Umjetna inteligencija u javnoj raspravi čas obećava riješiti najveće probleme čovječanstva, čas prijeti njegovim uništenjem. U međuvremenu vodeće AI kompanije pozivaju na oprez, no i dalje ne miču nogu s gasa, pa svjedočimo sve većem broju incidenata u kojima AI modeli samostalno hakiraju tvrtke. Sustavi su sve sposobniji, sigurnosni incidenti sve ozbiljniji, a pravila njihova razvoja i nadzora još pokušavaju uhvatiti korak s tehnologijom.

Rapidan razvoj umjetne inteligencije i sve veća autonomija AI agenata pokrenuli su rasprave i pitanja na koja klasično zakonodavstvo nema jednostavne odgovore. Iako Europska unija ističe svoj AI Act kao pionirski regulatorni poduhvat na globalnoj razini, praksa donosi niz nedoumica – od toga tko je zapravo kriv ako algoritam samostalno izvede štetnu radnju do pitanja jesmo li predvidjeli mehanizme za situacije koje nitko nije mogao prognozirati.

Hrvatska se sprema u Kazneni zakon uvesti novo kazneno djelo – dovođenje u opasnost života i imovine sustavom umjetne inteligencije, poput automatiziranih vozila (robotaksija) i drugih sustava koji mogu ugroziti ljude i imovinu.

O tome koliko su postojeći europski i hrvatski pravni okviri spremni za ove izazove razgovarali smo s odvjetnicom i suizvršnom (co-managing) partnericom u odvjetničkom društvu DTB, Emom Menđušić Škugor.

Rascjepkana pravila i povučena direktiva

Prvi i najvažniji korak u razumijevanju ove teme jest razlikovanje prevencije od stvarne naknade štete. Kada AI sustav zakaže, pitanje krivca i dalje visi u zraku.

'Postojeća pravila načelno su dovoljno široka da se formalno utvrdi odgovornost za štetu koju prouzroči AI, ali su rascjepkana u više propisa i velikim dijelom ovise o nacionalnom pravu pojedine države', objašnjava Menđušić Škugor. Situacija je zakomplicirana nedavnim zakonodavnim potezima Europske unije.

'EU je 2022. godine predložio posebnu direktivu o odgovornosti za štetu prouzročenu djelovanjem AI-a, koja je trebala olakšati dokazivanje u takvim sporovima, no Komisija ju je prošle godine povukla zbog nedostatka političkog konsenzusa. Donesena su nova europska pravila o odgovornosti za neispravne proizvode te ona od prosinca ove godine u pogledu novosagrađenih proizvoda obuhvaćaju i softver, pa tako i AI, ali pravo na naknadu daju samo fizičkim osobama, a kompanije su izostavljene', naglašava odvjetnica.

A kada se dogodi konkretan incident, lanac odgovornosti može uključivati više karika u njemu.

'Tko će odgovarati, ovisi o slučaju: dobavljač koji je na tržište stavio nesiguran sustav, tvrtka koja ga je uvela bez odgovarajućih mjera, zlonamjerni korisnik ili više njih zajedno – ovisno o tome tko je povrijedio obveze pri razvoju, odnosno korištenju modela', objašnjava.

Može li AI Act obuhvatiti nepredvidive AI agente?

Izazov predstavljaju napredni AI mehanizmi koji samostalno izvršavaju zadatke i pristupaju vanjskim sustavima. AI Act se u svojoj osnovi oslanja na kategorizaciju rizika prema namjeni, no ključan je problem u tome što je fokusiran na ono predvidljivo.

'AI Akt obuhvaća i agente, ali rizike razvrstava prema namjeni. Za sustave visokog rizika postoji obveza uvođenja i provedbe sustava upravljanja rizicima, a on bi se trebao kontinuirano preispitivati i ažurirati da se predvide rizici od uporabe i predvidljive zlouporabe. Dobavljači velikih modela (tzv. modela opće namjene sa sistemskim rizikom) također imaju obvezu procjenjivati i pratiti rizike koji bi mogli proizaći iz razvoja ili korištenja modela. Dakle pravila postoje, ali su fokusirana na predviđanje i prevenciju. Stoga je upitno hoće li u scenariju koji se nije mogao predvidjeti u praksi moći ponuditi onu razinu zaštite i sigurnosti oko koje se trenutno raspravlja', upozorava Menđušić Škugor.

Unatoč manjkavostima, europski zakonodavni okvir i dalje je prijeko potreban temelj, no na pravu ocjenu njegove učinkovitosti još ćemo pričekati.

'Ipak, bez Akta ne bismo imali nikakva pravila o sigurnosti AI sustava. Je li učinkovit, zasad nitko ne može pošteno reći: provedba tek počinje, a pravila za visokorizične sustave odgođena su do prosinca 2027., odnosno kolovoza 2028. godine', kaže naša sugovornica, osvrćući se i na globalni kontekst i stalne debate na relaciji Bruxelles – Washington – Peking.

'Što se tiče globalne regulative, kad se AI Act pripremao i donosio, naširoko se raspravljalo o tome je li riječ o pretjerano tvrdoj regulativi koja će osujetiti razvoj tehnologije, a EU-u se spočitavalo da regulira nešto što ne razumije. Danas, dvije godine nakon stupanja Akta na snagu (i vrlo brzo nakon što je dio njegovih pravila odgođen omnibus uredbom), ta je tehnologija strahovito napredovala pa razgovaramo o tome je li Akt dovoljan ili je potrebna još stroža ili drukčija regulativa. To dovoljno govori o tome koliko smo daleko po pitanju konsenzusa oko AI regulative, pogotovo na globalnoj razini', ističe.

Model stavljanja lijekova na tržište – privlačna, ali neizvediva ideja

U javnosti se često povlači paralela između najnaprednijih AI modela i farmaceutske industrije, uz prijedloge da bi svaki algoritam prije puštanja na tržište morao proći rigorozna neovisna testiranja i dobiti regulatorno odobrenje. Menđušić Škugor objašnjava zašto je ta usporedba neodrživa u praksi.

'Trenutna pravila AI Akta predviđaju obvezu ocjene sukladnosti i prateću provjeru prije izlaska na tržište, ali samo za visokorizične sustave – one koji su takvima klasificirani po namijenjenoj uporabi ili slučaju korištenja. No čak je i za te sustave većinom dovoljna samoprocjena sukladnosti te se ne traži provjera neovisnog tijela. Za velike modele (one sa sistemskim rizikom) postoji obveza evaluacije i testiranja modela, ali ne navodi se izričito da to treba provesti neovisno tijelo i ne kao preduvjet izlasku na tržište', kaže odvjetnica.

Problem leži u same prirodi tehnologije koja se neprekidno mijenja i raste.

'Primijeniti sustav kakav imamo za lijekove na AI bilo bi problematično radi drukčije prirode rizika koju ova tehnologija sa sobom nosi – za razliku od fizičkih proizvoda, AI nema jednoobraznu i relativno fiksnu, unaprijed poznatu vrstu rizika u trenutku izlaska na tržište i nakon toga. Sustav obveznog odobrenja zvuči privlačno kao ideja jer držimo da bi nam donio svojevrsnu potvrdu toga da je proizvod siguran.

No postavlja se pitanje praktične provedivosti – koje bismo informacije i dokumentaciju tražili na uvid u takvom postupku i tko bi ih procjenjivao? Koja bi znanja regulator što daje odobrenje trebao imati? To su praktična pitanja koja se već sad postavljaju u kontekstu provedbe Akta. S obzirom na to, mislim da bi bilo realnije jačati obveze testiranja i odgovornost za štetu', smatra Menđušić Škugor.

Tko drži 'crveni gumb' i ima pravo ugasiti opasan model?

Kada govorimo o sigurnosnim prekidačima i gašenju opasnih sustava, europski propisi nude određene mehanizme, ali ponovno diferencirane po vrstama AI-a.

'Akt već sadrži odredbu o sigurnosnom prekidaču, ali samo za visokorizične sustave. Takvi sustavi moraju biti dizajnirani i uvode se na način da je omogućena direktna ljudska intervencija za prekid, odnosno njihovo sigurno zaustavljanje. Za velike modele, one koji po Aktu mogu predstavljati sistemski rizik, takva obveza izrijekom ne postoji, ali bi mogla faktički proizlaziti iz dobavljačeve procjene rizičnosti modela. Dakle EU drži da bi to trebalo biti moguće provesti', navodi naša sugovornica.

Ruku pod ruku s time idu i sigurnosni protokoli u slučaju incidenata.

'Za te su sustave propisane su i obveze prijavljivanja ozbiljnih incidenata, a one na široj razini postoje i prema europskom zakonodavstvu iz područja kibernetičke sigurnosti. Te se obveze odnose na osobe u lancu vrijednosti AI-a, poglavito dobavljače', kaže odvjetnica.

A kakva je u svemu tome uloga države i koje tijelo donosi konačnu odluku o povlačenju modela s tržišta?

'Država intervenira na drukčiji način – provedbom naknadne kontrole tržišta kroz nadležna tijela za provedbu Akta (kod nas takvo tijelo još uvijek nije definirano). Ako AI sustav predstavlja rizik i nije u skladu s Aktom, to tijelo ima ovlasti naložiti relevantnom AI operatoru da poduzme korektivne mjere, a u suprotnom može poduzeti mjere da se sustav zabrani, ograniči njegova uporaba, odnosno da ga se povuče ili opozove s tržišta. Protiv takvih odluka postoji pravo na sudsku zaštitu. Inače, po Aktu, svaka osoba koja smatra da je došlo do povreda odredbi Akta može podnijeti pritužbu relevantnom tijelu za nadzor tržišta', objašnjava.

Lobiranje, udar na manje tvrtke i ključna uloga vještaka

Zbog poziva velikih tehnoloških igrača na bolju regulaciju sumnja se na tzv. regulatory capture, scenarij u kojem vodeće tvrtke traže regulaciju primarno da bi stvorile previsoke financijske i birokratske barijere za one manje konkurentne.

'Postoje podaci o tome da digitalna industrija na lobiranje u EU-u troši više od bilo kojeg drugog sektora, ali snažnija regulativa malo kome odgovara. To je dijelom i razlog za donošenje omnibus uredbe i pojednostavljena dijela pravila digitalnog zakonodavstva na razini EU-a', pojašnjava Menđušić Škugor.

Regulatorni teret se, međutim, ne odražava jednako na sve sudionike na tržištu.

'Trenutna pravila prepoznaju razlike u tržišnoj poziciji igrača na način da 'velikima' nameću brojnije obveze, ali većina vodećih, jednako kao i malih kompanija, složna je u ocjeni da im je postojeći regulatorni teret prevelik. 'Veliki' se s time lakše nose jer imaju resursa, tako da za SME-ove (mala i srednja poduzeća, op.a.) postoji rizik ne samo otežanog ulaska, već i preživljavanja na tržištu', upozorava.

Odvjetnica ukazuje i na trend koji bi mogao redefinirati načine na koje donosimo pravdu u sudnicama kada stvari krenu po zlu.

'Što se tiče dokazivanja, općenito postoji bojazan da će, uslijed tehničke složenosti dokazivanja ključnih okolnosti u sporovima oko odgovornosti za štetu nastalu djelovanjem AI-a, odlučivanje efektivno biti prebačeno na vještake te da će oni u takvim postupcima igrati središnju ulogu', zaključuje Menđušić Škugor.