قانون هوش مصنوعی اتحادیه اروپا (EU AI Act) و اثر آن بر کسب‌وکارهای ایرانی

قانون هوش مصنوعی اتحادیه اروپا (EU AI Act یا مقررات (EU) 2024/1689) نخستین قانون جامع جهان برای تنظیم هوش مصنوعی است که سامانه‌های هوش مصنوعی را بر اساس میزان خطرشان برای سلامت، ایمنی و حقوق بنیادین افراد دسته‌بندی می‌کند و برای هر دسته، تکالیف متفاوتی تعیین می‌کند: از ممنوعیت کامل برخی کاربردها تا الزامات سنگین برای سامانه‌های پرخطر و تکالیف شفافیت برای چت‌بات‌ها و محتوای مصنوعی. این قانون از ۱ اوت ۲۰۲۴ لازم‌الاجرا شده و به‌صورت مرحله‌ای اجرا می‌شود. نکته مهم برای کسب‌وکارهای ایرانی این است که دامنه آن فراسرزمینی است: اگر سامانه هوش مصنوعی شما یا خروجی آن در اتحادیه اروپا عرضه یا استفاده شود، ممکن است مشمول این قانون باشید، حتی اگر شرکت شما در تهران ثبت شده باشد.

چرا یک شرکت ایرانی باید به قانون اروپا اهمیت دهد؟

ممکن است فکر کنید با وجود تحریم‌ها، قانون اروپا ربطی به شما ندارد. اما چند سناریو رایج نشان می‌دهد این‌طور نیست:

• استارتاپ ایرانی که اپلیکیشن هوش مصنوعی خود را در فروشگاه‌های بین‌المللی منتشر کرده و کاربرانی در آلمان یا هلند دارد.
• شرکت نرم‌افزاری که برای مشتریان اروپایی، از طریق شرکای خارجی، خدمات توسعه مدل ارائه می‌دهد.
• برنامه‌نویسان ایرانی که در تیم‌های دورکار شرکت‌های اروپایی، روی سامانه‌های پرخطر کار می‌کنند.
• کسب‌وکارهای ایرانی که قصد ورود به بازارهای منطقه‌ای دارند که مقررات خود را بر اساس الگوی اروپا تنظیم می‌کنند.

افزون بر این، قانون اروپا مانند مقررات حمایت از داده اروپا (GDPR)، به الگویی برای قانون‌گذاری در کشورهای دیگر تبدیل شده است.

دامنه فراسرزمینی: ماده ۲

ماده ۲ قانون، از جمله این اشخاص را مشمول می‌داند:

• ارائه‌دهندگانی که سامانه هوش مصنوعی یا مدل هوش مصنوعی همه‌منظوره را در بازار اتحادیه عرضه یا به کار می‌گیرند، صرف‌نظر از اینکه در اتحادیه مستقر باشند یا در کشور ثالث؛
• به‌کارگیرندگان مستقر در اتحادیه؛
• ارائه‌دهندگان و به‌کارگیرندگان مستقر در کشور ثالث، در جایی که خروجی سامانه در اتحادیه استفاده شود.

ارائه‌دهندگان خارج از اتحادیه در برخی موارد، از جمله برای سامانه‌های پرخطر و مدل‌های همه‌منظوره، باید نماینده مجاز در اتحادیه تعیین کنند.

چهار سطح خطر

۱. خطر غیرقابل‌قبول (ممنوع)

ماده ۵ کاربردهایی را ممنوع کرده است، از جمله: امتیازدهی اجتماعی، تکنیک‌های فریبنده یا دستکاری‌کننده که به افراد آسیب جدی بزند، سوءاستفاده از آسیب‌پذیری‌های ناشی از سن یا معلولیت، جمع‌آوری انبوه و هدف‌نگرفته تصاویر چهره از اینترنت برای ساخت پایگاه تشخیص چهره، تشخیص احساسات در محیط کار و آموزش (با استثناهای پزشکی و ایمنی) و دسته‌بندی بیومتریک برای استنتاج ویژگی‌های حساس. پس از اصلاحیه سال ۲۰۲۶، تولید تصاویر یا ویدئوهای صمیمی واقع‌نما از افراد قابل شناسایی بدون رضایت آن‌ها و تولید محتوای سوءاستفاده جنسی از کودکان نیز به فهرست ممنوعیت‌ها افزوده شده است.

۲. پرخطر

سامانه‌هایی که در حوزه‌هایی مانند استخدام و مدیریت کارکنان، آموزش، اعتبارسنجی، دسترسی به خدمات ضروری، اجرای قانون، مهاجرت، دادگستری و زیرساخت‌های حیاتی به کار می‌روند، یا جزء ایمنی محصولاتی مانند تجهیزات پزشکی و خودرو هستند. این سامانه‌ها باید الزاماتی مانند مدیریت ریسک، کیفیت داده، مستندسازی فنی، ثبت رویدادها، شفافیت، نظارت انسانی و دقت و امنیت را رعایت کنند. موضوع تبعیض الگوریتمی یکی از دغدغه‌های اصلی این بخش است.

۳. خطر محدود (شفافیت)

ماده ۵۰ تکالیف شفافیت تعیین می‌کند: کاربران باید بدانند با چت‌بات طرف‌اند؛ خروجی‌های مصنوعی (صدا، تصویر، ویدئو و متن) باید به شکل ماشین‌خوان علامت‌گذاری شوند؛ و دیپ‌فیک‌ها باید اعلام شوند. جزئیات در مقاله واترمارک محتوای هوش مصنوعی.

۴. خطر حداقلی

بیشتر کاربردهای روزمره، مانند فیلتر هرزنامه یا هوش مصنوعی در بازی‌های ویدئویی، تکلیف خاصی ندارند.

مدل‌های هوش مصنوعی همه‌منظوره

ارائه‌دهندگان مدل‌های همه‌منظوره (مانند مدل‌های زبانی بزرگ) باید مستندات فنی تهیه کنند، سیاست رعایت قوانین کپی‌رایت داشته باشند و خلاصه‌ای از داده‌های آموزشی منتشر کنند. مدل‌های دارای «خطر سیستمی» تکالیف بیشتری دارند. این موضوع به بحث حق مؤلف و آموزش هوش مصنوعی مربوط است.

تقویم اجرا (پس از اصلاحیه Digital Omnibus)

تاریخ	آنچه اجرایی می‌شود
۱ اوت ۲۰۲۴	لازم‌الاجرا شدن قانون
۲ فوریه ۲۰۲۵	ممنوعیت‌های ماده ۵ و تکلیف سواد هوش مصنوعی
۲ اوت ۲۰۲۵	تکالیف مدل‌های همه‌منظوره، حکمرانی و جریمه‌ها
۲ اوت ۲۰۲۶	تکالیف شفافیت ماده ۵۰ (با مهلت کوتاه تا ۲ دسامبر ۲۰۲۶ برای برخی سامانه‌های مولد)
۲ دسامبر ۲۰۲۶	ممنوعیت‌های جدید افزوده‌شده در اصلاحیه ۲۰۲۶
۲ دسامبر ۲۰۲۷	سامانه‌های پرخطر مستقل (پیوست III)
۲ اوت ۲۰۲۸	سامانه‌های پرخطر تعبیه‌شده در محصولات (پیوست I)

اصلاحیه موسوم به «Digital Omnibus on AI» به‌صورت مقررات (EU) 2026/1744 در ژوئیه ۲۰۲۶ منتشر و لازم‌الاجرا شد و عمدتاً زمان‌بندی تکالیف سامانه‌های پرخطر را به تعویق انداخت، اما ممنوعیت‌ها، قواعد مدل‌های همه‌منظوره و تکالیف شفافیت را حفظ کرد. این اصلاحیه برای شرکت‌های کوچک و متوسط نیز تسهیلاتی مانند مستندسازی ساده‌تر پیش‌بینی کرده است.

جریمه‌ها

سقف جریمه‌ها در قانون اصلی:

• نقض ممنوعیت‌های ماده ۵: تا ۳۵ میلیون یورو یا ۷ درصد گردش مالی جهانی سالانه، هرکدام بیشتر باشد؛
• نقض سایر تکالیف: تا ۱۵ میلیون یورو یا ۳ درصد؛
• ارائه اطلاعات نادرست به مقامات: تا ۷.۵ میلیون یورو یا ۱ درصد.

برای شرکت‌های کوچک و متوسط، رقم کمتر ملاک است.

مقایسه با رویکرد ایران

قانون ملی توسعه هوش مصنوعی ایران نیز سطح‌بندی مخاطره (کم‌مخاطره تا بسیار پرمخاطره) را پیش‌بینی کرده، اما برخلاف قانون اروپا، فهرست کاربردهای ممنوع و تکالیف تفصیلی ارائه‌دهندگان را در خود قانون نیاورده و به آیین‌نامه‌ها سپرده است. تمرکز قانون ایران بیشتر بر نهادسازی، زیرساخت و تأمین مالی است.

کسب‌وکار ایرانی چه کند؟

1. نقشه بازار: آیا کاربر، مشتری یا خروجی شما به اتحادیه اروپا می‌رسد؟
2. دسته‌بندی سامانه‌ها: هر سامانه را در یکی از چهار سطح خطر قرار دهید.
3. حذف کاربردهای ممنوع: اگر محصولی شبیه کاربردهای ماده ۵ دارید، برای بازار اروپا کنار بگذارید.
4. شفافیت: چت‌بات‌ها را معرفی کنید و خروجی‌های مصنوعی را علامت‌گذاری کنید.
5. مستندسازی: منشأ داده‌ها، ارزیابی ریسک و آزمون‌ها را مستند کنید.
6. ملاحظات تحریم: محدودیت‌های تحریمی اتحادیه اروپا ممکن است بر امکان فعالیت، پرداخت یا تعیین نماینده اثر بگذارد؛ پیش از ورود به بازار، این جنبه را جداگانه بررسی کنید.

برای ارزیابی انطباق محصول خود، می‌توانید با کارشناسان آرتیلا مشورت کنید.

نکات کلیدی

• EU AI Act نخستین قانون جامع هوش مصنوعی جهان است و از ۱ اوت ۲۰۲۴ لازم‌الاجرا شده است.
• طبق ماده ۲، ارائه‌دهندگان خارج از اتحادیه اروپا نیز در صورت عرضه یا استفاده از خروجی سامانه در اتحادیه مشمول قانون‌اند.
• قانون، سامانه‌های هوش مصنوعی را در چهار سطح خطر غیرقابل‌قبول، پرخطر، محدود و حداقلی دسته‌بندی می‌کند.
• پس از اصلاحیه Digital Omnibus، تکالیف سامانه‌های پرخطر مستقل از ۲ دسامبر ۲۰۲۷ اجرایی می‌شود.
• تکالیف شفافیت ماده ۵۰ از ۲ اوت ۲۰۲۶ اجرایی شده است.
• جریمه نقض ممنوعیت‌ها تا ۳۵ میلیون یورو یا ۷ درصد گردش مالی جهانی است.

سوالات متداول

آیا EU AI Act شرکت‌های ایرانی را شامل می‌شود؟

اگر سامانه هوش مصنوعی یا خروجی آن در اتحادیه اروپا عرضه یا استفاده شود، بله. محل ثبت شرکت تعیین‌کننده نیست.

آیا همه تکالیف این قانون اکنون اجرایی است؟

خیر. ممنوعیت‌ها، قواعد مدل‌های همه‌منظوره و تکالیف شفافیت اجرایی شده‌اند، اما تکالیف سامانه‌های پرخطر از دسامبر ۲۰۲۷ و اوت ۲۰۲۸ اجرا می‌شوند.

اگر فقط از ChatGPT در محصولم استفاده کنم، مشمول می‌شوم؟

ممکن است در جایگاه «به‌کارگیرنده» یا حتی «ارائه‌دهنده» سامانه قرار بگیرید. اگر محصولتان با کاربران اروپایی تعامل دارد، دست‌کم تکالیف شفافیت را رعایت کنید.

جریمه‌ها چقدر است؟

بسته به نوع تخلف، تا ۳۵ میلیون یورو یا ۷ درصد گردش مالی جهانی سالانه. برای شرکت‌های کوچک و متوسط، رقم کمتر ملاک است.

قانون ایران چه تفاوتی با قانون اروپا دارد؟

قانون ایران بیشتر بر نهادسازی و حمایت تمرکز دارد و جزئیات سطح‌بندی مخاطره را به آیین‌نامه سپرده، در حالی که قانون اروپا تکالیف تفصیلی و جریمه‌های مشخص دارد.