قانون‌گذاری اروپا معمولاً در فهرست دغدغه‌های مدیر ایرانی جایی ندارد — تا روزی که در پیش‌نویس قرارداد یک مشتری خارجی پیوستی تازه ظاهر می‌شود و از شما می‌خواهد سازگاری سامانه‌های داده‌محورتان با الزامات هوش مصنوعی اتحادیهٔ اروپا را مستند کنید. آن‌جاست که یک متن حقوقی دور، به شرط عملی حفظ یک بازار تبدیل می‌شود.

قانون هوش مصنوعی اتحادیهٔ اروپا در اوت ۲۰۲۴ لازم‌الاجرا شد و اجرای الزاماتش مرحله‌ای است: از ۲ فوریهٔ ۲۰۲۵ ممنوعیت کاربردهای با ریسک غیرقابل‌پذیرش و الزام سواد هوش مصنوعی، از ۲ اوت ۲۰۲۵ تعهدات مدل‌های همه‌منظوره و ساختار نظارتی، و بر پایهٔ زمان‌بندی خود قانون، بخش عمدهٔ الزامات سامانه‌های پرخطر از ۲ اوت ۲۰۲۶ به بعد.

چهار ردهٔ ریسک، ستون فقرات قانون

• ریسک غیرقابل‌پذیرش: کاربردهای ممنوع، مانند امتیازدهی اجتماعی و بهره‌گیری از آسیب‌پذیری گروه‌های خاص.
• پرخطر: سامانه‌های اثرگذار بر حقوق افراد، مانند غربال رزومه، اعتبارسنجی و کاربردهای درمانی؛ سنگین‌ترین الزامات مستندسازی و نظارت.
• ریسک محدود با الزام شفافیت: مانند دستیار گفت‌وگو یا محتوای تولیدشده، که کاربر باید بداند با ماشین روبه‌روست.
• کم‌خطر: بخش عمدهٔ کاربردهای متعارف سازمانی، با تکلیف الزامی اندک.

چرا به قرارداد یک شرکت ایرانی می‌رسد

دو مسیر وجود دارد. نخست، دامنهٔ فراسرزمینی خود قانون: وقتی خروجی یک سامانه در قلمرو اتحادیه استفاده می‌شود، تکالیف مربوطه می‌تواند فعال شود، حتی اگر توسعه‌دهنده جای دیگری باشد. دوم که در عمل زودتر خودش را نشان می‌دهد، انتقال زنجیره‌ای الزام است: شرکت اروپاییِ مکلف، همان تکالیف را در قالب بند قراردادی و پرسش‌نامهٔ تأمین‌کننده به شما منتقل می‌کند. برای شرکت صادرات‌محور، مسیر دوم است که برندهٔ مناقصه را تعیین می‌کند.

مستنداتی که مشتری خارجی از شما می‌خواهد

• توصیف روشن کاربرد سامانه، کاربران هدف و ردهٔ ریسک آن.
• منشأ داده‌های آموزش و مبنای قانونی استفاده از آن‌ها.
• ارزیابی کیفیت و خطا، همراه با محدودیت‌های شناخته‌شدهٔ سامانه.
• ثبت رخداد و نگه‌داشت گزارش‌ها برای بازرسی و ردیابی.
• نقطهٔ نظارت انسانی و سازوکار اعتراض یا بازبینی تصمیم.
• نشان‌گذاری محتوای تولیدشده و آگاه‌سازی کاربر در تعامل با سامانهٔ خودکار.

هیچ‌یک از این‌ها خواستهٔ عجیبی نیست؛ این فهرست تقریباً همان چیزی است که یک سامانهٔ خوب‌مهندسی‌شده در هر حال باید داشته باشد.

رعایت زودهنگام، برگ برندهٔ مذاکره

ساختن این مستندات از روز اول، کسری از هزینهٔ بازسازی آن‌ها زیر فشار مهلت قراردادی است. سازمانی که ردهٔ ریسک کاربردهایش را می‌داند و نقطهٔ نظارت انسانی‌اش را طراحی کرده، پرسش‌نامهٔ تأمین‌کننده را در چند روز پاسخ می‌دهد؛ همین سرعت، در برابر رقیبی که چند ماه وقت می‌خواهد، مزیتی تجاری است.

از کجا شروع کنیم

• ماه اول: فهرست کاملی از کاربردهای هوش مصنوعی فعال و در دست توسعه بسازید و ردهٔ ریسک هر یک را تعیین کنید.
• ماه دوم: برای کاربردهای پرخطرتر، منشأ داده، ارزیابی خطا، نقطهٔ نظارت انسانی و سیاست نگه‌داشت گزارش را مکتوب کنید.
• ماه سوم: پرونده‌ای آماده برای پاسخ به پرسش‌نامهٔ مشتری تهیه کنید و مالک به‌روزرسانی آن را مشخص کنید.

اشتباه‌های رایج

• فرض این‌که فعالیت بیرون از اتحادیه، سازمان را معاف می‌کند؛ مشتری اروپایی الزام را به شما منتقل می‌کند.
• واگذاری کل موضوع به واحد حقوقی، در حالی که بخش عمدهٔ مستندسازی وظیفهٔ تیم فنی و صاحب فرآیند است.
• مستندسازی یک‌باره و بایگانی آن؛ هر تغییر در مدل یا دادهٔ آموزش، پرونده را قدیمی می‌کند.
• توقف نوآوری به بهانهٔ انطباق؛ بخش عمدهٔ کاربردهای متعارف سازمانی در ردهٔ کم‌خطر می‌نشینند.

پرسش‌های پرتکرار

• ما مشتری اروپایی نداریم؛ باز هم اهمیت دارد؟
  اگر افق شما صادرات خدمات یا نرم‌افزار است، بله؛ ساختن این مستندات در آغاز، ارزان‌تر از افزودن آن‌ها چند سال بعد است.
• آیا فقط سامانه‌های بزرگ مشمول‌اند؟
  تکالیف بر پایهٔ ریسک کاربرد تعیین می‌شوند، نه اندازهٔ شرکت؛ یک ابزار کوچک غربال رزومه می‌تواند تکلیف سنگین‌تری از یک سامانهٔ بزرگ توصیه‌گر محتوا داشته باشد.
• نقطهٔ شروع کم‌هزینه چیست؟
  همان فهرست کاربردها و ردهٔ ریسک هر یک؛ این سند یکی دو صفحه‌ای، پایهٔ همهٔ کارهای بعدی است.

جمع‌بندی

این قانون برای شرکت ایرانی بیش از یک تکلیف حقوقی، یک استاندارد بازار است: زبانی که مشتری خارجی با آن دربارهٔ قابل‌اعتماد بودن سامانهٔ شما قضاوت می‌کند. سازمانی که فهرست کاربردها، ردهٔ ریسک و نقطهٔ نظارت انسانی‌اش را امروز مکتوب کند، فردا در مذاکره پاسخ آماده دارد؛ دیگری انطباق را زیر فشار مهلت و با چند برابر هزینه می‌سازد.

واژه‌نامه

• قانون هوش مصنوعی اتحادیهٔ اروپا: چارچوب قانونی اروپا که تکالیف سامانه‌های هوش مصنوعی را بر پایهٔ سطح ریسک تعیین می‌کند.
• انطباق: رعایت مستندِ مقررات الزامی و توانایی اثبات آن.
• ردهٔ ریسک: دسته‌بندی یک کاربرد بر پایهٔ میزان اثر احتمالی آن بر حقوق و امنیت افراد.
• مدل همه‌منظوره: مدل پایه‌ای که در کاربردهای گوناگون به کار می‌رود و تکالیف شفافیت خاص خود را دارد.
• دامنهٔ فراسرزمینی: اثرگذاری یک قانون بر شرکت‌های بیرون از قلمرو آن که خروجی‌شان در آن قلمرو استفاده می‌شود.

اقدام این هفته

این هفته، یک جلسه‌ی دوساعته با حضور مدیر فنی، مسئول داده و نماینده‌ی فروش/صادرات برگزار کنید و فهرست اولیه‌ای از تمام کاربردهای هوش مصنوعی و سیستم‌های داده‌محور فعال یا در دست توسعه در سازمان تهیه کنید. برای هر مورد، فقط دو سؤال ساده را پاسخ دهید: «آیا خروجی این سیستم می‌تواند بر حقوق یا منافع یک فرد در اتحادیه‌ی اروپا اثر بگذارد؟» و «آیا این سیستم در فرآیند تصمیم‌سازی خودکار (مانند غربال رزومه، اعتبارسنجی، یا تشخیص چهره) نقش دارد؟». پاسخ مثبت به هر یک، یعنی آن سیستم در رده‌ی «پرخطر» یا «ریسک محدود» قرار می‌گیرد و باید در اولویت مستندسازی باشد. در پایان جلسه، یک مالک مشخص برای هر سیستم تعیین کنید و فهرست را در یک فایل مشترک ثبت کنید. این فهرست، نقطه‌ی شروع نقشه‌ی راه سه‌ماهه‌ی شماست و پاسخ به هر پرسش‌نامه‌ی مشتری اروپایی از همین جا آغاز می‌شود.

منابع

• متن رسمی و مصوب قانون هوش مصنوعی اتحادیه اروپا (Regulation (EU) 2024/1689) — لینک به متن کامل در EUR-Lex
• راهنمای اجرایی قانون هوش مصنوعی برای کسب‌وکارها از سوی کمیسیون اروپا (AI Act: A Practical Guide for Businesses) — لینک به صفحه رسمی سیاست‌گذاری هوش مصنوعی کمیسیون اروپا
• تاریخ‌نگاری مراحل اجرای قانون هوش مصنوعی اروپا (AI Act ImplementationAI Timeline) — لینک به جدول زمانی در وب‌سایت تخصصی Artificial Intelligence Act
• توضیح چهار رده‌ی ریسک و الزامات هر رده (EU AI Act Risk Classification Explained) — لینک به گزارش پارلمان اروپا درباره قانون هوش مصنوعی