EN 18286, tekoäly­säädöksen ensimmäinen yhdenmukais­tettu standardi, tekoälyä käyttäville yrityksille

EN 18286 on standardi sille laadunhallintajärjestelmälle, jota 17 artikla edellyttää suuririskisten tekoälyjärjestelmien tarjoajilta. Artiklassa luetellaan, mitä järjestelmän on sisällettävä kirjallisessa muodossa, muun muassa strategia sääntelyn noudattamiseksi, suunnittelun ja kehityksen valvonta, testaus ja validointi, tietojen hallinta, riskinhallintajärjestelmä, markkinoille saattamisen jälkeinen seuranta, vakavista vaaratilanteista ilmoittaminen, kirjanpito ja vastuuvelvollisuuskehys.

Itse standardin tekstiä myyvät kansalliset standardointijärjestöt, Suomessa SFS. Julkisia ovat nimi, soveltamisala sellaisena kuin komission päätös sen kuvaa, ja JTC 21:n tiivistelmä: vaatimukset ja ohjeet laadunhallintajärjestelmälle sekä liitteet, jotka kytkevät standardin ISO 9001:een ja ISO/IEC 42001:een, joten organisaatio, joka jo soveltaa jompaakumpaa, voi rakentaa sen päälle.

Olettamus ulottuu vain niin pitkälle kuin standardi. 40 artikla rajaa sen standardin kattamiin vaatimuksiin, ja EN 18286 kattaa laadunhallinnan. Se ei kerro mitään siitä, onko tietty järjestelmä riittävän tarkka, vakaa tai turvallinen.

Tarjoajat kehittävät tekoälyjärjestelmän tai teettävät sen ja saattavat sen markkinoille omalla nimellään. Suuririskisen järjestelmän tarjoaja tarvitsee laadunhallintajärjestelmän, ja EN 18286 on yksi tapa rakentaa se.

Käyttöönottajat käyttävät valvonnassaan olevaa tekoälyjärjestelmää. Yritys, joka antaa henkilöstönsä käyttöön Clauden tai GPT:n tekstien, koodin tai tiivistelmien laatimiseen tai rakentaa sisäisen avustajan LLM-rajapinnan päälle, on näiden työkalujen käyttöönottaja. Jos käyttö on suuririskistä, sovelletaan 26 artiklaa: järjestelmää on käytettävä käyttöohjeiden mukaisesti, sille on osoitettava ihmisen suorittama valvonta, sitä on seurattava ja tarjoajalle on ilmoitettava riskeistä ja vakavista vaaratilanteista, ja järjestelmän tuottamat lokitiedot on säilytettävä vähintään kuusi kuukautta siltä osin kuin ne ovat käyttöönottajan hallinnassa.

Milloin käyttöönottajasta tulee tarjoaja. 25 artiklan mukaan käyttöönottajaa pidetään suuririskisen järjestelmän tarjoajana, jos se merkitsee järjestelmään nimensä tai tavaramerkkinsä, tekee siihen merkittävän muutoksen tai muuttaa tekoälyjärjestelmän, myös yleiskäyttöisen tekoälyjärjestelmän, käyttötarkoitusta niin, että siitä tulee suuririskinen. Yrityksen, joka rakentaa yleiskäyttöisen mallin päälle työkalun ansioluetteloiden seulontaan tai luottokelpoisuuden arviointiin, kannattaa tarkistaa tämä ensin. Jos näin on, 17 artikla ja laadunhallintajärjestelmä ovat yrityksen oma velvollisuus.

Kun hankitte tekoälyjärjestelmän käyttöön, joka voi olla suuririskistä, tai mallin tai palvelun, jonka päälle suuririskinen järjestelmä rakennetaan, nämä kysymykset tekevät standardista hankintaehtoja. Kopioikaa ne tarjouspyyntöönne tai toimittajakyselyynne.

EN 18286 on ensimmäinen komission pyytämistä yhdenmukaistetuista standardeista ja toistaiseksi ainoa julkaistu. CEN-CENELEC JTC 21 työstää yhä standardeja riskinhallinnasta, datanhallinnasta ja datan laadusta, lokikirjauksesta, avoimuudesta, ihmisen suorittamasta valvonnasta, tarkkuudesta, vakaudesta, kyberturvallisuudesta ja vaatimustenmukaisuuden arvioinnista. Komitean mukaan useita keskeisiä luonnoksia tarkistetaan lausuntokierrosten jälkeen. Jokainen standardi on hyväksyttävä CEN:ssä ja Cenelecissä, komission on arvioitava se ja se on julkaistava virallisessa lehdessä, ennen kuin se antaa olettamuksen vaatimusten täyttymisestä.

Hankinnoille tämä tarkoittaa, että yllä oleva kysymyslista kasvaa. Pyytäkää toimittajia kertomaan, kun ne alkavat soveltaa juuri julkaistua standardia, ja käykää vastaukset läpi ennen kuin suuririskisiä järjestelmiä koskevia sääntöjä aletaan soveltaa liitteen III järjestelmiin 2. joulukuuta 2027.

Vastasivatpa toimittajat mitä tahansa, käyttöönottaja tarvitsee oman kirjanpidon siitä, mitä malleja ja tarjoajia kukin sovellus käyttää. Standard Compute on yksi tapa pitää tätä kirjanpitoa rajapintakäytöstä. Jokainen ylläpitäjän muutos kirjataan muutosta edeltävine ja sen jälkeisine arvoineen, ja jokaisesta pyynnöstä voitte viedä tietueen, josta näkyvät malli, pyynnön palvellut tarjoaja ja voimassa ollut aluerajaus. Tietueita säilytetään 12 kuukautta.

Päättäkää, mitä malleja kukin avain saa käyttää, jotta jokainen sovellus ja jokainen työntekijä saa juuri hyväksymänne mallit. Valitkaa tarkasti, mitkä inferenssipalveluntarjoajat saavat käsitellä tietojanne, koko yritykselle, tiimille tai yksittäiselle avaimelle. Asettakaa Eurooppa-rajaus, niin jokaisen pyynnön, myös uusintayritykset ja varareitit, palvelevat vain hyväksytyt eurooppalaiset päätepisteet.

Nämä ovat gatewayn kirjauksia mallien ja tarjoajien käytöstä. 26 artiklan 6 kohdan lokitiedot ovat niitä, joita suuririskinen järjestelmä itse tuottaa. Sen, mitä tekoälysäädös yritykseltänne vaatii, ratkaisee lakitiiminne.