Käytännön tarkistuslista EU:n tekoälyasetukseen

EU:n tekoälyasetus saapuu maineella valtavana, monimutkaisena ja pelottavana — useimmille organisaatioille tuo maine on suurelta osin ansaitsematon. Asetus on riskiperustainen, eli valtaosa tekoälyjärjestelmistä kuuluu luokkiin jotka vaativat vähän tai ei mitään sen yli mitä vastuullinen tiimi jo tekisi. Todellinen työ ei ole vaatimustenmukaisuusteatteria vaan rehellistä selvittämistä mitkä järjestelmäsi oikeasti kuuluvat piiriin ja millä tasolla. Kun se on selvää, velvoitteet ovat usein paljon kevyempiä kuin otsikot antavat ymmärtää.

Tämä on käytännön läpikäynti valmistautumiseen ilman paniikkia — kirjoittanut insinöörit jotka auttavat tiimejä, eivät juristit. Tavoite on auttaa rajaamaan ongelma oikein jotta oma lakimiehesi voi hyväksyä tehokkaasti sen sijaan että aloittaisi tyhjältä.

Aloita rehellisellä inventaariolla

Et voi luokitella mitä et ole listannut. Ensimmäinen askel on täydellinen inventaario jokaisesta tekoälyä käyttävästä järjestelmästä — myös toimittajilta ostetut, SaaS-työkaluihin upotetut tai hiljaa tuotteeseen lisätyt, ei vain itse kouluttamasi mallit. Tiimit aliarvioivat tämän listan rutiininomaisesti puolella.

Kirjaa kustakin mitä se tekee, mitä dataa se käyttää, keihin sen tulokset vaikuttavat ja kuinka autonominen se on. Tämä inventaario on kaiken seuraavan perusta — ja muutenkin hyvää käytäntöä: et voi hallita mitä et näe.

Luokittele riskitasoja vasten

Asetus lajittelee järjestelmät tasoihin, ja lähes kaikki laskeutuu alempiin. Pieni joukko käyttöjä on kielletty. Määritelty lista suuririskisiä käyttöjä — työllisyys, luotto, olennaiset palvelut, biometria, turvakomponentit — kantaa todellisia velvoitteita. Kaikki muu on rajoitettua riskiä (päävelvoite läpinäkyvyys) tai minimaalista riskiä (käytännössä ei mitään tehtävää).

Arvokkain askel on sijoittaa kukin järjestelmä oikealle tasolle, sillä se määrää koko työmäärän. Useimmat ovat minimaalisia tai rajoitettuja. Vältettävä virhe molempiin suuntiin: kohdella minimaaliriskin työkalua kuin suuririskistä (tuhlausta) tai jättää huomaamatta että järjestelmä on aidosti suuririskinen (todellinen altistus).

Läpinäkyvyys missä se pätee

Rajoitetun riskin järjestelmille — chatbotit, sisällöntuotanto — ydinvelvoite on rehellisyys niiden kanssa toimiville. Käyttäjien tulee tietää milloin he ovat tekoälyn kanssa ihmisen sijaan, ja tekoälysisällön tulee olla tunnistettavaa. Tämä on yleensä vaatimaton muutos: selkeä ilmoitus, merkintää, rivi käyttöliittymätekstiä.

Mitä suuri riski oikeasti vaatii

Jos järjestelmä laskeutuu suuririskiselle tasolle, velvoitteet muuttuvat konkreettisiksi: riskienhallintaprosessi, asianmukainen datan hallinta, tekninen dokumentaatio, kirjanpito ja lokitus, merkityksellinen ihmisvalvonta sekä käyttöön sopiva tarkkuus, kestävyys ja turvallisuus. Mikään näistä ei ole eksoottista tiimille joka jo rakentaa vastuullisesti.

Työ on koota tämä yhtenäiseksi, ylläpidettäväksi vaatimustenmukaisuustiedostoksi eikä auditointia edeltäväksi ryntäykseksi. Jatkuvasti kirjoitettu dokumentaatio on paljon halvempaa kuin määräajan alla rekonstruoitu.

Ihmisvalvonta joka on todellista

Toistuva teema on merkityksellinen ihmisvalvonta — sana "merkityksellinen" ratkaisee. Ihminen joka leimaa jokaisen päätöksen ilman kykyä tai tietoa puuttua ei ole valvontaa vaan teatteria. Aito valvonta tarkoittaa antaa henkilölle konteksti, valtuus ja käytännön kyky tarkistaa, ohittaa tai pysäyttää järjestelmä.

Tämä on yhtä lailla suunnittelu- kuin vaatimustenmukaisuusongelma ja kannattaa laista riippumatta, sillä järjestelmä jota ihminen ei voi merkityksellisesti valvoa on joka mielessä vastuu.

Dokumentaatio sivutuotteena, ei projektina

Asetuksen kokevat tuskallisena tiimit jotka kohtelevat dokumentaatiota erillisenä loppuprojektina. Hallittavana ne jotka rakentavat näytön matkalla: mallikortit, datan alkuperä, arviointitulokset, päätöslokit — hyvän insinöörityön luonnollinen tuotos.

Miten autamme, ja missä pysähdymme

Olemme insinöörejä, emme juristeja, ja olemme tarkkoja tuosta rajasta. Teemme teknisen valmistelun: inventaario, riskiluokittelu, datan hallinnan mekanismit, valvonnan suunnittelu ja dokumentaation ja näytön kokoaminen jäsennellyksi tiedostoksi. Lopullisen oikeudellisen arvion jätämme tietoisesti lakimiehellesi. Hyvin jäsenneltynä näyttö antaa hänen hyväksyä tehokkaasti.