EU AI Act 4. cikk: az MI-jártasság már ma is jogi kötelezettség

Amikor vezetők az AI Actről kérdeznek, általában azokra a részekre gondolnak, amelyek a címlapokra kerülnek: tiltott gyakorlatok, magas kockázatú besorolás, megfelelőségértékelés. Ezek fontosak, de a legtöbb kis- és középvállalat számára vagy távoliak, vagy egyszerűen nem alkalmazandók. Közben az az egyetlen rendelkezés, amely már ma szinte mindenkire kötelező, alig kap figyelmet. A 4. cikk 2025. február 2. óta hatályos. Két mondat, szándékosan tágan fogalmazva, és ha a munkatársaid MI-t használnak a munkájukhoz, akkor ma is vonatkozik rád.

A kötelezettség nem arról szól, milyen MI-t építesz. Arról szól, kik használják.

A 4. cikk előírja, hogy az MI-rendszerek szolgáltatói és alkalmazói gondoskodjanak a megfelelő szintű MI-jártasságról a munkatársaik és mindazok körében, akik a nevükben üzemeltetik ezeket a rendszereket. A legtöbb céget az "alkalmazó" szó ejti tőrbe. Nem kell semmit építened. Ha a marketingcsapatod nyelvi modellel fogalmaz, ha a pénzügy MI-alapú előrejelző eszközt futtat, ha a HR olyan szoftvert használ, amely önéletrajzokat szűr, akkor alkalmazó vagy, és a kötelezettség a tiéd.

Hogy mi számít "megfelelőnek", az nincs rögzítve. A szöveg az érintettek technikai tudásához, tapasztalatához, iskolai végzettségéhez és képzéséhez köti, továbbá ahhoz, hogy milyen kontextusban használják a rendszert, és kikkel szemben használják. Ez az utolsó fordulat valódi súllyal bír. Egy junior kolléga, aki közösségi posztokat fogalmaz, más szintű megértést igényel. Aki viszont MI-vel támogatott döntést hoz egy állásra jelentkezőről, jóval magasabbat, mert a tévedés következményeit egy harmadik fél viseli, aki nem is látja és nem is tudja vitatni a döntést.

Legalább ilyen fontos, amit a 4. cikk nem mond ki. Nem ír elő tananyagot, nem tesz kötelezővé tanúsítványt, és nem hoz létre nyilvántartást, ahová be kellene jelentkezni. A cégek mindkét irányban elrontják. Egyesek a checklist hiányát annak bizonyítékaként olvassák, hogy nincs teendő. Mások pánikba esnek, és egy általános e-learning csomagot vesznek az egész cégnek, ami kipipál egy beszerzési sort, de senki viselkedésén nem változtat.

Mit nyersz azzal, ha komolyan veszed

A kockázat, amit a 4. cikk kezel, nem elméleti, és valójában nem is jogi. Az a munkatárs, aki ügyféladatokat másol be egy ingyenes nyilvános eszközbe, mert senki nem magyarázta el neki, hová kerülnek azok az adatok. Az az elemző, aki egy magabiztosan kitalált számot továbbít a vezetői anyagba, mert senki nem mondta el neki, hogy a gördülékenység nem azonos a pontossággal. Az MI-jártassági kötelezettséged és a GDPR-kitettséged a gyakorlatban ugyanaz a probléma, más címkével. Az egyik megoldása a másik nagy részét is megoldja.

Van üzleti hozadéka is, méghozzá hamarabb, mint a legtöbben gondolnák. A nagyvállalati beszerzési kérdőívek elkezdték megkérdezni a beszállítóktól, hogyan felelnek meg a 4. cikknek. Ha erre konkrétumokkal tudsz válaszolni, bent maradsz a folyamatban. Ha nem, akkor éppen akkor magyarázkodsz, amikor az árról szerettél volna beszélni. A kisebb beszállítók számára ez csendben belépési feltétellé vált.

Ahol ez nehezebb, mint amilyennek látszik

Az első nehézség a bizonyíthatóság. A "lehetőségeikhez mérten" fordulat eredménykövetelmény, nem egy elvégezhető feladat, vagyis a kérdés soha nem az, hogy csináltál-e valamit, hanem hogy meg tudod-e mutatni, mit tettél és miért volt arányos. A legtöbb cégnél, amit látok, ténylegesen képezték az embereket, de erről semmilyen nyoma nem maradt. Ha egy nemzeti piacfelügyeleti hatóság vagy, ami jóval valószínűbb, egy nagy ügyfél rákérdez, a dokumentáció nélküli jó szándék pontosan úgy néz ki, mintha semmit nem tettél volna.

A második az árnyék-MI. A munkatársaid már most is olyan eszközöket használnak, amelyeket sosem hagytál jóvá, olyan fiókokon, amelyeket nem látsz, gyakran céges adatokkal. Egy képzési program, amely ezt figyelmen kívül hagyja, egy nem létező szervezetet ír le. Kezdd azzal, hogy kideríted, mi van ténylegesen használatban, anélkül hogy bűnbakot keresnél, mert az emberek eltitkolják az eszközöket, ha büntetésre számítanak, és akkor elveszíted az egyetlen rálátásodat a valós kitettségre.

Ez egyben a legélesebb próbája is egy leendő AI-partnernek, és semmibe nem kerül lefuttatni. Tegyél fel három kérdést: a mi folyamataink közül melyik minősül alkalmazásnak a 4. cikk szerint, milyen jártassági szint kell az egyes szerepkörökhöz és miért, és hogyan fogjuk ezt tizenkét hónap múlva bizonyítani. Az a partner, aki tanfolyamlistával válaszol, képzést ad el neked. Az a partner, aki azzal kezdi, hogy megkérdezi, hogyan működik valójában a vállalkozásod, a munkát végzi. A különbség az első tíz percben kiderül.

Az őszinte véleményem az, hogy a 4. cikk az AI Act leghasznosabb része egy ekkora cég számára, éppen azért, mert nem látványos. Nem kér tőled rendszerbesorolást vagy auditot. Azt kérdezi, hogy akik a nevedben MI-t használnak, értik-e, mit csinál az eszköz, hol hibázik, és mikor kell megállni és embert bevonni. Ezt a kérdést akkor is érdemes lenne megválaszolni, ha Brüsszel soha nem tette volna fel. A szabályozás csak annyit jelent, hogy mostantól hangosan kell válaszolnod rá, és meg is kell tudnod mutatni a munkádat.