ELi TI-määrus väikestele stuudiotele. Millal on rakendus TI ja millal mitte.

Euroopa Liidu tehisintellektimäärus, ametlikult määrus 2024/1689, jõustus 2024. aastal ja kehtib etappide kaupa. Esimesed keelud, mis hõlmavad manipuleerivaid süsteeme ja avaliku võimu sotsiaalskoorimist, on kehtinud alates 2025. aasta veebruarist. Üldotstarbeliste TI-mudelite reeglid jõustusid 2025. aasta augustis. Kõrge riskiga süsteemide kohustused jõustuvad etapiti kuni 2027. aastani. Reguleeritud valdkondades töötavatele väikestele stuudiotele pole määrus mitte niivõrd abstraktne suur teema kui konkreetne küsimus: kas see, mida me ehitame, üldse selle ulatusse kuulub?

Sellele vastamine võtab kaks sammu. Esiteks: kas süsteem on TI-süsteem määruse tähenduses? Seejärel: millisesse riskiastmesse see kuulub?

Mis loeb TI-ks määruse alusel

Artikkel 3 lõige 1 määratleb TI-süsteemi kui masinapõhise süsteemi, mis toimib eri tasemel autonoomiaga, võib pärast kasutuselevõttu kohaneda ja mis selgesõnaliste või kaudsete eesmärkide nimel järeldab vastuvõetud sisenditest, kuidas genereerida väljundeid, mis võivad mõjutada füüsilist või virtuaalset keskkonda.

Selles määratluses on võtmesõnaks „järeldab”. Kalkulaator ei järelda. Andmebaasipäring ei järelda. Sümptomijälgija, mis võtab valuhinnanguid 0 kuni 10 ja kontrollib neid häireläve 7 vastu, ei järelda; see rakendab ettemääratud reeglit. Isegi kui reegel on keeruline ja põhineb skaalal nagu Edinburgi sünnitusjärgse depressiooni skaalal, on see deterministlik arvutus, mitte järeldus.

Masinõppe mudel järeldab. Keelemudel järeldab. Pildiklassifikaator järeldab. Isegi lihtne lineaarne mudel, mis on õppinud kaalud treeningandmetest, järeldab. Piir jookseb selle küsimuse järgi, kas süsteem täidab ettemääratud reegli või rakendab andmetest õpitud mustreid.

Paljude väikeste rakenduste jaoks reguleeritud valdkondades on see kergendav teave. Kõik, kes ehitavad jälgijat lävenditega, meeldetuletuse teenust kõvasti kodeeritud intervallidega või doosi kalkulaatorit dokumenteeritud valemiga, määruse keeles TI-d ei ehita. See muutub hetkel, kui lisatakse järeldav komponent: piltide mustri tundmine, kulu ennustamine, loomuliku keele töötlemine.

Neli riskiastet

Kui süsteem kvalifitseerub määruse alusel TI-ks, paneb määrus selle ühte neljast riskiastmest.

Vastuvõetamatu risk (artikkel 5): keelatud. See hõlmab manipuleerivaid süsteeme, avaliku võimu sotsiaalskoorimist, reaalajas biomeetrilist tuvastamist avalikes ruumides õiguskaitse jaoks (kitsate eranditega), emotsioonide tuvastamist töökohtadel ja haridusasutustes.

Kõrge risk (III lisa ja artikkel 6): lubatud, kuid rangete kohustustega. See hõlmab TI-süsteeme valdkondades, mida seadusandja peab kriitilisteks: kriitiline taristu, haridus, tööhõive, juurdepääs avalikele ja erateenustele, õiguskaitse, ränne, õigusemõistmine, demokraatlikud protsessid. Ja terviseteemaliste stuudiote jaoks oluline: TI-süsteemid, mis on ohutuskomponendid toodetes, mille suhtes kehtib valdkondlik vastavushindamine, näiteks meditsiiniseadmed MDR või IVDR alusel.

Piiratud risk (artikkel 50): läbipaistvuskohustused. Kasutajatele tuleb öelda, kui nad suhtlevad vestlusbotiga. TI loodud pildid, video ja heli tuleb märgistada. Süvavõltsingud vajavad selget märkust.

Minimaalne risk: määruse all ei ole eraldi kohustusi. See on enamik TI-rakendusi: rämpsposti filtrid, kriitilise mõjuta soovitussüsteemid, TI mängudes, generatiivsed tööriistad loovaks tööks.

Kuhu üksikstuudiod tavaliselt langevad

Enamiku väikeste stuudiote jaoks on pragmaatiline pilt selline: kas toode ei sisalda määruse mõttes TI-d (ja määrus ei mängi rolli) või sisaldab TI-d, kuid satub piiratud või minimaalse riski astmesse (ja kohustused on hallatavad).

Huvitavaks läheb, kui stuudio triivib kõrge riskiga territooriumile. See juhtub kõige sagedamini kahes kohas. Esiteks: kui terviserakendus kvalifitseerub meditsiiniseadmeks MDR alusel ja sisaldab ka masinõppe komponenti. Mõlemad määrused kehtivad siis paralleelselt. Teiseks: kui haridus- või personalirakendus teeb otsuseid inimeste kohta (kandidaatide sõelumine, õpiraja soovitused hindamisele kanduvate tagajärgedega). Väike firma, mis ehitab sellise süsteemi tellimustööna, on määruse alla kuuluv pakkuja ise.

TI-määruse kõige olulisem otsus tehakse enne esimest koodirida: millise meetodi valime ülesande lahendamiseks? Deterministlik algoritm hoiab kogu määruse uksest väljas. Masinõppe mudel, mis teeb sama ülesannet veidi paremini, toob ta sisse.

Liides MDRiga

Terviseteemaliste stuudiote jaoks on liides TI-määruse ja MDRi vahel kõige praktilisem koht. TI-määruse artikkel 6 lõige 1 klassifitseerib TI-süsteemid kõrge riskiga süsteemideks, kui need toimivad ohutuskomponendina tootes, mille suhtes kehtib kolmanda osapoole vastavushindamine. MDR on üks loetletud valdkondlikest määrustest.

Praktikas tähendab see: sümptomirakendus, mis pole MDR alusel meditsiiniseade ja ei sisalda TI-d, ei kuulu ei TI-määruse ega MDRi alla. Sümptomirakendus, mis pole meditsiiniseade, kuid sisaldab klassifitseerimiseks masinõppe mudelit, kuulub TI-määruse alla, kõige tõenäolisemalt piiratud või minimaalse riskiga. Sümptomirakendus, mis on MDR alusel meditsiiniseade ja TI-d ei sisalda, kuulub MDR alla (vaata esseed MDR-rajast). Sümptomirakendus, mis on meditsiiniseade ja sisaldab TI-d, kuulub mõlema alla ja mõlemad vastavushindamised tuleb läbida, tavaliselt kooskõlastatud protsessis teavitatud asutusega.

TI-määruse artikkel 8 tunnustab valdkondlikke menetlusi: MDR vastavushindamine katab suure osa nõuetest ja TI-määrus lisab TI-spetsiifilised, nagu andmete kvaliteet (artikkel 10), TI-komponendi tehniline dokumentatsioon (artikkel 11), oluliste sündmuste logimine (artikkel 12), läbipaistvus (artikkel 13), inimese järelevalve (artikkel 14) ja täpsus, töökindlus ning küberturvalisus (artikkel 15).

Mida praktikas teha

Väikese stuudio jaoks, mis seisab silmitsi küsimusega, kas võtta TI-määrust tõsiselt, joonistub välja lühike kontrollnimekiri. Esiteks, enne ükskõik millist arhitektuuriotsust: kas on deterministlik lahendus, mis lahendab probleemi piisavalt hästi? Kui jah, on see tavaliselt õige valik, mitte ainult regulatiivselt, vaid ka selgitatavuse mõttes. Teiseks, kui masinõppe komponent on sees: kuhu riskiastmetes toode satub? Kolmandaks, kui kõrge risk: kas vajalikku tehnilist dokumentatsiooni saab kokku panna? Andmete kvaliteedi kirjed, treeningu ja valideerimise andmete dokumentatsioon, järelevalvemehhanismid, küberturvalisus. Neljandaks, kui meditsiiniseade TI-ga: kas teavitatud asutus plaanib TI-määruse hindamise kõrvale?

Selleks ei ole vaja vastavusosakonda. Vaja on enne koodi kirjutamist väikest kirja lugeda ja olla aus selle suhtes, mida rakendus teeb.

Sagedased küsimused

Millal loetakse rakendus ELi TI-määruse järgi TI-süsteemiks?

Määruse 2024/1689 artikkel 3 lõige 1 määratleb TI-süsteemi kui masinapõhise süsteemi, mis toimib eri tasemel autonoomiaga ja mis järeldab vastuvõetud sisenditest, kuidas väljundeid genereerida. Otsustav sõna on „järeldab”. Reeglipõhine loogika fikseeritud lävenditega ei järelda; see rakendab ettemääratud reeglit. Masinõppe mudelid järeldavad. See on praktiline piir.

Kas TI-määrus kehtib sümptomite jälgijate kohta?

Oleneb. Jälgija, mis võtab arvulisi väärtusi nagu valuhinnang ja kontrollib neid fikseeritud lävenditega, ei ole määruse alla kuuluv TI-süsteem. Jälgija, mis klassifitseerib sümptomite mustreid masinõppe mudeliga või ennustab haiguse kulgu, on. Kui see on lisaks ka meditsiiniseade MDR alusel, langeb see TI-määruse artikli 6 lõike 1 alla kõrge riskiga süsteemina.

Mis kehtib väikeste stuudiote ja üksiku asutaja kohta?

Määrus näeb ette soodustusi VKEdele ja idufirmadele, peamiselt juurdepääsu regulatiivsetesse liivakastidesse (artiklid 57 jj) ja vähendatud tasusid vastavushindamises (artikkel 62). Enamiku üksikstuudiote jaoks on kasulikum küsimus, kas toode üldse ulatusse kuulub. Selge, kitsas kavandatud otstarve, mis on kirja pandud enne koodi kirjutamist, säästab hiljem palju tööd.

Mis juhtub, kui TI-määrus ja MDR kattuvad?

Meditsiiniseadmete puhul, mis sisaldavad kõrge riskiga TI-süsteemi, kehtivad mõlemad määrused paralleelselt. TI-määrus (artikkel 8) tunnustab valdkondlikke vastavushindamisi nagu MDR, kuid lisab TI-spetsiifilisi nõudeid: andmete kvaliteet, TI-komponendi tehniline dokumentatsioon, logimine, läbipaistvus, inimese järelevalve, täpsus. Teavitatud asutus, kes käitleb MDR hindamist, käitleb tavaliselt ka TI-määruse hindamist kooskõlastatud protsessis.