Regulamentul UE 2024/1689 privind inteligența artificială (EU AI Act) - Rezumat

Regulamentul (UE) 2024/1689 al Parlamentului European și al Consiliului din 13 iunie 2024, cunoscut drept Regulamentul privind inteligența artificială (AI Act), stabilește primul cadru juridic general al Uniunii Europene pentru dezvoltarea, introducerea pe piață și utilizarea sistemelor de inteligență artificială. Obiectivul său este dublu: pe de o parte, să încurajeze dezvoltarea și adoptarea unei inteligențe artificiale fiabile, centrate pe factorul uman și favorabile inovării, iar pe de altă parte, să asigure un nivel ridicat de protecție a sănătății, siguranței, drepturilor fundamentale, democrației, statului de drept și mediului.

Regulamentul are un domeniu de aplicare foarte larg și inclusiv extrateritorial. El se aplică furnizorilor care introduc pe piața UE sisteme sau modele de IA, chiar dacă sunt stabiliți în afara Uniunii, implementatorilor din UE, importatorilor, distribuitorilor și, în anumite situații, furnizorilor și implementatorilor din țări terțe atunci când rezultatele sistemelor lor sunt utilizate în Uniune. Sunt exceptate, între altele, sistemele utilizate exclusiv în scopuri militare, de apărare sau securitate națională, anumite activități de cercetare și dezvoltare înainte de introducerea pe piață și utilizarea strict personală, fără caracter profesional. Regulamentul nu înlocuiește GDPR și celelalte norme europene privind protecția datelor, consumatorilor sau siguranța produselor, ci se aplică împreună cu acestea.

Abordarea bazată pe risc

Principiul central al regulamentului este proporționalitatea obligațiilor cu riscul generat de sistemul de IA. În consecință, unele utilizări sunt complet interzise, sistemele cu grad ridicat de risc sunt supuse unor cerințe stricte, iar pentru alte categorii sunt impuse în principal obligații de transparență.

La nivelul cel mai sever se află practicile interzise. Printre acestea se numără sistemele care folosesc tehnici subliminale, manipulatoare sau înșelătoare pentru a modifica în mod semnificativ comportamentul persoanelor și a le produce prejudicii; exploatarea vulnerabilităților determinate de vârstă, dizabilitate sau situație socială ori economică; anumite forme de „social scoring”; evaluarea riscului ca o persoană să comită o infracțiune exclusiv pe baza profilării sau a caracteristicilor sale de personalitate; precum și crearea sau extinderea bazelor de date pentru recunoaștere facială prin colectarea nediferențiată a imaginilor de pe internet sau din înregistrări video.

Sunt interzise și utilizarea IA pentru deducerea emoțiilor persoanelor la locul de muncă sau în instituțiile de învățământ, cu anumite excepții medicale ori de siguranță, precum și clasificarea biometrică prin care sunt deduse rasa, opiniile politice, apartenența sindicală, religia, convingerile filozofice, viața sexuală sau orientarea sexuală. Identificarea biometrică la distanță „în timp real” în spațiile accesibile publicului în scopul aplicării legii este, în principiu, interzisă, fiind permisă numai în situații strict delimitate, precum căutarea unor victime sau persoane dispărute, prevenirea unor amenințări grave ori identificarea suspecților pentru anumite infracțiuni grave și sub condiții stricte de necesitate, proporționalitate și autorizare.

Sistemele de IA cu grad ridicat de risc

O parte esențială a regulamentului privește sistemele cu grad ridicat de risc. În această categorie intră atât anumite sisteme de IA care constituie componente de siguranță ale unor produse reglementate de legislația europeană, cât și sistemele enumerate în Anexa III.

Anexa III acoperă opt mari domenii. Sunt incluse anumite aplicații biometrice; sistemele utilizate pentru siguranța infrastructurilor critice; IA utilizată în educație pentru admitere, evaluare sau monitorizarea examenelor; recrutarea, selectarea și evaluarea angajaților; stabilirea accesului la servicii publice esențiale, evaluarea bonității, asigurările de viață și sănătate sau gestionarea apelurilor de urgență. Sunt incluse, de asemenea, anumite utilizări din aplicarea legii, migrație, azil și controlul frontierelor, administrarea justiției, precum și sisteme destinate să influențeze rezultatele alegerilor, referendumurilor sau comportamentul alegătorilor.

Pentru aceste sisteme, furnizorii trebuie să îndeplinească o serie amplă de cerințe pe întregul ciclu de viață. Este obligatoriu un sistem continuu de gestionare a riscurilor, iar datele de antrenare, validare și testare trebuie să fie relevante, suficient de reprezentative și, pe cât posibil, complete și lipsite de erori. Sunt necesare documentație tehnică, înregistrarea automată a evenimentelor prin fișiere de jurnalizare, transparență față de utilizatori, măsuri de supraveghere umană și niveluri adecvate de acuratețe, robustețe și securitate cibernetică. Sistemele trebuie concepute astfel încât oamenii responsabili să le poată înțelege limitele, să poată interpreta rezultatele și, când este necesar, să ignore, să inverseze sau să oprească funcționarea sistemului.

Și implementatorii, adică organizațiile care utilizează efectiv aceste sisteme, au obligații proprii: să respecte instrucțiunile furnizorului, să desemneze persoane competente pentru supravegherea umană, să controleze calitatea datelor de intrare atunci când aceasta se află sub responsabilitatea lor, să monitorizeze funcționarea sistemului și să raporteze riscurile sau incidentele grave. În anumite situații, instituțiile publice și furnizorii de servicii publice trebuie să efectueze înainte de utilizare și o evaluare a impactului asupra drepturilor fundamentale.

Transparența și conținutul generat de IA

Regulamentul stabilește reguli speciale pentru sisteme precum chatboții și IA generativă. O persoană trebuie, în principiu, să fie informată atunci când interacționează direct cu un sistem de IA. Furnizorii sistemelor care generează texte, imagini, materiale audio sau video sintetice trebuie să asigure posibilitatea identificării tehnice a conținutului ca fiind generat sau manipulat artificial.

În cazul deepfake-urilor, implementatorul trebuie să dezvăluie faptul că imaginea, materialul audio sau video a fost generat ori manipulat artificial. Pentru textele generate de IA și publicate în scopul informării publicului asupra unor probleme de interes public există, de asemenea, obligația de dezvăluire, cu excepția situației în care conținutul a fost supus verificării editoriale sau revizuirii umane și o persoană fizică sau juridică își asumă responsabilitatea editorială.

Modelele de IA de uz general

Regulamentul acordă o atenție distinctă modelelor de IA de uz general, adică modelelor capabile să îndeplinească o gamă largă de sarcini și să fie integrate în numeroase aplicații. Furnizorii trebuie să întocmească și să actualizeze documentația tehnică, să ofere informații furnizorilor care integrează modelul în alte sisteme, să adopte politici pentru respectarea legislației UE privind drepturile de autor și să publice un rezumat suficient de detaliat privind conținutul utilizat pentru antrenarea modelului.

Pentru modelele considerate ca având risc sistemic, obligațiile sunt mai severe: evaluarea și testarea modelului, inclusiv prin testări contradictorii, identificarea și reducerea riscurilor sistemice, raportarea incidentelor grave și asigurarea unui nivel adecvat de securitate cibernetică.

Protecția persoanelor, guvernanța și sancțiunile

Regulamentul întărește și poziția persoanelor afectate de utilizarea IA. Orice persoană fizică sau juridică ce consideră că regulamentul a fost încălcat poate depune o plângere la autoritatea competentă de supraveghere. În cazul anumitor decizii bazate pe sisteme cu grad ridicat de risc și care produc efecte juridice sau efecte semnificative similare, persoana afectată are dreptul să solicite explicații clare și semnificative asupra rolului IA și principalelor elemente care au determinat decizia.

La nivel european, regulamentul instituie un sistem de guvernanță centrat pe Oficiul pentru IA din cadrul Comisiei și pe Consiliul european pentru inteligența artificială, în care sunt reprezentate statele membre. Fiecare stat membru trebuie să desemneze cel puțin o autoritate de notificare și o autoritate de supraveghere a pieței. Regulamentul susține în același timp inovarea, inclusiv prin spații de testare în materie de reglementare („AI regulatory sandboxes”), facilități și măsuri adaptate în special IMM-urilor și întreprinderilor nou-înființate.

Sancțiunile sunt considerabile. Încălcarea practicilor interzise poate conduce la amenzi de până la 35 milioane EUR sau 7% din cifra de afaceri mondială anuală a unei întreprinderi. Pentru alte încălcări importante, plafonul este de 15 milioane EUR sau 3%, iar furnizarea de informații incorecte sau înșelătoare autorităților poate fi sancționată cu până la 7,5 milioane EUR sau 1% din cifra de afaceri mondială anuală. Pentru IMM-uri se aplică mecanisme de limitare mai favorabile.

Concluzie

Regulamentul european privind IA urmărește, în esență, să permită dezvoltarea și folosirea inteligenței artificiale, dar să condiționeze libertatea de utilizare de riscurile pe care tehnologia le produce pentru oameni și societate. El nu interzice IA ca tehnologie, ci anumite utilizări considerate incompatibile cu valorile europene și introduce cerințe progresiv mai stricte pe măsură ce crește potențialul de afectare a sănătății, siguranței sau drepturilor fundamentale. Transparența, responsabilitatea furnizorilor și utilizatorilor profesionali, controlul uman, calitatea datelor, securitatea și posibilitatea de supraveghere de către autorități constituie elementele centrale ale noului cadru.

Potrivit articolului 113, regulamentul se aplică în general de la 2 august 2026, dar calendarul este etapizat: dispozițiile generale și practicile interzise se aplică din 2 februarie 2025, regulile privind modelele de IA de uz general, guvernanța și sancțiunile din 2 august 2025, iar anumite norme referitoare la sistemele cu grad ridicat de risc asociate produselor reglementate se aplică de la 2 august 2027. Regulamentul este obligatoriu în toate elementele sale și direct aplicabil în toate statele membre.