Akt w sprawie sztucznej inteligencji (AI Act) został zatwierdzony przez Parlament Europejski 13 marca 2024 r., a 21 maja 2024 r przez Radę Unii Europejskiej. Wejdzie w życie dwudziestego dnia po ogłoszeniu w Dzienniku Urzędowym Unii Europejskiej. Od wejścia w życie należy odróżnić datę stosowania AI Act. Od generalnej zasady, że rozporządzenie stosować się będzie po 24 miesiącach od wejścia w życie przewidziane są wyjątki określające 6, 12 czy 36 miesięczne terminy.
AI Act m. in. definiuje, czym jest system sztucznej inteligencji i wprowadza klasyfikację tych systemów z perspektywy oceny ryzyka. Pierwszy rodzaj systemów to tzw. systemy zakazane - zakres tego zbioru ujmuje wszelkie systemy AI, które mogą być stosowane w ramach tzw. praktyk zakazanych, określonych w art. 5 AI Act.
Drugą klasą systemów stanowią systemy tzw. wysokiego ryzyka. Zdefiniowanie, co jest systemem wysokiego ryzyka lub co może być uznane za taki system w rozumieniu AI Act, jest pierwszym krokiem dla podjęcia działań zmierzających do sprostania wymogom AI Act. Taka analiza w praktyce nastręczać może pewnych trudności i wymagać będzie współdziałania z sektorem produktowym przy poszukiwaniu jasnych wytycznych.
Przeczytaj także: Ochrona danych to o wiele więcej niż tylko sztuczna inteligencja
Dwie łączne przesłanki
Ale zacznijmy od początku. Zgodnie z art. 6 ust. 2 AI Act za systemy wysokiego ryzyka uznaje się systemy, o których mowa w załączniku III. Wyszczególnia on obszary, w których stosowane systemy AI, pod pewnymi warunkami, będą uznawane za systemy wysokiego ryzyka. Wskazuje on na biometrię, infrastrukturę krytyczną, kształcenie i szkolenie zawodowe, zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia, dostęp do podstawowych usług prywatnych i publicznych, ściganie przestępstw, zarządzanie migracją, azylem i kontrolą graniczną, sprawowanie wymiaru sprawiedliwości i procesów demokratycznych. Identyfikacja w oparciu o załącznik III, jakkolwiek nie automatyczna, będzie jednak możliwa na wysokim poziomie precyzji. AI Act wskazuje bowiem w każdym z obszarów określone wytyczne lub procesy, które pomagają w klasyfikacji.
Większe trudności mogą powstawać w sytuacji drugiego kryterium klasyfikacji, określonego w art. 6 ust. 1 AI Act. Zgodnie z tą regulacją bez względu na to, czy system wprowadza się do obrotu lub oddaje do użytku, system AI uznaje się za system wysokiego ryzyka, jeżeli spełnione są jednocześnie dwa warunki:
- system AI jest przeznaczony do stosowania jako (związany z bezpieczeństwem) element produktu objętego unijnym prawodawstwem harmonizacyjnym, wymienionym w zał. I lub sam w sobie jest takim produktem.
- produkt, w którym elementem związanym z bezpieczeństwem jest system AI lub system AI sam w sobie jako produkt podlega na podstawie prawodawstwa harmonizacyjnego ocenie zgodności przez stronę trzecią w związku z wprowadzeniem go do obrotu lub oddaniem do użytku.
W związku z faktem, że oba te warunki muszą być spełnione łącznie, za system wysokiego ryzyka nie będzie uznawany system AI, który niezależnie, czy jest elementem związanym z bezpieczeństwem produktu lub sam stanowi produkt objęty prawodawstwem harmonizacyjnym, nie podlega ocenie zgodności w związku z wprowadzeniem do obrotu lub oddaniem do użytku przez tzw. stronę trzecią.
►Polecamy szkolenie online: Sztuczna inteligencja w HR >
Przy dokonywanej klasyfikacji warto zatem rozpoznać zakres przedmiotowy wymienionego w załączniku nr I do AI Act prawodawstwa harmonizacyjnego oraz dokonać co najmniej następujących ustaleń:
- Czy dany system AI jest produktem czy elementem produktu?
- W sytuacji uznania, że system AI jest elementem produktu to czy system AI jest związany z bezpieczeństwem produktu?
- Co należy rozumieć pod pojęciem elementu związanego z bezpieczeństwem produktu?
- Czy dany produkt podlega ocenie zgodności z unijnym prawodawstwem harmonizacyjnym w związku z wprowadzeniem do obrotu lub oddaniem do użytku przez tzw. stronę trzecią?
Odpowiedź na te pytania jest istotna dla dokonania klasyfikacji danego systemu, w konsekwencji zaś przesądzenia o konieczności spełniania warunków z AI Act dedykowanych dla systemów wysokiego ryzyka.
Jak dokonać klasyfikacji danego systemu
AI Act w art. 3 pkt. 15 ) definiuje pojęcie elementu związanego z bezpieczeństwem. Za taki element uważa element produktu lub systemu, który spełnia funkcję bezpieczeństwa w przypadku tego produktu lub systemu lub którego awaria bądź nieprawidłowe działanie zagrażają zdrowiu i bezpieczeństwu osób lub mienia.
Załącznik I do AI Act określa prawodawstwo harmonizacyjne, którego zakres przesądzać będzie o klasyfikacji danego systemu z uwagi na przesłankę z art. 6 ust. 1 AI Act. W motywie 50 AI Act wymienia takie produkty, tj. zabawki, dźwigi, urządzenia i systemy ochronne przeznaczone do użytku w atmosferze potencjalnie wybuchowej, urządzenia radiowe, urządzenia ciśnieniowe, wyposażenia rekreacyjne jednostek pływających, urządzenia linii kolejowych, urządzenia spalające paliwa gazowe, wyroby medyczne oraz wyroby medyczne do diagnostyki in vitro.
Celem pokazania złożoności zagadnienia na etapie samej klasyfikacji danego systemu przyjrzyjmy się Rozporządzeniu Parlamentu Europejskiego i Rady z dnia 5 kwietnia 2017 r. w sprawie wyrobów medycznych, zmiany dyrektywy 2001/83/WE, rozporządzenie (WE) nr 178/2002 i rozporządzenia (WE) nr 1223/2009 oraz uchylenia dyrektyw Rady 90/385/EWG i 93/42/EWG (dalej Rozporządzenie MDR). Rozporządzenie MDR wchodzi w zakres załącznika I do AI Act.
Zgodnie z art. 1 Rozporządzenia MDR w rozporządzeniu ustanawia się przepisy dotyczące wprowadzania do obrotu, udostępniania na rynku lub wprowadzania do używania w Unii wyrobów medycznych stosowanych u ludzi oraz wyposażenia takich wyrobów. Rozporządzenie stosuje się również do prowadzonych w Unii badań klinicznych dotyczących takich wyrobów medycznych i wyposażenia.
Zgodnie z art. 2 pkt 1) Rozporządzenia MDR wyrób medyczny oznacza narzędzie, aparat, urządzenie, oprogramowanie, implant, odczynnik, materiał lub inny artykuł przewidziany przez producenta do stosowania - pojedynczo lub łącznie - u ludzi do co najmniej jednego z następujących (wymienionych dalej w MDR) szczególnych zastosowań medycznych:
W rezultacie pierwszym etapem analizy, oczywiście poprzedzonej jeszcze ustaleniem, że identyfikujemy system sztucznej inteligencji w rozumieniu AI Act, jest przesądzenie, czy system AI jest np. wyrobem medycznym czy też elementem takiego wyrobu medycznego związanym z jego bezpieczeństwem. Kolejno, należy wyodrębnić klasyfikację wyrobu medycznego, gdyż ta ma znaczenie dla ustalenia czy w procedurze oceny zgodności będzie brała jednostka notyfikowana, czyli tzw. osoba trzecia w rozumieniu zapisu art. 6 ust 1 AI Act.
W przypadku oprogramowania warto zwrócić uwagę na regułę 11 z załącznika VIII Rozporządzenia MDR, która określa zasady klasyfikacji oprogramowania jako wyrobu medycznego.
Warto dodać, że odstępstwa z AI Act w zakresie klasyfikacji danych systemów jako systemów wysokiego ryzyka, oparte m. in. na tym, że system jest przeznaczony do wykonania wąskiego zadania proceduralnego czy przeznaczony jest do poprawienia wyniku zakończonej uprzednio czynności wykonanej przez człowieka (pełna lista w art. 6 ust 3 AI Act) mają zastosowanie do systemów z załącznika III, a nie określonych kontekstem zastosowania prawodawstwa harmonizacyjnego ujętego w zał. I.
Nie każdy system z III załącznika jest system wysokiego ryzyka
Biorąc pod uwagę kryteria, które są istotne dla oceny czy system AI jest system AI wysokiego ryzyka, precyzyjna ocena jest możliwa z perspektywy analizy funkcjonalności indywidualnego systemu przy zastosowaniu regulacji produktowych określonych załącznikiem I do AI Act. Klasyfikacja danego systemu jest podstawą do określenia obowiązków podmiotów obowiązanych na gruncie AI Act, w tym ustalenia zakresu tych obowiązków z perspektywy już wykonanych działań na gruncie innych regulacji, np. prawodawstwa harmonizacyjnego.
W rzeczywistości, nie każdy system wchodzący w zakres załącznika III do AI Act będzie systemem wysokiego ryzyka, jak również nie będzie takim systemem każdy system AI objęty zakresem załącznika nr I do AI Act. Metodologia przyznawania określonym systemom klasy wysokiego ryzyka ułożona jest wielopłaszczyznowo. Z jednej strony referuje do bezpieczeństwa produktów, posiłkując się również oceną ryzyka właściwą dla kategorii tych produktów. Z drugiej strony, niezależnie wskazuje na poszczególne procesy, które mogą mieć niepożądany wpływ na prawa podstawowe.
Proces oceny danych systemów AI w zakresie spełniania warunku z art. 6 ust 1 AI Act ma „zakodowaną” w sobie dodatkową analizę, czy dany produkt jest regulowany prawodawstwem harmonizacyjnym i jaka jest klasyfikacja takiego produktu w ramach takiego prawodawstwa.
Rafał Rozwadowski jest adwokatem, prowadzi własną kancelarię prawną
![[E-book] Digital HR. Czy AI to nasza przyszłość?](/gfx/prawopl/_thumbs/produkty_foto/81669/978-83-8358-658-8_,mXqL62OeqFTLkrXdmIyYmw.jpg)
-------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.