新的欧盟人工智慧法案内容及其对全球隐私的影响

发布于2023年12月15日，作者：Glyn Moody

欧盟已就其开创性的人工智慧法案达成政治协议，该法案最早于2021年提出。所有主要要素已达成共识，但部分技术细节仍需在接下来几周内补充。虽然还没有最终文本，但欧洲委员会、欧洲议会和欧洲联盟理事会的新闻稿提供了一个很好的指南，帮助我们了解法律的最终形式。

新的规则是基于风险的，这是自一开始就已规划好的。这意味著风险越大，监管就越严格。例如，有一份明确的禁止AI应用的清单，其中大部分对隐私有害。包括：

不过，这些禁令并非绝对。例如，会有一些执法豁免，允许在公共可达空间中使用实时远程生物识别识别系统：

暂时协议澄清了这种使用的目标，只有在执法需要的情况下，执法机构才能例外使用这些系统。妥协协议提供了额外的保障，并将这些例外情况限制在某些犯罪的受害者、防止真正的、当前或可预见的威胁如恐怖袭击以及对涉嫌最严重罪行的人进行搜索的情况。

此外，AI法案不适用于仅用于军事或防御目的的系统，因为这些是超出欧盟法律的国家竞争能力。对于仅用于研究目的的AI系统以及因非专业原因使用AI的人，也有豁免。

被归类为高风险的系统，由于其对健康、安全、基本权利、环境、民主和法治的潜在危害，需遵守多项义务。这些义务包括风险降低系统、高质量数据集、活动记录、详细文档、用户信息、人类监督、准确性和安全性。高风险AI系统的示例包括：

某些关键基础设施，如水、天然气和电力领域；医疗设备；用于确定进入教育机构或招聘人员的系统；或某些在执法、边界控制、司法行政和民主过程中使用的系统。此外，生物识别识别、分类和情感识别系统也被视为高风险。

最低风险的系统，例如AI推荐系统或垃圾邮件过滤器，则不受任何义务的约束，尽管公司可以承诺为其遵循额外的行为准则。

当欧盟在2021年首次提出AI法案时，大型语言模型和生成AI系统在学术界以外尚未普及。在过去12个月中其快速发展使得欧盟立法者不得不提出全新的框架来处理它们的监管。上周的暂时协议要求通用AIGPAI系统遵守透明度要求，包括制作技术文档、遵守欧盟版权法以及提供详细的培训材料摘要。

对于高影响的GPAI模型，要求甚至更为严格。根据某些标准，开发者需“进行模型评估、评估和减轻系统风险、进行对抗性测试、报告重大事件、确保安全性并报告能效。”似乎开源AI模型将不受这些要求的限制。

为了监督GPAI系统的规则实施和执行，欧洲委员会将成立新的欧洲AI办公室。每个欧盟成员国也将设立国家市场监管机构。对于GPAI模型，专家科学小组将发出系统性风险警报，并协助分类和测试模型。违反新规则的公司将面临从3500万欧元约3800万美元或全球营收的7到750万欧元800万美元或15营收的罚款，具体取决于违规行为和公司的规模。前者的罚款甚至高于GDPR的违规罚款，后者最高可达全球营收的4。

接下来的步骤是，最终文本必须得到欧洲议会和欧洲联盟理事会的同意和批准。尽管可能会出现临门问题，但上周的艰难谈判应该已解决大多数重大问题。AI法案将在其生效后两年内适用，这可能在明年初。禁令将在六个月后生效，而对GPAI的规则将在12个月后生效。为了在AI法案普遍适用之前弥补这一过渡期，欧洲委员会将启动AI协定，旨在鼓励和支持企业计划遵守AI法案。

AI法案并非没有批评者。例如，计算机与通信工业协会CCIA Europe称其为“半成品”。CCIA表示，AI法案“对开发尖端技术的开发者施加了严格的义务，而这些技术支持许多下游系统，因此很可能会减缓欧洲的创新。”数字权益组织对以下几点表示不满：

同样，欧洲消费者组织BEUC认为，过多的AI系统，如嵌入AI的玩具或虚拟助手，仍然未受监管。它还表示，对GPAI模型的要求过于薄弱。

尽管存在这些批评，并且对一些细节仍存不确定性，欧盟的AI法案无疑是一个重要的里程碑。正如欧盟的GDPR对隐私法所做的那样，AI法案也为AI立法创造了全球基准，尽管其仅直接适用于欧盟。在接受Tech Policy Press访问时，记者卢卡贝图奇表示：世界各地的政府都与欧盟委员会联系，讨论这项法律以及他们如何在自己的法域内复制它。

至于法律将如何实施以及在多大程度上会得到遵守和尊重，这仍有待观察即便如此，这也是GDPR目前面临的一个问题。但毫无疑问，新的AI法案标志著在线隐私监管和保护的新阶段。

图片由Hann Lans提供。