Wprowadzenie do nowych przepisów
Rozporządzenie 2024/1689, zwane Aktem w sprawie sztucznej inteligencji, wprowadza jednolite ramy prawne w zakresie tworzenia i korzystania z systemów AI. Jest to pierwszy na świecie tak obszerny akt prawny, który ma na celu uregulowanie funkcjonowania systemów AI z poszanowaniem praw człowieka i zasad transparentności.
Unia Europejska przyjęła antropocentryczne podejście do regulacji, różniące się od bardziej rynkowego podejścia USA oraz silnie kontrolowanego przez rząd podejścia Chin.
Kogo dotyczą i kogo nie dotyczą nowe przepisy?
Akt będzie obowiązywał dostawców (producentów) systemów AI oraz podmioty je stosujące, niezależnie od ich siedziby (w Unii Europejskiej lub poza nią), pod warunkiem że wyniki ich działań są wykorzystywane w Unii Europejskiej.
Poza zakresem stosowania Aktu pozostają kwestie związane z bezpieczeństwem narodowym poszczególnych krajów, zastosowania AI w celach wojskowych, badania naukowe oraz działalność rozwojowa.
Akt nie wpływa również na zasady odpowiedzialności dostawców usług pośrednich określone w Akcie o Usługach Cyfrowych (DSA), ani nie narusza przepisów dotyczących ochrony danych osobowych, prywatności oraz poufności komunikacji.
Przepisy Aktu nie mają zastosowania do osób fizycznych korzystających z systemów AI wyłącznie w celach osobistych i niezwiązanych z działalnością zawodową.
Definicja systemów AI i ich klasyfikacja
Akt definiuje system AI jako system maszynowy, który działa z różnym poziomem autonomii, wykazuje zdolność adaptacji i generuje wyniki na podstawie danych wejściowych, takie jak predykcje, zalecenia czy decyzje. Te wyniki mogą wpływać na środowisko fizyczne lub wirtualne.
Systemy AI są klasyfikowane według poziomu ryzyka na cztery kategorie:
- Zakazane praktyki – systemy AI, których stosowanie jest zakazane ze względu na nieakceptowalny poziom ingerencji w prawa człowieka.
- Systemy wysokiego ryzyka – dozwolone pod surowymi warunkami.
- Systemy generujące ograniczone ryzyko.
- Systemy o minimalnym lub zerowym ryzyku.
Konsekwencje dla firm
Firmy muszą zwrócić szczególną uwagę na obowiązki związane z systemami AI wysokiego ryzyka, które są wykorzystywane w krytycznych obszarach, takich jak infrastruktura, edukacja, zatrudnienie, dostęp do podstawowych usług, ściganie przestępstw, zarządzanie migracją, wymiar sprawiedliwości oraz procesy demokratyczne.
Systemy te muszą być rejestrowane w unijnej bazie danych, a ich dostawcy muszą spełniać liczne wymagania dotyczące bezpieczeństwa i transparentności.
Akt wprowadza również zakaz korzystania z systemów AI stosujących techniki podprogowe, manipulacyjne lub wprowadzające w błąd oraz wykorzystujących słabości osób ze względu na wiek, niepełnosprawność, sytuację społeczną lub ekonomiczną. Zakazane są również praktyki scoringu obywateli oraz predykcyjnego ścigania przestępstw na podstawie profilowania.
Sporo miejsca poświęcono modelom AI ogólnego przeznaczenia, które mogą być wykorzystywane do szerokiego spektrum zadań. Modele te muszą spełniać szczególne wymagania dotyczące przejrzystości i bezpieczeństwa, zwłaszcza jeśli generują systemowe ryzyka.
- Nowe przepisy dotyczące AI wprowadzają kompleksowe obowiązki dla firm, co wymaga dokładnego zrozumienia i dostosowania się do nowych wymogów. Ważne będzie, aby przedsiębiorcy zrozumieli, które systemy AI są klasyfikowane jako wysokiego ryzyka oraz jakie konkretne obowiązki muszą spełniać, aby uniknąć surowych kar finansowych. Szczególna uwaga powinna być poświęcona ochronie danych i transparentności działań — skomentowała Anna Stępniewska, radca prawny, ekspert nowych technologii, członek zarządu w spółce Rzetelna Grupa.
Nadzór i kary za nieprzestrzeganie przepisów
Akt wprowadza unijny system zarządzania sztuczną inteligencją. Utworzona Europejska Rada ds. Sztucznej Inteligencji będzie odpowiedzialna za spójne i skuteczne stosowanie przepisów.
W jej skład wchodzą:
- przedstawiciele państw członkowskich UE,
- Europejski Inspektor Ochrony Danych jako obserwator
- oraz Urząd ds. AI, który nie posiada prawa głosowania.
Akt przewiduje również możliwość powołania doradczego forum technicznego i panelu naukowego.
Każde państwo członkowskie ma obowiązek wyznaczyć co najmniej jeden organ notyfikujący (przekazujący projekt rozporządzenia lub pomocy publicznej do koordynatora krajowego systemu notyfikacji norm i aktów prawnych) oraz co najmniej jeden organ nadzoru rynku, które będą pełniły rolę krajowych organów nadzorczych.
Organ notyfikujący będzie odpowiedzialny za ustanawianie i notyfikowanie jednostek oceniających spełnienie wymogów dotyczących systemów AI wysokiego ryzyka. Z kolei organ nadzoru będzie działał w tej materii ex post, monitorując zgodność systemów AI z przepisami.
Akt nakłada surowe sankcje za nieprzestrzeganie zakazów w zakresie AI.
Firmy mogą być ukarane administracyjną karą pieniężną w wysokości do 35 mln euro lub do 7% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.
W przypadku dostawców modeli AI ogólnego przeznaczenia, kary pieniężne za naruszenie określonych obowiązków mogą wynosić do 3% ich całkowitego rocznego światowego obrotu w poprzednim roku obrotowym lub 15 mln euro, również w zależności od tego, która z tych kwot jest wyższa.
Okresy przejściowe
Akt wchodzi w życie 1 sierpnia 2024 roku, jednak jego stosowanie rozpocznie się od 2 sierpnia 2026 roku.
Zakazy określonych praktyk wejdą w życie wcześniej, bo już 2 lutego 2025 roku, choć kary za ich naruszanie będą nakładane dopiero od 2 sierpnia 2025 roku.
Co to oznacza dla firm?
Dla firm nowe przepisy dotyczące sztucznej inteligencji oznaczają konieczność dostosowania się do surowych wymogów regulacyjnych. Ważne jest przeprowadzenie inwentaryzacji posiadanych systemów AI, ocena ich ryzyka oraz spełnienie odpowiednich wymogów dotyczących bezpieczeństwa, przejrzystości i ochrony praw człowieka.
Zrozumienie i wdrożenie nowych przepisów może stać się wyzwaniem, ale jest niezbędne dla zapewnienia zgodności z nowymi regulacjami i uniknięcia dotkliwych sankcji.
- Przepisy dotyczące AI wymagają od przedsiębiorców gruntownego audytu swoich systemów AI, aby spełnić surowe normy bezpieczeństwa i przejrzystości. Konieczne jest szybkie przystosowanie się do nowych regulacji, aby uniknąć znaczących kar finansowych. Istotne będzie również monitorowanie zgodności działań z przepisami na bieżąco, co może wymagać dodatkowych zasobów i wiedzy prawnej - dodała Anna Stępniewska.
