监管可能重塑AI行业：企业应如何做好准备

• 欧盟委员会（EC）近期发布的一份白皮书可能为人工智能监管框架奠定基础。

• 此类监管可能对人工智能行业产生广泛影响。

• 企业可以通过建立健全的审计和报告能力来为此做好准备。

鉴于人工智能在高风险领域的快速应用，以及公众对AI潜在滥用日益增长的担忧，监管即将到来。事实上，欧盟委员会目前正在制定一个监管框架，其影响范围可能很广，类似于《通用数据保护条例》（GDPR），将波及所有希望在欧盟开展业务的企业。为此，企业应提前引入严格的AI产品和服务审核流程，以将冲击降至最低。

正在制定中的框架

2020年2月，欧盟委员会（EC）发布了《白皮书》《人工智能白皮书》，该文件被专家广泛视为迈向新监管框架的一步。它正式阐述了委员会支持在欧洲发展值得信赖且具有创新性的AI生态系统的愿景。该愿景以两项核心目标为指引：1）推动以人为本的AI发展方式，即确保AI首先服务于人类并提升人们的福祉， 以及2）利用欧盟市场，在全球推广欧盟的AI监管模式。

关键在于，该文件明确规定，任何新的监管制度仅适用于高风险领域（如医疗、交通、能源以及公共部门的部分领域），在这些领域中“可以预期会出现重大风险”。此类法规还将适用于特定的AI应用，例如招聘、面部识别技术，以及与工人和消费者权利相关的应用。该正式AI监管框架在欧盟的出台，将对提供或采购AI系统的企业及其与监管机构的关系产生重大影响。

白皮书提出了一套分层的AI合规指南，包括强制性和自愿性合规方案。强制性要求将适用于在上述“高风险”领域运营和/或使用AI应用的企业。这些要求具体涉及“训练数据、关于AI应用稳健性和准确性的记录保存信息、面部识别的人工监督具体要求”。与此相对，在低风险领域和/或应用中运营的企业，可以选择参与自愿性标识计划，以表明其AI赋能的产品和服务值得信赖。这些指南在欧盟内部已获得一定支持，因为14个成员国近期联合签署了一份立场文件，支持此类合规策略以及更广泛意义上对AI监管采取软法路径（例如自我监管）。

目前，关于不同分类的模糊之处仍然存在。例如，将运营者和应用认定为高风险或低风险将由欧盟委员会执行，而这些认定可能会演变，纳入尚未被视为“高风险”、但与更高风险AI运营相关的行业和应用。因此，严重依赖AI的行业宜主动采取措施，自觉符合监管要求。

可以肯定的是，欧盟尚未宣布任何监管措施，许多内容仍在建立之中。例如，实施AI监管的关键要素仍未完善或不明确；比如，目前尚无最终确定的具体合规要求清单、监督这些法规系统性实施的执行机制，也没有明确的流程用于协调欧盟委员会与欧盟成员国之间的AI规程。然而，除此之外可以确定的是，基础工作正在铺开。事实上，欧盟委员会主席乌尔苏拉·冯德莱恩在其盟情咨文演讲（2020年9月16日）中强调，需要“一套以人为本的规则”来规范AI，并确认“委员会将于明年就此提出一项法律”。

企业如何立即做好准备

这一推动监管行动的承诺，源于一种普遍感受：多种AI系统在部署之前未经充分审核。人们已逐渐认识到，在高风险领域，人工智能被越来越多地应用于越来越广泛的人生决策（例如就业、医疗、教育），这一过程绝不能再造、强化或扩大现有的不平等。这些无疑是正当的关切，而具有前瞻性的企业能够且应当通过严格的“审核流程”主动应对这些关切。我们认为，对于AI产品和解决方案，该流程应围绕四个关键步骤构建：

1. 记录AI产品/服务在运行期间的来源和行为。此类文档应包括有关目标/用途、训练数据集、安全性与公平性测试结果、性能特征以及使用场景的信息。近年来，这已成为全行业的优先事项，大多数主要参与者已创建或采用了切实可行的文档模型（从谷歌的模型卡到IBM的事实说明书）。此外，AI系统的行为在运行期间应受到积极监测。在此，企业应转向日益增多的文献，了解各类可用于理解和解释机器学习模型预测的工具。

2. 制定对欧盟委员会拟议白皮书要求的内部解读：很可能，通过的监管框架不会充分说明如何将这些要求落到实处，主要因为具体要求会因具体使用情境而有很大差异。例如，如果法律要求企业使用具有足够代表性的数据集以防止潜在歧视，它并不会明确规定某一数据集的确切构成应当是。因此，跨职能团队需要制定对这些要求的内部解读。这可以通过提出相关问题来完成。例如，在一款AI驱动的招聘应用中，可以考虑如下问题：训练数据集的人口构成如何影响系统的推荐结果？

3. 依据欧盟委员会拟议的白皮书要求，评估AI产品/服务的合规性：应由一个独立的跨职能团队（由风险与合规官、产品经理和数据科学家组成）开展内部审计，以依据对欧盟委员会要求的既定内部解读，评估其是否符合欧盟委员会的要求。

4. 向相关利益相关方报告调查结果。这些审计报告应可按要求提供给：

● 监管机构。为简化这一流程，企业使用的报告解决方案应包括便于与监管机构互动的应用程序编程接口（API）；

● 需求方（买方）。在采购流程中，企业应能够获取其技术提供商编制的审计报告，并应要求一家具备相应能力的第三方机构对所提供的信息进行交叉核对；

● 供给方（供应商）。在竞标合同时，技术提供商应附上审计报告，以证明其公司是负责任AI的领先者。这些报告还可用于责任认定，以证明其已尽到应有的审慎义务，实施了正确的验证流程。

● 消费者协会/公民社会组织。消费者和公民应能够通过适当渠道，获取部署AI的企业所提供的报告，以确保其能够选择与值得信赖的系统互动。

确保顺利过渡至新法规合规状态的一种方式，是指定专人负责确保符合要求。具体而言，风险与合规经理很可能在此过程中发挥关键作用；如果配备了适当的AI系统审计软件（正如此处所论证的），这一流程的大部分工作都可以实现自动化。

采取行动

受影响可能较大的企业应及时行动，因为建立此类流程确实需要一定时间。若未能建立此类审计和报告能力，可能会在可避免的危害、职责界定不清、业务韧性下降，以及最终履行企业义务的组织能力薄弱等方面付出高昂代价。

然而，对于愿意在被迫之前拥抱负责任AI的企业，仍有理由保持乐观。事实上，越来越多的证据表明，在AI方面，企业领导者应当践行一种技术社会责任，不仅是为了维护品牌声誉，更重要的是与员工、消费者和整个社会建立信任。这种积极主动的态度，将决定企业是能够通过适应而取胜，还是只能被动应对、勉强维持。