欧盟AI法案解读：要求和实践指南.docx

8ISACA.

欧盟AI法案解读：要求和实践指南

CO0C00CO0CQOC0OCQO

00C00C50C

新兴技术

@2024ISACA。保留所有权利。

2欧盟AI法案解读：要求和实践指南

目录

4导言

4欧盟AI法案的关键义务5/定义与适用范围

6/AI法案的例外情况6/受禁系统

7/高风险Al系统

7/风险管理

8/质量管理体系

9/数据和数据治理

9/准确性、稳健性和网络安全

10/技术文档、记录保存和透明度

10/上市后监测11/符合性评估11/人工监督

11/AI素养

12/注册

12/报告严重事件

12/高风险系统部署者的义务14/透明度要求

14/通用AI模型15/创新考量

15/罚款

15实践者的下一步15/时间表

16/隐私输入

17/AI库存和第三方管理

17/记录AI系统获取和使用流程

18结论

19致谢

2024ISACA。保留所有权利。

3欧盟AI法案解读：要求和实践指南

摘要

随着人工智能(Al)技术，尤其是生成式AI(GenAI)的迅速发展，这些技术所带来的多种益处推动了其广泛应用。然而，为了追求效率，一些企业在采用AI时忽略了潜在的风险和可能造成的损害。欧盟AI法案对在欧盟使用的某些AI系统设定了具体要求，并禁止了一些特定的AI使用。本白皮书探讨了AI法案的适用范围和风险分类方法，概述了法规中的主要要求，并为希望符合法案要求的实践者提供了下一步行动建议。

2024ISACA。保留所有权利。

4欧盟AI法案解读：要求和实践指南

导言

近年来，AI技术的应用呈爆炸性增长。2019年，有58%的机构在至少一个业务环节中使用了AI技术；而到2024年，这一比例上升到了72%。1从2023年到2024年，生成式AI的使用率几乎翻了一番，从33%增长到了65%。2

虽然引入AI有助于提升企业的运营效率，但它也带来了显著的风险。由于涉嫌版权侵权，多家生成式AI公司已面临多起诉讼。3若AI系统出现故障或被滥用，则可能引发安全问题，比如被非法篡改的自动驾驶汽车就可能导致人员伤亡。如果AI系统是基于有偏差的数据进行训练的，那么它们也可能产生有偏差的结果。关于AI的责任归属问题目前仍不明晰，往往难以确定谁应当为AI产生的不良后果负责。

欧盟AI法案已于2024年3月13日获得欧洲议会的通过，并在同年5月21日得到了欧盟理事会的认可。此法案旨在减少与AI相关的风险，帮助企业在确保安全、遵循伦理和承担社会责任的前提下利用AI技术，并增强公众对AI系统的信任。该法案被认为是全球首部全面的AI法律。4考虑到这部法案的广度和深度，未来其他国家和地区制定AI相关法律法规时，很可能会参考欧盟AI法案，就如同先前欧盟的《通用数据保护条例》(GDPR)那样。

欧盟AI法案已于2024年3月13日获得欧洲议会的通过，并在同年5月21日得到了欧盟理事会的认可。此法案旨在减少与AI相关的风险，帮助企业在确保安全、遵循伦理和承担社会责任的前提下利用AI技术，并增强公众对Al系统的信任。

虽然并非全球每个企业都需要遵守欧盟AI法案，但了解该法案的主要要求依然很有价值。法案中规定的风险分类标准能够帮助企业更好地审视自身使用的AI产品，并深刻理解这些产品可能带来的风险。

欧盟AI法案的关键义务

欧盟AI法案涉及多层次的合规要求，包括AI应用场景、模型、系统、项目和企业层面。这些要求依据企业的角色(如提供者、部署者、进口商或分销商)以及AI系统风险级别的不同(高风险、有限风险、通用AI模型或多种类型的组合)而有所差异。以下是欧盟AI法案部分核心要求的简要概述。

1MckinseyCompany,“ThestateofAlinEarly2024:GenAIAdoptionspikesandstartstoGeneratevalue,”30May2024

/capabilities/quantumblack/our-insights/the-state-of-ai

2Mckinsey,“stateofAlinEarly2024”

3Lutkevich,B.;AILawsuitsExplained:who,sGettingsued?T