Niespełna rok temu, 12 lipca 2024 r., w Dzienniku Urzędowym Unii Europejskiej opublikowane zostało Rozporządzenie Parlamentu Europejskiego i Rady 2024/1689, zwane również Aktem o sztucznej inteligencji („AI Act”). AI Act to pierwsza tego rodzaju kompleksowa regulacja prawna dotycząca systemów i modeli sztucznej inteligencji. Głównym celem przyjęcia rozporządzenia była poprawa funkcjonowania rynku wewnętrznego Unii Europejskiej przez ustanowienie jednolitych ram prawnych, w szczególności w zakresie rozwoju, wprowadzania do obrotu, oddawania do użytku i wykorzystywania systemów sztucznej inteligencji w UE.
Przedmiot regulacji i adresaci
Rozporządzenie 2024/1689 definiuje „system AI” jako system maszynowy, który został zaprojektowany do działania z różnym poziomem autonomii po jego wdrożeniu oraz który może wykazywać zdolność adaptacji po jego wdrożeniu, a także który – na potrzeby wyraźnych lub dorozumianych celów – wnioskuje, jak generować na podstawie otrzymanych danych wejściowych wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne. Systemy AI podzielić można w świetle przepisów Aktu na trzy zasadnicze kategorie: systemy ograniczonego ryzyka, systemy wysokiego ryzyka oraz systemy niedopuszczalnego ryzyka (zakazane w Unii Europejskiej).
Akt o sztucznej inteligencji stosuje się co do zasady do:
- dostawców wprowadzających do obrotu lub oddających do użytku systemy AI lub wprowadzających do obrotu modele AI ogólnego przeznaczenia w Unii, niezależnie od tego, czy dostawcy ci mają siedzibę lub znajdują się w Unii czy w państwie trzecim;
- podmiotów stosujących systemy AI, które to podmioty mają siedzibę lub znajdują się w Unii;
- dostawców systemów AI i podmiotów stosujących systemy AI, którzy mają siedzibę lub znajdują się w państwie trzecim, w przypadku, gdy wyniki wytworzone przez system AI są wykorzystywane w Unii;
- importerów i dystrybutorów systemów AI;
- producentów produktu, którzy pod własną nazwą lub znakiem towarowym oraz wraz ze swoim produktem wprowadzają do obrotu lub oddają do użytku system AI;
- upoważnionych przedstawicieli dostawców niemających siedziby w Unii;
- osób, na które AI ma wpływ i które znajdują się w Unii.
Ogólnie rzecz biorąc, regulacje prawne wprowadzone w Unii Europejskiej bazują na podejściu opartym o ryzyko, uzależniając obowiązki dostawców i podmiotów wdrażających modele i systemy AI od potencjalnego ryzyka wyrządzenia szkód obywatelom, społeczeństwom i gospodarkom.
Stopniowe wprowadzanie przepisów
Akt o AI ma formę rozporządzenia, co oznacza, że jego przepisy obowiązują bezpośrednio w całej Unii i nie jest wymagane podjęcie działań legislacyjnych przez państwa członkowskie. Jedynie na marginesie wskazać należy, że mimo to, w związku z wprowadzeniem w Akcie wielu nowych instytucji i obowiązków, w wielu państwach, w tym w Polsce, trwają intensywne prace legislacyjne nad aktami mającymi służyć zapewnieniu odpowiedniego stosowania Aktu o sztucznej inteligencji.
Ze względu na obszerność i poziom skomplikowania regulowanej materii zdecydowano się na stopniowe wprowadzanie poszczególnych elementów AI Act. Co do zasady przyjęto, że przepisy Aktu będą obowiązywać po upływie 24 miesięcy od jego ogłoszenia, jednak w przypadku części przepisów terminy nabrania mocy prawnej to kolejno 6, 12 i 36 miesięcy. W związku z powyższym, już od 2 lutego 2025 roku weszły w życie pierwsze przepisy rozporządzenia, których celem jest zwiększenie bezpieczeństwa obywateli oraz podniesienie kompetencji pracowników w zakresie systemów sztucznej inteligencji.
Praktyki zakazane
W lutym bieżącego roku w całej Unii Europejskiej zaczął obowiązywać wprost zakaz używania oraz wprowadzania na rynek szczególnie niebezpiecznych systemów AI, które spełniają kryteria praktyk zakazanych. Praktyki te zostały opisane szczegółowo w art. 5 rozporządzenia 2024/1689. W konsekwencji, w Unii zakazuje się obecnie wprowadzania do obrotu, oddawania do użytku lub wykorzystywania systemów AI, które m.in.:
- stosują techniki podprogowe, będące poza świadomością danej osoby lub celowe techniki manipulacyjne lub wprowadzające w błąd,
- wykorzystują słabości osoby fizycznej lub określonej grupy osób ze względu na ich wiek, niepełnosprawność lub szczególną sytuację społeczną lub ekonomiczną,
- prowadzą tzw. scoring społeczny,
- oceniają ryzyko popełnienia przestępstwa wyłącznie na podstawie profilowania osoby fizycznej lub oceny jej cech osobowości i cech charakterystycznych.
Niezastosowanie się do przepisów rozdziału II Aktu o AI może wiązać się z wysokimi karami administracyjnymi, których maksymalne progi zostały ustalone na 35 milionów euro lub 7 procent całkowitego rocznego światowego obrotu z poprzedniego roku. Przepisy o karach i organach je nakładających będą obowiązywać jednak dopiero od sierpnia tego roku.
AI Literacy
Na początku lutego wszedł w życie również art. 4 AI Act, wprowadzający obowiązek dotyczący kompetencji w zakresie AI (tzw. AI Literacy). Artykuł 4 rozporządzenia obliguje pracodawców (dostawców i podmioty stosujące systemy AI) do podjęcia działań w kierunku zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie sztucznej inteligencji wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu. Podejmując wskazane wyżej działania, pracodawcy uwzględnić powinni m.in. wiedzę techniczną, doświadczenie, wykształcenie i wyszkolenie pracowników oraz kontekst, w którym systemy sztucznej inteligencji mają być wykorzystywane.
Dalsze regulacje
W dalszej kolejności, w sierpniu 2025 r. w życie wejdą przepisy kluczowe dla nadzoru nad sztuczną inteligencją dotyczące m.in. określenia organu nadzoru rynku i organu notyfikującego, modeli AI ogólnego przeznaczenia (np. czatów), jak również te dotyczące kar za naruszenia postanowień rozporządzenia.
Jako ostatnie zaczną obowiązywać przepisy, które odnoszą się do systemów AI wysokiego ryzyka oraz związanych z nimi obowiązków. Wejście w życie tych postanowień Aktu o sztucznej inteligencji nastąpi w sierpniu 2026 r. (lub w przypadku niektórych systemów wysokiego ryzyka w sierpniu 2027 r.). Przepisy o systemach wysokiego ryzyka dotyczą takich zastosowań sztucznej inteligencji, które nie zostały zakazane, ale negatywnie wpływają na bezpieczeństwo lub prawa podstawowe. W tej kategorii mogą znaleźć się systemy służące do procesów rekrutacyjnych, określania spełniania wymogów do uzyskania świadczeń państwowych albo uzyskania kredytu czy też do zarządzania infrastrukturą krytyczną.
Niezależnie od kategorii ryzyka, dostawcy wszystkich systemów sztucznej inteligencji powinni zapewnić, aby osoby fizyczne, które wchodzą w bezpośrednią interakcję z systemem AI, były informowane o tym, że prowadzą interakcję z takim systemem. Ponadto, rozporządzenie nakazuje, aby systemy AI generujące treści w postaci syntetycznych dźwięków, obrazów, wideo lub tekstu wprowadzały do nich oznakowanie w formacie nadającym się do odczytu maszynowego, że wynik ich działania został sztucznie wygenerowany lub zmanipulowany.
W przypadku zainteresowania tematem przedstawionym w artykule, prosimy o kontakt na: kancelaria@cddlegal.pl
