Як Євросоюз у правовому полі регулює штучний інтелект: розбір AI Act — першого в світі закону про ШІ

Оскільки Україна стрімко рухається до ЄС, то рано чи пізно цей закон пошиоюватиметься і на нашу територію. Йдеться про документ під назвою AI Act, ухвалений у 2024 році.

«Політарена» проаналізувала його ключові положення.

Навіщо потрібен окремий закон про ШІ

ШІ допомагає людям по всбому світу писати листи, генерує зображення, перекладає з іноземної мови та відповідає на складні запитання за секунди. Але ШІ дуже швидко вийшов далеко за межі розваг: його алгоритми вже сьогодні допомагають банкам вирішувати, чи дати вам кредит, оцінюють ваші резюме при влаштуванні на роботу і навіть ставлять попередні медичні діагнози.

Звісно, це неймовірно зручно й економить купу часу. Проте разом із захватом прийшов і страх, адже технології принесли із собою абсолютно нові ризики:

• Масове шахрайство та дипфейки: нейромережі навчилися настільки переконливо підробляти голоси та обличчя реальних людей, що відрізнити брехню від правди стає дедалі важче.
• Помилки алгоритмів: ШІ не має свідомості. Якщо він «галюцинує» (тобто вигадує факти) або припускається помилки, людина може безпідставно втратити роботу, не отримати послугу чи навіть зазнати юридичних проблем. Наприклад, до ШІ все частіше звертаються за юридичною консультацією, проте провідні нейромережі приблизно в третині випадків надають неправильну відповідь загалом або в тонкощах. Серед адвокатів навіть розповсюдився анекдот: «Консультація — 2000 гривень, консультація після того, як клієнт звернувся до нейромережі — 5000».
• Втрата контролю над даними: на чому саме навчаються ці нейромережі (якщо термін «навчання» тут взагалі допустимий)? Найчастіше — на наших із вами особистих фотографіях, текстах і публікаціях в інтернеті, про що нас ніхто не запитував.

Усе це підвело людство до одного з головних викликів сучасності: уряди країн намагаються зробити штучний інтелект безпечним для людей, не стримуючи при цьому технологічний прогрес.

В Україні у березні презентували проєкт стратегії розвитку штучного інтелекту до 2030 року, розроблений спільно з міжнародними партнерами, державними установами, бізнесом та спільнотою фахівців зі штучного інтелекту. А також у проєкті нового Цивільного Кодексу прописали норми щодо ШІ і цифрової безпеки.

Але окремого ухваленого і введеного в дію закону про ШІ в українському законодавстві поки немає.

Спеціалісти чітко розрізняють ці поняття. Але коли ми пишемо «ШІ», здебільшого маємо на увазі саме сучасні нейромережі — бо саме вони сьогодні викликають найбільше дискусій і потребують регулювання.

Як ШІ трактують у законі ЄС

В офіційному тексті Закону ЄС про штучний інтелект (AI Act) прямо зазначено (п. 4, 5), що ШІ є швидко розвиваючоюся групою технологій, яка може приносити широку економічну, екологічну та суспільну користь — покращувати прогнозування, оптимізувати роботу, ефективніше розподіляти ресурси та персоналізувати рішення в таких сферах, як охорона здоров’я, освіта, енергетика, транспорт, сільське господарство та боротьба зі зміною клімату. Водночас закон підкреслює, що залежно від конкретного застосування та рівня розвитку технології ШІ може створювати ризики і завдавати шкоди суспільним інтересам та основним правам людини, захищеним правом ЄС. Така шкода може бути як матеріальною, так і нематеріальною — фізичною, психологічною, суспільною чи економічною.

Регулювання штучного інтелекту — це, по суті, встановлення певних правил на рівні закону. Метафорично ШІ можна визначити як потужний, але ще не зовсім «вихований» інструмент. Без правил він може приносити величезну користь, а може й серйозно нашкодити.

Країни ЄС намагаються контролювати основні ризики, пов’язані зі штучним інтелектом. Окрім шахрайства, втрати приватності та введення в оману, нейромережі можуть завдавати шкоди й в інших важливих сферах:

• Дискримінація — ШІ може відмовляти в роботі чи кредиті людям певного віку, статі, раси чи місця проживання, бо так «навчився» на старих даних. А вже відомо, що великі компанії долучають неромережі для аналізу кадрів або подальшої співпраці.
• Фейкові новини та вплив на думку — алгоритми, які навмисно «розкручують» певні погляди, щоб розділяти суспільство. Яскравий приклад: у залежності від того, якою нейромережою ви користуєтеся і як сформульовані питання, ШІ надасть вам певний погляд на політичні або соціальні події. Причому одна й там сама нейромережа може транслювати діаметрально протилежні позиції в залежності від країни, в якій до неї звертаються користувачі.
• Загрози безпеці — від автономної зброї до помилок ШІ у медицині чи авіації.

Мета правового регулювання штучного інтелекту — не зупинити прогрес, а зробити так, щоб ШІ працював на користь людей, а не проти них, і щоб технології були прозорими, безпечними та підконтрольними.

Підхід Європи: «Безпека та права людини — понад усе»

Європейський Союз обрав шлях суворого нагляду за штучним інтелектом. Його філософія проста: права, приватність і безпека людини важливіші за прибутки цифрових гігантів.

Як зазначалося вище, головним документом, що регулює цю сферу, став Закон ЄС про штучний інтелект (EU AI Act / Regulation 2024/1689). В його основу покладено градацію за рівнем ризику — ЄС ділить усі системи ШІ на категорії — від абсолютно безпечних до тих, які становлять загрозу для демократії та фундаментальних прав людини.

Заборонені практики використання ШІ

AI Act виділяє кілька сфер, де застосування ШІ вважається неприйнятним ризиком для суспільства.

1. Маніпуляції та психологічний тиск:

• Прихований вплив на свідомість: заборонено використовувати алгоритми, які непомітно підштовхують людину до дій, котрі шкодять їй чи іншим. Технології не мають права обходити раціональне мислення та змушувати робити те, чого б людина свідомо не вчинила.
• Експлуатація вразливостей: алгоритмам заборонено використовувати вік, інвалідність або скрутне матеріальне становище людей. Розробники не можуть націлювати маніпулятивні системи на дітей, людей похилого віку чи тих, хто перебуває в скруті, щоб виманити гроші або змусити вчинити небезпечний крок.

2. Соціальний скоринг та оцінка людей:

• Соціальний рейтинг (або скоринг — Social Scoring): заборонено створювати і використовувати системи, які протягом певного часу збирають інформацію про поведінку людини чи групи, а потім на основі цієї поведінки, а також відомих, передбачених чи «вгаданих» особистих рис формують якийсь загальний соціальний бал. Цей бал заборонено використовувати для того, щоб погіршувати становище людини в сферах життя, які не пов’язані з тим, звідки брали дані, або коли обмеження виявляються несправедливими і непропорційними до того, що людина реально зробила.
• Прогнозування злочинів «на око»: поліції не можна оголошувати людину потенційним злочинцем виключно на основі аналізу її характеру, походження чи профілю в соцмережах. Для звинувачень потрібні реальні докази та факти.

3. Збір даних та втручання в особисте життя:

• Масове скачування облич (scraping): заборонено створювати бази даних розпізнавання облич шляхом хаотичного, автоматизованого завантаження фотографій з інтернету або записів з камер спостереження. Однак є обмежений перелік екстрених випадків, коли це дозволено, наприклад, для розшуку зниклих дітей, запобіганню тероризму, пошуку небезпечних злочинців. На кожен такий випадок потрібне попереднє рішення суду. У критичних ситуаціях дозволено почати сканування негайно, але дозвіл слід отримати протягом 24 годин. Якщо суд відмовить — усі зібрані дані негайно знищуються. Про кожне використання ШІ для біометричної ідентифікації правоохоронці повідомляють спеціальні контролюючі органи, а дані про кількість таких операцій щороку публікуються у відкритих звітах Єврокомісії.
• Аналіз емоцій на роботі та в освіті: не дозволяється зчитувати вираз обличчя чи голос працівників або студентів для оцінки їхнього настрою чи лояльності.
• Сортування за чутливими ознаками: заборонено автоматично групувати людей на основі біометрії за їхньою расою, релігією, політичними поглядами чи орієнтацією, коли в цьому може вбачатися дискримінація.

Системи штучного інтелекту високого ризику

Окрім повністю заборонених практик, європейський закон виділяє окрему велику групу систем штучного інтелекту — так звані системи високого ризику. Це, зокрема, ті нейромережі, які можуть серйозно впливати на здоров’я, безпеку чи основні права людини.

Система автоматично потрапляє до цієї категорії у двох випадках:

• по-перше, якщо вона є частиною продукту, який і так підлягає суворій перевірці перед виходом на ринок (наприклад, медичне обладнання, автомобілі, ліфти чи іграшки);
• по-друге, якщо вона використовується у сферах, які прямо перелічені в законі.

До них належать, зокрема:

• оцінка людей при прийомі на роботу чи навчанні;
• визначення доступу до важливих послуг (кредити, соціальна допомога, страхування);
• робота правоохоронних органів, судів, прикордонного контролю;
• управління критичною інфраструктурою;
• використання в освіті та професійній підготовці.

Є невеликі винятки. Якщо система виконує лише вузьку технічну задачу, допомагає людині, а не замінює її рішення, або лише готує інформацію для подальшого аналізу людиною — вона може не вважатися високоризиковою. Але якщо система займається, наприклад, профілюванням людей (тобто складає їхні «портрети» на основі даних), вона майже завжди вважається високоризиковою.

Для систем високого ризику AI Act вимагає цілу систему захисту. Головні з них такі:

• Управління ризиками. Розробник зобов’язаний постійно шукати, оцінювати і зменшувати ризики, які система може створити для людей. Це не одноразова перевірка, а безперервний процес протягом усього життя системи.
• Якість даних. Нейромережа «навчається» на даних. Закон вимагає, щоб ці дані були якісними, репрезентативними і максимально вільними від упереджень. Якщо дані погані — система буде дискримінувати. Тому розробник повинен ретельно перевіряти, звідки беруться дані, як вони обробляються і чи немає в них системних перекосів.
• Технічна документація і журнали. Усе, що відбувається з системою, має бути задокументовано. Вона повинна автоматично записувати важливі події (логи), щоб у разі проблеми можна було зрозуміти, що саме пішло не так.
• Прозорість. Користувач (той, хто впроваджує систему) повинен отримувати чіткі інструкції: для чого система призначена, які в неї обмеження, наскільки вона точна і які ризики можуть виникнути.
• Точність, надійність і кібербезпека. Система має стабільно працювати, бути стійкою до помилок і захищеною від зловмисних атак (наприклад, спроб «отруїти» дані або змусити модель помилятися).

Хто в ЄС відповідає за штучний інтелект

Відповідальність розподілена між різними учасниками:

• Постачальник (той, хто створює і виводить інструмент ШІ на ринок) несе основну відповідальність. Він повинен забезпечити відповідність всім вимогам, нанести спеціальне маркування, яке б повідомляло про високий ризик її використання, і зареєструвати систему.
• Імпортер і дистриб’ютор зобов’язані перевірити, чи все оформлено правильно, і не допускати на ринок технології штучного інтелекту, які не відповідають закону.
• Той, хто впроваджує систему (наприклад, компанія, банк, школа чи державний орган), повинен використовувати її строго за інструкцією, контролювати роботу, повідомляти про серйозні інциденти і в деяких випадках проводити окрему оцінку впливу на основні права людини.

Окремо закон вимагає, щоб перед використанням ШІ високого ризику в публічному секторі або при наданні важливих послуг проводилася спеціальна оцінка того, як вона може вплинути на права людей.

За порушення передбачені значні штрафи — до 35 мільйонів євро або 7% річного світового обороту компанії (залежно від того, що більше). Розмір покарання залежить від тяжкості порушення.

Таким чином, європейський підхід до систем у цьому питанні будується на принципі: чим серйозніші можливі наслідки для людини, тим жорсткіші правила і тим більше відповідальності лягає на тих, хто створює і використовує нейромережу.

Що ще регулює AI Act

Крім заборон небезпечних практик і суворих правил для систем високого ризику, європейський закон охоплює ще кілька важливих сфер. Він побудований за логікою рівнів ризику і охоплює майже весь життєвий цикл штучного інтелекту — від розробки до використання.

Для багатьох звичайних інструментів ШІ (чат-боти, генератори зображень, deepfake-відео) закон вимагає лише прозорості. Користувач повинен чітко розуміти, що спілкується з нейромережею, а не з живою людиною, і що контент згенерований штучно. Це правило спрямоване на те, щоб захистити від маніпуляцій і обману.

Окремий великий блок закону присвячений так званим моделям загального призначення — відомим нейромережам. На їхніх розробників покладаються спеціальні обов’язки:

• надавати технічну документацію;
• повідомляти про те, на яких даних модель «навчалася»;
• дотримуватися авторських прав;
• оцінювати і зменшувати системні ризики, якщо модель є особливо потужною і може впливати на суспільство в цілому.

На практиці це означає, що через свої високі можливості нейромережі здатні завдати шкоди не окремим особам, а суспільству в цілому — впливати на безпеку, здоров’я, права людини, економіку чи навіть демократичні процеси, і цей вплив може швидко поширюватися в великих масштабах. Тому AI Act вимагає від розробників таких моделей ретельно оцінювати ці ризики та вживати заходів для їх зменшення. Чим потужніша модель і чим ширше вона використовується, тим вищі вимоги до контролю та відповідальності її творців.

Також закон створює нову систему нагляду. На рівні ЄС працює спеціальне Управління з питань штучного інтелекту (AI Office), яке координує впровадження правил, особливо щодо великих моделей. На національному рівні кожна країна призначає свої органи, які стежать за виконанням закону, проводять перевірки і можуть накладати штрафи.

Щоб не гальмувати інновації, закон передбачає створення спеціальних «регуляторних пісочниць». У цих контрольованих середовищах компанії можуть тестувати нові системи під наглядом органів влади, не ризикуючи одразу отримати великі штрафи. Це дозволяє розвивати технології безпечніше.

AI Act також регулює:

• обов’язок реєстрації певних систем у спеціальній базі даних ЄС;
• правила тестування систем у реальних умовах;
• захист прав інтелектуальної власності та конфіденційної інформації під час перевірок;
• взаємодію з іншими європейськими законами (зокрема, щодо захисту персональних даних).

Таким чином, AI Act — це не лише заборони і вимоги до високоризикових систем, а комплексна рамка, яка охоплює прозорість звичайних інструментів, особливі правила для найпотужніших моделей, механізми нагляду, підтримку інновацій і серйозну відповідальність за порушення.

ШІ — це не майбутнє, а сьогодення

Європейський Союз став першим у світі, хто створив повноцінний і системний закон про штучний інтелект. AI Act — це не просто набір заборон. Це спроба провести чітку межу між тим, що технології можуть, і тим, що їм категорично не можна.

Європа обрала принциповий підхід: права людини, безпека та приватність важливіші за швидкість розвитку бізнесу. Саме тому закон жорстко забороняє соціальний скоринг, маніпуляції свідомістю та масове біометричне стеження, а для систем високого ризику встановлює суворі вимоги до якості даних, прозорості та людського контролю. Водночас він залишає простір для інновацій — через регуляторні пісочниці та спеціальні правила для потужних моделей загального призначення.

Це означає більше захисту для звичайної людини. Банк, роботодавець чи державний орган не зможуть безконтрольно покладатися на алгоритм, який вирішує її долю. А компанії, які створюють і впроваджують нейромережі, несуть реальну відповідальність — аж до багатомільйонних штрафів.

Україна, орієнтуючись на європейські стандарти, уже робить перші кроки у цій сфері. І чим швидше ми зрозуміємо логіку європейського підходу, тим краще зможемо адаптувати його до своїх реалій, щоб штучний інтелект служив людям, а не навпаки.