بیشتر مطالب درباره‌ی قانون هوش مصنوعی اتحادیه‌ی اروپا (AI Act) خود قانون را توضیح می‌دهند. این نوشته کار را توضیح می‌دهد: چه چیزی را فهرست کنید، چطور طبقه‌بندی کنید، چه شواهدی نگه دارید و با سیستم‌هایی که همین حالا در حال اجرا دارید چه کنید.
تقریباً همه‌ی سازمان‌ها اول سیاست‌نامه را می‌نویسند، چون سیاست‌نامه را می‌شود در یک اتاق نوشت. تعهدی که واقعاً گریبان‌گیر می‌شود طبقه‌بندی طبق ماده‌ی ۶ است، و چیزی را که فهرست نکرده‌اید نمی‌توانید طبقه‌بندی کنید.
فهرست همیشه از آنچه انتظار دارید طولانی‌تر است. انتظار داشته باشید هوش مصنوعی را در محصولات فروشندگانی پیدا کنید که آن‌ها را هوش مصنوعی به حساب نمی‌آوردید. در سیستم پیگیری متقاضیان استخدام دنبال غربالگر رزومه بگردید، در پلتفرم پرداخت دنبال مدل تشخیص تقلب، و در میز خدمات دنبال قابلیت خلاصه‌سازی‌ای که کسی روشنش کرده است.
کشف بهتر از اظهار است. تیم‌هایی که زیر فشار ضرب‌الاجل‌اند فهرست‌های ثبت را پر نمی‌کنند. هر چیزی که از طریق درگاه به یک مدل می‌رسد را می‌توان به‌طور خودکار شناسایی و فهرست کرد، و آن فهرست درست باقی می‌ماند.
چهار رده: ممنوع، پرریسک، ریسک محدود، ریسک حداقلی. فهرست موارد ممنوع کوتاه و مطلق است و شامل امتیازدهی اجتماعی، استنباط احساسات در محیط کار یا آموزش، و جمع‌آوری غیرهدفمند تصاویر چهره است.
پرریسک همان رده‌ای است که مردم دست‌کم می‌گیرند. هر چیزی که به‌طور جدی بر دسترسی به اعتبار، اشتغال، آموزش، مسکن، مراقبت سلامت یا خدمات عمومی اثر بگذارد در آن قرار می‌گیرد. خلاصه‌سازی که یک تصمیم‌گیرنده به آن تکیه می‌کند، معمولاً بیش از آنچه مالکش فکر می‌کند به این مرز نزدیک است.
طبقه‌بندی کار خط دوم (واحدهای ریسک و انطباق) است، نه تیمی که سیستم را ساخته است. نه به این دلیل که مهندسان صادق نیستند، بلکه چون هیچ‌کس کار خودش را در ردیفی طبقه‌بندی نمی‌کند که نُه ماه تعهد به آن اضافه می‌کند.
ماده‌ی ۱۴ نظارتی را الزامی می‌کند که واقعاً بتواند نتیجه را تغییر دهد. فردی که ساعتی ۲۰۰ مورد را تأیید می‌کند نظارت نیست، و صف تأییدی که به‌جای خروجی واقعی خلاصه‌ای از آن را نشان می‌دهد هم نظارت نیست.
آزمونی که ما به کار می‌بریم: آیا بازبین می‌توانست آن خطای مشخص را با آنچه به او نشان داده شد و در زمانی که داشت پیدا کند؟ اگر نه، آن کنترل وجود ندارد، هر چه سند فرایند بگوید.
شواهدی که یک هفته پیش از ممیزی جمع می‌شوند، شواهدی درباره‌ی همان هفته‌اند. اجراهای ارزیابی، کارت‌های مدل، سوابق حوادث و سوابق تأیید باید به‌عنوان محصول جانبی کار، خودشان به فهرست ثبت پیوست شوند.
آنچه یک ناظر ابتدا درخواست می‌کند: فهرست سیستم‌ها با مالکانشان، طبقه‌بندی ریسک و دلیل آن، و آخرین نتیجه‌ی ارزیابی. سپس طراحی نظارت انسانی، و گزارشی که نشان دهد این طراحی رعایت شده است.
همه‌چیز را متوقف نکنید. بر اساس میزان مواجهه اولویت‌بندی کنید: تعداد افراد متأثر، برگشت‌پذیری تصمیم، و اینکه آیا فردی آن را بازبینی می‌کند. موارد بالای این فهرست را اصلاح کنید و بقیه را مستند کنید.
سیستمی که بازبینی سالانه‌اش منقضی شده باید به‌طور خودکار قابل تعلیق باشد. بیشتر سازمان‌ها این قابلیت را خاموش نگه داشته‌اند، چون هیچ‌کس نمی‌خواهد کسی باشد که روشنش کرده است. این تصمیم متعلق به کمیته‌ی ریسک است و باید در صورت‌جلسه ثبت شود، نه اینکه یک مدیر پلتفرم در یک سه‌شنبه‌ی معمولی آن را بگیرد.
پنج گام این راهنما، از بالا به پایین. فهرست پیش از سیاست‌نامه می‌آید و دسته‌بندی پیش از هر چیزی که به آن وابسته است.
بیشتر گفت‌وگوهای نخست با نامه‌ی یک نهاد ناظر یا تاریخ جلسه‌ی هیئت‌مدیره آغاز می‌شوند، و همین‌ها مفیدند.
