人工智能的应用在飞速发展，从简单的聊天机器人发展到几近能通过图灵测试的复杂对话机器。人工智能具有显著提升效率并创造新的商机。因此，几乎所有行业都在努力将人工智能融入其产品和内部流程中。
使用或开发人工智能的公司面临着法律及非法律方面的挑战，包括商业和声誉风险（例如，由于依赖不准确的人工智能输出结果而导致的对企业或其客户、员工或消费者造成的损害）。
2023年12月国际隐私从专业人员协会（IAPP）及安永联合发布的《专业化人工智能在机构组织中的治理报告》（以下简称《治理报告》）显示，56%的受访者表示其公司不完全理解人工智能部署的优势和风险，57%的受访者表示其公司并未对人工智能的使用加以控制。[1]
引入人工智能管理机制是考虑使用人工智能的公司的总法律顾问应当采取的首要行动之一。本文将讨论公司在制定人工智能治理机制时应当考虑的原则。
对于人工智能带来的风险、挑战和机遇，国际上已形成大量共识（例如，七国集团指导原则和人工智能供应商行为准则），但对于如何监管人工智能，共识尚未形成。
在欧盟，《人工智能法案》提出了基于风险的人工智能系统监管理念，监管对象涵盖有限风险到高风险人工智能系统、用例以及通用人工智能模型/基础模型。实践中，公司将被要求采纳治理措施来确保其遵守最新义务，具体的义务将取决于公司所扮演的角色，如人工智能供应商、部署商/用户、分销商和进口商。为促进未来措施能早日实施，欧盟委员会已启动“人工智能公约”，这是一项鼓励欧盟和非欧盟关键利益相关方在自愿基础上分享具体行动和最佳实践的计划，为《人工智能法案》做好充分准备。
部分国家（如英国和日本）出于鼓励投资和避免遏制人工智能发展的愿望，选择引入原则和指引而非立法进行监管。部分公共机构甚至个别公司已经就管理人工智能的安全开发和使用制定框架（如欧洲委员会（Council of Europe）人工智能、人权、民主和法治框架公约草案）或相关原则和指南（如美国国家标准与技术研究所、新加坡个人数据保护委员会和香港特别行政区个人数据私隐专员公署）。
此外，人工智能的每一种使用方式均须遵守非针对人工智能的通用法律；尤其是，隐私法等法律项下对人工智能的某些使用存在限制。例如，美国、欧盟和英国的隐私法规定了与为自动决策而处理个人数据相关的特定权利，以及要求企业对特定数据处理（包括涉及个人数据的高风险活动）进行数据保护影响评估。
长按左方二维码查看本所总结的特定司法辖区当前以及即将实施的人工智能监管概况（英文）。
制定内部人工智能治理机制对于帮助公司应对日益庞大的人工智能法律法规、履行其法律义务和降低潜在风险至关重要。每家公司都希望根据自身业务制定人工智能治理机制，以下要素有助于为人工智能治理机制打下坚实基础。
决策：实施有效治理需要明确定义角色、决策过程和问责制度。公司需要将采用并使用人工智能的责任分配给具体个人或部门，以避免职责不明、重叠或存在缺口。
董事会监督和报告义务：公司需要考虑如何让董事会及时了解人工智能的开发、部署和使用情况。此外，公司还可以邀请专家和外部顾问提供反馈。
专项监督：建立监督人工智能使用的专门机构将使公司受益。《治理报告》显示，60%的受访者表示“其组织已经或可能在未来12个月内设立专门的人工智能治理机构”。该机构可能负责开展各类活动，例如：
o 对人工智能系统使用情况进行摸底和监控（详情参见下文风险管理部分）；
o 为人工智能的开发、部署和使用制定建议、内部政策和流程；
o 紧跟技术和监管发展；以及
o 培训员工正确使用人工智能。
建立负责管理公司人工智能政策的跨职能部门有助于避免不同部门（例如人力资源、IT和法务）间以及与其它合规政策（例如，可能重叠的人工智能合规和数据合规）间的不一致之处。
o 知识产权：创意产业和软件企业可能会在受版权保护资料的使用和潜在侵权方面面临更大风险。公司应当理解，其使用人工智能的方式可能会牵涉知识产权（例如版权）。当向人工智能提供受版权保护或者受限于许可条款或其他使用限制的训练数据时，知识产权问题将会产生。部分许可可能会限制信息被用作训练数据，而在训练数据中使用受版权保护的信息是否涵盖在“合理使用”原则和类似的版权限制之下尚不明确。当人工智能的输出的内容是类似受版权保护的内容时，上述问题也可能存在。用户应当知晓其所使用的人工智能数据的来源以及其使用的附加条件。用户还应当知晓，使用人工智能生成的内容可能不受知识产权保护。
o 数据保护：人工智能使用大量训练数据来识别模式并作出预测。当个人数据被用作训练数据时，可能引发隐私问题。公司需要采取措施确保其对人工智能的使用符合隐私和数据保护义务。处理敏感个人数据（例如健康数据）的公司需要更加谨慎地管理对人工智能的使用，以满足其数据保护义务。公司在使用个人数据前应当检查是否需要开展隐私影响评估或数据保护影响评估。公司还应当考虑是否可以通过“隐私设计（privacy by design）”或其它措施降低相关风险：如在可能的情况下使用聚合和/或匿名处理过的数据或利用隐私增强技术等。
o 消费者保护：面向消费者的公司在使用人工智能系统时应当注意消费者保护法律。公司应当知晓在人工智能的使用（包括上述的数据收集和使用方面）以及相关的用户流程方面可能需要向消费者提供何种程度的披露和信息。公司还应当考虑采取何种措施持续监控人工智能系统的表现和产出。近期，主管部门已经开始探索贯穿人工智能价值链的竞争和消费者保护问题。
o 网络安全：多数使用人工智能的公司对人工智能模型不具有所有权，相反，大部分公司从第三方获得人工智能模型许可，并可能在第三方服务器（例如，在公共云中）上运行该模型。该过程可能需要将数据转移至第三方，需要谨慎管理。监管部门越来越多地要求对代表公司处理数据的第三方进行妥善管理。：多数使用人工智能的公司对人工智能模型不具有所有权，相反，大部分公司从第三方获得人工智能模型许可，并可能在第三方服务器（例如，在公共云中）上运行该模型。该过程可能需要将数据转移至第三方，需要谨慎管理。监管部门越来越多地要求对代表公司处理数据的第三方进行妥善管理。
o 员工保护：在招聘、工作分配、员工监控和其它与工作关系有关的类似活动中，公司应注意使用的人工智能系统和工具所带来的挑战。该等系统可能会增加公司作出对员工歧视性决定的风险。近年来，人工智能系统已经成为平台劳动者提出的大量歧视申诉的原因，平台劳动者认为自动化决定对其安排时未考虑他们个人具体情况。员工代表的参与不容忽视，部分欧盟成员国已经要求在引入自动化机器或使用人工智能技术时与员工代表机构协商或征得其同意。此外，《人工智能法案》要求作为雇主的部署方在工作场所投入使用或使用高风险人工智能系统前，应当告之员工代表以及受影响的员工。
人工智能的前景和风险变得越来越清晰，全新的立法、义务和挑战随之出现。采用灵活有效的人工智能公司治理机制将使企业在利用新机遇的同时确保其遵守法律并有效管理风险。
----------------
文中标注
[1] 国际隐私从业人员协会，《专业化人工智能在机构组织中的治理报告》（2023年12月），第22页。长按左方二维码查看该报告（英文）。
如果您希望讨论相关问题，欢迎随时联系我们下列业务团队或您在富而德的常规联系人。
 |
合伙人，香港 richard.bird@freshfields.com |
|
麦景添（Tim Mak） 合伙人，香港
tim.mak@freshfields.com |
 |
李凡 律师，上海
fan.li@freshfields.com |
|
富而德成立于1743年，是国际律师事务所中的翘楚，也是历史最为悠久的顶级国际律所。本所拥有454位合伙人和超过3100名律师组成的网络，覆盖全球15个国家的27个重要商业中心。本所在大中华区及亚洲其他国家、欧洲、中东和美国均设有办事处，我们紧密合作为您提供领先业界的法律服务。 本文仅载列一般资料，并非旨在提供法律意见。 本文提供者为国际律师事务所富而德律师事务所有限责任合伙制机构（Freshfields Bruckhaus Deringer LLP）（一家根据英格兰及威尔士法律组建并受英国律师监管局规管的有限责任合伙制机构）（下称“英国有限责任合伙制机构”）以及在一系列司法管辖区以富而德律师事务所（Freshfields Bruckhaus Deringer）名义执业的英国有限责任合伙制机构的办事处和联属实体以及富而德律师事务所美国有限责任合伙制机构（Freshfields Bruckhaus Deringer US LLP）（在本文中合称“富而德”）。关于监管信息，请参阅网页www.freshfields.com/support/legalnotice。
|
