بررسی بار نظارتی قانون هوش مصنوعی اتحادیه اروپا و چارچوب ریسک چهارلایه‌ای آن

کل دستگاه نظارتی قانون هوش مصنوعی اتحادیه اروپا بر یک سازوکار طبقه‌بندی واحد استوار است: یک سیستم هوش مصنوعی باید به‌جای معماری زیربنایی‌اش، بر اساس کاربرد موردنظر خود به‌دقت در یکی از چهار دسته ریسک مجزا قرار گیرد. اگر نتوان سیستمی را به‌طور قطعی در یک لایه جای داد، الزامات انطباق قابل‌اجرا نخواهد بود. تا سپتامبر ۲۰۲۶، این طبقه‌بندی برای کاربردهای محدودی مانند مرتب‌سازی بیومتریک یا امتیازدهی اعتباری به‌خوبی کار می‌کند، اما برای مدل‌های پایه همه‌منظوره که می‌توانند هم‌زمان با چندین لایه سازگار شوند، بسیار مبهم باقی مانده است.[1][6]

در بالاترین سطح این چارچوب، دسته «ریسک غیرقابل‌قبول» قرار دارد که منجر به ممنوعیت کامل در این بلوک ۲۷ کشوری می‌شود. این لایه سیستم‌هایی را هدف قرار می‌دهد که از تکنیک‌های ناخودآگاه برای تحریف اساسی رفتار انسان استفاده می‌کنند، از آسیب‌پذیری‌های گروه‌های خاص بهره‌برداری می‌کنند، یا بر اساس ویژگی‌های شخصی به امتیازدهی اجتماعی می‌پردازند. این ممنوعیت همچنین شامل شناسایی بیومتریک از راه دور و در زمان واقعی در فضاهای عمومی توسط مجریان قانون می‌شود، اگرچه متن تلفیقی ژوئیه ۲۰۲۶ استثناهای محدودی را برای جستجوی هدفمند افراد گمشده یا جلوگیری از تهدیدات تروریستی خاص در نظر گرفته است.[1][3]

هسته اصلی سازوکار اجرایی این قانون به سمت لایه «ریسک بالا» هدایت شده است. بر اساس مستندات استراتژی دیجیتال کمیسیون اروپا، این‌ها سیستم‌هایی هستند که «تأثیر منفی بر ایمنی یا حقوق بنیادین» می‌گذارند. این دسته شامل هوش مصنوعی مورد استفاده در زیرساخت‌های حیاتی، آموزش و کارآموزی حرفه‌ای، اشتغال و مدیریت کارگران، و خدمات ضروری خصوصی و عمومی مانند مراقبت‌های بهداشتی و بانکداری می‌شود.[2][4]

توسعه‌دهندگانی که سیستم‌های پرخطر را مستقر می‌کنند، پیش از ورود محصولاتشان به بازار اروپا با بار انطباق سنگینی روبه‌رو هستند. آن‌ها باید یک سیستم مدیریت ریسک مستمر ایجاد کنند، حاکمیت داده‌ها را برای کاهش سوگیری‌ها انجام دهند و مستندات فنی دقیقی را حفظ کنند. علاوه بر این، این سیستم‌ها نیازمند اقدامات نظارت انسانی تعبیه‌شده در رابط کاربری هستند تا اطمینان حاصل شود که در صورت رفتار غیرقابل‌پیش‌بینی سیستم، یک اپراتور انسانی می‌تواند آن را لغو یا خاموش کند.[3]

پیامدهای مالی برای طبقه‌بندی اشتباه یا عدم انطباق در مقررات فناوری بی‌سابقه است. جریمه‌های استقرار سیستم‌های ممنوعه با ریسک غیرقابل‌قبول می‌تواند به ۳۵ میلیون یورو یا ۷ درصد از کل گردش مالی سالانه شرکت در سراسر جهان در سال مالی قبل (هر کدام که بیشتر باشد) برسد. نقض تعهدات ریسک بالا مجازاتی تا ۱۵ میلیون یورو یا ۳ درصد از گردش مالی جهانی در پی دارد، در حالی که ارائه اطلاعات نادرست به نهادهای مطلع منجر به جریمه‌های ۷٫۵ میلیون یورویی یا ۱٫۵ درصد از گردش مالی می‌شود.[1]

لایه سوم، یعنی «ریسک محدود»، تقریباً به‌طور کامل بر شفافیت تمرکز دارد تا حسابرسی پیش از عرضه به بازار. این دسته برای سیستم‌هایی مانند چت‌بات‌ها، دیپ‌فیک‌ها و نرم‌افزارهای تشخیص احساسات اعمال می‌شود. تعهد قانونی اصلی این است که کاربران باید آگاه شوند که در حال تعامل با یک ماشین هستند. اگر یک سیستم هوش مصنوعی محتوای صوتی، تصویری یا متنی مصنوعی تولید کند، آن خروجی باید در قالبی قابل‌خواندن برای ماشین علامت‌گذاری شود و به‌عنوان محتوای تولیدشده یا دستکاری‌شده مصنوعی قابل‌تشخیص باشد.[1][2][4]

اکثریت قریب‌به‌اتفاق کاربردهای هوش مصنوعی که در حال حاضر مستقر شده‌اند در دسته «حداقل ریسک» قرار می‌گیرند که شامل بازی‌های ویدیویی مبتنی بر هوش مصنوعی، فیلترهای هرزنامه و سیستم‌های پایه مدیریت موجودی است. قانون هوش مصنوعی اتحادیه اروپا هیچ تعهد اجباری بر این سیستم‌ها تحمیل نمی‌کند، اگرچه کمیسیون اروپا ارائه‌دهندگان را تشویق می‌کند تا به کدهای رفتاری داوطلبانه متعهد شوند. تحلیلگران صنعت تخمین می‌زنند که بیش از ۸۵ درصد از ابزارهای تجاری موجود هوش مصنوعی در این لایه بدون مقررات فعالیت می‌کنند.[2][4][5]

یک پیچیدگی مهم در چشم‌انداز اجرایی سال ۲۰۲۶، نحوه برخورد با مدل‌های هوش مصنوعی همه‌منظوره (GPAI) است. از آنجا که یک مدل زبانی بزرگ واحد می‌تواند هم یک فیلتر هرزنامه با حداقل ریسک و هم یک ابزار تشخیص پزشکی پرخطر را نیرو بخشد، این قانون یک مسیر موازی برای GPAI معرفی می‌کند. مدل‌هایی که با استفاده از قدرت محاسباتی کل بیش از ۱۰ به توان ۲۵ عملیات ممیز شناور (FLOPs) آموزش دیده‌اند، به‌طور خودکار به‌عنوان حامل «ریسک سیستمیک» طبقه‌بندی می‌شوند و توسعه‌دهنده را ملزم می‌کنند تا ارزیابی‌های مدل را انجام دهد، ریسک‌های سیستمیک را ارزیابی و کاهش دهد، و حوادث جدی را به دفتر تازه تأسیس هوش مصنوعی گزارش کند.[1][3]

اجرای این لایه‌ها به‌صورت مرحله‌ای است. ممنوعیت سیستم‌های با ریسک غیرقابل‌قبول در فوریه ۲۰۲۵، شش ماه پس از لازم‌الاجرا شدن این قانون، اجرایی شد. تعهدات مربوط به مدل‌های هوش مصنوعی همه‌منظوره در اوت ۲۰۲۵ قابل‌اجرا شدند، در حالی که الزامات سخت‌گیرانه برای سیستم‌های پرخطر فهرست‌شده در پیوست III این مقررات قرار است در اوت ۲۰۲۶ اعمال شوند و به شرکت‌ها یک دوره گذار ۲۴ ماهه برای ایجاد زیرساخت‌های انطباق می‌دهند.[3]

شواهد حامی اثربخشی این رویکرد لایه‌بندی‌شده همچنان مختلط است. در حالی که ساختار جریمه‌ای مشابه GDPR با موفقیت توسعه‌دهندگان بزرگ هوش مصنوعی را مجبور به انتشار کارت‌های مدل دقیق و خلاصه‌های داده‌های آموزشی کرده است، کاهش واقعی در سوگیری الگوریتمی یا حوادث ایمنی به‌سختی قابل‌سنجش است. دفتر هوش مصنوعی اروپا در حال حاضر به‌شدت به خودارزیابی‌های توسعه‌دهندگان متکی است، زیرا اکوسیستم سازمان‌های مستقل و شخص ثالث «نهادهای مطلع» که برای حسابرسی سیستم‌های پرخطر مورد نیازند، هنوز در حال گسترش است.[4][5][6]

داده‌های اولیه انطباق از سال ۲۰۲۶ نشان می‌دهد که طبقه‌بندی ریسک بالا به‌عنوان یک مانع مهم در بازار عمل می‌کند. شرکت Jaggaer گزارش می‌دهد که بخش‌های تدارکات به‌طور فزاینده‌ای خواستار غرامت کامل انطباق با قانون هوش مصنوعی از فروشندگان نرم‌افزار هستند و مسئولیت قانونی را به پایین زنجیره تأمین منتقل می‌کنند. برخی از توسعه‌دهندگان متن‌باز به‌جای تلاش برای پیمایش الزامات مستندسازی برای GPAI با ریسک سیستمیک، مدل‌های خود را در اتحادیه اروپا مسدود جغرافیایی کرده‌اند.[4]

دوام چارچوب چهارلایه‌ای زمانی مورد آزمایش قرار خواهد گرفت که سیستم‌های عامل خودمختار از آزمایشگاه‌های تحقیقاتی به استقرار تجاری منتقل شوند. از آنجا که این قانون، ریسک را بر اساس هدف موردنظر یک سیستم در زمان ورود به بازار دسته‌بندی می‌کند، یک عامل هوش مصنوعی که پس از استقرار به‌طور خودمختار اهداف خود را بازتعریف می‌کند، فرض بنیادین این قانون را در هم می‌شکند. کمیسیون اروپا تا اوت ۲۰۲۷ فرصت دارد تا اولین بررسی جامع خود را از اثربخشی این چارچوب منتشر کند، و در آن زمان تعاریف ریسک بالا و غیرقابل‌قبول با اولین بازنگری قانونی خود مواجه خواهند شد.[1][6]