Отлагането на високорисковите правила по Акта за ИИ: какво всъщност се променя

Съобщението, че сроковете за високорисковите системи се отлагат, беше прочетено от много организации като разрешение да отложат и подготовката. Това е погрешен прочит, при това скъп, защото частта от задълженията, която изисква най-много време, не е отложена.

Какво се променя

Предложението за цифров омнибус относно Регламента за ИИ измества прилагането на задълженията за високорисковите системи. За системите по приложение III — тези, при които рискът произтича от приложението, като заетост, кредитиране, образование или достъп до основни услуги — крайният срок се измества към декември 2027 г. За системите по приложение I, при които ИИ е компонент за безопасност в продукт, обхванат от секторно законодателство, той се измества към август 2028 г.

Обосновката е практична: хармонизираните стандарти и насоките не са готови, а без тях организациите не могат да покажат съответствие срещу нещо определено.

Уговорката, която повечето обобщения пропускат

Отлагането поражда правно действие едва след обнародване в Официален вестник на Европейския съюз. До този момент действащи остават сроковете по Регламент (ЕС) 2024/1689 в първоначалния им вид. Организация, която пренаписва вътрешния си план въз основа на съобщение за постигнато политическо съгласие, поема риск, който не е нужен — планирайте по новите дати, но не отменяйте нищо преди обнародването.

Актуалното състояние може да се проследи в хронологията на прилагането, поддържана от службата за подпомагане по Акта за ИИ.

Какво изобщо не се променя

Забранените практики остават забранени и вече се прилагат. Задълженията за прозрачност при взаимодействие с ИИ система и при генерирано съдържание остават. Изискването за достатъчна степен на грамотност по отношение на изкуствения интелект у персонала, който работи с такива системи, остава. Правилата за моделите с общо предназначение следват собствен график.

И най-важното: Общият регламент относно защитата на данните не се променя изобщо. Повечето реални проблеми, които организациите ще срещнат с ИИ през следващите две години, са проблеми по защита на данните, а не по Акта за ИИ. Насоките на Европейския комитет по защита на данните и на националния надзорен орган остават приложими без изменение.

Регистърът на системите е работата, която носи най-много

Ако през следващата година трябва да се направи само едно нещо, това е регистър. За всяка използвана система: наименование, доставчик, вътрешен собственик, предназначение в едно изречение, обработвани категории данни, засегнати лица, роля на организацията и текуща преценка за класификация с основание.

Този регистър не е регулаторна формалност. Той е предпоставка за всеки следващ разговор — с доставчик, с одитор, с надзорен орган, със застраховател. Организациите, които вече го имат, отговарят на въпроси за дни; тези, които нямат, изразходват първите месеци от всяка проверка в събиране на факти, които е трябвало да са налични.

Практическа бележка: регистърът трябва да включва и системите, въведени без централно одобрение. Инструменти, закупени с фирмена карта от отделен екип, са най-често пропусканата категория и типично най-слабо документираната.

Защо допълнителното време е по-малко, отколкото изглежда

Работата, която отнема най-дълго, не е писането на документация. Тя е установяване на факти: какви системи се използват в организацията, кой ги е въвел, върху какви данни работят, кой е доставчикът и по кой договор. В организация със стотици процеси тази инвентаризация отнема месеци, а тя е предпоставка за всяка следваща стъпка.

След нея идва класификацията, която изисква определено предназначение за всяка система, а не общо описание. Едва след това има смисъл да се говори за документация и за контроли. Организация, която започне през 2027 г., ще прави първите две стъпки под срок.

Има и практическа последователност, която работи в организации от средния сегмент. Първите три месеца отиват за регистъра и за определяне на предназначението. Следващите три — за ролята и за договорите, защото те зависят от предназначението. Едва след това има смисъл да се пише документация, тъй като до онзи момент тя ще описва система, чиято класификация още не е определена. Обръщането на този ред е най-скъпата често срещана грешка: документация, написана срещу погрешна класификация, се преработва изцяло, а не се коригира.

Доставчик или внедрител променя това, което дължите

Ролята определя задълженията. Внедрителят на високорискова система дължи човешки надзор, използване по предназначение, наблюдение и водене на записи. Доставчикът дължи значително повече: система за управление на риска, управление на данните, техническа документация, оценяване на съответствието.

Разграничението не е винаги очевидно. Организация, която съществено промени предназначението на закупена система или я предлага под собствена марка, може да се окаже доставчик, без да е взела такова решение съзнателно. Насоките за доставчиците и внедрителите на високорискови системи с ИИ са изходната точка за тази преценка, а тя трябва да се направи преди договора, а не след него.

Какво да се направи с времето

Три неща имат стойност независимо от това как ще се развият сроковете. Първо, завършете инвентаризацията и запишете предназначението на всяка система с едно изречение. Второ, определете ролята си за всяка от тях и проверете дали договорът я отразява. Трето, изградете оценъчните набори за приложенията, които вече са в експлоатация — те са полезни веднага, независимо от регулаторния календар.

Следете и указанията на Службата на ЕС по въпросите на изкуствения интелект. Голяма част от практическата тежест ще дойде от насоки и стандарти, а не от текста на регламента.

Обяснете отлагането вътрешно, преди да е обяснено вместо вас

Съобщението за отложени срокове стига до ръководството по-бързо, отколкото анализът какво точно е отложено. Резултатът е предвидим: бюджетът за подготовка се преразглежда, а работата, която е нужна независимо от сроковете, губи приоритет.

Изпреварете това с кратко вътрешно обобщение от една страница, което казва три неща. Кои задължения вече се прилагат и не се променят. Кои се изместват и от коя дата поражда действие изместването. И кои от вече планираните дейности продължават без промяна, защото имат стойност извън регулаторния календар — инвентаризацията, определянето на предназначението и оценъчните набори.

Тази страница струва час работа и спестява месеци възстановяване на инерция. Организациите, които са отменили подготовката си при първото съобщение, обикновено я започват отначало, а не оттам, докъдето са стигнали.

Какво да поискате от доставчиците сега

Времето до новите срокове се използва най-добре в договорите, защото те се преподписват рядко и това, което не бъде поискано сега, ще остане непроменено до следващия цикъл.

Четири клаузи имат практическо значение. Предизвестие при съществена промяна на модела, с достатъчен срок за повторна оценка. Ангажимент за предоставяне на техническата документация и информацията, необходима на внедрителя да изпълни собствените си задължения. Възможност да се възпроизведе решение от определен минал момент. И ясно разпределение на ролите доставчик и внедрител, записано изрично, а не изведено по подразбиране.

Отделно, поискайте описание на предназначението от самия доставчик. Ако то се разминава с начина, по който възнамерявате да ползвате системата, това е сигнал, който заслужава внимание преди подписа — използване извън заявеното предназначение може да промени ролята ви и с това целия набор задължения.

Какво това не може да ви каже

Никой анализ днес не може да каже как ще изглеждат окончателните хармонизирани стандарти. Затова инвестицията в подготовка трябва да е насочена към нещата, които ще са нужни при всеки вариант — инвентаризация, предназначение, роля, данни, оценка — а не към предварително писане на документация срещу стандарт, който още не съществува.

Ако не сте сигурни кои от вашите системи попадат в обхвата и в каква роля, започнете с оценка на обхвата и класификацията.

Тази публикация е адаптирана от английския оригинал. При различие английската версия е меродавна.