Τεχνητή νοημοσύνη: Ακόμα και η απλή χρήση ChatGPT μπορεί να εκθέσει τις επιχειρήσεις σε ποινές – Τι πρέπει να κάνουν

Ένας υπάλληλος ζητά από το ChatGPT να συντάξει ένα email. Ένα τμήμα HR δοκιμάζει εργαλείο που φιλτράρει βιογραφικά. Μια εταιρεία ενεργοποιεί το Copilot σε όλο το προσωπικό. Όλα αυτά μοιάζουν καθημερινά και ακίνδυνα, αλλά με βάση το ευρωπαϊκό και το εθνικό πλαίσιο μπορούν να φέρουν την επιχείρηση αντιμέτωπη με υποχρεώσεις, ελέγχους και κυρώσεις.

Η ανεξέλεγκτη χρήση εργαλείων τεχνητής νοημοσύνης δεν είναι πλέον ζήτημα καλής πρακτικής. Είναι ζήτημα νομικής συμμόρφωσης, και αφορά επιχειρήσεις κάθε κλάδου και μεγέθους, με ορισμένες ευνοϊκές προβλέψεις για τις μικρότερες. Οι εταιρείες οφείλουν να εφαρμόζουν εργαλεία ελέγχου και εποπτείας και να μπορούν να αποδείξουν, σε περίπτωση ελέγχου, ότι η χρήση τους δεν παραβιάζει τα όρια του νόμου.

Ο Οδηγός του ΣΕΒ για τον EU AI Act

Τα παραπάνω προέκυψαν από εκδήλωση στα γραφεία του ΣΕΒ, όπου παρουσιάστηκε ο «Οδηγός για τη Συμμόρφωση των Επιχειρήσεων με τον Κανονισμό EU AI Act». Ο Σύνδεσμος τον χαρακτηρίζει πρακτικό εργαλείο που βοηθά κάθε επιχείρηση να κατανοήσει τι την αφορά, να εντοπίσει τις υποχρεώσεις της και να χτίσει βήμα-βήμα το κατάλληλο πλαίσιο διακυβέρνησης.

Ο Συν-Πρόεδρος της Επιτροπής Τεχνολογίας & Ψηφιακού Μετασχηματισμού του ΣΕΒ, Κυριάκος Σαμπατακάκης, τόνισε ότι ο Κανονισμός επιδιώκει να προστατεύσει τα θεμελιώδη δικαιώματα και την ασφάλεια χωρίς να ανακόψει την καινοτομία. Για τις επιχειρήσεις, είπε, η συμμόρφωση δεν είναι αποσπασματική άσκηση αλλά ζήτημα εταιρικής διακυβέρνησης και στρατηγικής ετοιμότητας. Η Διοίκηση πρέπει να γνωρίζει ποια συστήματα ΤΝ χρησιμοποιούνται, για ποιον σκοπό, με ποια δεδομένα, ποιους επηρεάζουν και ποιος λογοδοτεί για τα αποτελέσματά τους. Πρόσθεσε ότι η εφαρμογή του Κανονισμού αποτελεί και ευκαιρία να κερδίσουν οι εταιρείες την εμπιστοσύνη πελατών και επενδυτών.

Διερεύνηση της αγοράς, αλλά με έμφαση στη συμμόρφωση

Ο Ειδικός Γραμματέας Τεχνητής Νοημοσύνης & Διακυβέρνησης Δεδομένων, Βασίλης Καρκατζούνης, ανέφερε ότι βρίσκεται σε εξέλιξη διερεύνηση της ελληνικής αγοράς για πιθανή χρήση πρακτικών ΤΝ που απαγορεύονται από τη νομοθεσία. Υπογράμμισε ωστόσο ότι στόχος της Πολιτείας είναι να βοηθήσει τις επιχειρήσεις να συμμορφωθούν και όχι να απειλήσει με πρόστιμα. Σε περιπτώσεις παραβάσεων, η εφαρμογή προγραμμάτων επιμόρφωσης των εργαζομένων στην ΤΝ θα προσμετράται ευνοϊκά κατά τον προσδιορισμό των κυρώσεων.

Οι 7 κρίσιμες διαδικασίες

Ο Οδηγός προτείνει επτά διαδικασίες που πρέπει να υλοποιήσουν οι επιχειρήσεις που αναπτύσσουν, διαθέτουν ή χρησιμοποιούν συστήματα ΤΝ, με την τελευταία περίπτωση να είναι η συνηθέστερη, ώστε να εντοπίσουν τις υποχρεώσεις τους και να εναρμονιστούν με τον Κανονισμό.

Οι ερωτήσεις που απασχολούν τις εταιρείες

Χρησιμοποιούμε μόνο ChatGPT/Copilot για γραφειακές εργασίες. Μας αφορά ο Κανονισμός;
Ναι, τουλάχιστον ως προς την εκπαίδευση του προσωπικού στην ΤΝ (AI literacy), την πολιτική χρήσης και τον έλεγχο ότι καμία χρήση δεν εμπίπτει σε απαγορευμένη πρακτική. Οι χρήσεις γενικής παραγωγικότητας είναι συνήθως ελάχιστου ή περιορισμένου κινδύνου, αλλά πρέπει να καταγράφονται και να επανελέγχονται όταν επεκτείνονται.

Ο προμηθευτής μάς διαβεβαιώνει ότι το εργαλείο είναι «συμμορφωμένο». Αρκεί;
Όχι. Ο φορέας εφαρμογής έχει δικές του υποχρεώσεις: χρήση σύμφωνα με τις οδηγίες, εποπτεία, διαφάνεια και παρακολούθηση, καθώς και τεκμηρίωση της δικής του αξιολόγησης. Η συμμόρφωση του προμηθευτή είναι αναγκαίο στοιχείο αρχικού ελέγχου, όχι υποκατάστατο.

Πότε γινόμαστε «πάροχος» χωρίς να το καταλάβουμε;
Όταν διαθέτουμε σύστημα υψηλού κινδύνου με δικό μας σήμα ή επωνυμία, όταν το τροποποιούμε ουσιωδώς ή όταν το χρησιμοποιούμε για σκοπό διαφορετικό από τον επιδιωκόμενο του αρχικού παρόχου.

Το σύστημα κάνει προτάσεις και ο άνθρωπος αποφασίζει. Είμαστε εκτός υψηλού κινδύνου;
Όχι απαραίτητα. Η ύπαρξη ανθρώπου «στο τέλος» δεν αρκεί. Κρίσιμο είναι αν ο άνθρωπος μπορεί πραγματικά να κατανοήσει, να αμφισβητήσει και να παρακάμψει την πρόταση. Συστήματα που επηρεάζουν ουσιωδώς αποφάσεις για φυσικά πρόσωπα, όπως οι προσλήψεις, παραμένουν κατά κανόνα υψηλού κινδύνου.

Πρέπει να κάνουμε FRIA (Εκτίμηση Αντικτύπου στα Θεμελιώδη Δικαιώματα);
Μόνο αν είστε φορέας εφαρμογής συστήματος υψηλού κινδύνου και είτε παρέχετε δημόσιες υπηρεσίες συνδεόμενες με καθήκοντα δημόσιου συμφέροντος, είτε αξιολογείτε την πιστοληπτική ικανότητα φυσικών προσώπων, είτε τιμολογείτε ασφαλίσεις ζωής ή υγείας.

Μας καλύπτει νομικά η πιστοποίηση ISO/IEC 42001;
Αποδεικνύει οργανωτική ωριμότητα και βοηθά σημαντικά, αλλά τεκμήριο νομικής συμμόρφωσης θα παρέχουν μόνο τα εναρμονισμένα ευρωπαϊκά πρότυπα όταν δημοσιευθούν.

Οι προθεσμίες μετατέθηκαν στο 2027-2028. Μπορούμε να περιμένουμε;
Όχι. Ορισμένες υποχρεώσεις ισχύουν ήδη, ενώ η προετοιμασία για συστήματα υψηλού κινδύνου απαιτεί 12 έως 24 μήνες.

Ποια αρχή εποπτεύει στην Ελλάδα;
Κατά κανόνα η Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα, ως αρχή εποπτείας της αγοράς και ενιαίο σημείο επαφής, καθώς και η ΕΕΤΤ.

Οι απαγορευμένες πρακτικές τεχνητής νοημοσύνης

Ο Κανονισμός (2024/1689) προβλέπει σειρά πρακτικών που απαγορεύονται ρητά:

• Υποσυνείδητες ή παραπλανητικές τεχνικές που χειραγωγούν τη συμπεριφορά ατόμων ή ομάδων, υποβαθμίζοντας την ικανότητά τους να λάβουν τεκμηριωμένες αποφάσεις και ενδεχομένως προκαλώντας σημαντική βλάβη.
• Εκμετάλλευση ευάλωτων χαρακτηριστικών, όπως η ηλικία, η αναπηρία ή η κοινωνικοοικονομική κατάσταση.
• Παραγωγή ή χειρισμός μη συναινετικού υλικού προσωπικής φύσης, όπως ρεαλιστικές εικόνες, βίντεο ή ήχος που απεικονίζουν ταυτοποιήσιμο πρόσωπο σε σεξουαλικού χαρακτήρα δραστηριότητες χωρίς τη ρητή συγκατάθεσή του.
• Παραγωγή ή χειρισμός υλικού σεξουαλικής κακοποίησης παιδιών.
• Κοινωνική βαθμολόγηση που οδηγεί σε άνιση μεταχείριση, άσχετη με το πλαίσιο συλλογής των δεδομένων ή δυσανάλογη με τη σοβαρότητα της συμπεριφοράς.
• Αξιολόγηση ποινικού κινδύνου αποκλειστικά με βάση προφίλ ή χαρακτηριστικά προσωπικότητας, με εξαίρεση τις αντικειμενικές έρευνες βάσει πραγματικών γεγονότων.
• Μαζική εξαγωγή εικόνων προσώπου από το διαδίκτυο ή κάμερες ασφαλείας χωρίς συγκεκριμένο στόχο.
• Συναγωγή συναισθημάτων σε χώρους εργασίας και εκπαιδευτικά ιδρύματα, εκτός από ιατρικούς σκοπούς ή σκοπούς ασφάλειας.
• Βιομετρική κατηγοριοποίηση για συναγωγή ευαίσθητων γνωρισμάτων, όπως φυλή, θρησκευτικές ή πολιτικές πεποιθήσεις, με εξαίρεση τη νόμιμη χρήση στο πλαίσιο επιβολής του νόμου.
• Βιομετρική ταυτοποίηση σε πραγματικό χρόνο σε δημόσιους χώρους από αρχές επιβολής του νόμου, εκτός από απολύτως αναγκαίες περιπτώσεις, όπως η εύρεση εξαφανισμένων ή η αποτροπή επικείμενων απειλών, και μόνο με αυστηρές διαδικασίες, προηγούμενη άδεια και διασφαλίσεις δικαιωμάτων.

Οι τομείς «υψηλού κινδύνου»

Η χρήση ΤΝ επιτρέπεται σε ορισμένους τομείς, αλλά υπό πολύ αυστηρή εποπτεία:

• Βιομετρικά στοιχεία: εξ αποστάσεως επαλήθευση ταυτότητας, κατηγοριοποίηση με βάση ευαίσθητα γνωρίσματα και αναγνώριση συναισθημάτων.
• Υποδομές ζωτικής σημασίας: ψηφιακές υποδομές, κυκλοφορία, νερό, φυσικό αέριο, θέρμανση και ηλεκτρική ενέργεια.
• Εκπαίδευση και επαγγελματική κατάρτιση: πρόσβαση, αξιολόγηση μαθησιακών αποτελεσμάτων και παρακολούθηση συμπεριφοράς στις εξετάσεις.
• Απασχόληση: πρόσληψη, επιλογή υποψηφίων, προαγωγές, καταγγελίες συμβάσεων, κατανομή εργασιών και παρακολούθηση επιδόσεων.
• Βασικές υπηρεσίες: επιλεξιμότητα για δημόσιες παροχές, πιστοληπτική ικανότητα, αξιολόγηση ασφαλιστικού κινδύνου και ιεράρχηση έκτακτων αναγκών.
• Επιβολή του νόμου: εκτίμηση κινδύνου τέλεσης εγκλημάτων, ανιχνευτές ψεύδους, αξιολόγηση αποδεικτικών στοιχείων, πρόβλεψη υποτροπής και κατάρτιση προφίλ.
• Μετανάστευση και συνοριακός έλεγχος: εκτίμηση κινδύνων, άσυλο, θεωρήσεις εισόδου και ταυτοποίηση ατόμων.
• Απονομή δικαιοσύνης και δημοκρατικές διαδικασίες: νομική έρευνα από δικαστικές αρχές και συστήματα που θα μπορούσαν να επηρεάσουν εκλογικά αποτελέσματα.
• Κατασκευαστικά στοιχεία ασφάλειας προϊόντων.

Τι σημαίνει στην πράξη

Το μήνυμα προς την αγορά είναι σαφές: η τεχνητή νοημοσύνη δεν μπορεί να χρησιμοποιείται «στο περίπου». Καταγραφή των εργαλείων, πολιτική χρήσης, εκπαίδευση του προσωπικού και τεκμηρίωση της εποπτείας είναι τα βασικά βήματα που καλούνται να κάνουν οι επιχειρήσεις, ανεξάρτητα από το αν οι προθεσμίες για τα συστήματα υψηλού κινδύνου φτάνουν το 2027-2028. Όσες ξεκινήσουν νωρίς θα έχουν όχι μόνο νομική ασφάλεια, αλλά και ανταγωνιστικό πλεονέκτημα εμπιστοσύνης απέναντι σε πελάτες και επενδυτές.