AI Act, czyli przełomowe rozporządzenie, które kompleksowo ureguluje kwestie dotyczące używania sztucznej inteligencji, zostało zatwierdzone przez Radę UE w marcu br. Pozostała jeszcze publikacja w Dzienniku Urzędowym UE – dwadzieścia dni później akt wejdzie w życie, a tym samym zaczną biec terminy wdrażania prawa. Wcześniej przewidywano, że nastąpi to w maju, publikacja się jednak opóźnia. Dr Damian Flisak, radca prawny, specjalista w zakresie prawa własności intelektualnej oraz prawa nowych technologii, przewiduje, że akt zostanie opublikowany w lipcu.
- Mówi się, że opóźnienie w dopełnieniu tej formalności wynika z jakiegoś spiętrzenia obowiązków, choć w mojej opinii, uwzględniając doniosłość aktu, żal każdego upływającego dnia – zaznacza.
Czytaj też w LEX: Akt w sprawie sztucznej inteligencji [projekt UE] >
Granica manipulacji
Praktyki, które będą zakazane w kontekście użycia systemów wykorzystujących sztuczną inteligencję, zostały wskazane w art. 5 AI Act (niedopuszczalne ryzyko). Jak podkreślono w motywach rozporządzenia, zostały one zakwalifikowane w ten sposób ze względu na sprzeczność z wartościami unijnymi – np. naruszaniem praw podstawowych.
- Zakazy obejmują praktyki, które wykazują znaczny potencjał manipulowania ludźmi, oparte na technikach podprogowych działających na ich podświadomość lub wykorzystujące słabości określonych słabszych grup, takich jak dzieci lub osoby z niepełnosprawnościami, aby istotnie wypaczyć ich zachowania w sposób, który może spowodować u nich lub u innej osoby szkodę psychiczną lub fizyczną – wyjaśniono.
Jak wyjaśnia dr Flisak, w praktyce chodzi o zastosowania elementarnie nieuczciwe, do których należy oddziaływanie na inne osoby, choćby konsumentów, w sposób przez nich nieuświadomiony, manipulacyjny czy wprowadzający w błąd. Istnieje wówczas ryzyko, że wykorzystanie AI doprowadzi do ich możliwego lub faktycznego poszkodowania, np. do kupienia towaru, którego bez manipulacyjnego wpływu AI nie zdecydowaliby się kupić.
- Choć treść tych zakazów została sformułowana w enigmatyczny sposób, a motywy preambuły oszczędnie szafują przykładami ułatwiającymi interpretację zakazów, warto tutaj sięgnąć po dotychczasowe orzeczenia i literaturę z zakresu prawa ochrony konsumentów czy prawa konkurencji. Takie oddziaływanie na konsumentów jest w gruncie rzeczy już zakazane na podstawie obowiązujących, licznych przepisów - zaznacza dr Flisak.
Zobacz też szkolenie online, które prowadzi dr Flisak: Sztuczna inteligencja: zrozumieć, opanować, zastosować. Prawne aspekty funkcjonowania >
Pomocne wytyczne, ale problemem terminy
W AI Act zakazano także stosowania sztucznej inteligencji przez organy publiczne, w ten sposób, by umożliwić tworzenie systemów punktowej oceny zachowań społecznych (tzw. scoring). Niedopuszczalne będzie również wykorzystywanie systemów zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej do celów egzekwowania prawa, chyba że mają zastosowanie niektóre (nieliczne) wyjątki. Chodzi generalnie o wyeliminowanie ryzyka polegającego na tym, że sztuczna inteligencja byłaby wykorzystywana do „przewidywania”, kto mógłby popełnić przestępstwo, na przykład na podstawie zachowania, charakterystycznych cech czy narodowości. Wbrew pozorom, nie jest to wcale abstrakcyjne zagrożenie – to, że nieodpowiednio stworzony algorytm może dopuszczać się rasizmu, pokazała choćby sprawa Stanów Zjednoczonych, w której kilkanaście lat temu stworzono narzędzie dla sądów, które proponowało kary na podstawie obowiązujących „widełek”. Po pewnym czasie zauważono, że z powodu nieodpowiedniego zaprogramowania proponowało ono wyższe kary np. dla osób ciemnoskórych. Odrębną kwestią pozostaje też prawo do prywatności.
Czytaj więcej: AI Act ma pomóc utrzymać w ryzach narzędzia oparte na sztucznej inteligencji
Dr Flisak zaznacza, że w zakresie interpretacji zakazanych praktyk z pewnością pomocne będą wytyczne Komisji Europejskiej, które muszą być klarowne i obudowane przykładami.
- Problemem jest jednak to, że zakazanych praktyk należy zaniechać już po sześciu miesiącach od wejścia aktu w życie. Tymczasem można wątpić, czy wytyczne ukażą się do początku 2025 r. - mówi.
Kary najsurowsze w przepisach UE
Jednym z największych wyzwań, które w pierwszej kolejności będą czekać firmy po wejściu w życie AI Act, będzie niewątpliwie identyfikacja systemów niedopuszczalnego i wysokiego ryzyka związanego z użyciem sztucznej inteligencji. To jedne z pierwszych przepisów, które zaczną obowiązywać – zasady dotyczące niedopuszczalnego ryzyka zaczną obowiązywać sześć miesięcy po tym, gdy rozporządzenie wejdzie w życie. Jeśli przepisy zostaną w najbliższym czasie opublikowane, można zakładać, że eliminacja systemów niedopuszczalnego ryzyka będzie musiała nastąpić mniej więcej do końca roku.
Dlatego identyfikacja systemów jest jedną z najważniejszych kwestii, od której powinny zacząć przedsiębiorstwa korzystające z AI. Tym bardziej, że granica między niedopuszczalnym a wysokim ryzykiem nie zawsze jest wyraźna.
- W tym kontekście widzimy, że w ostatnim czasie rośnie liczba firm przejawiających świadomość w zakresie AI Act i konieczności kategoryzacji systemów AI. To zadanie kluczowe z punktu widzenia możliwości utrzymania aktualnego modelu biznesowego czy też wdrożenia nowych pomysłów biznesowych w danej firmie. Jednak obserwujemy też, że to zadanie jest zazwyczaj wymagające dla biznesu i wymaga umiejętnego połączenia perspektywy prawnej, biznesowej i technicznej - mówi Łukasz Wieczorek, radca prawny, partner w kancelarii KWKR.
Warto przypomnieć, że AI Act przewiduje surowe kary w przypadku naruszenia konkretnych przypadków. Przykładowo, za dalsze stosowanie systemów wysokiego ryzyka na przedsiębiorstwo może zostać nałożona kara w wysokości 6 proc. wartości całkowitego światowego obrotu z poprzedniego roku obrotowego albo 30 mln euro – przy czym organ ma wybrać tę karę, która będzie bardziej dotkliwa w danej sytuacji. Taka sama kara będzie grozić firmie, która nie stosuje się do zasad dotyczących systemów wysokiego ryzyka. Jeśli natomiast dopuści się jakichkolwiek naruszeń innych niż dotyczących wskazanych systemów, będzie mogła zostać ukarana karą w wysokości 4 proc. światowego obrotu lub 20 mln euro. Podobnie jak w poprzednim przypadku, „pierwszeństwo” ma ta kwota, która jest bardziej dotkliwa.
Łukasz Wieczorek podkreśla jednak, że można się spodziewać, że UE rzeczywiście będzie chciała aktywnie pomagać przedsiębiorcom w budowaniu właściwego rozumienia AI Act, w tym kategoryzowania systemów AI. Wskazuje na to np. inicjatywa Komisji Europejskiej sprzed kilku dni, w ramach której KE uruchomiła konsultacje dotyczące sztucznej inteligencji w sektorze finansowym.
- W tym kontekście szczególnie wartościowe będzie spojrzenie sektorowe, ponieważ różne segmenty gospodarki mogą mierzyć się z nieco odmiennymi wyzwaniami w kontekście aplikacji AI Act - zaznacza.
Zobacz szkolenie online: Akt w sprawie sztucznej inteligencji (AI Act) i RODO – punkty styku, podobieństwa i różnice >
Duże znaczenie praktyki
Znacząca część AI Act poświęcona jest systemom wysokiego ryzyka. Przewidziano konkretne obowiązki dla poszczególnych grup, które będą się nimi posługiwać (importerów, producentów, użytkowników itp.).
Systemy wysokiego ryzyka, jak sugeruje sama nazwa, są uznawane za stwarzające „wysokie ryzyko” dla bezpieczeństwa, zdrowia i praw podstawowych osób fizycznych. Dopuszcza się je do obrotu na rynku europejskim pod warunkiem spełnienia określonych wymogów obowiązkowych i przeprowadzenia oceny zgodności. W załączniku III do AI Act wymieniono konkretne przykłady systemów, które już, zdaniem prawodawcy, można kwalifikować do tej kategorii, choć lista nie jest zamknięta. Oto niektóre z nich:
- systemy sztucznej inteligencji przeznaczone do stosowania w celu zdalnej identyfikacji biometrycznej osób fizycznych „w czasie rzeczywistym” i „post factum”;
- systemy sztucznej inteligencji przeznaczone do stosowania w celu podejmowania decyzji o dostępie do instytucji edukacyjnych i instytucji szkolenia zawodowego lub nadawania osobom przydziału do tych instytucji;
- systemy sztucznej inteligencji przeznaczone do wykorzystania w celu rekrutacji lub wyboru osób fizycznych, w szczególności w przypadku informowania o wakatach, selekcji lub filtrowania podań o pracę, oceny kandydatów w trakcie rozmów kwalifikacyjnych lub testów;
- systemy sztucznej inteligencji przeznaczone do wykorzystania w celu wysyłania lub ustalania priorytetów w wysyłaniu służb ratunkowych w sytuacjach kryzysowych, w tym straży pożarnej i pomocy medycznej;
- systemy sztucznej inteligencji, które mają służyć organowi sądowemu pomocą w badaniu i interpretacji stanu faktycznego i przepisów prawa oraz w stosowaniu prawa do konkretnego stanu faktycznego.
Bartosz Łabęcki, adwokat i associate w KWKR, podkreśla, że choć AI Act niewątpliwie jest dobrą ramą regulacyjną, dużo będzie zależeć od praktyki i stosowania przepisów przez konkretne organy. Prawnik zaznacza, że przedsiębiorcy, którzy stosują lub planują wdrożenie systemów AI, powinni nie tylko skrupulatnie klasyfikować swoje systemy zgodnie z wytycznymi AI Act, ale także zapewnić odpowiednie procedury zarządzania ryzykiem, szkolenia dla pracowników oraz stale monitorować zgodność z przepisami.
Czytaj też w LEX: Podmiotowość sztucznej inteligencji w nowym kodeksie cywilnym >
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.
