Прірва між політикою у сфері ШІ та її реальним забезпеченням

Для ШІ немає єдиного зводу правил

ШІ впроваджують у різних галузях і сферах застосування швидше, ніж встигають розвиватися політики та системи управління, необхідні для нагляду за ним. Історично застосування ШІ здебільшого регулювали наявні норми щодо захисту прав споживачів, конфіденційності та окремих галузей, а також внутрішні політики самих компаній. Тепер уряди запроваджують спеціальні вимоги до ШІ, але вони залишаються фрагментованими й часто дають мало вказівок щодо того, як саме мають працювати системи. Тому компаніям доводиться узгоджувати зовнішні вимоги з власною схильністю до ризику, цілями продукту та реаліями операційної діяльності.

ЄС уже активно забезпечує дотримання окремих положень Акта про штучний інтелект, тоді як федеральна політика США прямо віддає перевагу менш обтяжливій загальнонаціональній системі: Указ президента США № 14365 має обмежити суперечливі вимоги штатів, хоча у 2025 році штати запровадили понад 1 000 заходів, пов’язаних зі ШІ. Кожен із цих органів влади визначає окремий напрям, а узгоджувати їх доводиться компаніям, які створюють і впроваджують ці системи.

Однак установлення регуляторних вимог — лише частина проблеми. У міру того як ШІ застосовують у дедалі більшій кількості сфер і контекстів, компаніям потрібно перетворювати загальні вимоги та внутрішні політики на операційні механізми контролю й рішення, які ухвалює ШІ. Жодна нормативна система не може передбачити кожен варіант застосування, контекст чи компроміс. Тому організаціям потрібно простежити шлях від обов’язкових вимог і внутрішніх політик до поведінки системи, вимірюваних результатів, аудиту та перевірки. Рамкова система управління ризиками ШІ NIST дотримується подібного підходу: наголошує на постійному вимірюванні та управлінні, а не розглядає врядування як окрему вправу з дотримання вимог. Вимоги спускаються згори вниз, а докази рухаються у зворотному напрямку: регулятори й керівники можуть визначити бажані результати, але організації мають довести, чи справді їхні системи забезпечують ці результати.

Отже, значна частина практичної відповідальності за врядування у сфері ШІ покладається на організації, які впроваджують ці системи.

Найскладніше врядування стає на етапі впровадження

Нормативні акти й системи врядування зазвичай визначають принципи, зобов’язання та бажані результати. Однак робочі системи мають втілювати їх у конкретних рішеннях, і саме тут врядування ускладнюється. Політика може вимагати запобігати дискримінації, захищати користувачів, забезпечувати прозорість або передбачати змістовний людський нагляд, але операційна система має відповісти на значно конкретніші запитання: за якого порогового значення вона має діяти, на яких доказах і з яким рівнем упевненості, коли потрібна перевірка людиною, що саме слід реєструвати та що робити, коли система не впевнена?

Регулятори вже очікують на відповіді. Федеральна торгова комісія (FTC), Міністерство юстиції США (DOJ), Бюро фінансового захисту споживачів (CFPB) і Комісія з рівних можливостей у працевлаштуванні (EEOC) спільно заявили, що застосовуватимуть наявні повноваження до автоматизованих систем. Це означає, що рано чи пізно компанію попросять пояснити, як її система ухвалює рішення.

Уявімо платформу з чіткою політикою проти домагань. Повідомлення з лайкою може бути невинним жартом між друзями, тоді як на перший погляд нешкідливе повідомлення може бути частиною тривалої кампанії проти іншого користувача. Система має визначити, який контекст вона може надійно врахувати, скільки доказів достатньо для втручання та яке втручання буде доречним: заблокувати повідомлення, попередити відправника, передати випадок на перевірку людині чи не вживати жодних заходів. Зниження порогових значень виявлення може допомогти виявляти більше шкідливої поведінки, але водночас призвести до придушення правомірного спілкування. Обов’язкова перевірка людиною може поліпшити якість судження, але затримати втручання. Жодне з цих рішень не визначене загальною політикою, що забороняє домагання, проте разом вони визначають, як цю політику фактично забезпечують.

Жоден документ із політикою не врегульовує ці компроміси заздалегідь, тож хтось у компанії має ухвалювати відповідні рішення, документувати їх і переглядати. Фактично ця людина формує політику, навіть якщо організаційна структура цього не передбачає.

Що насправді передбачає відповідальний ШІ

Якщо люди, які впроваджують систему, фактично самі формують політику, відповідальний ШІ не можна зводити до заяви про наміри: він має виявлятися в повсякденній роботі системи. Це означає, що потрібно з часом відстежувати й коригувати використання ШІ та оцінювати його результати, а не просто затвердити політику чи пройти первинне оцінювання. На практиці найважливіші три принципи, і кожен із них випливає з описаних вище компромісів:

• Масштаб врядування має відповідати серйозності можливих наслідків. Система ШІ, яка пропонує рекламні тексти, схвалює кредит, сигналізує про загрозу безпеці чи допомагає ухвалювати медичне рішення, створює зовсім різні ризики. Організаціям потрібно визначати, де потрібні суворіші механізми контролю, перевірки та нагляду, зважаючи на можливі наслідки.
• Самої точності недостатньо. Різні помилки мають різну ціну. Хибне спрацювання під час модерації може придушити правомірне висловлювання, тоді як помилка у кредитуванні, охороні здоров’я чи безпеці може мати значно тяжчі наслідки. Врядування має враховувати реальний вплив рішення, а не лише якість роботи моделі.
• Постійне оцінювання та зворотний зв’язок є вкрай важливими. Відхилення рекомендацій системи, апеляції, інциденти, нестандартні випадки й подальші результати мають постійно враховуватися під час оцінювання.

Практичний підхід до внутрішнього управління ШІ

Щоб втілити ці принципи в життя, управління потрібно закласти в процеси проєктування, розгортання та керування системами ШІ. Особливо важливі чотири практики:

• Від самого початку розглядайте вимоги до управління як вимоги до продукту й системи. Засоби контролю відповідності, додані вже після розгортання, зазвичай дорогі й ненадійні. Приватність, прозорість, можливість аудиту та механізми перевірки значно простіше закласти в систему під час її розроблення, ніж додавати згодом.
• Створіть простежуваний і придатний до аудиту зв’язок між політикою та рішенням. Організації мають уміти пов’язати вимогу, що регулює діяльність, або внутрішню політику із застосованим засобом контролю та ухваленим на його основі рішенням. Також їм потрібні докази, необхідні для оцінювання цього рішення.
• Чітко визначте відповідальних і підзвітних осіб. Визначте, хто відповідає за політику, хто встановлює прийнятний рівень ризику та хто відстежує результати роботи. Хтось також має бути уповноважений втрутитися, якщо система поводиться поза встановленими межами.
• Створіть спільну й адаптивну інфраструктуру управління. Засоби контролю даних, журнали аудиту, налаштовувані політики, процедури перевірки та вимірювання мають підтримувати різні нормативні вимоги й сценарії використання. Засоби контролю та порогові значення мають адаптуватися до юрисдикції, сфери застосування й рівня ризику, щоб організації могли реагувати на зміну вимог без перебудови своїх систем.

Управління має працювати на практиці

Регулювання може визначати зобов’язання та принципи, але компаніям усе одно потрібно втілювати їх у системах, здатних ухвалювати реальні рішення у великих масштабах. Тому внутрішнє управління — це операційна відповідальність, а не просто робота задля дотримання вимог. Кожна компанія, яка широко впроваджує ШІ, уже формує політику через установлені нею порогові значення, правила перевірки та шляхи ескалації; єдине відкрите питання — чи робить вона це свідомо.

Регулятори й надалі визначатимуть бажані результати, і їхні позиції не завжди збігатимуться. Тож компанія має вирішити, як перетворити ці очікування на засоби контролю, а потім підтвердити доказами, що вони працюють. Компанії, які вже зараз чітко визначать відповідальних, запровадять вимірювані засоби контролю, забезпечать можливість аудиту та створять адаптивну інфраструктуру, матимуть кращі умови для роботи в міру подальшого розвитку регулювання.

Я бачив цю проблему з різних боків: у сфері кібербезпеки, під час побудови моделей ризику, а тепер — під час експлуатації систем ШІ у великих масштабах. У кожному з цих випадків висновок схожий: ефективною є лише та система принципів, яку можна перетворити на чіткі рішення, оцінювати на практиці й удосконалювати, коли реальність виявляє прогалини.