A különböző munkakörök átalakításától az egyre élethűbb kamuvideók kiszűréséig a mesterséges intelligencia (AI/MI) az élet rengeteg területén vet fel kérdéseket. Természetesen ezek közé tartozik a jog és a törvényalkotás is. Az eddigi törvényeket meg kell tanulni jól alkalmazni az AI által felborogatott realitás világában, és újakra is szükség van az újonnan felmerülő kérdések és problémák szabályozásához. A szabályozás terén az Európai Unió elég jól halad az AI-szolgáltatásokat veszélyesség szerint kockázati kategóriákba soroló, mesterséges intelligenciáról szóló jogszabállyal (magyarul is gyakran használt angol nevén az AI Acttel). Ez a rendelet már 2024 augusztusával hatályba lépett, de a legnagyobb részét csak 2026 augusztusától kell alkalmazni – magyarázza Dr. Rádi Vilmos, a We-Know Zrt. senior kiberbiztonsági tanácsadója, rövidesen induló AI-jog és compliance képzésünk előadója.
Az uniós jogszabály egyes részeit ugyanis lépcsőzetesen kell bevezetni. Az AI tiltott felhasználásaira vonatkozókat például már most is alkalmazni kell, teszi hozzá. Szépséghiba, hogy az ezzel foglalkozó magyar hatóság cikkünk írásakor még nem állt fel. Egy, az AI Actet a hazai jogba átültetni hivatott törvénynek és végrehajtási rendeletnek a tervezete – ahogyan arról a hvg.hu beszámolt – szeptemberben már megjelent, és hamarosan megnevezik a magyar AI-piacot felügyelő hatóságot is. Ennek a feladata lesz nyomon követni az üzembe helyezett rendszerek jogszerűségét és biztosítani az utólagos ellenőrzéseket. Emellett egy „jogi tesztkörnyezetben” fogják felügyelni az AI-fejlesztések megfelelőségét, így támogatva a fejlesztéseket.
Tiltások már vannak
Ha a magyar hatóság e sorok írásakor még nem is kezdte meg a munkáját, bizonyos gyakorlatok már tiltottak. Az AI Act négy kockázati kategóriába sorolja be az AI-szolgáltatásokat a minimálistól az elfogadhatatlanig, azaz a tiltott gyakorlatokig. A nulla vagy alacsony kockázatú alkalmazásoknál minimális elvárásoknak kell csak megfelelni, de önkéntes magatartási kódexekhez ezeknél is lehet csatlakozni. A legproblémásabb, az alapvető jogokra és az uniós értékekre nézve elfogadhatatlan kockázatot jelentő felhasználások pedig tiltottak a rendelet 5. cikke szerint.
„Például sehol nem szabad olyan gyakorlatokat alkalmazni, amik tudatalatti, szubliminális üzeneteket küldenek, és ezáltal befolyásolnak valakit hátrányos módon” – érzékelteti Rádi Vilmos. „Vagyis olyan döntésre, viselkedésre rábírni, amivel magának vagy másoknak kárt okozhat, vagy amit észszerűen egyébként nem tenne meg, hiszen rá vagy másra nézve hátrányos.” Bár a módszer tényleges hatékonyságát a kutatások nem igazolták, a tudatalatti hirdetések idehaza is régóta tiltottak, az AI-tól függetlenül is. Szintén a hvg.hu írta meg, hogy még 1999-ben a Sziget Fesztivál tévéreklámjában a szponzor Pepsi logója villant be többször szubliminálisan, amiért a szpotot eltanácsolták a képernyőről. Ez is jelzi, hogy vannak AI nélkül is tiltott gyakorlatok, amelyeknek az AI-jal történő megvalósítását tiltja specifikusan az AI Act, illetve annak hazai implementálása.
„A legtöbb esetben tiltottak még az érzelmek felismerésén alapuló technológiák is, például gyógyászati és oktatási intézményekben, még ha vannak is kivételek, ahol engedélyezett, de a nagy kockázat miatt komoly biztonsági garanciák mellett.” A távoli, valós idejű biometrikus azonosítás például a legtöbb esetben tilos – főleg, ha nem tud róla az illető –, de bizonyos bűnüldözési célokhoz mégis felhasználható, magyarázza. Ez a gyakorlatban például a köztéri arcfelismerő kamerákat jelenti.
Egyesével kell majd értékelni
„Ha egy hatalmas köztér sarkában elhelyezünk egy arcfelismerő képességgel rendelkező kamerát, amely sok száz méteres, vagy akár egy kilométeres távolságból és valós időben képes felismerni valakit, az nagyon nagy kontrollt ad a felhasználónak. Ezért tekintik tiltottnak, hiszen nem szeretnék, hogy az európai országok elcsússzanak egy kicsit diktatórikusabb irányba. Ugyanakkor ha egy bűncselekmény felderítésére használják, akkor bizonyos esetekben lehetnek kivételek” – fogalmaz a jogász. Arra a kérdésünkre, hogy mindez mennyire szigorú – elvégre egy köztérre kirakott arcfelismerő kamera statisztikailag megfog pár bűnelkövetőt –, azt mondja: minden egyes felhasználást egyedileg kell majd értékelni.
Közvetlenül az AI-rendszert alkalmazóknak saját maguknak is képesnek kell lenniük azt megítélni, hogy ha a hatóság is megvizsgálja, amit művelnek, az nem vezet-e majd büntetéshez. Ugyanakkor természetesen a szolgáltatásokat is úgy kell összerakni, hogy azt legális célokra lehessen használni, ebben azok fejlesztőinek is felelőssége van. „Ha alapvetően teljesen legális célokra alkalmazandó egy AI-szolgáltatás, akkor az azt készítő cégnek más típusú felelőssége van, mintha kifejezetten arra gyártanak egy AI-t, hogy mondjuk másokat úgy tudjon utánozni, hogy az alkalmas legyen csalásra, és egy feketepiacon értékesítik” – érzékelteti előadónk.
Adott esetben egy gyártó mellett egy forgalmazót vagy egy importőrt is elővehetnek, teszi hozzá. Más kérdés, hogy a jogszerű célokra készített rendszerek biztonsági korlátai is sok esetben kijátszhatónak bizonyultak. A szabályok alkalmazásához az Európai Bizottság egy iránymutatást is készített, amely innen magyarul is letölthető, így nem a sötétben tapogatózva kell berizikóznunk, hogy egy-egy felhasználási mód miatt kell-e büntetéstől tartanunk. Emellett a Bizottságon belül egy Európai MI-hivatal is felállt a technológiával kapcsolatos szakértelem központjaként, amely az egységes európai AI-irányítási rendszer alapját adja, együttműködve a tagállamokkal, a leendő tagállami hatóságokkal és a szakértői közösséggel. Ők is kiadnak iránymutatásokat, amelyek segíthetnek.
Red tape?
Rendszeresen felmerülő vélemény, hogy a túl sok EU-s szabályozás és bürokratikus akadály (ahogyan az angolban emlegetik, a red tape) megfojtja az innovációt. Az AI kapcsán ez már csak azért is releváns, mert bár vannak európai AI-szolgáltatások is – mint a francia Mistral AI vagy a német Aleph Alpha –, de a nagy szereplők jelenleg inkább amerikaiak és kínaiak. „Erre vegyes érzelmekkel tudok válaszolni. Egyrészt jó, ha meg vagyunk védve különböző negatív folyamatoktól, például manipulációs technológiáktól, illetve a munkaerőpiacot kellene nagyon védeni. Ugyanakkor bár még nem kell az AI Act egészét alkalmazni, már elkezdték pedzegetni, hogy mit hogyan lehetne egyszerűsíteni” – fogalmaz erről Rádi Vilmos. Szerinte fognak találni egy arany középutat, és az USA-ban is lesz erősebb szabályozás, Kínában már van is, az Unióban pedig vissza fognak venni az elvárt papírmunkából. „Most bődületesen sok az adminisztrációs teher az AI Act alapján, még a GDPR-hoz vagy a kiberbiztonsági elvárásokhoz képest is egy jelentős ugrás.”
Vannak átfedések
„The USA innovates, China replicates, and Europe regulates” – hangzik az erősen amerikai perspektívából íródott, és mára a valóságban erősen túlzó mondás. Ugyanakkor tény, hogy az AI Act nem az első, világpiaci szinten is jelentős EU-s szabályozás, amely elsősorban az IT-szolgáltatásokat érinti. Mindenki ismeri a GDPR adatvédelmi rendeletet. Emellett ott van még a szintén sokakat érintő NIS2 kiberbiztonsági irányelv, továbbá a kritikus infrastruktúrára vonatkozó CER, és a pénzügyi szektorban fontos DORA. Utóbbi kettő számos kiberbiztonsági elvárást tartalmaz. Az európai, vagy itteni ügyfelekkel is bíró cégek pedig sokat dolgoztak azon, hogy megfeleljenek a rájuk vonatkozó előírásoknak, és voltak már hazánkban is ellenőrzések. „Annyi jó hírrel tudok szolgálni, hogy azok a rendelkezések, amelyeknek már megfelelnek, picit segíteni fognak az AI Act kapcsán is” – hangsúlyozza.
„Például a naplózással kapcsolatosan nagyon sok elvárás szerepel ezen szabályok magyar implementációjában, és szerencsére ugyanez köszön vissza az AI Actnél is. A magas kockázati besorolású AI-oknál az egyik kiemelt feladat, hogy a naplózási képességeink rendben legyenek. Aki erre figyelmet fordít, az legalább két irányban is meg fog tudni felelni, így picit könnyebb lesz a dolga” – magyarázza. A GDPR a betanításra használt adatanyag kapcsán is releváns az AI esetén. Ebben az adathalmazban ugyanis gyakran felhasználnak személyes adatokat is, ami felvet kérdéseket. Szakértőnk sorolja: vajon tudnak-e róla az érintettek, hogy felhasználták az adataikat, és hozzájárultak-e mindehhez.
Felidézi a Clearview AI nevű amerikai arcfelismerő cég esetét, amely létrehozott egy hatalmas adatbázist az interneten szabadon elérhető fotókból, köztük azokból is, amelyeket emberek a közösségi oldalaikra töltöttek fel. „Ezeket személyekhez rendelték, majd elkezdték árusítani különböző bűnüldöző hatóságoknak.” A céget több helyen, például Franciaországban és Hollandiában is megbüntették már a GDPR megsértéséért, bár a már EU-n kívüli Egyesült Királyságban kapott adatvédelmi bírságuk fellebbezési ügyét pont megnyerték. A tengerentúlon a jogvédők által ellenük indított per vége pedig az lett, hogy a cég korlátozza az USA-ban a szolgáltatása bűnüldözési célokra való felhasználását és nem működik együtt magáncégekkel.
Fel kell majd tüntetni
A szerzői jog mellett az egyre élethűbb AI-tartalmak jelölése is fontos terület. Az AI Act alapján ezt csak 2026. augusztus 2-tól kötelező jelölni. Ez a gyakorlatban egyaránt jelent majd vizuálisan látható és technikai, a különböző rendszerek által érzékelhető jelzéseket. Sokan felelősen már most is jelzik az AI-tartalmakat, idehaza például az RTL Fókusz című műsorában a házigazda mögött kivetítve is tűntek már fel AI-illusztrációk, jól láthatóan jelölve. Ahogyan nemrég az amerikai CNN műsorában is egyértelműen jelezték ezt a jobb felső sarokban az AI-generálta színésznő körüli vitákról szóló beszámolójukban.
Meghatározó perek
Az internetről tömegesen behúzott adathalmazok nemcsak személyiségi, de szerzői jogi kérdéseket is felvetnek. Gondoljunk csak a The New York Times-nak az OpenAI, illetve a Microsoft, vagy például a Financial Times-t kiadó Nikkei és egy másik japán médiacég Perplexity elleni perére. A lapkiadók azzal vádolják az AI-rendszereket, hogy azok engedély nélkül használták fel a szövegeiket modelljeik betanítására. (Az FT esetén ehhez még az is hozzájön, hogy a rendszer tévesen interpretált, fals állításokat tulajdonított a patinás lapnak.) Egy szeptemberi összesítés szerint az USA-ban összesen 51 szerzői jogi per indult AI-cégek ellen. Az ilyen eljárások azért is precedensértékűek, mert ha ezek a médiaóriások nem tudják felvenni a kesztyűt az AI-cégek ellen, akkor felmerül a kérdés: mire számíthat mondjuk egy magyar lapkiadó.
Ahogyan írók is perelték az OpenAI-t (a cég szerint ők tiszteletben tartják a szerzői jogokat), és zenekészítő AI-szoftverekkel kapcsolatosan is indultak már jogi eljárások, teszi hozzá Rádi Vilmos. Megjegyzi azt is: egy, az Anthrophic ellen a Universal Music Publishing Group, a Concord és az ABKCO zenei kiadók által indított pert azonban utóbbiak elvesztették, miután nem tudták egyértelműen bizonyítani, hogy a zenegenerálási funkció miatt visszaesett volna az értékesítésük, és hátrányt szenvedtek. Rádi szerint az eddig használt szerzői jog mindenféleképpen megmarad, és van is már olyan zenegeneráló, amely ügyel a jogbiztonság fenntartására. Az AI Act jegyében pedig bizonyos szolgáltatásoknál azt is dokumentálni kell, milyen adatokat használtak fel, milyen forrásból dolgoztak a modell betanításához. Mindenesetre a mostani perek kimenetelét érdemes lesz követni, mert meghatározhatják ahogyan a nagyobb AI-cégek a tartalmukat összeszedik.
A szerzői jog olyan aspektusból is felmerül, hogy mekkora részben használhatunk AI-t valaminek a megalkotásához, hogy az még a mi produktumunk legyen. Ebben a különböző országok joggyakorlata is eltér. „Arra is van példa, hogy vegyes eredmény született, és a produktum egy részén fennáll a szerzői jog, egy másik részén viszont nem” – fogalmaz oktatónk. Korábban a tavalyi AI Summit rendezvényen Dr. Karsay Enikő ügyvéd arról beszélt: érdemes egy spektrumon felfogni a kérdést, amelynek egyik véglete a teljesen gépi, a másik pedig a teljesen általunk kreált tartalom. Ez a kérdés a találmányokat is érinti. „Van is egy úriember, aki a saját cégével nagyon sok országban próbálkozik szabadalmaztatni találmányokat. Nincs egyszerű dolga, maradjunk annyiban” – fogalmaz Rádi. Az illető Stephen Thaler, és bár Svájcban és Ausztráliában őt elfogadták az általa fejlesztett AI-jal alkotottként beadott szabadalmai szerzőjeként, azt az Egyesült Királyságban, az USA-ban, Kanadában, Svájcban, Japánban, Ausztráliában és az Európai Szabadalmi Hivatalnál is elutasították, hogy az AI jogilag elismert feltaláló legyen.
Kié a felelősség?
Ez a kérdés végső soron oda fut ki, hogy az AI-nak lehet-e jogalanyisága, kezelhetnénk-e úgy, mint – ha nem is egy embert, de – mondjuk egy céget vagy egyesületet, veti fel Rádi Vilmos. „Egyelőre nem ebbe az irányba megyünk, de van kivétel is” – fogalmaz. Szerinte erről a kérdésről az EU-ban előbb-utóbb kialakítanak egy egységes álláspontot. „Az AI Act elsősorban a termékfelelősséggel kapcsolatos szabályokat fekteti le. Készült terv egy másik, AI Liability Act létrehozására is, ami főleg a károkozásból származó felelősséget szabályozta volna, ám ennek a megalkotása leállt” – magyarázza.
„Ameddig nem beszélünk jogalanyiságról, addig magát a szoftvert nem lehet, és nehéz is lenne számonkérni. Mi lenne a büntetésünk számára, kihúzzuk a konnektort? Ha a felhőben van, az sem olyan egyszerű” – érzékelteti a helyzet abszurd oldalát a szakértő. A fejlesztőcéget viszont természetesen már elő lehet venni, szerinte is ebbe az irányba haladunk. „Már jelenleg is van felelősség a gyártón. Ha több gyártó van, esetleg eltér, ki mit adott hozzá a szolgáltatáshoz, akkor megoszlik, ha esetleg külföldi a termék, akkor az importőr is képbe kerül. Továbbá annak is van felelőssége, aki az AI-szolgáltatást forgalomba helyezi, és felhasználja.” Ezeket abban az esetben kell végignézni, ha például a cikkünk elején említett tiltott felhasználások egyikéről beszélünk.
Rádi Vilmos arra számít, hogy a károkozások terén is várhatóan egy szélesebb körben meghatározott felelősség alakulhat ki. „Sok jogtudós párhuzamba vonja az AI-t – bármilyen fura – a háziállatokkal és a velük kapcsolatos felelősséggel. Hiszen azoknál sem lehet teljesen kiszámítani azt, hogy mit fognak csinálni, mégis a gazdájuk felelőssége, ha kárt okoznak” – érzékelteti. Ami a kiskedvenceknél nem, de az AI-szoftvereknél például felmerülhet, hogy mi van, ha valakiről például alaptalanul terhelő információkat terjesztenek. Szerinte egy ilyen esetben akár több irányban is fennállhat a felelősség.
Kérdés, hogy egy legális célokra fejlesztett szoftverrel él-e valaki vissza. Ebben az esetben azt mondja, elsősorban ő a felelős, de ez sem zárja ki a fejlesztők felelősségét sem. Esetükben az a kérdés, hogy megtettek-e minden szükséges intézkedést azért, hogy elkerüljék a negatív kimeneteleket, fejti ki. Hozzáteszi, hogy az AI Act alapján a nagy kockázatú, illetve általános célú modelleknél sokkal erősebb már a felelősségük.
„Különböző minőségbiztosítási rendszereket be kell majd vezetniük, megfelelőségértékelést kell végezniük, rengeteg plusz elvárásnak kell megfelelniük” – húzza alá. Egy chatbotot ugyanis arra is fel kell készíteni, ha például arra hivatkozva akarja valaki kikerülni a szabályokat, hogy csak egy iskolai projekt miatt kérdezősködik illegális dolgokról. Arra a kérdésünkre, hogy át kell-e gondolni a jogi fogalmainkat az AI miatt, azt feleli, „jelen pillanatban kevés ilyen törekvés van”.
Egyet említ: a tengerentúlon elkezdték ötvözni a személyiségi és a szerzői jogokat az ember arcképe vagy éppen hangja kapcsán. Így igyekeznek ugyanis megakadályozni, hogy színészek és más művészek arcával, hangjával visszaéljenek. Az EU-ban azonban egyelőre ez az irány nem jelent meg. A jogszabályok ennél jelentősebb újragondolására pedig szerinte csak akkor lehet szükség, ha az AI annyira önálló lesz, hogy már tényleg saját gondolatai és személyisége lesz, amelyekkel nélkülünk tud dönteni.
Stratégiai tervezés, még időben
Az említett problémákról is részletesen lesz szó a rövidesen induló AI-jog és compliance tanfolyamon, mint hogy miként lehet felkészülni arra, hogy ne éljenek vissza az AI-rendszerünkkel. De nemcsak azoknak érdemes jelentkezni, akik AI-fejlesztésben vesznek részt, hanem azoknak is, akik mesterséges intelligenciát használó rendszerek implementálásán dolgoznak. Illetve akik ilyen területen döntéseket hoznak vagy befolyásolnak, esetleg stratégiákat alkotnak. „Például abból a szempontból lehet hasznos, hogy már a bevezetésnél, amikor még csak a célokat tudjuk, segít eldönteni, hogy a meghatározott cél jogszerű-e egyáltalán. Ha pedig határeset, akkor a felmérésében, mi meddig fér bele, melyik megoldás milyen kockázati kategóriába tartozik” – emeli ki Rádi Vilmos.
Utóbbi azért fontos, mert eldönthetjük, megéri-e a sok pluszterhet egy kockázatos megoldás bevezetése. „A szabályok egy jelentős részét jelenleg még nem kell alkalmazni, de úgy egy év múlva már igen. Ha most bevezetünk egy AI-szoftvert, azt később nehéz kivezetni, főleg multis környezetben; gondoljunk bele, hogy egyetlen rendszer hány további másik rendszerrel áll kapcsolatban. Ezért hasznos, hogy a kurzus most tud segíteni a stratégiai tervezésben is.” Ahogyan abban is, hogy a mindennapokban, egy projekt során melyik irányba menjünk el, milyen funkciókat használhatunk, milyen adatokkal tanítsunk be egy AI-modellt, hogyan védessük ezt le, mit várjunk el egy külső fejlesztőtől. Ilyen téren hasznos lehet a képzés a cégek munkatársainak, vállalkozóknak, és az AI-bevezetést segítő jogi csapatoknak is.
Szeretnél egy összefoglalót kapni a cikkekről?
