 当地时间2024年3月13日，欧洲议会在法国斯特拉斯堡以523票赞成、46票反对和49票弃权的压倒性多数通过了世界上第一个全面的人工智能法律框架——欧盟《人工智能法案》（下称“法案”）。法案预计将在今年5月生效，相关条款分阶段实施。法案不仅对在欧盟运营的公司至关重要，而且由于该法案的域外效力，对非欧盟公司也将产生深远影响。  一、 法案的立法目的 二、法案的主要内容 法案共计13章、113条，包括以下7个方面的内容：（1）人工智能系统（AI System）在欧盟市场上的投放、服务和使用的统一规则；（2）禁止某些人工智能行为；（3）对高风险人工智能系统的具体要求以及此类系统运营商的义务；（4）某些人工智能系统的统一透明度规则；（5）通用人工智能模型投放市场的统一规则；（6）关于市场监测、市场监督治理和执法的规则；（7）支持创新的措施，特别关注包括初创企业在内的中小企业。 我们将针对法案的适用范围、人工智能系统风险分级管理、通用人工智能模型管理、执法与处罚、法案的生效与实施5项重要内容进行详细阐述。 欧盟《人工智能法案》的章节目录  点击可查看大图 法案适用主体广泛，旨在规范整个人工智能产业链的主体，包括与欧盟市场有连接点的人工智能系统提供商（providers）、使用商（deployers）、进口商（importers）、分销商（distributors）和产品制造商（product manufacturers）。 欧盟《人工智能法案》的适用主体  点击可查看大图 当然，法案也规定了一些适用的例外情形，包括但不限于（1）法案不适用于仅为科学研究和开发目的而专门开发和投入使用的人工智能系统或人工智能模型及其输出；（2）法案不适用于在纯粹个人非专业活动中使用人工智能系统的自然人；（3）法案不适用于专门为军事、国防或国家安全目的而投放市场、投入使用的人工智能系统，无论开展这些活动的实体属于何种类型。 法案具有广泛的域外适用效力，因此，不少中国企业也在其适用范围之内，应予以关注。 （二）人工智能系统风险分级管理 法案基于人工智能系统对用户和社会的潜在影响程度将其分为4类：不可接受风险类、高风险类、有限风险类、最小风险类。[1]每个类别适用不同程度的监管要求。高风险的人工智能系统须遵守更严格的合规要求，而构成不可接受风险的人工智能系统则被禁止。多数人工智能系统属于风险较低的类别，但仍可能需要根据法案要求履行相应义务。 欧盟《人工智能法案》划分的人工智能系统风险等级  点击可查看大图 1. 不可接受风险类人工智能系统
2. 高风险类人工智能系统 高风险类的人工智能系统被认为对健康、安全、基本权利和法治构成重大威胁。法案规定的大部分义务适用于高风险的人工智能系统。这类系统可以进一步分为两类。一类是人工智能系统作为安全部件的产品或人工智能系统本身作为产品，受欧盟安全立法规范，且需要根据此类法律进行第三方符合性评估。另一类是法案附件III（Annex III）明确指定为高风险的人工智能系统，包括用于以下领域的人工智能系统： （1）用于未被禁止的生物识别系统，包括推断受保护特征的系统、情感识别系统和远程生物识别系统（不包括对个人的生物识别验证）； （2）用于管理关键基础设施； （3）用于教育和职业培训； （4）用于就业、员工管理和自营职业机会； （5）用于获得和享受基本私人服务以及基本公共服务和福利，如医疗保健或信贷（但用于金融检测欺诈的除外）； （6）用于执法； （7）用于移民、庇护和边境管制管理； （8）用于司法和民主进程。 如果人工智能系统不会对自然人的健康、安全或基本权利造成重大损害风险，包括不会对决策结果产生实质性影响，则不会被视为高风险系统。在将属于附件III但被视为非高风险的人工智能系统投放市场之前，提供商必须将其风险评估记录在案，并在欧盟数据库中注册该系统。前述评估应考虑到可能造成伤害的严重性及其发生的概率。如果人工智能系统符合某些情况，例如，如果该系统只是为了执行狭义的程序任务或改善先前完成的人类活动的结果，则该系统可能不会被认定为高风险系统。然而，如果人工智能系统会对自然人进行特征分析，则该系统始终会被认定为高风险系统。 所有使用高风险人工智能系统的企业都必须履行广泛的义务，包括满足有关透明度、数据质量、记录保存、人工监督和稳健性的具体要求。在进入市场之前，它们还必须接受符合性评估（Conformity Assessments），以证明它们满足法案的要求。公民将有权提交有关人工智能系统的投诉，并获得对基于高风险人工智能系统、影响其权利的决定的解释。 高风险人工智能系统投放市场应履行的步骤  点击可查看大图 有限风险类人工智能系统被认为不会构成任何严重威胁，与其相关的主要风险是缺乏透明度。法案对有限风险类人工智能系统施加了一定的透明度义务，以确保所有人类用户在与人工智能系统互动时都能充分了解相关情况。例如，在使用聊天机器人等人工智能系统时，应让人类意识到他们正在与一台机器进行交互，以便他们在知情的情况下决定是否继续。提供商还必须确保人工智能生成的内容是可识别的。此外，人工智能生成的文本在发布时必须标明是人工生成的，这也适用于构成深度伪造的音频和视频内容。 4. 最小风险类人工智能系统 法案允许自由使用最小风险类的人工智能系统，包括人工智能电子游戏或垃圾邮件过滤器等应用。欧盟目前使用的绝大多数人工智能系统都属于这一类。 （三）通用人工智能模型的管理 根据法案，通用人工智能模型是一个包括使用大量数据进行大规模自我监督训练的人工智能模型。该模型具有显著的通用性，无论以何种方式投放市场，都能胜任各种不同的任务，并可集成到各种下游系统或应用中，但在投放市场前用于研究、开发或原型设计活动的人工智能模型除外。法案将通用人工智能模型分为不具有系统性风险的通用人工智能模型和具有系统性风险的通用人工智能模型。如果通用人工智能模型具有高度影响能力或被欧盟委员会认定为具有高度影响能力，则被视为构成系统性风险。当一个通用人工智能模型用于训练的累计计算量（以FLOPs计）大于10^25时，应推定其具有高度影响能力。 1. 不具有系统性风险的通用人工智能模型 越来越多的通用人工智能模型正在成为人工智能系统的组成部分，这些模型可以执行和适应无数不同的任务。虽然通用人工智能模型可以实现更好、更强大的人工智能解决方案，但人类很难监控其所有能力。因此，法案为所有通用人工智能模型引入了透明度义务，以便更好地了解这些模型。 具体而言，不具有系统性风险的通用人工智能模型提供商应履行的义务包括但不限于： （1）编制并不断更新该模型的技术文件，包括其训练和测试过程以及评估结果，以便应要求向欧盟人工智能办公室和国家主管当局提供； （2）为打算将通用人工智能模型纳入其人工智能系统的提供商编制、不断更新和提供信息和文件； （3）制定遵守欧盟版权法的政策； （4）根据欧盟人工智能办公室提供的模板，就通用人工智能模型训练所使用的内容起草并公布一份足够详细的摘要。 2. 具有系统性风险的通用人工智能模型 除应履行上述义务外，具有系统性风险的通用人工智能模型的提供商应履行额外的风险管理义务，包括但不限于： （1）根据反映最新技术的标准化协议和工具进行模型评估，包括对模型进行对抗测试并记录在案，以识别和降低系统性风险； （2）评估并降低欧盟层面可能存在的系统性风险，包括因开发、投放市场、或使用具有系统性风险的通用人工智能模型而产生的系统性风险的来源； （3）跟踪、记录并及时向欧盟人工智能办公室报告，并酌情向国家主管机构报告严重事故的相关信息以及为解决这些问题可能采取的纠正措施； （4）确保对具有系统风险的通用人工智能模型和模型的物理基础设施提供适当水平的网络安全保护。 （四）执法与处罚 欧盟人工智能办公室成立于2024年2月，隶属于欧盟委员会，负责监督法案在各成员国的执行和实施情况。由成员国代表组成的欧洲人工智能委员会将作为协调平台，向欧盟委员会提供专业建议。法案将主要通过各成员国的主管机构来执行。成员国有义务在法案实施1年内向欧盟委员会提名相关国家主管机构，以便在每个成员国执行法案。 违反法案的处罚结果将取决于人工智能系统的类型、公司的规模和违法行为的严重程度，具体处罚规定如下：  点击可查看大图 法案将在欧盟官方公报公布20天后生效，并在生效2年后全面实施，但以下情况除外： 1. 有关总则、禁止性人工智能系统的规定（法案第一、二章），在法案生效之日起6个月实施； 2. 有关通知机构和被通知机构、治理、通用人工智能模型、处罚的规定（法案第三章第四节，第五、七、十二章，除第101条），在法案生效之日起12个月实施； 3. 有关某些高风险人工智能系统分类及相应义务的规定（法案第六条），在法案生效之日起36个月实施。 三、结语 [注] [1] 这种分类方法类似于GDPR基于风险的数据处理方法。 【文章作者】刘相文，律师、中伦北京办公室合伙人；丁海东，律师、中伦北京办公室合规与政府监管部。 |
|
|
