Ce este EU AI Act?
Regulamentul (UE) 2024/1689 privind inteligența artificială, cunoscut sub numele de EU AI Act, reprezintă primul cadru juridic cuprinzător privind inteligența artificială la nivel mondial. Acest regulament european stabilește norme armonizate pentru dezvoltarea, comercializarea și utilizarea sistemelor de inteligență artificială în Uniunea Europeană, adoptând o abordare bazată pe evaluarea riscurilor pentru a asigura siguranța tehnologiilor AI.
Regulamentul a fost publicat în Jurnalul Oficial al Uniunii Europene la 12 iulie 2024 și a intrat în vigoare la 1 august 2024. Implementarea dispozițiilor sale se desfășoară treptat pe parcursul unei perioade de 6 până la 36 de luni, permițând furnizorilor și implementatorilor de sisteme AI să se adapteze la noile cerințe de conformitate.
Procesul legislativ al EU AI Act a demarat prin propunerea inițială prezentată de Comisia Europeană la 21 aprilie 2021. Parlamentul European a adoptat regulamentul la 13 martie 2024, cu un sprijin masiv de 523 de voturi pentru, 46 împotriva și 49 de abțineri. Consiliul Uniunii Europene a aprobat în unanimitate legislația la 21 mai 2024, finalizând astfel procesul de adoptare.
Regulamentul se aplică atât actorilor publici, cât și privați din interiorul și exteriorul Uniunii Europene, atâta timp cât sistemul AI este plasat pe piața Uniunii sau rezultatul acestuia este utilizat în UE. În esență, legea acoperă majoritatea sistemelor de inteligență artificială dintr-o gamă largă de sectoare, cu excepții notabile pentru sistemele AI utilizate exclusiv în scopuri militare, de securitate națională, de cercetare sau pentru uz neprofesional.
Ca formă de reglementare a produselor, EU AI Act nu creează drepturi individuale, ci impune obligații furnizorilor de AI și organizațiilor care utilizează sisteme de inteligență artificială într-un context profesional. Regulamentul adoptă un sistem de clasificare bazat pe risc, identificând patru categorii principale: sisteme cu risc inacceptabil (interzise), sisteme cu risc ridicat (puternic reglementate), sisteme cu risc limitat (necesită transparență suplimentară) și sisteme cu risc minim (fără cerințe speciale).
Conform definiției din Articolul 3(1), un sistem AI reprezintă un sistem bazat pe mașini, conceput să funcționeze autonom și adaptiv, generând rezultate precum predicții, conținut, recomandări sau decizii din informațiile pe care le primește. Această definiție exclude sistemele bazate exclusiv pe reguli, operate doar de oameni, concentrându-se pe capacitatea de inferență prin învățare automată sau abordări bazate pe logică și cunoștințe.
Pentru a facilita tranziția către noul cadru de reglementare, Comisia Europeană a lansat Pactul privind IA, o inițiativă voluntară menită să sprijine implementarea viitoare și să invite furnizorii de AI să respecte obligațiile principale prevăzute în regulament. În paralel, Serviciul de asistență pentru Regulamentul privind IA oferă informații și sprijin pentru o aplicare armonioasă în întreaga UE. Legea prevede totodată crearea unui Comitet European pentru Inteligența Artificială pentru a promova cooperarea națională și a asigura respectarea dispozițiilor regulamentului.
La fel ca Regulamentul General privind Protecția Datelor (RGPD), EU AI Act se poate aplica extrateritorial furnizorilor din afara UE dacă aceștia au utilizatori în interiorul Uniunii, poziționând astfel Europa ca lider în stabilirea standardelor globale pentru reglementarea inteligenței artificiale.
De ce este important EU AI Act?
Protecția drepturilor fundamentale ale cetățenilor reprezintă motivul central pentru care această reglementare a devenit necesară la nivel european. Sistemele de inteligență artificială influențează deja numeroase aspecte ale vieții cotidiene, de la informațiile vizibile online și recunoașterea facială pentru aplicarea legii până la diagnosticarea și tratamentul cancerului. Lipsa unui cadru de reglementare ar putea duce la dezavantajarea injustă a persoanelor în decizii privind angajarea, accesul la servicii publice sau acordarea creditelor bancare.
Legislația existentă, deși oferă o anumită protecție, nu este suficientă pentru a aborda provocările specifice pe care le aduc sistemele de inteligență artificială. Adesea nu este posibil să se determine de ce un sistem AI a luat o decizie sau predicție particulară, creând dificultăți în evaluarea echității procesului decizional. Reglementarea adresează această lacună prin impunerea unor cerințe stricte de transparență, trasabilitate și explicabilitate pentru sistemele cu impact semnificativ asupra drepturilor fundamentale.
Scopul regulamentului vizează prevenirea abuzurilor și asigurarea că tehnologiile AI respectă valorile și principiile democratice ale Uniunii Europene. Prin stabilirea unor cerințe stricte pentru sistemele cu risc mare și interzicerea completă a celor cu risc inacceptabil, legislația protejează democrația, statul de drept și sustenabilitatea mediului de amenințările potențiale generate de utilizarea necontrolată a tehnologiilor AI. Domeniile sensibile precum sănătatea, justiția, angajarea în muncă, finanțele și educația beneficiază de o protecție specială prin aplicarea normelor stricte de conformitate.
Cadrul legal armonizat la nivel european creează un mediu de afaceri previzibil și consolidat, stimulator pentru inovație. Regulamentul urmărește să găsească un echilibru între dezvoltarea tehnologică și protecția drepturilor fundamentale, asigurând că sistemele AI pot contribui la soluționarea provocărilor societale fără a crea riscuri inacceptabile. Companiile care respectă regulile privind calitatea datelor, transparența algoritmilor și securitatea cibernetică își pot extinde mai ușor produsele și serviciile la nivelul întregii Uniuni.
Regulamentul promovează cooperarea între statele membre în domeniul reglementării AI și încurajează schimbul de bune practici și informații. Această armonizare evită fragmentarea pieței interne și asigură aplicarea uniformă a standardelor de protecție pe întreg teritoriul UE. Cetățenii dobândesc dreptul de a depune plângeri despre sistemele AI și de a primi explicații detaliate despre deciziile bazate pe sisteme AI de risc înalt care le afectează drepturile.
La nivel global, analișții juridici au identificat legislația ca fiind un probabil punct de referință pentru companii și autorități de reglementare din afara UE. Similar impactului Regulamentului General privind Protecția Datelor (GDPR), AI Act poate deveni un standard global care determină măsura în care inteligența artificială afectează pozitiv sau negativ viața oamenilor oriunde s-ar afla. Clasificările de risc și consecințele practice asociate creează un mediu de încredere și transparență în utilizarea sistemelor AI, promovând responsabilitatea și conformitatea cu principiile etice și normele legale.
Cum funcționează sistemul de clasificare a riscurilor?
Regulamentul clasifică sistemele de inteligență artificială în patru niveluri distincte de risc, stabilind obligații diferențiate în funcție de potențialul de vătămare a sănătății, siguranței sau drepturilor fundamentale ale persoanelor. Această abordare stratificată permite inovarea tehnologică în domeniile cu impact redus, în timp ce impune cerințe stricte pentru aplicațiile care prezintă riscuri semnificative.
Sisteme cu risc inacceptabil
Regulamentul interzice nouă categorii de practici AI considerate o amenințare clară la adresa siguranței și drepturilor cetățenilor. Acestea includ manipularea și înșelăciunea dăunătoare bazate pe AI, exploatarea vulnerabilităților prin tehnologii AI, sistemele de punctaj social, evaluarea sau anticiparea riscurilor legate de infracțiunile individuale bazată exclusiv pe profilare, răzuirea nedirecționată a internetului sau materialelor CCTV pentru crearea bazelor de date de recunoaștere facială, recunoașterea emoțiilor la locul de muncă și în instituțiile de învățământ, clasificarea biometrică pentru deducerea caracteristicilor protejate, identificarea biometrică la distanță în timp real în scopul asigurării respectării legii în spațiile accesibile publicului, precum și sistemele care generează conținut sexual explicit neconsensual. Interdicțiile pentru primele opt categorii au intrat în vigoare în februarie 2025, în timp ce ultima interdicție devine aplicabilă în decembrie 2026. Sistemele de identificare biometrică în timp real sunt permise doar în situații excepționale, cum ar fi căutarea persoanelor dispărute, prevenirea amenințărilor teroriste sau identificarea suspecților în infracțiuni grave, și doar cu autorizare judecătorească prealabilă.
Sisteme cu risc ridicat
Sistemele AI care prezintă riscuri grave pentru sănătate, siguranță sau drepturile fundamentale sunt clasificate ca având risc ridicat. Printre cazurile de utilizare se numără componentele de siguranță ale infrastructurilor critice precum transporturile, soluțiile utilizate în instituțiile de învățământ care determină accesul la educație, componentele de siguranță ale produselor bazate pe AI cum ar fi chirurgia asistată de robot, instrumentele pentru ocuparea forței de muncă și gestionarea lucrătorilor, sistemele pentru acordarea accesului la servicii publice și private esențiale precum notarea creditelor, sistemele de identificare biometrică la distanță și recunoaștere a emoțiilor, cazurile de utilizare în asigurarea respectării legii, gestionarea migrației și controlului la frontiere, precum și administrarea justiției și proceselor democratice. Începând cu 2 decembrie 2027, aceste sisteme trebuie să îndeplinească obligații stricte privind evaluarea și atenuarea riscurilor, calitatea ridicată a seturilor de date, înregistrarea activității pentru trasabilitate, documentația detaliată, informații adecvate pentru implementator, măsuri de supraveghere umană și nivel ridicat de robustețe și precizie.
Sisteme cu risc limitat
Sistemele AI care comportă riscuri limitate fac obiectul unor obligații de transparență. Utilizatorii trebuie informați că interacționează cu tehnologii AI, astfel încât să poată lua decizii în cunoștință de cauză. Furnizorii sistemelor care generează sau manipulează conținut precum deepfake-urile trebuie să asigure identificarea clară a materialelor produse artificial. De asemenea, roboții de chat și sistemele care detectează emoțiile sau clasifică persoanele pe baza datelor biometrice intră în această categorie.
Sisteme cu risc minimal
Majoritatea sistemelor AI nu comportă riscuri și pot fi utilizate fără restricții. Jocurile video bazate pe AI, filtrele antispam, asistenții gramaticali și instrumentele de autocompletare se încadrează în categoria de risc minim. Aceste sisteme nu sunt reglementate de regulament, însă furnizorii sunt încurajați să adopte voluntar coduri de conduită pentru a demonstra angajamentul față de principiile eticii AI.
Cui se aplică EU AI Act?
Aplicarea regulamentului se extinde în mod semnificativ peste granițele geografice ale Uniunii Europene, vizând atât organizațiile cu sediul în UE, cât și entitățile din afara Uniunii, în măsura în care sistemele lor de inteligență artificială influențează utilizatori sau persoane aflate pe teritoriul european. Această abordare largă asigură că orice sistem AI care produce efecte în interiorul Uniunii trebuie să respecte standardele de conformitate, indiferent de locația furnizorului sau dezvoltatorului.
Conform prevederilor legislative, toate entitățile care dezvoltă, plasează pe piață sau utilizează sisteme de inteligență artificială în spațiul european intră sub incidența regulamentului. Sistemele dezvoltate în afara Uniunii trebuie să respecte cerințele dacă sunt utilizate în UE, eliminând astfel posibilitatea evitării conformității prin relocarea operațiunilor în afara spațiului european. Această prevedere reflectă principiul aplicării extrateritoriale similar celui din Regulamentul General privind Protecția Datelor.
Regulamentul identifică patru roluri cheie pentru operatorii din ecosistemul inteligenței artificiale: furnizor, importator, distribuitor și implementator. Furnizorii (providers) sunt entitățile care dezvoltă sisteme AI sau care comandă dezvoltarea acestora și le plasează pe piață sub numele lor. Importatorii aduc pe piața UE sisteme AI produse în afara Uniunii, asumându-și responsabilitatea conformității pentru aceste produse. Distributorii facilitează lanțul de aprovizionare prin punerea la dispoziție a sistemelor AI fără a le modifica sau re-marca. Implementatorii (deployers) reprezintă utilizatorii finali care integrează și operează sisteme AI în contextul activităților lor profesionale sau comerciale.
Obligațiile diferă substanțial în funcție de rolul pe care îl îndeplinește fiecare actor în ecosistem. Furnizorii poartă responsabilitatea principală pentru conformitatea tehnică, documentația detaliată și evaluarea riscurilor sistemelor pe care le dezvoltă. Implementatorii trebuie să asigure supravegherea umană adecvată, monitorizarea performanței sistemelor în utilizare reală și respectarea transparenței față de persoanele afectate. Importatorii verifică conformitatea sistemelor aduse din afara UE, în timp ce distributorii trebuie să se asigure că sistemele rămân conforme pe parcursul lanțului de distribuție.
Regulile se aplică atât sectorului privat, cât și instituțiilor publice, acoperind o gamă variată de utilizări ale inteligenței artificiale în administrația publică, sectorul financiar, domeniul medical, educație și justiție. Această aplicare universală previne crearea unor zone neprotejate sau excepții care ar putea compromite protecția drepturilor fundamentale ale cetățenilor.
Regulamentul acoperă inclusiv modelele de AI cu utilizare generală (General Purpose AI), precum modelele mari de limbaj sau modelele generative. Aceste sisteme, care pot fi adaptate pentru multiple scopuri, intră sub reglementare în special dacă sunt considerate cu risc sistemic datorită capacităților lor avansate sau impactului potențial asupra societății. Furnizorii acestor modele trebuie să implementeze guvernanță internă robustă și să asigure trasabilitatea proceselor de antrenare.
Care sunt cerințele de conformitate pentru companii?
Companiile trebuie să navigheze simultan două cadre normative distincte: Regulamentul privind inteligența artificială și Regulamentul General privind Protecția Datelor. Această suprapunere creează provocări fundamentale de arhitectură a conformării, deoarece GDPR funcționează ca un regulament al drepturilor individuale, protejând persoana fizică față de prelucrarea datelor, în timp ce regulamentul pornește de la sistemul care poate afecta persoanele, clasificându-l după risc și distribuind obligații între toți actorii implicați.
Furnizorii de sisteme cu risc ridicat poartă responsabilitatea principală pentru conformitate și trebuie să asigure sistem de management al riscurilor, guvernanță și calitate adecvată a datelor, documentație tehnică completă, trasabilitatea rezultatelor, transparență privind funcționarea sistemului, supraveghere umană adecvată, robustețe, acuratețe și securitate, precum și evaluare a conformității și marcaj CE înainte de introducerea pe piață. Documentația tehnică trebuie să fie exhaustivă și destinată furnizorilor din aval care integrează modelul în sistemul lor AI. Furnizorii trebuie totodată să dispună de un sistem de monitorizare ulterioară introducerii pe piață și să raporteze incidentele grave și disfuncționalitățile.
Implementatorii care utilizează profesional sisteme cu risc ridicat trebuie să respecte instrucțiunile furnizorului prin citirea și aplicarea documentației tehnice oficiale, să asigure supravegherea umană prin alocarea unor persoane competente cu autoritate reală de a interveni, să verifice relevanța și calitatea datelor de input în limita controlului lor, să monitorizeze operarea sistemului și să informeze furnizorul în caz de incidente serioase. Păstrarea jurnalelor automate generate de sistem este obligatorie pentru o perioadă proporțională cu scopul, cu minimum șase luni. Implementatorii trebuie să realizeze Data Protection Impact Assessment conform GDPR, folosind informațiile primite de la furnizor, și să informeze persoanele afectate atunci când sistemul ia sau contribuie la decizii care le privesc.
Evaluarea impactului asupra drepturilor fundamentale reprezintă o cerință obligatorie înainte de prima utilizare a unui sistem AI cu risc ridicat din anumite categorii. Aceasta trebuie să conțină descrierea proceselor în care sistemul va fi folosit, perioada și frecvența utilizării, categoriile de persoane fizice și grupuri afectate, riscurile specifice de prejudiciu, măsurile de supraveghere umană implementate și măsuri în cazul materializării riscurilor, inclusiv mecanisme de plângere. Regulamentul permite implementatorilor care au realizat deja o evaluare de impact sub GDPR să o valorifice și în scopul FRIA.
Furnizorii de modele GPAI trebuie să publice documentația tehnică, să ofere instrucțiuni pentru utilizatori profesioniști, să respecte legislația privind drepturile de autor pentru datele folosite la antrenare și să publice un rezumat privind datele utilizate la antrenare conform modelului standardizat furnizat de AI Office. Modelele GPAI cu risc sistemic au obligații suplimentare: evaluarea modelului, adversarial testing, raportarea incidentelor grave și cerințe sporite de securitate.
Începând cu februarie 2025, două seturi de obligații sunt integral aplicabile: interzicerea practicilor AI cu risc inacceptabil și obligația de AI literacy, prin care orice companie care furnizează sau utilizează sisteme AI trebuie să asigure un nivel suficient de competență AI pentru personalul care lucrează cu aceste sisteme.
Ce sancțiuni prevede EU AI Act?
Sistemul de sancțiuni administrative stabilit prin Articolul 99 urmează o structură pe trei niveluri, diferențiată în funcție de gravitatea încălcării. Acestea au devenit oficial aplicabile începând cu 2 august 2025 și funcționează pe principiul cuantumului maxim, alegându-se valoarea cea mai mare între suma fixă și procentul din cifra de afaceri globală anuală.
Nivelul 1 vizează utilizarea practicilor interzise conform Articolului 5 și prevede amenzi de până la 35 de milioane de euro sau, pentru întreprinderi, până la 7% din cifra de afaceri globală anuală din exercițiul financiar precedent. Nivelul 2 sancționează încălcarea obligațiilor pentru sisteme cu risc ridicat și alte obligații cheie, inclusiv obligațiile furnizorilor, reprezentanților autorizați, importatorilor, distribuitorilor, implementatorilor și organismelor notificate, precum și obligațiile de transparență, cu amenzi de până la 15 milioane de euro sau 3% din cifra de afaceri globală anuală. Nivelul 3 penalizează furnizarea de informații incorecte, incomplete sau înșelătoare către autoritățile competente cu până la 7,5 milioane de euro sau 1% din cifra de afaceri globală anuală[261].
Întreprinderile mici și mijlocii, inclusiv start-up-urile, beneficiază de o protecție specifică prin aplicarea valorii mai mici dintre cuantumul fix și procentul din cifra de afaceri[261]. Totuși, pentru companiile cu cifre de afaceri semnificative, expunerea rămâne substanțială. O firmă cu venituri de 50 de milioane de euro riscă o amendă de 1,5 milioane de euro pentru o încălcare de Nivel 2, în timp ce un grup multinațional cu cifră de afaceri de 1 miliard de euro poate ajunge la 70 de milioane de euro pentru practici interzise.
Statele membre pot introduce și alte măsuri coercitive non-monetare, iar procedura de aplicare a sancțiunilor trebuie să respecte garanțiile procedurale adecvate conform dreptului Uniunii și național.
Sursa foto: Canva
Ți-a fost util acest articol?
Abonează-te la newsletterul Lumea AI și primești săptămânal cele mai importante știri și ghiduri despre inteligența artificială.
Abonează-te gratuit pe Substack