什么是《欧盟人工智能法案》(欧盟 AI 法案)?
深入了解 IBM 的 AI 治理解决方案 订阅 AI 最新消息
决策树抽象图

发布日期:2024 年 4 月 8 日
撰稿人:Matt Kosinski

什么是《欧盟 AI 法案》?

《欧盟人工智能法案》,或《欧盟 AI 法案》,是欧盟 (EU) 的一项管理人工智能开发和使用的法律。该法案采用基于风险的监管方法,根据 AI 系统对人类健康、安全和权利构成的威胁,对其应用不同的规则。

《欧盟 AI 法案》被认为是世上首个全面的人工智能应用监管框架,该法案完全禁止某些人工智能用途,并对其他用途执行严格的安全和透明度标准。

该法案还为设计、训练和部署通用人工智能模型制定了具有针对性的规则,例如为 ChatGPT 和 Google Gemini 提供支持的基础模型

违规行为的罚款最高可达 35,000,000 欧元或公司全球年收入的 7%(以较高者为准)。

正如欧盟的《通用数据保护条例》(GDPR) 激励其他国家采用数据隐私法一样,专家预计《欧盟 AI 法案》将刺激全球制定更为强大的 AI 治理道德标准。

《欧盟 AI 法案》对您意味着什么,以及如何做好准备
相关内容

立即注册,获取 IDC 报告

《欧盟 AI 法案》适用于哪些对象?

《欧盟 AI 法案》适用于欧盟 AI 系统和模型的提供商、部署者、进口商和分销商。

该法案将 AI 系统定义为能够在一定程度上自主处理输入,以产生影响人类和环境的输出的系统。这些有影响力的输出包括预测、决策和内容等。

用该法案的语言来说,AI 模型主要是指可以适应构建各种 AI 系统的通用 AI (GPAI)。例如 GPT-4 大型语言模型就是一个 AI 模型。基于 GPT-4 构建的 ChatGPT 聊天机器人是一个 AI 系统。

该法案中的其他重要条款:

  • 提供商是创建 AI 系统和模型的人员和组织。

  • 部署者是使用 AI 工具的人员和组织。例如,购买并使用 AI 聊天机器人来处理客户服务咨询的组织为部署者。

  • 进口商是将 AI 系统和模型从欧洲以外引入欧盟市场的个人和组织。
欧盟以外的应用程序

《欧盟 AI 法案》适用于欧洲以外的个人和组织,如果其 AI 工具或这些工具的输出将在欧盟境内使用。

例如,假设欧盟的一家公司将客户数据发送给欧盟以外的第三方,而该第三方使用 AI 来处理客户数据并将结果发送回该公司。由于该公司在欧盟境内使用第三方 AI 系统的输出,因此第三方受《欧盟 AI 法案》的约束。

在欧盟提供 AI 服务的欧盟境外提供商必须在欧盟指定授权代表,以代表其协调合规工作。

例外情况

虽然该法案适用范围广泛,但 AI 的部分用途不受限制。其中包括:

  • 纯粹个人用途

  • 专为军事和国防开发的模型和系统

  • 仅用于研究和开发目的的模型和系统

  • 公开共享其参数和架构的免费、开源、低风险的 AI 模型不受大多数 AI 法案规则的约束,但并非全部不受约束。(相关详细信息,请参阅下方的“通用 AI 模型 (GPAI) 规则”。)
了解 IBM® watsonx AI 和数据平台如何帮助组织构建负责任且合规的 AI 应用程序
了解 IBM® watsonx AI 和数据平台如何帮助组织构建负责任且合规的 AI 应用程序
《欧盟 AI 法案》规定了哪些要求?

《欧盟 AI 法案》包含许多旨在支持负责任地使用和开发 AI 的规则。部分最重要的条款包括禁止危险的AI,开发和部署高风险 AI 的标准,透明度义务,以及通用模型规则。

值得注意的是,《欧盟 AI 法案》中有关实施的很多更加精细的细节仍在敲定中。例如,该法案指出,欧盟委员会将发布有关上市后监测计划和训练数据摘要等要求的进一步指导方针。

基于风险的 AI 法规

《欧盟 AI 法案》根据风险水平将 AI 系统分为不同的类别。这里的风险是指 AI 可能对健康、安全或人权造成潜在危害的可能性和严重性。

从广义上讲,该法案涉及四类 AI 风险:

·      不可接受的风险

·      高风险

·      有限风险

·      最小风险

不可接受的风险

构成不可接受的风险的 AI 应用将被禁止。《欧盟 AI 法案》明确罗列了所有禁止的 AI 做法,其中包括:

  • 故意操纵他人做出其本来不会做的有害选择的系统。

  • 利用他人的年龄、残障情况、社会或经济地位对其行为施加实质性影响的系统。

  • 生物识别分类系统,使用生物识别数据来推断敏感个人信息,例如种族、性取向或政治观点。

  • 社会评分系统,使用不相关或无关紧要的行为和特征来推动针对他人的有害待遇。

  • 公共场所用于执法目的的实时远程生物识别系统。这里有一些狭义的例外情况,例如在针对某些严重罪行的受害者进行有针对性的搜查时使用这些工具。

  • 预测性警务系统,对他人进行剖析以评估其犯罪的可能性。

  • 面部识别数据库,可对互联网或闭路电视图像进行无针对性抓取。

  • 学校或工作场所使用的情绪识别工具,除非这些工具用于医疗或安全目的。

欧盟委员会保留重新审查和修改这份清单的权利,因此未来可能会禁止更多的 AI 用途。

高风险

该法案的大部分内容涉及高风险的 AI 系统。根据《欧盟 AI 法案》,将系统视为高风险系统的途径有两种:该系统用于受管制的产品,或被明确指定为高风险系统。

某些行业的产品,如玩具、无线电设备和医疗设备,已经受到欧盟现有法律的监管。任何作为这些受监管产品的安全组件,或本身作为受监管产品的 AI 系统,都会自动被视为高风险。

该法案还列出了始终视为高风险的特定 AI 用途。其中包括:

  • 《欧盟 AI 法案》或其他欧盟法律或成员国法律未明确禁止的任何生物识别系统,但验证个人身份的系统除外(例如,使用指纹扫描仪授予某人访问银行应用程序的权限)。

  • 用作关键基础设施(如供水、气和电力供应)的安全组件的系统。

  • 教育和职业培训中使用的系统,包括监控学生表现、检测作弊和指导录取的系统。

  • 就业环境中使用的系统,例如用于招聘候选人、评估申请人和制定晋升决策的系统。

  • 用于确定获得私人或公共基础服务的系统,包括评估公共福利资格和评估信用分数的系统。这包括用于检测金融欺诈的系统。

  • 用于执法的系统,例如支持 AI 的测谎仪和证据分析。

  • 用于移民和边境管制的系统,如处理签证申请的系统。这包括验证旅行证件的系统。

  • 司法和民主程序中使用的系统,例如直接影响选举结果的系统。

  • 剖析(自动处理个人数据,以评估或预测一个人生活的某些方面,如其产品偏好)始终为高风险。

与禁用 AI 清单一样,欧盟委员会今后可能会随时更新此清单。

高风险系统的提供商必须遵守以下规则:

  • 实施持续的风险管理系统来监控 AI,并确保其整个生命周期的合规性。提供商应减轻其系统的预期用途和可预见滥用所带来的风险。

  • 采用严格的数据治理标准,确保妥善收集、处理和保护训练及测试数据。数据也应该是高质量的,与系统的目的相关,合理且没有偏见

  • 维护系统设计规范、功能、限制和监管合规工作的综合技术文档

  • 在 AI 工具中执行自动事件日志,以帮助跟踪系统操作、追踪结果并识别风险和严重事件。

  • 为 AI 系统的部署人员提供遵守法规所需的信息,包括有关如何使用系统、解释输出和降低风险的明确说明。

  • 系统设计可支持和实现人工监督,例如提供允许用户监控、覆盖和干预系统操作的界面。

  • 确保 AI 系统充分准确、稳健且安全。这可包括创建备份系统、设计避免偏见的算法以及实施适当的网络安全控制

如果 AI 系统属于高风险类别之一,但不会对健康、安全或权利构成重大威胁,提供商可以免除这些要求。提供商必须记录系统不会构成风险的证据,监管机构可以对错误分类系统的组织进行处罚。

了解 watsonx.governance 如何通过可解释的 AI 工作流程,帮助组织降低风险、管理策略并满足合规要求
有限风险

有限风险 AI 系统是指满足特定透明度义务的系统,即无论其风险等级如何,特定类型的 AI 都必须遵守的规则。此类规则包括:

  • 当用户与 AI 互动时,AI 系统应明确知会用户。例如,聊天机器人应该告诉用户,自己是聊天机器人。

  • 组织在使用情绪识别或生物识别分类系统时,必须告知员工。通过此类系统收集的任何个人数据都必须根据 GDPR 进行处理。

  • 创建文本、图像或其他内容的生成式 AI 系统必须使用水印或其他机器可读的信号来标记这些内容为 AI 生成内容

  • 部署者必须清楚地标记深度伪造,并将这一事实传达给受众。

  • 使用 AI 生成有关公共利益事务(例如新闻文章)的文本的部署者,必须将文本标记为 AI 生成的文本,除非有人工编辑对其进行审核并负责。
最低风险

最低风险类别(有时称为“最低风险或无风险类别”)包括不直接与人互动,或直接与人互动但产生很小的实质性影响的 AI 工具。相关示例包括电子邮件的垃圾邮件过滤器和电子游戏中的 AI。当下许多常见的 AI 用途都属于这一类。

大部分 AI 法案的规则都不适用于最低风险的 AI(尽管有些 AI 可能需要履行上述透明度义务)。

了解 watsonx.governance 如何通过可解释的 AI 工作流程,帮助组织降低风险、管理策略并满足合规要求
通用 AI 模型规则 (GPAI)

GPAI 模型的适应性很强,很难根据风险级别对其进行分类。因此,《欧盟 AI 法案》明确为 GPAI 制定了一套单独的规则。

GPAI 模型的所有提供商必须:

  • 维护更新技术文档描述模型的设计、测试和训练过程等。

  • 为其模型的部署者(如在模型之上构建 AI 系统的组织)提供负责任地使用模型所需的信息。此类信息包括模型的性能、局限性和预期用途。

  • 制定遵守欧盟版权法的相关政策。

  • 撰写并公开发布训练数据集的详细摘要

大多数免费的开源 GPAI 模型不受前两项要求的约束。这类模型只需遵守版权法,并共享训练数据摘要。

适用于构成系统性风险的 GPAI 模型的规则

《欧盟 AI 法案》认为某些 GPAI 模型会构成系统性风险。系统性风险是指模型可能对公共健康、安全或基本权利造成严重而深远的损害。

根据该法案,如果一个模型具有"高影响力的功能“,则可称为构成系统性风险。本质上,这意味着该模型的功能可匹配或超越当时最先进的 GPAI。

该法案将训练资源作为识别系统风险的关键标准。如果用于训练模型的累计计算能力大于 1025 次浮点运算 (FLOP),则可认为具有高影响力,并构成系统性风险。

如果欧盟委员会确定模型具有与这些高风险功能相当的影响力,即使不符合 FLOP 阈值,也可以将该模型归类为系统性风险。

构成系统性风险的 GPAI 模型(包括免费的开源模型)必须满足上述所有要求,以及一些附加义务:

  • 执行标准化模型评估,包括对抗性测试,以识别和减轻系统性风险。

  • 记录并向欧盟 AI 办公室和相关国家或地区监管机构报告严重事件

  • 实施充分的安全控制措施,以保护模型及其物理基础设施。

GPAI 模型的提供商可通过采用欧盟 AI 办公室目前正在起草的自愿行为准则来满足合规要求。这些准则预计将在法案生效后的九个月内完成。不采用这些准则的提供商必须以其他方式证明其合规性。

其他要求

提供商、部署者、进口商和分销商通常会负责确保他们制造、使用或流通的 AI 产品的合规。他们必须将合规证据记录在案,并应要求与监管机构共享。他们还必须共享信息,并相互合作,以确保 AI 供应链中的每个组织都能遵守《欧盟 AI 法案》。

提供商和部署者还必须确保代表组织使用 AI 的工作人员或其他各方具备必要的 AI 素养,以便负责任地处理 AI。

除了这些宽泛要求之外,各方都有自己的具体义务。

提供商的义务
  • AI 系统和模型的设计应符合相关要求。

  • 在高风险 AI 新产品投放市场前,将其提交给相关机构进行合格性评估。合格性评估是对产品是否符合《欧盟 AI 法案》的第三方评估。

  • 如果提供商对 AI 产品进行重大改动,改变了产品用途或影响了产品合规性,则必须重新提交产品进行评估。

  • 在欧盟层面的数据库中注册高风险 AI 产品。

  • 实施上市后监测计划,跟踪 AI 性能,确保在系统生命周期内持续合规。

  • 向成员国家或地区当局报告严重的 AI 事件,例如死亡、关键基础设施中断和侵犯基本权利,并采取必要的纠正措施。
部署者的义务
  • 根据提供商的指示,将 AI 系统用于预期目的。

  • 确保高风险系统采取了妥善的人员监督。

  • 向提供商、分销商、主管部门和其他相关方通报严重的 AI 事件。

  • 维护 AI 系统日志,至少六个月或更长时间,具体取决于成员国家或地区的立法。

  • 使用高风险 AI 系统提供基本服务的部署者,例如金融机构、政府机构和执法机构,必须在首次使用 AI 之前进行基本权利影响评估。
进口商和分销商的义务

进口商和分销商必须确保他们负责流通的 AI 系统和模型符合《欧盟 AI 法案》。

如果进口商或分销商在产品上增加自己的名称或商标,或对产品进行重大更改,则将被视为 AI 的提供商。在这种情况下,进口商或分销商必须承担该法案中概述的所有提供商责任。

了解 IBM OpenPages 如何简化数据的管理和合规
《欧盟 AI 法案》将如何执行?

该法案的执行将由多个不同机构分担。

在欧盟层面,欧盟委员会设立了 AI 办公室,帮助协调成员国家或地区之间法案的一致应用。AI 办公室还将直接执行 GPAI 规则,能够对组织进行罚款,并强制采取纠正措施。

各个成员国家或地区将指定国家级主管机构来执行所有非 GPAI 法规。该法案要求每个国家或地区成立两个不同的机构:市场监督机构和通知机构。

市场监督机构应确保组织遵守《欧盟 AI 法案》。他们可以听取消费者的投诉,调查违规行为,并对组织进行罚款。

通知机构应监督对新的高风险 AI 产品进行合规性评估的第三方。

《欧盟 AI 法案》相关处罚

使用禁用 AI 做法的组织将被处以高达 35,000,000 欧元或全球营业额 7% 的罚款,以较高者为准。

对于其他违规行为,包括违反 GPAI 规则的行为,组织可能会被处以高达 15,000,000 欧元的罚款或全球营业额的 3%,以较高者为准。

如向权力机构提供不正确或误导性的信息,组织可能会被处以高达 7,500,000 欧元或营业额 1% 的罚款,以较高者为准。

值得注意的是,《欧盟 AI 法案》对初创企业和其他小型组织的罚款有不同的规定。针对这些企业,罚款金额为两个可能金额中的较低者。这与该法案的总体方向一致,即确保要求不会过于繁重,不至于将小型企业排除在 AI 市场之外。

《欧盟 AI 法案》何时生效?

欧洲议会于 2024 年 3 月 13 日批准了《欧盟 AI 法案》。欧洲理事会将完成最后一轮审查,该法律将在《欧盟官方公报》上公布 20 天后生效。观察人员预计,这将于 2024 年 5 月实现。

这项法案要到 2026 年才会全面生效,不同的条款将会随时间的推移逐步实施:

  • 6 个月后,针对不可接受的风险系统的禁令将生效。

  • 12 个月后,通用 AI 规则将针对新 GPAI 生效。现存的 GPAI 模型将有 24 个月的时间来调整以遵守这项法案。

  • 24 个月后,高风险 AI 系统的规则将生效。
相关解决方案
watsonx

在一个平台上轻松部署和嵌入遍及整个企业的 AI,管理所有数据源,并加快可信任的 AI 工作流。

深入了解 watsonx

IBM OpenPages

利用 IBM OpenPages 简化数据治理、风险管理和监管合规性,这是一个高度可扩展、人工智能驱动的统一 GRC 平台。

深入了解 OpenPages

资源 构建负责任的 AI 工作流程

我们最新的电子书概述了 AI 治理的关键构建块,并分享了您可以在组织中应用的详细 AI 治理框架。

组织需要负责任 AI 的 3 个原因

深入了解负责任的 AI 对组织的变革潜力,并了解采用符合道德规范的 AI 的实践背后的关键驱动因素。

您的 AI 值得信赖吗?

加入讨论为什么企业需要优先考虑 AI 治理来部署负责任的 AI。

什么是数据治理?

了解数据治理如何能确保公司从数据资产中获得最大收益。

什么是可解释 AI?

可解释 AI 至关重要,可在组织将 AI 模型投入生产时帮助组织建立信任和信心。

什么是 AI 伦理?

AI 伦理是一个多学科领域,研究如何优化 AI 的有益影响,同时降低风险和不良后果。阅读有关 IBM 的 AI 伦理方法。

采取后续步骤

在生成式模型和机器学习模型的整个生命周期中,加速负责任、透明且可解释的 AI 工作流程。指导、管理和监控您的组织的 AI 活动,以更好地管理不断演变的 AI 法规并检测和降低风险。

探索 watsonx.governance 预约实时演示