Poți apăra ce a făcut recent AI-ul tău?

Termenele de reglementare pentru AI continuă să se amâne, dar necesitatea responsabilității AI rămâne 

De două ani, discuția de reglementare privind AI-ul în întreprinderi a fost organizată în jurul termenelor limită. Dispozițiile de risc ridicat ale Regulamentului UE privind AI erau programate să intre în vigoare pe 2 august. Legea AI a Columbiei, prima din țară, urma să devină aplicabilă pe 30 iunie. Washington urma în cele din urmă să clarifice întrebarea cine are dreptul să reglementeze ce. 

Deci, observăm progrese în raport cu acele termene? Aproximativ.

Într-un interval de aproximativ șase săptămâni în această primăvară, UE a fost de acord să amâne obligațiile de risc ridicat din Anexa III până în decembrie 2027, și sistemele încorporate în produse cu risc ridicat până pe 2 august 2028. În Colorado, o hotărâre a instanței federale a împiedicat procurorul de stat să aplice legea originală, înlocuind-o cu un cadru mai restrâns bazat pe notificare, în vigoare din 1 ianuarie 2027. Pe 2 iunie, Casa Albă a semnat un ordin executiv privind AI care a adoptat o poziție deliberat pro-inovare, favorizând colaborarea voluntară cu dezvoltatorii de frontieră în detrimentul oricărei licențieri obligatorii sau cerințe de pre-aprobare pentru modelele AI. 

Termene în amânare și iluzia alinării reglementărilor

Punctul important pentru întreprinderi este că schimbarea termenelor nu a făcut ca responsabilitatea AI să dispară. În Europa, chiar și atunci când unele cerințe de risc ridicat au fost amânate, obligațiile privind transparența, alfabetizarea AI, conținutul sintetic și aplicarea legii au continuat să avanseze. Colorado spune o poveste similară: legiuitorii au eliminat unele dintre cele mai împovărătoare cerințe de conformitate, dar au păstrat fundamentele, cum ar fi dezvăluirea când AI este implicat, explicarea deciziilor adverse, corectarea datelor incorecte și oferirea unei căi pentru revizuirea umană.

Acesta este un semnal util despre unde ar putea converge reglementarea în cele din urmă. Factorii de decizie pot să nu fie de acord asupra evaluărilor de impact, regimurilor de licențiere și nivelului de guvernare care ar trebui să stabilească regulile. Dar abilitatea de a explica ce a făcut un sistem AI, de a documenta cum a ajuns la un rezultat și de a oferi oamenilor un remediu semnificativ se dovedește mult mai greu de eliminat prin legislație. O bancă trebuie în continuare să explice o decizie de credit influențată de AI. Un spital trebuie să aibă o înregistrare a modului în care a fost ajuns la o recomandare asistată de AI. O companie trebuie să știe ce se întâmplă când un sistem automat produce un rezultat pe care trebuie să îl apere.

Dacă este să spunem ceva, disponibilitatea tot mai mare a modelelor deschise face ca această responsabilitate să fie și mai importantă. Cu cât o întreprindere are mai mult control asupra modului și locului în care rulează un model, cu atât devine mai greu să tratezi responsabilitatea ca pe o problemă a altcuiva. Dacă o organizație nu poate reconstrui, explica și apăra ceea ce fac sistemele sale AI, întârzierile reglementare oferă doar o alinare temporară.

Dacă ești Chief AI Officer, Head of Model Risk Management sau ai alte responsabilități legate de utilizarea AI într-o industrie reglementată și ai trăit prin alte ere de inovație și reglementare, știi că prima întotdeauna depășește a doua – iar responsabilitatea reală este determinată de ceea ce face organizația ta în producție, indiferent de cerințele regulatorii.

Diferența de încredere‑verificare a AI‑ului: De ce riscul de piață depășește conformitatea

Responsabilitatea este definită de deciziile luate fără supraveghere și se amplifică în ambele direcții. Deși responsabilitatea AI în întreprinderi este adesea confundată cu un concept bazat pe consecințe inventat de reglementatori, ea este creată în momentul în care o companie implementează, indiferent dacă cineva a numit deja o consecință executabilă. Iar implementarea se accelerează mult mai repede decât orice calendar de conformitate – cel mai rapid acum că agenții autonomi trec în producție, acționează, manipulează date și iau decizii cu o viteză pe care niciun revizor uman nu o poate egala. Gartner estimează că 40% din aplicațiile enterprise vor include agenți AI specifici sarcinilor până la sfârșitul acestui an, în creștere de la sub 5% în 2025. 

De aceea cel mai revelator semnal în AI‑ul enterprise nu provine de la reglementatori – provine din sălile de consiliu și este afișat pe paginile de cariere ale companiilor din diverse industrii. Supravegherea AI la nivel de consiliu a crescut cu 84% în declarațiile companiilor listate și Forrester prevede că 60% din Fortune 100 vor numi un responsabil dedicat guvernanței AI în acest an. Morgan Stanley și BlackRock au început să includă maturitatea guvernanței AI în modul în care evaluează companiile. Nimic din acestea nu este un răspuns la o lege. Este un răspuns la riscul pe care companiile care adoptă AI îl recunosc în tot, de la modul în care afacerea este gestionată și operată până la anunțurile de recrutare.

Indexul AI 2026 al Stanfordului a constatat că securitatea și riscul – nu calitatea modelului sau costul – reprezintă acum cea mai mare barieră în scalarea AI‑ului agentic, citată de 62% dintre organizații și depășind cu mult limitările tehnice și incertitudinea reglementară. Acea distanță – dintre ceea ce face un sistem și ceea ce proprietarul său poate dovedi efectiv – este „diferența de încredere‑verificare a AI‑ului”, și nu se închide pe calendarul unui regulator.

Modelul de inovație care depășește reglementarea este același pe care l‑am văzut la adoptarea cloud‑ului, la apariția criptării și în industria securității cibernetice în ultimele trei decenii – mass-media îl acoperă, reglementatorii îl recunosc, iar fiecare industrie se confruntă cu implicațiile reale și scenariile unice pe măsură ce trece de la reticență la experimentare și, în final, la diferite grade de adoptare enterprise. În cloud computing, AWS a fost lansat în 2006, iar întreprinderile au migrat date sensibile și sisteme de bază timp de aproape un deceniu înainte ca structura de conformitate să le egaleze. FedRAMP nu a apărut decât în 2011, industria a trebuit să inventeze „modelul de responsabilitate partajată” pentru a aloca responsabilitatea pe care contractele nu o prevăzuseră, iar GDPR nu a introdus dinții reali în gestionarea datelor până în 2018. Securitatea cibernetică a urmat același arc: PCI DSS nu a fost formalizat până în 2004, mult după ce datele cardurilor erau deja online; legea de notificare a încălcărilor a început cu o singură lege din California în 2003 și rămâne un mozaic stat cu stat astăzi; iar SEC nu a cerut companiilor să dezvăluie incidente cibernetice semnificative până în 2023. În ambele cazuri responsabilitatea a existat cu mult înainte de regulă, iar piața, clienții, auditorii, asigurătorii și ocazional o breșă foarte publică au impus-o firmelor care pretindeau altceva.

De la capacitatea pilotului la defensibilitatea rezultatului în producție

Viteza și capacitatea au fost cele care au adus AI‑ul în proiectele pilot ale întreprinderilor și, la fel ca orice altă inovație tehnologică majoră, au fost necesare din necesitate. Dar ele nu sunt suficiente pentru a introduce AI în producție în medii puternic reglementate, cu seturi de date și fluxuri de lucru complexe – bănci, asigurători, infrastructuri critice, programe de apărare – medii în care cineva trebuie în final să prezinte o decizie condusă de AI în fața unui regulator, a unui consiliu sau a unui avocat al reclamantului și să o apere. În acele săli, „modelul este foarte capabil” nu este un răspuns responsabil. 

Această distincție a devenit linia de demarcație reală, iar tot mai multe întreprinderi realizează că este o problemă de arhitectură înainte de a fi una de politică. Nu poți audita o cutie neagră pentru responsabilitate retroactiv. Explicabilitatea, trasabilitatea și un lanț clar de proprietate trebuie să fie integrate în sistem sau să nu existe, iar organizațiile care învață acest lucru pe calea grea sunt cele care au implementat mai întâi și au întrebat despre responsabilitate abia apoi. Gartner prevede că până în 2027, 40% dintre întreprinderi vor trebui să retrogradeze sau să dezactiveze agenții autonomi tocmai din cauza lacunelor de guvernanță descoperite numai după ce ceva a mers prost în producție. 

Încălcarea de securitate Klue de la începutul acestui vară servește ca un exemplu clar care a devenit și mai instructiv pe măsură ce s‑a desfășurat. Klue este o platformă de inteligență competitivă bazată pe AI, iar atacatorii nu au învins apărarea sofisticată, ci au folosit o singură acreditare de integrare emisă în 2022 pentru un pilot ulterior abandonat și niciodată revocat, pentru a se autentifica în conexiunile CRM ale clienților și a extrage înregistrări prin interogări automate. Ce a început ca câteva dezvăluiri a ajuns să implice multiple companii. Chiar și după ce atacatorul inițial a început să coopereze, a apărut un al doilea grup care pretindea aceleași date furate și desfășura propria campanie de șantaj.

Expunerea nu a fost o defecțiune a modelului sau un zero‑day ingenios; a fost un traseu de acces automat și de încredere pentru care nimeni nu era activ responsabil, și care a continuat să genereze consecințe mult după ce incidentul a fost presupus „rezolvat”. Pe măsură ce întreprinderile integrează AI și agenții săi în tot mai multe dintre sistemele lor, fiecare dintre aceste conexiuni devine aceeași întrebare care așteaptă să fie pusă: cine deține, cine supraveghează și cine răspunde când se mișcă mai repede decât oricine poate supraveghea?

Reglementatorii amână datele exact din cauza acestei probleme subiacente. Cum faci aceste sisteme lizibile, testabile și responsabile este cu adevărat dificil, iar standardele și instrumentele nu sunt încă pe deplin dezvoltate. Dar asta nu este un motiv să aștepți, ci cel mai clar semnal despre ce trebuie prioritarizat imediat. Întreprinderile care tratează timpul suplimentar ca o permisiune de amânare vor petrece 2027 făcând sub presiune ceea ce concurenții lor fac deja din proprie inițiativă.

Definiția succesului în implementarea AI‑ului enterprise trebuie să treacă de la capacitatea pilotului la defensibilitatea rezultatului. În practică, înseamnă să treci trei teste pentru fiecare traseu decizional în care AI este implicat: o înregistrare durabilă a ceea ce a făcut sistemul, o explicație pe care o poate înțelege o persoană fără pregătire tehnică și o cale prin care persoana afectată să conteste rezultatul. Nu este un cadru inventat de un deck de vânzări, ci aproape cuvânt cu cuvânt ceea ce a supraviețuit dereglementării din Colorado.

Întrebarea dacă AI este demn de încredere în abstract era un dezbatere filozofică în 2025. Acum și în viitor, întreprinderile trebuie să poată răspunde la întrebarea dacă pot apăra rezultatele pe care AI le livrează și să dovedească acest lucru de fiecare dată oricui întreabă.

Termenele pot fi amânate și pot exista mai multe prelungiri, dar, spre deosebire de reglementatori, piață și clienții pe care afacerea ta îi deservește în final, nu acordă prelungiri și nu acceptă scuze.