De impact van de EU AI Act: Responsible AI en inzichten van de EU AI Barometer

De EU AI Act en het Responsible AI Framework brengen nieuwe verplichtingen en kansen: waarom snelle actie nodig is.

In het kort:

• Technische en ethische training: Implementatie van doorlopende programma's voor medewerkers en boardmembers.
• Risicobeheer: Evaluatie en aanpassing van bestaande risicomanagementprocessen.
• Multidisciplinaire samenwerking: Vroegtijdige betrokkenheid van compliance, legal en risk teams.

De EU AI Barometer belicht een aantal belangrijke aspecten met betrekking tot de verplichtingen volgend uit de AI-wetgeving. Bovendien werpt het licht op recente ontwikkelingen binnen verantwoorde AI, met name in het kader van de nieuwe Europese wetgeving. Ten eerste verschilt de adoptie van AI sterk per land en sector binnen Europa. Nederland staat bijvoorbeeld gemiddeld met 39 procent, terwijl Zwitserland met 58 procent een hogere adoptiegraad heeft. Dit toont aan dat er nog veel ruimte is voor groei en verbetering.

Technische en ethische training

Een belangrijk aspect van de EU AI Act is de verplichting in artikel 4 om medewerkers zowel technisch als ethisch te trainen. Dit betekent dat bedrijven niet alleen eenmalige trainingen moeten aanbieden, maar een continu trainingsprogramma moeten implementeren om te zorgen dat hun personeel up-to-date blijft met de snelle ontwikkelingen in AI. Vaak wordt onderschatdat de noodzaak en de complexiteit van deze trainingen vaak nog onderschat worden. Om AI te kunnen begrijpen, aan zowel de technische- als de ethische risicokant, moeten organisaties goed voorbereid zijn. Daarmee is het niet alleen belangrijk om alle medewerkers te trainen op AI, maar ook juist het management van de organisatie. Een AI Board, Ethics Board of management board de juiste handvaten bieden is essentieel om verantwoorde te innoveren in de snel veranderende wereld van AI.

De EU AI Act, die in augustus van kracht gaat, vereist dat organisaties binnen zes maanden prohibited AI-systemen hebben uitgefaseerd. AI-wetgeving richt zich op de bescherming van veiligheid, beveiliging en fundamentele rechten van mensen speelt hierin een cruciale rol.

Bescherming tegen onjuiste gegenereerde output

Tijdens een workshop bij de VN leerde ik dat het regelgevend kader als ultiem doel heeft de mensheid te beschermen tegen discriminatie en schending van fundamentele rechten, door vooringenomenheid te voorkomen. Het gaat erom dat we op een verantwoorde manier omgaan met AI. Veel organisaties denken dat het bedoeld is om innovatie te hinderen, maar in werkelijkheid is het bedoeld om ons te beschermen tegen onjuiste gegenereerde output die negatieve gevolgen kan hebben. Het EY Responsible AI Framework dat hierachter zit, is bedoeld om dit te waarborgen. Dit omvat aspecten als cybersecurity, gegevensbescherming en transparantie.

Responsible AI Framework

Generatieve AI kan bijvoorbeeld informatie genereren die niet waar is, wat een nieuw risico vormt dat bekend staat als 'hallucinatie'. Dit benadrukt het belang van een robuust risico- en compliance framework dat niet alleen de bestaande risico's dekt, maar ook de nieuwe dimensies die AI met zich meebrengt. Het Responsible AI Framework introduceert niet enkel nieuwe concepten; veel aspecten, zoals beveiliging, zijn bestaande vereisten. Het belang van bestaande maatregelen zoals Identity en Access Management (IAM) wordt versterkt door AI, omdat het de toegang tot en het zoeken naar informatie vergemakkelijkt. Dit betekent dat organisaties hun huidige beveiligingsprotocollen moeten herzien en versterken om te zorgen dat ze AI-veilig zijn, zonder te denken dat alles rond AI nieuw is.

Inventarisatie risico’s

Een strategische aanpak van AI-implementatie begint met een grondige inventarisatie van waar en hoe AI binnen de organisatie wordt gebruikt. Dit inzicht is cruciaal voor het ontwerpen van de juiste maatregelen en processen. Het is vaak onduidelijk wat precies onder AI wordt verstaan. Gezien de snelle innovatie en experimenten binnen organisaties kan het een uitdaging zijn om bij te houden wie wat doet met AI. Dit inzicht is echter fundamenteel, vooral vanuit een ontwerpperspectief. Door vanaf het begin de juiste processen en overzichten te implementeren, leg je een solide basis voor toekomstige experimenten en kun je daarop voortbouwen.

Organisaties moeten hun bestaande risicoframeworks evalueren om te bepalen hoe nieuwe AI-gerelateerde risico's, zoals 'hallucinaties' door generatieve AI, passen binnen hun huidige risicobeheer. Het is essentieel om na te gaan of de huidige maatregelen in de organisatie voldoende zijn om deze nieuwe risico's aan te pakken. Waarschijnlijk zijn aanpassingen nodig, en organisaties moeten hun gehele risicomanagementproces doorlopen om te identificeren waar en hoe deze nieuwe risico's geïntegreerd en beheerst kunnen worden.

Multidisciplinair board

Multidisciplinair samenwerken is de sleutel naar succes om de uitdagingen van AI aan te pakken. Een veelvoorkomend probleem is dat organisaties niet vanaf het begin de juiste stakeholders betrekken, zoals compliance, legal of risk. Dit kan leiden tot AI-initiatieven die niet voldoen aan wet- en regelgeving, organisatieprincipes of ethische normen. Het is cruciaal om deze disciplines vroegtijdig te integreren, zodat innovatie verantwoord en binnen de gestelde kaders plaatsvindt. Enkel periodieke controle is niet voldoende vanwege het risico op 'hallucinaties' of discriminerende output van AI; monitoring moet doorlopend zijn om AI risico’s op tijd te signaleren en mitigeren. Het belang van een multidisciplinair team wordt vaak onderschat, wat kan resulteren in latere problemen bij de implementatie van AI-modellen.

Implementatie

De implementatie van de nieuwe wetgeving zal gefaseerd plaatsvinden. Organisaties, hebben nog enige tijd om zich voor te bereiden, maar het is cruciaal om tijdig te beginnen. Verplichtingen voor hoog-risico AI-systemen gaan in na twee jaar. Echter, de eerste verplichtingen gaan al in februari 2025 in werking – systemen die verboden zijn, moeten tegen die tijd zijn uitgefaseerd. Het is belangrijk om te begrijpen wat onder verboden AI-systemen valt, zoals AI-systemen die mensen manipuleren of kwetsbare groepen uitbuiten, of systemen die mensen classificeren op basis van sociaal gedrag.

Een goed overzicht van je activiteiten is essentieel om te bepalen welke stappen je als eerste moet nemen:

• AI-inventarisatie is essentieel – begrijpen wat uw organisatie doet met AI en ervoor zorgen dat u alle relevante informatie vastlegt die vereist is voor de EU AI-wet.
• Stel een multidisciplinair team of groep op om de uitdagingen aan te pakken; dit is van nature een onderwerp dat samenwerking tussen teams vereist en samenwerking is de sleutel tot succesvolle implementatie.
• Last but not least: upscale people. Investeer in het trainen van uw medewerkers en het multidisciplinaire AI team.

De EU AI Act en het Responsible AI Framework bieden een basis voor organisaties om hun activiteiten te beoordelen en aan te passen aan de nieuwe eisen. Het is essentieel dat bedrijven tijdig de juiste basis leggen en hun processen continu bijwerken om te voldoen aan de snel veranderende wereld van AI.