Zarządzanie zgodnością z AI

AI Act, czyli Rozporządzenie o sztucznej inteligencji Parlamentu Europejskiego i Rady (UE) 2024/1689, to pierwszy kompleksowy akt prawny regulujący zasady projektowania, wdrażania i wykorzystywania systemów sztucznej inteligencji w Unii Europejskiej. Jego celem jest ustanowienie bezpiecznych i przejrzystych ram prawnych, które umożliwiają rozwój AI przy jednoczesnym poszanowaniu praw podstawowych - w szczególności prawa do prywatności i ochrony danych osobowych. Rozporządzenie wprowadza system klasyfikacji ryzyka, zapewnia harmonizację przepisów w całej UE oraz wspiera innowacje, oferując jasne i przewidywalne reguły dla podmiotów rynkowych oraz zwiększając zaufanie społeczne do technologii AI.

AI Act wszedł w życie 1 sierpnia 2024 roku, jednak jego przepisy będą wdrażane etapowo aż do 2030 roku.

Kluczowe daty to:

• 02 lutego 2025 roku - początek stosowania zakazów (np. manipulacyjne AI, social scoring),
• 02 sierpnia 2025 roku - obowiązki dla modeli ogólnego przeznaczenia (GPAI) i organów nadzorczych,
• 02 sierpnia 2026 roku - zasadnicze rozpoczęcie stosowania Rozporządzenia.

Organizacje powinna zidentyfikować wszystkie systemy AI wdrożone przed 2 sierpnia 2026 roku oraz ocenić, czy po tej dacie planowane są ich istotne modyfikacje - może to bowiem skutkować obowiązkiem dostosowania ich do przepisów AI Act.

AI Act ma szeroki zakres zastosowania i obejmuje zarówno podmioty mające siedzibę w UE, jak i działające poza jej terytorium, o ile ich działania wywierają skutki w UE i obejmuje:

• Dostawców systemów AI i modeli ogólnego przeznaczenia, którzy wprowadzają je na rynek UE lub udostępniają do użytku,
• Firmy i organizacje z UE, które korzystają z systemów AI,
• Podmioty spoza UE, jeśli efekty działania ich systemów AI są wykorzystywane w UE,
• Importerów i dystrybutorów, odpowiedzialnych za wprowadzenie systemów AI na rynek UE,
• Producentów, którzy integrują AI ze swoimi produktami i oferują je pod własną marką,
• Przedstawicieli działających w imieniu firm spoza UE, jeśli są wyznaczeni do działania w Unii,
• Osoby fizyczne w UE, jeśli są objęte działaniem systemu AI - bezpośrednio lub pośrednio.

AI Act wprowadza podział systemów sztucznej inteligencji na cztery poziomy ryzyka. Celem jest dopasowanie wymagań prawnych do stopnia zagrożenia, jakie dany system może stwarzać dla ludzi i społeczeństwa - im wyższe ryzyko, tym bardziej rygorystyczne przepisy:

• Systemy AI zakazane - uznane za nieakceptowalne, np. z uwagi na stosowanie technik manipulacyjnych, oddziaływanie podprogowe lub prowadzenie oceny społeczne,
• Systemy AI wysokiego ryzyka - wymagają szczegółowej oceny zgodności, dokumentacji i nadzoru. Stosowane są m.in. w rekrutacji, zatrudnieniu, edukacji, ochronie zdrowia,
• Systemy AI ograniczonego ryzyka - wymagają poinformowania użytkownika, że korzysta z technologii AI (np. chatboty),
• Systemy AI minimalnego ryzyka - obejmują rozwiązania, które nie podlegają szczególnym obowiązkom, poza ogólnymi zasadami stosowania.

Dostawcy, czyli podmioty wprowadzające systemy AI do obrotu lub udostępniające je użytkownikom na terenie UE, są zobowiązani do spełnienia szeregu wymagań. Do ich kluczowych obowiązków należą:

• Zarządzanie ryzykiem - wdrożenie systemu zarządzania ryzykiem obejmującego cały cykl życia systemu AI, od etapu projektowania po jego wykorzystanie,
• Ocena zgodności - przeprowadzenie formalnych procedur oceny zgodności jeszcze przed udostępnieniem systemu na rynku,
• Dokumentacja techniczna - opracowanie i utrzymywanie kompleksowej dokumentacji technicznej zawierającej informacje o działaniu, przeznaczeniu oraz bezpieczeństwie systemu AI,
• Przejrzystość i informowanie użytkowników - zapewnienie, aby użytkownicy byli świadomi, że wchodzą w interakcję z systemem AI (np. chatbotem),
• Nadzór - prowadzenie monitoringu działania systemu po jego wdrożeniu, w tym reagowanie na zgłoszenia dotyczące zagrożeń lub nieprawidłowości,
• Zgłaszanie incydentów - obowiązek niezwłocznego informowania właściwych organów o incydentach lub naruszeniach przepisów związanych z funkcjonowaniem systemu.

Dostawcy systemów AI zakwalifikowanych jako wysokiego ryzyka są zobowiązani do spełnienia szeregu wymagań technicznych, organizacyjnych i prawnych, które mają na celu zapewnienie bezpieczeństwa, zgodności z przepisami i ochrony praw podstawowych. Do kluczowych obowiązków należą:

• Przeprowadzenie oceny zgodności oraz analizy ryzyka przed udostępnieniem systemu na rynku,
• Wdrożenie systemu zarządzania jakością, obejmującego cały cykl życia systemu AI,
• Opracowanie i utrzymywanie kompletnej dokumentacji technicznej oraz rejestracja systemu w centralnej unijnej bazie danych,
• Zapewnienie nadzoru człowieka nad funkcjonowaniem systemu oraz wdrożenie mechanizmów umożliwiających zrozumienie i wyjaśnienie podejmowanych decyzji,
• Spełnienie wymogów w zakresie cyberbezpieczeństwa oraz ochrony danych osobowych, w tym obowiązków wynikających z RODO, takich jak zasada minimalizacji danych, celowość i rozliczalność.

Spełnienie tych obowiązków jest warunkiem dopuszczenia systemu AI wysokiego ryzyka do użytku w UE.

Podmioty stosujące systemy AI czyli organizacje korzystające ze sztucznej inteligencji (np. pracodawcy w procesie rekrutacji lub instytucje finansowe stosujące AI do analizy ryzyka kredytowego), są zobowiązane do:

• weryfikacji zgodności systemu z przepisami AI Act, w szczególności pod kątem zakazu jego stosowania,
• stosowania się do wytycznych dostawcy systemu, obejmujących m.in. zasady konfiguracji, użytkowania i ograniczenia systemu,
• zapewnienia skutecznego nadzoru człowieka nad działaniem systemu, zwłaszcza tam, gdzie jego decyzje mogą znacząco wpływać na prawa lub obowiązki osób fizycznych,
• przeprowadzania oceny skutków dla ochrony danych (DPIA), jeśli system przetwarza dane osobowe,
• informowania osób, których dane dotyczą, o podejmowaniu wobec nich decyzji w sposób zautomatyzowany (np. w ramach profilowania), o ile może to mieć istotne skutki prawne lub podobnie doniosłe konsekwencje.

AI Act wprowadza szczególne wymagania wobec generatywnych modeli ogólnego przeznaczenia (GPAI), takich jak ChatGPT. Ich celem jest zwiększenie przejrzystości, odpowiedzialności oraz zgodności z przepisami prawa. Do głównych obowiązków dostawców tych modeli należą:

• Przejrzystość - użytkownik musi być jasno informowany, że ma do czynienia z treścią wygenerowaną przez sztuczną inteligencję,
• Zgodność z prawem - model nie może odtwarzać treści objętych prawem autorskim ani naruszać praw osób trzecich,
• Ocena zgodności i dokumentacja - konieczne jest opracowanie dokumentacji technicznej oraz zapewnienie zgodności modelu z wymogami rozporządzenia;
• Obowiązki w zakresie praw autorskich - dostawcy muszą udokumentować, jakie dane wykorzystano do trenowania modelu, w tym czy obejmowały one treści chronione prawem autorskim.

W przypadku modeli o znacznym wpływie systemowym („systemic GPAI”) mogą zostać nałożone dodatkowe obowiązki np. ocena ryzyka i mechanizmy zarządzania.

Tak, AI Act pośrednio wpływa na prawo autorskie, zwłaszcza w przypadku generatywnej sztucznej inteligencji. Nakłada na dostawców takich modeli obowiązek:

• ujawnienia informacji o zbiorach danych wykorzystywanych do trenowania modeli, w tym o tym, czy zawierają treści chronione prawem autorskim,
• zwiększenia przejrzystości, co ma ułatwić twórcom identyfikację ewentualnych naruszeń i dochodzenie swoich praw.

AI Act nie wprowadza jednak nowych przepisów z zakresu prawa autorskiego - wciąż obowiązują ogólne regulacje, w szczególności ustawa o prawie autorskim i prawach pokrewnych z 1994 roku. Rozporządzenie pełni funkcję uzupełniającą, nakładając na dostawców obowiązek ujawniania informacji o danych treningowych, co ułatwia twórcom egzekwowanie ich praw.

AI Act przewiduje wysokie kary administracyjne, zależne od rodzaju naruszenia i wielkości podmiotu. Sankcje mogą być nakładane zarówno na dostawców, jak i użytkowników systemów AI, a ich maksymalna wysokość wynosi:

• do 35 mln euro lub 7% rocznego obrotu - za najcięższe naruszenia, np. stosowanie zakazanych systemów AI (manipulacja, social scoring);
• do 15 mln euro lub 3% obrotu - za naruszenia dotyczące systemów wysokiego ryzyka (np. brak oceny zgodności, nadzoru, zabezpieczeń);
• do 7,5 mln euro lub 1% obrotu - za inne uchybienia, np. brak współpracy z organami nadzorczymi lub błędne informacje.

Kary będą ustalane proporcjonalnie, z uwzględnieniem m.in. skali naruszenia, czasu jego trwania i podejmowanych działań naprawczych.