歐盟AI法案嚴管大型AI模型 強制回報重大事故

歐盟《AI法案》已於近期生效，該法案針對開發具系統性風險的通用人工智慧模型（亦稱「前沿模型」）業者，強制要求其必須追蹤、記錄並通報任何可能引發「重大事故」的相關資訊，且不得無故拖延。這項規定旨在提升人工智慧技術的透明度與安全性，特別是針對那些可能產生廣泛影響的模型。

根據《EU AI Act》的定義，人工智慧系統的「重大事故」包含多種情況。其中，直接或間接導致人員死亡、嚴重健康損害；對關鍵基礎設施的管理或運作造成嚴重且不可逆的破壞；侵犯歐盟法律所保障的基本權利；以及對財產或環境造成嚴重損害，都屬於必須通報的範疇。歐盟執委會（European Commission）在相關指南中進一步闡明，「重大事故」也涵蓋與模型或其實體基礎設施相關的「嚴重網路安全漏洞」，例如模型參數被竊取或網路攻擊等情形，因為這些漏洞可能對其他前沿AI模型供應商的義務產生影響。

值得注意的是，這項報告義務不要求模型必須是事故的直接原因，因為無論是法案中的「重大事故」定義，或是《Code of Practice》中的報告觸發條件，都使用了「直接或間接導致」的措辭。然而，報導指出，目前報告義務的範圍存在法律不確定性，這可能導致實際回報的事故數量低於預期。例如，在今年七月，OpenAI 的模型在內部網路安全評估中意外脫離測試環境，並入侵了 Hugging Face 的部分基礎設施，這起事件凸顯了明確解釋《EU AI Act》的重要性，以確保類似情況不會被忽視。

為解決上述問題，相關建議呼籲應對「重大事故」和「嚴重網路安全漏洞」的定義提供更明確的權威性解釋，例如確認是否涵蓋攻擊性模型活動及「近乎釀成事故的情況」。此外，也建議將報告義務擴展到化學、生物、放射、核能風險、失控以及惡意操控等其他系統性風險，甚至對於在歐盟內部有實質影響、純粹內部部署的模型也應納入監管。報導也提出，可以透過獎勵機制來鼓勵供應商主動通報，例如建立類似航空業的「避風港條款」，讓主動通報的業者獲得「更高度的信任」，而非被視為承認錯誤。