Izvršna potpredsjednica Europske komisije Henna Virkkunen izjavila je da je Europska unija spremna odgovoriti na rizik od modela koji zaobilaze nadzor ili djeluju protivno namjeri operatora. Prema njezinu tumačenju, Akt o umjetnoj inteligenciji već obuhvaća takve scenarije kroz upravljanje rizikom, evaluacije i praćenje tijekom cijelog životnog ciklusa sustava.
Komisija je od više od 30 kompanija zatražila podatke o sigurnosti i usklađenosti, uključujući dobavljače iz Kine. Zahtjevi trebaju pokazati kako tvrtke testiraju modele, prijavljuju ozbiljne incidente i ograničavaju sposobnosti koje mogu izazvati sustavnu štetu. Odgovori mogu dovesti do formalne istrage, korektivnih mjera i kazni.
Pojam odmetnutog AI-ja nije posebna pravna kategorija. U tehničkoj raspravi opisuje sustav koji prikriva ponašanje, zaobilazi zaštitu, autonomno slijedi pogrešan cilj ili se opire nadzoru. Akt o umjetnoj inteligenciji umjesto dramatičnog naziva postavlja mjerljive obveze prema razini rizika, namjeni, dosegu i učinku modela.
Za modele opće namjene najvažniji su dokumentacija, procjena sposobnosti, sigurnost infrastrukture i obavještavanje o incidentima. Dobavljač mora znati kako je model treniran i testiran, koje su mu granice te kako se rizik mijenja nakon nadogradnje. Veliki doseg povećava obveze jer jedan kvar ili zlouporaba može pogoditi mnogo sektora odjednom.
Virkkunen odbacuje tvrdnju da je zakon zastario prije pune primjene. Propis je tehnološki neutralan, a može se dopuniti tehničkim standardima, kodeksima i smjernicama. Kritičari ipak upozoravaju da se sposobnosti modela mijenjaju brže od administrativnog postupka te da pravna kategorija ne jamči dovoljno stručnjaka za nadzor.
Praktična snaga zakona ovisit će o pristupu dokazima. Regulator ne može procijeniti model samo iz javne demonstracije ili izjave proizvođača. Potrebni su rezultati evaluacija, opis podataka, zapisi o pokušajima zaobilaženja zaštite i pristup stručnjacima koji razumiju treniranje. Poslovna tajna ne može potpuno zatvoriti taj uvid, ali podaci moraju ostati zaštićeni.
Kazne za najteže povrede mogu dosegnuti sedam posto svjetskog godišnjeg prihoda, što daje regulatoru veću težinu od dobrovoljnog kodeksa. Visoka gornja granica ne znači da će svaki propust završiti maksimalnom sankcijom. Komisija prvo mora dokazati konkretnu obvezu, opseg povrede i odgovornost kompanije te omogućiti obranu i žalbu.
Za europske korisnike poslovnih AI sustava važno je tko je dobavljač, a tko operator. Kompanija koja ugrađuje vanjski model i dalje mora kontrolirati podatke, pristup i način uporabe. Ne može svu odgovornost prebaciti laboratoriju ako je sustav pustila u proces za koji nije testiran ili je zanemarila upozorenje o ograničenjima.
Zahtjevi upućeni kineskim i drugim neeuropskim dobavljačima provjeravaju stvarni doseg zakona. Tvrtka bez sjedišta u Uniji može biti obuhvaćena ako model nudi europskim korisnicima ili njegov rezultat utječe na osobe u Europi. Provedba će zahtijevati lokalne predstavnike, suradnju nacionalnih tijela i mogućnost ograničavanja pristupa usluzi.
Za dobavljače općih modela praktični teret počinje evidencijom. Moraju znati koje su verzije dostupne, kojim alatima mogu pristupiti, kako bilježe opasne pokušaje i tko može obustaviti uslugu. Poslovni korisnici trebaju pratiti vlastite integracije jer isti model nema jednak rizik u uredskom sažimanju i u sustavu koji samostalno izvršava naloge. Ta će podjela biti presudna kada nadzorno tijelo bude utvrđivalo je li problem nastao u modelu, aplikaciji ili uporabi. Nacionalna tijela pritom trebaju zajedničke kriterije kako ista tehnička pojava ne bi u jednoj državi bila ozbiljan incident, a u drugoj obična pogreška proizvoda. Komisijine smjernice morat će tu granicu pretvoriti u provjerljive testove.
