Финансовият сектор под ударите на AI Act

Глобите, които предвижда регулаторният акт, са по-високи и от GDPR - до 6% от световния годишен оборот на организацията

от Майя Бойчева-Манолчева

14 октомври 2022 08:48

Доскоро изкуственият интелект беше част от плановете за бъдещето на банкирането. Днес той е вече настояще и активен участник в редица дейности от финансовия и банковия сектор. AI алгоритъмът влиза в действие срещу прането на пари, позволява на банките да управляват огромни обеми от данни с рекордна скорост и да извличат ценна информация от тях. AI чатботовете, съветниците за цифрови плащания и биометричните механизми за откриване на измами водят до по-високо качество на услугите за клиентите, категорични са от сектора. Всичко това води до увеличаване на приходите, намаляване на разходите и увеличаване на печалбите.

Но редом с всички тези позитиви стоят и редица въпросителни, на които трябва да се намери отговор. Една от важните теми е регулацията. Технологията е нова, а както всички знаем, технологиите по презумпция изпреварват законодателството, но идва моментът, в който законодателството трябва да се намеси сериозно и да догони технологиите или поне да се опита.

Статията е част от тематичния доклад "Digitalk Report | Приложение на AI в банките" на Digitalk. Цялото издание можете да намерите в дигиталната библиотека.

През април 2021 година Европейската комисия излезе с предложение за регламент за определяне на хармонизирани правила относно изкуствения интелект - т.нар. Законодателен акт за изкуствения интелект, или популярен с английското си наименование AI Act. Той ще наложи нови регулаторни изисквания на бизнеса, включително на финансовия сектор, относно използването, осигуряването, внасянето и разпространението на компютърен софтуер за биометрична идентификация на хора, управлението на капитала и кредитната оценка на лицата. В допълнение той ще забрани също внедряването на софтуер, използващ подсъзнателни техники и експлоатиращ уязвимостта въз основа на възраст или увреждане, и ще наложи задължения за осигуряване на прозрачност на доставчиците и потребителите на софтуер.

Според доклада на международната кантора Clifford Chance "Въздействие на новото законодателство на ЕС в областта на ИИ върху компаниите от финансовия сектор" съществен проблем при осигуряване на съответствие на фирмите с новите изисквания ще бъде трудността да се определи кой софтуер ще бъде третиран като "система с изкуствен интелект", т.е. субект на тези изисквания, и кои точно участници във финансовия сектор попадат под задълженията за AI Act.

AI Act се очаква да бъде приет до края на 2022 година, като компаниите ще имат две години да приведат в съответствие своите дейности и технологии. Глобите, които предвижда регулаторният акт, са по-високи и от GDPR - до 6% от световния годишен оборот на организацията.

Нива на риск

Европейската комисия дефинира четири нива на риск.

Неприемлив риск

Тук влизат набор от особено вредни употреби на ИИ, които противоречат на ценностите на ЕС и нарушават основни права, като използване на подсъзнателни техники, които целят промяна на поведението на човека, или използване на уязвимостите на специфични групи от хора, дължащи се на възраст, физическо или умствено увреждане, чрез което съществено се изкривява поведението на лице, принадлежащо към тази група, и може да причини физическо или психологическо увреждане на това лице или на друго лице.

Висок риск

Тук според определенията в законопроекта попадат ограничен брой системи с ИИ, които имат неблагоприятно въздействие върху безопасността на гражданите или техните основни права. В този списък влиза софтуерът, който се използва за отдалечена биометрична идентификация на хора в реално време или постфактум; софтуерът, който се използва за подбор на кадри и в частност - такъв, който може да бъде използван за вземане на решения за повишение на даден служител или за прекратяване на договори със служителите; софтуер за разпределение на задачите; софтуер за мониторинг и оценка на представянето на служителите в такива взаимоотношения; и софтуер, който оценява кредитоспособността на клиентите.

За да се гарантира доверие и постоянно високо равнище на защита на безопасността и основните права за всички високорискови системи с ИИ, се предлагат задължителни изисквания. Сред тях са: качество на използваните набори от данни, техническата документация и поддържаните записи, прозрачност и предоставяне на информация на потребителите, човешки надзор и устойчивост, точност и киберсигурност. В случай на нарушение изискванията ще позволят на националните органи да имат достъп до информацията, необходима, за да се разследва дали използването на системата с ИИ е било в рамките на закона.

Според експертите от Clifford Chance обаче не е ясно дали софтуерът за биометрична автентикация като пръстов отпечатък или лицево разпознаване, който се използва за установяване на идентичността на потребителите и дава достъп до сметките на клиента или позволява на служителите да влизат в служебните компютърни системи, ще попадне в тези категории.

Въпросителни стоят и около решенията, които се използват в областта на човешките ресурси, тъй като като хипотеза тук биха могли да попаднат почти всички приложения да управление на процеса. Трудности ще има и при определянето кой софтуер, който определя кредитоспособността, попада под ударите на закона на места, където такъв тип решения са интегрирани в системите за ценообразуване и управление на риска на компаниите.

Органичен риск

За някои системи с изкуствен интелект са наложени специфични изисквания за прозрачност - например когато съществува ясен риск от манипулиране. Тук попадат: софтуерът, който си взаимодейства с хората, както са чатботовете, тъй като потребителите трябва да са наясно, че си взаимодействат с машина; софтуерът, който разпознава емоциите и намеренията на хората въз основа на биометрични данни, както и този, който категоризира хората въз основа на пол, възраст, цвят на косата и очите, татуировки, етническа принадлежност или политическа ориентация; и софтуерът за разпознаване на дълбочинни измами.

Минимален риск

В тази четвърта категория попадат всички други системи с ИИ, които могат да бъдат разработвани и използвани в съответствие със съществуващото законодателство без допълнителни правни задължения. Огромната част от системите с изкуствен интелект, използвани в момента в ЕС, попадат в тази категория. На доброволна основа доставчиците на такива системи могат да изберат да прилагат изискванията за надежден AI и да се придържат към доброволни кодекси за поведение.

Кой попада под ударите на закона?

Организациите от финансовия и банковия сектор попадат под ударите на новото законодателство и като потребители, и като доставчици, т.е. разработчици на софтуер, и като вносители, т.е., ако въвеждат на европазара софтуер, който е произведен от регистрирана извън ЕС компания, и като дистрибутори на съответни системи с изкуствен интелект.

Глобите

Неспазването на забраната за внедряването на забранени AI системи и изискванията за данните и управлението на данните за високорискови AI системи може да навлече на компаниите глоби в размер на до 30 000 000 евро или 6% от общия световен годишен оборот на организацията.

Неспазването на другите изисквания може да рефлектира в глоба в размер на 20 000 000 евро или 4% от общия световен годишен оборот.

Солени глоби са предвидени и за предоставянето на неточна, непълна или подвеждаща информация на релевантните европейски и национални органи. В такива случаи компаниите може да се наложи да платят до 10 000 000 евро или 2% от общия световен годишен оборот.

Какво трябва да се направи?

Според експертите от Clifford Chance компаниите от финансовия сектор ще са изправени през съществени предизвикателства, за да отговорят на изискванията на AI Act, и трябва да започнат подготовка на съответствията с новото законодателство. Това включва предварителна оценка за определяне дали новите регулации ще наложат някакви задължения на компанията и другите членове на групата и как тези изисквания могат да бъдат постигнати. Трябва да се направи оценка и на взаимодействието на новите правила със съществуващите вече законодателни инициативи като General Data Protection Regulation и др.