UE e EUA divergem sobre a regulamentação de gestão de riscos da IA: uma comparação transatlântica – Parte 1

Aqui reunimos as principais ideias do paper de autoria de Alex Engler, publicado em 25 de abril de 2023, no contexto de um Relatório Produzido pelo Governance Studies.¹

UE e EUA são fundamentais para o futuro da governança global de IA. Garantir que as abordagens de ambos para o gerenciamento de riscos de IA estejam alinhadas facilitará o comércio bilateral, melhorará a supervisão regulatória e permitirá uma cooperação transatlântica mais ampla.

A abordagem dos EUA para o gerenciamento de risco de IA é altamente distribuída entre agências federais, muitas se adaptando à IA sem depender de outras autoridades legais. Os EUA investiram em infraestrutura não regulatória, como uma nova estrutura de gerenciamento de risco de IA, avaliações de software de reconhecimento facial e amplo financiamento de pesquisa de IA. Em contrapartida, a abordagem da UE à gestão de riscos de IA é caracterizada por uma gama mais abrangente de legislação adaptada a ambientes digitais específicos. A UE planeja impor novos requisitos para IA de alto risco em processos socioeconômicos, uso governamental de IA e produtos de consumo regulamentados com sistemas de IA. Ademais, outra legislação da UE permite mais transparência pública e influência sobre o design de sistemas de IA em mídias sociais e comércio eletrônico.

As estratégias da UE e dos EUA compartilham um alinhamento conceitual em uma abordagem baseada em risco, concordam com os princípios-chave de uma IA confiável, e endossam um papel importante para os padrões internacionais. No entanto, as especificidades desses regimes de gerenciamento de risco de IA ostentam mais diferenças do que semelhanças. Em relação a muitas aplicações específicas de IA, especialmente aquelas relacionadas a processos socioeconômicos e plataformas online, a UE e os EUA estão no caminho de um desalinhamento significativo.

O Conselho de Comércio e Tecnologia UE/EUA demonstrou sucesso inicial trabalhando com IA, especialmente em um projeto para desenvolver um entendimento comum de métricas e metodologias para IA confiável. Por meio dessas negociações, UE e EUA concordam em trabalhar de forma colaborativa nos padrões internacionais de IA, ao mesmo tempo em que estudam em conjunto os riscos emergentes e as aplicações de novas tecnologias de IA.

Todavia, muito mais pode ser feito para promover este alinhamento, além de melhorar o regime de governança de IA de cada país. Especificamente:

a) EUA devem executar os planos regulatórios de IA da agência federal e utilizá-los para projetar uma governança estratégica de IA com vistas ao alinhamento EUA/UE; b)A UE deve criar mais flexibilidade na implementação setorial da Lei de IA da UE, melhorando a lei e permitindo futuras negociações e cooperação UE-EUA; c) EUA precisam implementar uma estrutura legal para governança de plataformas online, porém, até então, UE e EUA devem trabalhar na documentação compartilhada de sistemas de recomendação e algoritmos de rede, bem como realizar pesquisas colaborativas em plataformas online; d) EUA e UE devem aprofundar o compartilhamento de conhecimento em vários níveis, inclusive o desenvolvimento de padrões; sandboxes de IA; grandes projetos públicos de pesquisa de IA e ferramentas de código aberto; trocas entre reguladores; e desenvolvimento de um ecossistema de garantia de IA.

Maior colaboração entre UE e EUA será crucial, pois esses governos estão implementando políticas que serão fundamentais para a governança democrática da IA.

Introdução

Abordagens de gerenciamento de riscos de IA — moldadas por legislação emergente, supervisão regulatória, responsabilidade civil, soft law e standards dos agentes privados — tornam-se facetas importantes da diplomacia internacional e da política comercial. Além de incentivar mercados de tecnologia integrados, uma abordagem internacional mais unificada para a governança de IA pode fortalecer a supervisão regulatória, orientar a pesquisa para desafios compartilhados, promover o intercâmbio de melhores práticas e permitir a interoperabilidade de ferramentas para o desenvolvimento confiável de IA.

As abordagens de governança da UE e dos EUA abrangem uma ampla gama de aplicações de IA com implicações internacionais, incluindo IA mais sofisticada em produtos de consumo; uma proliferação de IA em decisões socioeconômicas regulamentadas; uma expansão da IA em uma ampla variedade de plataformas online; sistemas de IA hospedados na Web voltados para o público, como IA generativa e modelos fundacionais.

Este documento considera as abordagens dos EUA e UE para o gerenciamento de riscos de IA, compara desenvolvimentos de políticas em oito subcampos principais e discute etapas colaborativas adotadas até agora, especialmente através do Conselho de Comércio e Tecnologia EUA/UE. Além disso, o documento identifica os principais desafios emergentes para a gestão transatlântica de riscos de IA, oferecendo recomendações de formulação de políticas que podem promover negociações bem alinhadas e mutuamente benéficas na política de IA entre USA/EU.

A abordagem dos EUA para a gestão de riscos de IA

A abordagem do governo dos EUA para o gerenciamento de risco de IA pode ser amplamente caracterizada como baseada em risco, específica por setor e altamente distribuída entre agências federais. Há vantagens nessa abordagem, mas também contribui para o desenvolvimento desigual das políticas de IA. Embora existam vários documentos federais orientadores da Casa Branca sobre danos derivados da IA, eles não criaram uma abordagem federal uniforme ou consistente para os riscos da IA.

A ordem executiva de fevereiro de 2019 - mantendo a liderança americana em inteligência artificial (EO 13859) - e sua orientação subsequente do Office of Management and Budget (OMB) (M-21-06) apresentaram a primeira abordagem federal para a supervisão da IA.² Entregue em novembro de 2020, a orientação do OMB articulou claramente uma abordagem baseada em risco, declarando “a magnitude e a natureza das consequências caso uma ferramenta de IA falhe… esforço apropriado para identificar e mitigar os riscos”. Esses documentos também instaram as agências a considerar as principais facetas da redução do risco de IA por meio de intervenções regulatórias e não regulatórias. Isso inclui o uso de evidências científicas para determinar os recursos da IA, aplicação de estatutos de não discriminação, consideração de requisitos de divulgação e promoção do desenvolvimento e implantação segura da IA.

Em geral, as agências federais ainda não desenvolveram os planos regulatórios de IA necessários. Em dezembro de 2022, o Center for Human-Centered AI da Universidade de Stanford divulgou um relatório afirmando que apenas cinco das 41 principais agências criaram um plano de IA conforme necessário. Com efeito, apenas uma grande agência, a Departamento de Saúde e Serviços Humanos (HHS), forneceu um plano completo em resposta. O HHS documentou extensivamente a autoridade da agência sobre os sistemas de IA (através de 12 estatutos diferentes), suas coleções de informações ativas (por exemplo, sobre IA para sequenciamento genômico) e os casos emergentes de uso de IA de interesse (principalmente na detecção de doenças). A meticulosidade do plano regulatório do HHS mostra como esse esforço pode ser valioso para o planejamento da agência federal e informar o público se outras agências seguirem os seus passos.

Em vez de implementar a EO 13859, o governo Biden revisitou o tópico dos riscos de IA por meio do Projeto para uma Declaração de Direitos de IA (AIBoR).³ Desenvolvido pelo Escritório de Política Científica e Tecnológica da Casa Branca (OSTP), o AIBoR inclui uma exposição detalhada dos danos da IA aos direitos econômicos e civis, cinco princípios para mitigar esses danos e uma lista associada de ações das agências federais. O AIBoR endossa uma abordagem setorial específica para a governança de IA, com intervenções políticas adaptadas a setores individuais, como saúde, trabalho e educação. Sua abordagem é, portanto, bastante dependente dessas ações associadas da agência federal, em vez de uma ação centralizada, especialmente porque o AIBoR é uma orientação não vinculativa.

O AIBoR não obriga diretamente as agências federais a mitigar os riscos de IA. Além disso - apesar dos cinco princípios gerais descritos no AIBoR - a maioria das agências federais só consegue adaptar suas autoridades legais pré-existentes a sistemas algorítmicos. Isso é melhor demonstrado pelas agências que regulam a IA usada para tomar decisões socioeconômicas. Isso inclui a Federal Trade Commission (FTC), que pode usar sua autoridade para proteger contra práticas "injustas e enganosas" para impor a verdade na publicidade e algumas garantias de privacidade de dados em sistemas de IA.⁴ A FTC também está considerando como suas autoridades afetam a vigilância comercial baseada em dados, incluindo a tomada de decisões algorítmicas. A Equal Employment Opportunity Commission (EEOC) pode impor alguma transparência, exigir uma alternativa sem IA para pessoas com deficiência e impor a não discriminação na contratação de IA.⁵ O Consumer Financial Protection Bureau (CFPB) exige explicações para negações de crédito de sistemas de IA e pode potencialmente impor requisitos de não discriminação.⁶

Desses princípios, o governo Biden tem sido especialmente rigoroso sobre a equidade racial. Em fevereiro de 2023, publicou a ordem executiva Avanço da equidade racial e apoio a comunidades carentes por meio do governo federal (EO 14091). A segunda ordem executiva sobre esse assunto, orienta as agências federais a lidar com riscos emergentes aos direitos civis, incluindo “discriminação algorítmica em tecnologia automatizada”.⁷ É muito cedo para saber o impacto dessa nova ordem executiva.

Agências federais com competência regulatória sobre produtos de consumo também implementam ajustes. Uma agência líder é a Food and Drug Administration (FDA), que trabalha para incorporar IA e, especificamente, aprendizado de máquina, em dispositivos médicos desde pelo menos 2019.⁸ A FDA publica as melhores práticas para IA em dispositivos médicos, documenta dispositivos médicos habilitados para IA comercialmente disponíveis e promete realizar pilotos relevantes e avançar na ciência regulatória em seu plano de ação de IA. Além do FDA, a Consumer Products Safety Commission (CPSC) declarou em 2019 sua intenção de pesquisar e rastrear incidentes de danos causados pela IA em produtos de consumo, bem como considerar intervenções políticas, incluindo campanhas de educação pública, padrões voluntários, padrões obrigatórios e busca de relembra. Em 2022, a CPSC emitiu um relatório preliminar sobre como testar e avaliar produtos de consumo que incorporam aprendizado de máquina.⁹

Paralelamente ao estado desigual dos desenvolvimentos regulatórios de IA, os EUA investem em infraestrutura para mitigar os riscos de IA. O mais notável é o AI Risk Management Framework (RMF) do Instituto Nacional de Padrões e Tecnologia (NIST), com versão final em 26 de janeiro de 2023.¹⁰ O NIST AI RMF é uma estrutura voluntária, baseada na Estrutura da Organização para a Cooperação e Desenvolvimento Econômico (OCDE) para a classificação de sistemas de IA, oferecendo sugestões abrangentes sobre quando e como o risco pode ser gerenciado ao longo do ciclo de vida da IA. O NIST também está desenvolvendo um novo AI RMF Playbook, com exemplos concretos de como as entidades podem implementar o RMF na coleta de dados, desenvolvimento, implantação e operação de AI.¹¹

O NIST também desempenha um papel na avaliação e divulgação pública da precisão e imparcialidade dos algoritmos de reconhecimento facial por meio de seu programa de teste de fornecedores de reconhecimento facial. Em uma análise, o NIST testou e comparou 189 algoritmos comerciais de reconhecimento facial para precisão em diferentes grupos demográficos, contribuindo com informações valiosas para o mercado de IA, aperfeiçoando a compreensão pública dessas ferramentas.¹²

Uma variedade de políticas, políticas aborda danos algorítmicos, contribuindo para a preparação institucional futura e, portanto, merece menção, mesmo que o risco de IA não seja a orientação principal. Lançado em abril de 2022, o Comitê Consultivo Nacional de IA pode desempenhar um papel consultivo externo na orientação da política governamental sobre o gerenciamento de riscos de IA em áreas como aplicação da lei, embora esteja principalmente preocupado com o avanço da IA como um recurso econômico nacional.¹³ O governo federal também realizou vários pilotos de um processo de contratação aprimorado, com o objetivo de atrair talentos em ciência de dados para o serviço público, um aspecto fundamental da preparação para a governança de IA. Atualmente, a série ocupacional “cientista de dados” é o cargo do governo federal mais relevante para os aspectos técnicos do gerenciamento de riscos de IA. No entanto, essa função é mais orientada para a realização de ciência de dados do que para revisar ou auditar modelos de IA criados por cientistas de dados do setor privado.

O governo dos EUA publicou pela primeira vez um Plano Estratégico de Pesquisa e Desenvolvimento de IA nacional em 2016 e, em 2022, 13 departamentos federais financiaram pesquisa e desenvolvimento de IA.¹⁴ A National Science Foundation já financiou 19 institutos interdisciplinares de pesquisa em IA, e o trabalho acadêmico de alguns desses institutos está promovendo métodos de IA confiáveis e éticos. Da mesma forma, o Departamento de Energia foi encarregado de desenvolver métodos de IA mais confiáveis que possam informar a atividade comercial, como na descoberta de materiais. Além disso, o governo Biden buscará US$ 2,6 bilhões adicionais ao longo de seis anos para financiar a infraestrutura de IA sob o projeto National AI Research Resource (NAIRR): incentivar a IA confiável é um de seus quatro objetivos principais.¹⁵ Especificamente, o NAIRR poder ser usado para estudar melhor os riscos de grandes modelos emergentes de IA, muitos dos quais são atualmente desenvolvidos sem escrutínio público.

Em um recente e significativo desenvolvimento, uma série de estados introduziram legislação para lidar com danos algorítmicos, incluindo Califórnia, Connecticut e Vermont.¹⁶ Embora possam incrementar significativamente as proteções de IA, também podem gerar problemas futuros para a aprovação de uma legislação federal de privacidade, que substitua várias leis estaduais.¹⁷

A abordagem da UE para a gestão de riscos da IA

A abordagem da UE para o gerenciamento de riscos de IA é complexa e multifacetada, com base na legislação implementada, especialmente o Regulamento Geral de Proteção de Dados (GDPR), abrangendo a recente Lei de Serviços Digitais e a Lei de Mercados Digitais, bem como a iniciativa de legislação ativamente debatida, o AI Act. A UE desenvolveu diferentes abordagens regulatórias para diferentes ambientes digitais, cada uma com um grau diferente de ênfase na IA.

Além de suas implicações de privacidade de dados, o GPDR contém dois artigos importantes relacionados à tomada de decisão algorítmica. Primeiro, o GDPR afirma que os sistemas algorítmicos não devem tomar decisões significativas que afetem situações jurídicas sem qualquer supervisão humana.¹⁸ Com base nessa cláusula, em 2021, a Uber foi obrigada a reintegrar seis motoristas que foram demitidos apenas pelo sistema algorítmico da empresa.¹⁹ Outrossim, o GDPR garante o direito de um indivíduo a “informações significativas sobre a lógica” de sistemas algorítmicos, às vezes controversamente considerado um “direito à explicação”. sobre decisões algorítmicas. Há muitas questões em aberto sobre esta cláusula, incluindo a frequência com que os indivíduos afetados solicitam essas informações, o valor da informação para eles e o que acontece quando as empresas se recusam a fornecer as informações.²⁰

A Lei de IA da UE será um componente especialmente crítico para a gestão de risco de IA em muitas áreas de risco de atividade.²¹ Embora a Lei de IA ainda não esteja finalizada, pode-se inferir o suficiente da proposta da Comissão Europeia de abril de 2021, da proposta final do Conselho da UE de dezembro de 2022 e das informações disponíveis das discussões em andamento no Parlamento Europeu para analisar suas principais características.

Embora muitas vezes seja referido como "horizontal", o AI Act implementa um sistema hierárquico de obrigações regulatórias para uma lista especificamente enumerada de aplicativos de IA.²² Vários aplicativos de IA - incluindo deepfakes, chatbots e análises biométricas - devem se revelar claramente às pessoas afetadas. Um conjunto diferente de sistemas de IA com “riscos inaceitáveis” seria completamente banido, potencialmente incluindo IA para pontuação social, tecnologias manipulativas habilitadas por IA e, com várias exceções importantes, identificação biométrica pela aplicação da lei em espaços públicos.

Entre esses dois níveis estão os sistemas de IA de “alto risco”, que é a mais inclusiva e impactante das designações da Lei de IA da UE. Duas categorias de aplicativos de IA serão designadas como de alto risco pela Lei de IA: produtos de consumo regulamentados e IA usada para decisões socioeconômicas impactantes. Todos os sistemas de IA de alto risco terão que atender aos padrões de qualidade, precisão, robustez e não discriminação dos dados, além de implementar documentação técnica, manutenção de registros, um sistema de gerenciamento de riscos e supervisão humana. As entidades que vendem ou implantam sistemas de IA de alto risco cobertos, chamados provedores, precisarão atender a esses requisitos e enviar documentação que atestem a conformidade de seus sistemas de IA ou, caso contrário, enfrentarão multas de até 6% do faturamento global anual.

A primeira categoria de IA de alto risco inclui produtos de consumo que já são regulamentados pelo Novo Quadro Legislativo, o regime regulatório de mercado único da UE, que inclui produtos como dispositivos médicos, veículos, barcos, brinquedos e elevadores.²³ De um modo geral, isso significa que os produtos de consumo habilitados para IA ainda passarão pelo processo regulatório pré-existente sob a legislação pertinente de harmonização de produtos e não precisarão de uma segunda avaliação de conformidade independente apenas para os requisitos da Lei de IA. Os requisitos para sistemas de IA de alto risco serão incorporados à legislação de harmonização de produtos existente. Como resultado, ao passar pelo processo regulatório pré-existente, as empresas terão que prestar mais atenção aos sistemas de IA, refletindo o fato de que alguns sistemas de IA modernos podem ser mais opacos, menos previsíveis ou plausivelmente atualizados após o ponto de venda.

Notavelmente, algumas agências da UE já começaram a considerar como a IA afeta seus processos regulatórios. Um exemplo importante é a Agência de Segurança da Aviação da UE, que criou pela primeira vez uma força-tarefa de IA em 2018, publicou um roteiro de IA voltado para a segurança da aviação em 2020 e divulgou orientações abrangentes para IA que auxiliam humanos em sistemas de aviação em 2021.²⁴

A segunda categoria de IA de alto risco é composta por uma lista enumerada de aplicativos de IA que inclui decisões socioeconômicas impactantes do setor privado - ou seja, contratação, acesso educacional, acesso a serviços financeiros e gerenciamento de trabalhadores -, bem como aplicativos do governo em benefícios públicos, aplicação da lei, controle de fronteira e processos judiciais. Ao contrário dos produtos de consumo, esses sistemas de IA são geralmente vistos como apresentando novos riscos e, até agora, não eram regulamentados. Isso significa que a UE precisará desenvolver padrões específicos de IA para todos esses vários casos de uso (ou seja, como precisão, não discriminação, gerenciamento de riscos e outros requisitos se aplicam a todos os vários aplicativos de IA cobertos). Espera-se que isso seja um desafio de implementação muito significativo, dado o número de aplicativos de IA de alto risco e a novidade dos padrões de IA. Esses padrões provavelmente desempenharão um grande papel na eficácia e especificidade da Lei de IA, pois, cumpri-los será o caminho mais certo para as empresas obterem conformidade legal sob a Lei de IA.

Além disso, as empresas que vendem ou implantam sistemas de IA de alto risco terão que afirmar que seus sistemas atendem a esses requisitos, enviando documentação para esse efeito na forma de uma avaliação de conformidade. Essas empresas também devem registrar seus sistemas em um banco de dados em toda a UE que será disponibilizado ao público, criando transparência significativa no número de sistemas de IA de alto risco, bem como na extensão de seu impacto social. Por fim, embora não incluído na proposta original da Comissão, o Conselho da UE propôs, e o Parlamento Europeu está considerando, novos requisitos regulatórios sobre “sistemas de IA de uso geral”, incluindo modelos de linguagem e imagens.²⁵ Os requisitos regulatórios da IA de uso geral podem incluir padrões de precisão, robustez, não discriminação e um sistema de gerenciamento de riscos.

A Lei de IA da UE não é a única legislação importante que legisla o risco de IA. A UE já aprovou a Lei de Serviços Digitais (DSA) e a Lei de Mercados Digitais (DMA), e uma futura Diretiva de Responsabilidade de IA também pode desempenhar um papel importante. O DSA, aprovado em novembro de 2022, considera a IA como parte de sua abordagem holística para plataformas online e mecanismos de pesquisa. Ao criar novos requisitos de transparência, exigir auditorias independentes e permitir pesquisas independentes em grandes plataformas, o DSA revelará muitas novas informações sobre a função e os danos da IA nessas plataformas. Além disso, o DSA exige que grandes plataformas expliquem sua IA para recomendações de conteúdo, como preenchimento de feeds de notícias, e para oferecer aos usuários um sistema de recomendação alternativo não baseado em dados confidenciais do usuário. Na medida em que esses sistemas de recomendação contribuem para a disseminação da desinformação e as grandes plataformas falham em mitigar esse dano, elas podem enfrentar multas de acordo com o DSA.²⁶

Da mesma forma, o DMA visa amplamente aumentar a concorrência nos mercados digitais e considera algumas implantações de IA nesse escopo. Por exemplo, grandes empresas de tecnologia consideradas “guardiãs” de acordo com a lei serão impedidas de dar preferência a seus próprios produtos e serviços em detrimento de terceiros, uma regra que certamente afetará a classificação da IA nos mecanismos de busca e o pedido de produtos no E-plataformas de comércio. A Comissão Europeia também poderá realizar inspeções dos dados do gatekeeper e dos sistemas de IA. Embora o DMA e o DSA não sejam principalmente sobre IA, essas leis sinalizam uma vontade clara da UE de governar a IA incorporada a sistemas altamente complexos.

Na segunda parte – a ser publicada no próximo mês – examinaremos o contraste das abordagens da UE e EUA para gestão de riscos na IA e como, efetivamente, dar-se-á uma colaboração entre os dois blocos, face aos desafios emergentes na gestão de riscos e políticas públicas efetivas visando uma harmonização.

__________

1 Visto como uma voz independente e líder na esfera de formulação de políticas domésticas, o programa de Estudos de Governança da Brookings é dedicado à análise de questões políticas, instituições e processos políticos e desafios contemporâneos de governança, identificando áreas que precisam de reforma e propondo soluções específicas para melhorar a governança em todo o mundo, com ênfase particular nos Estados Unidos.