A Primer on the EU AI Act

Uppfærsla frá 11. júlí 2025: Í kjölfar birtingar endanlegs texta starfsreglna um gervigreind til almennra nota birtum við yfirlit yfir undirbúning okkar fyrir gildistöku ákvæða um líkön til almennra nota 2. ágúst 2025. 

Í fyrra birtum við þessa kynningu á gervigreindarlögum ESB til að veita fyrstu innsýn í undirbúning okkar fyrir innleiðingu þessara nýju lagakrafna. 

Síðan þá höfum við tekið virkan þátt í innleiðingu laganna með aðkomu að mótun starfsreglna um gervigreind til almennra nota, ramma sem auðveldar veitendum gervigreindar að uppfylla gervigreindarlög ESB. Eftir margra mánaða samstarf við sérfræðinga, borgaralegt samfélag og atvinnulífið hafa endanlegar starfsreglur verið birtar. Í dag tilkynnum við að við ætlum að undirrita starfsreglurnar og nota þær til að sýna fram á að við uppfyllum viðeigandi skyldur samkvæmt gervigreindarlögum ESB.  

Með undirritun starfsreglnanna tökum við áþreifanlegt skref í víðtækari áætlun okkar um að uppfylla gervigreindarlög ESB. Það endurspeglar skuldbindingu okkar um samfellu, áreiðanleika og traust þegar reglurnar taka gildi, jafnframt því sem við höldum áfram samstarfi við evrópsk fyrirtæki og almenning og færum þeim sífellt öflugri, öruggari og traustari gervigreindarlíkön svo þau geti notið ávinnings gervigreindarbyltingarinnar.

Undirritun starfsreglnanna styrkir margar af þeim leiðandi öryggis- og gagnsæisráðstöfunum sem við höfum rutt brautina fyrir undanfarin ár. Við vorum eitt fyrstu fyrirtækjanna til að birta heildstæða öryggisverklýsingu, Undirbúningsramma okkar (2023), þar sem lýst er hvernig við innleiðum háþróuð gervigreindarlíkön á öruggan hátt. 

Í samræmi við skuldbindingu okkar um stöðuga endurskoðun og umbætur á innri ábyrgð og stjórnarháttum birtum við⁠ uppfærðan Undirbúningsramma í apríl 2025. 

Um leið og við höldum áfram að þróa og innleiða sífellt öflugri tækni fylgjumst við virkri með og drögum úr fjölbreyttri nýrri áhættu og raunverulegum öryggisógnum til að tryggja að líkön okkar séu áreiðanleg og örugg. Við fínstillum og bætum þessi ferli stöðugt. 

• Við höfum lengi birt ítarleg kerfiskort og tæknigögn með helstu útgáfum okkar þar sem fram kemur hvað líkön okkar geta og geta ekki gert, hvaða áhættu við höfum prófað og á hvaða sviðum við erum enn að afla þekkingar. 
• Öryggismiðstöðin veitir almenningi aðgang að niðurstöðum öryggismats á líkönum okkar.
• Rauðteymisnet okkar fær utanaðkomandi sérfræðinga til að álagsprófa líkönin okkar
• Líkanslýsingin veitir innsýn í hvernig við mótum hegðun líkana svo hún endurspegli mannleg gildi og lýðræðisleg viðmið.

Saman hefur þessi vinna átt stóran þátt í að móta öryggisstaðla í greininni og stuðla að þróun raunhæfra starfsreglna sem byggjast á bestu starfsvenjum hennar. Þróun öruggrar og ábyrgrar gervigreindar lýkur aldrei. Við munum áfram bæta öryggisnálgun okkar í áföngum til að tryggja eftir föngum að tæknin nýtist öllum á ábyrgan hátt, hvar sem þeir eru í heiminum.

Við munum vinna náið með gervigreindarskrifstofu ESB, viðeigandi stjórnvöldum og viðskiptavinum okkar þegar gervigreindarlögin verða innleidd á komandi mánuðum og árum, svo við getum í sameiningu tryggt samfélagi og efnahag Evrópu ávinning gervigreindar. 

Uppfærsla: Hinn 25. september 2024 undirrituðum við þrjár meginskuldbindingar gervigreindarsáttmála ESB.

1. Innleiða stefnu um stjórnun gervigreindar til að efla notkun hennar innan stofnunarinnar og vinna að því að uppfylla gervigreindarlögin síðar;
2. kortleggja, að því marki sem unnt er, gervigreindarkerfi sem eru veitt eða innleidd á sviðum sem teljast áhættumikil samkvæmt gervigreindarlögunum;
3. efla vitund og gervigreindarlæsi starfsfólks og annarra sem vinna fyrir þeirra hönd með gervigreindarkerfi, að teknu tilliti til tækniþekkingar, reynslu, menntunar og þjálfunar þeirra, þess samhengis sem kerfin verða notuð í og þeirra einstaklinga eða hópa sem notkun kerfanna hefur áhrif á.

Við teljum að megináhersla gervigreindarsáttmálans á gervigreindarlæsi, innleiðingu og stjórnun beinist að réttum forgangsmálum til að tryggja víðtæka dreifingu ávinnings gervigreindar. Hún samræmist jafnframt markmiði okkar um að bjóða örugga og háþróaða tækni sem gagnast öllum.

Gervigreindarlög ESB⁠(opnast í nýjum glugga) eru umfangsmikill regluverksrammi sem ætlað er að stýra þróun, innleiðingu og notkun gervigreindar í Evrópu. Í lögunum er rík áhersla lögð á öryggi til að stuðla að traustverðri innleiðingu gervigreindar í Evrópu og vernda um leið heilsu, öryggi og grundvallarréttindi. Lögin innleiða nýjar kröfur sem byggjast á áhættu gervigreindarkerfa, með sérstakri áherslu á áhættumikla og óheimila notkun, auk sérstakra skyldna fyrir líkön og kerfi gervigreindar til almennra nota (GPAI). 

Þótt löggjafarferlinu sé lokið og lögin taki gildi í ágúst 2024 þarf frekari leiðbeiningar og framkvæmdarlöggjöf til að afmarka gildissvið þeirra, einkum gagnvart GPAI-líkönum á borð við líkön OpenAI. 

OpenAI hefur einsett sér að uppfylla lögin, ekki aðeins vegna þess að það er lagaleg skylda heldur einnig vegna þess að markmið þeirra samræmist því hlutverki okkar að þróa og innleiða örugga gervigreind í þágu alls mannkyns. Við erum stolt af því að gefa út líkön sem eru leiðandi í greininni bæði hvað getu og öryggi varðar. Við trúum á yfirvegaða, vísindalega nálgun þar sem öryggisráðstafanir⁠ eru samþættar þróunarferlinu frá upphafi. Teymi okkar vinna að fjölbreyttum tæknilegum verkefnum sem takast á við öryggisáskoranir gervigreindar, meðal annars mat á líkönum samkvæmt Undirbúningsramma⁠ okkar áður en þau eru innleidd, innri og ytri rauðteymi⁠, vöktun⁠ misnotkunar eftir innleiðingu, Bug Bounty⁠- og Cybersecurity Grant⁠-áætlanirnar og framlag til staðla um upprunaleika⁠, svo fátt eitt sé nefnt. 

Við munum vinna náið með gervigreindarskrifstofu ESB og öðrum viðeigandi stjórnvöldum þegar nýju lögin verða innleidd á komandi mánuðum og vonum að sérþekking okkar stuðli að markmiðum laganna um innleiðingu öruggrar og gagnlegrar gervigreindar.  

Í þessari færslu veitum við yfirlit yfir nokkur lykilatriði gervigreindarlaganna, með sérstakri áherslu á óheimila og áhættumikla notkun.

Gervigreindarlögin taka gildi 1. ágúst 2024, 20 dögum eftir birtingu í Stjórnartíðindum ESB. Þótt flest ákvæði laganna öðlist ekki gildi fyrr en 24 mánuðum eftir gildistöku þarf að hafa nokkra mikilvæga fresti í huga: 

• Bann við óheimilum starfsháttum tekur gildi 6 mánuðum eftir gildistöku (febrúar 2025) 
• Starfsreglur, sem taka munu til margra þeirra framkvæmdaratriða sem þarf til að uppfylla lögin, verða að liggja endanlega fyrir innan 9 mánaða frá gildistöku (maí 2025) 
• Flestar skyldur vegna gervigreindar til almennra nota taka gildi 12 mánuðum eftir gildistöku (ágúst 2025). 
• Skyldur vegna flestra áhættumikilla gervigreindarkerfa taka gildi 24 mánuðum eftir gildistöku (ágúst 2026). 

GPAI-kerfi sem þegar eru til og hafa ekki tekið verulegum breytingum, ásamt tilteknum gervigreindarkerfum sem eru hlutar stórra upplýsingatæknikerfa sem tilgreind eru í X. viðauka gervigreindarlaganna, fá lengri innleiðingarfrest, eða 36 mánuði (ágúst 2027).

Gervigreindarlögin gilda fyrst og fremst um „gervigreindarkerfi“, sem lögin skilgreina sem „vélrænt kerfi sem er hannað til að starfa með mismiklu sjálfstæði, getur sýnt aðlögunarhæfni eftir innleiðingu og dregur, í þágu skýrra eða óbeinna markmiða, ályktanir af inntaki sínu um hvernig það skuli búa til úttak, svo sem spár, efni, ráðleggingar eða ákvarðanir, sem getur haft áhrif á efnislegt eða sýndarlegt umhverfi.“  Þessi skilgreining samræmist í meginatriðum skilgreiningu OECD á „gervigreindarkerfum“ frá 2023 og skilgreiningunni í forsetatilskipun 14110 frá ríkisstjórn Bidens um örugga og traustverða þróun og notkun gervigreindar.  

Mikilvægt er að gervigreindarlögin gera greinarmun á veitendum og innleiðendum gervigreindarkerfa. Veitendur eru aðilar á borð við OpenAI sem þróa gervigreindarkerfi eða gervigreindarlíkan til almennra nota. Hugtakið nær einnig til aðila sem láta þróa gervigreindarkerfi eða líkan til almennra nota og setja það á markað eða taka kerfið í notkun undir eigin nafni eða vörumerki, hvort sem er gegn greiðslu eða án endurgjalds. 

Innleiðendur eru viðskiptavinir eða samstarfsaðilar sem nota þessi kerfi eða líkön í eigin forritum, til dæmis með því að samþætta GPT‑4o í tiltekið notkunartilvik. Þótt flestar skyldur samkvæmt gervigreindarlögunum hvíli á veitendum fremur en innleiðendum er mikilvægt að hafa í huga að innleiðandi sem samþættir gervigreindarlíkan í eigið gervigreindarkerfi getur orðið veitandi samkvæmt lögunum, til dæmis með því að nota eigið vörumerki á kerfið eða breyta því á hátt sem veitandinn ætlaðist ekki til.

Stofnanir utan ESB þurfa einnig að uppfylla gervigreindarlögin við ýmsar aðstæður sem geta haft mjög víðtækt gildissvið.  Lögin gilda til dæmis ef: 

• Veitandi setur gervigreindarkerfi eða GPAI-líkan á markað í ESB, óháð því hvort fyrirtækið er stofnsett innan ESB eða í öðru landi; 
• Innleiðendur gervigreindarkerfis eru með starfsstöð eða staðsettir innan ESB; 
• Veitendur og innleiðendur gervigreindarkerfa eru stofnsettir eða staðsettir í þriðja landi en úttak kerfisins er notað innan ESB.

Víðtækt gildissvið gervigreindarlaganna utan ESB þýðir að fyrirtæki utan Evrópu þurfa að uppfylla lögin til að þjónusta viðskiptavini í ESB, óháð því hvort þau hafa aðsetur innan sambandsins.

Gervigreindarlögin byggjast á áhættumiðuðum ramma með sérstökum kröfum til gervigreindarkerfa sem fela í sér mikla eða óásættanlega áhættu. Lögin krefjast þess að fyrirtæki flokki áhættustig gervigreindarkerfa sinna til að ákvarða viðeigandi lagaskyldur og skilgreina ýmsa flokka eða áhættuþrep kerfa sem hvert um sig ber mismunandi skyldur.

Tilteknir starfshættir við gervigreind sem taldir eru fela í sér óásættanlega áhættu fyrir réttindi einstaklinga eru alfarið bannaðir. Þar á meðal eru:   

• Notkun dulrænna, stýrandi eða villandi aðferða til að hafa áhrif á hegðun og skerða upplýsta ákvarðanatöku með verulegu tjóni. 
• Misnotkun veikleika sem tengjast aldri, fötlun eða félags- og efnahagslegum aðstæðum til að hafa áhrif á hegðun og valda verulegu tjóni. 
• Líffræðileg flokkunarkerfi sem álykta um viðkvæma eiginleika á borð við kynþátt, stjórnmálaskoðanir, aðild að stéttarfélagi, trúar- eða lífsskoðanir, kynlíf eða kynhneigð (með takmörkuðum undantekningum vegna merkingar eða síunar gagnasafna sem aflað var með lögmætum hætti og vegna notkunar löggæslu) 
• Félagsleg stigagjöf, svo sem kerfi sem meta eða flokka einstaklinga eða hópa eftir félagslegri hegðun eða persónueinkennum og valda þeim tjóni. 
• Mat á hættu á að einstaklingur fremji afbrot sem byggist eingöngu á persónusniðsgreiningu eða persónueinkennum (með takmörkuðum undantekningum) 
• Gerð gagnagrunna fyrir andlitsgreiningu með ómarkvissri söfnun andlitsmynda af netinu eða úr myndefni eftirlitsmyndavéla
• Ályktanir um tilfinningar á vinnustöðum eða í menntastofnunum 
• Fjarlæg líffræðileg auðkenning í rauntíma á almannafæri vegna löggæslu (með tilteknum undantekningum).

Lögin leggja strangar skyldur á kerfi sem talin eru fela í sér verulega ógn við heilsu, öryggi eða grundvallarréttindi einstaklinga og eru flokkuð sem áhættumikil gervigreind (HRAI). Þar á meðal eru: a) kerfi sem eru öryggisíhlutir vara sem falla undir önnur lög ESB og b) tiltekin notkun, svo sem kerfi sem ætlað er að ákvarða aðgang eða inngöngu í menntastofnanir, ráða eða velja starfsfólk eða fylgjast með frammistöðu þess, ákvarða rétt til opinberrar aðstoðar eða lánshæfi og meta rétt til sjúkratrygginga og verðlagningu þeirra, svo fátt eitt sé nefnt.  

HRAI-kerfi verða að uppfylla strangar lagaskyldur, svo sem að koma á áhættustjórnunarkerfi til að meta stöðugt áhættu og mótvægisaðgerðir allan líftíma kerfisins, viðhafa heildstæðar ráðstafanir um gagnastjórnun til að prófa og meta hættu á hlutdrægni, útbúa ítarleg tæknigögn áður en kerfið er sett á markað og sinna stöðugri vöktun. 

Önnur gervigreindarkerfi sem fela hvorki í sér óásættanlega né mikla áhættu þurfa aðeins að uppfylla takmarkaðar kröfur, svo sem gagnsæisskyldur. Í lögunum kemur til dæmis fram að upplýsa skuli einstaklinga þegar þeir eiga samskipti við gervigreindarkerfi, svo sem spjallmenni, og að skýrt þurfi að merkja myndir, hljóð eða myndskeið sem hefur verið breytt með gervigreind. Flest gervigreindarkerfi á markaðnum munu líklega falla í þennan flokk.

Sérstakar kröfur gilda um veitendur gervigreindarlíkana og -kerfa til almennra nota, svo sem OpenAI, sem þurfa að: 

• Útbúa ítarleg tæknigögn um líkanið og afhenda gervigreindarskrifstofunni þau sé þess óskað
• Útbúa gögn fyrir innleiðendur sem nota GPAI-líkanið til að þróa eigin gervigreindarkerfi
• Innleiða reglur sem miða að því að virða höfundarréttarlöggjöf ESB
• Veita samantekt á efninu sem notað var til að þjálfa GPAI-líkanið 

Að auki þurfa veitendur GPAI-líkana með mikla áhrifagetu sem talin eru fela í sér „kerfisáhættu“ (t.d. líkön sem eru þjálfuð með miklu reikniafli, tæknilega skilgreindu sem 10^25 FLOPs) að: 

• Framkvæma mat á líkönum til að greina og draga úr kerfisáhættu og meta og draga stöðugt úr þeirri áhættu sem þau fela í sér
• Tilkynna framkvæmdastjórn ESB um líkön sem uppfylla skilyrði þessa flokks
• Vakthafa og tilkynna alvarleg atvik 
• Innleiða viðeigandi netöryggisráðstafanir fyrir líkanið og efnislega innviði þess

Veitendur GPAI-líkana geta stuðst við starfsreglur til að sýna fram á að þeir uppfylli kröfur gervigreindarlaganna. Þessar starfsreglur munu líklega leggja grunn að nánari útfærslu þessara skyldna og við hlökkum til að vinna með gervigreindarskrifstofu ESB að mótun þeirra á næstu 9 mánuðum. 

OpenAI hefur einsett sér að uppfylla gervigreindarlög ESB og mun vinna náið með nýrri gervigreindarskrifstofu ESB þegar lögin verða innleidd. Á komandi mánuðum munum við halda áfram að útbúa tæknigögn og aðrar leiðbeiningar fyrir veitendur og innleiðendur síðar í virðiskeðjunni sem nota GPAI-líkön okkar, jafnframt því að auka öryggi líkananna sem við bjóðum á Evrópumarkaði og víðar.   

Ef stofnunin þín er að kanna hvernig hún geti uppfyllt gervigreindarlögin ætti fyrsta skrefið að vera að flokka þau gervigreindarkerfi sem falla undir lögin. Greinið hvaða GPAI-kerfi og önnur gervigreindarkerfi þið notið, ákvarðið flokkun þeirra og metið hvaða skyldur leiða af notkunartilvikunum. Þið ættuð einnig að ákvarða hvort þið teljist veitandi eða innleiðandi gagnvart einhverju þeirra gervigreindarkerfa sem falla undir lögin. Þessi atriði geta verið flókin og því ættuð þið að leita lögfræðiráðgjafar ef spurningar vakna.