רגולטור פרסם הוראה חדשה לגבי שימוש בבינה מלאכותית. הוא דורש מהחברות לנהל סיכונים, לזהות הטיות ולטפל בהן, להבטיח שקיפות ולהסביר איך האלגוריתם מקבל החלטות. אלו דרישות הגיוניות. למעשה, הן הפכו כמעט לסטנדרט בכל דיון על רגולציית AI.
אבל האם הרגולטור יודע לבדוק שהדרישות האלו מתקיימות?
הבעיה הקנדית
בקנדה השאלה הזאת הופכת במהירות לבעיה מעשית.
בשנים האחרונות הממשלה הפדרלית ניסתה לקדם מסגרת רגולטורית מקיפה לבינה מלאכותית באמצעות חוק פדרלי בשם AIDA. הרעיון היה פשוט: ליצור כללים אחידים לניהול סיכונים, לפיקוח על מערכות AI ולשמירה על הציבור. החוק נתקע בפרלמנט ומעולם לא נכנס לתוקף. במקום מסגרת לאומית אחת, כל פרובינציה החלה לפתח גישה משלה ובכל פרובינציה כל רגולטור פועל בתחומו.
התוצאה היא פסיפס של כללים שונים. למשל, קוויבק מתקדמת בקביעת דרישות מפורטות למוסדות פיננסיים. אונטריו קובעת חובות אחרות. ופרובינציות אחרות מתמקדות בסקטורים שונים.
כל אחד מתקדם בכיוון מעט שונה. אבל זאת לא הבעיה המרכזית של קנדה.
הפער האמיתי: בין דרישות ליכולת
הבעיה המרכזית היא הפער בין הדרישות לבין היכולת. רגולטורים דורשים כיום מארגונים למפות מערכות AI, לסווג אותן לפי רמת סיכון, לבדוק הטיות ולוודא הסבריות של מודלים. אלו משימות מורכבות גם עבור חברות טכנולוגיה גדולות.
אבל רגולציה היא לא רשימת המלצות, היא מורכבת מהוראות מחייבות שנאכפות. זה אומר שהרגולטור צריך גם לבדוק ציות לדרישות: הוא צריך להבין איך מערכות כאלה פועלות, ולדעת לבדוק האם המערכות של המפוקחים עומדות בדרישות.
וכאן מתחילה הבעיה.
מי יבדוק את האלגוריתם?
ברבים מגופי הרגולציה אין מומחי למידת מכונה. אין חוקרי אלגוריתמים. וברור שאין פקחים שמתמחים בביקורת של מערכות AI. לרוב הפקחים אין תואר ראשון, למי שיש – זה לא תואר במדעי המחשב.
לעיתים העובדים הטכנולוגיים המתקדמים ביותר בכלל עובדים באגף מערכות המידע והם מתחזקים מערכות ותיקות או מנהלים ספקי IT חיצוניים.
זה קצת כמו שהרגולטור ידרוש מחברה להוכיח שהגשר שבנתה בטוח, כשאצל הרגולטור לא עובד אפילו מהנדס אחד שיודע לקרוא תכניות. לא מספיק לכתוב דרישות, צריך להיות מסוגלים לפקח עליהן.
יש מודל מוצלח
יש יוצא דופן מעניין: רשות ניירות הערך הקנדית השקיעה במשך שנים בבניית יכולות טכנולוגיות פנימיות. היא גייסה מומחי דאטה, הקימה צוותי אנליטיקה והטמיעה בעצמה כלי בינה מלאכותית לצורכי פיקוח ואכיפה.
הרגולטור לא צריך להפוך לחברת תוכנה, אבל הוא צריך להיות מספיק מקצועי בתחום בו הוא עובד. כמובן שבתחום חדשני ודינמי זה יותר מאתגר, אבל זו העבודה.
מקור הכוח האמיתי של הרגולטור
בדרך כלל אנחנו חושבים על רגולציה במונחים של חוקים ותקנות. זאת אומרת, שהלגיטימציה והעוצמה של הרגולטור נובעת מהכוח שלו לכפות על הציבור.
אבל הסיבה האמיתית שהציבור מציית לרגולטור וסומך עליו מבוססת על משהו עמוק יותר: אמון במקצועיות שלו.
אם רגולטור דורש מהשוק לבצע הערכת סיכונים – והרגולטור לא יודע לבצע בעצמו, הביצועים יהיו נמוכים והאמון הזה ישחק.
אותו דבר יקרה אם הרגולטור מחייב הסבריות (explainability) ממערכות – בלי לדעת מה זה.
לפני כללים חדשים צריך יכולת
יש תנאי בסיסי לפני שמנהלים את הדיון "האם לאמץ את המודל האירופי או האמריקאי". הדיון צריך להתחיל במקום אחר.
לפני שמטילים חובות חדשות על השוק, צריך לבנות את היכולת של מי שאמור לפקח עליהן – אותה יכולת הכרחית כדי לקבוע כללים טובים וגם כדי לפקח ולאכוף אותם.
רגולציה נשענת קודם כל על היכולות של הרגולטור. וכשאין יכולת, גם הכללים הכי מתוחכמים בעולם נשארים על הנייר.
הרגולטור - גיא מור 