»AI-systems have neither legal personality nor human conscience, and that their sole task is to serve humanity.«
Holdningen fra EU-Parlamentet, som udtrykt i en resolution vedtaget sidste år, lyder måske ikke ligefrem kontroversiel. Men med den kommer EU til at gentage en årtier gammel fejl og misse en mulighed for at skabe langtidsholdbar lovgivning på AI-området.
Det mener professor i persondataret ved Vrije Universiteit Brussel Vagelis Papakonstantinou, der sammen med sin kollega, juraprofessor Poul De Hert, opfordrer de europæiske lovgivere til at gøre AI til en juridisk person.
»Vi står ved en skillevej,« forklarer Vagelis Papakonstantinou til DataTech.
»Vi kan forsøge at favne en ny teknologi med de eksisterende juridiske værktøjer. Eller vi kan forsøge at finde på noget nyt.«
En digital person
For de to professorer er den rigtige vej klar. AI har brug for nye værktøjer, og et af de værktøjer kan være at give et AI-system samme juridiske status som f.eks. en virksomhed eller en ngo.
»Det betyder ikke, at du kommer væk fra mennesker eller menneskelig kontrol. For ligesom i en virksomhed eller i en organisation vil der være nogle mennesker bag, som kan stilles til ansvar for virksomhedens og organisationens handlinger.«
I samtlige EU-landes lovgivning kan man i dag finde referencer til en naturlig person - altså en fysisk person - og en juridisk person, som kan være et selskab, en fond eller en anden organisation. Det er til den liste, Vagelis Papakonstantinou gerne vil tilføje endnu en kategori til AI: digital person.
Den strategi har ifølge professoren flere fordele. Først og fremmest vil det skabe en registreret entitet i det nationale retssystem, som kan stilles til ansvar i det respektive land.
»Hvis et AI-system i dag forårsager skade på dig, vil du ikke vide, hvem du skal skyde skylden på. Hvis du forsøger at følge kæden tilbage, kan du ikke finde ud af, hvem du skal interagere med, fordi det fortaber sig i skyen og i internationale forretningsmodeller.«
GDPR-roller fungerer ikke på AI
I det foreløbige arbejde med AI-regulering i EU lægges der op til en rollefordeling - developer, deployer og user - som skal give en form for ansvarsplacering - men de kan være placeret over hele kloden. GDPR har vist, at den tilgang har sine begrænsninger, mener Vagelis Papakonstantinou.
»I GDPR har vi den dataansvarlige. Hvis det er en lokal identitet - din arbejdsgiver, din bank og så videre - så er det fint. Men hvis den dataansvarlige er Facebook, så er det meget mere vanskeligt. Ikke alle i Europa kan gøre som Max Schrems.«
Ingen løsning passer alle
Den anden fordel ved at lade AI have juridisk personlighed er fleksibilitet, siger Vagelis Papakonstantinou.
Ved at have en klar entitet, som lovgivere kan pege på, kan de forskellige områder nemmere skrive relevant lovgivning inden for skat, uddannelse, beskæftigelse så videre. For der vil ikke være én løsning, der fungerer for alle de områder, vurderer professoren.
»Jeg tror ikke på, at en EU-lov i første færd kan komme frem til det detaljeniveau, som det kræver at dække AI,« siger Vagelis Papakonstantinou.
»GDPR favner alle sektorer, men GDPR handler altid om behandling af persondata. Lovgivning for AI vil ikke være så simpelt. Det har mange funktioner, mange måder at påvirke vores liv på. Du kan ikke forudsige, hvordan det vil udvikle sig.«
Vil det ikke gå imod ambitionen om et enkelt digitalt marked i EU?
»Jo, det er sandt, at det vil give forskellige lovgivning på tværs af EU. Men det er normalt. Hvis du ser AI som et enkelt fænomen, som kan reguleres på én måde, så giver det mening, at EU laver de regler. Men hvis du mener, at AI kommer til at være til stede overalt, kan du ikke have en enkelt model.«
Fejlen ved software-lovgivning
Vagelis Papakonstantinou sammenligner udfordringen med at håndtere AI i lovgivning med arbejdet med at lave lov for software i 60'erne og 70'erne. Også dengang var spørgsmålet, om dette nye stykke teknologi kunne håndteres af gammel lov.
»Mennesker generelt - og jurister i særdeleshed - er ikke glade for nye ting. De vil altid forsøge at bruge det, vi kender til at dække det nye. Det var det, der skete med software,« fortæller Vagelis Papakonstantinou.
»Der var en lang diskussion blandt regeringer og jurister om, hvordan software skulle dækkes, og vi endte med at bruge eksisterende systemer som copyright. Men dengang vidste vi, og vi ved det nu, at det er ikke godt nok. Software er noget andet end en bog eller et stykke musik.«
Skillevejen
Resultatet her 50 år senere er lovgivning, der rummer software med en blanding af copyright og patenter, leder til mange sagsanlæg og grundlæggende ikke fungerer, mener professoren.
»Det havde været meget bedre, hvis vi dengang havde taget en anden retning og bygget ny lovgivning, der reelt fungerer for software,« siger Vagelis Papakonstantinou.
Det var netop, hvad europæiske lovgivere i 60'erne og 70'erne parallelt valgte at gøre for databeskyttelse. De udviklede hel ny lovgivning til at håndtere, at computere pludselig behandlede persondata.
»50 år senere er GDPR blevet en succesfuld model, som EU arbejder videre med og andre lande implementere,« siger Vagelis Papakonstantinou.
Det er altså den skillevej, EU endnu en gang står ved. Og som det ud nu, er Europa tættere på at gentage fejlen fra softwarelovgivning end ved at tage et skridt ud i et nyt territorium, som man gjorde for databeskyttelse, vurderer professoren.
Brug for en sandkasse
Med EU-Parlamentets holdning klart udtrykt i to ud af tre AI-resolutioner synes chancen for juridisk personlighed til AI snæver.
Men ideen bør som minimum testes af i en juridisk sandkasse, som det har været andvendt på Fintech-området for nyligt.
»Vi kan ikke forudsige alting, AI kommer til at gøre. Derfor har vi brug for at være fleksible, og det kan vi gøre ved at teste denne her tilgang parallelt med det øvrige lovarbejde,« siger Vagelis Papakonstantinou.
»Vi skal sørge for at give os selv muligheder i fremtiden.«
