Sé þetta skjal skrifað í höndum er það orðið úrelt vikunni eftir að það er undirritað. Við smíðum það sem eitthvað sem smíðaferlið þitt framleiðir: líkanaspjöld og gagnaspjöld mynduð úr þjálfunar- og matskeyrslunum, lýsingar á arkitektúr og gagnaflæði sem er viðhaldið samhliða kóðanum, matsniðurstöður tengdar þeirri útgáfu sem þær lýsa, og breytingasögu sem kemur úr útgáfustýringunni þinni fremur en úr minni einhvers. Skjalið verður afurð úr byggingunni.

Sjálfvirk atburðaskráning sem uppfyllir 12. grein

Áhættumikil kerfi verða að skrá atburði sjálfvirkt yfir líftíma sinn, á þann hátt að rekja megi virkni þeirra og að eftirlit eftir markaðssetningu sé mögulegt, með varðveislutíma sem hæfir tilganginum, og í sumum tilvikum að minnsta kosti sex mánuði.

Í reynd þýðir þetta að ákveða hvað telst „atburður" í þínu kerfi, fanga inntak, úttak, útgáfu líkansins, ákvörðunarleiðina og auðkenni þeirrar manneskju sem kom að málinu, geyma það á formi sem hægt er að spyrja árum síðar, og gera það án þess að safna persónuupplýsingum sem þú hefur enga heimild til að geyma. Sú spenna (að skrá nóg fyrir gervigreindarreglugerðina og geyma nógu lítið fyrir GDPR) er hið eiginlega hönnunarvandamál, og við vinnum það úr í samráði við persónuverndarfólkið þitt.

Gagnastjórnun samkvæmt 10. grein

Þjálfunar-, sannprófunar- og prófunargagnasett verða að vera viðeigandi, nægilega lýsandi og að því marki sem unnt er villulaus og heildstæð, og skoða verður hvort í þeim leynist hlutdrægni. Til að uppfylla það þarf rekjanleika gagna sem þú getur sýnt, skjalfestan uppruna, aðferðafræði fyrir hlutdrægnismat ásamt niðurstöðum, og getu til að endurgera hvaða gögn framleiddu hvaða útgáfu líkans.

Við smíðum þá vinnslukeðju sem gerir þessar fullyrðingar sannreynanlegar fremur en óskhyggju: útgáfumerkt gagnasett, endurgeranlegar skiptingar, sjálfvirkar gagnagæðaathuganir og hlutdrægnismat á þeim vernduðu einkennum sem skipta máli í þínu tilviki.

Mannlegt eftirlit, byggt en ekki bara boðað

14. grein krefst þess að áhættumikil kerfi séu hönnuð þannig að manneskja geti skilið úttakið, verið meðvituð um sjálfvirknihlutdrægni, túlkað niðurstöðuna rétt, ákveðið að nota hana ekki, og gripið inn í eða stöðvað kerfið.

Það er kröfulýsing fyrir notendaviðmót. Við byggjum eftirlitið inn í vöruna: vissu og óvissu birta á heiðarlegan hátt, þá þætti sem liggja að baki úttaki gerða sýnilega, möguleika á að hnekkja niðurstöðu sem er jafn auðveldur í notkun og að samþykkja hana, stöðvunarstýringu sem virkar, og skráningu allra hnekkinga svo eftirlitið eftir markaðssetningu hafi eitthvað til að læra af.

Eftirlit eftir markaðssetningu og tilkynning atvika

Krafist er eftirlitsáætlunar og tilkynningar alvarlegra atvika til viðeigandi yfirvalds. Við smíðum þá fjarmælingu sem fæðir hana: frammistöðu mælda gegn þeim mælikvörðum sem standa í skjöluninni, rekgreiningu á inntaki og úttaki, farveg fyrir vandamál sem notendur tilkynna og sem nær alla leið til þróunarteymisins, og atvikaferli þar sem tímafrestirnir eru byggðir inn fremur en uppgötvaðir í miðju atviki.

Gagnsæisskyldur samkvæmt 50. grein

Þegar í gildi. Upplýsingagjöf um að notandi eigi í samskiptum við gervigreindarkerfi, véllesanleg merking gervigerðs hljóðs, myndar, myndbands og texta, merking djúpfalsana og upplýsingagjöf vegna tilfinningagreiningar. Við útfærum upplýsingaflötinn og merkingu á uppruna efnis (C2PA content credentials þar sem það er rétta aðferðin), og sjáum til þess að merkingin lifi af þær útflutnings- og umkóðunarleiðir sem venjulega strippa hana burt.

Stuðningur við skráningu og samræmismat

Áhættumikil kerfi á sviðum III. viðauka verður að skrá í gagnagrunn ESB áður en þau eru sett á markað, og veitendur verða að framkvæma samræmismat. Við undirbúum tæknilegu innleggin (skjölunina, gagnapakkann, þau atriði gæðastjórnunarkerfisins sem snúa að verkfræðinni), og vinnum við hlið tilkynnts aðila þíns eða innra matsferlis.

Hvað þetta er ekki

Við veitum ekki lögfræðiráðgjöf og við segjum þér ekki í hvaða áhættuflokk kerfið þitt fellur. Sú ákvörðun er lögfræðileg og hefur raunverulegar afleiðingar, og hún tilheyrir lögmanni eða hæfum regluvörsluráðgjafa.

Við seljum heldur ekki stjórnkerfisvettvang fyrir gervigreind. Slíkir vettvangar eru fjölmargir, og sé þörf þín skrá yfir gervigreindarkerfi og verkferli fyrir stefnur, þá þjónar einn þeirra þér betur en við. Það sem við gerum er verkfræðin inni í kerfunum sjálfum.

Fyrir hverja þetta er

Veitendur áhættumikilla gervigreindarkerfa samkvæmt III. viðauka (ráðningar og starfsmannastjórnun, lánshæfismat, verðlagning trygginga, námsmat, aðgangur að nauðsynlegri þjónustu, lífkennakerfi), sem hafa nú frest til desember 2027 og mikið verk fyrir höndum.

Framleiðendur sem byggja gervigreind inn í vörur sem falla undir aðra löggjöf (lækningatæki, vélbúnað, ökutæki), þar sem gervigreindarreglugerðin leggst ofan á samræmiskerfi sem fyrir er og skjölunarsettin tvö verða að stemma.

Fyrirtæki sem taka í notkun áhættumikil kerfi keypt af öðrum, sem bera sínar eigin skyldur: mannlegt eftirlit, viðeigandi inntaksgögn, vöktun og varðveislu annála.

Öll sem senda frá sér skapandi gervigreindarvirkni til notenda innan ESB, þar sem gagnsæi samkvæmt 50. grein á þegar við í dag óháð áhættuflokki.

Hvernig verkefni ganga fyrir sig

Tæknileg gloppugreining, tvær til fjórar vikur. Við tökum þá flokkun sem lögfræðiteymið þitt hefur komist að og metum kerfin þín gegn þeim verkfræðilegu skyldum sem af henni leiða. Afurðin er gloppuskrá (skylda, staða í dag, hvað þarf að byggja, umfang), sem bæði regluvörslu- og þróunarstjórar geta unnið eftir.

Smíði, í áföngum, sem byrjar yfirleitt á atburðaskráningu og myndun skjölunar, því allt annað framleiðir gögn sem verða að lenda einhvers staðar.

Viðbúnaðarrýni í aðdraganda samræmismats, þar sem gagnapakkinn er settur saman og þær gloppur sem eftir standa eru nefndar hreinskilnislega.

Staðlar og viðmið

Reglugerð (ESB) 2024/1689 ásamt III. og IV. viðauka hennar; samhæfðu staðlarnir sem eru að verða til í CEN/CENELEC JTC 21; ISO/IEC 42001 fyrir stjórnkerfi gervigreindar og ISO/IEC 23894 fyrir áhættustjórnun gervigreindar; NIST AI Risk Management Framework þar sem bandarískt móðurfélag þarf samræmi; og GDPR, sem hverfur ekki og setur flestum ákvörðunum um atburðaskráningu skorður.

Algengar spurningar

Hefur gervigreindarreglugerðinni verið frestað?

Að hluta. Digital Omnibus frestaði skyldum vegna áhættumikilla kerfa til 2. desember 2027 fyrir sjálfstæð kerfi og til 2. ágúst 2028 fyrir gervigreind sem er innbyggð í vörur sem falla undir aðra löggjöf. Bönnuðum aðferðum, gervigreindarlæsi, skyldum vegna gervigreindarlíkana til almennra nota og gagnsæisreglum 50. greinar var ekki frestað og þær eru í gildi núna.

Við notum eingöngu gervigreindarkerfi sem aðrir hafa smíðað. Berum við einhverjar skyldur?

Já, sem notkunaraðili. Þær fela í sér að reka kerfið samkvæmt leiðbeiningum þess, fela mannlegt eftirlit fólki sem hefur til þess hæfni og valdheimildir, tryggja að inntaksgögn séu viðeigandi miðað við fyrirhugaðan tilgang, vakta reksturinn og varðveita annála. Léttari en skyldur veitanda, en raunverulegar, og athugaðu að umtalsverð breyting á kerfi eða það að setja eigið nafn á það getur gert þig að veitanda.

Kerfið okkar er ekki áhættumikið. Er eitthvað sem við þurfum að gera?

Líklega tvennt. Gagnsæi samkvæmt 50. grein á við um tiltekin kerfi óháð áhættuflokki, þar á meðal spjallmenni og myndun gervigerðs efnis. Og gervigreindarlæsi samkvæmt 4. grein á almennt við um veitendur og notkunaraðila. Að öðru leyti er þess virði að geta sýnt fram á hvernig flokkunarákvörðunin var tekin ef eftirlitsaðili spyr einhvern tímann.

Er raunverulega hægt að mynda tækniskjölunina sjálfvirkt?

Að mestu leyti, já. Arkitektúr, lýsingar á gagnasettum, matsniðurstöður, mælikvarðar, útgáfur líkana og breytingasaga eru þegar til í kerfunum þínum; vinnan felst í að fanga þetta í stöðugri uppbyggingu við byggingu. Þeir kaflar sem eru raunverulega frásagnarkenndir (fyrirhugaður tilgangur, áhættugreining, rökstuðningur hönnunar) eru skrifaðir af fólki, og geymdir í sömu geymslu svo þeir útgáfumerkist með öllu hinu.

Hvernig spilar gervigreindarreglugerðin saman við GDPR?

Þær skarast og toga stundum í sitthvora áttina, sérstaklega þegar kemur að atburðaskráningu. Gervigreindarreglugerðin vill rekjanleika; GDPR vill lágmörkun og eyðingu. Lausnin felst yfirleitt í gerviauðkenningu, vandlegri afmörkun þess sem er skráð, og skilgreindum varðveislutíma sem er bundinn skjalfestum tilgangi. Þetta er hönnunarákvörðun, tekin einu sinni og af ásetningi.

Gerir það okkur að veitanda líkans að nota líkan frá þriðja aðila?

Nei, en að byggja gervigreindarkerfi ofan á slíkt líkan getur gert þig að veitanda þess kerfis, með þeim skyldum sem því fylgja. Hvar mörkin liggja fer eftir því hvað þú byggir og hvernig þú kynnir það, sem er lögfræðileg spurning, en verkfræðilega afleiðingin er sú að þú ættir að gera ráð fyrir að þurfa skjölun fyrir þitt eigið kerfi hvort sem er.

Byrjaðu

Segðu okkur hvað kerfin þín gera og hvar lögfræðiráðgjafar þínir hafa lent í flokkuninni. Við metum hvað skyldurnar þýða í kóða og gefum þér gloppuskrá með umfangi á hverri línu.

Hafðu samband til að bóka tæknilega gloppugreiningu vegna gervigreindarreglugerðarinnar.

Tengd þjónusta

• Þróun gervigreindarumboða og MCP-tenginga: smíði kerfanna sem þetta regluverk nær yfir
• Innganga á ESB-markað: víðari stafræni regluvörslustaflinn í ESB
• Úrbætur á aðgengi vefs: hin ESB-skyldan sem reynist vera verkfræðiverkefni