全球首部人工智能立法：創新和規范之間的艱難平衡

金 玲

作為世界范圍內第一份綜合性人工智能法案，歐盟公布的人工智能法案旨在應對人工智能使用風險，更重要的是歐盟欲借其尋求在全球人工智能規范中的領導地位。法案采取風險分級方法，在其中納入歐洲的道德標準。歐盟在全球人工智能領域內發展和運用都并非處于領先地位，但已日益意識到人工智能在其數字轉型和未來增長前景中的巨大潛力，是未來經濟競爭的關鍵，也是影響未來國際力量格局的重要因素。人工智能法案秉持風險分級的治理理念，突出歐盟人工智能治理的道德優勢，其效力范圍不僅局限于歐盟范圍內，而且有廣泛的域外效應，是歐盟又一次欲發揮其規范性力量，通過規則優勢彌補技術短板的嘗試。盡管有《通用數據保護條例》的成功范例，但人工智能法案能否復制其成功經驗，能否如愿在推動創新和有效規范之間實現平衡，仍面臨諸多不確定性。

秉持風險分級，凸顯道德優勢的人工智能治理理念

風險分級是人工智能立法的重要組成部分。歐盟委員會發布的人工智能法案采取了四類風險分級方法，分別是不可接受的風險、高風險、有限風險和最低風險，對以上不同風險級別的人工智能系統使用采取不同的限制措施。法案的重點是對具有高風險的人工智能產品和服務實施上游治理防范，規定了嚴格的前置審查程序和履行合規義務。法案明確了不可接受的風險，并明令予以禁止。被禁止的風險分別包括利用人的潛意識扭曲個人行為給他人帶來身體和心理傷害；利用特定群體的脆弱性影響個人行為給他人帶來身體和心理傷害；任何形式的社會信用分級以及實時的遠程生物識別技術。

對高風險的規范是法案的關鍵部分。法案未明晰高風險行為的涵義，僅對可能引發高風險的領域進行了歸類，包括關鍵基礎設施、公民教育、產品的安全組件、公民就業、公共服務、涉權型執法、出入境問題、司法和民主進程等。高風險AI提供者需要實行綜合治理和風險管控，在AI系統從設計到技術和發展的整個周期中都需要評估和降低風險。法案建議對存在高風險的人工智能產品和服務引進CE（Conformité Européenne）認證，為獲取認證AI開發者和使用者需嚴格履行七種義務，包括完備的風險評估系統；向系統提供高質量的數據集，將風險和歧視性結果降至最低；記錄活動以確保結果的可追溯性；提供有關系統及其目的的所有必要信息，以供當局評估其合規性；向用戶提供清晰、充分的信息；采取適當的人為監督措施，將風險降至最低；高水平的安全性和準確性。除了嚴格的前置管理程序外，法案還要求對涉及高風險的人工智能系統進行全過程監督和合規評估。

對于有限風險和最低風險的人工智能系統，法案沒有設置前置審查程序。針對有限風險，法案認為該類別的產品和服務的運用會引發透明度問題，因此需要特殊的披露義務。法案規定了三種人工智能技術需要特殊的透明度要求，包括深偽技術，與人互動的人工智能系統以及人工智能賦能的表情識別系統和生物分類系統。法案認為所有未在立法建議里討論的人工智能系統都屬于最低風險，歐盟范圍內的絕大多數人工智能系統屬于此類別。雖無特殊的干預和審查，但法案第69條的規定也可能對屬于該范疇人工智能的發展產生影響。該條款強烈鼓勵制定行為法則對其進行規范，歐盟委員會希望通過軟法機制促進透明度等原則的自動運用。

實施風險分級的人工智能治理是歐盟人工智能法案立法建議的核心，其對具有高風險人工智能產品和服務實施嚴格的前置審查程序，反映了歐盟欲搶占人工智能領域道德制高點的戰略意圖。通過凸顯其在人工智能領域的價值取向和道德優勢，歐盟一方面尋求在全球數字轉型進程中輸出數字治理的包含歐洲價值觀的歐洲模式，另一方面希望借此打造歐洲產品的道德優勢、安全品質以彌補其目前在人工智能發展過程中的技術短板，贏得未來的數字技術競爭。歐盟數字中小企業秘書長塞巴斯蒂安·托夫萊蒂就表示如果法案成功施行，該規范將類似于《通用數據保護條例》，成為國際標準。

規范和創新之間的艱難平衡

歐盟人工智能法案面臨的關鍵問題是如何在推動創新、收獲AI效益、應對AI風險和有效保護權利之間實現平衡。歐盟委員會在其立法初衷中提出四項具體目標，其中第一項目標強調“確保在歐盟市場使用的AI系統的安全性，能夠尊重根本人權和符合歐盟價值”，第二項目標便是“通過保證法律框架的確定性，促進人工智能投資和創新”。法案還表示為實現立法目標，建議呈現出平衡的、適當的橫向規范方法以最低限度、必要手段應對人工智能的風險和問題，并沒有過度限制或妨礙技術發展，也沒有不恰當地增加人工智能進入市場運用的成本。此外，法案還針對中小企業可能面臨的不利處境規定了一系列特別舉措以實現公平競爭。盡管如此，法案的出臺還是引發了各方關切，認為復雜的審查要求和程序，會增加企業的行政成本，尤其不利于中小型數字初創企業，遏制創新和技術運用，延緩歐盟的數字轉型進程。法案反映了歐盟在促進創新和權利保護之間難以有效平衡的內在沖突。

歐盟人工智能法案的治理理念是面對強大的人工智能技術，需要在其發展過程中進行前置規劃和連續監督，與美國等實行的企業推動無許可創新的理念完全不同。上述理念充分體現在法案中對有高風險可能的人工智能產品和服務提供者需要履行的義務中。但是，歐盟的上游治理方法一方面要求企業承擔更多的前置成本，另一方面也因為風險評估不確定性影響企業投資熱情。已有的相關評估顯示，滿足前置成本的標準極高，很少有初創企業和中小企業能夠承擔這樣的成本，更何況還有額外的進入市場后的事后監督引發的合規成本。

研究表明，歐盟的人工智能法案的實施成本將吞噬歐洲人工智能投資的17%，嚴重制約歐盟的數字化進程。目前該風險并非僅是理論性存在。2020年6月歐盟進展報告顯示《通用數據保護條例》實施的碎片化和各實施機構的資源投入不足，不僅導致其生效的附加治理的效應不足，還降低了進入歐洲市場的風投資本規模，谷歌在歐洲的市場份額不僅沒有下降，反而劇增?！锻ㄓ脭祿Ｗo條例》的實踐證明嚴格的標準可能產生意外的后果，過多的上游治理會扼殺下游創新，對歐洲的初創企業和小型人工智能開發企業帶來打擊，下一代歐洲數字企業的發展被限制。因此盡管委員會一再強調人工智能立法將支持歐洲數字經濟的創新和增長，但現實的經濟分析似乎并不認同這個結論。

歐盟人工智能立法如何在創新和規范之間取得平衡是關鍵的問題，谷歌前總裁施密特就表示歐盟的規則沒有考慮到經濟增長的因素。對于施密特來說，歐盟人工智能規范是歐盟對規范的偏見。歐盟產業集團也對法案持保留意見，數字化歐洲組織總干事塞西莉亞·博內費爾德-達爾表示法案可能給人工智能提供方帶來過度負擔。歐洲企業界針對委員會的立法建議也基本表達了同樣的擔憂，他們認為目前的立法建議對于投資和競爭力都充滿風險，將損害創新和歐洲人工智能的發展。

歐盟人工智能法案面臨的主要挑戰

歐盟委員會的立法建議是歐盟立法的第一步，此后將經過與歐洲議會和理事會的談判達成妥協并經表決和批準生效。此前《通用數據保護條例》從出臺到生效經歷了6年時間，短期內人工智能法將難以生效。從法案出臺至今，各利益攸關方已針對法案的不同方面表達關切，各方立場迥異。由于人工智能涉及復雜的經濟、政治、社會和安全問題，各方將如何博弈，最終達成共識仍面臨諸多不確定性。

首先，由于不同行為體的不同關切，各方對人工智能、“高風險” 的定義、合規責任的分擔等立場迥異，在法案涉及的諸多核心概念和相應風險范圍的界定問題上，各方將難以形成共識。歐盟委員會聯合研究中心最近的研究報告顯示有50多種人工智能定義，使得各方達成共同立場復雜而困難。與企業認為法案對人工智能和高風險過于寬泛定義妨礙創新立場不同，民權組織認為法案并未能實現以人為核心，而具有明顯的企業導向，對權利的保護顯著不足，表示法案中的諸多要求都寄希望于人工智能開發者實施技術手段解決復雜的社會問題，實施手段方面又更多指望企業的自我評估，會導致企業人工智能的不正當使用，甚至引發歧視。

其次，法案涉及到歐盟和成員國權能分配的制度機制問題。例如法案目前爭論的核心問題之一是關于面部識別和生物識別的禁止性使用問題，法案規定了幾種禁止性例外，涉及警察、司法、反恐等事務，這些領域根據歐盟條約屬于成員國權能。但例外規定目前受到了民權組織以及歐洲議會的強烈反對，擔心引發權力濫用，導致保護不足，強力主張全面禁止。這些主張必然受到歡迎禁止例外的國家，如法國等反對。法國一直希望將人工智能技術運用到安全領域。此外，法案的執行體系雖將執法權賦予了成員國，但同時又欲在歐盟層面設立單一的協調機構，并賦予委員會一定的監督權能，預防實施不足。但是，這種權力分配將導致灰色區域的出現，或引發法律執行不力，或引發成員國和歐盟機構之間的權能之爭，加劇歐盟業已嚴峻的憲政危機。

再次，法案可能導致人工智能治理體系碎片化問題。由于歐盟固有的權能分配機制，監督和實施歐盟法律非常復雜，而法案規定的人工智能治理和實施機制將愈加繁亂。根據法案，成員國監管機構對人工智能產品的市場監管發揮領導作用，包括調查健康、安全等涉及根本權利的風險，命令企業糾正錯誤行為，例如從市場上撤除違規系統。但不同成員國的監管機構沒有義務就如何解讀和實施歐洲新的人工智能規則進行協調，意味著人工智能治理框架接受其在不同成員國的多樣性運用?！锻ㄓ脭祿Ｗo條例》實施三年多來表明法律的核心部分在成員國不同監管機構下運用并不統一，企業在歐盟市場內并沒有確定的法律標準，不同國家相互競爭，歐盟監管機制呈現碎片化趨勢。德國數字保護機構領導人烏爾里?！P爾伯抱怨目前的跨境執法系統難以接受。盡管法案建議建立歐洲人工智能委員會，監督法律的運用以及分享最佳實踐，也將在確定什么是高風險中有關鍵影響力，但因執法權在成員國，其難以發揮有效協調作用，并且還會因與目前相關的機構重疊引發權能重疊和混亂。

最后，如何保證信息安全和商業秘密的問題。根據人工智能法案，歐洲監管機構有權要求獲得企業數據、源代碼和算法。盡管此前有先例，但這種廣泛的監管權威，沒有重要安全保證，將導致知識產權和商業秘密受到網絡襲擊的風險。實踐證明監管機構是網絡襲擊的主要目標。更糟糕的是法案反映了歐洲數字技術更廣泛的趨勢，也即降低數字投資和數字驅動創新的價值。例如單一市場法案下，“看門人”企業將要求和歐洲同行分享數字和算法。

人工智能法案的域外效應和國際影響

在地緣政治競爭的背景下，歐盟認為數字技術和治理日益呈現兩極化趨勢，歐盟要發揮其規范性影響力，通過規則彌補技術短板維護競爭力，成為獨立于中美之外的第三支力量。歐盟積極推動人工智能立法，并強調其人工智能規范的道德屬性，雖帶有強烈的歐洲歷史和文化特征，但同樣是歐洲面對百年變局和未來數字轉型的戰略選擇。在數字技術快速發展的背景下，歐洲深刻認識到人工智能技術不僅事關國際競爭力，更關乎國際力量格局重組。提高競爭力，確定規則優勢，輸出價值觀以及地緣政治考量下的數字主權是歐洲人工智能法規出臺的重要推動力。

面對人工智能的快速發展，歐洲一直到2018年都在評估人工智能發展帶來的不確定性，此后開始努力框定人工智能發展和應對其帶來的挑戰。2018年以來，歐盟20多個國家公布了人工智能戰略，確定目標和立場，并指定了相應的投資計劃。歐盟層面也相繼出臺數字戰略，并宣布一系列數字新法規，涉及數字市場、數字服務、人工智能等，歐盟數字戰略進入了在全球層面輸出規范的階段。

歐盟委員會競爭委員瑪格麗特·維斯塔格明確表示歐盟希望新法擁有超越邊界的影響力，“通過制定標準，我們能在世界范圍內推行具有道德性的技術，確保歐洲繼續擁有競爭力”。歐盟的邏輯是推動人工智能道德性和可信賴性本身會刺激人工智能更廣泛的使用，進而促進經濟增長和提升經濟能力。如果歐盟能夠成功鼓勵其他行為體采納值得信賴的人工智能標準，將在更大范圍內讓歐盟企業受益。如果歐盟能夠確立其領導地位，促使其他人遵守歐盟標準，將確保人工智能系統充分反映歐盟理念。如果歐洲制造的人工智能將被認為是高標準產品，歐盟的產品將更具競爭力，可以在人工智能生產布局中占有優勢地位。

在人工智能領域內，歐盟希望復制其《通用數據保護條例》經驗，構建在人工智能領域內的硬實力。與《通用數據保護條例》一樣，歐盟的人工智能立法建議具有廣泛的域外效應，不僅對歐盟范圍人工智能系統的提供者和用戶有約束力，即使是歐盟以外的企業，只要其產品和服務對歐盟民眾產生影響，都受其規制。不僅是歐盟統一大市場的規模讓任何企業都無法忽視AI法案，更重要的是在新技術領域內規范影響力的獨特的路徑依賴效應，一旦規則形成將難以撼動。正如歐盟《通用數據保護條例》所顯示的，歐洲規則很快成為在數據保護領域內的國際標準，這些努力產生重大影響。自2018年條例生效以來，該法規很大程度上在世界范圍內塑造數字保護規則。目前，多達120多個國家受歐盟數據保護機制啟發，通過了隱私法，不同的數字平臺也采取了歐盟的通用數據保護規則。

歐洲的市場力量使得任何企業都難以忽視。從《通用數據保護條例》到以法國為代表的歐洲國家紛紛啟動數據稅，以及為推進針對氣候變化的全球治理而討論實施碳關稅，都反映出歐盟利用其“規范性力量”和市場規模，強勢為全球相關產業制定標準所作出的努力。當前，歐盟針對美國數據企業巨頭采取的一系列反壟斷舉措，已彰顯出其市場規模的“規范”效應。市場規?；A上衍生的規則力量，正成為歐盟硬實力訴求的主要依托。

人工智能法案的出臺意味著歐盟正強化其在數字領域內的規范性作用。法案強調歐盟旨在成為“值得信賴和具有道德的人工智能”發展過程中的全球領導者。歐盟正通過對內推動數字主權，對外構建數字流動和技術伙伴關系，希望利用其市場規模，在世界范圍內推動歐盟規范的“布魯塞爾效應”。美國戰略與國際問題研究中心認為歐盟人工智能法案為美國敲響了警鐘，如果不立即采取行動，美國將在數字規則領域內被邊緣化，也表明美國作為歐洲在追求數字主權中的重要第三方，對歐洲單邊推動數字治理國際規范的擔憂。

但是，面對復雜的人工智能技術及其運用可能產生的復雜的經濟、政治、社會和廣泛國際影響的綜合性機遇和挑戰，歐盟如果希望成為全球規范的領導者，除了在歐盟范圍內平衡各方的不同的觀念、價值和利益訴求外，更需要在世界范圍內尊重不同國家的歷史、制度和文化傳統，在多邊層面推動各方觀念和利益的包容和平衡，才能實現規范的可持續性發展和有效執行。如果在地緣政治邏輯下，歐洲規范性力量不能傳遞多邊、開放和合作的信息，不以多數國家的國際共識為基礎，只是從自身的戰略利益和標準出發，強勢推動，那么歐洲作為特殊的國際行為體的身份危機也將日益凸顯。