רגולציה חדשה בתחום ה-AI מציבה אתגר לקציני ציות

לאחרונה הפרלמנט האירופי העביר את "חוק הבינה המלאכותית של האיחוד האירופי" (להלן - חוק ה AI), המהווה קודקס רגולטורי ראשון בעולם המתייחס לסיכונים הנובעים משימוש בבינה מלאכותית (AI). החוק, שמאמץ גישה מבוססת סיכונים, נועד לקבוע כללים ברורים לגבי שימושים אסורים בבינה מלאכותית.

מטרת החוק היא להבטיח שקידום טכנולוגיה זו נעשה תוך כיבוד זכויות יסוד, בטיחות ועקרונות אתיים, והוא חלק מחבילה רחבה יותר של צעדי מדיניות לתמיכה בפיתוח של בינה מלאכותית שנועדו לעודד שימוש ב-AI, תוך הבטחת זכויות הפרט. אם כן, כיוון שהחקיקה הקיימת לא מספיקה כדי להתמודד עם האתגרים הספציפיים שמערכות בינה מלאכותיות עשויות להביא, חוקק חוק ה AI שנועד:

• להבטיח שהסיכונים שנוצרים עקב שימוש ב-AI מזוהים ומטופלים כראוי:

• לאסור שיטות שימוש בינה מלאכותיות המהוות סיכונים בלתי קבילים (כמוגדר בחוק);

• לקבוע רשימה של יישומים בסיכון גבוה;

• להגדיר דרישות ברורות למערכות AI עבור יישומים בסיכון גבוה;

• להגדיר חובות ספציפיות למפיצים וספקים של יישומי AI בסיכון גבוה;

• לדרוש ביצוע הערכת ציות לפני שמערכת בינה מלאכותית מופעלת או יוצאת לשוק;

• להחיל אכיפה על מערכות AI לפני כניסתן לשוק.

מסגרת החוק מגדירה 4 רמות סיכון עבור מערכות בינה מלאכותית, כאשר מערכות AI, שזוהו כבעלי סיכון גבוה, כוללות טכנולוגיית AI המשמשת בתשתיות קריטיות (למשל תחבורה), שעלולות לסכן את חייהם ובריאותם של אזרחים; תיעול להכשרה חינוכית או מקצועית על-ידי טכניקות פרופיל, שעשויה להגביל גישה להשכלה ולמסלול המקצועי של חייו של אדם; מתן שירותים פרטיים וציבוריים חיוניים (למשל ניקוד אשראי שמונע מאזרחים אפשרות לקבל הלוואה) ועוד.

חשוב לציין בהקשר לכך, כי התקנות לא מציגות בהכרח את כל הסיכונים אליהם יכולים תאגידים להיות חשופים עקב ה-AI.

עיצומים

בדומה לתקנות אבטחת מידע של האיחוד האירופי ה-GDPR שנכנסו לתוקף ב-2016, גם חוק ה-AI כולל עיצומים מנהליים. אלה מגיעים ל-15 מיליון אירו או 3% מהמחזור הגלובלי השנתי לרוב ההפרות, אך הם יכולים להגיע עד ל-35 מיליון אירו או 7% מהמחזור העולמי השנתי להפרות חמורות כגון: שימוש בבינה מלאכותית לצורך הפעלת טכניקות מניפולטיביות, או שימוש בנתונים ביומטריים כדי להסיק מידע פרטי.

תכולה על ישראל

בדומה לתקנות אבטחת מידע של האיחוד ה-GDPR, חוק AI יכול לחול גם על חברות ישראליות העושות שימוש ב-AI (כגון חברות היי-טק/ייעוץ) הפועלות בתחום האיחוד, או המספקות שירותים וכו' לתאגידים או אזרחים של האיחוד. דהיינו חברות ישראליות המעוניינת לפעול או לספק לאזרחי האיחוד שירותים הכוללים שימוש ב-AI יכולות למצוא את עצמן מושפעות מתכולת החוק, ולהימצא נוקטים בצעדים כדי להבטיח ללקוחותיהן שהם פועלים בתאימות לרגולציה.

ודוק, כיוון שהחוק, בדומה ל-GDPR, עלול לחול גם על צדדים שלישים, אזי גם אם חברות ישראליות שלקוחותיהן פועלים באיחוד האירופי עלולות להימצא מושפעים מהחוק, אם הלקוח שלהן פועל עם הטכנולוגיה שלהן במדינות האיחוד. ומעבר לכך, כיוון שזו רגולציה חדשנית בתחום, אין להוציא מכלל חשבון שמדינות אחרות יאמצו/יגבשו אף הם כללים דומים.

ההשפעה על פונקציית הציות

כאמור תאגידים הפועלים בתחום האיחוד האירופי וכיוצ'ב חייבים להבטיח שהם עומדים בדרישות החוק. לצורך כך, נדרש לבצע התאמות להפעיל תוכנית ציות מתאימה, שתבטיח שהתאגיד מנהל סיכוני ציות אלה בצורה אפקטיבית. עם זאת, בגופים הפועלים בתחום באירופה או עם גופים הקשורים לכך, צריכים תחילה לברר את היקף החבויות שלהם למוכנות לעמידה בהוראות רגולציה.

המלומדים ריד ואינגריד קבעו, במאמר שפרסמו לאחרונה ב-HBR,i כי לא רק שהתקנות החדשות יוצרות סיכונים חדשים, אלא שצעדים כגון: מיזוגים ורכישות, סוגים חדשים של בינה מלאכותית, כניסת עבודה מוגברות בינה מלאכותית לחברה, התקשרות עם ספקים חדשים וכיוצ"ב, כל אלה יוצרים לפונקציית הציות אתגרים לא מבוטלים.

מסיכום המלצותיהם של המלומדים ומתובנות של כותב שורות אלה, עולה כי קציני ציות צריכים לקחת בחשבון בקשר להחלת החוק, את הבאים:

א. לבחון האם חוק AI חל, לרבות באופן עקיף, על החברה ולעקוב אחר התמורות הן באשר לאופן השימוש שהחברה או צדדים שלישים שלה עושים בטכנולוגיות AI, והן ברגולציה.

ב. לייעץ להנהלה הבכירה, המבקשת לפעול באיחוד האירופי, על השלכות של הרגולציה.

ג. גם אם החוק לא חל כיום על החברה, אך היא עוסקת או צפויה לעסוק בעתיד הקרוב ב-AI, חשוב שקצין הציות יבחן את השלכות של רגולציה זו וישקול לערוך תוכנית מגירה בנושא.

ד. לבחון האם מודל בינה מלאכותית שבו הארגון עושה שימוש נופל תחת הקטגוריות של בינה מלאכותית אסורה או בסיכון גבוה לפי החוק AI.

ה. לערוך תוכנית ציות לנושא חוק ה-AI.

ו. כדי להבטיח שהתוכנית עדכנית ונותנת מענה הולם יש לשקול לערוך ניתוח פערים (gap analysis), הערכת סיכונים (risk assessment) וניתוחי בשלות (maturity assessment ).

ז. להבטיח כי העמידו ליחידת הציות משאבים הולמים כדי לקבוע וליישם את תוכנית הציות.

ח. להבטיח שישנן תוכניות למידה שמלמדות את העובדים את הרגולציה של AI, וכי תוכניות הכשרה של הארגון עודכנו והן כוללות גם התייחסות לחוק ה-AI.

ט. יש לבחון את התאמת מסגרת ניהול סיכוני AI של הארגון (כגון מסגרת של NIST, המלצות בנושא אתיקה ב AI של UNESCO, מדריך של ארגון הבריאות הבינ"ל (WHO)) לחוק.

י. יש לשקול שימוש בכלים שונים ובהם: שימוש בקטגוריות סיכון, מטריצות RACI, מדיניות, נהלים, תהליכי עבודה, הבטחת איכות/שיפור איכות (QA/QI) ושיפור ביצועים.

כיוון שבטכנולוגית עלית עסקינן, לא זו בלבד שקציני ציות יצרכו לקיים שת"פ עם מהנדסים אלא שחלק מהאחריות הנוגעת לציות צריכה ליפול על כתפיהם של מהנדסים, אנליסטים ומדעני נתונים, כאשר קציני הציות יצטרכו לרכוש השכלה בתחום.

חשוב להבין כי קביעת תוכנית ציות לחוק AI היא מאמץ כלל ארגוני, כאשר כל הצדדים נושאים באחריות (דירקטוריון, הנהלה, קצין ציות), הנוגעים בדבר.

מה עם ארגונים שפועלים בתחום AI אך הרגולציה לא חלה עליהם?

ה-AI הוא לא פחות ממהפכה, שהיקף ההשפעה שלה עדין לא ברור במלואו. מה שכן ברור הוא שרגולציה זו לא מכסה את כל הסיכונים, וכי הנהלות צריכות לקחת בחשבון גם סיכונים אתיים, מוניטין ומשפטיים שלא נוגעים ברגולציה. אשר על כן, צריך לקחת בחשבון את ההשלכות של AI על האסטרטגיה של החברה ועל המשך התנהלות כעסק חי מחד-גיסא, ועל השלכות של סיכוני הרגולציה לאור התמורות הצפויות מאידך.

סיכום

בשני העשורים האחרונים עולה ההבנה ביתר שאת כי סיכוני רגולציה נמצאים במפת הסיכונים, וחוק ה-AI ממחיש זאת. אנו גם עדים לתופעה של השראה רגולציה ממדינה אחת לרעותה ובדגש על ההשפעה שיש לאסדרה האירופית, בין היתר כיוון שהמחוקק האירופי הנו פרוגרסיבי בייחוד בכל הקשור בשימוש באכיפה מנהלית. די אם נזכיר את העובדה שהחלק הביצועי של תקנות הגשת הפרטיות (אבטחת מידע), תשע"ז-2017 נכנס לתוקף באותו יום שה GDPR הוחל כדי להבין את ההשפעה שיש לרגולציה של האיחוד האירופי, על ישראל.

רגולציה זו גם ממחישה את החשיבות בקיומה של פונקציית ציות מקצועית. כיום בישראל ישנה תשתית פרופסיונלית הכוללת קורסי הסמכה בעלי הכרה בינ"ל (CCO) וקודקס מקצועי המנחה קציני ציות ומטיל עליהם אחריות, בין היתר, להבטיח שיש בידם את הידע הנדרש, וקובע כי קצין ציות שמפר חובה זה עובר עבירה אתית. יש להבטיח כי הנהלות מקצות משאבים נאותים לפונקציית הציות, ועל קציני הציות להבטיח כי הם עומדים באחריות המקצועית שלהם. רק שילוב זה יבטיח התמודדות נאותה עם אתגרי רגולציית ה-AI.