Растущий разрыв между политикой в области ИИ и ее исполнением на практике

Для ИИ нет единого свода правил

ИИ внедряют в различных отраслях и приложениях быстрее, чем успевают развиваться политика и механизмы управления, необходимые для надзора за ним. Исторически применение ИИ в основном регулировалось действующими нормами о защите прав потребителей, конфиденциальности и требованиями к отдельным отраслям, а также внутренними политиками компаний. Сейчас правительства вводят специальные требования к ИИ, однако они остаются разрозненными и зачастую дают лишь ограниченные указания о том, как именно должны работать системы. Поэтому компаниям приходится согласовывать внешние требования со своей готовностью принимать риски, целями в отношении продуктов и практическими условиями работы.

ЕС уже активно обеспечивает соблюдение отдельных положений Закона об ИИ, тогда как федеральная политика США прямо отдает предпочтение менее обременительной общенациональной системе. Исполнительный указ 14365 призван ограничить противоречащие друг другу требования штатов, хотя в 2025 году штаты приняли более 1 000 мер, связанных с ИИ. Каждая из этих властей задает свой курс, и согласовывать его с остальными приходится компаниям, которые разрабатывают и внедряют эти системы.

Однако введение нормативных требований — лишь часть задачи. По мере того как ИИ внедряют во все большем числе приложений и контекстов, компаниям необходимо преобразовывать общие требования и внутренние политики в рабочие механизмы контроля и решения, принимаемые отдельными системами ИИ. Ни одна нормативная система не может предусмотреть все возможные приложения, контексты и компромиссы. Поэтому организациям необходимо проследить путь от регулирующих требований и внутренних политик к поведению системы, измеримым результатам, а также аудиту или проверке. Рамочная структура NIST по управлению рисками ИИ исходит из схожего подхода: в ней подчеркивается необходимость постоянного измерения и управления, а не рассмотрения управления как отдельного мероприятия по обеспечению соответствия требованиям. Требования поступают сверху вниз, а свидетельства их выполнения — снизу вверх: регуляторы и руководители могут определять желаемые результаты, но организациям необходимо показать, действительно ли их системы их обеспечивают.

В результате значительная часть практической ответственности за управление ИИ ложится на организации, внедряющие такие системы.

Сложнее всего управлять ИИ на этапе внедрения

Нормативные акты и механизмы управления обычно определяют принципы, обязательства и желаемые результаты. Однако в работающих системах их необходимо воплощать в конкретных решениях, и именно здесь управление становится сложной задачей. Политика может предписывать предотвращать дискриминацию, защищать пользователей, обеспечивать прозрачность или предусматривать содержательный контроль со стороны человека. Но работающая система должна отвечать на гораздо более конкретные вопросы: при каком пороговом значении она должна действовать, на основании каких свидетельств и с какой степенью уверенности, когда требуется проверка человеком, что следует регистрировать и что делать, если система не уверена?

Регуляторы уже требуют ответов на эти вопросы. FTC, DOJ, CFPB и EEOC совместно заявили, что будут применять имеющиеся у них полномочия в отношении автоматизированных систем. Это означает, что рано или поздно компанию попросят объяснить, как ее система принимает решения.

Представим платформу, в которой действует четкая политика против травли. Сообщение с нецензурной лексикой может быть безобидной шуткой между друзьями, тогда как на первый взгляд безобидное сообщение может быть частью длительной кампании травли другого пользователя. Система должна определить, какой контекст она может надежно учитывать, каких свидетельств достаточно для вмешательства и какие меры уместны: заблокировать сообщение, предупредить отправителя, передать случай на проверку человеку или не предпринимать никаких действий. Снижение пороговых значений обнаружения может помочь выявлять больше вредоносного поведения, но при этом привести к подавлению законного общения. Проверка человеком может повысить качество решения, но задержать вмешательство. Ни одно из этих решений не предусмотрено общей политикой, запрещающей травлю, однако вместе они определяют, как эта политика применяется на практике.

Ни один документ с изложением политики не позволяет заранее разрешить все эти противоречия, поэтому кому-то внутри компании приходится принимать решения, документировать их и пересматривать. Фактически этот человек формирует политику независимо от того, отражено ли это в организационной структуре.

Что на самом деле требуется для ответственного ИИ

Если люди, внедряющие систему, фактически сами формируют политику, то ответственное применение ИИ нельзя сводить к заявлению о намерениях: оно должно проявляться в повседневной работе системы. Это означает, что необходимо постоянно управлять применением ИИ, оценивать его и вносить коррективы, а не просто утверждать политику или проводить первоначальную оценку. На практике особенно важны три принципа, каждый из которых вытекает из рассмотренных выше компромиссов:

• Масштаб управления должен соответствовать серьезности возможных последствий. Система ИИ, которая предлагает варианты текста, одобряет кредит, выявляет угрозу безопасности или помогает принять медицинское решение, сопряжена с совершенно разными рисками. Организациям необходимо определять, где с учетом возможных последствий нужны более строгие механизмы контроля, проверки и надзора.
• Одной точности недостаточно. Ошибки разного рода влекут за собой разные издержки. Ложное срабатывание при модерации может привести к подавлению законного высказывания, тогда как ошибка в кредитовании, здравоохранении или сфере безопасности может иметь гораздо более серьезные последствия. Управление должно учитывать реальное влияние решения, а не только качество работы модели.
• Необходимы постоянная оценка и обратная связь. Случаи отмены решений системы, апелляции, инциденты, нестандартные ситуации и последующие результаты — все это должно учитываться при постоянной оценке.

Практическая основа внутреннего управления ИИ

Чтобы воплотить эти принципы в жизнь, управление необходимо встроить в процессы проектирования, внедрения и эксплуатации систем ИИ. Особенно важны четыре практических шага:

• С самого начала рассматривайте требования к управлению как требования к продукту и системе. Меры контроля за соблюдением требований, добавленные после внедрения, обычно обходятся дорого и плохо адаптируются к изменениям. Встроить в систему механизмы защиты конфиденциальности, прозрачности, аудита и проверки гораздо проще, чем добавлять их позднее.
• Создайте прослеживаемую цепочку от политики до решения. Организации должны иметь возможность связать нормативное требование или внутреннюю политику с применённой мерой контроля и принятым в результате решением. Им также нужны доказательства, позволяющие оценить это решение.
• Чётко распределите ответственность и подотчётность. Определите, кто отвечает за политику, кто устанавливает приемлемый уровень риска и кто контролирует результаты работы. Кроме того, у кого-то должны быть полномочия вмешаться, если система выходит за установленные рамки.
• Создайте общую адаптируемую инфраструктуру управления. Средства контроля данных, журналы аудита, настраиваемые политики, процедуры проверки и измерение результатов должны обеспечивать выполнение различных нормативных требований и поддержку разных сценариев применения. Меры контроля и пороговые значения должны настраиваться с учётом юрисдикции, сферы применения и уровня риска, чтобы организации могли реагировать на меняющиеся требования без перестройки систем.

Управление должно работать на практике

Нормативные акты могут устанавливать обязательства и принципы, однако компаниям всё равно приходится воплощать их в системах, которые принимают реальные решения в больших масштабах. Поэтому внутреннее управление — это часть операционной деятельности, а не просто выполнение требований. Каждая компания, внедряющая ИИ в больших масштабах, уже формирует политику через устанавливаемые пороговые значения, правила проверки и процедуры эскалации; вопрос лишь в том, делает ли она это осознанно.

Регуляторы и дальше будут определять желаемые результаты, причём их требования не всегда будут совпадать. Поэтому компании должны решать, как воплотить эти ожидания в мерах контроля, а затем на основании доказательств показывать, что эти меры работают. Компании, которые уже сейчас создадут чёткую систему ответственности, измеримые меры контроля, возможности аудита и адаптируемую инфраструктуру, будут лучше подготовлены к дальнейшим изменениям регулирования.

Я сталкивался с этой проблемой с разных сторон: в сфере кибербезопасности, при создании моделей риска и теперь — при эксплуатации систем ИИ в больших масштабах. Во всех этих случаях вывод был схожим: система управления работает, только если её можно преобразовать в чёткие решения, оценивать на практике и совершенствовать, когда реальность выявляет пробелы.