EU AI Act is ingegaan... wat betekent dit voor uw bedrijf?

Met de introductie van de EU AI Act zet de Europese Unie een belangrijke stap in het beschermen van burgers, door ervoor te zorgen dat de ontwikkeling en inzet van AI-systemen in lijn zijn met de fundamentele rechten die in de EU; gelijkheid, non-discriminatie, inclusie, menselijke waardigheid, vrijheid en democratie. Deze regelgeving creëert een kader waarin veiligheid, transparantie en ethische verantwoordelijkheid centraal staan, zodat zowel burgers als bedrijven kunnen profiteren van de voordelen van AI op een manier die hun rechten en vrijheden respecteert. Klinkt mooi, maar wat houdt dit dan in?

In deze blog verkennen we een aantal aspecten binnen de EU AI Act en welke gevolgen deze wetgeving potentieel heeft voor bedrijven.

De brede definitie van een AI systeem

De definitie van een AI systeem is als volgt gedefinieerd:

"Machine-based system that is designed to operate with varying levels of

autonomy and that may exhibit adaptiveness after deployment, and that,

for explicit or implicit objectives, infers, from the input it receives, how

to generate outputs such as predictions, content, recommendations, or

decisions that can influence physical or virtual environments."

Wat opvalt aan deze definitie is dat hij buitengewoon breed is geformuleerd. Voor de wetgeving maakt het namelijk niet uit hoe ingewikkeld of uitgebreid een algoritme is. Het draait er niet om of het systeem gebruikmaakt van complexe wiskundige modellen of geavanceerde technieken, maar om het effect dat het systeem kan hebben op de samenleving.

Hierdoor vallen zelfs relatief eenvoudige systemen onder de regelgeving als zij een (significante) impact kunnen uitoefenen op de fysieke of virtuele omgeving. Dit benadrukt het doel van de wet: bescherming van individuen en het waarborgen van hun fundamentele rechten.

Bedrijven - en vergeet de overheden niet - dienen zich er dus van bewust te zijn dat het niet louter gaat om de technische innovatie, maar om de bredere maatschappelijke en ethische implicaties van hun AI-toepassingen.

Belangrijke aspecten van de wetgeving

Rollen

In de EU AI Act worden verschillende rollen en verantwoordelijkheden gedefinieerd zoals provider, user, importer en distributor. De verantwoordelijkheden en daarmee de bijbehorende activiteiten verschillen afhankelijk van de classificatie van de toepassing. Als een toepassing bijvoorbeeld als High risk wordt aangemerkt, dan zal de provider o.a. een risicobeheer systeem/proces moeten hebben, technische documentatie, kwaliteitscriteria voor data en databeheer etc.

Risico classificatie - risk based approach

Een kernonderdeel van de EU AI Act is de classificatie van AI-systemen op basis van hun potentieel risico. Niet te verwarren met General Purpose AI models, die we hier buiten beschouwing houden. Hieronder hebben we inzichtelijk gemaakt welke classificaties gehanteerd worden.

• Unacceptable risk: duidelijke bedreiging voor de veiligheid en ethische aspecten en zijn daarmee verboden. Acht gebieden/activiteiten worden benoemd, namelijk:

  • AI gebaseerde manipulatie en misleiding

  • AI gebaseerde exploitatie van kwetsbaarheden

  • Social scoring; personen krijgen bepaalde scores op basis van hun gedrag

  • Risicobeoordeling of voorspelling van individuele strafbare feiten

  • Het ongericht schrapen van internet of CCTV-materiaal om databases voor gezichtsherkenning te creëren

  • Emotieherkenning op werkplekken en onderwijsinstellingen

  • Biometrische categorisering om bepaalde beschermde kenmerken af ​​te leiden

  • Realtime biometrische identificatie op afstand voor wetshandhavingsdoeleinden in publiek toegankelijke ruimtes

• High risk: toepassingen die ernstige risico's voor de gezondheid, veiligheid of fundamentele rechten kunnen leiden, worden als hoog risico geclassificeerd. Deze hoog-risico toepassingen omvatten bijvoorbeeld:

  • Kritieke infrastructuren (bijv. transport), waarvan het falen het leven en de gezondheid van burgers in gevaar kan brengen

  • Gebruik in onderwijsinstellingen en die invloed kunnen hebben op de toegang tot onderwijs het verloop van iemands professionele leven (bijv. beoordeling van examens)

  • Veiligheidscomponenten van producten (bijv. AI toepassingen bij robot geassisteerde chirurgie)

  • Werkgelegenheid, personeelswerving (bijv. CV-sorteringssoftware)

  • In bepaalde gevallen; toegang verschaffing tot essentiële privé- en openbare diensten (bijv. AI kredietbeoordeling die burgers de mogelijkheid ontzegt een lening te verkrijgen)

  • Toepassingen die worden ingezet voor biometrische identificatie, emotie herkenning en biometrische categorisering (bijv. om winkeldief achteraf te identificeren)

  • Toepassingen in de rechtshandhaving (bijv. evaluatie van betrouwbaarheid van bewijs)

  • Toepassingen op het gebied van migratie, asiel (bijv. beoordeling van visumaanvragen)

  • Toepassingen die gebruikt worden in de rechtsspraak (bijv. voorbereiding van gerechtelijke uitspraken.

Indien een applicatie als high risk aangemerkt wordt, dan zal deze aan bepaalde voorwaarde moeten voldoen alvorens deze naar de markt mag.

En dan hebben we nog limited risk en minimal risk. Hiervoor stelt de wet dat transparantie naar de gebruikers toe van belang is. Een chatbot om klantvragen te beantwoorden wordt bijvoorbeeld gezien als limited risk. Over het algemeen het gebruik van zogenoemde RAG systemen vallen hier ook onder. Een aantal voorwaarden wordt meegegeven zoals dat je altijd moet aangeven aan de gebruiker dat de antwoorden door een AI gegeneerd is. Wat blijft er dan nog over als minimal risk?... een spamfilter bijvoorbeeld.

Transparantie en verantwoording

Bedrijven die AI-systemen ontwikkelen of implementeren, zullen transparant moeten zijn over hoe deze systemen werken. Dit geldt uiteraard ook voor de Large Language Model aanbieders - in de wet ook wel general-purpose AI models genoemd. Dit houdt in dat zij gebruikers duidelijk moeten informeren over de inzet van AI, trainingsdata en de werking ervan, zeker wanneer het gaat om besluitvormingsprocessen die grote impact kunnen hebben. Verantwoording nemen voor de uitkomsten en de werking van de AI-systemen staat centraal.

Compliance en toezicht

Om de naleving van de wet te waarborgen, zullen er strikte compliance-regels en toezichtmechanismen worden geïntroduceerd. Dit kan betekenen dat bedrijven moeten investeren in interne audits, risicobeoordelingen en mogelijk nieuwe rollen moeten creëren, zoals een compliance officer specifiek voor AI-toepassingen.

Hoe kunnen bedrijven zich voorbereiden?

De implementatie van de wet zal nog jaren duren. Echter zijn er al een aantal deadlines te benoemen die mogelijkerwijs ook voor u van belang zijn. Hieronder een schets van de tijdslijn voor dit jaar.

1. Vroegtijdige evaluatie: Begin met een interne audit van alle AI-toepassingen en -processen om vast te stellen welke systemen als hoog-risico worden aangemerkt.

2. Investeren in expertise: Overweeg het inhuren van juridische en technische experts op het gebied van AI-regelgeving om ervoor te zorgen dat je bedrijf voldoet aan de nieuwe eisen.

3. Transparantie en documentatie: Zorg voor gedetailleerde documentatie van AI-systemen, inclusief hun werking, gebruikte data en besluitvormingsprocessen.

4. Continue monitoring: Implementeer systemen voor continue evaluatie en monitoring, zodat je snel kunt inspelen op eventuele wijzigingen in de regelgeving of in de werking van je AI-toepassingen.

En wellicht het meest belangrijk; train uw werknemers zodat ze begrijpen wat AI (AI literacy) inhoudt en hoe AI te gebruiken binnen uw bedrijf.

Neem contact op met ons voor meer informatie. Arabird Technologies biedt naast AI software ontwikkeling ook trainingen aan op het gebied van AI en de bijbehorende regelgevingen. We helpen u graag verder.