يصنّف EU AI Act (اللائحة (EU) 2024/1689) أنظمة الذكاء الاصطناعي إلى أربعة مستويات خطورة: محظورة، وعالية الخطورة، ومحدودة الخطورة، وضئيلة الخطورة. وفئة الخطورة العالية — المحدّدة في المادة 6 إضافةً إلى القوائم الواردة في الملحق الأول والملحق الثالث — هي حيث تقع معظم التزامات الذكاء الاصطناعي على مستوى المؤسسات.

يتضمّن الملحق الثالث ثماني فئات من حالات الاستخدام عالية الخطورة: البيومتريا، والبنية التحتية الحرجة، والتعليم، والتوظيف، والخدمات الأساسية، وإنفاذ القانون، والهجرة، والعدالة/الديمقراطية. وإذا وقع نظام الذكاء الاصطناعي لديك في أي منها، فإنك تواجه المنظومة الكاملة من تقييم المطابقة والتوثيق الفني والإشراف البشري والمراقبة بعد طرح المنتج في السوق — وعقوبات تصل إلى 15 مليون يورو أو 3% من إجمالي الإيرادات العالمية.

تنطبق التزامات الخطورة العالية اعتبارًا من 2 أغسطس 2026. وتوفّر المادة 6(3) استثناءً ضيقًا إذا كان الذكاء الاصطناعي يؤدي فقط "مهمة إجرائية ضيقة"، أو يحسّن نشاطًا بشريًا مُنجَزًا سابقًا، أو يكشف انحرافات عن نمط قرار دون أن يحلّ محلّه، أو يؤدي مهمة تحضيرية.

EU AI Act هو أول تنظيم أفقي شامل للذكاء الاصطناعي على مستوى العالم. وينطبق على المزوّدين الذين يطرحون أنظمة ذكاء اصطناعي في سوق الاتحاد الأوروبي وعلى المنشِرين الذين يستخدمون أنظمة الذكاء الاصطناعي في الاتحاد الأوروبي — بما في ذلك الشركات من خارج الاتحاد التي يُستخدَم ناتجها في الاتحاد (المادة 2).

مثل GDPR، فإن AI Act خارج عن الحدود الإقليمية. ومثل GDPR، يحمل انتهاكه عقوبات بنسبة مئوية من الإيرادات. وعلى خلاف GDPR، فإنه يتضمّن فئات صريحة من حالات الاستخدام المحظورة وحجمًا أكبر بكثير من المتطلبات السابقة للطرح في السوق للأنظمة عالية الخطورة.

• محظورة (المادة 5). ممنوعة في الاتحاد الأوروبي بغض النظر عن تدابير الامتثال. العقوبة: تصل إلى 35 مليون يورو أو 7% من إجمالي الإيرادات العالمية.
• عالية الخطورة (المادة 6 + الملحق الأول + الملحق الثالث). مسموح بها لكنها منظّمة بشدة — تقييم المطابقة، وFRIA، والتسجيل، والمراقبة المستمرة. العقوبة: تصل إلى 15 مليون يورو أو 3% من إجمالي الإيرادات العالمية.
• محدودة الخطورة (المادة 50). التزامات الشفافية فقط — إبلاغ المستخدمين، ووسم المحتوى الاصطناعي.
• ضئيلة الخطورة. لا توجد التزامات محدّدة بموجب AI Act. ويُشجَّع على مدوّنات السلوك الطوعية.

يقع معظم الذكاء الاصطناعي على مستوى المؤسسات إما ضمن الخطورة العالية (بسبب حالات استخدام الموارد البشرية أو الائتمان أو البيومتريا) أو محدودة الخطورة (بسبب عمليات نشر روبوتات المحادثة).

تصنّف المادة 6 نظام الذكاء الاصطناعي على أنه عالي الخطورة إذا استوفى أيًا مما يلي:

1. المادة 6(1) + الملحق الأول. أن يكون النظام مكوّن سلامة لمنتج، أو أن يكون هو نفسه منتجًا، مشمولاً بتشريعات تنسيق معيّنة في الاتحاد الأوروبي (الآلات، والألعاب، والمصاعد، والأجهزة الطبية، وأجهزة التشخيص المخبري، والطيران المدني، والمركبات الزراعية، والمعدات البحرية، ومعدات الراديو، وغيرها) وأن يكون ذلك المنتج مُلزَمًا بالخضوع لتقييم مطابقة من طرف ثالث بموجب ذلك التشريع.
2. المادة 6(2) + الملحق الثالث. أن يقع النظام ضمن إحدى فئات حالات الاستخدام الثماني في الملحق الثالث.

تستوفي العديد من الأنظمة كلا الاختبارين؛ ومسار الملحق الثالث هو الذي يحتاج معظم فرق المنتج إلى فهمه.

تخصّ المادة 6(3) إعفاءً ضيقًا. فلا يُعدّ نظام الذكاء الاصطناعي المدرَج في الملحق الثالث عالي الخطورة إذا كان لا يشكّل خطرًا جسيمًا للإضرار بالصحة أو السلامة أو الحقوق الأساسية للأشخاص الطبيعيين، بما في ذلك من خلال عدم التأثير الجوهري في نتيجة اتخاذ القرار. وشروط المادة 6(3) هي:

1. أن يؤدي النظام مهمة إجرائية ضيقة؛
2. أن يكون الهدف منه تحسين نتيجة نشاط بشري مُنجَز سابقًا؛
3. أن يكون الهدف منه كشف أنماط اتخاذ القرار أو الانحرافات عن أنماط اتخاذ قرار سابقة وألا يُقصَد به أن يحلّ محلّ التقييم البشري المُنجَز سابقًا أو يؤثر فيه دون مراجعة بشرية ملائمة؛ أو
4. أن يكون الهدف منه أداء مهمة تحضيرية لتقييم ذي صلة بأغراض حالات الاستخدام المدرَجة في الملحق الثالث.

لا ينطبق الاستثناء إذا كان نظام الذكاء الاصطناعي يجري تحليل سمات الأشخاص الطبيعيين. وحيث يخلص المزوّد إلى أن نظامًا مدرَجًا في الملحق الثالث ليس عالي الخطورة، يجب على المزوّد توثيق التقييم (المادة 6(4)) وتسجيل النظام في قاعدة بيانات الاتحاد الأوروبي (المادة 49).

التزامات الخطورة العالية واسعة. يجب على المزوّدين:

• نظام إدارة المخاطر (المادة 9) — عملية مستمرة ومتكررة تمتد على مدى دورة الحياة.
• البيانات وحوكمة البيانات (المادة 10) — بيانات التدريب والتحقق والاختبار خاضعة لمعايير الجودة وفحص التحيّز.
• التوثيق الفني (المادة 11) — يُعَدّ قبل الطرح في السوق، ويُبقى محدّثًا.
• حفظ السجلات والتسجيل (المادة 12) — سجلات تلقائية طوال دورة الحياة.
• الشفافية وتقديم المعلومات للمنشِرين (المادة 13) — تعليمات الاستخدام، والغرض المقصود، والقيود.
• الإشراف البشري (المادة 14) — التصميم بما يتيح إشرافًا فعّالًا من أشخاص طبيعيين طوال الفترة التي يكون فيها النظام قيد الاستخدام.
• الدقة والمتانة والأمن السيبراني (المادة 15) — مستويات ملائمة مُعلَنة في تعليمات الاستخدام.
• نظام إدارة الجودة (المادة 17) — سياسات وإجراءات وتعليمات مكتوبة.
• تقييم المطابقة (المادة 43) — إجراء داخلي لمعظم أنظمة الملحق الثالث؛ وتقييم من طرف ثالث للبيومتريا ومنتجات منظّمة معيّنة.
• إعلان مطابقة الاتحاد الأوروبي ووسم CE (المادتان 47–48).
• التسجيل في قاعدة بيانات الاتحاد الأوروبي (المادة 49).
• المراقبة بعد الطرح في السوق (المادة 72) والإبلاغ عن الحوادث الخطيرة (المادة 73) — إلى سلطة مراقبة السوق.

المنشِرون — الأشخاص الطبيعيون أو الاعتباريون الذين يستخدمون نظام ذكاء اصطناعي تحت سلطتهم — تقع عليهم التزامات أخفّ لكنها حقيقية:

• استخدام النظام وفق التعليمات المقدّمة.
• إسناد الإشراف البشري إلى أشخاص يتمتعون بالكفاءة والتدريب والصلاحية اللازمة.
• المراقبة بحثًا عن الحوادث الخطيرة أو الأعطال والإبلاغ عنها بموجب المادة 73.
• يجب على منشِري القطاع العام وبعض منشِري القطاع الخاص إجراء تقييم أثر الحقوق الأساسية (FRIA) بموجب Article 27 — موثّقين حالة الاستخدام، والأشخاص المتأثرين، ومخاطر الضرر، وتدابير التخفيف.
• يجب على المنشِرين الذين يستخدمون الذكاء الاصطناعي لاتخاذ قرارات بشأن أشخاص طبيعيين إبلاغ أولئك الأشخاص (المادة 26(11)).

• 2 فبراير 2025 — دخول الممارسات المحظورة في المادة 5 حيز التنفيذ؛ والتزامات محو الأمية في الذكاء الاصطناعي (المادة 4).
• 2 أغسطس 2025 — دخول قواعد الذكاء الاصطناعي العام (GPAI) حيز التنفيذ؛ وتشغيل هيئات الحوكمة؛ وسريان العقوبات.
• 2 أغسطس 2026 — تطبيق التزامات الأنظمة عالية الخطورة بموجب الملحق الثالث.
• 2 أغسطس 2027 — تطبيق التزامات الخطورة العالية بموجب المادة 6(1) (مكوّنات السلامة للمنتجات الخاضعة لتشريع الملحق الأول).

• الممارسات المحظورة بموجب المادة 5 — تصل إلى 35 مليون يورو أو 7% من إجمالي الإيرادات السنوية العالمية (المادة 99(3)).
• عدم الامتثال لالتزامات AI Act الأخرى — تصل إلى 15 مليون يورو أو 3% من إجمالي الإيرادات السنوية العالمية (المادة 99(4)).
• تقديم معلومات غير صحيحة أو ناقصة أو مضلّلة إلى السلطات — تصل إلى 7.5 مليون يورو أو 1% من إجمالي الإيرادات السنوية العالمية (المادة 99(5)).
• الشركات الصغيرة والمتوسطة والشركات الناشئة — تُطبَّق الغرامات مع مراعاة جدواها الاقتصادية؛ وقد يُطبَّق حدّ أقصى بنسبة مئوية أدنى.