Unijny akt w sprawie sztucznej inteligencji (AI Act) może okazać się poważnym wyzwaniem dla przedsiębiorców

Dnia 12 lipca 2024 roku w Dzienniku Urzędowym Unii Europejskiej zostało opublikowane Rozporządzenie z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2114 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji).

Unijny akt w sprawie sztucznej inteligencji jest pierwszym na świecie kompleksowym zbiorem przepisów regulujących sztuczną inteligencję. Jego celem jest ustanowienie jednolitych ram prawnych, w szczególności w zakresie rozwoju, wprowadzania do obrotu, oddawania do użytku i wykorzystywania systemów sztucznej inteligencji.

Czym są systemy AI?

System AI oznacza system maszynowy, zaprojektowany do działania z różnym poziomem autonomii po jego wdrożeniu oraz który może wykazywać zdolność adaptacji po jego wdrożeniu, a także który – na potrzeby wyraźnych lub dorozumianych celów – wnioskuje, jak generować na podstawie otrzymanych danych wejściowych wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne. W konsekwencji jest to każdy system, który w jakikolwiek sposób wykorzystuje rozwiązania sztucznej inteligencji.

Kogo dotyczy AI Act?

AI Act zakłada wprowadzenie nowych obowiązków w szczególności dla następujących podmiotów:

• dostawców systemów AI,
• podmiotów stosujących systemy AI,
• importerów i dystrybutorów systemów AI,
• producentów, którzy wraz ze swoim produktem wprowadzają do obrotu lub oddają do użytku system AI opatrzony ich nazwą handlową lub znakiem towarowym,
• upoważnionych przedstawicieli dostawców niemających siedziby w Unii,
• osób, na które AI ma wpływ.

Ryzyko

AI Act wprowadza klasyfikacje systemów sztucznej inteligencji ze względu na poziom ryzyka związany z danym rodzajem ich zastosowania. Przypisanie ich do określonej grupy jest kluczowe, ponieważ wiąże się z różnymi rygorami regulacyjnymi. Im wyższy poziom ryzyka, tym więcej przewidziano obowiązków związanych z wprowadzaniem i stosowaniem AI. Wobec powyższego, wyróżnia się następujące rodzaje ryzyka:

• Nieakceptowalne, obejmujące w szczególności stosowanie technik podprogowych, scoring społeczny prowadzący do krzywdzącego lub niekorzystnego traktowania niektórych osób lub grup osób, rozpoznawanie emocji w miejscu pracy i w placówkach edukacyjnych (chyba że ze względów medycznych lub bezpieczeństwa), kategoryzację biometryczną osób w oparciu o dane biometryczne w celu ustalania ich rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub filozoficznych lub orientacji seksualnej. Stosowanie systemów AI, które stwarzają niedopuszczalne ryzyko jest zakazane;
• Wysokie, obejmujące między innymi systemy AI przeznaczone do wykorzystywania do celów rekrutacji lub wyboru osób fizycznych oraz do podejmowania decyzji wpływających na warunki stosunków pracy, decyzji o awansie lub rozwiązaniu stosunku pracy, przydzielania zadań w oparciu o indywidualne zachowanie lub cechy osobowości oraz do monitorowania lub oceny wydajności osób pozostających w takich stosunkach. Może to dotyczyć także niektórych systemów wymienionych w obszarach: biometrii, kształcenia i szkolenia zawodowego, dostępu do podstawowych usług prywatnych oraz podstawowych usług i świadczeń publicznych. Systemy AI wysokiego ryzyka będą podlegać ścisłym regulacjom;
• Ograniczone lub minimalne obejmuje większość stosowanych systemów AI. Działanie tych systemów najczęściej nie będzie ograniczone czy też obarczone dodatkowymi obowiązkam W przypadku niektórych systemów AI wprowadzono wymogi w zakresie przejrzystości. Ma to na przykład miejsce w przypadkach, gdy istnieje wyraźne ryzyko manipulacji. Ryzyko to obejmuje systemy takie jak chatboty, filtry antyspamowe, aplikacje z którymi związana jest obsługa sztucznej inteligencji.

Co będzie ważne?

• Kompetencje – zapewnienie, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się obsługą i użytkowaniem systemów AI w ich imieniu, z uwzględnieniem ich wiedzy technicznej, doświadczenia, wykształcenia i wyszkolenia oraz kontekstu, w którym systemy AI mają być użytkowane;
• Informowanie – w tym:
• informowanie dostawców (a także importerów lub dystrybutorów oraz odpowiednie organy nadzoru rynku) w przypadku poważnych incydentów,
• informowanie osób fizycznych o tym, że jest w odniesieniu do nich wykorzystywany system AI wysokiego ryzyka,
• informowanie przedstawicieli pracowników i pracowników, których to dotyczy, że będą objęci działaniem systemu AI wysokiego ryzyka w miejscu pracy,
• informowanie, że treści (obrazy, treści audio lub wideo stanowiące treści deepfake) zostały sztucznie wygenerowane lub poddane manipulacji;
• Środki techniczne i organizacyjne – w tym:
• podejmowanie odpowiednich środków technicznych i organizacyjnych przez podmioty stosujące systemy AI wysokiego ryzyka, aby zapewnić, że użytkują takie systemy zgodnie z dołączoną do nich instrukcją obsługi,
• wprowadzanie odpowiednich i skutecznych środków cyberbezpieczeństwa w celu ochrony bezpieczeństwa i poufności uzyskanych informacji i danych oraz usuwanie zgromadzonych danych,
• wdrożenie procedur testowania, badania i walidacji,
• postępowania wyjaśniające dotyczące poważnych incydentów i systemów sztucznej inteligencji,
• zapewnienie odpowiednich warunków do przetwarzania szczególnych kategorii danych osobowych;
• Współpraca z odpowiednimi organami.

Kary

Brak wywiązania się z obowiązków nałożonych przez AI Act przez odpowiednie podmioty będzie skutkował odpowiedzialnością finansową. Kary te mogą wynosić:

• do 35 000 000 euro lub – jeżeli sprawcą naruszenia jest przedsiębiorstwo – w wysokości do 7 % jego całkowitego rocznego światowego obrotu w przypadku nieprzestrzegania zakazu praktyk nieakceptowalnych,
• do 15 000 000 euro lub – jeżeli sprawcą naruszenia jest przedsiębiorstwo – w wysokości do 3 % jego całkowitego rocznego światowego obrotu w przypadku naruszeń obowiązków wynikających z AI Act.

Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające

Od kiedy?

Rozporządzenie będzie w pełni obowiązywać po dwóch latach od daty wejścia w życie, z tym, że część przepisów zacznie obowiązywać wcześniej. Zakazy związane z niektórymi sposobami stosowania AI będą obowiązywać już po 6 miesiącach, a przepisy, między innymi takie jak obowiązki dostawców modeli AI ogólnego przeznaczenia, część przepisów dotyczących kar, będą wdrażane po roku. Natomiast dłuższy termin (36 miesięcy od dnia wejścia w życie) dotyczy zasad klasyfikacji systemów AI wysokiego ryzyka i odpowiadających im obowiązków.

Jak się przygotować?

Unijny AI Act przewiduje nowe obowiązki w szczególności dla podmiotów opracowujących systemy sztucznej inteligencji lub zlecających ich opracowanie, jak również dla tych, które stosują, importują lub dystrybuują sztuczną inteligencję. W celu odpowiedniego przygotowania się do realizacji obowiązków wynikających z AI Act proponujemy:

• Określenie, które systemy AI są lub będą w użyciu oraz ich klasyfikacja;
• Weryfikacja, czy używane systemy AI spełniają odpowiednie zasady i są wykorzystywane do odpowiednich celów;
• Dostosowanie wykorzystywanych systemów do obowiązków związanych z systemami AI o określonym poziomie ryzyka;
• Ocena ryzyka związanego z użyciem AI, szczególnie w systemach o wysokim ryzyku;
• Przygotowanie nowych oraz ocena zgodności istniejących procedur z AI Act, w tym wprowadzenie mechanizmów monitorowania i audytu systemów AI;
• Szkolenie pracowników, w celu zapewnienia odpowiedniego poziomu kompetencji personelu,
• Przygotowanie niezbędnej dokumentacji;
• Opracowanie planu monitorowania systemów i przechowywania dzienników.