Мы консультируем компании, которые разрабатывают и применяют ИИ, по вопросам регулирования в ЕС, Швейцарии и Великобритании.
За два года регулирование ИИ разошлось по трем направлениям: ЕС создал кодифицированный акт; Швейцария выбрала отраслевое законодательство с межотраслевым ядром (прозрачность, защита данных, недискриминация и надзор), взяв за основу договор Совета Европы, который она подписала, но еще не ратифицировала; Великобритания регулирует ИИ через свои действующие органы. Компании редко работают только в одной из этих трех юрисдикций.
Наша работа — перевод: с языка регулирования на язык анализа ролей, мер контроля и документации, соразмерных продукту и риску. То же относится к вопросам данных, кибербезопасности и договоров, которые сопутствуют внедрению ИИ: это GDPR (Общий регламент ЕС по защите данных) и швейцарский Федеральный закон о защите данных (FADP), DORA (Регламент ЕС о цифровой операционной устойчивости), директива NIS2 и Закон о киберустойчивости (Cyber Resilience Act), а также технологические договоры, которые распределяют риск. Мы консультируем компании по обе стороны технологии: поставщиков, которые создают и выпускают на рынок системы и модели ИИ, и эксплуатантов (deployer), которые встраивают их в продукты, решения и операционные процессы, а также советы директоров, которым приходится отвечать за этот риск.
Начинаем почти всегда с одних и тех же трех шагов: инвентаризация того, что использует организация; соотнесение ролей и рисков с применимыми режимами; перечень пробелов по приоритетам, в котором то, чего закон требует уже сейчас, отделено от того, что начнет применяться в опубликованные сроки.
Три режима, одна система управления, соотнесенная с каждым из трех.