Veštačka inteligencija je za širu javnost dugo predstavljala viziju tehnologije koja će jednog dana promeniti način na koji radimo i živimo, iako su različiti oblici njene primene već bili prisutni. Međutim, krajem novembra 2022. godine javnosti je postao dostupan servis pod nazivom ChatGPT, koji je vrlo brzo postao glavna vest u tehnološkim, ali i mejnstrim medijima. Već u martu 2023. godine kompanija OpenAI predstavila je GPT-4, novu generaciju modela na kojima se zasnivao i ovaj servis. Usledila su dalja unapređenja modela i mogućnosti rada sa tekstom, slikama i drugim vrstama sadržaja. Pritom treba razlikovati ChatGPT kao servis od GPT modela koje taj servis koristi.
Ne moramo nagađati šta će naredne generacije ovih modela doneti da bismo prepoznali značaj ove tehnologije i potrebu da razmotrimo šta i kako dalje. Još je GPT-4, prema rezultatima koje je objavio OpenAI, ostvario prolazni rezultat na simulaciji američkog pravosudnog ispita. To, međutim, nije isto što i formalno polaganje ispita, niti predstavlja potvrdu pouzdanosti njegovih odgovora u pravnoj praksi. Model može dati netačan odgovor, uključujući izmišljene činjenice i izvore, čak i kada taj odgovor deluje uverljivo.
U ovom tekstu se nećemo baviti tehničkom analizom veštačke inteligencije, odnosno ChatGPT-ja, već rizicima koje ova tehnologija potencijalno nosi i regulatornim okvirom koji treba da omogući njenu korisnu primenu uz zaštitu bezbednosti i prava ljudi.
Jedan od ranih primera regulatorne intervencije dogodio se u Italiji. Italijanski nadzorni organ za zaštitu podataka o ličnosti je u martu 2023. godine privremeno ograničio obradu podataka korisnika iz Italije koju je obavljao OpenAI, nakon čega je kompanija onemogućila pristup servisu u toj zemlji. Postavljena su pitanja pravnog osnova obrade, transparentnosti, ostvarivanja prava lica i zaštite maloletnika. Nakon što je OpenAI uveo određene mere i izmene, servis je ponovo postao dostupan 28. aprila 2023. godine. To nije predstavljalo opštu potvrdu zakonitosti svih njegovih obrada podataka.
ChatGPT i drugi generativni AI sistemi otvaraju i autorskopravna pitanja, naročito u vezi sa korišćenjem zaštićenih dela za treniranje modela i sadržajem koji sistemi generišu. Pojedini sporovi već su pred sudovima, ali postojanje tužbe ne znači da je povreda prava utvrđena. Ova pitanja zahtevaju posebnu analizu.
Rizik po prava ljudi zavisi od namene sistema, podataka koji se obrađuju, načina njegove upotrebe i posledica koje njegovi rezultati mogu proizvesti. Zbog toga se ni servis poput ChatGPT-ja ne može unapred smatrati bezbednim za svaku vrstu primene.
Pravna podrška u oblasti veštačke inteligencije obuhvata savetovanje u vezi sa primenom AI Act-a i propisa o zaštiti podataka o ličnosti, procenu pravnih rizika prilikom uvođenja AI sistema u poslovanje, izradu internih pravila o upotrebi veštačke inteligencije, uređivanje ugovornih odnosa sa pružaocima AI usluga, kao i pitanja odgovornosti, poverljivosti podataka i zaštite intelektualne svojine. Posebnu pažnju posvećujemo pravilima korišćenja AI alata od strane zaposlenih i zaštiti poslovnih i ličnih podataka koji se unose u ove sisteme. Za procenu vaše situacije, kontaktirajte nas.
AI Act EU: regulisanje veštačke inteligencije
Prateći razvoj veštačke inteligencije, Evropska unija usvojila je Uredbu (EU) 2024/1689 o utvrđivanju harmonizovanih pravila o veštačkoj inteligenciji, poznatu kao AI Act. Uredba je stupila na snagu 1. avgusta 2024. godine, a njene odredbe primenjuju se postepeno. Ona predstavlja jedan od najznačajnijih globalnih koraka ka sveobuhvatnom regulisanju razvoja i upotrebe AI sistema.
Iako se AI Act prvenstveno primenjuje na tržištu Evropske unije, njegove odredbe mogu biti relevantne i za kompanije sa sedištem u Srbiji. Pod propisanim uslovima, Uredba se primenjuje i na pružaoce AI sistema iz trećih država koji sisteme stavljaju na tržište ili u upotrebu u EU, kao i na pružaoce i korisnike AI sistema iz trećih država kada se rezultati tih sistema koriste u Evropskoj uniji (član 2. stav 1). Zato je za svaku kompaniju potrebno posebno utvrditi da li određena aktivnost potpada pod teritorijalnu primenu Uredbe.
Zabrane određenih AI praksi primenjuju se od 2. februara 2025. godine, dok se pravila za modele veštačke inteligencije opšte namene primenjuju od 2. avgusta 2025, uz prelazni režim za ranije stavljene modele na tržište. Opšti datum primene Uredbe je 2. avgust 2026. godine. Međutim, izmenama koje su stupile na snagu u julu 2026. pomerena je primena pravila za visokorizične sisteme iz Aneksa III na 2. decembar 2027, a za visokorizične sisteme povezane sa proizvodima obuhvaćenim Aneksom I na 2. avgust 2028. godine. Zato je za svaku konkretnu obavezu potrebno proveriti odgovarajući rok primene.
Uredba na samom početku donosi pravnu definiciju AI sistema. Prema definiciji iz člana 3. tačka 1) Uredbe (u našem prevodu), AI sistem je mašinski zasnovan sistem projektovan da radi sa različitim nivoima autonomije, koji može pokazivati prilagodljivost nakon početka upotrebe i koji, radi izričitih ili implicitnih ciljeva, iz primljenih ulaznih podataka izvodi zaključke o tome kako da generiše rezultate, poput predviđanja, sadržaja, preporuka ili odluka, koji mogu uticati na fizičko ili virtuelno okruženje.
Među primarnim ciljevima AI Act-a jeste uređivanje razvoja i upotrebe AI sistema prema rizicima koje nose. Uredba razlikuje zabranjene prakse, visokorizične sisteme i određene sisteme za koje postoje posebne obaveze transparentnosti. Za sisteme sa minimalnim rizikom ne uspostavlja isti obim posebnih zahteva. Zasebno uređuje i modele veštačke inteligencije opšte namene, uz dodatne obaveze za modele sa sistemskim rizikom.
Zabranjene prakse obuhvataju, pod uslovima propisanim Uredbom, određene oblike štetne manipulacije ljudima, iskorišćavanje njihove ranjivosti, društveno bodovanje i neselektivno prikupljanje slika lica sa interneta ili snimaka video-nadzora radi stvaranja ili proširivanja baza za prepoznavanje lica. Zabranjeno je i zaključivanje o emocijama u oblasti rada i obrazovanja, osim kada je upotreba namenjena medicinskim ili bezbednosnim razlozima. Daljinska biometrijska identifikacija u realnom vremenu na javno dostupnim prostorima u svrhe sprovođenja zakona načelno je zabranjena, uz usko određene izuzetke.
AI Act ne zabranjuje svaki deepfake. Za takav sadržaj predviđene su obaveze otkrivanja da je veštački generisan ili izmenjen, uz propisane izuzetke i prilagođavanja. Izmenama iz 2026. uvedene su i posebne zabrane određenih AI praksi kojima se generiše ili manipuliše intimnim i seksualno eksplicitnim sadržajem koji prikazuje fizička lica koja se mogu identifikovati, bez njihovog pristanka, kao i materijalom seksualnog zlostavljanja dece, sa početkom primene 2. decembra 2026. godine.
Uredba pod propisanim uslovima dozvoljava visokorizične AI sisteme čije korišćenje može uticati na zdravlje, bezbednost i osnovna prava. Tu spadaju određene primene u zdravstvu, zapošljavanju i upravljanju zaposlenima, obrazovanju, kritičnoj infrastrukturi, biometriji, sprovođenju zakona, pravosuđu i upravljanju granicama. Sama upotreba AI u određenom sektoru ipak ne znači automatski da je svaki takav sistem visokorizičan: presudni su njegova namena i kriterijumi iz Uredbe.
Za visokorizične sisteme predviđeni su zahtevi koji obuhvataju upravljanje rizicima, kvalitet i upravljanje podacima, tehničku dokumentaciju, vođenje zapisa, ljudski nadzor, tačnost i sajber bezbednost. Tehnička dokumentacija mora se pripremiti pre stavljanja sistema na tržište ili u upotrebu i redovno ažurirati. Konkretne obaveze razlikuju se prema ulozi subjekta, naročito prema tome da li razvija i stavlja sistem na tržište ili ga koristi u okviru svoje delatnosti.
Procena uticaja na osnovna prava nije opšta obaveza svakog korisnika svakog visokorizičnog sistema, već se sprovodi u slučajevima određenim članom 27. Uredbe. Od nje treba razlikovati procenu uticaja na zaštitu podataka o ličnosti, čija se obaveznost utvrđuje prema propisima o zaštiti podataka. Ove procene mogu se povezati, ali jedna ne zamenjuje automatski drugu.
Posebne obaveze transparentnosti iz člana 50. Uredbe razlikuju se u zavisnosti od toga da li je subjekt pružalac AI sistema ili ga koristi u okviru svoje delatnosti. One obuhvataju, između ostalog, obaveštavanje fizičkih lica da komuniciraju sa AI sistemom, osim kada je to očigledno iz okolnosti, kao i određene obaveze označavanja i otkrivanja veštački generisanog ili izmenjenog sadržaja. Posebna pravila važe i za dozvoljenu upotrebu sistema za prepoznavanje emocija i biometrijsku kategorizaciju. Samo obaveštenje, međutim, ne čini obradu zakonitom: moraju biti ispunjeni i ostali uslovi primene sistema i obrade podataka.
U svakom slučaju, AI Act predstavlja kompleksan regulatorni okvir koji zahteva da se za konkretnu primenu utvrde namena sistema, nivo rizika, uloge uključenih subjekata i obaveze koje iz toga proizlaze. Njegova praktična primena dodatno se razrađuje standardima, smernicama i drugim instrumentima.
Veštačka inteligencija i zaštita podataka o ličnosti
Odnos između veštačke inteligencije i zaštite podataka o ličnosti veoma je važan. Pravila zaštite podataka relevantna su i pri razvoju modela i pri njihovoj upotrebi, kada te aktivnosti uključuju obradu podataka o ličnosti. Činjenica da su podaci javno dostupni ne znači sama po sebi da se mogu neograničeno koristiti za treniranje AI modela. O pojedinim pitanjima obrade podataka u ovom kontekstu izjasnio se i Evropski odbor za zaštitu podataka u Mišljenju 28/2024.
Bezbednost i privatnost:
Za treniranje AI modela često se koriste velike količine podataka, koje mogu obuhvatati i podatke o ličnosti, uključujući posebne vrste podataka. Rizici postoje i kada korisnici unose podatke u AI servis. Zaštita podataka zato podrazumeva ograničavanje obrade na ono što je potrebno, kontrolu pristupa i odgovarajuće mere zaštite od neovlašćenog korišćenja i otkrivanja.
Usklađenost sa pozitivnim propisima:
Propisi o zaštiti podataka, kao što su GDPR u Evropskoj uniji i Zakon o zaštiti podataka o ličnosti u Srbiji, postavljaju obavezujuća pravila za obradu podataka o ličnosti. Primena AI sistema zahteva utvrđivanje pravnog osnova i svrhe obrade, poštovanje načela obrade, informisanje lica i omogućavanje ostvarivanja njihovih prava. U zavisnosti od obrade, potrebno je razmotriti i procenu uticaja, prenos podataka u druge države i pravila o automatizovanom donošenju odluka. Usklađenost sa AI Act-om sama po sebi ne zamenjuje ispunjavanje ovih obaveza.
Sticanje i zadržavanje poverenja korisnika:
Kada korisnici imaju poverenje da se njihovi podaci obrađuju zakonito, transparentno i uz odgovarajući nivo bezbednosti, to doprinosi pozitivnom odnosu prema AI tehnologijama. Nepoštovanje privatnosti može rezultirati gubitkom poverenja korisnika i negativnom percepcijom pojedinačnih AI sistema, ali i veštačke inteligencije generalno.
Etički aspekt:
Razvoj i primena AI često postavljaju etičke izazove u vezi sa korišćenjem podataka. Zbog toga je važno uspostaviti etičke smernice i primeniti ih u razvoju i upotrebi AI sistema. One doprinose odgovornom postupanju, ali ne zamenjuju zakonske obaveze.
Prevencija diskriminacije:
AI sistemi mogu proizvesti nove ili pojačati postojeće društvene nejednakosti ako se zasnivaju na pristrasnim ili nereprezentativnim podacima, ako su neodgovarajuće projektovani ili se koriste na neprimeren način. Pažljivo upravljanje podacima, provera rezultata i odgovarajući ljudski nadzor doprinose smanjenju rizika od diskriminacije.
Odgovarajući odnos između veštačke inteligencije i zaštite podataka doprinosi zaštiti prava ljudi, bezbednosti podataka i odgovornom korišćenju ove tehnologije.
EDUKACIJA O VEŠTAČKOJ INTELIGENCIJI
U cilju boljeg razumevanja pravnog pristupa AI tehnologiji, advokati iz naše kancelarije kreirali su i seminar sa tom tematikom, najpre kao jednodnevni događaj, koji je zbog velikog interesovanja prerastao u dvodnevni seminar Pravni aspekti veštačke inteligencije.
Ovaj edukativni program namenjen je prvenstveno pravnicima, ali i zainteresovanima iz drugih profesija.