AI Berisiko Tinggi di EU: Apa yang Perlu Disediakan Penyedia Sebelum 2027

Perkara paling penting ialah masa pelaksanaan: kewajipan penuh Kesatuan Eropah (EU) bagi sistem AI berisiko tinggi belum terpakai untuk kebanyakan sistem. Bagi sistem kendiri yang disenaraikan dalam Lampiran III, syarat tersebut dijadualkan bermula pada 2 Disember 2027. Bagi AI berisiko tinggi yang menjadi sebahagian daripada produk terkawal tertentu, tarikhnya lebih lewat, iaitu 2 Ogos 2028. 18

Bagi syarikat yang mahu meletakkan sistem sedemikian di pasaran EU, tugas sebenar sekarang ialah membina proses pematuhan yang dapat membuktikan keselamatan, kebolehkesanan dan akauntabiliti sebelum produk dilancarkan.

Sistem AI yang manakah dianggap berisiko tinggi?

Kategori berisiko tinggi merangkumi dua kumpulan utama:

• Sistem AI yang digunakan sebagai komponen keselamatan bagi produk yang tertakluk kepada undang-undang produk EU tertentu, apabila produk itu memerlukan penilaian pematuhan oleh pihak ketiga.
• Sistem AI bagi kegunaan tertentu yang disenaraikan dalam Lampiran III, tertakluk kepada syarat dan pengecualian dalam Akta tersebut. 15

Status ini penting kerana sistem berisiko tinggi tertakluk kepada kewajipan sepanjang kitar hayat yang jauh lebih ketat berbanding alat AI biasa.

Keperluan pematuhan yang perlu disediakan oleh penyedia

Sebelum sistem AI berisiko tinggi boleh diletakkan di pasaran EU, penyedianya perlu mempunyai kawalan yang dibina ke dalam kitar hayat produk — bukan sekadar disediakan selepas pengawal selia meminta penjelasan.

Pengurusan risiko dan tadbir urus data

Penyedia perlu melaksanakan langkah penilaian serta pengurangan risiko. Mereka juga perlu menggunakan set data yang cukup berkualiti bagi mengurangkan risiko hasil yang bersifat diskriminasi. Rangka kerja AI berisiko tinggi menekankan data latihan, pengesahan dan ujian yang relevan, mewakili keadaan penggunaan secara munasabah, serta ditadbir dengan baik. 115

Dokumentasi dan kebolehkesanan

Sistem berisiko tinggi perlu menyimpan log aktiviti untuk menyokong kebolehkesanan, di samping dokumentasi teknikal terperinci tentang sistem dan tujuan penggunaannya. Bukti ini membolehkan pihak berkuasa menilai sama ada sistem mematuhi peraturan. 1

Pengawasan manusia dan ketahanan operasi

EU turut menetapkan keperluan bagi langkah pengawasan manusia yang sesuai, serta tahap ketepatan, ketahanan dan keselamatan siber yang tinggi. Penyedia mesti memberi maklumat yang jelas dan mencukupi kepada pihak yang menggunakan sistem agar ia digunakan mengikut tujuan asal serta dengan kefahaman tentang batasannya. 1

Penilaian pematuhan, pendaftaran dan pemantauan

Penyedia perlu melengkapkan penilaian pematuhan yang berkenaan sebelum meletakkan sistem AI berisiko tinggi di pasaran. Jika diwajibkan, sistem itu perlu didaftarkan, prestasinya dipantau selepas dikeluarkan, dan insiden serius dilaporkan. Ini menjadikan pematuhan satu fungsi operasi berterusan, bukannya kelulusan sekali sahaja. 115

Senarai semak kesiapsiagaan AI berisiko tinggi

Organisasi yang bersedia menghadapi tarikh akhir 2027 dan 2028 patut dapat menjawab soalan berikut:

1. Adakah sistem itu benar-benar berisiko tinggi? Padankan kes penggunaannya dengan kategori dalam Lampiran I dan Lampiran III.
2. Siapa yang bertanggungjawab? Tetapkan pemilik bagi keselamatan produk, pematuhan undang-undang, dokumentasi dan tindak balas insiden.
3. Bolehkah risiko dibuktikan dan dikurangkan? Kekalkan proses pengurusan risiko yang konsisten, termasuk rekod ujian dan keputusan.
4. Adakah kawalan data boleh dipertahankan? Dokumentasikan kerelevanan set data, sifat keterwakilan, semakan kualiti dan batasan yang diketahui.
5. Bolehkah sistem diaudit? Simpan log, fail teknikal dan arahan pengguna yang menerangkan tujuan penggunaan serta kekangan sistem.
6. Adakah pengawasan manusia benar-benar berfungsi? Tetapkan bila manusia boleh campur tangan, mengatasi output atau menghentikan penggunaan sistem.
7. Adakah pemantauan selepas pasaran sudah sedia beroperasi? Sediakan proses pemantauan prestasi, tindakan pembetulan dan pelaporan insiden.

Denda yang berpotensi di bawah EU AI Act

EU AI Act menetapkan penalti berdasarkan amaun tetap dalam euro dan perolehan tahunan global. Tahap paling berat, bagi amalan AI yang dilarang, boleh mencecah €35 juta atau 7% daripada perolehan tahunan global. Bagi ketidakpatuhan lain, penalti boleh mencapai €15 juta atau 3% daripada perolehan tahunan global. 3

Skala denda ini bermakna program pematuhan AI berisiko tinggi tidak boleh diserahkan kepada pasukan undang-undang semata-mata. Pasukan produk, keselamatan, sains data, perolehan, pematuhan dan operasi perlu bersama-sama menyimpan bukti bahawa perlindungan yang ditetapkan benar-benar berfungsi.

Mengapa tarikh akhir yang ditangguhkan tetap penting sekarang?

Tarikh baharu memberi syarikat lebih masa untuk membuat persediaan, tetapi keperluan asasnya kekal meluas. Penyedia yang menunggu hingga lewat 2027 mungkin masih perlu membina sistem dokumentasi, mengubah amalan pembangunan model, melaksanakan pengelogan, menguji proses pengawasan, serta mewujudkan aliran kerja pelaporan selepas pasaran.

Pendekatan yang paling berguna ialah melihat EU AI Act sebagai piawaian tadbir urus produk: kenal pasti kes penggunaan berisiko tinggi lebih awal, kumpulkan bukti semasa sistem dibangunkan, dan jadikan keselamatan, kebolehkesanan serta kawalan manusia sebahagian daripada proses pelancaran sejak awal. 115