Akta AI EU: kategori risiko, obligasi dan tarikh akhir untuk perniagaan

Akta Kecerdasan Buatan EU (Peraturan (EU) 2024/1689) mengawal selia AI mengikut risiko yang ditimbulkan oleh sesuatu sistem, jadi tugas pertama anda adalah untuk menentukan kategori risiko yang mana setiap sistem AI termasuk dan sama ada anda penyedia atau pengerahkannya. Kebanyakan kewajipan jatuh ke atas penyedia sistem berisiko tinggi, dan pengecualian utama kepada jadual asal ialah Omnibus Digital mengenai AI (Peraturan (EU) 2026/1744, berkuat kuasa sejak 27 Julai 2026) telah menangguhkan peraturan berisiko tinggi: hingga 2 Disember 2027 untuk kes penggunaan berisiko tinggi dalam Lampiran III dan hingga 2 Ogos 2028 untuk AI dalam produk yang dikawal selia (Lampiran I).

Amalan yang dilarang telah diharamkan sejak 2 Februari 2025, peraturan untuk model AI tujuan umum terpakai sejak 2 Ogos 2025, dan kewajipan ketelusan sejak 2 Ogos 2026. Oleh kerana Akta ini merupakan peraturan EU, ia terpakai secara langsung di Belanda; pihak berkuasa kebangsaan menyelianya, dan Pejabat AI Eropah menyelia model AI tujuan umum.

Apakah sistem AI di bawah Akta ini?

Sistem AI ialah sistem berasaskan mesin yang beroperasi dengan sedikit autonomi dan membuat kesimpulan daripada inputnya tentang cara menjana output seperti ramalan, kandungan, cadangan atau keputusan yang boleh mempengaruhi persekitaran fizikal atau maya. Perisian tradisional yang hanya mengikut peraturan yang ditakrifkan sepenuhnya oleh orang ramai biasanya berada di luar definisi tersebut.

Suruhanjaya Eropah telah menerbitkan garis panduan mengenai definisi dan amalan terlarang yang membantu dalam kes-kes sempadan. Akta ini juga melangkaui EU: ia terpakai kepada penyedia di luar EU yang meletakkan sistem di pasaran EU, dan kepada penyedia dan pengerahkan di luar EU yang output sistemnya digunakan di EU.

Apakah kategori risiko tersebut?

Akta ini membezakan risiko yang tidak boleh diterima (dilarang), risiko tinggi, risiko terhad dengan obligasi ketelusan dan risiko minimum tanpa obligasi mandatori. Model AI tujuan umum, seperti model bahasa besar, mempunyai rejimnya sendiri.

Anda mengklasifikasikan sesebuah sistem mengikut tujuan dan konteks penggunaannya, bukan mengikut teknologinya. Sistem yang mengesyorkan filem membawa risiko yang jauh lebih rendah berbanding sistem yang membantu menentukan siapa yang akan diambil bekerja.

Amalan manakah yang dilarang?

Sejak 2 Februari 2025, Akta tersebut melarang amalan AI yang berisiko tidak boleh diterima. Antara yang utama ialah:

• teknik manipulatif atau mengelirukan yang memesongkan tingkah laku dan menyebabkan atau berkemungkinan menyebabkan kemudaratan yang ketara;
• mengeksploitasi kelemahan yang berkaitan dengan usia, kecacatan atau situasi sosial atau ekonomi;
• pemarkahan sosial yang membawa kepada layanan yang tidak wajar atau tidak seimbang;
• meramalkan kesalahan jenayah semata-mata berdasarkan profil atau sifat personaliti;
• membina pangkalan data pengecaman wajah melalui pengikisan imej yang tidak disasarkan;
• pengecaman emosi di tempat kerja dan dalam pendidikan, kecuali atas sebab perubatan atau keselamatan;
• pengkategorian biometrik untuk menyimpulkan ciri-ciri sensitif seperti pendapat politik atau orientasi seksual;
• pengenalan biometrik jarak jauh masa nyata di ruang awam untuk penguatkuasaan undang-undang, dengan pengecualian yang sempit.

Bagi majikan, larangan pengecaman emosi di tempat kerja adalah yang paling kerap timbul dalam praktiknya, contohnya dalam perisian pusat panggilan atau produktiviti.

Sistem AI yang manakah berisiko tinggi?

Sistem berisiko tinggi ialah AI yang digunakan sebagai komponen keselamatan produk yang dikawal selia (Lampiran I), dan AI yang digunakan dalam bidang yang disenaraikan dalam Lampiran III. Lampiran III merangkumi:

• pekerjaan dan pengurusan pekerja: menapis CV, menilai calon, keputusan mengenai kenaikan pangkat, pemecatan atau pengagihan tugas;
• pendidikan: kemasukan dan penilaian pelajar;
• infrastruktur kritikal: komponen keselamatan dalam lalu lintas jalan raya atau bekalan air, gas, pemanasan atau elektrik;
• akses kepada perkhidmatan penting: penilaian kelayakan kredit dan penetapan harga insurans hayat dan kesihatan;
• penguatkuasaan undang-undang, migrasi, kawalan sempadan dan pentadbiran keadilan;
• biometrik, setakat yang tidak dilarang.

Sistem dalam kawasan Lampiran III tidak berisiko tinggi jika ia tidak menimbulkan risiko bahaya yang ketara, contohnya kerana ia hanya melaksanakan tugas prosedur yang sempit; sistem yang memprofilkan orang perseorangan sentiasa berisiko tinggi. Jika anda bergantung pada pengecualian ini, dokumentasikan penilaian anda.

Bilakah peraturan berisiko tinggi terpakai?

Tarikh asal bagi kebanyakan obligasi berisiko tinggi ialah 2 Ogos 2026. Di bawah Omnibus Digital, ia kini terpakai mulai 2 Disember 2027 untuk sistem Lampiran III dan mulai 2 Ogos 2028 untuk AI dalam produk Lampiran I.

Penangguhan ini memberikan lebih banyak masa, bukan pengecualian. Tadbir urus data, dokumentasi teknikal dan penilaian pematuhan mengambil masa berbulan-bulan untuk disediakan. Sistem yang sudah ada di pasaran sebelum tarikh permohonan pada prinsipnya hanya dilindungi jika reka bentuknya berubah dengan ketara selepas itu, dengan tarikh akhir yang berasingan untuk sistem yang digunakan oleh pihak berkuasa awam.

Apakah yang terpakai kepada risiko terhad dan risiko minimum?

Sejak 2 Ogos 2026, orang yang berinteraksi dengan sistem AI, seperti chatbot, mesti diberitahu melainkan ia jelas. Penyedia sistem yang menjana audio, imej, video atau teks sintetik mesti menandakan output dengan cara yang boleh dibaca mesin dan penyebar yang menerbitkan deepfake mesti mendedahkan bahawa kandungan tersebut dijana atau dimanipulasi secara buatan.

Sistem berisiko minimum, seperti penapis spam atau AI dalam pengurusan inventori, tidak mempunyai kewajipan mandatori di bawah Akta tersebut. EU menggalakkan kod tatalaku sukarela dan Akta tersebut juga menangani literasi AI kakitangan yang bekerja dengan sistem AI.

Apakah kewajipan penyedia dan pelaksana?

Pembekal membangunkan sistem, atau telah membangunkannya, dan meletakkannya di pasaran di bawah namanya sendiri; pengerahkan menggunakan sistem di bawah kuasanya sendiri dalam konteks profesional. Satu organisasi boleh menjadi pembekal satu sistem dan pengerahkan sistem yang lain.

Badan awam dan pelaksana swasta tertentu, seperti bank dan penanggung insurans yang menilai kelayakan kredit atau harga insurans hayat dan kesihatan, juga mesti menjalankan penilaian impak hak asasi sebelum menggunakan sistem berisiko tinggi.

Bilakah seorang penyebar menjadi penyedia?

Penyedia yang meletakkan nama atau tanda dagangannya sendiri pada sistem berisiko tinggi, mengubahnya dengan ketara, atau mengubah tujuan yang dimaksudkan supaya ia menjadi berisiko tinggi dianggap sebagai penyedia. Semua kewajipan penyedia kemudiannya terpakai, termasuk penilaian pematuhan.

Semak ini sebelum anda menjenamakan semula alat pembekal atau melatihnya semula untuk tujuan baharu dan rekodkan dalam kontrak pihak mana yang menanggung obligasi yang mana.

Apakah denda-denda itu?

Bagi amalan yang dilarang, denda boleh mencecah €35 juta atau 7% daripada perolehan tahunan di seluruh dunia, yang mana lebih tinggi. Kebanyakan pelanggaran lain boleh didenda sehingga €15 juta atau 3%, dan membekalkan maklumat yang salah atau mengelirukan kepada pihak berkuasa sehingga €7.5 juta atau 1%.

Bagi PKS dan syarikat baharu, jumlah yang lebih rendah daripada dua jumlah tersebut terpakai. Penguatkuasaan terletak pada pihak berkuasa penyeliaan kebangsaan yang ditetapkan oleh Belanda dan, untuk model AI tujuan umum, pada Pejabat AI Eropah.

Bagaimanakah Akta AI berkaitan dengan GDPR?

Akta AI tidak menggantikan GDPR: jika sistem AI anda memproses data peribadi, kedua-duanya terpakai. Anda memerlukan asas perundangan untuk memproses data peribadi dalam latihan dan penggunaan, anda mesti memaklumkan kepada orang yang berkenaan, dan keputusan yang hanya berdasarkan pemprosesan automatik yang memberi kesan ketara kepada orang ramai adalah terhad.

Bagi pemprosesan yang berkemungkinan mengakibatkan risiko tinggi, GDPR memerlukan penilaian impak perlindungan data (DPIA). Kaitkannya dengan penilaian impak hak asasi di bawah Akta AI untuk mengelakkan kerja tersebut dilakukan dua kali. Pihak Berkuasa Perlindungan Data Belanda (Autoriteit Persoonsgegevens) menyelia bahagian GDPR.

Bagaimanakah anda menyediakan pelan pematuhan?

Mulakan dengan inventori, tentukan peranan anda dan kategori risiko untuk setiap sistem, dan dokumentasikan setiap langkah. Gunakan masa sehingga 2 Disember 2027 untuk membuat persediaan, bukan untuk menunggu.

1. Senaraikan setiap sistem AI yang anda bangunkan, beli, import atau gunakan, termasuk fungsi AI dalam perisian HR atau CRM.
2. Tentukan peranan anda untuk setiap sistem: penyedia, pengerahkan, pengimport atau pengedar.
3. Semak setiap sistem terhadap larangan dan terhadap Lampiran I dan III, dan catatkan penaakulan anda.
4. Bagi sistem berisiko tinggi, analisis kemungkinan bahaya dan rancang langkah-langkah seperti ujian bias dan pengawasan manusia.
5. Laksanakan langkah ketelusan untuk chatbot, kandungan yang dijana dan deepfake sekarang.
6. Semak kontrak dengan pembekal AI supaya anda menerima arahan, log dan maklumat yang anda perlukan sebagai penyebar.

Apa yang perlu anda semak sebagai penyedia?

• Adakah sistem ini berisiko tinggi di bawah Lampiran I atau III, dan adakah anda telah mendokumentasikan sebarang pergantungan pada pengecualian tugas sempit?
• Adakah sistem pengurusan risiko dan kualiti anda sedia untuk 2 Disember 2027 atau 2 Ogos 2028?
• Adakah kandungan yang dijana mempunyai tanda yang boleh dibaca mesin?
• Adakah sistem ini didaftarkan dalam pangkalan data EU sebelum ia diletakkan di pasaran?
• Jika anda bertapak di luar EU: adakah anda telah melantik wakil yang diberi kuasa di EU untuk sistem berisiko tinggi?

Apa yang perlu anda semak sebagai penyebar?

• Adakah anda menggunakan sebarang amalan yang dilarang, seperti pengecaman emosi di tempat kerja?
• Adakah orang tahu bila mereka berurusan dengan chatbot atau kandungan yang dijana AI?
• Untuk alat berisiko tinggi, seperti perisian pengambilan pekerja: adakah anda telah menugaskan pengawasan manusia dan memaklumkan majlis pekerja dan kerja anda?
• Adakah anda menyimpan log sistem selama sekurang-kurangnya enam bulan?
• Adakah anda telah menjenamakan semula atau mengubah suai sistem pembekal dengan cara yang menjadikan anda penyedia tersebut?

Apa yang boleh kami lakukan untuk anda dengan Akta AI?

Kami menasihati perniagaan tentang Akta AI, GDPR dan kontrak dengan pembekal AI yang berkaitan, sebagai sebahagian daripada kerja kami sebagai peguam IT.

• Kami mengklasifikasikan sistem AI anda dan merekodkan analisis untuk penyelia.
• Kami menentukan peranan anda setiap sistem dan kewajipan yang menyusul daripadanya.
• Kami menyemak dan merundingkan kontrak dengan pembekal dan pelanggan AI.
• Kami menggabungkan DPIA dan penilaian impak hak asasi ke dalam satu proses.
• Kami menasihatkan agar memaklumkan pekerja dan majlis kerja sebelum AI digunakan di tempat kerja.

Ringkasan

• Akta AI mengawal selia AI mengikut risiko: dilarang, berisiko tinggi, berisiko terhad dengan obligasi ketelusan dan risiko minimum.
• Kewajipan bergantung pada peranan anda; penyebar yang menjenamakan semula atau mengubah suai sistem berisiko tinggi secara substansial menjadi penyedia.
• Larangan berkuat kuasa sejak 2 Februari 2025, peraturan AI tujuan umum sejak 2 Ogos 2025 dan kewajipan ketelusan sejak 2 Ogos 2026.
• Omnibus Digital menangguhkan peraturan berisiko tinggi kepada 2 Disember 2027 (Lampiran III) dan 2 Ogos 2028 (Lampiran I).
• Denda mencecah €35 juta atau 7% daripada perolehan seluruh dunia; GDPR terpakai bersama Akta AI.

Soalan lazim