کنسول انطباق: آمادگی تیم‌های هوش مصنوعی برای قانون هوش مصنوعی

حاکمیت هوش مصنوعی اروپا در ژوئیه ۲۰۲۶ به‌طور مادی تغییر کرد. قانون هوش مصنوعی اتحادیه اروپا دیگر یک تاریخ اجرای واحد در اسلاید قدیمی نیست. مقرره اصلی، راهنماها، آیین‌نامه‌های داوطلبانه و «بسته ساده‌سازی دیجیتال درباره AI» اکنون یک برنامه اجرایی متحرک می‌سازند. پس کنسول معتبر انطباق باید بداند سامانه چه می‌کند، شرکت در کدام نقش حقوقی است، کدام قاعده در چه تاریخی اعمال می‌شود و کدام شاهد اثربخشی کنترل را ثابت می‌کند.

این راهنما بر منابع عمومی موجود تا ۳۰ ژوئیه ۲۰۲۶ استوار است و چارچوب عملیاتی است، نه مشاوره حقوقی. قلمرو، طبقه‌بندی، قواعد بخشی، تقسیم مسئولیت قراردادی و اجرای ملی هر مورد باید با مشاور واجد صلاحیت بررسی شود.

از خط زمانی جاری شروع کنید، نه برنامه اولیه

قانون هوش مصنوعی اتحادیه اروپا در ۱ اوت ۲۰۲۴ لازم‌الاجرا شد. اعمال ممنوع، تعاریف و حکم اولیه سواد AI از ۲ فوریه ۲۰۲۵ اعمال شد. قواعد حاکمیتی و تکالیف ارائه‌دهنده مدل همه‌منظوره از ۲ اوت ۲۰۲۵ آغاز شد. بیشتر مقرره از ۲ اوت ۲۰۲۶، از جمله تکالیف مهم شفافیت ماده ۵۰، اعمال می‌شود.

اما تقویم اصلاح شده است. مقرره اتحادیه اروپا ۲۰۲۶/۱۷۴۴، بسته ساده‌سازی دیجیتال درباره AI، در ۲۴ ژوئیه منتشر و ۲۷ ژوئیه ۲۰۲۶ لازم‌الاجرا شد. از جمله:

• اجرای الزامات پرریسک فهرست ضمیمه III را به ۲ دسامبر ۲۰۲۷ منتقل کرد؛
• الزامات مسیر ماده ۶(۱)، از جمله AI به‌عنوان جزء ایمنی محصول تحت مقررات، را به ۲ اوت ۲۰۲۸ برد؛
• به ارائه‌دهندگان بعضی سامانه‌های محتوای مصنوعی عرضه‌شده پیش از ۲ اوت ۲۰۲۶ تا ۲ دسامبر ۲۰۲۶ برای ماده ۵۰(۲) فرصت داد؛
• تکلیف سازمانی سواد AI را به تشویق ارائه‌دهنده و بهره‌بردار تغییر داد و وظایف ترویجی را به دولت‌های عضو و کمیسیون سپرد؛
• اعمال ممنوع تازه‌ای افزود که از ۲ دسامبر ۲۰۲۶ اجرا می‌شوند.

پرسش‌های جاری اجرای قانون در کمیسیون و خلاصه لازم‌الاجراشدن بسته را کنار متن تجمیع‌شده بخوانید. کنسول باید منبع قاعده، نسخه و تاریخ اثر را ثبت کند؛ نشان ثابت «منطبق/نامنطبق» با نخستین تغییر قانون یا سامانه گمراه‌کننده می‌شود.

مورد استفاده، اجزا، مالک و نقش حقوقی را فهرست کنید

از فهرست مدل شروع نکنید؛ از مورد استفاده مستقر شروع کنید. یک مدل ممکن است دستیار نگارش داخلی، چت‌بات عمومی، غربال استخدام و جزء ایمنی را هم‌زمان نیرو دهد، اما هدف، فرد متاثر، کنترل و طبقه‌بندی این موارد یکسان نیست.

هر رکورد باید این موارد را مشخص کند:

• هدف کسب‌وکار، کاربران مورد نظر، افراد متاثر و استفاده‌های ممنوع؛
• مالک تولید، مالک ریسک، تاییدکننده، مسیر پشتیبانی و مالک بازنشستگی؛
• مدل و نسخه، ارائه‌دهنده، منطقه میزبانی، تنظیم ویژه، منابع بازیابی، ابزار و وابستگی مادی؛
• رده داده، مجوز دسترسی، نگهداری، منشأ و جریان فرامرزی؛
• نقش شرکت: ارائه‌دهنده، بهره‌بردار، واردکننده، توزیع‌کننده، سازنده محصول، نماینده مجاز یا ترکیبی از آن‌ها؛
• جغرافیا، بازار، بخش، مقیاس، پیامد تصمیم و طراحی نظارت انسانی؛
• طبقه‌بندی جاری، استدلال، بازبین، استناد و تاریخ بازبینی بعدی؛
• ارزیابی، رخداد، شکایت، تغییر، شاهد فروشنده و پذیرش ریسک باقیمانده.

نقش، برچسب فروشنده نیست. شرکتی که سامانه را تغییر اساسی دهد، هدف مورد نظر را عوض کند یا آن را با نام خود عرضه کند ممکن است تکالیف ارائه‌دهنده بگیرد. بهره‌بردار همچنان مالک استفاده، رعایت دستور، داده ورودی، پایش، نظارت انسان و تکالیف محیط کار یا فرد متاثر است. زنجیره ارزش را ترسیم کنید؛ API مسئولیت را منتقل نمی‌کند.

کشف را به تدارکات، هزینه، هویت، ابر، کد، افزونه مرورگر و سیگنال جلوگیری از نشت وصل کنید. اتوماسیون نامزد بسازد، اما فرد پاسخ‌گو دامنه را تایید کند. چارچوب ریسک فروشنده و خرید باید پایلوت بدون تایید و قابلیت AI پنهان در نرم‌افزار را هم ببیند.

استفاده را طبقه‌بندی و منطق آن را حفظ کنید

درخت تصمیم مفید به‌ترتیب می‌پرسد:

1. آیا جزء مورد نظر طبق تعریف مقرره «سامانه AI» است؟
2. آیا استفاده در دسته اعمال ممنوع قرار می‌گیرد؟
3. آیا مدل همه‌منظوره یا سامانه متکی به آن است؟
4. آیا ماده ۶(۱)، ضمیمه I یا ضمیمه III مسیر پرریسک می‌سازد؟
5. آیا استثنایی صدق می‌کند و استدلال آن مستند است؟
6. آیا تکالیف شفافیت ماده ۵۰ بر سامانه، خروجی یا استقرار اعمال می‌شود؟
7. چه قانون اروپایی، ملی، استخدامی، حریم خصوصی، مصرف‌کننده، دسترس‌پذیری، ایمنی محصول، حق نشر یا بخشی دیگری اعمال می‌شود؟

طبقه‌بندی باید هدف مورد نظر و زمینه واقعی را توصیف کند. «خدمات مشتری» بیش از حد کلی است. «پیش‌نویس پاسخ برای کارشناس ناظر» با «رد خودکار شکایت و محدودیت الزام‌آور حساب» تفاوت دارد.

تا ۳۰ ژوئیه ۲۰۲۶، راهنمای طبقه‌بندی پرریسک کمیسیون هنوز پیش‌نویس است و مشورت آن ۲۳ ژوئیه بسته شد. از آن برای تفسیر کمک بگیرید، اما مثل راهنمای نهایی الزام‌آور معرفی نکنید. عدم‌قطعیت و تصمیم مشاور را ثبت کنید.

هر تکلیف را به ردیف شاهد آزمون‌پذیر تبدیل کنید

کنسول باید قانون را به کنترل، آزمون، شاهد، مالک و تصمیم انتشار وصل کند:

شاهد ممکن است پرونده فنی، دستور استفاده، رکورد مدیریت ریسک، گزارش حکمرانی داده، ارزیابی، روش نظارت انسانی، لاگ، آزمون دسترس‌پذیری، رخداد، برنامه پایش پس از عرضه، اظهارنامه، ثبت یا تایید آموزش باشد. hash اثر، نسخه سامانه، بازه زمانی، جمعیت، ارزیاب، روش، محدودیت و تایید را نگه دارید؛ نه فقط لینک سندی که بعداً عوض می‌شود.

آیین‌نامه داوطلبانه مدل‌های همه‌منظوره می‌تواند به ارائه‌دهنده در اثبات بعضی تکالیف کمک کند. خود قانون نیست و مسیر مناسب دیگری هم ممکن است. ارزیابی مثبت کمیسیون از آیین‌نامه نیز خودبه‌خود انطباق پیاده‌سازی مشخص را ثابت نمی‌کند.

شفافیت را در تعامل و اثر خروجی مهندسی کنید

ماده ۵۰ با صفحه سیاست عمومی تمام نمی‌شود. بسته به نقش و استفاده، کاربر شاید باید بداند با AI تعامل دارد؛ محتوای مصنوعی یا دست‌کاری‌شده شاید به علامت ماشین‌خوان نیاز داشته باشد؛ بهره‌بردار سامانه تشخیص احساس یا دسته‌بندی زیست‌سنجی وظیفه اطلاع‌رسانی خاص دارد؛ و بعضی deepfakeها یا متن‌های منفعت عمومی به افشا نیاز دارند.

کمیسیون در ۲۰ ژوئیه ۲۰۲۶ راهنمای تکالیف شفافیت را منتشر کرد. هر حکم قابل اعمال را به آزمون پذیرش محصول تبدیل کنید:

• آیا اطلاع به‌موقع، روشن، دسترس‌پذیر و پیش یا هنگام نخستین تعامل دیده می‌شود؟
• آیا فرد در کانال واقعی محتوای AI را از محتوای کارمند تشخیص می‌دهد؟
• آیا علامت فنی، جایی که لازم و از نظر فنی شدنی است، پس از خروجی‌گیری، تغییر اندازه، رونویسی یا انتقال پلتفرم می‌ماند؟
• آیا زمینه هنری، طنز، داستانی و منفعت عمومی شکل مناسب افشا دارد؟
• آیا متن برای زبان کاربر بومی‌سازی و آزموده شده یا در footer پنهان است؟

آزمون را به تصویر، نمونه محتوا، بازرسی ماشین‌خوان، نتیجه فناوری کمکی و build تولید وصل کنید. برای طراحی provenance به منشأ محتوا و واترمارک مراجعه کنید؛ provenance به‌تنهایی حقیقت، مالکیت یا اجازه حقوقی را اثبات نمی‌کند.

فروشنده و زنجیره مدل را وابستگی زنده ببینید

بازبینی فروشنده فراتر از پرسش‌نامه امنیت است. هویت و سیاست تغییر مدل، افشای داده آموزش و حق نشر در صورت اعمال، روش ارزیابی، محدودیت استفاده، کنترل امنیت، پیمانکار فرعی، منطقه، دسترس‌پذیری، اعلان رخداد، دسترسی لاگ، همکاری با نهاد ناظر، تحویل مستندات و خروج را ثبت کنید.

برای شاهد لازم قرارداد ببندید: مهلت اعلان بازنشستگی یا تغییر مادی، لاگ مرتبط، رسیدگی آسیب‌پذیری، همکاری رخداد، تناوب سند، محدودیت استفاده داده، حق حسابرسی و مسیر مهاجرت. اگر فروشنده اثر ضروری نمی‌دهد، شکاف و کنترل جبرانی را ثبت کنید، نه اینکه ردیف را کامل بزنید.

تغییر وابستگی را پایش کنید. به‌روزرسانی خاموش فروشنده بدون deployment کد رفتار را عوض می‌کند. تا حد ممکن نسخه را pin کنید، تغییر را از ارزیابی بگذرانید، rollback داشته باشید و با تغییر هدف، خودمختاری، کاربر، داده، ابزار، مقیاس یا پیامد، طبقه‌بندی را تکرار کنید.

مثال: گردش‌کار غربال متقاضی استخدام

ابزاری را فرض کنید که متقاضیان را رتبه‌بندی و shortlist را برای استخدام‌کننده اتحادیه اروپا پیش‌نویس می‌کند. فهرست، کارفرما را به‌عنوان بهره‌بردار، زنجیره فروشنده و مدل، خانواده شغلی، قلمرو، جمعیت نامزد، منبع داده، تسهیلات و فرایند تصمیم پایین‌دستی ثبت می‌کند. بازبینی حقوقی جایگاه استفاده در دسته استخدام ضمیمه III و تاریخ تعویقی مناسب را می‌سنجد؛ حریم خصوصی و کار نیز جدا بررسی می‌شود.

کنترل‌ها شامل این موارد است:

• هدف مورد نظر روشن و منع رد کاملاً خودکار؛
• منشأ ویژگی و حذف proxy نامشروع یا بدون توجیه؛
• ارزیابی نماینده به تفکیک شغل، زبان، نیاز دسترس‌پذیری و گروه مرتبط در صورت مجازبودن؛
• بازبین آموزش‌دیده با اختیار واقعی مخالفت و رابطی که شاهد و عدم‌قطعیت را نشان دهد؛
• اطلاع و مسیر قابل استفاده برای پرسش، اصلاح داده یا درخواست بازبینی؛
• لاگی که مدل، پرامپت، داده، رتبه، اقدام بازبین و نتیجه را بازسازی کند؛
• پایش drift، شکایت، override، نرخ انتخاب، منفی کاذب و رخداد.

اگر نمونه زیرگروه برای ادعا کوچک است، داده lineage ندارد، نظارت انسان صوری است، اقدام منفی بازسازی نمی‌شود یا شاهد فروشنده غایب است، عرضه رد شود. کنسول باید «مسدود: شاهد ناکافی» نشان دهد، نه قطعیت مصنوعی.

دروازه انتشار، پایش و پاسخ رخداد را متصل کنید

حاکمیت فقط وقتی ارزش دارد که عملیات را عوض کند. پیش از عرضه، چک‌لیست آمادگی عملیاتی باید مالک نام‌دار، مجوز محدود، آستانه ارزیابی، fallback انسانی، مشاهده‌پذیری، کنترل تغییر، rollback، ارتباط و نگهداری شاهد را تایید کند.

پس از عرضه، سطح سامانه و نتیجه را بسنجید: تغییر ورودی و جمعیت، نقض سیاست، عملکرد slice حساس، اصلاح کاربر، override انسان، شکایت، اعتراض، تاخیر، شکست ابزار، اقدام بدون مجوز، سیگنال امنیت و تغییر مادی فروشنده. آستانه باید تحقیق، حالت محدود، بازبینی دستی، تعلیق، طبقه‌بندی دوباره یا تحلیل گزارش‌دهی را فعال کند.

شکست مهم را وارد چارچوب پاسخ رخداد AI کنید. رکورد باید نسخه متاثر، فرد و قلمرو، آسیب، containment، ارتباط، تصمیم گزارش، شاهد بازیابی، علت ریشه‌ای و اقدام پیشگیرانه را نگه دارد. پایش پس از عرضه و رخداد باید رجیستر ریسک و مجموعه ارزیابی را به‌روزرسانی کند.

اثربخشی کنترل را بسنجید، نه حجم سند را

معیارهای مفید عبارت‌اند از:

• پوشش فهرست در برابر کشف فنی و تدارکات؛
• درصد رکورد دارای مالک پاسخ‌گو و طبقه‌بندی جاری؛
• تازگی شاهد و درصد اتصال آن به نسخه مستقر؛
• نرخ عبور آزمون کنترل و سن میانه اصلاح به تفکیک شدت؛
• تغییر مادی بازبینی‌نشده فروشنده و زمان تا ارزیابی دوباره؛
• نرخ اعتراض، اصلاح، override و شکایت در slice پیامددار؛
• زمان تشخیص، مهار، بازسازی و بستن رخداد AI؛
• استثناهای عرضه، انقضا و بازبینی عقب‌افتاده ریسک؛
• درصد سامانه بازنشسته که داده، دسترسی و ثبت آن واقعاً بسته شده است.

«تعداد سیاست تولیدشده» یا «کارمند آموزش‌دیده» معیار نتیجه نیست. بسنجید فرد مرتبط می‌تواند استفاده ممنوع را تشخیص، نظارت را اعمال، سامانه را متوقف و زیر فشار شاهد را بازیابی کند.

دروازه صریح برای عرضه و ادامه عملیات بگذارید

اگر پرسش استفاده ممنوع حل نشده، نقش یا طبقه‌بندی تایید مسئول ندارد، ارزیابی اثر بالا پوشش معتبر ندارد، مکانیسم شفافیت لازم غایب است، سند یا شاهد فروشنده موجود نیست، فرد متاثر راه اعتراض معنادار ندارد یا تیم نمی‌تواند سامانه را ببیند، متوقف و بازسازی کند، عرضه را ببندید.

سامانه جاری را محدود یا متوقف کنید اگر تغییر مادی ارزیابی را دور زده، عملکرد از آستانه پیامددار گذشته، جمعیت یا قلمرو تازه بدون بازبینی اضافه شده، فروشنده بدون شاهد مدل را عوض کرده، شکایت جدی قابل تحقیق نیست یا containment رخداد اثبات نمی‌شود.

استثنا مالک، منطق، کنترل جبرانی، دامنه محدود، انقضا و تایید مستقل می‌خواهد. waiver موقت همیشگی همان پذیرش ریسک پنهان است.

پرسش‌های رایج

آیا ۲ اوت ۲۰۲۶ یعنی همه تکالیف پرریسک اکنون اعمال می‌شود؟

خیر. بسته ۲۰۲۶ تقویم را تغییر داد. الزامات پرریسک ضمیمه III از ۲ دسامبر ۲۰۲۷ و مسیر محصول ماده ۶(۱) از ۲ اوت ۲۰۲۸ اعمال می‌شود. قواعد دیگری مثل بسیاری از تکالیف شفافیت زودتر اعمال می‌شوند. ماده، نقش و حکم انتقالی دقیق را بررسی کنید.

آیا پیش‌نویس راهنمای پرریسک کمیسیون الزام‌آور است؟

خیر. تا ۳۰ ژوئیه ۲۰۲۶ راهنمای پیش‌نویس پس از مشورت است. برای تحلیل مفید است اما نباید قانون نهایی معرفی شود.

آیا امضای آیین‌نامه داوطلبانه معادل انطباق است؟

خیر. آیین‌نامه شاید مسیر اثبات و کاهش عدم‌قطعیت بدهد، اما سازمان باید تعهد مربوط را واقعاً اجرا و قانون قابل اعمال بر سامانه خود را رعایت کند.

آیا فروشنده می‌تواند کل برنامه قانون AI ما را مالک شود؟

خیر. تکالیف به نقش هر بازیگر بستگی دارد و بهره‌بردار مسئولیت استفاده را حفظ می‌کند. قرارداد باید شاهد و همکاری را تقسیم کند، نه پاسخ‌گویی را حذف کند.

کوچک‌ترین کنسول مفید چیست؟

فهرست نسخه‌دار مورد استفاده، تصمیم نقش و طبقه‌بندی، ماتریس تکلیف تا شاهد، مالک نام‌دار، دروازه عرضه، ارزیابی و رخداد متصل و تاریخچه تغییر. پس از صریح‌شدن این تصمیم‌ها اتوماسیون اضافه کنید.

آمادگی قانون AI گواهی یک‌باره نیست؛ توان توضیح این است که چه چیزی فعال است، چرا مجاز است، امروز کدام کنترل اعمال می‌شود، کدام شاهد ادعا را پشتیبانی می‌کند و چه چیزی با تغییر شرایط سامانه را متوقف خواهد کرد.

یادداشت منابع

منابع بررسی‌شده و جاری تا ۳۰ ژوئیه ۲۰۲۶:

• مقرره ۲۰۲۴/۱۶۸۹ اتحادیه اروپا یا قانون AI — متن اصلی و چارچوب اعمال.
• مقرره ۲۰۲۶/۱۷۴۴ یا بسته ساده‌سازی دیجیتال درباره AI — منتشرشده ۲۴ ژوئیه و لازم‌الاجرا از ۲۷ ژوئیه ۲۰۲۶؛ چند تکلیف و تاریخ را تغییر می‌دهد.
• پرسش‌های اجرای کمیسیون — خط زمانی و توضیح رسمی جاری.
• راهنمای شفافیت ماده ۵۰ کمیسیون — منتشرشده ۲۰ ژوئیه ۲۰۲۶.
• پیش‌نویس راهنمای طبقه‌بندی پرریسک — موضوع مشورت تا ۲۳ ژوئیه ۲۰۲۶، نه راهنمای نهایی الزام‌آور.