當前，全球數字經濟正逐漸向以人工智能(AI)為核心驅動力的智能經濟新階段邁進。AI技術在各行業得到廣泛應用，但在為經濟和社會發展注入新動能的同時，也帶來了監管難題。為此，2021年4月，歐盟發布《人工智能法》提案(以下簡稱《法案》)，提出了AI統一監管規則，旨在從國家法律層面限制AI技術發展帶來的潛在風險和不良影響，使AI技術在符合歐洲價值觀和基本權利的基礎上技術應用創新得到進一步加強，讓歐洲成為可信賴的全球AI中心。作為AI領域的“GDPR”，該《法案》是全球首部AI管制法律，研究其內容和創新點，對制定我國AI等數字技術治理方案具有重要借鑒意義。
《法案》核心內容
寬泛定義了AI系統，并設置了AI規則的域外適用性。一方面，《法案》定義了AI系統、AI系統供應鏈上涉及到的相關環節以及不同類別的AI數據等相關要素，對監管對象(AI系統)的定義表現出極強的寬泛性，幾乎涵蓋了全部使用傳統及新興AI技術的系統(AI技術使用常態化的互聯網服務均為監管對象)，與GDPR中對受監管的個人數據的寬泛定義保持一致。另一方面，《法案》明確了所有在歐盟市場投放、使用AI系統及相關服務的國內外供應商、服務商和公共服務用戶提供者，只要其AI系統影響到歐盟及歐盟公民的，均將受到《法案》約束，從而保證了AI規則的域外適用性。
對不同應用場景的AI系統實施風險定級，并分別提出規制路徑。《法案》基于不同應用場景的風險差異性，將AI系統分為“不可接受、高、有限、極小”四個風險等級，并針對不同級別風險實施不同程度的規制，從而構建起以風險為基礎的四級治理體系。一是將對基本人權和社會公平構成明顯威脅的AI系統視為“不可接受”；二是將可能危及公民人身安全及生活基本權利場景中的AI系統視為“高風險”；三是將具有特定透明度義務的AI系統視為“有限風險”；四是將提供簡單工具性功能的AI系統視為“極小風險”。
為在特定領域提供“高風險”AI系統的企業提出“全生命周期”式的多重合規要求，旨在增強AI產品及服務的透明度。《法案》重點對“高風險”AI系統的開發、部署和應用等全生命周期提出了系列規范，并要求企業等AI系統供應商履行以下透明化義務：一是在AI系統開發過程中，建立風險管理系統、進行數據質量檢驗、設計用戶告知和日志追溯功能、搭建網絡安全保障能力、編制用于監管審計的技術信息文件等。二是在AI系統首次運營前或系統升級迭代后，及時開展合規性評估，并在歐盟委員會建立和管理的大數據庫中進行備案登記。三是在AI系統投入使用過程中，建立與AI風險級別相匹配適應的售后監測系統與人為監督機制，對AI應用中的風險進行監控預警，在發現可能的風險后召回系統處理并通知相關監管機構。四是在AI系統發生故障或嚴重事故時，應立即采取補救措施，并在半個月內向相關監管部門報告。
設立專項AI監督機構，加大監管執法力度。在AI監管主體方面，《法案》提出將通過建立歐洲人工智能委員會，推動AI新規則的實施完善，以及后續AI標準的制定出臺，并借此構建各國監管部門的聯絡渠道，協調歐盟層面的AI監管政策，以保持AI監管體系的統一性。此外，要求各成員國建立通知機構，指定和通知第三方合格評定機構開展監管評估，并定期將監管調查信息發送至AI委員會。在AI監管執法方面，《法案》提出將對創建或應用AI系統過程中的違法企業處以高達約3600萬美元的行政罰款，或全球年度總營業額的2%-6%，取兩者中最高的金額進行處罰。相比GDPR中4%年營業額的罰款金額，《法案》的AI監管處罰力度進一步加大。此外，將撤回未在規定時間內實施整改措施企業的AI系統，并限制其市場銷售。
《法案》亮點分析
與GDPR有效銜接，進一步明確了AI系統的數據治理要求。數據和算法是AI技術的核心要素，AI系統通過數據喂養進行算法模型優化，算法模型也應用于對個人數據的深度挖掘，實現基于學習的智能化服務。為此，《法案》重點關注了AI系統的數據安全和算法歧視偏見等問題，并進行了明確規制，包括：AI系統在收集用戶數據前需履行告知義務，以保證用戶的知情權和選擇權，確保數據采集的合法性；在訓練、驗證、測試“高風險”AI系統數據集時，應完成數據質量檢驗、算法偏見評估檢查等要求；在AI監管沙盒中處理個人數據時，應保證個人數據均處于功能獨立、隔離且受保護的數據處理環境中，并需實施授權訪問和數據刪除機制。
搭建具備可拓展性的法律框架，彌補了技術監管的滯后性缺陷。面對飛速發展的AI等新興數字技術，法律的適用性持續時間往往較短，新制定的法律規定可能很快就無法適用于實際情況，難以實現對迭代快速的AI技術進行全面監管，AI領域的法制體系滯后性凸顯。為此，《法案》專門預留了及時調整更新法律的空間，通過設臵“動態清單”，巧妙化解了法律滯后性和技術飛速發展之間的矛盾。例如，對AI系統的定義，《法案》以附件形式詳細列舉了屬于AI范圍內的技術和方法清單，并通過更新清單機制，保持與最前沿AI技術的同步性；針對“高風險”AI系統的界定，《法案》制定了“高風險”清單，并賦予人工智能委員會結合風險多邊性判斷并提出添加新“高風險”應用場景建議的權利，以確保法律的及時更新。
實施對人工智能系統的分類分級監管，構建系統性AI治理體系。AI技術具有跨學科、前沿知識融合等復雜屬性，不同AI系統在相同場景中可造成不同種類的風險，相同AI系統在不同場景中應用也可能帶來不同種類或不同程度的風險。為此，《法案》采用分類分級思路，在梳理重點應用場景類別的基礎上，對不同應用場景按照AI系統風險可能的影響程度和危害性質實施不同等級的分類治理，替代對不同場景的AI風險進行分散專項治理的傳統路徑。通過構建清晰且系統性的治理框架，實現對AI系統復雜性風險的“降維”治理。
率先建立AI監管沙盒機制，探索監管人工智能風險的新模式。技術規制的法律制定常見難點之一就是如何在實現有效監管的同時，兼顧技術創新發展，鼓勵企業負責任的創新行為。為此，《法案》提出通過建立AI監管沙盒，為AI系統的開發、部署、驗證、測試提供了一個可控的隔離環境，使歐洲企業可在免責條件下進行AI相關的試驗和創新，且試驗全過程受到監管部門的監督。通過在可控范圍內實行容錯糾錯機制，在杜絕AI未知問題向不可控外部環境擴散風險的同時，也為AI創新企業創造了相對寬松的發展環境。
四點啟示
強化AI立法，制定具備銜接性與靈活性的法律監管框架。基于AI風險的復雜性、多變性，以及其與數據安全的緊密關聯性，在探索AI法律規制路徑時，可參考歐盟《法案》亮點，增強法律內容的銜接協調與靈活開放特性。一方面，確保AI法律與《網絡安全法》、《民典法》、《數據安全法》、《個人信息保護法(草案)》四項數據和個人信息保護基本法的有效銜接，明確AI語境下的數據安全及個人隱私保護原則，規制AI數據安全風險。另一方面，針對AI技術、“高中低”風險應用場景等具有變化特征的概念實施動態定義，通過設臵清單列表并建立類數據庫功能的“增刪改查”調整機制，確保法律在技術發展和場景變更下的時效性和靈活性，防止AI法律內容滯后帶來的監管困境。
探索分類分級監管路徑，依據不同應用場景精準施策。可考慮采用《法案》中的分類分級治理思路，依托對不同場景類別的梳理，以及場景風險對個人生命和生活權利、社會秩序影響大小，將不同應用場景進行分級，對歸屬于同一風險級別場景中的AI系統進行統一管控，對不同風險級別場景中的AI系統分別采取具有不同約束程度的治理方式，從而建立起自下而上限制逐步加深的“風險金字塔”規制模型。嘗試以“風險金字塔”為抓手，構建系統精準的AI監管治理體系，解決長久以來面臨復雜多樣的AI系統風險時監管效能低下的困境。
明確企業在AI產品開發、運營過程中的強制性義務，提高AI系統的透明度。要求企業在AI產品開發過程中，建立完善的AI系統風險管控流程，包括開展數據質量檢驗避免數據投毒等事件發生、建立日志追溯機制強化風險的歸因溯源、建設網絡安全保障能力防止數據泄露等；在AI產品投入市場使用前或系統改造后，定期通過第三方評估機構開展評估認證，向監管部門備案AI算法的設計運行機制、可能的偏見和漏洞、AI數據安全保護和風險管控措施；在AI產品投入使用后，及時開展監控預警，建立應急響應機制，及時處理可能的AI風險事故并同步監管部門。
多措并舉構建體系化的AI監管機制，制定包容審慎的技術監管措施。一是建立AI監管專項負責機構，及時跟蹤和制約AI風險。AI監管機構負責跟蹤AI技術發展和應用場景變化，及時提出AI新風險應對、監管范圍更新等相關建議；對各類不負責任的AI提供者實施約談處罰，進行有效制約和威懾。二是完善標準體系，建立第三方機構開展AI風險檢測認證。加快制定AI相關技術和應用的安全標準，明確各領域AI系統的審計、日志、告知等透明性要求與衡量指標；培育權威的第三方AI風險評估機構，開展AI算法、透明度、數據安全風險等相關評估。三是探索設立AI沙盒監管，探尋風險制約和創新保護之間的最佳結合點。建議由AI監管的專項負責機構確定沙盒監管基本原則和條件，將具備創新性但風險未知的AI產品或商業模式在進入市場前，預先在沙盒環境進行迭代驗證，使用戶在受保護的環境使用AI產品或服務。
登錄
用戶
員工
供應商
經銷商
上海市浦東新區滬南公路4888號（201317）
電話：400-6316166（工作日8：30-18：00）
傳真：021-58124888-6117
填寫需求
在線咨詢
智能客服
提交問題單
400-631-6166