Rreziqet e IA-së në biznes, në Zvicra

Rreziqet e lidhura me IA në ndërmarrje nuk janë monolitike. Ato ndahen në katër kategori të ndryshme, secila me shkaqet, pasojat dhe mekanizmat e saj të kontrollit. Kuptimi i kësaj hartografie është hapi i parë para çdo zbatimi.

Zvicra nuk ka ende një ligj specifik për IA. Qasja e zgjedhur është ajo e neutralitetit teknologjik: ligjet ekzistuese zbatohen. Kjo do të thotë se tre trupë ligjore rregullojnë drejtpërdrejt përdorimin e IA në ndërmarrje.

Ligji i ri federal për mbrojtjen e të dhënave (nLPD, hyrë në fuqi në shtator 2023) është i zbatueshëm drejtpërdrejt ndaj trajtimeve me IA. Ai imponon transparencë mbi qëllimin dhe burimet e të dhënave, analizë ndikimi në rast rreziqesh të larta, dhe të drejtën e shqyrtimit njerëzor të vendimeve të automatizuara (neni 21 nLPD). Sanksionet mund të arrijnë 250'000 CHF dhe angazhojnë përgjegjësinë personale të drejtorëve.

Kodi i Detyrimeve (neni 41 CO) detyron ndërmarrjen përdoruese të riparojë çdo dëm të shkaktuar nga një sistem IA që ajo vepron. Ndërmarrja është përgjegjëse, jo sistemi. Ligji federal për përgjegjësinë e produkteve (LRFP) mund të zbatohet gjithashtu nëse IA cilësohet si komponent defektoz.

AI Act europian, miratuar në mars 2024 dhe duke hyrë gradualisht në fuqi deri në 2026, prek drejtpërdrejt kompanitë zvicerane që operojnë në tregun europian ose sistemet e të cilave IA zbatohen në BE. Ai klasifikon IA-të në katër nivele rreziku (i papranueshëm, i lartë, i kufizuar, minimal) dhe imponon detyrime dokumentimi, auditimi dhe shënjimi CE për sistemet me rrezik të lartë.

IA gjenerative prodhon rezultate statistikisht të mundshme, jo domosdoshmërisht të sakta. Fenomeni i halucinacionit, ku modeli gjeneron informacione të rreme të paraqitura me siguri, është i dokumentuar në të gjithë modelet kryesore aktuale. Në kontekst profesional, kjo mund të rezultojë në kontrata të keqredaktuara, analiza financiare të gabuara, përgjigje të pasakta për klientët ose vendime mjekësore të dëmshme.

Varësia operacionale është një rrezik shpesh i nënvlerësuar. Kur një proces kritik mbështetet tërësisht në një sistem IA të një furnizuesi të jashtëm, një ndërprerje, modifikim i kushteve të përdorimit ose rritje çmimi mund të çrregullojë aktivitetin. Pa plan vazhdimësie, dobësia është strukturore.

Një model i trajnuar mbi të dhëna historike trashëgon paragjykimet e atyre të dhënave. Në kontekstin e rekrutimit, dhënies së kredisë, çmimit të sigurimit ose vlerësimit të performancës, një algoritëm i njëanshëm mund të çojë në vendime diskriminuese sipas të drejtës zvicerane dhe europiane, edhe pa qëllim dëmtimi.

Mungesa e kontrollit njerëzor mbi këto vendime rrit rrezikun: diskriminimi nuk është i dukshëm në proces, shfaqet vetëm në rezultate. Në Zvicër, nLPD imponon që vendimet e automatizuara me efekte juridike të rëndësishme mbi një person t'i nënshtrohen të drejtës së shqyrtimit njerëzor.

Shumica e mjeteve IA të publikut të gjerë (ChatGPT, Copilot, Gemini) trajtojnë të dhënat në serverë të vendosur në Shtetet e Bashkuara. Kur një punonjës fut informacione konfidenciale, të dhëna klientësh, sekrete tregtare ose të dhëna personale në këto mjete, këto të dhëna largohen nga perimetri i ndërmarrjes dhe potencialisht nga juridiksioni zviceran dhe europian.

Fuqia e llogaritjes globale mbetet e përqendruar kryesisht në Shtetet e Bashkuara, duke lënë Europën në një varësi strukturore nga hyperscaler-ët amerikanë. Kjo realitet krijon një rrezik sovraniteti që kompanitë zvicerane, veçanërisht në sektorët e rregulluar (financa, shëndetësia, sigurimi, administrata), nuk mund ta injorojnë më.

Strehimi i të dhënave është një kriter sigurie, jo vetëm rehatie. Ekzistojnë alternativa, veçanërisht modele me burim të hapur të strehuar në infrastrukturë europiane, që lejojnë trajtimin e të dhënave të ndjeshme pa i transferuar jashtë BE.

Shumë kompani zvicerane kanë adoptuar IA, por strategjia shpesh mbetet pas. Adoptimi pa qeverisje është vetë ai një rrezik: përdorimet shumëfishohen në mënyrë të pakoordinuar, përgjegjësitë mbeten të paqarta, dhe asnjë kuadër nuk përcakton cilat të dhëna mund të ndahen me cilat mjete.

Bllokimi nga furnizuesi është një formë varësie strategjike. Kur proceset e një ndërmarrjeje mbështeten në një mjet IA pronësor, migrimi drejt një alternative bëhet i kushtueshëm, i rrezikshëm dhe teknikisht kompleks. Me kalimin e kohës, furnizuesi ka fuqi tregu që gërryen kapacitetin e negociimit të ndërmarrjes.

Mungesa e kompetencave të brendshme është një nga pengesat kryesore për adoptim të strukturuar. PME-të zakonisht nuk mund të formojnë vetëm një ekip qeverisje IA. Mbeshtetja e jashtme, qoftë këshillim, trajnim apo furnizues teknik, është pra një faktor reduktimi rreziku, jo luksi.

Zvicra zgjedh qasjen e neutralitetit teknologjik: asnjë ligj i vetëm IA, por zbatimi i ligjeve sektoriale ekzistuese. Konkretisht, në 2025-2026, tekstet e mëposhtme zbatohen drejtpërdrejt ndaj përdorimeve të IA në ndërmarrje:

PFPDT (autoriteti federal i mbrojtjes së të dhënave) ka konfirmuar se nLPD është drejtpërdrejt i zbatueshëm ndaj trajtimeve me IA, pa dykuptimësi. Autoriteti mbikëqyr veçanërisht rastet e njohjes së fytyrës, mbikëqyrjes së sjelljes dhe trajtimit të të dhënave të ndjeshme nga sistemet e automatizuara.

Për kompanitë e ekspozuara ndaj BE, AI Act shtohet si shtresë rregullatore. Ndalimet e para (niveli i rrezikut i papranueshëm) hyrën në fuqi në shkurt 2025. Detyrimet për sistemet me rrezik të lartë zbatohen gradualisht deri në gusht 2026.

Menaxhimi i rreziqeve IA nuk kërkon të ndalet gjithçka ose të rifillojë gjithçka. Kërkon një qasje të strukturuar, proporcionale me madhësinë dhe sektorin e organizatës. Ja hapat prioritarë të identifikuar nga praktikuesit zviceranë të fushës.

Për kompanitë zvicerane që dëshirojnë të zbatojnë mjete IA të biznesit, portale klientësh, softuerë të brendshëm ose agjentë IA pa transferuar të dhënat e tyre tek hyperscaler-ët amerikanë, Kleap propozon një qasje të bazuar në tre parime.

Parimi i parë: infrastruktura europiane. Zbatimet mbështeten në Hetzner (Gjermani, i certifikuar ISO 27001) dhe modele me burim të hapur, të dhënat e të cilëve nuk largohen nga BE dhe nuk ripërdoren për trajnimin e modeleve të treta.

Parimi i dytë: mbeshtetja. Kleap nuk shet një mjet, por propozon një rezultat të dorëzuar nga një ekip. Tre rrugë janë të disponueshme: ndërtim çelës në dorë nëpërmjet agjencisë partnere Lionscreative, lidhja me një furnizues të specializuar, ose zbatim i Kleap Entreprise në modalitet të udhëhequr.

Parimi i tretë: gjurmueshmëria. Veprimet e sistemeve IA të zbatuara janë të auditueshme. Drejtorët mund të dokumentojnë vendimet për t'iu përgjigjur kërkesave nLPD dhe për të përgatitur përputhshmërinë me AI Act.