Decalajul tot mai mare dintre politicile privind IA și aplicarea lor în lumea reală

IA nu are un set unic de reguli

IA este implementată în tot mai multe industrii și pentru tot mai multe aplicații, într-un ritm mai rapid decât cel în care se pot maturiza politicile și cadrele de guvernanță necesare pentru a o supraveghea. În trecut, aplicațiile IA erau reglementate în mare parte prin norme deja existente privind protecția consumatorilor, confidențialitatea și anumite industrii, precum și prin politicile interne ale companiilor. În prezent, guvernele introduc cerințe specifice IA, însă acestea rămân fragmentate și oferă adesea puține îndrumări cu privire la modul în care ar trebui să funcționeze efectiv sistemele. Prin urmare, companiile trebuie să armonizeze cerințele externe cu toleranța proprie la risc, obiectivele produselor și realitățile operaționale.

UE aplică deja în mod activ anumite prevederi ale Legii privind IA, în timp ce politica federală a SUA favorizează în mod explicit un cadru național mai puțin împovărător, iar Ordinul executiv 14365 urmărește să limiteze cerințele divergente la nivel de stat, chiar dacă statele au introdus peste 1.000 de măsuri legate de IA în 2025. Fiecare dintre aceste autorități descrie o direcție diferită, iar sarcina de a le armoniza revine companiilor care construiesc și implementează sistemele.

Dar stabilirea cerințelor de reglementare este doar o parte a provocării. Pe măsură ce IA este implementată în tot mai multe aplicații și contexte, companiile trebuie să transforme cerințele generale și politicile interne în controale operaționale și în decizii individuale ale sistemelor de IA. Niciun cadru de reglementare nu poate anticipa fiecare aplicație, context sau compromis. Prin urmare, organizațiile trebuie să urmărească traseul de la cerințele de guvernanță și politicile interne până la comportamentul sistemelor, rezultatele măsurabile și audit sau revizuire. Cadrul NIST de gestionare a riscurilor asociate inteligenței artificiale adoptă o perspectivă similară, punând accentul pe măsurarea și gestionarea continuă, în loc să trateze guvernanța ca pe un exercițiu de conformitate de sine stătător. Cerințele coboară, iar dovezile urcă: autoritățile de reglementare și directorii pot defini rezultatele dorite, dar organizațiile trebuie să demonstreze dacă sistemele lor le produc efectiv.

Astfel, o mare parte din responsabilitatea practică pentru guvernanța IA revine organizațiilor care implementează aceste sisteme.

Guvernanța devine dificilă la nivelul implementării

Reglementările și cadrele de guvernanță definesc, în general, principii, obligații și rezultate dorite. Sistemele aflate în producție trebuie însă să transpună aceste cerințe în decizii individuale, iar tocmai aici devine dificilă guvernanța. O politică poate prevedea prevenirea discriminării, protejarea utilizatorilor, asigurarea transparenței sau posibilitatea unei examinări umane pertinente, dar un sistem operațional trebuie să răspundă la întrebări mult mai concrete: la ce prag intervine, pe baza căror dovezi și cu ce grad de încredere, când este necesară examinarea umană, ce informații se înregistrează și ce se întâmplă când sistemul este nesigur?

Autoritățile de reglementare se așteaptă deja la răspunsuri la aceste întrebări. FTC, DOJ, CFPB și EEOC au declarat împreună că își vor aplica competențele existente în cazul sistemelor automatizate, ceea ce înseamnă că, mai devreme sau mai târziu, cineva va cere unei companii să explice cum ia decizii sistemul său.

Să luăm exemplul unei platforme care are o politică clară împotriva hărțuirii. Un mesaj care conține cuvinte obscene poate fi o glumă inofensivă între prieteni, în timp ce un mesaj aparent nevinovat poate face parte dintr-o campanie susținută de intimidare a altui utilizator. Sistemul trebuie să determine ce context poate folosi în mod fiabil, ce cantitate de dovezi este suficientă pentru a interveni și ce măsură este adecvată: să blocheze mesajul, să avertizeze expeditorul, să îl trimită spre examinare umană sau să nu ia nicio măsură. Scăderea pragurilor de detectare poate permite identificarea unui număr mai mare de comportamente dăunătoare, dar poate suprima și conversații legitime. Obligativitatea examinării umane poate îmbunătăți judecata, dar poate întârzia intervenția. Niciuna dintre aceste decizii nu este precizată într-o politică generală care interzice hărțuirea, însă, împreună, ele determină modul în care politica este aplicată efectiv.

Niciun document de politică nu stabilește dinainte cum trebuie soluționate aceste compromisuri, așa că cineva din companie trebuie să ia decizii, să le documenteze și să le reanalizeze. Indiferent dacă organigrama spune sau nu acest lucru, persoana respectivă stabilește, în fapt, politica.

Ce presupune, de fapt, IA responsabilă

Dacă persoanele care implementează un sistem sunt, în fapt, cele care stabilesc politica, atunci IA responsabilă nu poate fi tratată ca o simplă declarație de intenție, ci trebuie să se reflecte în modul în care sistemul se comportă zi de zi. Asta înseamnă să gestionăm felul în care IA este utilizată, evaluată și corectată în timp, nu doar să aprobăm o politică sau să trecem cu bine de o evaluare inițială. În practică, trei idei sunt esențiale, iar fiecare decurge din compromisurile menționate mai sus:

• Rigoarea guvernanței ar trebui să fie proporțională cu gravitatea consecințelor. Un sistem IA care recomandă texte, aprobă un împrumut, semnalează o amenințare la adresa securității sau sprijină o decizie medicală implică riscuri foarte diferite. Organizațiile trebuie să stabilească unde sunt necesare controale, verificări și supraveghere mai stricte, în funcție de consecințele potențiale.
• Precizia, de una singură, nu este suficientă. Erorile diferite au costuri diferite. Un rezultat fals pozitiv în moderare poate suprima exprimarea legitimă, în timp ce o greșeală în domeniul creditării, al sănătății sau al securității poate avea consecințe mult mai grave. Guvernanța trebuie să țină cont de impactul real al unei decizii, nu doar de performanța modelului.
• Evaluarea și feedbackul continuu sunt esențiale. Anulările deciziilor, contestațiile, incidentele, cazurile-limită și rezultatele ulterioare ar trebui să contribuie toate la evaluarea continuă.

Un cadru practic pentru guvernanța internă a IA

Punerea în practică a acestor principii presupune integrarea guvernanței în modul în care sunt proiectate, implementate și gestionate sistemele de IA. Patru practici sunt deosebit de importante:

• Tratați cerințele de guvernanță drept cerințe de produs și de sistem încă de la început. Măsurile de control al conformității adăugate după implementare tind să fie costisitoare și fragile. Este mult mai ușor să integrați într-un sistem mecanismele de protecție a vieții private, de transparență, de auditabilitate și de verificare decât să le adăugați ulterior.
• Construiți un lanț auditabil de la politică la decizie. Organizațiile ar trebui să poată lega cerința aplicabilă sau politica internă de măsura de control pusă în aplicare și de decizia rezultată. De asemenea, au nevoie de dovezile necesare pentru a o evalua.
• Stabiliți clar responsabilitățile și răspunderea. Definiți cine răspunde de politică, cine stabilește nivelul de risc acceptabil și cine monitorizează performanța. De asemenea, cineva ar trebui să aibă autoritatea de a interveni atunci când sistemul se comportă în afara acestor limite.
• Construiți o infrastructură de guvernanță comună și adaptabilă. Măsurile de control al datelor, pistele de audit, politicile configurabile, fluxurile de lucru pentru verificare și măsurarea performanței ar trebui să răspundă mai multor cerințe de reglementare și cazuri de utilizare. Măsurile de control și pragurile ar trebui să poată fi adaptate în funcție de jurisdicție, aplicație și risc, astfel încât organizațiile să poată răspunde cerințelor în schimbare fără să-și reconstruiască sistemele.

Guvernanța trebuie să funcționeze în practică

Reglementările pot defini obligații și principii, dar companiile trebuie totuși să le transpună în sisteme care iau decizii reale la scară largă. Prin urmare, guvernanța internă este o responsabilitate operațională, nu doar un exercițiu de conformitate. Fiecare companie care implementează IA la scară largă își formulează deja politica prin pragurile stabilite, regulile de verificare și căile de escaladare, iar singura întrebare rămasă este dacă face acest lucru în mod intenționat.

Autoritățile de reglementare vor continua să definească rezultatele pe care le urmăresc și nu vor fi întotdeauna de acord, așa că fiecare companie trebuie să decidă cum să transforme aceste așteptări în măsuri de control și apoi să demonstreze, pe baza dovezilor, că acestea funcționează. Companiile care stabilesc acum responsabilități clare, măsuri de control măsurabile, auditabilitate și o infrastructură adaptabilă vor fi mai bine pregătite pe măsură ce reglementările continuă să evolueze.

Am văzut această problemă din mai multe perspective: în domeniul securității cibernetice, în procesul de construire a modelelor de risc și, în prezent, în operarea sistemelor de IA la scară largă. În toate aceste domenii, lecția este asemănătoare: un cadru funcționează doar dacă poate fi transpus în decizii clare, măsurat în practică și îmbunătățit atunci când realitatea scoate la iveală lacunele.