AI Act – rewolucja w regulacjach dot. sztucznej inteligencji w Unii Europejskiej

1 sierpnia 2024 r. wszedł w życie AI Act, pierwszy kompleksowy akt prawny Unii Europejskiej, który ma na celu uregulowanie wykorzystania sztucznej inteligencji (AI) w sposób harmonizujący z unijnymi wartościami. Choć główne przepisy zaczną obowiązywać dopiero 2 sierpnia 2026 r., ustawodawca unijny wprowadził przepisy przejściowe, które stopniowo przygotowują podmioty na wdrożenie nowych regulacji.

Kluczowe Daty

AI Act, czyli europejskie rozporządzenie regulujące kwestie związane z korzystaniem z systemów sztucznej inteligencji, zostało przyjęte 13 czerwca 2024 roku. Proces jego wdrażania jest jednak rozłożony w czasie, aby umożliwić podmiotom stosującym AI przystosowanie się do nowych wymogów prawnych. Kluczowe daty obejmują:

2 lutego 2025 r. – zakaz zakazanych praktyk w zakresie AI

Pierwszym etapem wdrażania AI Act jest wprowadzenie przepisów dotyczących zakazanych praktyk. Od tej daty zabronione będą m.in.:

systemy wykorzystujące techniki manipulacyjne, wprowadzające w błąd lub działające poza świadomością użytkownika,
narzędzia wykorzystujące wrażliwe dane użytkowników do ich nieetycznego profilowania, np. na podstawie sytuacji ekonomicznej, wieku czy niepełnosprawności,
systemy AI służące do rozpoznawania emocji w miejscach pracy czy instytucjach edukacyjnych, z wyjątkiem przypadków, gdy mają zastosowanie medyczne lub dotyczą bezpieczeństwa.

Te przepisy mają na celu wyeliminowanie najbardziej niebezpiecznych zastosowań AI, które mogą prowadzić do poważnych naruszeń praw człowieka.

2 sierpnia 2025 r. – nadzór i regulacje dotyczące AI ogólnego przeznaczenia

Od tej daty wchodzą w życie przepisy ustanawiające:

zasady funkcjonowania organów nadzoru, które będą odpowiedzialne za monitorowanie przestrzegania AI Act,
regulacje dotyczące modeli AI ogólnego przeznaczenia, takich jak systemy wykorzystywane w tworzeniu treści (np. tekstów, obrazów czy dźwięków), w tym obowiązek ich oznaczania jako sztucznie wygenerowanych.

Modele ogólnego przeznaczenia, ze względu na swoją szeroką dostępność i potencjalne zastosowania, stanowią szczególny obszar zainteresowania ustawodawcy.

2 sierpnia 2026 r. – pełne wdrożenie AI Act

To najważniejsza data w harmonogramie. Od tego dnia AI Act będzie stosowany w pełnym zakresie wobec systemów wysokiego ryzyka, jak i innych modeli AI. Przepisy wprowadzą kompleksowe wymagania wobec dostawców i użytkowników AI, takie jak:

obowiązek zapewnienia nadzoru człowieka nad działaniem AI,
prowadzenie odpowiednich rejestrów zdarzeń i raportowanie incydentów.

2 sierpnia 2027 r. – dodatkowe wymogi dla systemów wysokiego ryzyka

Niektóre przepisy, dotyczące systemów AI wysokiego ryzyka niewymienionych w załączniku III rozporządzenia, zaczną obowiązywać dopiero od tej daty. W ten sposób podmioty te otrzymają więcej czasu na przygotowanie się do wypełnienia dodatkowych wymogów.

Dlaczego harmonogram jest rozłożony w czasie?

Harmonogram wdrożenia AI Act został rozłożony na kilka lat, aby umożliwić wszystkim zainteresowanym podmiotom odpowiednie przygotowanie do nowych obowiązków. Rozporządzenie wprowadza kompleksowe regulacje, które obejmują różnorodne aspekty funkcjonowania systemów sztucznej inteligencji – od zakazanych praktyk, przez nadzór nad systemami, po specyficzne wymagania dla systemów wysokiego ryzyka i modeli AI ogólnego przeznaczenia. To zróżnicowanie wymaga od instytucji i przedsiębiorstw czasu na przystosowanie swoich procesów, struktur organizacyjnych i technologii do nowych wymagań.

Kluczowe powody etapowego wdrażania:

Złożoność regulacji

AI Act jest jednym z najbardziej kompleksowych aktów prawnych dotyczących sztucznej inteligencji na świecie. Reguluje zarówno techniczne aspekty działania systemów, jak i ich wpływ społeczny, etyczny oraz prawny. Tego rodzaju regulacja wymaga szczegółowego zrozumienia przez podmioty objęte przepisami, co w praktyce oznacza konieczność edukacji i wdrażania procedur w sposób stopniowy.

Czas dla organów nadzoru

Utworzenie i przeszkolenie organów nadzorujących, które będą odpowiedzialne za egzekwowanie przepisów, to kluczowy element wdrożenia AI Act. Organy te muszą opracować wytyczne, wdrożyć systemy monitorowania oraz stworzyć procedury zgłaszania naruszeń, co wymaga czasu i zasobów.

Przepisy dotyczące zakazanych praktyk zaczną obowiązywać wcześniej (od lutego 2025 r.), ponieważ są one kluczowe z perspektywy ochrony społeczeństwa przed najpoważniejszymi zagrożeniami związanymi z AI.

Wprowadzenie bardziej złożonych wymagań dla systemów wysokiego ryzyka i organów nadzoru przewidziano na późniejszy etap (od sierpnia 2025 r. i sierpnia 2027 r.).

Adaptacja technologiczna i biznesowa

Przedsiębiorstwa wykorzystujące AI muszą wprowadzić zmiany w swoich systemach i procesach. Dla wielu firm może to oznaczać konieczność:

Modyfikacji obecnych systemów AI w celu dostosowania ich do nowych standardów.
Zmiany sposobu przetwarzania danych i dokumentowania procesów związanych z AI.
Uzyskania certyfikacji, jeśli wykorzystują systemy wysokiego ryzyka.

Harmonogram daje czas na przeprowadzenie tych działań bez gwałtownych zakłóceń w działalności gospodarczej.

Unikanie negatywnych skutków dla innowacji

Unijny ustawodawca starał się znaleźć równowagę między regulowaniem sztucznej inteligencji a wspieraniem innowacji. Stopniowe wprowadzanie przepisów pozwala na:

Uniknięcie sytuacji, w której zbyt szybkie wdrożenie regulacji mogłoby zniechęcić przedsiębiorstwa do rozwijania nowych technologii.

Umożliwienie dostosowania małym i średnim przedsiębiorstwom (MŚP), które mogą potrzebować więcej czasu i wsparcia, aby sprostać wymogom.

Konsultacje i dostosowanie wytycznych

W okresie przejściowym organy UE mogą przeprowadzać dodatkowe konsultacje z interesariuszami, aby dopracować szczegółowe wytyczne dotyczące wdrażania przepisów. To elastyczne podejście pozwala na identyfikację i rozwiązanie potencjalnych problemów, zanim przepisy staną się w pełni stosowane.

Budowanie świadomości społecznej

Rozporządzenie wymaga nie tylko od podmiotów prawnych, ale także od społeczeństwa, zrozumienia zasad związanych z używaniem AI. Wdrażanie przepisów etapami daje czas na przeprowadzenie kampanii informacyjnych i edukacyjnych, które pomogą użytkownikom końcowym świadomie korzystać z systemów AI.

Co reguluje AI Act?

AI Act (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689) to kluczowy dokument w europejskim porządku prawnym, który wprowadza ramy regulacyjne dla wykorzystania sztucznej inteligencji (AI) w Unii Europejskiej. Choć nie obejmuje wszystkich aspektów prawnych związanych z AI, koncentruje się na systemach, które mogą stwarzać największe ryzyko dla obywateli i społeczeństwa. Główne obszary, które reguluje AI Act, to:

Systemy wysokiego ryzyka

AI Act skupia się na systemach sztucznej inteligencji, które zostały uznane za wysokie ryzyko w kontekście ich wpływu na życie ludzi, gospodarkę i funkcjonowanie społeczeństwa. Do systemów wysokiego ryzyka, które są objęte najściślejszymi regulacjami, należą m.in.:

Sztuczna inteligencja w edukacji, tj. systemy wykorzystywane do oceny uczniów, rekomendacji dotyczących ścieżek kariery, personalizacji nauczania czy diagnozowania potrzeb edukacyjnych. AI Act nakłada wymogi dotyczące przejrzystości algorytmów, zapewnienia równości szans i eliminacji uprzedzeń, by zapobiec dyskryminacji uczniów.
Rekrutacja i zarządzanie pracownikami, tj. AI wykorzystywane w procesach rekrutacyjnych, ocenie pracowników, monitorowaniu ich wydajności czy analizie danych osobowych w miejscu pracy. Rozporządzenie nakłada obowiązki dotyczące sprawiedliwości, transparentności i odpowiedzialności, aby zapobiec dyskryminacyjnym decyzjom.
Biometria i rozpoznawanie twarzy, tj. systemy AI, które stosują biometrię, takie jak rozpoznawanie twarzy. Systemy te są objęte szczególnymi regulacjami. AI Act wprowadza rygorystyczne zasady stosowania takich technologii, szczególnie w kontekście ochrony prywatności obywateli. W niektórych przypadkach (np. w przestrzeni publicznej) wprowadza całkowity zakaz stosowania rozpoznawania twarzy, chyba że istnieją wyraźne uzasadnienia (np. w walce z terroryzmem).
Sektor zdrowia, transportu i inne krytyczne dziedziny. Przepisy AI Act obejmują także systemy sztucznej inteligencji wykorzystywane w branży zdrowia, transportu, bankowości czy energetyki, gdzie bezpieczeństwo, prywatność i ochrona praw obywateli są kluczowe. W takich sektorach AI musi być projektowana i wykorzystywana zgodnie z wysokimi standardami regulacyjnymi, aby minimalizować ryzyko.

Modele ogólnego przeznaczenia (General Purpose AI)

AI Act reguluje także modele ogólnego przeznaczenia (ang. General Purpose AI Models), które mogą być wykorzystywane w różnych dziedzinach i mają szerokie zastosowanie. Przykładem takich modeli są np. ChatGPT i inne duże modele językowe, które mogą być stosowane w różnych branżach, od obsługi klienta, przez tworzenie treści, po wspieranie badań naukowych.

Regulacje w przypadku tych systemów koncentrują się na:

Transparentności: użytkownicy muszą być świadomi tego, jak działają systemy AI, jakie dane są wykorzystywane oraz jakie mogą być skutki ich stosowania.
Odpowiedzialności: zgodnie z AI Act, firmy i organizacje wdrażające modele ogólnego przeznaczenia muszą zapewnić, że te systemy nie będą wykorzystywane w sposób, który może prowadzić do szkód, dezinformacji czy manipulacji.
Minimalizowaniu ryzyka szkodliwego wykorzystania: systemy ogólnego przeznaczenia AI mogą być wykorzystywane w szerokim zakresie – od generowania treści po interakcje z użytkownikami. Aby zminimalizować ryzyko nieetycznego wykorzystania takich technologii (np. wytwarzania fake newsów czy deepfake’ów), AI Act nakłada na dostawców odpowiedzialność za zapewnienie bezpiecznego i etycznego używania takich technologii.

Przepisy dotyczące monitorowania, audytu i oceny ryzyka

AI Act nakłada obowiązki na organizacje i instytucje, które wdrażają systemy AI, by przeprowadzały oceny ryzyka przed ich wdrożeniem i audytowały działanie tych systemów. Tylko te, które spełnią określone wymagania dotyczące przejrzystości, bezpieczeństwa, ochrony prywatności i sprawiedliwości, mogą zostać wprowadzone do użytku.
Organizacje muszą także zapewnić ciągłe monitorowanie i audyt systemów AI, by zapobiegać ewentualnym nieprawidłowościom, które mogą prowadzić do szkód.

Zasady dotyczące danych i ochrony prywatności

AI Act wprowadza przepisy, które mają na celu ochronę prywatności użytkowników i danych, na których opierają się systemy AI. Szczególną uwagę poświęca się zapewnieniu, że dane osobowe są zbierane, przetwarzane i przechowywane zgodnie z ogólnymi zasadami ochrony danych osobowych, takimi jak Rozporządzenie o Ochronie Danych Osobowych (RODO).

Dotyczy to m.in. zabezpieczenia danych wykorzystywanych przez systemy AI, minimalizacji ryzyka nieuprawnionego dostępu do nich oraz zapewnienia przejrzystości w zakresie ich wykorzystania.

Przepisy dotyczące współpracy międzynarodowej i egzekwowania prawa

AI Act kładzie także duży nacisk na współpracę międzynarodową w zakresie tworzenia norm i standardów dla AI. Ponadto, rozporządzenie określa mechanizmy egzekwowania prawa na poziomie Unii Europejskiej, w tym tworzenie krajowych organów nadzorujących i mechanizmów sankcji dla firm, które nie przestrzegają wymogów prawnych.

Aspekty etyczne i społeczna odpowiedzialność

AI Act nie tylko koncentruje się na aspektach technicznych, ale także kładzie duży nacisk na kwestie etyki i społecznej odpowiedzialności w rozwoju i wdrażaniu systemów sztucznej inteligencji. Przepisy mają na celu zapewnienie, że AI jest wykorzystywana w sposób, który promuje wartości demokratyczne, szanuje prawa człowieka i nie stwarza zagrożenia dla wolności obywatelskich.

Choć AI Act nie obejmuje wszystkich zastosowań AI, jego główny nacisk położony jest na systemy wysokiego ryzyka oraz modele AI ogólnego przeznaczenia, które mogą mieć daleko idące konsekwencje społeczne i ekonomiczne. Regulacje te mają na celu zapewnienie, że sztuczna inteligencja jest stosowana w sposób odpowiedzialny, bezpieczny i etyczny, z poszanowaniem praw obywateli oraz z minimalizowaniem ryzyka nadużyć.

Zakazane praktyki w zakresie sztucznej inteligencji

Zgodnie z przepisami unijnego AI Act, określone praktyki wykorzystujące systemy sztucznej inteligencji zostały uznane za sprzeczne z unijnymi wartościami i zasadami ochrony podstawowych praw i wolności.

Manipulacja i techniki podprogowe

Zabronione jest wprowadzanie do obrotu lub wykorzystywanie systemów AI, które stosują techniki podprogowe, działające poza świadomością osób, a także manipulację mającą na celu celowe wprowadzenie w błąd. Praktyki te są uznane za nieakceptowalne, ponieważ mogą skutkować zmianą zachowań osób lub grup, w sposób, który ogranicza ich zdolność do podejmowania świadomych decyzji, prowadząc do działań, które w przeciwnym razie nie miałyby miejsca i mogą wyrządzić poważną szkodę.

Wykorzystywanie słabości osób w celu manipulacji

Zakazane jest stosowanie systemów AI, które wykorzystują szczególne słabości osób (np. z powodu wieku, niepełnosprawności, czy trudnej sytuacji ekonomicznej) w celu wywołania zmian w zachowaniu danej osoby. Tego typu manipulacja może prowadzić do poważnych szkód zarówno dla tej osoby, jak i dla innych osób. Przykładem może być celowe wpływanie na decyzje finansowe osób starszych, osób z ograniczonym dostępem do edukacji lub grup marginalizowanych społecznie.

Profilowanie do oceny ryzyka przestępczości

Zdecydowanie zakazane jest stosowanie systemów AI do oceny ryzyka popełnienia przestępstwa przez osoby fizyczne wyłącznie na podstawie ich profilu lub cech osobowościowych. Profilowanie tego typu może prowadzić do nieproporcjonalnych i nieuzasadnionych decyzji, które mogą stygmatyzować jednostki na podstawie ich osobistych cech lub przewidywań, a nie na podstawie rzeczywistych, weryfikowalnych faktów związanych z ich działalnością przestępczą.

Tworzenie baz danych do rozpoznawania twarzy

Zakazane jest tworzenie lub rozbudowywanie baz danych do rozpoznawania twarzy, zwłaszcza gdy wizerunki są pozyskiwane w sposób niekontrolowany (np. poprzez scrapowanie danych z internetu czy nagrań telewizji przemysłowej). Działania takie mogą naruszać prywatność osób i prowadzić do nieuzasadnionych ingerencji w ich życie prywatne.

Wykorzystywanie AI do oceny emocji w pracy lub edukacji

Systemy AI, które mają na celu ocenę emocji osób w miejscu pracy lub instytucjach edukacyjnych, zostały zakazane, chyba że ich zastosowanie jest związane z konkretnymi celami medycznymi lub zapewnieniem bezpieczeństwa. Takie techniki mogą naruszać prawa pracowników i uczniów, wprowadzając mechanizmy oceny, które mogą nie być adekwatne do rzeczywistego stanu emocjonalnego osoby.

Biometryczna kategoryzacja osób

Wprowadzenie systemów AI, które kategoryzują osoby na podstawie ich danych biometrycznych w celu wywnioskowania informacji na temat ich rasy, przekonań politycznych, religijnych, seksualnych czy innych osobistych cech, zostało zakazane. Takie praktyki mogą prowadzić do stygmatyzacji i dyskryminacji, co stanowi poważne naruszenie podstawowych praw człowieka.

Zdalna identyfikacja biometryczna w przestrzeni publicznej

Zakazane jest stosowanie systemów AI do zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej, z wyjątkiem sytuacji, gdy jest to absolutnie konieczne do celów takich jak:

Poszukiwanie ofiar uprowadzeń, handlu ludźmi lub wykorzystywania seksualnego,
Zapobieganie poważnemu zagrożeniu życia lub bezpieczeństwa fizycznego,
Lokowanie lub identyfikowanie osób podejrzanych o popełnienie przestępstw.

Tego typu identyfikacja musi odbywać się zgodnie z przepisami prawa krajowego, a jej wykorzystanie wymaga uprzedniego zezwolenia przez organ wymiaru sprawiedliwości lub inny niezależny organ administracyjny.

Powyższe zakazy mają na celu ochronę prywatności, wolności osobistych i podstawowych praw człowieka w kontekście rozwoju i wykorzystania technologii AI. Implementacja tych regulacji ma zapewnić, że systemy sztucznej inteligencji będą używane w sposób etyczny i zgodny z wartościami Unii Europejskiej.

Kary za naruszenia

Zgodnie z przepisami dotyczącymi kar i środków egzekwowania prawa w zakresie sztucznej inteligencji (AI), naruszenie zakazów określonych w Artykule 5 oraz innych przepisów, podlega administracyjnym karom pieniężnym. Przepisy te mają na celu zapewnienie skutecznego nadzoru i egzekwowania przestrzegania regulacji. Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające, a także uwzględniać specyfikę małych i średnich przedsiębiorstw (MŚP), w tym start-upów, biorąc pod uwagę ich sytuację ekonomiczną.

Kary za naruszenia zakazanych praktyk AI

Zgodnie z Artykułem 99, nieprzestrzeganie zakazu praktyk w zakresie AI, takich jak:

wprowadzanie do obrotu systemu AI z manipulacyjnymi technikami, które prowadzą do zmiany decyzji osoby w sposób szkodliwy,
wykorzystywanie AI do oceny ryzyka przestępstwa na podstawie profilowania,
tworzenie baz danych z obrazami twarzy,
zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej do ścigania przestępstw (w określonych warunkach),

może skutkować karą pieniężną w wysokości do 35 000 000 EUR lub do 7% całkowitego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, w zależności, która z tych kwot jest wyższa.

Kary za inne naruszenia przepisów

Za inne naruszenia, dotyczące przepisów nieobjętych Art. 5 (np. obowiązki dostawców, dystrybutorów, przedstawicieli, jednostek notyfikowanych), przewidziana kara wynosi:

do 15 000 000 EUR lub do 3% rocznego obrotu przedsiębiorstwa.

Kary za dostarczanie nieprawidłowych informacji

Dostarczanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub organom krajowym skutkuje karą do 7 500 000 EUR lub do 1% rocznego obrotu przedsiębiorstwa.

Zasady ustalania wysokości kary

Przy ustalaniu wysokości kary, organy będą brały pod uwagę szereg czynników, takich jak:

charakter i waga naruszenia,
liczba poszkodowanych osób oraz skala wyrządzonej szkody,
współpraca z organami krajowymi w celu usunięcia naruszenia,
wielkość operatora i jego udział w rynku,
korzyści finansowe osiągnięte z naruszenia.

Ulgi dla MŚP

Dla MŚP, w tym start-upów, przewidziano zmniejszenie wysokości kary w stosunku do dużych przedsiębiorstw. Wartość kary nie może przekroczyć określonych limitów procentowych lub kwotowych, dostosowanych do specyfiki mniejszych firm.

Systemy AI wysokiego ryzyka

Systemy sztucznej inteligencji (AI) wysokiego ryzyka, regulowane przez przepisy Unii Europejskiej, stanowią szczególną kategorię, która wymaga zwiększonej uwagi ze względu na potencjalne ryzyko, jakie niosą w kontekście bezpieczeństwa, praw podstawowych oraz ochrony danych osobowych. Z tego powodu, przepisy dotyczące systemów AI wysokiego ryzyka nakładają szereg obowiązków na podmioty je stosujące, aby zminimalizować ryzyko dla użytkowników i zapewnić odpowiedni nadzór nad ich działaniem.

Definicja systemów AI wysokiego ryzyka

System AI uznaje się za wysokiego ryzyka, jeżeli spełnia dwa warunki:

system jest przeznaczony do wykorzystania jako element produktu, który jest objęty unijnym prawodawstwem harmonizacyjnym, wskazanym w załączniku I do rozporządzenia, lub sam system AI jest takim produktem.
produkt, którego częścią jest system AI (lub sam system AI), podlega ocenie zgodności przez stronę trzecią w związku z jego wprowadzeniem do obrotu lub oddaniem do użytku, zgodnie z przepisami unijnego prawodawstwa harmonizacyjnego.

Systemy AI wysokiego ryzyka – załącznik III

Poza systemami AI, które spełniają powyższe warunki, za wysokiego ryzyka uznaje się także systemy wymienione w załączniku III. Zawiera on szczegółowy wykaz obszarów, w których systemy AI mogą być uznane za wysokiego ryzyka, w tym:

Biometria

Zdalna identyfikacja biometryczna: systemy AI wykorzystywane do identyfikacji osób na odległość, np. rozpoznawanie twarzy.
Kategoryzacja biometryczna: systemy przeznaczone do wykorzystywania do analizy wrażliwych cech biometrycznych, np. kategoryzowanie osób na podstawie cech twarzy.
Rozpoznawanie emocji: systemy AI wykorzystywane do rozpoznawania emocji na podstawie analizy twarzy, głosu czy innych zachowań.

Infrastruktura krytyczna

Zarządzanie infrastrukturą krytyczną: systemy AI wykorzystywane w procesach zarządzania takimi elementami jak sieci energetyczne, wodociągi, gazociągi czy systemy transportowe, które są kluczowe dla bezpieczeństwa państwa i społeczeństwa.

Kształcenie i szkolenie zawodowe

Systemy oceny i przyjęcia do instytucji edukacyjnych: systemy AI, które podejmują decyzje o przyjęciu osób do szkół, uczelni, czy o przydzielaniu miejsc w instytucjach szkolenia zawodowego.
Ocena efektywności kształcenia: systemy wykorzystywane do monitorowania postępów uczniów, oceny wyników nauczania, a także do wykrywania oszustw podczas testów.

Zatrudnienie i zarządzanie pracownikami

Rekrutacja: systemy AI używane w procesach rekrutacyjnych do analizy aplikacji, oceny kandydatów i podejmowania decyzji o zatrudnieniu.
Ocena wydajności i warunków pracy: systemy AI wykorzystywane do monitorowania efektywności pracowników, oceny ich zachowań, przyznawania awansów lub podejmowania decyzji o zakończeniu stosunku pracy.

Dostęp do usług publicznych i prywatnych

Ocena kwalifikowalności do świadczeń publicznych: systemy AI wykorzystywane przez administrację publiczną do oceny, kto jest uprawniony do korzystania z usług takich jak opieka zdrowotna, pomoc społeczna czy inne świadczenia.
Ocena zdolności kredytowej: systemy wykorzystywane do analizy zdolności kredytowej obywateli w instytucjach finansowych.
Ubezpieczenia i ocena ryzyka: systemy AI, które oceniają ryzyko i ustalają ceny ubezpieczeń zdrowotnych, na życie czy też ubezpieczeń komunikacyjnych.

Ściganie przestępstw

Ocena ryzyka przestępczości: systemy AI wykorzystywane przez organy ścigania do oceny, jakie jest prawdopodobieństwo, że osoba może stać się ofiarą przestępstwa lub popełni przestępstwo w przyszłości.
Profilowanie przestępcze: wykorzystanie AI do analizy cech osobowościowych i zachowań osób podejrzanych o przestępstwa w celu przewidywania ich działań.

Zarządzanie migracją i kontrola graniczna

Ocena ryzyka migracji i bezpieczeństwa: systemy AI wykorzystywane w celu analizy ryzyka związanego z migracją nieuregulowaną, zdrowiem publicznym oraz bezpieczeństwem osób przekraczających granicę.
Rozpatrywanie wniosków o azyl: systemy AI wykorzystywane przez organy państwowe do oceny wniosków o azyl oraz wydawania decyzji związanych z dokumentami pobytowymi.

Sprawowanie wymiaru sprawiedliwości i procesy demokratyczne

Wsparcie organów wymiaru sprawiedliwości: systemy AI wspomagające sądy w interpretacji prawa, ocenie dowodów i podejmowaniu decyzji w sprawach sądowych.
Wybory i referendum: wykorzystanie systemów AI w celu wpływania na wynik wyborów lub referendum, na przykład poprzez manipulację opinią publiczną lub analizę zachowań wyborców.

Obowiązki podmiotów stosujących systemy AI wysokiego ryzyka

W kontekście systemów AI wysokiego ryzyka, przepisy unijne nakładają na różne podmioty konkretne obowiązki w celu zapewnienia, że technologie te są stosowane zgodnie z normami bezpieczeństwa, etyki i ochrony praw osób fizycznych. Obowiązki te są rozdzielone na dwa główne rodzaje podmiotów: podmioty wprowadzające systemy AI do obrotu oraz podmioty stosujące te systemy.

Dostawcy systemów AI wysokiego ryzyka, w tym dystrybutorzy i importerzy, są zobowiązani do spełnienia szeregu wymagań, które zapewniają zgodność ich produktów z obowiązującymi regulacjami i standardami w Unii Europejskiej. Główne obowiązki obejmują:

Zgodność z wymaganiami rozporządzenia:
- Dostawcy muszą zapewnić, że ich systemy AI wysokiego ryzyka są zgodne z wymogami określonymi w odpowiednich częściach rozporządzenia (sekcja 2).
Identyfikacja dostawcy:
- W systemie AI lub, jeśli nie jest to możliwe, na jego opakowaniu lub w dokumentacji, dostawcy muszą podać swoją nazwę, zarejestrowaną nazwę handlową lub zarejestrowany znak towarowy oraz adres, pod którym można się z nimi skontaktować.
System zarządzania jakością:
- Dostawcy muszą wdrożyć system zarządzania jakością, który jest zgodny z wymaganiami określonymi w art. 17. System ten musi obejmować dokumentację, polityki, procedury i instrukcje, które umożliwiają zapewnienie zgodności produktów z regulacjami.
Dokumentacja i rejestry zdarzeń:
- Muszą prowadzić dokumentację związaną z produktem (art. 18) oraz przechowywać rejestry zdarzeń generowane automatycznie przez systemy AI wysokiego ryzyka, jeśli te znajdują się pod ich kontrolą (art. 19).
Procedura oceny zgodności:
- Zanim system AI wysokiego ryzyka trafi na rynek, musi przejść odpowiednią procedurę oceny zgodności (art. 43). Dostawcy muszą również sporządzić deklarację zgodności UE (art. 47) i umieścić oznakowanie CE na produkcie lub jego opakowaniu (art. 48).
Przechowywanie dokumentacji:
- Dokumentacja techniczna, system zarządzania jakością, deklaracja zgodności UE oraz inne istotne dokumenty muszą być przechowywane przez okres 10 lat po wprowadzeniu produktu do obrotu (art. 18).
Działania naprawcze:
- W przypadku wykrycia niezgodności z przepisami, dostawcy muszą podjąć odpowiednie działania naprawcze, takie jak wycofanie systemu z rynku, wyłączenie go z użytkowania lub poprawienie jego funkcjonalności (art. 20).
Współpraca z organami nadzoru:
- Dostawcy muszą współpracować z organami nadzoru rynku, przekazując informacje i dokumentację potwierdzającą zgodność systemu AI z przepisami (art. 21).
Zapewnienie dostępności i dostępność informacji:
- Produkty muszą spełniać wymogi dostępności, które są określone w dyrektywach UE dotyczących dostępności produktów i usług (dyrektywa 2016/2102 i 2019/882).

Ponadto dostawcy systemów AI wysokiego ryzyka muszą wdrożyć system zarządzania jakością, który jest kluczowym elementem zapewnienia zgodności z wymaganiami rozporządzenia. System ten musi obejmować m.in.:

Strategia zgodności regulacyjnej:
- Dostawcy muszą opracować i wdrożyć strategię, która zapewni, że ich systemy AI będą zgodne z obowiązującymi przepisami regulacyjnymi oraz procedurami oceny zgodności.
Procedury projektowe, kontrolne i weryfikacyjne:
- Należy zastosować odpowiednie techniki i procedury projektowe, kontrolne oraz weryfikacyjne, aby systemy AI były zgodne z wymaganiami i standardami jakości.
Procedury testowe i walidacyjne:
- Muszą zostać opracowane szczegółowe procedury badania, testowania i walidacji systemów AI, które będą stosowane przed, w trakcie i po rozwoju produktu, aby upewnić się, że spełniają one określone wymagania.
Zarządzanie danymi:
- Należy wdrożyć procedury zarządzania danymi, obejmujące ich zbieranie, analizowanie, przechowywanie oraz inne operacje związane z danymi wykorzystywanymi przez systemy AI.
Zarządzanie ryzykiem:
- System zarządzania ryzykiem musi obejmować identyfikację, ocenę i zarządzanie ryzykiem związanym z rozwojem i użytkowaniem systemów AI.
Monitorowanie po wprowadzeniu do obrotu:
- Należy ustanowić system monitorowania po wprowadzeniu produktu na rynek, aby śledzić jego działanie i zapewnić zgodność z wymaganiami regulacyjnymi przez cały okres użytkowania systemu AI (art. 72).

Dostawcy systemów AI wysokiego ryzyka muszą także przechowywać kompletną dokumentację dotyczącą systemu przez okres 10 lat od momentu wprowadzenia systemu na rynek. Dokumentacja ta powinna obejmować:

Dokumentacja techniczna:
- Wszelkie dokumenty dotyczące projektu, produkcji oraz funkcjonalności systemu AI, które potwierdzają, że produkt spełnia wymagania rozporządzenia.
Zgodność z systemem zarządzania jakością:
- Dokumentacja związana z systemem zarządzania jakością oraz ewentualnymi zmianami zatwierdzonymi przez jednostki notyfikowane.
Deklaracja zgodności UE:
- Deklaracja, że system AI spełnia wszystkie wymagania rozporządzenia, oraz inne decyzje lub dokumenty wydane przez jednostki notyfikowane.

Poza dokumentacją, także rejestry zdarzeń generowane automatycznie przez systemy AI wysokiego ryzyka muszą być przechowywane przez dostawców przez co najmniej 6 miesięcy. Obejmuje to wszelkie dane związane z operacjami, które mają wpływ na bezpieczeństwo i zgodność systemu.

W przypadku stwierdzenia, że system AI wysokiego ryzyka jest niezgodny z przepisami, dostawcy mają obowiązek podjąć działania naprawcze, takie jak wycofanie produktu z rynku, jego wyłączenie z użytku lub poprawienie funkcjonalności. Dodatkowo, muszą oni informować odpowiednie organy nadzoru rynku i współpracować w celu minimalizacji ryzyka.

W przypadku dostawców, którzy mają siedzibę poza Unią Europejską, muszą oni ustanowić upoważnionych przedstawicieli w Unii. Przedstawiciele ci będą odpowiedzialni za wykonywanie zadań związanych z zapewnieniem zgodności systemów AI z wymogami Unii Europejskiej.

Z kolei importerzy systemów AI wysokiego ryzyka mają obowiązek zapewnienia, że produkty wprowadzone na rynek Unii spełniają wszystkie wymagania rozporządzenia. Należy do nich:

Weryfikacja zgodności:
- Sprawdzenie, czy system AI przeszedł odpowiednią procedurę oceny zgodności, czy jest opatrzony wymaganym oznakowaniem CE i czy dołączona jest deklaracja zgodności UE.
Informowanie o niezgodności:
- Jeśli importer dowie się, że system jest niezgodny z wymaganiami, ma obowiązek powstrzymać się od wprowadzenia go na rynek.
Przechowywanie dokumentacji:
- Importerzy muszą przechowywać przez 10 lat dokumentację potwierdzającą zgodność produktów, w tym kopię deklaracji zgodności.
Współpraca z organami nadzoru rynku:
- Importerzy są zobowiązani do współpracy z odpowiednimi organami nadzoru rynku i podejmowania działań w przypadku wykrycia ryzyka.

Dystrybutorzy, którzy wprowadzają systemy AI wysokiego ryzyka na rynek, mają obowiązek zapewnienia, że systemy te:

Są zgodne z regulacjami:
- Dystrybutorzy muszą sprawdzić, czy produkt jest zgodny z wymogami przed wprowadzeniem go na rynek, w tym weryfikując obecność odpowiedniego oznakowania CE i deklaracji zgodności UE.
Dokumentacja i komunikacja z organami:
- Muszą przechowywać wymagane dokumenty przez 10 lat oraz współpracować z organami nadzoru rynku, jeśli istnieje ryzyko związane z produktem.

Obowiązki dostawców, importerów i dystrybutorów w ramach rozporządzenia dotyczącego AI mają na celu zapewnienie bezpieczeństwa, transparentności i odpowiedzialności przy wdrażaniu systemów AI wysokiego ryzyka w obrocie na rynku Unii Europejskiej.

Podmioty stosujące systemy AI wysokiego ryzyka, tj. organizacje, instytucje i osoby, które wykorzystują te systemy w praktyce (np. przedsiębiorstwa, organy administracji publicznej, szpitale), mają również szereg obowiązków. Ich zadaniem jest zapewnienie, że wykorzystywane systemy są bezpieczne, transparentne oraz nie narażają użytkowników na ryzyko.

Zastosowanie odpowiednich środków technicznych i organizacyjnych

Podmioty stosujące systemy AI wysokiego ryzyka muszą zapewnić, że systemy te będą wykorzystywane zgodnie z instrukcją obsługi dostarczoną przez producenta.
Wymagane działania:
- Wdrożenie odpowiednich procedur w celu monitorowania zgodności z instrukcją obsługi.
- Zastosowanie środków technicznych i organizacyjnych, które pomagają w prawidłowym i bezpiecznym funkcjonowaniu systemu.

Nadzór ze strony człowieka

Nadzór nad systemem AI wysokiego ryzyka powinien być sprawowany przez osoby fizyczne, które posiadają odpowiednie kompetencje, przeszkolenie i uprawnienia.
Wymagane działania:
- Zapewnienie, że osoby nadzorujące system AI mają wsparcie niezbędne do skutecznego nadzorowania jego działania.
- Zabezpieczenie odpowiednich szkoleń oraz procedur oceny kompetencji osób nadzorujących system.

Niezależność obowiązków

Obowiązki związane z zapewnieniem nadzoru człowieka i stosowaniem instrukcji obsługi nie ograniczają innych obowiązków wynikających z przepisów prawa unijnego i krajowego.
Wymagane działania:
- Podmiot stosujący system AI może organizować zasoby wewnętrzne zgodnie z własnymi potrzebami, ale musi spełniać także inne wymogi prawne, które mogą dotyczyć np. ochrony danych osobowych, ochrony prywatności czy bezpieczeństwa.

Adekwatność i reprezentatywność danych wejściowych

Podmioty stosujące systemy AI wysokiego ryzyka muszą zapewnić, aby dane wejściowe, nad którymi mają kontrolę, były adekwatne i reprezentatywne w stosunku do przeznaczenia systemu.
Wymagane działania:
- Monitorowanie jakości danych, które wchodzą do systemu.
- Upewnienie się, że dane są odpowiednio zróżnicowane i reprezentatywne, aby nie prowadziły do błędnych wyników.

Monitorowanie i informowanie dostawców

Podmioty stosujące systemy AI wysokiego ryzyka muszą monitorować działanie tych systemów i informować dostawców, jeśli zauważą, że używanie systemu może powodować ryzyko.
Wymagane działania:
- Regularne monitorowanie efektywności i bezpieczeństwa systemu.
- W przypadku wykrycia potencjalnych zagrożeń, niezwłoczne powiadomienie dostawcy oraz odpowiednich organów nadzoru rynku.

Przechowywanie rejestrów zdarzeń

Podmioty stosujące systemy AI wysokiego ryzyka muszą przechowywać rejestry zdarzeń generowane automatycznie przez te systemy przez co najmniej sześć miesięcy.
Wymagane działania:
- Gromadzenie i archiwizowanie rejestrów zdarzeń związanych z użytkowaniem systemu AI wysokiego ryzyka.
- Zapewnienie, że rejestry są dostępne w razie potrzeby, np. do audytu lub kontroli przez odpowiednie organy.

Informowanie pracowników

Podmioty stosujące systemy AI wysokiego ryzyka, będące pracodawcami, muszą informować swoich pracowników o wykorzystywaniu takich systemów w miejscu pracy.
Wymagane działania:
- Powiadomienie przedstawicieli pracowników oraz samych pracowników, w jaki sposób system AI będzie wykorzystywany.
- Przestrzeganie procedur informowania zgodnie z przepisami prawa unijnego i krajowego.

Rejestracja systemu AI wysokiego ryzyka

Podmioty stosujące systemy AI wysokiego ryzyka, będące organami publicznymi lub instytucjami Unii, muszą dokonać rejestracji tych systemów w odpowiednich bazach danych.
Wymagane działania:
- Zapewnienie, że systemy AI są zarejestrowane zgodnie z wymaganiami prawnymi.
- W przypadku braku rejestracji systemu w bazie, podmiot stosujący nie może go wykorzystywać.

Ocena skutków dla ochrony danych

Podmioty stosujące systemy AI wysokiego ryzyka muszą, jeśli to konieczne, przeprowadzić ocenę skutków dla ochrony danych osobowych.
Wymagane działania:
- Wykorzystanie informacji przekazanych przez dostawcę systemu AI w celu przeprowadzenia oceny skutków dla danych osobowych, zgodnie z art. 35 rozporządzenia (UE) 2016/679.

Zdalna identyfikacja biometryczna post factum

Jeśli system AI wysokiego ryzyka wykorzystywany jest do celów zdalnej identyfikacji biometrycznej post factum, podmiot stosujący musi uzyskać zgodę od organu wymiaru sprawiedliwości lub administracyjnego przed jego użyciem.
Wymagane działania:
- Uzyskanie zezwolenia na wykorzystanie systemu do identyfikacji biometrycznej, a w przypadku odmowy, wstrzymanie jego użycia.
- Ograniczenie stosowania takiego systemu tylko do niezbędnych przypadków związanych z prowadzonym postępowaniem.

Informowanie osób fizycznych

Podmioty stosujące systemy AI wysokiego ryzyka, które podejmują decyzje dotyczące osób fizycznych, muszą informować te osoby o tym, że decyzje są podejmowane przy użyciu AI.
Wymagane działania:
- Powiadomienie osób fizycznych o wykorzystaniu systemu AI, szczególnie w kontekście podejmowania decyzji, które mogą wpływać na ich prawa.

Współpraca z organami nadzoru

Podmioty stosujące systemy AI wysokiego ryzyka są zobowiązane do współpracy z odpowiednimi organami nadzoru w celu zapewnienia przestrzegania przepisów dotyczących sztucznej inteligencji.
Wymagane działania:
- Współpraca z organami nadzorczymi w zakresie wszelkich działań dotyczących systemów AI wysokiego ryzyka, zapewniając ich zgodność z przepisami.

Zmiana przeznaczenia systemu AI a status dostawcy systemu AI wysokiego ryzyka

Zgodnie z regulacjami dotyczącymi sztucznej inteligencji (AI) w Unii Europejskiej, bardzo ważnym aspektem jest ścisłe monitorowanie zmiany przeznaczenia systemu AI, który wcześniej nie był uznawany za system wysokiego ryzyka, ale po zmianie jego funkcji może taki status uzyskać. Z tego powodu zmiana przeznaczenia systemu AI wiąże się z dodatkowymi obowiązkami dla podmiotu, który decyduje się na tę zmianę.

Jeśli system AI, który wcześniej nie był klasyfikowany jako wysokiego ryzyka, ulega zmianie, na przykład poprzez dodanie nowych funkcji, które zwiększają jego potencjalne ryzyko (np. dodanie funkcji rozpoznawania emocji u ludzi), to w wyniku tej zmiany system może zostać zakwalifikowany jako system AI wysokiego ryzyka.

Przykład:

System AI bez funkcji rozpoznawania emocji, który służył tylko do analizy tekstu, może początkowo nie kwalifikować się jako system wysokiego ryzyka.
Jeśli jednak system zostanie zmodyfikowany poprzez dodanie algorytmu rozpoznawania ludzkich emocji, może to stanowić zwiększone ryzyko związane z ochroną prywatności, potencjalną manipulacją emocjami użytkowników, a także błędną klasyfikacją emocji, co może prowadzić do poważnych konsekwencji prawnych lub etycznych. W takim przypadku system AI będzie klasyfikowany jako system wysokiego ryzyka i podlegać wymogom określonym dla takich systemów.

Przepisy o sztucznej inteligencji w Polsce – projekt ustawy

W odpowiedzi na wyzwania związane z regulowaniem sztucznej inteligencji, 16 października 2024 roku Ministerstwo Cyfryzacji opublikowało projekt ustawy o systemach sztucznej inteligencji. Celem tego projektu jest umożliwienie implementacji przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji na poziomie krajowym. Nowa ustawa ma zapewnić zgodność prawa polskiego z unijnymi regulacjami oraz wprowadzić mechanizmy nadzoru i kontroli nad systemami AI, szczególnie tymi, które uznawane są za wysokiego ryzyka.

Projekt ustawy wprowadza szereg rozwiązań, które mają na celu zorganizowanie nadzoru nad sztuczną inteligencją oraz stworzenie ram prawnych dla jej wdrażania i monitorowania w Polsce.

Powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI)

Jednym z kluczowych elementów projektu jest ustanowienie nowego organu – Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. KRiBSI ma pełnić rolę kolegialnego ciała nadzorczego, odpowiedzialnego za monitorowanie rozwoju AI w Polsce. Komisja ta będzie miała szeroki zakres kompetencji, w tym możliwość współpracy z innymi organami nadzoru, w tym z Komisją Nadzoru Finansowego (KNF), co ma umożliwić koordynację działań w zakresie AI, zwłaszcza w obszarze finansów.

Rada Społeczna ds. AI

Projekt przewiduje także powołanie Rady Społecznej ds. Sztucznej Inteligencji, która będzie organem opiniodawczym. Rada ma zapewnić konsultacje społeczne w zakresie rozwoju i stosowania sztucznej inteligencji, w tym wypracowywanie rekomendacji dotyczących etycznych, społecznych i technologicznych aspektów wdrażania AI w różnych dziedzinach życia społecznego i gospodarczego.

Interpretacje i rekomendacje

KRiBSI ma mieć uprawnienia do wydawania zarówno ogólnych interpretacji prawnych, jak i indywidualnych dla przedsiębiorstw i instytucji wykorzystujących sztuczną inteligencję. Ponadto, organ ten będzie mógł opracowywać rekomendacje najlepszych praktyk dotyczących wdrażania systemów AI, aby zapewnić ich zgodność z wymaganiami prawnymi oraz zapewnienie bezpieczeństwa i etyczności ich działania.

Skargi i sankcje administracyjne

Projekt ustawy przewiduje mechanizmy, które pozwolą na składanie skarg na naruszenia przepisów dotyczących AI, szczególnie w przypadku praktyk, które zostaną uznane za niezgodne z prawem. Dodatkowo, wprowadzone zostaną kary administracyjne za nieprzestrzeganie przepisów zawartych w Akcie o sztucznej inteligencji, co ma działać jako środek odstraszający i zapewniający egzekwowanie norm prawnych.

Nadzór nad zgodnością systemów AI

Projekt ustawy wskazuje ministra właściwego do spraw informatyzacji jako organ odpowiedzialny za notyfikowanie jednostek oceniających zgodność systemów sztucznej inteligencji. Będzie to kluczowe dla zapewnienia, że systemy AI wdrażane na rynku polskim spełniają wymagania unijnych regulacji w zakresie bezpieczeństwa, transparentności oraz ochrony prywatności.

Projekt ustawy został skierowany do konsultacji społecznych, które trwały do 15 listopada 2024 roku. Celem tych konsultacji było zebranie uwag i opinii od różnych interesariuszy, w tym ekspertów branżowych, przedstawicieli sektora prywatnego, organizacji pozarządowych oraz obywateli. Po zakończeniu konsultacji, projekt zostanie dostosowany do uwag i ostatecznie przekazany do dalszego procedowania.

Projekt ustawy o systemach sztucznej inteligencji stanowi krok ku stworzeniu solidnych podstaw prawnych dla rozwoju AI w Polsce, w zgodzie z regulacjami unijnymi. Utworzenie nowych organów nadzoru, takich jak KRiBSI oraz Rada Społeczna ds. AI, ma na celu nie tylko monitorowanie i kontrolowanie technologii AI, ale także zapewnienie, że jej rozwój będzie odbywał się w sposób odpowiedzialny i zgodny z interesem społecznym. Implementacja takich przepisów będzie miała istotne znaczenie dla przyszłości wykorzystania sztucznej inteligencji w Polsce, szczególnie w kontekście rosnącego znaczenia tej technologii w różnych branżach.

Co dalej? Przyszłość i wyzwania związane z regulacją AI

Z biegiem czasu, regulacje dotyczące sztucznej inteligencji, szczególnie te, które dotyczą systemów AI wysokiego ryzyka, będą musiały ewoluować. Postęp technologiczny, zmiany społeczne oraz rozwój gospodarki cyfrowej niosą ze sobą nowe wyzwania, które mogą wymagać dostosowania lub rozszerzenia obecnych regulacji. Istnieje kilka kluczowych aspektów, które będą miały znaczenie w przyszłości regulacji AI, a także ważne kwestie związane z implementacją, monitorowaniem oraz dostosowywaniem prawa do rzeczywistego rozwoju technologii.

AI Act to pionierski krok w stronę transparentności i odpowiedzialnego wykorzystywania AI w UE. Komisja Europejska wspiera jego wdrażanie m.in. przez pakt na rzecz sztucznej inteligencji, zachęcając przedsiębiorstwa do dobrowolnego stosowania przepisów przed ich wejściem w życie. Kolejne lata przyniosą szczegółowe wytyczne i praktyczne standardy, które ułatwią przedsiębiorstwom dostosowanie się do nowych regulacji.

Wspólnota międzynarodowa uważnie obserwuje te działania, a AI Act może stać się wzorem dla podobnych regulacji w innych częściach świata.

Skorzystaj z naszej pomocy już dziś i uzyskaj wsparcie.

Masz więcej pytań? Zapraszamy do kontaktu