آزمایشگاهی که مصونیت نمی‌دهد؛ قواعد مشترک اروپا برای محیط‌های آزمون تنظیم‌گری هوش مصنوعی
آیین‌نامه اجرایی ۲۰۲۶/۲۴۸۷ کمیسیون اروپا روشن کرد که آزمایش زیر نظر تنظیم‌گر، نه مجوز ورود به بازار است و نه سپری در برابر مسئولیت مدنی.
اگر یک استارتاپ بخواهد سامانه هوش مصنوعی خود را پیش از عرضه به بازار، زیر چشم تنظیم‌گر آزمایش کند، این «آزمایش زیر نظر» دقیقاً چه چیزی به او می‌دهد؟ مجوز ورود به بازار؟ مصونیت از مسئولیت؟ یا فقط یک گفت‌وگوی رسمی و مستند با ناظر؟ این پرسش ساده به نظر می‌رسد؛ اما پاسخ آن تعیین می‌کند که «سندباکس تنظیم‌گری» ابزار واقعی نوآوری است یا فقط نامی خوش‌آهنگ برای یک فرایند اداری تازه.
کمیسیون اروپا در ۱۹ آبان ۱۴۰۵ (۱۰ نوامبر ۲۰۲۶) آیین‌نامه اجرایی شماره (EU) 2026/2487 را درباره ایجاد، اداره و نظارت بر محیط‌های آزمون تنظیم‌گری هوش مصنوعی تصویب کرد؛ متنی که روز بعد در روزنامه رسمی اتحادیه منتشر شد و از ۱۰ آذر ۱۴۰۵ (۱ دسامبر ۲۰۲۶) قابل اجراست. این آیین‌نامه بر پایه ماده ۵۸ قانون هوش مصنوعی اروپا صادر شده و قرار است جلوی آن را بگیرد که هر کشور عضو، سندباکس را به سلیقه خود تعریف کند.
۱. سندباکس، مجوز نیست
مهم‌ترین پیام این آیین‌نامه، به نظر من، همان چیزی است که صریحاً نفی می‌کند؛ ورود به سندباکس و خروج موفق از آن به معنای تأیید سامانه برای عرضه به بازار نیست و فرض انطباق با قانون هوش مصنوعی را هم ایجاد نمی‌کند. آنچه شرکت در پایان دریافت می‌کند، یک «گواهی کتبی» از فعالیت‌های انجام‌شده و یک «گزارش خروج» است؛ گزارشی که مسائل حقوقی بررسی‌شده، راه‌حل‌ها، رویه‌های توصیه‌شده و حوادث جدی را ثبت می‌کند و طبق گزارش‌های منتشرشده باید حداکثر ظرف ۴۵ روز کاری پس از پایان مشارکت به شرکت برسد. نهادهای نظارت بر بازار و نهادهای ارزیابی انطباق در سراسر اتحادیه باید این اسناد را «به‌طور مثبت» در نظر بگیرند تا ارزیابی بعدی سریع‌تر شود؛ اما جای ارزیابی انطباق را نمی‌گیرند! معتقدم این صراحت، هم امتیاز است و هم ضعف؛ امتیاز، چون انتظار نادرست ایجاد نمی‌کند؛ ضعف، چون انگیزه شرکت‌ها برای ورود به سندباکس را کم می‌کند، به‌ویژه وقتی مسیر استانداردهای هماهنگ می‌تواند فرض انطباق بدهد؛ موضوعی که پیش‌تر در یادداشت «استانداردی که جای جزئیات قانون را می‌گیرد» به آن پرداخته بودم.
۲. مصونیت از جریمه، نه از مسئولیت
قانون هوش مصنوعی اروپا در ماده ۵۷ پذیرفته است که اگر شرکت‌کننده برنامه سندباکس را رعایت کند و با حسن نیت از راهنمایی مقام ناظر پیروی کند، به خاطر نقض همین قانون جریمه اداری نمی‌شود؛ و اگر مراجع ناظر بر قوانین دیگر هم فعالانه در نظارت مشارکت داشته باشند، این حمایت به آن قوانین نیز می‌رسد. اما مسئولیت در برابر اشخاص ثالث سر جای خود باقی است؛ یعنی اگر آزمایش در شرایط واقعی به کسی زیان بزند، شرکت مطابق قواعد عام مسئولیت مدنی پاسخ‌گوست. آیین‌نامه جدید این تفکیک را تغییر نداده و، بنا بر تحلیل‌های منتشرشده، هیچ الزامی هم برای بیمه مسئولیت پیش‌بینی نکرده است. به نظر من این همان نقطه‌ای است که منتقدان درست انگشت روی آن گذاشته‌اند؛ استارتاپی که توان حقوقی محدودی دارد، برای آزمایش در حوزه‌های پرریسک مثل سلامت یا استخدام، با ریسکی روبه‌روست که سندباکس از آن نمی‌کاهد.
۳. برنامه سندباکس؛ سندی که حدود حمایت را تعیین می‌کند
در عمل، قلب این نظام «برنامه سندباکس» است؛ سندی که اهداف، فعالیت‌ها، زمان‌بندی، مسئولیت‌ها، هزینه‌ها، تعهدات قانونی مورد آزمون، تدابیر مدیریت ریسک و روش گزارش حوادث جدی را مشخص می‌کند. تغییر آن فقط با توافق دو طرف ممکن است و مقام ناظر می‌تواند در صورت نقض شرایط یا وجود خطر جدی و غیرقابل‌کنترل برای سلامت، ایمنی یا حقوق بنیادین، آزمایش را تعلیق کند. نکته‌ای که وکلای شرکت‌ها نباید از آن غافل شوند، قاعده افشاست؛ طبق گزارش‌ها، اطلاعات سندباکس قابل افشا فرض می‌شود مگر آنکه در برنامه محرمانه اعلام شده باشد. بنابراین معتقدم تنظیم این برنامه یک کار حقوقی جدی است، نه پر کردن یک فرم اداری؛ هر آزمایشی که در برنامه نیامده باشد، ممکن است بیرون از چتر حمایتی بماند.
۴. دسترسی رایگان استارتاپ‌ها و خطر «انتخاب آسان‌گیرترین ناظر»
آیین‌نامه برای شرکت‌های کوچک و متوسط، از جمله استارتاپ‌ها، دسترسی اولویت‌دار و رایگان پیش‌بینی کرده است، مگر در هزینه‌های استثنایی که باید از قبل اعلام شود؛ دیگر شرکت‌ها ممکن است هزینه واقعی خدمات را بپردازند. معیارهای انتخاب هم یکسان شده‌اند: نیاز واقعی به حل یک چالش تنظیمی، امکان یادگیری تنظیمی، نفع عمومی، بلوغ طرح و نوآورانه بودن سامانه. شرکت‌ها حتی می‌توانند در کشور عضوی غیر از محل استقرار خود درخواست بدهند و شرکت‌های غیراروپایی نیز با معرفی نماینده مجاز در اتحادیه امکان مشارکت دارند. همین آزادی انتخاب، نگرانی‌ای را که برخی پژوهشگران «آربیتراژ سندباکس» نامیده‌اند جدی می‌کند؛ یعنی رفتن به سراغ ناظری که سهل‌گیرتر است. پاسخ آیین‌نامه، معیارهای مشترک و الگوهای واحد است؛ اینکه در عمل کافی باشد یا نه، تازه پس از نخستین دوره‌ها معلوم می‌شود. یادآوری این نکته هم لازم است که مهلت راه‌اندازی دست‌کم یک سندباکس ملی در هر کشور عضو، از ۱۱ مرداد ۱۴۰۵ (۲ اوت ۲۰۲۶) به ۱۱ مرداد ۱۴۰۶ (۲ اوت ۲۰۲۷) عقب رفته است.
۵. داده‌های شخصی؛ دری که فقط نیمه‌باز است
بسیاری تصور می‌کنند سندباکس یعنی آزادی استفاده از داده؛ اما چنین نیست. قانون هوش مصنوعی استفاده دوباره از داده‌های شخصیِ قانونی‌گردآوری‌شده را در سندباکس فقط برای سامانه‌هایی پذیرفته که در چند حوزه محدودِ نفع عمومی مهم ساخته می‌شوند، از جمله سلامت و امنیت عمومی، محیط زیست، پایداری انرژی، ایمنی حمل‌ونقل و زیرساخت‌ها و کارایی اداره عمومی؛ آن هم با شروطی مانند اثبات ناکافی بودن داده ناشناس یا مصنوعی، نگهداری در محیطی جدا و حذف داده در پایان آزمایش. آیین‌نامه جدید فقط از برنامه سندباکس می‌خواهد مشخص کند که داده شخصی پردازش می‌شود یا نه و آیا مرجع حفاظت از داده باید مشارکت کند؛ و بنا بر گزارش‌ها، پیشنهاد ناظر اروپایی حفاظت از داده برای جزئیات بیشتر در متن نهایی نیامده است. به نظر من این سکوت، بار تشخیص مبنای قانونی پردازش را کاملاً بر دوش شرکت می‌گذارد.
۶. درس‌هایی برای ایران
نخستین درس این است که سندباکس بدون مبنای قانونی روشن، بیشتر یک «تفاهم‌نامه» است تا یک نهاد حقوقی؛ تجربه اروپا نشان می‌دهد که حتی با وجود قانون مادر، باز هم برای مشخص کردن معیار پذیرش، مدت، تعلیق، افشا و ارزش حقوقی گزارش خروج، به یک آیین‌نامه مفصل نیاز بوده است. تا جایی که بنده اطلاع دارم، در ایران تجربه‌هایی از محیط آزمون نوآوری در حوزه فین‌تک مطرح شده و بنا بر گزارش‌های خبری، سامانه‌ای برای صدور پروانه خدمات هوش مصنوعی نیز در سازمان تنظیم مقررات فعال شده است؛ اما هنوز چارچوب جامعی که بگوید آزمایش زیر نظر ناظر چه آثاری دارد، دست‌کم در حد اطلاع بنده، شکل نگرفته است.
درس دوم، تفکیک دقیق «مصونیت از جریمه اداری» و «مسئولیت مدنی» است؛ اگر روزی چنین سازوکاری در ایران طراحی شود، باید از ابتدا روشن باشد که حسن نیت و رعایت برنامه، فرد را از کدام ضمانت اجرا معاف می‌کند و زیان‌دیده ثالث با چه سازوکاری، مثلاً بیمه اجباری، جبران خسارت می‌گیرد. درس سوم برای استارتاپ‌ها و وکلای آن‌هاست؛ قرارداد یا برنامه آزمون را جدی بگیرید، محرمانگی را از روز اول تعیین کنید و از «گزارش خروج» به‌عنوان سند اثباتی در اختلاف‌های بعدی استفاده کنید. و درس آخر برای دادگاه‌ها و داوران: گزارش رسمی یک آزمایش تحت نظارت، دلیل مهمی بر رعایت احتیاط متعارف است؛ اما معتقدم نباید آن را به گواهی بی‌تقصیری تبدیل کرد!
منابع: متن آیین‌نامه اجرایی (EU) 2026/2487 در EUR-Lex؛ Europalov، مشخصات و مقدمه آیین‌نامه؛ TechTimes، ۱۲ نوامبر ۲۰۲۶؛ Cloud Security Alliance، ۱۲ نوامبر ۲۰۲۶؛ MLex، ۱۲ نوامبر ۲۰۲۶؛ The Regulatory Review، ۲۸ مه ۲۰۲۶؛ زومیت، فعال شدن سامانه پروانه هوش مصنوعی
این یادداشت جنبه آموزشی دارد و جایگزین مشاوره حقوقی در پرونده‌های مشخص نیست.
