ماده ۴۳ بازرسی نهادهای مستقل را به بیومتریک محدود می‌کند و ارزیابی بخش عمده هوش مصنوعی پرخطر را به خود شرکت‌ها می‌سپارد

نهادهای ناظر و پیشگامان صنعت استدلال می‌کنند که الزام ممیزی مستقل برای هر سیستم هوش مصنوعی پرخطر، بخش فناوری اروپا را فلج می‌کند و سبب انسداد در نهادهای صدور گواهینامه می‌شود که هنوز در مقیاس لازم تشکیل نشده‌اند. آن‌ها معتقدند که خودارزیابی شرکتی متکی به چارچوب‌های مستندسازی دقیق، تنها راهکار واقع‌بینانه برای نظارت بر فناوری پرشتابی از این دست است.[5][6]

در نقطه مقابل، گروه‌های جامعه مدنی و مدافعان ایمنی با بررسی همین چارچوب قانونی، آن را روزنه‌ای ساختاری می‌بینند که ماهیت نظارت را زیر سوال می‌برد. به باور آن‌ها، اینکه به شرکت‌ها اجازه داده شود به الگوریتم‌های تعیین‌کننده استخدام، اعتبار مالی و دریافت خدمات رفاهی نمره قبولی بدهند، عملاً دندان‌های برنده قانون را پیش از آغاز اجرا می‌کشد.[6]

این تقابل آشکار در ماده ۴۳ قانون هوش مصنوعی اتحادیه اروپا گنجانده شده است؛ سازوکاری که معین می‌کند یک سیستم پرخطر چگونه انطباق و ایمنی خود را برای ورود به بازار اثبات نماید. این متن دو مسیر جداگانه را برای ارزیابی انطباق مشخص کرده، اما این مسیرها به تساوی میان بخش‌های مختلف فناوری هوش مصنوعی توزیع نشده‌اند.[1][2]

قانون هوش مصنوعی سیستم‌ها را در سطوح مختلف ریسک طبقه‌بندی می‌کند و مدل‌های پرخطر بر اساس فصل سوم، ملزم به رعایت سخت‌گیرانه‌ترین ضوابط می‌شوند. این الزامات شامل ایجاد سیستم مدیریت ریسک، تضمین کیفیت داده‌ها، نگهداری مستندات فنی دقیق و پیش‌بینی نظارت انسانی است.[1][4]

مکانیسم اجرایی ماده ۴۳

پیش از آنکه بتوان سیستمی پرخطر را در اتحادیه اروپا مستقر ساخت یا به فروش رساند، عرضه‌کننده موظف است فرایند ارزیابی انطباق را تکمیل کند تا ثابت شود الزامات قانونی برآورده شده‌اند. ماده ۴۳ چگونگی تولید این مدارک اثباتی را ترسیم می‌کند و مسئولیت آن را میان تیم‌های فنی درون شرکت و بازرسان مستقل ثالث موسوم به «نهادهای اعلام‌شده» تقسیم می‌نماید.[2][5]

برای اکثریت قریب به اتفاق سیستم‌های هوش مصنوعی پرخطر، بند ۲ ماده ۴۳ رویه کنترل داخلی تدوین‌شده در پیوست ششم را الزامی کرده است. این بدان معناست که شرکت توسعه‌دهنده هوش مصنوعی به تنهایی مسئول بررسی رعایت استانداردها، گردآوری مدارک لازم و امضای اظهارنامه انطباق اتحادیه اروپاست.[1][2]

در مسیر کنترل داخلی، هیچ ناظر مستقلی مدل را پیش از رسیدن به دست عموم واکاوی نمی‌کند، داده‌های آموزشی را بازبینی نمی‌نماید یا پایداری سیستم را به بوته آزمایش نمی‌گذارد. عرضه‌کننده تنها نشان انطباق سی‌ای (CE) را درج کرده و با ثبت سیستم در یک پایگاه داده عمومی، از نظر حقوقی پایان ارزیابی‌های درون‌سازمانی را تأیید می‌کند.[2][6]

برای درک گستردگی مسیر خودارزیابی، باید به موارد کاربری مشخص‌شده در پیوست سوم قانون نگاهی دقیق انداخت. این فهرست شامل همان کاربردهایی است که بیشترین تماس مستقیم را با زندگی روزمره و فرصت‌های اقتصادی شهروندان دارند.[1][3]

نقشه‌خوانی سامانه‌های پرخطر

بند ۴ مواردی همچون هوش مصنوعی به کار رفته در اشتغال از قبیل سامانه‌های خودکار غربالگری رزومه، ابزارهای تحلیل مصاحبه و سامانه‌های پایش بهره‌وری کارکنان را پوشش می‌دهد. بند ۵ به دسترسی به خدمات اساسی اختصاص دارد و الگوریتم‌های ارزیابی شایستگی اعتباری یا صلاحیت دریافت مسکن دولتی و خدمات رفاهی را در بر می‌گیرد.[1][2]

بند ۳ سیستم‌های هوش مصنوعی مربوط به سنجش دسترسی به مراکز آموزشی و ارزیابی عملکرد تحصیلی دانش‌آموزان را شامل می‌شود. بند ۲ نیز مولفه‌های ایمنی مبتنی بر هوش مصنوعی را در مدیریت زیرساخت‌های دیجیتال حیاتی، کنترل ترافیک و شبکه‌های توزیع آب و برق هدف قرار می‌دهد.[1][2]

بر اساس بند ۲ ماده ۴۳، تک‌تک این سیستم‌ها—از الگوریتمی که تعیین می‌کند چه کسی وام مسکن بگیرد تا نرم‌افزاری که یک شبکه برق شهری را مدیریت می‌کند—صرفاً با تکیه بر رویه کنترل داخلی خود توسعه‌دهنده مجوز ورود به بازار اروپا را دریافت می‌کنند.[2][6]

متن قانون یک استثنای بسیار باریک و مشخص برای سیستم‌های بیومتریک قائل شده است. طبق بند ۱ ماده ۴۳، سامانه‌های پرخطر فهرست‌شده در بند ۱ پیوست سوم—که شناسایی و دسته‌بندی بیومتریک را در بر می‌گیرند—به مسیر متفاوتی هدایت می‌شوند.[1][2]

استثنای بیومتریک

در قبال این سیستم‌های بیومتریک، توسعه‌دهندگان نمی‌توانند تنها به کنترل داخلی اتکا کنند، مگر اینکه استانداردهای هماهنگ اروپایی را به‌طور کامل پیاده‌سازی کرده باشند. از آنجا که در حال حاضر برای بیشتر کاربردهای بیومتریک چنین استانداردهایی تدوین نشده، این سیستم‌ها به صورت پیش‌فرض مشمول رویه سخت‌گیرانه‌تر پیوست هفتم می‌شوند.[2][5]

مسیر پیوست هفتم مستلزم مداخله یک نهاد اعلام‌شده است؛ یعنی یک سازمان بازرسی مستقل که توسط دولت تعیین صلاحیت شده است. این ممیز خارجی باید سیستم مدیریت کیفیت و مستندات فنی عرضه‌کننده را شخصاً بازبینی کند تا مطمئن شود هوش مصنوعی بیومتریک، الزامات ایمنی و حقوق بنیادین مطرح در قانون را نقض نکرده است.[2][4]

این رویکرد ساختاری دوگانه در تنظیم‌گری پدید می‌آورد: یک سیستم تشخیص چهره برای کنترل ورود به ساختمان با ممیزی مستقل اجباری مواجه می‌شود، اما یک الگوریتم غربالگری متقاضیان شغل یا تریاژ درمانی می‌تواند صرفاً با امضای داخلی مدیران شرکت روانه بازار شود.[2][6]

موازنه میان کنترل داخلی و بازرسی خارجی شدیداً تحت تأثیر «استانداردهای هماهنگ» است. این‌ها در حقیقت مشخصات فنی هستند که توسط سازمان‌های استانداردسازی اروپا تدوین می‌شوند تا احکام کلی قانون را به شاخص‌های دقیق مهندسی تبدیل کنند.[1][5]

هنگامی که یک عرضه‌کننده استانداردی هماهنگ را به صورت کامل در سیستم خود پیاده کند، از «فرض انطباق» حقوقی بهره‌مند می‌شود. با استناد به این سازوکار، فرض بر این است که سیستم در ابعاد پوشش‌داده‌شده توسط آن استاندارد کاملاً با الزامات قانون همخوانی دارد، امری که موانع قانونی و نظارتی را به شدت کاهش می‌دهد.[2][5]

جایگاه استانداردهای هماهنگ

در سامانه‌های بیومتریک، وجود و نحوه اعمال این استانداردها دقیقاً همان کلید تعیین مسیر ارزیابی است. اگر شرکتی استاندارد هماهنگ به‌رسمیت‌شناخته‌شده را پیاده کند می‌تواند از کنترل داخلی بهره ببرد، اما در غیر این صورت ناچار به استخدام یک نهاد اعلام‌شده برای بازرسی مستقل است.[2][6]

چون استانداردهای جامع پیرامون دقت، سوگیری و استواری بیومتریک هنوز در دست تدوین هستند، سیستم‌های بیومتریک نسل اول تقریباً همگی به مسیر ممیزی نهاد اعلام‌شده کشیده می‌شوند. این وضعیت یک نقطه ایست بازرسی موقت و سفت‌وسخت برای فناوری‌های نظارتی ایجاد می‌کند تا زمانی که استانداردهای مهندسی به پای متن قانون برسند.[5][6]

تصمیم قانون‌گذار مبنی بر تحدید بازرسی شخص ثالث عمدتاً به حوزه بیومتریک، بیش از آنکه حاصل تحلیل محض از درجه ریسک باشد، ناشی از محدودیت‌های زیرساختی و ظرفیت عملیاتی بود. اتحادیه اروپا در حال حاضر فاقد شبکه‌ای کارآمد و توانمند از نهادهای اعلام‌شده با مهارت فنی لازم برای ارزیابی مدل‌های پیچیده یادگیری ماشین است.[4][6]

چنانچه قانون برای تمامی بخش‌های پرخطر بازرسی مستقل را اجباری می‌کرد، صف طولانی تایید صلاحیت عملاً استقرار هوش مصنوعی در اروپا را متوقف می‌ساخت. سازوکار کنترل داخلی همانند یک سوپاپ تخلیه فشار عمل می‌کند تا فرایند نوآوری در بروکراسی اداری گیر نیفتد.[5][6]

تنگنای ظرفیت کارشناسی

کمیسیون اروپا با محصور کردن الزامات نهاد اعلام‌شده به بیومتریک و سخت‌افزارهای سنتی که پیش‌تر نیز مشمول بازرسی خارجی بودند، قیف نظارت را تنگ‌تر کرد. با این ابتکار، ظرفیت محدود ممیزی معطوف به آن دسته از فناوری‌هایی شد که حساسیت مستقیم‌تری نسبت به حقوق بنیادین دارند.[1][5]

صرف عبور از ممیزی پیش از ورود به بازار در فرایند خودارزیابی، به معنای حذف بار رعایت ضوابط نیست. عرضه‌کنندگانی که از سازوکار کنترل داخلی استفاده می‌کنند، همچنان باید یک سیستم مدیریت کیفیت جامع بسازند که تمام چرخه عمر هوش مصنوعی را از گردآوری داده تا پایش‌های پس از ورود ثبت کند.[1][2]

این مستندات فنی باید بسیار موشکافانه تدوین شده و تا ده سال برای ارائه‌به نهادهای ناظر بر بازار ملی آماده نگه داشته شوند. اگر یک سیستم خودارزیابی‌شده بعد از ورود به بازار آسیبی به بار آورد یا حقوق بنیادین افراد را تضییع کند، بازرسان به سراغ همان مستندات کنترل داخلی خواهند رفت تا مقصر و مسئول قانونی را مشخص نمایند.[1][3]

شیوه کنترل داخلی عملاً سازوکار نظارت را از فیلتر پیش از بازار به مجازات‌های پس از ورود سوق می‌دهد. به شرکت‌ها اعتماد می‌شود تا خودشان به کارشان نمره بدهند، اما چنانچه مقامات ناظر بعداً کشف کنند که این بررسی‌ها صوری بوده، جریمه‌های سنگینی تا سقف ۱۵ میلیون یورو یا ۳ درصد گردش مالی سالانه جهانی متوجه آنان خواهد شد.[1][6]

بار حقوقی اثبات

ارزیابی انطباق مانعی یک‌باره نیست. بند ۴ ماده ۴۳ تصریح می‌کند که هرگاه یک سیستم پرخطر دستخوش «تغییر اساسی» شود—یعنی تغییری که تطابق با الزامات ایمنی را مختل کند یا کاربرد مورد نظر سیستم را دگرگون سازد—باید ارزیابی انطباق کاملاً جدیدی صورت گیرد.[1][2]

این قید قانونی چالشی ویژه را برای مدل‌های یادگیری ماشینی که بر مبنای یادگیری مداوم طراحی شده‌اند ایجاد می‌کند. اگر پارامترها و وزن‌های یک مدل به تناسب دریافت داده‌های جدید در جهان واقعی مدام به‌روز شود، از لحاظ نظری ممکن است هر روز نیاز به یک ارزیابی انطباق جدید پیش بیاید.[4][6]

برای حل این بن‌بست، قانون به توسعه‌دهندگان اجازه می‌دهد بازه‌ای از تغییرات احتمالی و مورد انتظار را در ارزیابی اولیه ثبت و مستند کنند. تا زمانی که یادگیری مستمر سیستم درون همین مرزهای از پیش تعیین‌شده باقی بماند، این به‌روزرسانی‌ها به عنوان تغییر اساسی قلمداد نخواهند شد.[1][2]

منتقدان استدلال می‌کنند که نظارت پسینی برای سیستم‌های پرخطری که می‌توانند افراد را از استخدام، تسهیلات بانکی یا خدمات رفاهی محروم سازند به‌هیچ‌وجه کافی نیست. زمانی که ناظران بازار بررسی یک الگوریتم اعتبارسنجی سوگیرانه را شروع کنند، ممکن است هزاران نفر قبلاً دچار خسارت‌های مالی جبران‌ناپذیر شده باشند.[6]

شکاف شفافیت

اتکای افراطی به خودارزیابی، شفافیت عمومی را نیز تضعیف می‌کند. از آنجا که مستندات فنی و ارزیابی‌های ریسک به عنوان اسناد محرمانه درون شرکتی باقی می‌مانند، پژوهشگران مستقل و گروه‌های مدنی نمی‌توانند ادعاهای ایمنی شرکت‌ها را مستقلاً بسنجند مگر آنکه تحقیقی رسمی از جانب مراجع ناظر کلید بخورد.[4][6]

در نهایت، ماده ۴۳ بازتاب یک قمار حساب‌شده از سوی قانون‌گذار است. اتحادیه اروپا شرط بسته است که خطر جریمه‌های هنگفت پسا-استقرار می‌تواند شرکت‌ها را وادارد تا خودارزیابی داخلی را با همان دقت ممیزان مستقل انجام دهند؛ قماری که قطعیت نظارت پیش از ورود را فدای شتاب حضور در بازار می‌کند.[5][6]