歐盟《人工智能法案》生效在即 出海企業(yè)面臨多項挑戰
[ 《AI法案》在全球范圍內的影響力不可小覷，一定程度上是因為，《AI法案》的管轄范圍包括一些在歐盟區域外設立的相關(guān)公司。6個(gè)月后，總則和關(guān)于不可接受風(fēng)險AI系統的禁令將適用；12個(gè)月后，高風(fēng)險AI系統的部分章節、通用人工智能模型等章節將適用；24個(gè)月后，除高風(fēng)險AI系統分類(lèi)規則等部分內容外，其余部分適用；36個(gè)月后，高風(fēng)險AI系統分類(lèi)規則等部分內容也適用。 ]
[ 海外智庫Center for Data Innovation在2021年歐盟推動(dòng)《AI法案》制定之初便預計，該法案將使未來(lái)五年內歐盟經(jīng)濟損失310億歐元。 ]
8月1日，歐盟《人工智能法案》（下稱(chēng)《AI法案》）將在歐盟范圍內正式生效，并將在未來(lái)三年分階段實(shí)施。這是全球第一部全面監管人工智能的法案，影響力不可低估。
與人工智能企業(yè)切身利益相關(guān)的是，《AI法案》對多類(lèi)在歐盟區域開(kāi)展業(yè)務(wù)的海外公司有所約束，影響波及域外地區。這部法案已經(jīng)引起法律界和業(yè)界廣泛重視，大家都在等待歐盟對一些條例提供進(jìn)一步的詳細說(shuō)明和配套設施。
以數據合規相關(guān)內容為例，全球機器學(xué)習和增長(cháng)營(yíng)銷(xiāo)解決方案公司Moloco亞太區產(chǎn)品總監劉連波告訴第一財經(jīng)：“隱私政策這件事情并不是針對某一家公司，與所有參與其中的partner（合作方）或者所有的player（玩家）都是相關(guān)的。這個(gè)行業(yè)大家面對的挑戰總是一樣的，我不認為會(huì )對出海生意的趨勢有本質(zhì)的影響，因為這個(gè)行業(yè)會(huì )共享這個(gè)挑戰。”他認為首先重要的是合規，其次是正確收集數據而不濫用，這最終也會(huì )促使我們調整算法模型來(lái)進(jìn)行應對。“我們會(huì )仔細跟蹤和研究該法案對我們出?？蛻?hù)的具體挑戰，然后我們會(huì )和客戶(hù)一起去研究落實(shí)解決方案。”
“國內出海至歐盟的企業(yè)最需要關(guān)注的是高風(fēng)險AI系統。如果不符合規定，企業(yè)將面臨高額罰款和法律風(fēng)險。” 墾?。◤V州）律師事務(wù)所創(chuàng )始合伙人、主任律師，WW國際法律團隊創(chuàng )始人王捷告訴第一財經(jīng)記者，參考國內科技企業(yè)在歐盟地區開(kāi)展業(yè)務(wù)的情況，主要受影響的行業(yè)包括醫療健康、人力資源、公共安全和交通運輸等。
另有業(yè)界人士告訴記者，對于《AI法案》中的一些規定，企業(yè)要遵守并不容易，且做到合規預計將帶來(lái)企業(yè)成本上升。
罰款可達3500萬(wàn)歐元
ChatGPT 2022年年底意外爆火帶來(lái)了人工智能立法的急迫性。在歐盟緊鑼密鼓的籌備下，《AI法案》今年3月在歐洲議會(huì )通過(guò)，并于今年5月獲得歐盟理事會(huì )批準。今年8月1日該法案正式生效。
《AI法案》在全球范圍內的影響力不可小覷，一定程度上是因為，《AI法案》的管轄范圍包括一些在歐盟區域外設立的相關(guān)公司。6個(gè)月后，總則和關(guān)于不可接受風(fēng)險AI系統的禁令將適用；12個(gè)月后，高風(fēng)險AI系統的部分章節、通用人工智能模型等章節將適用；24個(gè)月后，除高風(fēng)險AI系統分類(lèi)規則等部分內容外，其余部分適用；36個(gè)月后，高風(fēng)險AI系統分類(lèi)規則等部分內容也適用。
該法案規定，條例適用于將AI系統投放到歐盟市場(chǎng)或為歐盟提供AI系統服務(wù)的提供商，或是將通用人工智能模型投放到歐盟市場(chǎng)的提供商，無(wú)論這些提供商設立地或所在地是在歐盟還是在第三國。也適用于設立地或所在地在歐盟的AI系統部署商，以及AI系統進(jìn)口商和分銷(xiāo)商、以自己名義或商標將AI系統與產(chǎn)品一起投放市場(chǎng)或投入使用的產(chǎn)品制造商、位于歐盟的受影響人員等。
這意味著(zhù)，只要海外AI相關(guān)公司將AI系統投放到歐盟市場(chǎng)，或帶上了自己的商標，或影響到歐盟地區的人員，便可能在該法案規制范圍內。違反規定的企業(yè)最高將被處以3500萬(wàn)歐元或最高年收入7%的行政罰款（以較高者為準）。
關(guān)于該法案的價(jià)值和后續影響，法律界和學(xué)界多有討論。
此前歐盟發(fā)布的《通用數據保護條例》（GDPR）已顯現“布魯塞爾效應”，意即歐盟通過(guò)單方面市場(chǎng)規制能力將其法律制度推廣至境外，讓受監管實(shí)體在歐盟之外也遵守歐盟法律。這種效應能否在《AI法案》上再次體現，出現了不同的聲音。
“《AI法案》是一個(gè)‘石破天驚’的法案，在權利、義務(wù)、責任之外，它往前探了一步，抓住‘風(fēng)險’這個(gè)牛鼻子。以往立法從來(lái)沒(méi)有提出對新技術(shù)的整套規制方法。”同濟大學(xué)法學(xué)院副教授陳吉棟告訴記者，歐盟通過(guò)大量問(wèn)卷調查和報告來(lái)支撐法案中幾個(gè)簡(jiǎn)單的條文，投入巨大的立法成本，前期研究十分透徹。在A(yíng)I發(fā)展優(yōu)先和監管優(yōu)先兩端之間，歐盟希望在中間做平衡，監管并沒(méi)有太早。這部法案并非一勞永逸的完美法案，還會(huì )根據AI發(fā)展改進(jìn)。《AI法案》在國內已被學(xué)習參考。美國則體現了實(shí)用主義者的選擇，采取動(dòng)態(tài)監管方案。
在金杜律師事務(wù)所合伙人趙吉印通看來(lái)，《AI法案》非常全面，在全球性問(wèn)題治理上，歐盟立法走在前面。結合2018年的GDPR以及近年的數字服務(wù)法、數字市場(chǎng)法等，歐盟為進(jìn)入數字經(jīng)濟時(shí)代做了多年鋪墊。該法案積極的一面是對AI監管起到很好的示范，“就像GDPR出臺后，全球監管框架基本上都在借鑒GDPR，《AI法案》出臺也必定會(huì )對全球AI治理提供有益的借鑒和參考”。
北京師范大學(xué)法學(xué)院副教授、中國互聯(lián)網(wǎng)協(xié)會(huì )研究中心副主任吳沈括認為，這會(huì )對跨國企業(yè)帶來(lái)非常重大的影響，影響業(yè)務(wù)研發(fā)模式、合規流程設計、市場(chǎng)運營(yíng)策略，其優(yōu)點(diǎn)在于明確的規則和細化的制度設計。
另有聲音認為，《AI法案》推出可能過(guò)早過(guò)嚴，而全球不同地區對AI產(chǎn)業(yè)發(fā)展的態(tài)度并不相同。
吳沈括也認為，短期來(lái)看《AI法案》存在阻礙當地AI布局的這個(gè)可能性。這是監管和產(chǎn)業(yè)企業(yè)之間互動(dòng)博弈的過(guò)程，需要一個(gè)相互增強認知的過(guò)程。中長(cháng)期看，如果在確定性和監管力度上有所平衡的話(huà)，可能存在反彈機會(huì )。
AI初創(chuàng )企業(yè)波形智能計劃出海歐洲，創(chuàng )始人姜昱辰曾在瑞士攻讀人工智能博士學(xué)位。她認為，歐盟嚴監管不是一個(gè)新問(wèn)題，歐洲向來(lái)在數據隱私方面較嚴。“這次只是針對AI出了相應的隱私條款，但隱私條款本身嚴格這件事情不這么新，是歐洲市場(chǎng)一直存在的固有挑戰。”
至于《AI法案》對市場(chǎng)的影響，姜昱辰認為會(huì )有一些，但對私有化部署的影響較小，對大模型公司影響可能更大，“尤其大模型公司提供閉源的API有較大風(fēng)險，但給企業(yè)做私有化部署或做保障的軟件，這個(gè)市場(chǎng)反倒更大”。當隱私監管較強時(shí)，隱私保障較好的產(chǎn)品及公司會(huì )獲益。
高風(fēng)險系統劃分引關(guān)注
《AI法案》對企業(yè)的影響細化在“風(fēng)險分級”監管中。
具體看，《AI法案》采取“風(fēng)險分級”監管模式，將AI系統分為四個(gè)風(fēng)險級別，分別為被禁止的、高風(fēng)險、有限風(fēng)險和最低風(fēng)險，每個(gè)級別都有相應合規要求。法案規定，不可接受風(fēng)險的AI系統被徹底禁止投入市場(chǎng)，高風(fēng)險AI系統只有在符合某些強制性要求的情況下才能投放歐盟市場(chǎng)、投入服務(wù)或使用，有限風(fēng)險AI系統的規制較少。
一些法律界人士認為，AI企業(yè)進(jìn)入歐盟市場(chǎng)最應關(guān)注的是高風(fēng)險AI系統的劃定和要求。
美國奧睿律師事務(wù)所巴黎辦公室合伙人Julia Apostle告訴記者，根據《AI法案》規定，高風(fēng)險AI系統開(kāi)發(fā)者有最重的合規負擔，包括需要證明符合法律的要求。任何在歐洲開(kāi)發(fā)或投放AI系統的公司都應該審查其AI系統是否為高風(fēng)險。從AI實(shí)際應用看，開(kāi)發(fā)可能影響個(gè)人權利、安全和自主權的AI系統公司，受該法案影響較大。
“高風(fēng)險AI系統涉及關(guān)鍵領(lǐng)域，如教育和職業(yè)培訓、就業(yè)、重要的私人和公共服務(wù)（如醫療保健、銀行業(yè)）等，這些領(lǐng)域受到嚴格監管和合規要求。而醫療健康、人力資源、公共安全和交通運輸等行業(yè)使用的AI系統大多屬于高風(fēng)險類(lèi)別。”王捷表示。
據歐盟推動(dòng)制定《AI法案》之初的預計，高風(fēng)險AI系統占AI系統的比例約5%~15%。王捷判斷，不直接影響人身安全、健康或基本權利的應用場(chǎng)景相對影響較小，如聊天機器人、個(gè)性化內容推薦等，一般不會(huì )被認為是高風(fēng)險系統。Julia Apostle認為，多數AI系統不會(huì )受該法案太大影響，而對高敏感領(lǐng)域，如醫療保健、職業(yè)場(chǎng)景，將會(huì )有進(jìn)一步的立法關(guān)注。
但陳吉棟判斷，高風(fēng)險AI系統涉及廣泛，現在歐盟把大多數AI系統都納入高風(fēng)險系統中。例如自動(dòng)駕駛汽車(chē)、人臉識別都可能涉及高風(fēng)險。
值得注意的是，《AI法案》明確了AI系統相關(guān)的多類(lèi)主體，包括AI系統提供者、部署者、授權代表、進(jìn)口商和產(chǎn)品制造商。據上海段和段律師事務(wù)所律師團隊近期發(fā)布的一篇文章，AI系統提供者的義務(wù)要求最繁多，大約涉及29條條例，這些義務(wù)涉及系統設計、開(kāi)發(fā)、測試、部署、監控等多環(huán)節，明顯多于部署者、授權代表、進(jìn)口商涉及的條例。
王捷表示，AI系統提供者負責開(kāi)發(fā)人工智能系統或通用人工智能模型并將其投放市場(chǎng)，這意味著(zhù)需要投入更多資源來(lái)確保合規性。AI系統提供者需承擔最多義務(wù)，也承擔較高合規成本。
此外，《AI法案》也對通用人工智能系統施以頗大關(guān)注。該法案稱(chēng)，具有至少10億個(gè)參數并使用大規模自我監督用大量數據訓練的模型應被視為具有顯著(zhù)通用性。而當通用人工智能模型用于訓練的累積計算量大于10的25次方每秒浮點(diǎn)運算次數FLOPs時(shí)，將被認為具有高影響能力，進(jìn)而可能被認定為具有“系統性風(fēng)險”，需滿(mǎn)足一些額外要求。
大模型合規成本或超出17%
對人工智能相關(guān)企業(yè)而言，要滿(mǎn)足這樣一部全面且復雜的法案的要求，隨之而來(lái)的可能是合規成本上升。
海外智庫Center for Data Innovation在2021年歐盟推動(dòng)《AI法案》制定之初便預計，該法案將使未來(lái)五年內歐盟經(jīng)濟損失310億歐元。一家部署高風(fēng)險AI系統的歐洲中小企業(yè)將承擔高達40萬(wàn)歐元的合規成本。《AI法案》將導致所有人工智能支出額外17%的開(kāi)銷(xiāo)。
CEPS（歐洲政策研究中心）同年澄清，超300億歐元損失的估計被夸大，支出17%額外開(kāi)銷(xiāo)僅適用于未滿(mǎn)足任何監管要求的公司。在CEPS的研究中，要建立一個(gè)全新的質(zhì)量管理體系（QMS）的成本可能在19.3萬(wàn)歐元至33萬(wàn)歐元之間，每年的維護費用估計為7.14萬(wàn)歐元，一旦QMS建立起來(lái)，成本會(huì )降低，且QMS只是針對高風(fēng)險AI系統提供者的要求。
以上關(guān)于合規成本的討論發(fā)生在兩三年前，當時(shí)大模型還未成為主流，如今情況可能發(fā)生了改變。
Julia Apostle認為，提出的17%這個(gè)數字，是基于非常低的AI系統基礎成本的估計，未反映訓練一個(gè)基礎模型的成本。“合規成本還無(wú)法完全估算，因為還不知道全部細節。高風(fēng)險AI系統和通用人工智能模型的提供者的成本將是最大的。法律依賴(lài)于對技術(shù)標準的采納，由公司實(shí)施這些標準，實(shí)施過(guò)程須經(jīng)過(guò)認證。而這些標準內容尚未正式確定，但肯定涉及政策、程序和具體產(chǎn)品要求的采納。”Julia Apostle表示，由于該法案對AI的監管不止于歐盟，企業(yè)因該法案而離開(kāi)歐盟似乎不太可能。
王捷認為，對該法案，國內大模型廠(chǎng)商若要在短期內快速且低成本實(shí)現合規可能有難度，特別是對于數據復雜的大模型。大模型廠(chǎng)商的挑戰可能是適應歐盟對于數據管理、模型透明度和可解釋性的高標準要求。
吳沈括認為，對于風(fēng)險的分類(lèi)、分級，特別是關(guān)于A(yíng)I研發(fā)的披露度問(wèn)題，是比較大的合規挑戰，這與人工智能算法一定的黑箱屬性具有較強烈和明顯的沖突。趙吉印通則認為，《AI法案》涉及一些更高的合規標準和要求，企業(yè)進(jìn)入歐盟市場(chǎng)前要考慮能不能接受合規成本，以及可能面臨的不合規責任。
“如果說(shuō)歐盟完全不在乎對經(jīng)濟的限制，也不準確。”趙吉印通表示，從《AI法案》規定范圍、內容看，歐盟也在試圖消除規定對創(chuàng )新的影響，如對一些較少風(fēng)險AI系統的管理相對寬松。例如支持創(chuàng )新的措施中專(zhuān)門(mén)設了人工智能監管沙盒，供企業(yè)測試創(chuàng )新性產(chǎn)品、服務(wù)、商業(yè)模式和交付機制，避免企業(yè)因從事相關(guān)活動(dòng)而立即招致監管后果，這是針對技術(shù)創(chuàng )新的柔性監管制度，給了小企業(yè)較多發(fā)展空間。該法案有較大靈活性，風(fēng)險管控循序漸進(jìn)、逐步匹配，預計對經(jīng)濟造成負面的沖擊較小。
具體條例看，業(yè)界和法律界仍在關(guān)注哪些具體要求可能增加合規成本。
《AI法案》對高風(fēng)險AI系統的要求非常細致，涉及風(fēng)險管理系統、數據和數據治理、技術(shù)文件、記錄保存、透明度和向部署商提供信息、人為監督、準確性、穩健性及網(wǎng)絡(luò )安全。具體要求包括但不限于建立、實(shí)施、記錄和維護與高風(fēng)險AI系統相關(guān)的風(fēng)險管理系統；擬定技術(shù)文件并向國家主管部門(mén)和認證機構提供必要的信息；訓練、驗證和測試數據集的數據準備處理工作包括各種注釋、清理、更新等，并采取措施發(fā)現、預防和減輕可能發(fā)生的某些偏差。
《AI法案》對通用人工智能模型提供商的要求則包括擬定并隨時(shí)更新技術(shù)文件、向擬集成該模型的AI系統提供商更新信息和文檔、制定遵守歐盟版權法的政策、起草并公開(kāi)一份關(guān)于通用人工智能培訓內容的足夠詳細的摘要。被認定為具有“系統性風(fēng)險”的通用人工智能模型需額外履行一些義務(wù)。
一名國內互聯(lián)網(wǎng)大廠(chǎng)研發(fā)負責人向記者表示，對高風(fēng)險AI系統的要求中，較可能導致成本增加的是對數據進(jìn)行處理、預防某些偏差，因為涉及專(zhuān)門(mén)做數據處理并微調模型來(lái)避免模型輸出不合法內容。國內大模型在這方面肯定做過(guò)工作，但各地標準不同，要符合新標準需重新做工作。
趙吉印通則表示，高風(fēng)險AI系統提供者是指AI系統由某個(gè)企業(yè)提供并投入歐盟市場(chǎng)，法案專(zhuān)章列出提供者的義務(wù)，包括編制相應技術(shù)文件、證明符合法案要求，并對符合歐盟的相關(guān)規定做符合性聲明，還要增加CE合格證認證。高風(fēng)險AI系統投放市場(chǎng)前需完成合格性評估程序。
“這些規定非常具體，對提供者、部署者、進(jìn)口商和分銷(xiāo)主體設定不同的義務(wù)。”趙吉印通表示，如果大模型公司在歐盟市場(chǎng)提供服務(wù)，除了需要請律師在合規層面及法律方面做評估和建議外，還涉及通過(guò)第三方進(jìn)行合格性評估程序等，有些企業(yè)加CE標志也需找第三方認證機構。此外，《AI法案》還要求將AI系統算法的主要技術(shù)數據做摘要，這可能涉及公司內部商業(yè)、技術(shù)團隊，及外部第三方主體。
成本之外，人工智能企業(yè)是否愿意為了進(jìn)入歐盟市場(chǎng)而滿(mǎn)足《AI法案》的要求也是問(wèn)題。
《AI法案》對通用人工智能模型在預訓練和訓練中使用數據的透明度提出要求，模型提供商應起草并公開(kāi)用于訓練通用人工智能模型內容的足夠詳細的摘要。在適當考慮保護商業(yè)秘密和機密商業(yè)信息必要性的同時(shí)，摘要內容應總體全面。
”現在公開(kāi)的大模型技術(shù)文件對預訓練數據方面大多一筆帶過(guò)，但其實(shí)這部分內容應該最多。”一名國內頭部大模型研發(fā)人員告訴記者，大模型效果如何，80%跟訓練數據有關(guān)。之所以不公開(kāi)訓練數據的細節，是因為訓練數據在一定程度上是企業(yè)核心機密。同時(shí)，很多大模型的訓練數據來(lái)自網(wǎng)上各種渠道，如果不披露可能不會(huì )有人發(fā)現數據來(lái)源，一旦披露則可能暴露版權問(wèn)題。
以上技術(shù)人員告訴記者，需向外提交的技術(shù)文檔如果有詳細的要求，大模型公司也不一定愿意提供，這并非成本的問(wèn)題，而是因為公司可能希望對技術(shù)保密。
《AI法案》還將分階段實(shí)施，目前也有不少模糊或需厘清的問(wèn)題。陳吉棟告訴記者，要劃定高風(fēng)險系統還是比較難，企業(yè)面對高風(fēng)險AI系統需承擔的諸多義務(wù)時(shí)，會(huì )傾向于不把自身劃定在高風(fēng)險范圍內。歐盟或相關(guān)方還需要提供一套后臺配套基礎設施來(lái)支撐法律順利運行。
吳沈括認為，從可能的缺點(diǎn)來(lái)看，該法案對于產(chǎn)業(yè)研發(fā)和應用的邏輯是否有足夠強的匹配性，還需要進(jìn)一步的觀(guān)察。
“模糊和爭議點(diǎn)主要集中在定義和具體合規要求上，如高風(fēng)險AI系統精確界限、基礎模型和應用模型的區分等。如何有效評估和監控AI系統透明度和公平性也存在不確定性。”王捷認為。
“我認為國內有些大企業(yè)已經(jīng)做好了合規的準備，但大部分還沒(méi)做系統準備，維持觀(guān)望態(tài)度。是否做好合規準備，更多取決于戰略認知。企業(yè)要從本質(zhì)上認識到人類(lèi)已進(jìn)入人工智能高風(fēng)險時(shí)代，對其風(fēng)險進(jìn)行管控已成為共識。”陳吉棟表示。
