مسئولیت ناشی از خسارت هوش مصنوعی بر عهده کیست؟

بهار برومند، کارشناس ارشد حقوق بین الملل و کارشناس حقوقی صنعت پرداخت / فرض کنیم بانکی برای اعتبارسنجی مشتریان خود از هوش مصنوعی استفاده می‌کند. سامانه، متقاضی دریافت تسهیلات را پرریسک تشخیص می‌دهد و بانک نیز بر همان اساس درخواست او را رد می‌کند. در آینده مشخص می‌شود ارزیابی انجام‌ شده اشتباه بوده و متقاضی از این تصمیم متحمل خسارت شده است. در چنین شرایطی، چه کسی مسئول جبران خسارت است؟ بانک، شرکت ارائه‌دهنده سامانه یا طراح آن؟

با گسترش استفاده از هوش مصنوعی در ابعاد مختلف زندگی و در طیف گسترده‌ای از مشاغل از جمله پزشکی، بانکداری، بیمه، صنعت پرداخت و خدمات حرفه‌ای، این پرسش دیگر چندان انتزاعی یا زاییده ذهن یک پرسشگر نیست.

موضوع زمانی پیچیده‌تر می‌شود که بدانیم  در برخی سامانه‌های هوشمند، خروجی صرفاً نتیجه اجرای دستورهای از پیش تعیین‌شده نیست و حتی طراح سامانه نیز ممکن است نتواند نتیجه‌ای را که در یک مورد خاص تولید می‌شود، با دقت پیش بینی کند.

با این حال، استقلال در تصمیم‌گیری به معنای استقلال حقوقی نیست. هوش مصنوعی در وضع فعلی، شخص مستقلی نیست که بتوان مسئولیت را مستقیماً بر عهده آن گذاشت.

پس سؤال اصلی این نیست که آیا هوش مصنوعی مسئول است یا خیر، بلکه باید دید خسارت ناشی از عملکرد آن به چه شخصی قابل انتساب است؟

در حقوق ایران هنوز قواعد ویژه و جامعی برای تعیین مسئولیت مدنی ناشی از هوش مصنوعی نداریم. بنابراین نقطه شروع، همان قواعد عمومی مسئولیت مدنی و مقررات اتلاف و تسبیب است. ماده ۱ قانون مسئولیت مدنی و مواد ۳۲۸، ۳۳۱ و ۳۳۲ قانون مدنی، مبانی اولیه بررسی مسئولیت و انتساب زیان را فراهم می‌کنند. مشکل آنجاست که برخلاف بسیاری از روابط متعارف، در اینجا ممکن است چند شخص در فاصله میان طراحی سامانه و ورود خسارت حضور داشته باشند.

البته فقدان مقررات اختصاصی مسئولیت مدنی به معنای بی‌توجهی نظام حقوقی ایران به موضوع هوش مصنوعی نیست. در سال ۱۴۰۳، سند ملی هوش مصنوعی جمهوری اسلامی ایران به تصویب شورای عالی انقلاب فرهنگی رسید. نکته قابل توجه آن است که در ماده ۵ این سند، تدوین لوایح قانونی لازم برای ایجاد زیرساخت‌های حقوقی مواجهه با مخاطرات هوش مصنوعی، از جمله تعیین مسئولیت‌پذیری فردی و اجتماعی هوش مصنوعی خودمختار، رعایت حریم خصوصی، پاسخگویی و عدم تبعیض پیش‌بینی شده است. همچنین سند بر تدوین استانداردهای ایمنی و امنیت سامانه‌های هوش مصنوعی تأکید دارد.

بنابراین، مسئله مسئولیت در این حوزه از نگاه سیاست‌گذار ایرانی دور نمانده است. با این تفاوت که سند مزبور، با وجود لازم‌الاجرا بودن در حدود مفاد خود، هنوز قواعد مشخصی برای تعیین شخص مسئول جبران خسارت، نحوه تقسیم مسئولیت یا چگونگی اثبات رابطه سببیت وضع نکرده و تدوین زیرساخت‌های قانونی مربوط را به آینده واگذار کرده است. از این رو، تا زمان وضع مقررات خاص، ناگزیر باید پاسخ را در قواعد موجود حقوقی جست‌وجو کرد.

فرض کنیم یک شرکت پرداخت برای شناسایی تراکنش‌های مشکوک از هوش مصنوعی استفاده می‌کند. سامانه، تراکنش‌های سالم یک پذیرنده را به اشتباه متقلبانه تشخیص می‌دهد و در پی آن، ارائه خدمات به پذیرنده محدود می‌شود.

اگر اشکال از طراحی سامانه باشد، مسئولیت شرکت ارائه‌دهنده فناوری مطرح می‌شود. اگر اطلاعات نادرستی در اختیار سامانه قرار گرفته یا شرکت پرداخت آن را خارج از حدود متعارف به کار برده باشد، مسئولیت بهره‌بردار اهمیت بیشتری پیدا می‌کند. حتی ممکن است سامانه صرفاً احتمال وقوع تقلب را اعلام کرده باشد، اما شرکت بدون بررسی بیشتر، نتیجه را قطعی تلقی و بر مبنای آن اقدام کرده باشد.

به همین دلیل، نمی‌توان از پیش گفت خسارت ناشی از هوش مصنوعی همیشه بر عهده سازنده یا استفاده‌کننده است. منشأ خطا، میزان اختیار هر یک از اشخاص، امکان پیشگیری از خسارت و رابطه سببیت باید در هر مورد بررسی شود.

در عین حال، استفاده از هوش مصنوعی نباید به راهی برای فاصله گرفتن از مسئولیت تبدیل شود. بانکی که اعتبارسنجی مشتریان را با کمک یک سامانه هوشمند انجام می‌دهد یا شرکت پرداختی که بر اساس خروجی یک الگوریتم درباره پذیرنده تصمیم می‌گیرد، همچنان ارائه‌دهنده خدمت است. واگذاری بخشی از فرایند تصمیم‌گیری به ماشین، به خودی خود تعهدات قانونی و قراردادی آن مجموعه را از میان نمی‌برد.

همین ملاحظه درباره استفاده حرفه‌ای از هوش مصنوعی نیز وجود دارد. پزشکی که از یک سامانه تشخیصی کمک می‌گیرد، نمی‌تواند هر نتیجه‌ای را بدون ارزیابی بپذیرد و در صورت وقوع خسارت، صرفاً به خطای سامانه استناد کند. میزان مسئولیت او نیز باید با توجه به استانداردهای مراقبت حرفه‌ای و شرایط تصمیم‌گیری سنجیده شود.

اتفاقاً یکی از نکات قابل توجه در قانون هوش مصنوعی اتحادیه اروپا (AI Act) همین مسئله است. در مورد سامانه‌های پرخطر مشمول مقررات مربوط، قانون صرفاً برای تولیدکننده تکلیف تعیین نکرده و بهره‌ بردار را نیز مکلف به رعایت الزاماتی در زمینه نظارت انسانی و کنترل عملکرد سامانه کرده است.

حال بخش دشوارتر ماجرا جایی است که نتیجه اشتباه است، اما علت آن به‌آسانی قابل تشخیص نیست.

در برخی موارد، رابطه میان اطلاعات ورودی و نتیجه نهایی چنان پیچیده است که توضیح دقیق اینکه سامانه چرا به یک نتیجه خاص رسیده، حتی برای متخصصان نیز آسان نیست.

این همان مسئله‌ای است که معمولاً از آن با عنوان «جعبه سیاه» یا Black Box  یاد می‌شود.

از نظر مسئولیت مدنی، اهمیت موضوع روشن است. زیان ‌دیده ممکن است بداند تصمیمی مبتنی بر هوش مصنوعی درباره او گرفته شده و از آن خسارت دیده است، اما چگونه باید ثابت کند دقیقاً چه نقصی در سامانه وجود داشته است؟ داده‌های آموزشی، سوابق عملکرد، نسخه نرم‌افزار و سایر اطلاعات فنی نیز معمولاً در اختیار تولیدکننده یا بهره‌بردار قرار دارد.

اگر از زیان‌دیده انتظار داشته باشیم برای مطالبه خسارت ابتدا ساز و کار درونی یک سامانه پیچیده را کشف و سپس خطای فنی آن را اثبات کند، در بسیاری از موارد مطالبه خسارت عملاً امکان پذیر نخواهد شد.

همین مسئله یکی از دلایل بازنگری در قواعد مسئولیت محصول در اتحادیه اروپا بوده است. در دستورالعمل جدید مسئولیت محصولات معیوب، نرم‌افزار و سامانه‌های هوش مصنوعی نیز در قلمرو مفهوم «محصول» قرار گرفته ‌اند. اهمیت موضوع در آن است که در این نظام مسئولیت، الزاماً نیازی به اثبات تقصیر یک برنامه ‌نویس مشخص نیست. عیب محصول، ورود خسارت و رابطه میان آن دو اهمیت پیدا می‌کند.

این مقررات به دشواری اثبات در فناوری‌های پیچیده نیز توجه کرده‌اند و در شرایط معینی، امکان تسهیل اثبات عیب یا رابطه سببیت را پذیرفته‌اند. برای حقوق ایران نیز شاید همین مسئله در آینده از وضع یک عنوان کلی به نام «مسئولیت هوش مصنوعی» مهم‌تر باشد؛ اینکه زیان‌دیده چگونه می‌تواند به اطلاعات لازم دسترسی پیدا کند و رابطه میان عملکرد سامانه و خسارت را اثبات کند.

گاهی تشخیص مسئولیت با ابهام بیشتری همراه می شود، زمانیکه نه تولیدکننده مرتکب تقصیر آشکاری شده و نه بهره‌ بردار، اما عملکرد غیرقابل پیش‌بینی سامانه موجب خسارت شده است.در این وضعیت، پرسش از اینکه «مقصر کیست؟» آرام‌آرام جای خود را به پرسش دیگری می‌دهد:

خطر این فناوری را چه کسی باید تحمل کند؟

آیا زیان باید بر عهده شخصی باقی بماند که هیچ نقشی در ایجاد آن نداشته، یا باید تمام یا بخشی از آن بر عهده کسی قرار گیرد که فناوری را ایجاد کرده، وارد فعالیت اقتصادی کرده و از منافع آن بهره می‌برد؟

در برخی کاربردهای پرخطر، پاسخ به این پرسش ممکن است قانون‌گذار را به سمت پذیرش مسئولیتی فراتر از تقصیر متعارف سوق دهد. البته در حقوق فعلی ایران نمی‌توان چنین مسئولیتی را بدون مبنای قانونی به عنوان یک قاعده عمومی پذیرفت، اما با افزایش استفاده از هوش مصنوعی، بعید است بتوان این پرسش را برای مدت طولانی بی‌پاسخ گذاشت.

دوگانه تصمیم‌گیری و مسئولیت

هوش مصنوعی قواعد مسئولیت مدنی را بی‌اعتبار نمی‌کند، اما تشخیص مسئول و اثبات رابطه میان رفتار و خسارت را دشوارتر می‌سازد.

در حقوق ایران، با وجود تصویب سند ملی هوش مصنوعی و پیش‌بینی ضرورت تدوین زیرساخت‌های قانونی مربوط به مسئولیت‌پذیری، هنوز برای تعیین مسئول جبران خسارت باید به قواعد عمومی مسئولیت مدنی، اتلاف و تسبیب، مسئولیت قراردادی و حسب مورد مقررات حمایت از مصرف‌کننده مراجعه کرد. لیکن در آینده، احتمالاً بیش از هر چیز به قواعد روشن‌تری درباره مسئولیت تولیدکننده و بهره‌بردار، دسترسی به اطلاعات فنی و نحوه اثبات خسارت نیاز خواهیم داشت.

برای بانک‌ها، شرکت‌های پرداخت و سایر بنگاه‌هایی که به‌تدریج بخشی از تصمیمات خود را به سامانه‌های هوشمند می‌سپارند، نتیجه عملی بحث چندان پیچیده نیست: واگذاری تصمیم به الگوریتم، لزوماً به معنای واگذاری مسئولیت نیست.

منابع

• ۱. قانون مدنی، مواد ۳۲۸، ۳۳۱ و ۳۳۲.
• ۲. قانون مسئولیت مدنی مصوب ۱۳۳۹، ماده ۱.
• ۳. سند ملی هوش مصنوعی جمهوری اسلامی ایران، مصوب ۲۹ خرداد ۱۴۰۳ شورای عالی انقلاب فرهنگی، به‌ویژه ماده ۵، بخش زیرساخت‌های حکمرانی.
• ۴. Regulation (EU) 2024/1689 (Artificial Intelligence Act)، به‌ویژه مواد ۱۴ و ۲۶.
• ۵. Directive (EU) 2024/2853 on Liability for Defective Products.
• ۶. Yavar Bathaee, “The Artificial Intelligence Black Box and the Failure of Intent and Causation,” Harvard Journal of Law & Technology, Vol. 31, No. 2, 2018.
• ۷. Miriam C. Buiten, “Product Liability for Defective AI,” European Journal of Law and Economics, Vol. 57, 2024, pp. 239–273.