Op 14 juni heeft het Europees Parlement met een grote meerderheid zijn standpunt aangenomen over de AI-act. Dit opent de weg voor de triloog tussen Parlement, Raad en Commissie, waarin de tekst van 's werelds eerste allesomvattende AI-wet wordt afgerond. Gezien de snelle ontwikkelingen op het gebied van AI is het interessant om de voorgestelde amendementen van de parlementariërs te analyseren. Zowel in algemene zin als specifiek met betrekking tot de regulering van ChatGPT en equivalenten, schrijft Bart Schellekens, data-en techjurist aan Universiteit Eindhoven.
De definitie van ‘AI-systeem’ mag van het Europees Parlement bijvoorbeeld beter aansluiten bij internationale standaarden. Men stelt daarom voor om aan te sluiten bij de definitie van de OESO. Net als de teksten van de Commissie en de Raad is de begripsomschrijving ruim gedefinieerd (1). De materiële scope van de wet zal dus linksom of rechtsom erg breed worden.
Om de ruime reikwijdte wel werkbaar te houden wordt de risico-gebaseerde benadering gehanteerd. Dit houdt in dat onaanvaardbare risico's worden verboden, er strenge regels gelden voor systemen met een hoog risico en systemen met een beperkt risico aan transparantieverplichtingen moeten voldoen. De europarlementariërs zagen bij deze drie categorieën een aantal verbeteringen. Zo wil men bijvoorbeeld emotieherkenningssoftware in bepaalde gevallen verbieden en een verbod op het ongebreideld biometrische data verzamelen om gezichtsherkenningdatabases te voeden. Met een wijdlopig amendement stellen de parlementariërs bovendien een verbod voor op AI-systemen die op basis van persoonlijkheidskenmerken inschatten hoeveel risico er is op strafrechtelijke of bestuursrechtelijke overtredingen - denk hierbij aan de toeslagenaffaire of predicitive policing.
Zeer relevant is de extra voorwaarde aan de kwalificatie tot hoog risico die het Parlement voorstelt. Hierdoor schiet het artikel dat hoog risico-systemen definieert minder met hagel en wordt de regeldruk verminderd. Volgens het betreffende amendement is er niet per direct sprake van een hoog-risico als het AI-systeem in een hoog-risico categorie valt; er moet ook daadwerkelijk sprake zijn van een significant risico op schade aan de gezondheid, veiligheid of fundamentele rechten van mensen (en in een specifiek geval: het milieu). Het Parlement schuift de vraag wanneer er sprake is van een 'significant risico' door naar de Commissie, die vóór de inwerkingtreding van de AI-act richtlijnen hierover moet opstellen. Ik wens ze daarbij alle wijsheid toe.
Het meest besproken onderwerp tijdens de onderhandelingen in het Parlement was echter: hoe om te gaan met generative AI zoals ChatGPT. Oftewel: AI-systemen die niet gebouwd zijn voor een specifiek doel. Het is ironisch dat het oorspronkelijke voorstel van de Europese Commissie met daarin de expliciete intentie om technologie-neutraal te zijn, al gedateerd is voordat het wetgevingstraject is afgerond. Gelukkig kan men met de voorzet van het Europees Parlement alsnog de algemeen inzetbare modellen en systemen reguleren. En dat is ook hard nodig. Het Europees Parlement focust zich op de zogenaamde foundation models. Dit zijn zeer grote taalmodellen die kunnen worden ingezet voor een breed scala aan verschillende taken.
De voorgestelde amendementen van het Europees Parlement creëren een hele rits aan eisen voor foundation models voordat zij de markt op mogen. De eisen kennen dezelfde insteek en systematiek als de eisen aan hoog-risico systemen. Ze beogen transparantie, verantwoording, kwaliteitsmanagement, risicobeheer en standaarden af te dwingen, zodat de risico's voor "gezondheid, veiligheid, grondrechten, milieu, democratie en rechtsstaat" zoveel mogelijk worden verminderd en beperkt.
Dat is een uitdagende opdracht, zeker als je kijkt naar de ontwikkeling en implementatie van bekende modellen zoals ChatGPT en Stable Diffusion. Onderzoekers van Stanford University hebben tien bekende foundation modellen getoetst aan een deel van de voorgestelde eisen. De resultaten zijn niet verrassend: het best presterende model behaalde slechts een score van 75%, en een deel van de modellen voldeed niet eens aan een kwart van de eisen. De gebieden intellectueel eigendom, energie, risicobeheer en evaluatie zijn de grootste uitdagingen (2).
De door het Parlement voorgestelde eisen, mits gehandhaafd (!), kunnen daardoor positief bijdragen aan het huidige ecosysteem van generatieve AI – aldus de onderzoekers. Hopelijk nemen de AI-ontwikkelaars deze oproep ter harte en zet men vol in op het ontwikkelen van methodes en standaarden om generatieve AI zo verantwoord mogelijk in te zetten. In plaats van de reeds ingezette reflex om juist zoveel mogelijk eisen weg te willen lobbyen (3).
Wat staat er nu nog te gebeuren? De triloog tussen Commissie, Raad en Parlement is inmiddels gestart. De omgang met generatieve AI zoals ChatGPT zal zeker een prominent onderwerp op de agenda zijn. De triloog zal waarschijnlijk klaar zijn voor het eind van het jaar en het gehele traject begin 2024. Of in ieder geval voordat de Europese Parlementsverkiezingen beginnen in juni 2024. In de tussentijd moet er ook een uitgebreid pakket aan standaarden en richtlijnen worden ontwikkeld, waar veel artikelen uit de AI-act naar verwijzen. Twee jaar na de publicatie van de AI-act wordt de verordening van kracht, en sommige delen al na drie maanden. Of respectievelijk drie jaar en twaalf maanden als het aan de Raad ligt - ook deze data zijn nog onderdeel van de aanstaande onderhandelingen. Genoeg reden dus om dit dossier nauwlettend in de gaten te houden.
1. Het Europees Parlement stelt voor om een AI-systeem als volgt te definiëren: “a machine-based system that is designed to operate with varying levels of autonomy and that can, for explicit or implicit objectives, generate outputs such as predictions, recommendations, or decisions that influence physical or virtual environments
2. https://crfm.stanford.edu/2023/06/15/eu-ai-act.html
3. https://www.ft.com/content/9b72a5f4-a6d8-41aa-95b8-c75f0bc92465
