AI Act – Pierwsza regulacja sztucznej inteligencji wchodzi w życie

Po blisko 3 latach, 21 maja 2024 r. Rada Europejska zatwierdziła AI Act - rozporządzenie, które reguluje kwestie związane ze sztuczną inteligencją. W sierpniu 2024 r., tj. zaledwie 20 dni od dnia publikacji w Dzienniku Urzędowym UE akt wejdzie w życie i uregulowanie kwestii AI w Unii Europejskiej stanie się (długo wyczekiwaną) rzeczywistością.

Unijne rozporządzenie w sprawie sztucznej inteligencji (AI Act) jest jednym z pierwszych na świecie, które w tak zaawansowany i kompleksowy sposób reguluje kwestie związane z korzystaniem i wprowadzaniem do obrotu sztucznej inteligencji. Nowe przepisy powinny zainteresować zarówno firmy technologiczne, jak i podmioty, które rozpowszechniają i wykorzystują AI na co dzień. Rozporządzenie ma zapewnić rozwój i promocję bezpiecznej sztucznej inteligencji oraz zminimalizować ryzyko wystąpienia nadużyć przy korzystaniu i rozwijaniu tej technologii.

Kogo dotyczy AI Act?

W uproszczeniu AI Act dotyczy w szczególności dostawców, importerów, dystrybutorów oraz użytkowników sztucznej inteligencji. Co istotne, przepisy obejmują również dostawców i użytkowników AI, którzy znajdują się poza UE, jeżeli wyniki działania sztucznej inteligencji są wykorzystywane w Unii.

Czym jest sztuczna inteligencja?

System AI został zdefiniowany jako “system maszynowy, który został zaprojektowany do działania z różnym poziomem autonomii po jego wdrożeniu oraz który może wykazywać zdolność adaptacji po jego wdrożeniu, a także który – na potrzeby wyraźnych lub dorozumianych celów – wnioskuje, jak generować na podstawie otrzymanych danych wejściowych wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne”.

Definicja posiada wiele nieostrych zwrotów, co w praktyce może powodować trudności w określeniu, czy dany system należy uznać za sztuczną inteligencję, czy też nie. W konsekwencji zakres stosowania przepisów może być znacznie szerszy niż to wygląda na pierwszy rzut oka. Pomocy w próbie lepszego zrozumienia definicji będzie trzeba szukać w decyzjach krajowych i unijnych organów, które będą dokonywać jej interpretacji na potrzeby prowadzonych postępowań.

Analiza ryzyka - clue do zrozumienia przepisów

AI Act wprowadza klasyfikację systemów sztucznej inteligencji z podziałem na kategorie w oparciu o poziom ryzyka, który wynika ze stosowania sztucznej inteligencji. Przypisanie konkretnej AI do odpowiedniej grupy jest kluczowe. W zależności od klasyfikacji, przedsiębiorcy będą musieli spełnić odpowiednie obowiązki, aby móc wprowadzać, rozpowszechniać lub korzystać z systemu. Im wyższy poziom ryzyka, tym więcej przewidziano obowiązków związanych z wprowadzeniem i stosowaniem AI.

W przypadku najbardziej ryzykownych systemów, będziemy mieć do czynienia nawet z zakazem ich stosowania. 

Poniżej prezentujemy kategorie wraz z przykładowymi systemami sztucznej inteligencji:

• kategoria niskiego (ograniczonego) ryzyka:

  • chatboty;

  • systemy manipulujące treściami audio / video (systemy “deepfake”);

• kategoria wysokiego ryzyka:

  • systemy używane przy rekrutacji;
    

  • systemy nadzoru pracowników;

  • systemy wykorzystywane w celu oceny zdolności kredytowej;

• kategoria niedopuszczalnego ryzyka (zakazane AI):

  • systemy, które stosują techniki podprogowe (manipulacje) w celu modyfikacji lub zniekształcenia zachowania człowieka, np. w reklamie lub sprzedaży;

  • systemy, które wykorzystują ludzkie słabości w celu zniekształcenia ich zachowania (np. wiek);

  • systemy, które dokonują oceny działań ludzi (tzw. scoring).

Powyższa przykładowa lista stanowi jedynie ogólny pogląd klasyfikacji systemów AI. Ze względu na szeroką definicję sztucznej inteligencji, każdorazowo przedsiębiorcy będą musieli zdecydować, czy i do jakiej kategorii należy zakwalifikować stosowane przez nich algorytmy.

W przypadku niskiego (ograniczonego) ryzyka, dostawcy będą musieli między innymi zapewnić odpowiedni poziom transparentności – osoby fizyczne korzystające z tych AI będą musiały być poinformowane, że system z którego korzystają jest sztuczną inteligencją.

W przypadku kategorii wysokiego ryzyka, aby móc korzystać z AI będzie trzeba spełnić szereg wymogów, w tym przeprowadzić analizę i ocenę przewidywanych zagrożeń, czy też wdrożyć system zarządzania ryzykiem związanym z AI. Z kolei w zakresie kategorii niedopuszczalnego ryzyka przewidziano wyjątki, które umożliwią korzystanie ze sztucznej inteligencji. Kwestie te dotyczą egzekwowania prawa przez organy władzy państwowej.

Sankcje

AI Act przewiduje szereg sankcji za naruszenie rozporządzenia.

W przypadku naruszenia zakazanych praktyk grozi kara:

• do 35 000 000 EUR lub

• do 7% całkowitego rocznego obrotu światowego - jeśli naruszenia dopuścił się przedsiębiorca.

W przypadku naruszenia pozostałych przepisów grozi kara:

• do 15 000 000 EUR lub

• do 3% całkowitego rocznego obrotu światowego - jeśli naruszenia dopuścił się przedsiębiorca.

Ponadto przewidziano kary za przekazywanie nieprawdziwych lub wprowadzających w błąd informacji na wezwanie organu:

• do 7 500 000 EUR lub

• do 1% całkowitego rocznego obrotu światowego - jeśli naruszenia dopuścił się przedsiębiorca.

Każdorazowo, górny limit sankcji ustalany jest na podstawie wyższej z wymienionych kwot (liczbowo lub procentowo).

Kiedy AI Act wejdzie w życie i zacznie być stosowane?

Ze względu na zakres nowych przepisów i obowiązki z nimi związane, AI Act będzie wprowadzany stopniowo. Rozporządzenie wejdzie w życie w sierpniu 2024 roku, tj. po upływie 20 dni od dnia jego publikacji w Dzienniku Urzędowym UE. Co istotne, nie wszystkie przepisy zaczną od razu obowiązywać - przedsiębiorcy i państwa członkowskie UE będą musiały dostosować się do nowej regulacji w okresie przejściowym.

AI Act ma zacząć obowiązywać po upływie 24 miesięcy od daty jego wejścia w życie. Od tej ogólnej zasady są jednak pewne wyjątki. Po upływie 6 miesięcy od dnia wejścia w życie rozporządzenia zaczną obowiązywać przepisy ogólne oraz te dotyczące zakazanych praktyk. Po 12 miesiącach wejdzie w życie kolejna szeroka pula przepisów, w tym te dotyczące kar. Ostatnia grupa przepisów, która odnosi się do systemów AI wysokiego ryzyka – wymienionych w art. 6 ust. 1 oraz związanych z nimi obowiązków, wejdzie w życie dopiero po 36 miesiącach.

AI Act jako rozporządzenie będzie wiążące w całości i bezpośrednio stosowane we wszystkich państwach członkowskich UE, bez konieczności dodatkowego wprowadzania do krajowych systemów prawnych. Zarówno organy państw członkowskich, przedsiębiorcy, jak i osoby fizyczne będą zobowiązani do przestrzegania jego postanowień od momentu wejścia w życie.

Co to oznacza w praktyce dla przedsiębiorców? Czas na dostosowanie się do pierwszy obowiązków jest krótki, bo wynosi zaledwie 6 miesięcy. Przepisy są rozbudowane i wymagają wnikliwej analizy przed ich wprowadzeniem w organizacji. Dlatego już teraz zachęcamy do sprawdzenia czy i w jakim zakresie Twoja organizacja będzie musiała dostosować się do AI Act.

Jak możemy pomóc?

Oferujemy kompleksową pomoc prawną w zakresie zagadnień związanych ze sztuczną inteligencją. 

Pomożemy między innymi w:

• Sprawdzeniu, czy korzystasz z systemów AI i ocenie ryzyka z tym związanego;
• Doradzeniu, jakie rozwiązania powinieneś wprowadzić, aby Twoja działalność była zgodna z przepisami;
• Przeprowadzeniu szkoleń, dzięki którym Twoi pracownicy będą świadomi obowiązujących przepisów.