欧盟提出人工智能监管拟议法规，企业应做好准备以确保竞争优势

　　在欧盟，风险性较高的人工智能越来越引起各方的重视。目前，欧盟正在开展人工智能监管工作，这可能会让企业遭受高达其全球总收入6%的损失，超过欧盟《通用数据保护条例》（GDPR）规定的侵犯隐私权的罚款。2021年4月21日，欧盟委员会提出了监管人工智能的规则——《人工智能法案》（以下简称“法案”）。欧洲议会最近于2022年4月20日发布了拟议的修正案（以下简称“修正案”）。该法案可能会经历一系列的修正，但最终文本的确定已接近尾声，欧洲各国已逐步开始采取行动以待该法规的出台。企业也应该为该综合法案成为法律做好计划，并立即开始实施最佳方案，以确保其竞争优势。本文对法案的关键条款进行了简要的介绍，其中也考虑了欧洲议会最近作出的修改。

　　广泛适用

　　该法案将适用于在欧盟境内将人工智能系统投放市场或投入使用的实体（无论该实体是在欧盟境内还是在第三国）、在欧盟境内使用人工智能系统的实体以及在第三国使用人工智能系统但系统的输出用于欧盟境内或对欧盟境内人员产生影响的实体。该法案遵循基于风险的方法，即禁止不可接受的系统、为高风险系统制定要求并为某些系统（包括非高风险系统）规定关于透明度的责任，具体如下：

　　被禁止的系统

　　虽然该法案承认人工智能有许多有益的用途，但也确认了技术可能会被滥用，并可能为恶意行为提供新的强大工具，这些恶意行为除了会侵犯欧盟的基本权利（如非歧视、数据保护和隐私权以及儿童权利）外，还与欧盟尊重人类尊严、自由、平等、民主和法治的价值观相背离。因此，该法案基本禁止用于以下实践的人工智能系统：

　　－为预测性执法进行个人风险评估；

　　－使用声音、图像、文本等潜意识教化技术潜意识地改变个人的行为；

　　－利用由年龄、身体或精神残疾造成的脆弱性来改变个人的行为；

　　－社会评分；

　　－为执法进行实时的生物特征识别（但反恐等例外情况除外）。

　　高风险的系统

　　该法案已经认识到，高风险的人工智能系统只有在满足某些强制性要求的情况下才能使用或投放市场，因此创建了一份高风险人工智能系统清单，清单中的系统会对欧盟人员的健康、安全和基本权利造成重大不利影响。高风险系统包括用于以下目的的系统：

　　－生物特征识别；

　　－主要基础设施的管理和运营；

　　－教育和职业培训；

　　－就业；

　　－必不可少的私人和公共服务；

　　－执法；

　　－移民、避难和边境管制；

　　－司法和民主进程；

　　－某些欧盟法规涵盖的产品或产品的安全组件。

　　该法案要求定期对高风险人工智能系统清单进行评估，并对此类系统提出以下要求——

　　关于风险管理：必须建立、实施、记录和维护与高风险人工智能系统相关的风险管理系统。

　　关于数据和数据管理：培训、验证和测试数据集必须满足某些质量标准，如准确性、私密性、偏见预防和最低限度规定。

　　关于技术文件：在高风险人工智能系统投放市场或投入使用之前，必须完成技术文档的撰写，并且必须保证及时更新。

　　关于记录保存：高风险人工智能系统必须能够自动记录事件日志，以监控系统的运行。

　　关于透明度：高风险人工智能系统必须使用户能够理解系统输出的内容并适当使用。

　　关于自然人监督：高风险人工智能系统必须能够由自然人进行有效监督。

　　关于准确性、稳健性和网络安全性：高风险人工智能系统必须根据其预期目的实现适当水平的准确性、稳健性和网络安全性。

　　此外，高风险人工智能系统的供应商（包括以其名义或商标将系统投放市场或对系统进行重大修改的第三方）有责任确保遵守该法案，包括建立质量管理体系、起草技术文档、在其监控下维护日志、实施上市后监控，并报告任何严重事故或故障。供应商还必须确保系统通过合格评定程序，并在欧盟数据库中注册。

　　供应商必须根据系统的类型执行内部合格评定程序，具体而言，供应商可自行证明系统符合该法案规定，或者由单独的机构进行评定并颁发证书。每当系统发生实质性修改时，都必须对其进行新的合格评定。但是，对于投放市场或投入使用后仍在“学习”的系统来说，供应商在初始合格评定时预先确定并包含在技术文档中的对系统及其性能的更改不会构成实质性修改。供应商必须为每个人工智能系统起草一份书面的欧盟合规声明，并在系统投放市场或投入使用后的10年内将其交由欧洲主管机构管理。

　　该法案还授予欧洲主管机构访问数据集的权限，并允许其在必要时访问源代码以确保合规性。主管机构还可以要求采取纠正措施以使系统符合该法案要求，或要求系统从市场上退出。

　　非高风险的系统

　　虽然非高风险人工智能系统不受与高风险人工智能系统相同的限制，但该法案对某些系统规定了透明度相关的义务。对透明度的要求旨在允许人们在知情的情况下做出明智的选择或避免与人工智能系统互动，具体要求如下：

　　对于旨在与人交互的系统，供应商必须确保系统的设计和开发方式能够使人知晓其正在与人工智能进行互动，除非从情境中可以明显看出这一点。

　　情绪识别系统或生物特征分类系统的使用者必须将该系统的使用情况告知接触系统的人员。

　　深度伪装（deepfake）人工智能系统（即生成人、地点、对象或事件的虚假图像、音频或视频的系统以诱使人们相信内容是真实的）的使用者必须披露内容是人为生成的或在操纵下生成的。必须注意的是，模拟真人和人工智能撰写（“人工智能作者”）的编辑内容的深度伪装系统同时受到透明度要求和高风险系统合规性要求的约束。

　　该法案对聊天机器人等非高风险的人工智能系统规定的唯一义务就是上述的透明度义务。不过，该法案解释称，应鼓励非高风险的人工智能系统供应商制定相应的行为准则，以促进此类系统自愿应用适用于高风险系统的强制性要求。

　　欧盟各成员国开始对数据湖（Data Lake）采取行动

　　法案将在欧盟通过并在欧盟《官方公报》公布24个月后开始实施。据媒体Euractiv称，2022年4月25日，当前领导欧盟委员会工作的轮值主席国法国分享了一份新的折衷方案，提议对该法案进行几处修改，并在4月27日的电信工作小组会上与其他成员国代表讨论。欧盟各国都开始采取行动以应对该法案，并支持法国数据保护机构国家信息与自由委员会（CNIL）为开发人工智能系统提供的建议。CNIL已于2022年4月5日发布了关于人工智能的指南，讨论了承认人工智能存在的重要性、人工智能错误背后的原因。同样，2022年4月4日，德国联邦数据保护和信息自由专员（BfDI）发布了一份关于执法和安全领域人工智能问题的报告，呼吁立法机构及时采取行动。

　　企业开始采用新兴的最佳实践，以暗中蓄力并夺取竞争优势

　　法案在针对高风险系统的法规中设立了数据收集要求，如预防偏见和保护隐私，欧洲的企业已经开始在不同程度上遵守这些规定。此外，这些原则反映了全球范围内新出现的关于人工智能的道德准则，世界各地的企业都在密切关注这些准则，并因此开始广泛采用一些最佳实践，以获得同质且可互操作的数据，从而保持竞争优势。具体如下：

　　－进行道德评估，以确定歧视性影响和隐私影响，如可识别性；

　　－建立人工智能内部道德章程，对道德数据收集和使用要求以及程序进行简要介绍；

　　－为供应商和与之共享数据的第三方撰写合同要求、制定最低限度数据处理和安全控制措施，以告知此类道德要求和使用限制（例如，防止歧视、定向广告和位置跟踪的限制）。

　　企业应尽快开始实施这些做法，以避免落后于竞争对手，并防止在数据收集和使用不符合全球道德准则和《人工智能法案》的最终要求时不得不删除其数据湖中的数据、重新启动数据收集或重新训练算法。