AI Act 2024 – nowe obowiązki dla polskich firm i użytkowników AI

AI Act (Artifical Intelligence Act) to unijne rozporządzenie (Dz.U.UE.L.2024.1689), stanowiące pierwszy tak kompleksowy akt prawny zawierający szczegółowe regulacje w obszarze stosowania sztucznej inteligencji. Pierwsze przepisy weszły w życie z dniem 2 lutego 2025 r., a podstawowym celem rozporządzenia jest wzrost bezpieczeństwa obywateli oraz poprawa kompetencji pracowników w zakresie AI. Dokument ten ma zatem istotne znaczenie dla wszystkich podmiotów, które wykorzystują tę technologię w swojej działalności.

Co to jest AI ACT?

AI Act dotyczy wszystkich państw członkowskich Unii Europejskiej, a celem rozporządzenia jest poprawa funkcjonowania rynku wewnętrznego i promowanie upowszechniania AI na zasadach zapewniających wysoki poziom ochrony zdrowia, bezpieczeństwa, praw podstawowych (demokracji, praworządności, ochrony środowiska), przed szkodliwymi skutkami AI w Unii Europejskiej.

Przepisy AI Act będą wprowadzane stopniowo. Co do zasady, regulacje zaczynają obowiązywać w ciągu 24 miesięcy od daty ogłoszenia aktu, jednak w przypadku części przepisów terminy wdrożenia to kolejno 6, 12 i 36 miesięcy. Jako pierwsze wchodzą w życie przepisy zakazujące stosowania szczególnie niebezpiecznych systemów AI na terenie całej UE, które obowiązują od 2 lutego 2025 r. 

Jakie zmiany wprowadza AI Act 2024?

AI Act reguluje zasady, według których systemy sztucznej inteligencji mogą być wprowadzane do obrotu, oddawane do użytku oraz eksploatowane. Nowe przepisy nakładają na przedsiębiorstwa obowiązek spełnienia wymogów w zakresie transparentności, ochrony danych i odpowiedzialności. Podmioty wykorzystujące AI będą musiały zatem w bardziej rygorystyczny sposób dokumentować swoje modele, zapewniając nadzór ludzki i przestrzegając norm etycznych.

Klasyfikacja systemów AI według poziomu ryzyka

Akt o sztucznej inteligencji wyróżnia kilka rodzajów systemów AI:

• systemy AI niedozwolonego ryzyka – w tej kategorii znajdują się działania, które uderzają w najbardziej osobiste obszary życia ludzkiego w celu osiągnięcia konkretnych korzyści (np. systemy stosujące techniki podprogowe i manipulacyjne);
• systemy AI wysokiego ryzyka – systemy przeznaczone do wykorzystania jako związany z bezpieczeństwem element produktu; wymagają spełnienia rygorystycznych norm bezpieczeństwa i podlegają dodatkowym obowiązkom w zakresie dokumentacji i zarządzania ryzykiem;
• systemy AI ograniczonego ryzyka – objęte minimalnymi obowiązkami dotyczącymi zachowania przejrzystości w celu zapewnienia ochrony przed wprowadzeniem w błąd człowieka;
• systemy AI minimalnego ryzyka – są wolne od dodatkowych wymogów prawnych czy specjalnych obowiązków. 

Wymogi dotyczące transparentności i audytów

Akt w sprawie sztucznej inteligencji obliguje przedsiębiorców do spełnienia konkretnych obowiązków w zakresie przejrzystości i informowania użytkowników. Konieczne jest przede wszystkim zidentyfikowanie, czy używane systemy AI mieszczą się w kategorii wysokiego ryzyka – tego rodzaju narzędzia są stosowane w sektorach, takich jak zdrowie, edukacja czy wymiar sprawiedliwości. Podmioty korzystające z systemów wysokiego ryzyka są zobligowane do ich bieżącego monitorowania i audytowania w celu zapewnienia zgodności z przepisami AI Act.

Przedsiębiorca jest ponadto w obowiązku zagwarantować, że systemy AI, które są przeznaczone do interakcji z osobami fizycznymi, zostały opracowane w taki sposób, aby osoby fizyczne miały świadomość, że w taką interakcję wchodzą (chyba że okoliczności i kontekst użytkowania systemu jednoznacznie o tym świadczą). 

Obowiązki w zakresie ochrony danych użytkowników

Przedsiębiorca ma obowiązek zapewnić, że systemy AI są w pełni bezpieczne i zgodne z przepisami dotyczącymi ochrony danych osobowych (RODO).

Kogo dotyczą nowe przepisy?

Regulacje ujęte w Akcie o sztucznej inteligencji obejmują szereg obszarów praktycznych zastosowań AI, takich jak opieka zdrowotna, transport, edukacja, rynek pracy. Pod szczególną kontrolą w zakresie wykorzystania AI pozostaje sektor publiczny, w tym policja i sądy. 

Firmy rozwijające technologie AI

AI Act odnosi się w pierwszej kolejności do dostawców systemów AI, czyli podmiotów, które udostępniają innym podmiotom swoje systemy (np. OpenAI). Co istotne, rozporządzenie dotyczy wszystkich dostawców, którzy wprowadzają do obrotu lub oddają do użytku AI na terenie Unii Europejskiej, nawet jeśli mają swoją siedzibę w państwie trzecim. 

Organizacje wdrażające systemy oparte na sztucznej inteligencji 

Nowe przepisy w zakresie AI dotyczą również podmiotów, które wykorzystują tę technologię w różnych sektorach. Przedsiębiorstwo może podlegać pod regulacje powołane wraz z AI Act np. w sytuacji, gdy wykorzystuje w swojej organizacji sztuczną inteligencję do działań marketingowych, automatyzacji procesów czy też stosuje AI jako element produktu. 

Konsumenci i użytkownicy końcowi

Podmioty stosujące systemy AI na własne potrzeby również mają obowiązek używać ich w sposób bezpieczny i zgodny z regulacjami. AI Act nie znajduje natomiast zastosowania w przypadku osób fizycznych wykorzystujących systemy AI w ramach osobistej działalności pozazawodowej.

Jakie kary przewiduje AI Act za nieprzestrzeganie przepisów?

Zgodność z nowymi regulacjami będzie egzekwowana poprzez nakładanie grzywien przez krajowy organ nadzorczy. AI Act przewiduje trzystopniowy system naruszeń:

• stopień 1: nieprzestrzeganie zakazów AI Act – kara grzywny w wysokości do 35 mln euro lub do 7% rocznego obrotu przedsiębiorstwa;
• stopień 2: niezgodność z obowiązującymi wymaganiami AI Act – kara grzywny w wysokości do 15 mln euro lub do 3% rocznego obrotu przedsiębiorstwa;
• stopień 3: dostarczanie organom nadzorczym informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd – kara grzywny w wysokości do 7,5 mln euro lub 1% całkowitego obrotu przedsiębiorstwa. 

Jak przygotować firmę na zmiany wynikające z AI Act?

Jak wspomniano, na dostosowanie się do nowych przepisów przedsiębiorstwa będą miały od 6 miesięcy do 3 lat, w zależności od tego, jakie działania podejmują w obszarze AI. Przygotowanie do nowych regulacji będzie wymagało w pierwszej kolejności dokładnego zmapowania systemów i narzędzi opartych na sztucznej inteligencji i ich prawidłowe skategoryzowanie pod kątem wymogów ujętych w rozporządzeniu AI Act. Kwestią priorytetową dla przedsiębiorstw jest bowiem zapewnienie, że wykorzystywane w organizacji rozwiązania AI są używane w sposób bezpieczny i odpowiedzialny, a sam system jest zgodny z aktualnymi normami regulacyjnymi.

AI Act 2024 w Polsce – regulacje na poziomie unijnym i krajowym

Nowe przepisy mają formę rozporządzenia unijnego, a nie dyrektywy. W praktycznym zastosowaniu oznacza to, że uchwalone prawo zacznie obowiązywać wszystkich obywateli państw członkowskich UE od wyznaczonej daty, bez konieczności powoływania dodatkowych aktów prawnych na poziomie krajowym. 

Czy AI Act wpłynie na innowacje w Polsce?

Rozporządzenie AI Act w swoich założeniach ma przyczyniać się do rozwoju tej technologii oraz budowania większej świadomości i zaufania wobec rozwiązań opartych na sztucznej inteligencji. Nowe regulacje pociągają za sobą jednak szereg wyzwań praktycznych, a skutki mogą być różne w zależności od tego, czy dany podmiot jest dostawcą, użytkownikiem, importerem czy operatorem systemu AI. Aby Europa pozostała atrakcyjnym miejscem do rozwijania modeli AI i wdrażania nowych narzędzi, konieczne jest więc – jak zaznacza AI Chamber (Izba AI) – opracowanie kodeksów postępowania, które ułatwią przedsiębiorstwom zachowanie zgodności z przepisami AI Act.