Unia Europejska rozpoczyna badania i konsultacje nad potrzebą uregulowania robotyki i sfery sztucznej inteligencji.
Sygnalizuje to, że regulacje tej dziedziny w UE są nieuchronne. Parlament Europejski (a właściwie jego Komisja Prawna, JURI) wezwał Komisję do przygotowania tego rodzaju uwarunkowań. Sam raport dotyczy wielu aspektów. Chęć uregulowania robotyki i sztucznej inteligencji przez Unię nie powinna dziwić. Inne kraje (USA, Japonia, Korea, ...) także są zainteresowane podobnymi rozwiązaniami. W Europie regulacje będą sięgać jednak daleko i wygląda na to, że będą bardzo kompleksowe. Będą musiały takie być, zwłaszcza w zakresie prywatności i ochrony danych. W Unii Europejskiej jest to zagwarantowane poprzez samo istnienie Ogólnego Rozporządzenia o Ochronie Danych, a także szeregiem planowanych dodatkowych regulacji szczegółowych (takich jak ePrivacy).

Obecnie sztuczna inteligencja i “boty” to w większości raczej systemy bazujące na oprogramowaniu, a nie fizyczne i autonomiczne roboty. Raport stara się wskazywać na szerokie spektrum zagadnień, obejmujących też systemy takie, jak autonomiczne samochody i drony, roboty wspomagające w medycynie itp.

Przeanalizowałem treść tego raportu. W swojej analizie w mniejszym stopniu poświęcam miejsce na samą robotykę i sztuczną inteligencję; skupiam raczej na technologiach, bezpieczeństwie, prywatności i etyce technologicznej. Nie zamierzam też pisać w tym artykule o wąskich kwestiach technologicznych i szczegółach uczenia maszynowego (to zostawmy na inny raz). Trzeba te warstwy rozumieć jako jeden z koniecznych komponentów dla każdej przyszłej regulacji. Dlaczego robię to właśnie teraz? Dlatego, że obecnie w Parlamencie Europejskim rozpoczynają się prace nad ważną regulacją ePrivacy, a wcześniej - zakończyły się prace nad rozporządzeniem GDPR (w Polsce: RODO).

W tej analizie będę przeplatał treść na podstawie raportu razem z moimi komentarzami.

Już w samym wstępie do raportu Parlamentu Europejskiego wskazuje się na to, że ryzyka prywatności i ochrony danych będą powstawały z samego faktu przesyłu tych danych. Chodzi o to, że w przypadku procesów automatycznych i autonomicznych, może zaistnieć chociażby ryzyko niekontrolowanego przepływu danych.

Raport wskazuje na to, że regulacje europejskie będą wymagały transparentności i przejrzystości procesów w których używa się sztucznej inteligencji. Będą także wymogi etyczne. Między wierszami można wyczytać, że rozważa się wdrożenie wymogów formalnej analizy wpływu rozwiązań na etykę (ethical impact assessment), to w połączeniu z oceną skutków dla prywatności (Privacy Impact Assessment) i oceną skutków dla ochrony danych.

Kolejnym zagadnieniem jest kwestia odpowiedzialności. Oczywiście ani robot, ani sztuczna inteligencja nie jest osobą prawną. Zawsze powinno się móc zidentyfikować osobę odpowiedzialną. Regulacje będą musiały odpowiedzieć na to, kto ponosi odpowiedzialność za autonomiczne decyzje. W tym miejscu potencjalnie powstanie bowiem luka (albo nieścisłość) prawna, która może doprowadzić do nieprzewidzianych konsekwencji. Kto ponosi odpowiedzialność za autonomiczne decyzje “sztucznej inteligencji”? Czy jest to właściciel urządzenia/systemu, czy może jego producent? Jednym z ciekawszych punktów jest 59(d), gdzie wskazuje się na potencjalną odpowiedzialność finansową producentów i programistów, właścicieli i użytkowników.

Etyka

W tworzeniu systemów autonomicznych i wykorzystujących sztuczną inteligencję powinny mieć zastosowanie zasady etyki technologicznej. Chodzi o szerokie i kompleksowe analizy szans, ryzyk i zagrożeń wobec życia, zdrowia, wolności i prywatności ludzi.

W tym przypadku faktycznymi zasadami kontroli będzie kodeks postępowania, a także zasad dobrych praktyk technologii bezpieczeństwa i prywatności. Ale nie tylko. Raport Parlamentu Europejskiego próbuje mierzyć wysoko i wychodząc z zasad Aasimova, proponuje szereg podstawowych założeń, wedle których powinny działać systemy sztucznej inteligencji.

Transparentność jako podstawowy wymóg

W jaki sposób podejmuje decyzje system autonomiczny oparty o sztuczną inteligencję? Obecnie bardzo często pokazanie tego jest trudne. Raport wskazuje, że potrzebne będzie stworzenie systemów transparentności. Chodzi o to, by można w każdym przypadku ustalić dlaczego podjęta została konkretna decyzja. Takie założenia są też zgodne z General Data Protection Regulation (Ogólne Rozporządzenie o Ochronie Danych).

Ten wymóg będzie wymagał sporych nakładów na badania i rozwój. Ciągle jest trudno w jasny i zrozumiały sposób przedstawić proces decyzyjny w uczeniu maszynowym.

Europejska Agencja Robotyki?

Raport wzywa Komisję Europejską do rozważenia powołania agencji poświęconej kwestiom robotyki i sztucznej inteligencji. Agencja taka powinna zrzeszać ekspertów z różnych dziedzin, takich jak robotyka i sztuczna inteligencja, ale także ekspertów od kwestii bezpieczeństwa, etyki i prywatności (w sensie technologicznym).

Pytanie otwarte: czy nie wystarczą do tego różne agencje ochrony danych, a także ENISA? Mimo to, ciało skupione na kwestiach robotyki i sztucznej inteligencji jest pomysłem wartym rozważenia.

Prywatność i Ochrona Danych

Raport Parlamentu Europejskiego o robotyce dużo miejsca poświęca prywatności i spójności z Rozporządzeniem Ogólnym o Ochronie Danych. To bardzo dobrze, a spójność z GDPR (RODO) z oczywistych względów musi być zapewniona. Proponuje się, by robotyka i rozwój sztucznej inteligencji miały miejsce z wykorzystaniem zasad Privacy by Design (a także otwartych standardów), co jest dobrym rozwiązaniem. Twórcy takich systemów zobowiązani są traktować prywatność danych poważnie i wszędzie gdzie to możliwe - używać odpowiednich narzędzi anonimizacji i deidentyfikacji.

Modele sztucznej inteligencji często są “trenowane” na danych wejściowych. Tymi danymi wejściowymi na których następuje proces “uczenia” modelu często są dane prywatne, lub wrażliwe. Nie tylko takie jak imię, płeć, wiek czy odwiedzane strony internetowe - ale też i inne preferencje i działania.

Czasami ciężko jest też rozróżnić kiedy dane na których model jest uczony są prywatne, a kiedy nie. Czy model uczony na prywatnych danych przetwarza takie dane? Oczywiście, że tak. Często problem ten jest jednak jeszcze bardziej skomplikowany. Wynika to z faktu, że pozornie niewrażliwe dane są czasem skorelowane z innymi w taki sposób, że w efekcie wnioskowania operuje się na danych prywatnych/wrażliwych.

Braki w raporcie?

W raporcie zdaje się brakować kilku ważnych kwestii. Skupię się tylko na dwóch przykładach.

**Jedną ze słabości raportu jest to, że w rozważaniach o Komitetach Etycznych w odniesieniu do finansowania badań i rozwoju - nie uwzględnia się prywatności. **

Inną są kwestie cyberbezpieczeństwa. Chodzi o wskazanie na rosnące ryzyko wynikające z możliwości celowego oszukiwania systemów opartych o uczeniu maszynowym (“zatruwaniem ich”). Są to skomplikowane techniki atakujące implementacje i algorytmy, w celu oszukania systemów autonomicznych.

Jednym z być może zabawnych i prostych (ale dobrze obrazujących problem dla ludzi nie będących specjalistami!) przykładów jest przypadek chat-bota Microsoftu, którego w złośliwy sposób nauczono zachowań rasistowskich. Tak, rozumiem że ten przykład jest prosty. Ale techniki ataków na systemy sztucznej inteligencji są aktywnie rozwijane. A sam problem jest znacznie szerszy

Podsumowanie

Trzeba też rozumieć, że prawo regulujące ten obszar będzie dość skomplikowane. Być może przyjmie nawet formę kilku regulacji
Taki dokument powinien uwzględniać kwestie technologicznie rozumianej etyki i prywatności przetwarzania danych. Powinien też uwzględniać proces szacowania i oceny wpływu na prywatność, a także etyczność.
Warto też zwrócić na aneks Komisji Wolności Obywatelskich, Sprawiedliwości i Spraw Wewnętrznych (LIBE), w którym sugeruje się część tych punktów. Powinny one zostać sformalizowane. Analiza i przygotowywanie tej regulacji na poziomie technicznym będzie wyzwaniem - dziedzina robotyki i sztucznej inteligencji rozwija się bardzo dynamicznie. Podobnie ma miejsce z badaniami prywatności.