Kodex zásad umělé inteligence pro obecné účely: Co je dobré vědět

Kodex zásad umělé inteligence pro obecné účely (GPAI) se stává jedním z klíčových nástrojů v rozvíjejícím se regulačním prostředí EU v oblasti umělé inteligence. Ačkoli je zatím dobrovolný, představuje rámec pro odpovědný vývoj a nasazení obecných modelů AI napříč Unií.

Obecný model AI je definován v čl. 3 bodu 63 nařízení 2024/1689, Aktu o umělé inteligenci jako systém trénovaný na velkých souborech dat. Tyto modely prokazují široké schopnosti – dokáží plnit různé úkoly a běžně slouží jako základ pro populární technologie, jako jsou chatboti, vyhledávače a generátory obrázků. Zatímco právní definice působí technicky, koncept je jednoduchý: tyto modely jsou základem AI nástrojů, které dnes denně používáme.

Odůvodnění kodexu vychází z článku 56 Aktu o umělé inteligenci, který zmocňuje Evropský úřad pro umělou inteligenci k vypracování dobrovolného souboru pravidel, jenž by se řídil tím, jak mohou poskytovatelé modelů generativní AI plnit své zákonné povinnosti – konkrétně ty, které jsou uvedeny v článcích 53 a 55. Zatímco původně bylo zveřejnění kodexu očekáváno do 2. května 2025, tlak na jeho dokončení se zvýšil s blížícím se významným regulačním milníkem – 2. srpnem 2025, kdy vstoupí v platnost nové povinnosti pro poskytovatele GPAI podle kapitoly V Aktu o umělé inteligenci. Třetí návrh kodexu byl zveřejněn v březnu, a přestože se očekává čtvrtá verze, ohledně konečného znění panuje i nadále nejistota kvůli přetrvávajícím neshodám mezi zúčastněnými stranami.

Jaké zásady kodex přináší?

Strukturálně kodex vyžaduje, aby se poskytovatelé, jako je OpenAI, Google nebo Meta, zavázali ke dvěma základním pilířům: transparentnosti a dodržování autorských práv. Transparentnost zahrnuje srozumitelné a úplné zdokumentování schopností modelu, jeho omezení a způsobů interakce s uživateli či jinými systémy. Od poskytovatelů se také očekává, že budou sdílet klíčovou dokumentaci s následnými uživateli. Pokud jde o autorské právo, kodex vyžaduje, aby poskytovatelé dodržovali zásady v souladu s příslušnou právní úpravou autorského práva.

Poskytovatelům nabízejícím modely, u nichž se předpokládá, že představují systémové riziko – ty, které posouvají hranice výpočetního nebo společenského dopadu –, kodex ukládá rozsáhlejší soubor šestnácti závazků. Patří mezi ně požadavky, jako je nezávislé hodnocení rizik, red teaming, cvičení, nezávislé externí hodnocení rizik až po hlášení incidentů a několik dalších bezpečnostních a transparentních opatření. Model GPAI se kvalifikuje jako „systémové riziko“, pokud se jedná o jeden z nejpokročilejších modelů v daném okamžiku nebo pokud má ekvivalentní dopad, zejména pokud prahová hodnota počtu operací s plovoucí desetinnou čárkou použitých pro trénování modelu překročí 10²⁵ FLOPs.

Proces přípravy kodexu je složitý a zahrnuje čtyři tematické pracovní skupiny: Transparentnost a autorské právo, hodnocení rizik, technické zmírňování rizik a zmírňování rizik v oblasti správy. Každou z nich vedou nezávislí odborníci a koordinuje jej Evropský úřad pro umělou inteligenci za přispění téměř 1 000 zúčastněných stran, včetně vývojářů umělé inteligence, akademických pracovníků, organizací občanské společnosti, vnitrostátních orgánů a mezinárodních pozorovatelů.

Proč je to pro vás důležité?

Společnostem, které nasazují systémy umělé inteligence nebo využívají navazující služby, může kodex přinést praktické výhody. Pokud váš dodavatel kodex podepíše, můžete očekávat standardizovanější dokumentaci, rychlejší přístup k aktualizacím a jasně definované bezpečnostní pokyny. I pokud se váš poskytovatel ke kodexu nepřihlásí, zůstávají v platnosti zákonné povinnosti dle článků 53 a 55. V takovém případě bude nezbytné smluvně vyjednat přístup ke srovnatelné dokumentaci a provést důkladnější právní audit.

Soubor nástrojů pro zajištění souladu s předpisy pro týmy odpovědné za nasazení

Podle článku 53 a požadavků na transparentnost uvedených v kodexu mají následní uživatelé nárok na tzv. „navazující balíček“ poskytovatele. Ten zahrnuje vyplněný formulář vzorové dokumentace a klíčová pole z přílohy XII Aktu o umělé inteligenci – zahrnující popis modelu, zamýšlené úkoly, výkon, architekturu, licenční podmínky a specifikace integrace. Nad rámec kodexu musí poskytovatelé také zveřejnit souhrn údajů o školení podle čl. 53 odst. 1 písm. d), což je právně závazná povinnost podle Aktu o umělé inteligenci. I když tato souhrnná šablona nebude součástí samotného kodexu, bude jej doplňovat. Diskuse o její konečné struktuře stále probíhají a dosud nebylo dosaženo konsensu. I po podpisu kodexu si poskytovatelé mohou nadále chránit obchodní tajemství, důvěrné informace a duševní vlastnictví. Nasazovatelé by proto měli mít smluvně jasně stanovené podmínky, které omezují použití doložek o mlčenlivosti při sdílení informací potřebných pro regulatorní účely. Zároveň je důležité, aby vnitřní týmy těmto informacím rozuměly. Nejlepším přístupem je zakotvit tyto požadavky do interních SOP nebo checklistů, aby se předešlo chybám či opomenutím.

Autorská práva zůstávají klíčovým aspektem při nasazování generativních modelů. Nejde pouze o technický akt, dotýká se také právní úpravy autorského práva. Podle čl. 53 odst. 1 písm. c) musí všichni poskytovatelé GPAI respektovat zásady dodržování autorských práv. Třetí návrh kodexu stanoví, co by tato politika měla zahrnovat. Pro následné uživatele to znamená přezkoumat a dodržovat licenční podmínky modelu a ověřit, že školicí a vstupní data nezahrnují obsah od držitelů práv, kteří se rozhodli nevyužívat vytěžování textů a dat (např. podle směrnice o jednotném digitálním trhu). Musí také přijmout interní pravidla pro označování obsahu generovaného umělou inteligencí, kontrolu originality a řízení postupů odstranění v případě stížností na porušování autorských práv.

Pokud váš dodavatel kategorizuje svůj model jako GPAI se systémovým rizikem, pak článek 55 Aktu o umělé inteligenci a aktuální návrh kodexu vyžadují zveřejnění zprávy o modelu bezpečnosti a zabezpečení („SSMR“). Jako nasazovatel byste měli z této zprávy extrahovat příslušná opatření snižující závažnost rizika a začlenit je do kanálu operací strojového učení (MLOps) a interních SOP. Tato zmírňující opatření pomáhají převést rizika na hmatatelné záruky ve všech vašich systémech.

Nepřetržité monitorování jako nezbytnost

Je důležité si uvědomit, že dodržování předpisů AI není jednorázové úsilí, ale trvalý proces. Evropský úřad pro umělou inteligenci bude kodex pravděpodobně průběžně aktualizovat spolu s dalšími nástroji, jako je šablona souhrnu údajů o školení. Poskytovatelé budou průběžně revidovat verze modelů, licenční podmínky a zásady přijatelného používání. V důsledku toho by společnosti měly aktivně sledovat zprávy z Evropského úřadu pro umělou inteligenci a od poskytovatelů, pravidelně aktualizovat smlouvy a interní postupy a zvážit přípravu dokumentace připravené k auditu, kterou lze sdílet nejen s regulačními orgány, ale také s podnikovými klienty.

Stručně řečeno, kodex zásad GPAI má hrát klíčovou roli při utváření ekosystému umělé inteligence v Evropě. I když se mnohé stále mění, společnosti integrující nebo nasazující generativní umělou inteligenci se musí začít přizpůsobovat nově vznikajícím standardům. Ať už váš poskytovatel kodex podepíše, nebo ne, příprava nyní zajistí hladší dodržování předpisů, silnější správu a větší odolnost tváří v tvář rychle se měnícím předpisům.