Sztuczna inteligencja jest dynamicznie progresującą gałęzią rozwoju technologicznego. W kwietniu 2021 r. Komisja Europejska zaproponowała pierwsze unijne ramy legislacyjne dotyczące AI. Parlament osiągnął wstępne porozumienie z Radą w sprawie AI w dniu 9 grudnia 2023 r., a 13 marca 2024r. Rozporządzenie w sprawie AI (Artificial Intelligence Act) zostało przyjęte następnie Rozporządzenie zostało formalnie zatwierdzone przez Radę UE 21 maja 2024 r. Regulacja przepisów ma przede wszystkim na celu zapewnienie bezpieczeństwa, przejrzystości, niedyskryminacji oraz kontroli człowieka nad systemami sztucznej inteligencji. AI Act ma również zapobiegać szkodliwym skutkom działań takich systemów. Sztuczna technologia obejmuje wiele obszarów działalności w wielu sektorach – ochrony środowiska, służby zdrowia, transportu, produkcji. Na co dzień SI jest obecna w życiu każdego człowieka m.in. poprzez korzystanie z wirtualnych asystentów, wyszukiwarek internetowych, systemów rozpoznawania twarzy i mowy, czy popularnego narzędzia jakim jest ChatGPT. Rozwój sztucznej inteligencji może być ogromnym udogodnieniem w wielu aspektach życia i gospodarki np. poprzez: pomoc w rozpoznawaniu i zwalczaniu cyberataków, wykrywanie fałszywych wiadomości, zapobieganie dezinformacji, analizę dużych ilości danych dotyczących zdrowia i rozpoznawania wzorców, co może prowadzić do nowych odkryć w medycynie i ulepszenia diagnostyki indywidualnej usprawnienie transportu i komunikacji
w wyniku umożliwiania jazdy autonomicznej, zwiększenie wydajności produkcji przemysłowej. Należy jednak pamiętać, że systemy wykorzystujące AI mogą również nieść za sobą szczególnie niebezpieczne zagrożenia, które wiążą się z wykorzystywaniem elementów działających podprogowo np. bodźców dźwiękowych, obrazów lub materiałów video, których nie można dostrzec, ponieważ bodźce takie wykraczają poza świadomą ludzką percepcję, a co za tym idzie ograniczają autonomię człowieka, a więc możliwość podejmowania przez niego swobodnych decyzji i wyborów. Takie zagrożenia mogą prowadzić do nakłaniania ludzi do niepożądanych działań lub do wprowadzania ich w błąd. Prawodawca Unijny podkreśla również, że ,,AI może być źródłem zagrożeń i szkody dla interesu publicznego i praw podstawowych chronionych przepisami Unii, w zależności od okoliczności jej konkretnego zastosowania, wykorzystania oraz od poziomu rozwoju technologicznego. Szkody te mogą być materialne lub niematerialne, w tym fizyczne, psychiczne, społeczne lub ekonomiczne’’.
Unijne ramy prawne mają służyć ochronie obywateli, określać wspólne obowiązkowe wymogi mające zastosowanie do projektowania i rozwoju systemów sztucznej inteligencji zanim zostaną wprowadzone do obrotu oraz harmonizować sposób przeprowadzania kontroli takich systemów przy jednoczesnym ukierunkowaniu na ochronę człowieka. Nowe wymogi zostaną nałożone na technologicznych gigantów tj. dostawców wprowadzających AI, ale również na operatorów, którzy zarządzają systemem SI. Przepisy aktu o sztucznej inteligencji będą mieć zastosowanie do: dostawców systemów sztucznej inteligencji mających siedzibę w UE lub wprowadzających systemy sztucznej inteligencji do obrotu w UE lub wprowadzających je do użytku w UE, podmiotów stosujących systemy AI, które to podmioty mają siedzibę lub znajdują się w Unii, a także użytkowników systemów sztucznej inteligencji znajdującym się w UE. Ponadto regulacje obowiązują dostawców i użytkowników systemów sztucznej inteligencji znajdujących się w państwie trzecim jeśli produkt wytwarzany przez te systemy jest wykorzystywany w UE.
AI Act klasyfikuje systemy sztucznej inteligencji na podstawie ryzyka, które jest stwarzane dla ich użytkowników. Poziom ryzyka jest ściśle powiązany z obowiązkami nałożonymi na dostawców oraz użytkowników takich systemów. Nowe przepisy przewidują również wprowadzenie kategorii zakazanych praktyk w zakresie sztucznej inteligencji.
Wysokie ryzyko
Za systemy wysokiego ryzyka będą uznane systemy sztucznej inteligencji, które negatywnie wypływają na bezpieczeństwo oraz prawa podstawowe. Ich ocena będzie odbywała się przed wprowadzeniem na rynek takich systemów oraz w trakcie trwania ich działalności. Warto zwrócić uwagę, na fakt, iż to dostawca, który uważa, że system AI, nie jest system wysokiego ryzyka, przed wprowadzeniem tego systemu do obrotu lub oddaniem go do użytku dokumentuje swoją ocenę. Taki dostawca podlega obowiązkowi rejestracji określonemu w AI Act oraz na żądanie właściwych organów krajowych dostawca przedstawia dokumentację dotyczącą dokonanej oceny. Systemy wysokiego ryzyka powinny być odporne na zagrożenia związane z ograniczeniami systemu (np. błędami, usterkami, niespójnościami, nieprzewidzianymi sytuacjami), jak również na szkodliwe działania, które mogą naruszyć bezpieczeństwo systemu sztucznej inteligencji i prowadzić do szkodliwych lub innych niepożądanych zachowań. Systemy wysokiego ryzyka zostaną podzielone na dwie kategorie:
1) Systemy sztucznej inteligencji stosowane w produktach objętych unijnymi przepisami dotyczącymi bezpieczeństwa produktów. To np. zabawki, lotnictwo, samochody, urządzenia medyczne i windy.
2) Systemy sztucznej inteligencji należące do ośmiu konkretnych obszarów, które będą musiały zostać zarejestrowane w unijnej bazie danych:
- Zarządzanie i eksploatacja infrastruktury krytycznej.
- Edukacja i szkolenie zawodowe.
- Zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia.
- Dostęp do i korzystanie z podstawowych usług prywatnych oraz usług i korzyści publicznych.
- Ściganie przestępstw.
- Zarządzanie migracją, azylem i kontrolą granic.
- Pomoc w interpretacji prawnej i stosowaniu prawa.
Niedopuszczalne ryzyko
Systemy sztucznej inteligencji stwarzające niedopuszczalne ryzyko, czyli uważane za zagrożenie dla ludzi, zostaną zakazane. To m.in.:
- Poznawczo-behawioralna manipulacja ludźmi lub określonymi wrażliwymi grupami: na przykład zabawki aktywowane głosem, które zachęcają dzieci do niebezpiecznych zachowań,
- Identyfikacja biometryczna i kategoryzacja osób fizycznych w celu wywnioskowania informacji na temat ich rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub filozoficznych, życia seksualnego lub orientacji seksualnej; zakaz ten nie obejmuje żadnych przypadków etykietowania ani filtrowania legalnie pozyskanych zbiorów danych biometrycznych, takich jak obrazy, w oparciu o dane biometryczne, ani kategoryzacji danych biometrycznych – w obszarze ścigania przestępstw,
- Scoring (klasyfikacja punktowa) obywateli: klasyfikacja ludzi na podstawie ich zachowań, statusu społeczno-ekonomicznego lub cech osobistych.
- Systemy identyfikacji biometrycznej działające w czasie rzeczywistym i zdalnie, takie jak rozpoznawanie twarzy.
Identyfikacja biometryczna
Zgodnie z AI Act dane biometryczne wykorzystywane są w celu umożliwienia uwierzytelniania, identyfikacji lub kategoryzacji osób fizycznych oraz w celu rozpoznawania emocji osób fizycznych. Pojęcie „identyfikacji biometrycznej”, należy zdefiniować jako ,,automatyczne rozpoznawanie fizycznych, fizjologicznych i behawioralnych cech człowieka, takich jak twarz, ruch gałek ocznych, kształt ciała, głos, właściwości mowy, chód, postawa, tętno, ciśnienie krwi, zapach, sposób pisania na klawiaturze, w celu ustalenia tożsamości osoby fizycznej przez porównanie danych biometrycznych tej osoby z przechowywanymi w referencyjnej bazie danych danymi biometrycznymi osób fizycznych, niezależnie od tego, czy osoba ta wyraziła na to zgodę’’. Należy pamiętać, że do kategorii niedopuszczalnych systemów sztucznej inteligencji nie należą systemy AI przeznaczone do weryfikacji biometrycznej, która obejmuje uwierzytelnianie, prowadzonej jedynie w celu potwierdzenia, że dana osoba fizyczna jest osobą, za którą się podaje, oraz potwierdzenia tożsamości osoby fizycznej wyłącznie w celu uzyskania dostępu do usługi, uruchomienia urządzenia lub uzyskania bezpiecznego dostępu do pomieszczeń. Wykorzystanie systemów AI do zdalnej identyfikacji biometrycznej osób fizycznych, a więc do ,,identyfikacji osób fizycznych bez aktywnego udziału tych osób, co do zasady na odległość, poprzez porównanie danych biometrycznych danej osoby z danymi biometrycznymi zawartymi w referencyjnej bazie danych’’, w czasie rzeczywistym w przestrzeni publicznej w celu ścigania przestępstw szczególnie ingeruje w prawa i wolności zainteresowanych osób, ponieważ może to wpływać na życie prywatne dużej części społeczeństwa, wywoływać poczucie stałego nadzoru i pośrednio zniechęcać do korzystania z wolności zgromadzeń i innych praw podstawowych. Systemy zdalnej identyfikacji biometrycznej działające w czasie rzeczywistym będą dozwolone w ograniczonej liczbie przypadków, natomiast systemy identyfikujące ze znacznym opóźnieniem będą mogły być używane do ścigania poważnych przestępstw. Ustawodawca ogranicza te wyjątki do przypadków ofiar niektórych przestępstw, zapobiegania realnym, bieżącym lub przewidywalnym zagrożeniom (takim jak ataki terrorystyczne) oraz do poszukiwań osób podejrzanych o najpoważniejsze przestępstwa. Podsumowując, AI ACT zabrania biometrycznej identyfikacji osób na podstawie ich cech wrażliwych – takich jak płeć, rasa, pochodzenie etniczne, narodowość i obywatelstwo, wyznanie czy poglądy polityczne. Zakazane będzie również stosowanie AI do profilowania potencjalnych sprawców przestępstw na bazie danych o zachowaniach, cechach lub geolokalizacji (tzw. predykcja kryminalna). Niedozwolone są również systemy AI do rozpoznawania emocji (używane np. w zakładach pracy, szkołach, przy zwalczaniu przestępczości), a także pobieranie danych biometrycznych z mediów społecznościowych lub nagrań z monitoringu w celu tworzenia baz danych rozpoznawania twarzy.
Generatywna sztuczna inteligencja oraz sztuczna inteligencja ogólnego przeznaczenia
Warto również zwrócić uwagę na systemy sztucznej inteligencji tworzące nowe treści. Do takich narzędzi należy m.in. popularny ChatGPT oraz wszelkie systemy, za pomocą których generowane są obrazy, tekst, filmy. Takie narzędzia będą musiały spełnić wymogi dotyczące przejrzystości, takie jak:
- Ujawnienie, że treść została wygenerowana przez sztuczną inteligencję.
- Zaprojektowanie modelu tak, aby nie generował on nielegalnych treści.
- Publikowanie streszczeń chronionych prawem autorskim danych wykorzystywanych do szkoleń.
Niektóre systemy AI mogą być wykorzystywane do wielu różnych celów, w których technologia sztucznej inteligencji ogólnego przeznaczenia jest następnie włączana do innego systemu wysokiego ryzyka. To modele stworzone na podstawie dużej ilości danych, o zaawansowanej strukturze, zdolnościach i wydajności, które mogące stanowić zagrożenia systemowe. W kwestii systemów AI wysokiego ryzyka warto zwrócić uwagę na Opinię 44/2023 EIOD, który odniósł się do projektu aktu o sztucznej inteligencji. EIOD w swoich rekomendacjach zwrócił uwagę, że m.in. ,,w zakresie, w jakim systemy sztucznej inteligencji wysokiego ryzyka wymagają przetwarzania danych osobowych lub przetwarzania danych osobowych w celu wypełnienia swoich zadań, certyfikacja tych systemów sztucznej inteligencji w kontekście oznakowania CE powinna wyraźnie obejmować weryfikację zgodności, między innymi, z ochroną danych w fazie projektowania i domyślną ochroną danych, biorąc pod uwagę możliwy wysoki poziom ingerencji systemów sztucznej inteligencji wysokiego ryzyka w prawa podstawowe do prywatności i prawa do prywatności ochrony danych osobowych.’’
W celu egzekwowania przepisów dotyczących AI na szczeblu UE w Komisji ustanowione zostaje biuro ds. sztucznej inteligencji, którego zadaniem będzie nadzorowanie najbardziej zaawansowanych systemów oraz egzekwowanie wspólnych przepisów we wszystkich państwach członkowskich. Platformą koordynacyjną i organem doradczym Komisji pozostanie rada ds. sztucznej inteligencji, złożona z przedstawicieli państw członkowskich.
Kary pieniężne za naruszenie AI ACT
Kary pieniężne za naruszenie aktu o sztucznej inteligencji zostały ustalone jako odsetek rocznego światowego obrotu firmy dokonującej naruszenia z poprzedniego roku obrotowego lub jako konkretna kwota – zależnie od tego, która z wartości jest wyższa. Byłoby to 35 mln EUR lub 7% za naruszenie zakazanych zastosowań sztucznej inteligencji, 15 mln EUR lub 3% za naruszenie obowiązków wynikających z aktu o sztucznej inteligencji oraz 7,5 mln EUR lub 1,5% za dostarczenie błędnych informacji. AI Act, jako pierwszy dokument regulujący opisane kwestie, może przyczynić się do wypracowania światowych standardów w zakresie praw dotyczących sztucznej inteligencji.
Rozporządzenie zostało formalnie zatwierdzone przez Radę UE 21 maja 2024 r. i wejdzie w życie 20 dni po opublikowaniu go w Dzienniku Urzędowym UE. Dostawcy AI muszą mieć na uwadze, że niektóre przepisy będą obowiązywać już 6 miesięcy od dnia wejścia w życie.
W zakresie wsparcia w analizach projektów z wykorzystaniem narzędzi AI, przygotowania odpowiedniej dokumentacji do oceny ryzyka, pomocy przy wprowadzaniu obowiązków nałożonych przez AI ACT, zachęcamy do kontaktu z kancelarią.
opracowanie: Aleksandra Kędrzyńska