13 marca 2024 r. Parlament Europejski przyjął długo wyczekiwane rozporządzenie w sprawie sztucznej inteligencji, popularnie określane jako AI ACT. Aktualnie tekst oczekuje na formalne zaaprobowanie przez Radę Unii Europejskiej. Realnie ocenia się, że wejdzie w życie w drugiej połowie maja albo w czerwcu tego roku, przy czym w pełni obowiązywać będzie 24 miesiące po wejściu w życie.
Jak można przeczytać w uzasadnieniu projektu, rozporządzenie w sprawie AI ma chronić prawa podstawowe, demokrację, praworządność i środowisko przed systemami sztucznej inteligencji wysokiego ryzyka. Jednocześnie ma wspierać innowacje i sprawić, że Europa będzie liderem w dziedzinie bezpiecznego dla użytkowników oraz etycznego wykorzystywania AI. Rozporządzenie określa obowiązki w stosunku do systemów sztucznej inteligencji w oparciu o potencjalne ryzyko z nią związane i jej potencjalne skutki.
Inne kontynenty nie zdecydowały się, póki co na legislację tego zagadnienia w tak szerokim spektrum. Niektórzy komentatorzy oceniają, że potencjalnie może prowadzić to do zahamowania rozwoju AI w Europie, w porównaniu do np. Stanów Zjednoczonych czy kontynentu azjatyckiego. Mimo tego głównym celem unijnych prawodawców było zagwarantowanie warunków do dalszego rozwoju tego typu narzędzi w Europie – przy jednoczesnym zapewnieniu bezpieczeństwa obywateli w obliczu rozpędzonego rozwoju sztucznej inteligencji.
Szczegółowa analiza AI ACT zasługuje na co najmniej serię artykułów i w związku z tym, poniżej omówiony zostanie wyłącznie jeden z wątków wynikający z rozporządzenia w sprawie sztucznej inteligencji.
Jako że nadrzędnym celem AI ACT jest zapewnienie, aby systemy sztucznej inteligencji wprowadzane do obrotu w UE były bezpieczne i zgodne z prawami podstawowymi oraz unijnymi wartościami, rozporządzenie w precyzyjny sposób kategoryzuje poziomy ryzyka występującego w poszczególnych systemach wykorzystujących sztuczną inteligencję. Tym samym, określone zostały przepisy dotyczące opracowywania, wprowadzania do obrotu, a także wykorzystywania systemów sztucznej inteligencji w UE zgodnie z podejściem opartym na analizie ryzyka.
Kategorie ryzyka zastosowania sztucznej inteligencji
AI ACT wyróżnia cztery kategorie ryzyka zastosowania systemów opartych na sztucznej inteligencji:
- kategoria niskiego ryzyka (systemy, które nie stanowią znacznego [lub jakiegokolwiek] zagrożenia),
- kategoria średniego ryzyka (do tej kategorii zaliczamy popularne w ostatnim czasie chatboty np. ChatGPT),
- kategoria wysokiego ryzyka (technologie, które mogą wywierać wpływ na bezpieczeństwo i prawa podstawowe użytkownika),
- kategoria niedopuszczalnego ryzyka (obejmuje systemy stwarzające ogromne ryzyko dla bezpieczeństwa; jako przykład można podać systemy przeznaczone do dokonywania oceny społecznej).
Systemy sztucznej inteligencji niskiego ryzyka
Systemy minimalnego ryzyka wymagają mniejszej liczby regulacji w porównaniu z innymi kategoriami. Dzieje się tak z uwagi na ich znikomy wpływ na zdrowie, bezpieczeństwo czy prawa podstawowe obywateli UE. Są wykorzystywane np. w grach komputerowych. Warto podkreślić jednak, że brak szczegółowych regulacji AI ACT w odniesieniu do tego rodzaju systemów nie wyłącza obligatoryjnego stosowania innych przepisów dot. między innymi przetwarzania danych osobowych.
Systemy sztucznej inteligencji średniego (ograniczonego) ryzyka
Powyższa kategoria dopuszcza zastosowanie AI pod warunkiem zapewnienia właściwej transparentności i odpowiedniego informowania użytkowników, że prowadzą oni interakcję z systemem sztucznej inteligencji lub że dane treści zostały stworzone lub zmanipulowane przez AI. Do takich systemów zaliczają się chatboty i wszelkie systemy generatywnej sztucznej inteligencji tworzące lub modyfikujące tekst, obraz, dźwięk czy też nagrania wideo (w tym także deepfake).
Systemy sztucznej inteligencji wysokiego ryzyka
Kategoria obejmuje systemy mogące wywierać szkodliwy wpływ na bezpieczeństwo oraz prawa podstawowe użytkownika, takie jak prawo do godności, poszanowanie życia prywatnego, zdrowie i bezpieczeństwo, ochrona danych osobowych, wolność wypowiedzi i informacji, wolność zgromadzeń, czy zakaz dyskryminacji.
Podmioty wykorzystujące systemy sztucznej inteligencji wysokiego ryzyka zobowiązane będą do dokonania oceny działania ww. systemów pod kątem wpływu na prawa podstawowe osób fizycznych, a dodatkowo będą zmuszone wdrożyć odpowiednie (dość liczne i szczegółowo uregulowane) środki bezpieczeństwa.
Deweloperzy, a także dostawcy systemów AI skategoryzowanych jako wysoko ryzykowne, zmuszeni będą m.in. do prowadzenia obszernej dokumentacji obejmującej rozwój, funkcję i działanie danego systemu, a także do wdrożenia protokołów zarządzania ryzykiem oraz systematycznej oceny ryzyka. Ww. systemy AI będą musiały być także zarejestrowane w unijnej publicznej bazie danych i oznaczone oznakowaniem CE.
Co istotne, AI ACT przyznaje osobom, których prawa zostały naruszone decyzją wydaną z wykorzystaniem sztucznej inteligencji, możliwość wniesienia skargi do właściwego organu państwowego, a w dalszej perspektywie – zaskarżenie ww. decyzji do sądu.
AI ACT za systemy sztucznej inteligencji wysokiego ryzyka uznaje m.in. systemy:
- przeznaczone do identyfikacji biometrycznej osób fizycznych, w tym „w czasie rzeczywistym”, a także „post factum” w publicznie dostępnych miejscach;
- wykorzystywane w ramach zapewniania dostępu do podstawowych usług oraz świadczeń prywatnych i publicznych niezbędnych do pełnego uczestnictwa w życiu społecznym lub poprawy poziomu życia (np. ocena zdolności kredytowej, ustalanie priorytetów przy wysyłaniu służb pierwszej pomocy);
- przeznaczone do zarządzania infrastrukturą krytyczną oraz jej eksploatacja np. obsługa ruchu drogowego czy zaopatrzenia w wodę, gaz, ciepło czy energię elektryczną;
- wykorzystywane w kształceniu oraz szkolnictwie np. przeznaczone do prowadzenia rekrutacji/oceny uczniów;
- przeznaczone do zatrudniania pracowników/zarządzania nimi np. systemy przeznaczone do rekrutacji pracowników, monitorowania ich wydajności lub zachowania, a także podejmowania decyzji o awansie czy rozwiązaniu stosunku pracy;
- stanowiące związane z bezpieczeństwem elementy produktów takich jak: maszyny, zabawki, dźwigi, urządzenia i systemy ochronne przeznaczone do użytku w atmosferze potencjalnie wybuchowej, urządzenia radiowe, urządzenia ciśnieniowe, wyposażenie rekreacyjnych jednostek pływających, urządzenia linii kolejowych, urządzenia spalające paliwa bazowe, wyroby medyczne;
- wykorzystywane w kontekście egzekwowania prawa np. przeznaczone do m.in. oceny ryzyka popełnienia lub ponownego popełnienia przestępstwa czy też używane przez organy ścigania w celu oceny wiarygodności dowodów.
Systemy sztucznej inteligencji niedopuszczalnego ryzyka
Systemy należące do tej kategorii są całkowicie zakazane z uwagi na ich sprzeczność z wartościami UE oraz znaczny potencjał możliwych szkód. Zakazy obejmują praktyki, które umożliwiają manipulowanie zachowaniem innych poprzez podświadome przesyłanie wiadomości lub wykorzystywanie słabych punktów, bazując na wieku, niepełnosprawności lub statusie społeczno-ekonomicznym, powodując przy tym szkodę psychiczną lub fizyczną. Ponadto zabronione są systemy sztucznej inteligencji zaangażowane w scoring społeczny (ocenę osób na podstawie ich zachowań społecznych) oraz (z kilkoma wyjątkami) umożliwiające zdalną identyfikację biometryczną osób fizycznych „w czasie rzeczywistym” w przestrzeni publicznej w celu egzekwowania prawa.
Podsumowanie
Przepisy AI ACT będą z pewnością stanowić w pewnej mierze wyzwanie dla firm i instytucji zamierzających wdrożyć zastosowanie sztucznej inteligencji. Za wcześnie także na pełną ocenę funkcjonowania tych regulacji, gdyż nasze Ministerstwo Cyfryzacji dopiero rozpoczęło prace nad implementacją AI ACT. Mimo, iż przepisy same w sobie są bezpośrednio skuteczne, sposób ich funkcjonowania i egzekwowania na polskim gruncie zależeć będzie od wykształconej w tym względzie praktyki.
Znaczna część nowych przepisów jest jedynie wskazaniem pewnego kierunku rozwoju legislacji, która dokładny kształt przyjmie dopiero na poziomie poszczególnych państw członkowskich Unii Europejskiej. Pozostaje nam zatem śledzenie dalszego rozwoju wydarzeń w tym zakresie.
Autorkami artykułu są:
Magdalena Wojdak – Senior Associate w Kancelarii RKKW, adwokat
Julia Poniewierska-Nowak – Junior Associate w Kancelarii RKKW, prawnik
