پنج گام ارزیابی پیامدهای الگوریتمی؛ چگونه نهادهای ناظر ریسک هوش مصنوعی را مهار می‌کنند

نهادهای ناظر در سراسر اتحادیه اروپا، کانادا و نیوزیلند اکنون این قدرت را دارند که پیش از پردازش حتی یک بیت از داده‌های کاربران، مانع از استقرار سیستم‌های پرخطر هوش مصنوعی شوند. سازوکار اجرایی اصلی آن‌ها «ارزیابی پیامدهای الگوریتمی» (AIA) است؛ چیزی که در قانون هوش مصنوعی اتحادیه اروپا با عنوان «ارزیابی پیامدهای حقوق بنیادین» (FRIA) شناخته می‌شود [۴]. پیش از آنکه یک نهاد عمومی یا شرکت خصوصیِ ارائه‌دهنده خدمات ضروری بتواند یک مدل پرخطر را فعال کند، باید با ارائه یک اظهارنامه رسمی ثابت کند که آسیب‌های احتمالی سیستم را شناسایی و مهار کرده است [۲].

دوران استقرار هوش مصنوعی و وصله‌پینه کردنِ خرابی‌های پس از آن رو به پایان است. بر اساس ماده ۲۷ قانون هوش مصنوعی اتحادیه اروپا که در سال ۲۰۲۶ اجرایی شد، مستقرکنندگان سیستم‌ها برای تکمیل این ارزیابی‌ها در مدل‌های پرخطرِ فعلی با یک ضرب‌الاجل قطعی مواجه‌اند [۴]. این الزام، بار اثبات را جابه‌جا می‌کند: سازمان‌ها اکنون باید ایمنی سیستم را اثبات کنند، نه اینکه منتظر بمانند تا نهادهای ناظر وقوع آسیب را ثابت کنند. مستندات حاصل از این ارزیابی‌ها باید تا ۱۰ سال نگهداری شوند که این امر یک ردپای مسئولیت‌پذیریِ بلندمدت ایجاد می‌کند [۴].

اگرچه اصطلاحات متفاوت است—اتحادیه اروپا از FRIA استفاده می‌کند، دولت نیوزیلند ابزار AIA را به کار می‌گیرد و سایر حوزه‌های قضایی به چارچوب‌های مستقل تکیه دارند—اما سازوکارهای بنیادین به یکدیگر نزدیک شده‌اند [۱][۵]. تحلیل تطبیقیِ شش عنصر الزامی در ماده ۲۷ و دستورالعمل‌های بین‌المللی، یک مسیر استانداردِ پنج‌مرحله‌ای را نشان می‌دهد که هر سیستم پرخطر هوش مصنوعی پیش از استقرار باید آن را طی کند [۳][۶].[1][2][3]

این فرآیند با تعیین دامنه و ارزیابی آستانه آغاز می‌شود؛ یعنی تعریف دقیق اینکه سیستم چه کاری انجام می‌دهد و آیا از آستانه قانونیِ ریسک بالا عبور می‌کند یا خیر. مستقرکنندگان باید هدف مورد نظر، فرآیندهای خاصی که هوش مصنوعی خودکار می‌کند و میزان استفاده از آن را مستند کنند [۴]. در نیوزیلند، آژانس‌ها از یک «ارزیابی آستانه الگوریتم» استفاده می‌کنند تا مشخص کنند آیا به یک AIA کامل نیاز است یا خیر [۱]. اگر سیستم با امتیازدهی اعتباری، احراز هویت بیومتریک یا دسترسی به خدمات عمومی سروکار داشته باشد، به‌طور خودکار ارزیابی کامل را فعال می‌کند [۴]. همان‌طور که بند (a)۱ ماده ۲۷ صراحتاً الزام می‌کند، مستقرکنندگان باید «توصیفی از فرآیندهای خود که سیستم پرخطر هوش مصنوعی در راستای هدف تعیین‌شده در آن‌ها استفاده خواهد شد» ارائه دهند [۴].[1]

پس از تعیین دامنه، فاز دوم ایجاب می‌کند که مستقرکننده مشخص کند سیستم روی چه کسانی و چگونه تأثیر خواهد گذاشت. این یک بررسی حریم خصوصیِ معمولی نیست. قانون هوش مصنوعی اتحادیه اروپا سازمان‌ها را ملزم می‌کند تا دسته‌های خاصی از اشخاص حقیقیِ تحت‌تأثیر و تهدیدهای احتمالی علیه حقوق بنیادین آن‌ها—از جمله عدم تبعیض، کرامت انسانی و آزادی بیان—را شناسایی کنند [۴]. چارچوب‌های مستقل تأکید دارند که این مرحله نیازمند تکنیک‌های طراحی مشارکتی و مشورت با ذی‌نفعان است و می‌پذیرند که رسیدن به ریسک صفرِ سوگیری در هیچ مدل آماری امکان‌پذیر نیست [۵].

ریسک‌های شناسایی‌شده سپس در فاز سوم، یعنی تحلیل و ارزیابی، کمّی‌سازی می‌شوند. سازمان‌ها باید احتمال وقوع یک آسیب و شدت تأثیر آن را ارزیابی کنند. بر اساس چارچوب ارزیابی ریسک Mindgard، این کار شامل امتیازدهی به ریسک‌ها در مقایسه با میزان ریسک‌پذیری سازمان و آستانه‌های قانونی است [۳]. اگر احتمالِ اینکه سیستم یک متقاضی واجد شرایط را از دریافت وام محروم کند یا یک مظنون را به‌اشتباه شناسایی کند از حد مجاز فراتر رود، سیستم بدون تغییرات ساختاری نمی‌تواند به مرحله استقرار برسد [۳].[2]

شناسایی ریسک به‌تنهایی کافی نیست؛ گام چهارم می‌طلبد که مستقرکننده ثابت کند می‌تواند آن را از طریق اقدامات کاهشی و نظارت انسانی کنترل کند. ماده ۲۷ ارائه توصیف دقیقی از اقدامات نظارت انسانی را الزامی می‌داند [۴]. این شامل ایجاد ساختارهای حاکمیت داخلی، تعریف دقیقِ زمان‌هایی که یک اپراتور انسانی می‌تواند تصمیم هوش مصنوعی را لغو کند، و ایجاد سازوکارهای رسمیِ ثبت شکایت برای افراد آسیب‌دیده است [۴]. هدف این است که اطمینان حاصل شود هوش مصنوعی به‌عنوان یک جعبه سیاه غیرقابل‌چالش عمل نمی‌کند، بلکه ابزاری تابع قضاوت انسانی است.

گام نهایی، ارزیابی را از یک سند داخلی به یک پرونده قانونی از طریق اطلاع‌رسانی و نظارت مستمر تبدیل می‌کند. تحت قانون هوش مصنوعی اتحادیه اروپا، نتایج باید به مرجع نظارت بر بازارِ مربوطه اطلاع داده شود [۴]. اما AIA یک چک‌لیست یک‌بارمصرف نیست. هرگاه سیستم دستخوش تغییرات اساسی شود یا بستر استقرار آن تغییر کند، ارزیابی باید به‌روزرسانی شود [۴]. این ارزیابی به‌عنوان یک مبنای زنده برای نظارت مستمر در طول چرخه حیات هوش مصنوعی عمل می‌کند [۱].[1]

شواهدِ تأییدکننده اثربخشی AIAها هنوز در حال توسعه است. از آنجا که این چارچوب‌ها به‌تازگی الزامی شده‌اند، داده‌های تجربی در مورد اینکه آن‌ها چقدر در جلوگیری از آسیب‌های الگوریتمی موفق عمل می‌کنند—در مقایسه با اینکه صرفاً کاغذبازی‌های انطباق‌پذیری تولید کنند—همچنان اندک است [۵]. آنچه مسلم است این است که اکنون مسئولیت قانونی کاملاً بر دوش آینده‌نگری مستندشده‌ی مستقرکننده قرار دارد و این امر، محاسبات ریسک در پذیرش سازمانیِ هوش مصنوعی را به‌طور بنیادین تغییر می‌دهد [۲].