Sztuczna inteligencja coraz częściej wykorzystywana jest w działalności gospodarczej - 
od obsługi klienta i marketingu, przez analizę danych, aż po automatyczne podejmowanie decyzji w obszarach takich jak rekrutacja, ocena zdolności kredytowej czy zarządzanie procesami biznesowymi. Dynamiczny rozwój tych technologii spowodował konieczność wprowadzenia jednolitych regulacji prawnych określających zasady projektowania, wdrażania i wykorzystywania systemów sztucznej inteligencji. W Unii Europejskiej rolę tę pełni Akt w Sprawie Sztucznej Inteligencji czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r., ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (AI Act).

Celem tego aktu jest stworzenie jednolitych ram prawnych dla rozwoju, wprowadzania do obrotu oraz wykorzystywania systemów AI na rynku wewnętrznym Unii Europejskiej przy jednoczesnym zapewnieniu wysokiego poziomu ochrony zdrowia, bezpieczeństwa oraz praw podstawowych osób fizycznych. Regulacja ma również zapobiegać fragmentacji przepisów krajowych oraz zapewnić swobodny przepływ technologii opartych na sztucznej inteligencji w obrębie rynku wewnętrznego UE. 

Zakres zastosowania regulacji

Rozporządzenie w sprawie sztucznej inteligencji ma zastosowanie bezpośrednie we wszystkich państwach członkowskich Unii Europejskiej, co oznacza, że jego przepisy obowiązują bez konieczności implementacji do prawa krajowego. Regulacja obejmuje szeroki zakres podmiotów uczestniczących w tzw. łańcuchu wartości sztucznej inteligencji, a jej adresatami są zarówno podmioty tworzące technologie AI, jak i te, które wykorzystują je w swojej działalności.

Zgodnie z przepisami regulacja AI Act ma zastosowanie do:

1. dostawców systemów AI, którzy opracowują lub wprowadzają do obrotu systemy sztucznej inteligencji lub modele AI ogólnego przeznaczenia na rynku Unii Europejskiej, niezależnie od tego, czy mają siedzibę w UE czy poza nią,

2. podmiotów stosujących systemy AI, czyli organizacji wykorzystujących sztuczną inteligencję w swojej działalności gospodarczej, administracyjnej lub publicznej, które mają siedzibę lub znajdują się na terytorium Unii Europejskiej,

3. dostawców oraz podmiotów stosujących AI mających siedzibę poza Unią Europejską, jeżeli wyniki działania ich systemów sztucznej inteligencji są wykorzystywane na terytorium UE;

4. importerów i dystrybutorów systemów AI, którzy wprowadzają takie technologie do obrotu na rynku UE,

5. producentów produktów wykorzystujących sztuczną inteligencję, którzy wprowadzają na rynek produkty zawierające systemy AI pod własną nazwą lub znakiem towarowym,

6. upoważnionych przedstawicieli dostawców niemających siedziby w Unii Europejskiej, którzy działają w ich imieniu na rynku UE,

7. osób fizycznych znajdujących się na terytorium Unii, na które działanie systemów sztucznej inteligencji może mieć wpływ.

Tak szeroki zakres podmiotowy regulacji powoduje, że Rozporządzenie obejmuje praktycznie cały ekosystem związany z projektowaniem, wprowadzaniem do obrotu oraz wykorzystywaniem systemów sztucznej inteligencji w Unii Europejskiej. Regulacja ma ponadto charakter eksterytorialny, co oznacza, że może mieć zastosowanie także do podmiotów spoza UE, jeżeli efekty działania systemów AI oddziałują na osoby lub podmioty znajdujące się na terytorium Unii.

Harmonogram stosowania przepisów AI Act

Akt w sprawie sztucznej inteligencji wszedł w życie 1 sierpnia 2024 r., jednak jego przepisy zaczęły być stosowane stopniowo w kolejnych latach.

Najważniejsze etapy wdrażania regulacji obejmują:

• 2 lutego 2025 r. - rozpoczęcie stosowania przepisów dotyczących zakazanych praktyk w zakresie sztucznej inteligencji, w szczególności systemów manipulujących zachowaniem użytkowników czy tzw. scoringu społecznego;

• 2 sierpnia 2025 r. - rozpoczęcie stosowania przepisów dotyczących modeli sztucznej inteligencji ogólnego przeznaczenia oraz funkcjonowania instytucji nadzorczych na poziomie Unii Europejskiej;

• 2 sierpnia 2026 r. - rozpoczęcie stosowania większości przepisów AI Act, w tym obowiązków dotyczących systemów sztucznej inteligencji wysokiego ryzyka.

W rezultacie od sierpnia 2026 r. większość regulacji przewidzianych w AI Act będzie miało już zastosowanie w praktyce, a przedsiębiorcy wykorzystujący systemy sztucznej inteligencji bedą zobowiązani do dostosowania swojej działalności do nowych wymogów prawnych.

Podejście regulacyjne oparte na analizie ryzyka

Kluczową zasadą przyjętą w AI Act jest podejście oparte na analizie ryzyka. Oznacza to, że zakres obowiązków prawnych zależy od potencjalnego wpływu danego systemu AI na prawa i bezpieczeństwo ludzi.

Rozporządzenie wyróżnia cztery podstawowe kategorie systemów sztucznej inteligencji:

1. systemy o minimalnym ryzyku, np. filtry antyspamowe. W ich przypadku rozporządzenie nie przewiduje szczególnych obowiązków regulacyjnych wynikających bezpośrednio z AI Act. Nie oznacza to jednak całkowitego braku regulacji - ich wykorzystywanie nadal podlega ogólnym przepisom prawa.

2. systemy o ograniczonym ryzyku, np. chatboty czy generatory tekstu – w odniesieniu do takich systemów stosuje się przede wszystkim obowiązki transparentności,
   w szczególności konieczność poinformowania użytkownika, że wchodzi w interakcję
   z systemem sztucznej inteligencji;

3. systemy wysokiego ryzyka są to np. systemy AI stosowane w ochronie zdrowia, edukacji, rekrutacji pracowników czy ocenie zdolności kredytowej;

4. systemy o niedopuszczalnym poziomie ryzyka, których stosowanie jest zakazane. Należą do nich m.in. systemy wykorzystujące manipulację zachowaniem człowieka, wykorzystujące podatność określonych grup osób czy stosujące tzw. scoring społeczny.

Takie podejście pozwala dostosować zakres regulacji do faktycznego poziomu zagrożenia wynikającego z zastosowania danej technologii.

Zakazane praktyki wykorzystujące sztuczną inteligencję

AI Act wprowadza bezwzględny zakaz stosowania niektórych praktyk wykorzystujących sztuczną inteligencję. Dotyczy to w szczególności systemów AI wykorzystujących techniki manipulacyjne lub podprogowe, które mogą znacząco wpływać na zachowanie człowieka w sposób naruszający jego autonomię lub zdolność podejmowania decyzji.

Zakazane jest także stosowanie systemów wykorzystujących podatność określonych grup osób - na przykład ze względu na wiek, niepełnosprawność lub szczególną sytuację społeczną - w sposób mogący prowadzić do wyrządzenia poważnej szkody.

Rozporządzenie zakazuje również stosowania systemów tzw. scoringu społecznego, które oceniają lub klasyfikują osoby fizyczne na podstawie ich zachowań społecznych lub przewidywanych cech osobowościowych. Takie rozwiązania mogą prowadzić do dyskryminacji, wykluczenia społecznego lub nieuzasadnionego ograniczenia dostępu do usług. 

Systemy AI wysokiego ryzyka

Szczególnym reżimem regulacyjnym objęte zostały systemy sztucznej inteligencji uznane za systemy wysokiego ryzyka. Kategoria ta obejmuje systemy, które mogą w istotny sposób wpływać na prawa podstawowe, bezpieczeństwo lub sytuację życiową osób fizycznych.

Do tej kategorii zaliczane są m.in.:

• systemy stosowane w procesach rekrutacyjnych i zarządzaniu pracownikami,

• systemy oceny zdolności kredytowej,

• rozwiązania wykorzystywane w edukacji,

• systemy stosowane w ochronie zdrowia,

• technologie wykorzystywane w infrastrukturze krytycznej,

• systemy używane przez organy administracji publicznej.

W przypadku takich systemów przedsiębiorcy muszą spełnić szereg wymogów regulacyjnych. Do najważniejszych należą:

• wdrożenie systemu zarządzania ryzykiem,

• zapewnienie odpowiedniej jakości danych wykorzystywanych do trenowania modeli,

• prowadzenie dokumentacji technicznej systemu AI,

• zapewnienie nadzoru człowieka nad działaniem systemu,

• monitorowanie działania systemu również po jego wprowadzeniu do obrotu lub oddaniu do użytku.

Celem tych wymogów jest ograniczenie ryzyka błędnych decyzji podejmowanych przez systemy AI oraz zapewnienie odpowiedzialności za ich działanie.

.Transparentność stosowania sztucznej inteligencji

Rozporządzenie wprowadza także obowiązki związane z transparentnością stosowania sztucznej inteligencji. W określonych sytuacjach użytkownicy powinni być informowani, że wchodzą w interakcję z systemem AI. Dotyczy to w szczególności przypadków, gdy system:

• prowadzi automatyczną komunikację z użytkownikiem (np. chatbot),

• generuje treści w postaci tekstu, obrazu lub dźwięku,

• analizuje dane biometryczne lub emocje użytkowników.

Celem tych obowiązków jest zapewnienie przejrzystości działania technologii oraz umożliwienie użytkownikom świadomego korzystania z usług opartych na sztucznej inteligencji.

Sankcje za naruszenie przepisów

Z punktu widzenia przedsiębiorców nowe przepisy oznaczają konieczność przeprowadzenia analizy stosowanych technologii i oceny ich zgodności z wymaganiami wynikającymi z AI Act.

Wdrożenie systemów sztucznej inteligencji bez odpowiedniego przygotowania prawnego może prowadzić do poważnych konsekwencji finansowych. Rozporządzenie przewiduje sankcje administracyjne sięgające nawet 35 mln euro lub 7% całkowitego rocznego światowego obrotu przedsiębiorstwa – w zależności od rodzaju naruszenia.

Tak wysokie kary mają na celu zapewnienie skutecznego egzekwowania przepisów oraz skłonienie przedsiębiorców do odpowiedzialnego projektowania i wykorzystywania systemów AI.

Znaczenie AI Act dla przedsiębiorców

Dostosowanie działalności do nowych regulacji staje się nie tylko obowiązkiem prawnym, lecz także istotnym elementem zarządzania ryzykiem w przedsiębiorstwie.

Prawidłowe wdrożenie sztucznej inteligencji wymaga uwzględnienia zarówno aspektów technologicznych, jak i prawnych, w tym:

• oceny poziomu ryzyka systemu AI,

• przygotowania odpowiedniej dokumentacji,

• wdrożenia procedur nadzoru nad systemem,

• zapewnienia transparentności działania systemów AI wobec użytkowników i klientów.

W praktyce oznacza to konieczność kompleksowego podejścia do zarządzania technologią sztucznej inteligencji w organizacji oraz uwzględnienia wymogów AI Act już na etapie projektowania i wdrażania nowych rozwiązań technologicznych.

Polska regulacja dotycząca sztucznej inteligencji

Warto podkreślić, że Akt w Sprawie Sztucznej Inteligencji ma formę rozporządzenia Unii Europejskiej, co oznacza, że jego przepisy obowiązują bezpośrednio we wszystkich państwach członkowskich, w tym w Polsce, bez konieczności ich implementacji do prawa krajowego. Oznacza to, że przedsiębiorcy prowadzący działalność w Polsce będą zobowiązani do stosowania przepisów AI Act niezależnie od przyjęcia dodatkowych regulacji krajowych.

Jednocześnie państwa członkowskie zobowiązane są do przyjęcia przepisów krajowych regulujących kwestie organizacyjne związane z nadzorem nad stosowaniem sztucznej inteligencji. W szczególności konieczne jest wskazanie właściwych organów odpowiedzialnych za kontrolę przestrzegania przepisów AI Act, określenie procedur nadzorczych oraz zasad nakładania kar administracyjnych.

W Polsce trwają prace nad ustawą o systemach sztucznej inteligencji, która ma uzupełnić stosowanie AI Act poprzez ustanowienie krajowych organów nadzoru oraz procedur egzekwowania przepisów rozporządzenia. 

Planowane regulacje nie będą jednak stanowiły odrębnego kompleksowego systemu prawnego dotyczącego sztucznej inteligencji. Ich głównym celem będzie uzupełnienie przepisów AI Act o rozwiązania instytucjonalne umożliwiające skuteczny nadzór nad stosowaniem sztucznej inteligencji na poziomie krajowym.

W praktyce oznacza to, że podstawowym aktem prawnym regulującym wykorzystanie sztucznej inteligencji w Polsce pozostanie AI Act, natomiast ustawa krajowa będzie miała charakter organizacyjny i wykonawczy.

Artykuł przygotował Maciej Olejnik, prawnik ecommerce.legal