AI Act: Jak przygotować firmę na nowe regulacje AI?

Zastanawiasz się, kto zapłaci za błędy popełnione przez algorytmy w Twojej firmie i jak realnie wpłynie to na Twoje obowiązki? Nadchodzący AI Act to rewolucja w regulacjach prawnych AI, która wprowadza precyzyjne zasady gry i ustala, kto ponosi odpowiedzialność za sztuczną inteligencję. Z tego artykułu dowiesz się, jak sklasyfikować używane systemy AI, jakie obowiązki nakłada na Ciebie nowe prawo i jak przygotować organizację na nadchodzące zmiany, by uniknąć dotkliwych kar.

Spis treści

Wprowadzenie

AI Act: Fundament nowych regulacji prawnych AI w Europie

Czym jest AI Act i jakie są jego cele?

Głównym celem AI Act jest zapewnienie, aby systemy sztucznej inteligencji wprowadzane i używane na rynku unijnym były bezpieczne i zgodne z prawami podstawowymi oraz wartościami UE. Rozporządzenie ma harmonizować przepisy w całej Unii, eliminując fragmentację prawną i tworząc przewidywalne środowisko dla innowacji. Kluczowe cele, które przyświecają legislatorom, to:

1. Ochrona użytkowników i społeczeństwa: Zapewnienie, że technologie AI nie naruszają praw podstawowych, takich jak prawo do prywatności, niedyskryminacji czy bezpieczeństwa.


2. Budowanie zaufania: Stworzenie warunków, w których obywatele i firmy mogą ufać rozwiązaniom AI, co jest niezbędne dla ich szerokiej akceptacji i rozwoju rynku.


3. Wspieranie innowacji: Ustanowienie jasnych i proporcjonalnych zasad ma dać firmom pewność prawną, zachęcając do inwestycji i rozwoju etycznych zastosowań AI.


4. Ustanowienie globalnego standardu: UE ma ambicję, by AI Act stał się wzorcem dla regulacji prawnych AI na całym świecie, podobnie jak miało to miejsce w przypadku RODO.

Podejście oparte na ryzyku: Cztery poziomy klasyfikacji systemów AI

Sercem AI Act jest podejście oparte na ocenie ryzyka. Zamiast tworzyć jednolite, sztywne zasady dla wszystkich zastosowań AI, rozporządzenie kategoryzuje systemy w zależności od potencjalnego zagrożenia, jakie mogą stwarzać dla zdrowia, bezpieczeństwa i praw podstawowych. Ta klasyfikacja dzieli systemy AI na cztery główne poziomy:

• Ryzyko niedopuszczalne (Unacceptable Risk): Systemy, które są uznawane za sprzeczne z wartościami UE i zostaną całkowicie zakazane.


• Ryzyko wysokie (High Risk): Systemy, które mogą mieć znaczący wpływ na życie i prawa obywateli. Podlegają one najsurowszym wymogom.


• Ryzyko ograniczone (Limited Risk): Systemy wymagające spełnienia określonych obowiązków w zakresie transparentności.


• Ryzyko minimalne lub brak ryzyka (Minimal Risk): Zdecydowana większość systemów AI, które nie podlegają szczególnym obowiązkom prawnym.

Kategorie ryzyka w AI Act: Co to oznacza dla Twojej firmy?

Systemy o niedopuszczalnym ryzyku: Czerwone linie dla AI

AI Act wprowadza jednoznaczną listę praktyk, które są uznawane za zagrożenie dla fundamentalnych wartości i praw człowieka. Systemy AI należące do tej kategorii będą zakazane na terenie Unii Europejskiej. Należą do nich między innymi:

• Systemy do oceny społecznej (social scoring) prowadzonej przez władze publiczne, które klasyfikują obywateli na podstawie ich zachowań społecznych lub cech osobowości.


• Systemy wykorzystujące techniki podprogowe w celu manipulowania ludzkim zachowaniem w sposób, który może prowadzić do szkód fizycznych lub psychicznych.


• Systemy eksploatujące słabości określonych grup wrażliwych (np. ze względu na wiek, niepełnosprawność) w celu wpłynięcia na ich zachowanie.


• Systemy zdalnej identyfikacji biometrycznej "w czasie rzeczywistym" w przestrzeni publicznej przez organy ścigania (z bardzo wąskimi wyjątkami).

Systemy wysokiego ryzyka: Kluczowy obszar dla CIO

To najważniejsza i najbardziej złożona kategoria z punktu widzenia biznesu. Systemy wysokiego ryzyka to takie, które mogą mieć istotny, negatywny wpływ na bezpieczeństwo, zdrowie lub prawa podstawowe osób. AI Act dzieli je na dwie grupy:

1. Systemy AI, które są komponentami produktów podlegających już unijnym regulacjom sektorowym (np. urządzenia medyczne, zabawki, maszyny, windy).


2. Systemy AI wymienione w załączniku III do rozporządzenia, obejmujące kluczowe obszary życia społecznego i gospodarczego.

• Zarządzanie infrastrukturą krytyczną: np. systemy sterujące ruchem drogowym, dostawami wody czy energii.


• Edukacja i kształcenie zawodowe: np. algorytmy oceniające egzaminy lub przydzielające kandydatów do placówek edukacyjnych.


• Zatrudnienie i zarządzanie pracownikami: systemy do selekcji kandydatów, oceny wydajności czy podejmowania decyzji o awansie lub zwolnieniu.


• Dostęp do podstawowych usług prywatnych i publicznych: np. systemy do oceny zdolności kredytowej (credit scoring).


• Wymiar sprawiedliwości i procesy demokratyczne.

• Wdrożenie systemu zarządzania ryzykiem przez cały cykl życia AI.


• Zapewnienie wysokiej jakości danych używanych do trenowania modeli, aby minimalizować ryzyko dyskryminacji i błędów.


• Stworzenie szczegółowej dokumentacji technicznej, która pozwoli ocenić zgodność systemu.


• Zapewnienie możliwości nadzoru ludzkiego (human oversight) nad działaniem systemu.


• Osiągnięcie wysokiego poziomu dokładności, odporności i cyberbezpieczeństwa.

Systemy o ograniczonym i minimalnym ryzyku: Obowiązki informacyjne i dobre praktyki

Wiele popularnych zastosowań AI, takich jak chatboty, systemy rekomendacyjne czy deepfakes, zostało sklasyfikowanych jako systemy o ograniczonym ryzyku. Głównym wymogiem dla nich jest transparentność. Użytkownicy muszą być jasno poinformowani, że wchodzą w interakcję z systemem AI (w przypadku chatbotów) lub że treść została wygenerowana lub zmodyfikowana przez AI (w przypadku deepfake'ów). Celem jest uniknięcie manipulacji i wprowadzenia w błąd.

Z kolei kategoria minimalnego ryzyka obejmuje zdecydowaną większość aplikacji AI, takich jak filtry antyspamowe czy algorytmy w grach wideo. Dla tych systemów AI Act nie przewiduje żadnych obowiązkowych wymogów. Zachęca się jednak dostawców do dobrowolnego przyjmowania kodeksów postępowania, które promują etyczne i godne zaufania praktyki.

Odpowiedzialność za AI: Kto płaci za błędy algorytmu?

Nowa Dyrektywa o odpowiedzialności za AI: Zmiana zasad gry

Równolegle z AI Act, Unia Europejska pracuje nad dyrektywą, która ma ułatwić osobom poszkodowanym przez systemy AI dochodzenie odszkodowań. Kluczową zmianą, jaką wprowadza ten projekt, jest tzw. wzruszalne domniemanie związku przyczynowego (rebuttable presumption of causality). W praktyce oznacza to przeniesienie ciężaru dowodu.

Dotychczas to poszkodowany musiał udowodnić, że konkretny błąd systemu AI był bezpośrednią przyczyną jego szkody, co w przypadku złożonych algorytmów jest niezwykle trudne. Po wejściu w życie dyrektywy, jeśli poszkodowany wykaże, że był narażony na działanie systemu AI wysokiego ryzyka i poniósł szkodę, która jest typowa dla tego rodzaju ryzyka, to sąd będzie mógł domniemywać istnienie związku przyczynowego. To na dostawcy lub użytkowniku systemu AI będzie spoczywał obowiązek udowodnienia, że jego technologia nie była winna. To fundamentalna zmiana, która znacząco zwiększa odpowiedzialność za AI po stronie firm.

Kto odpowiada za błędy sztucznej inteligencji? Łańcuch odpowiedzialności

AI Act precyzyjnie definiuje role i obowiązki w całym cyklu życia produktu AI, tworząc klarowny łańcuch odpowiedzialności. Nie ma tu jednej, prostej odpowiedzi – odpowiedzialność może spoczywać na różnych podmiotach, w zależności od ich roli:

• Dostawca (Provider): To podmiot, który rozwija system AI i wprowadza go na rynek. Spoczywa na nim główny ciężar zapewnienia zgodności z AI Act, w tym przeprowadzenia oceny ryzyka, przygotowania dokumentacji technicznej i wdrożenia systemów zarządzania jakością. Dostawca odpowiada za "wbudowanie" bezpieczeństwa i etyki w produkt.
  
  Sprawdź nasz poradnik i dowiedz się, o co pytać software house przed umową, aby zyskać gwarancję, że dostarczone oprogramowanie spełni wszystkie unijne wymogi prawne:
  Software House – Jak wybrać i o co pytać przed umową?


• Importer i Dystrybutor: Podmioty, które wprowadzają na rynek UE systemy AI od dostawców z państw trzecich. Ich obowiązkiem jest weryfikacja, czy dostawca dopełnił wszystkich formalności i czy produkt posiada odpowiednie oznaczenia (np. CE).


• Użytkownik (User/Deployer): To firma lub instytucja, która wykorzystuje system AI w swojej działalności zawodowej (np. bank używający algorytmu do oceny zdolności kredytowej). Użytkownik ma obowiązek korzystać z systemu zgodnie z jego przeznaczeniem i instrukcją, a także zapewnić odpowiedni nadzór ludzki. W przypadku systemów wysokiego ryzyka, to na użytkowniku może spoczywać część odpowiedzialności za skutki ich działania.

Odpowiedzialność prawna za decyzje algorytmu w praktyce

Wyobraźmy sobie scenariusz: firma rekrutacyjna używa systemu AI do preselekcji kandydatów. Algorytm, z powodu błędów w danych treningowych, systematycznie odrzuca kandydatów z określonej grupy demograficznej. Kto ponosi odpowiedzialność prawną za decyzje algorytmu?

1. Dostawca systemu AI może być pociągnięty do odpowiedzialności, jeśli nie zapewnił odpowiedniej jakości danych treningowych, nie przeprowadził testów na obecność uprzedzeń lub nie dostarczył jasnej dokumentacji o ograniczeniach systemu.


2. Firma rekrutacyjna (użytkownik) może odpowiadać, jeśli zignorowała ostrzeżenia dostawcy, nie zapewniła odpowiedniego nadzoru ludzkiego nad procesem rekrutacji (np. poprzez losową weryfikację decyzji algorytmu) lub używała systemu w sposób niezgodny z jego przeznaczeniem.

Jak przygotować firmę na AI Act? Praktyczny poradnik dla liderów IT

Krok 1: Audyt i klasyfikacja istniejących systemów AI

Pierwszym i fundamentalnym działaniem jest stworzenie kompleksowego inwentarza wszystkich systemów AI wykorzystywanych w organizacji. Nie można zarządzać czymś, o czym się nie wie. Audyt powinien objąć zarówno systemy rozwijane wewnętrznie, jak i te dostarczane przez zewnętrznych dostawców. Dla każdego systemu należy odpowiedzieć na pytania:

• Jaki jest cel biznesowy tego systemu?


• Jakie dane są wykorzystywane do jego trenowania i działania?


• Kto jest dostawcą (wewnętrzny zespół czy firma zewnętrzna)?


• Jakie decyzje są podejmowane lub wspierane przez ten system?

Krok 2: Analiza luk i wdrożenie wymogów dla systemów wysokiego ryzyka

Gdy już zidentyfikowano systemy wysokiego ryzyka, należy przeprowadzić szczegółową analizę luk (gap analysis). Polega ona na porównaniu obecnego stanu systemu i procesów z rygorystycznymi wymogami AI Act. Analiza ta powinna odpowiedzieć na pytania:

• Czy posiadamy system zarządzania ryzykiem dla tego systemu AI?


• Czy jakość i zarządzanie danymi (data governance) spełniają nowe standardy?


• Czy dokumentacja techniczna jest kompletna i aktualna?


• Czy mechanizmy nadzoru ludzkiego są wystarczające i skuteczne?


• Czy poziom cyberbezpieczeństwa jest adekwatny do ryzyka?

Krok 3: Dokumentacja, transparentność i nadzór ludzki

Dokumentacja staje się jednym z filarów zgodności z AI Act. Dla systemów wysokiego ryzyka konieczne będzie utrzymywanie szczegółowej dokumentacji technicznej, która opisuje m.in. architekturę systemu, użyte dane, procesy testowania, wyniki walidacji i przewidywane ograniczenia. Ta dokumentacja będzie kluczowa nie tylko na potrzeby audytów organów nadzorczych, ale także w kontekście odpowiedzialności za AI w przypadku ewentualnych sporów prawnych.

Przeczytaj nasz artykuł i zobacz, w jaki sposób rzetelna dokumentacja techniczna obniża koszty i ryzyko w IT, ułatwiając ewentualne kontrole i uodparniając biznes na rotację pracowników:
Dokumentacja techniczna: jak obniża koszty i ryzyko w IT?

Równie ważna jest transparentność. W przypadku systemów o ograniczonym ryzyku należy wdrożyć mechanizmy informujące użytkowników o interakcji z AI. Dla systemów wysokiego ryzyka, transparentność oznacza dostarczenie użytkownikom jasnych informacji o możliwościach i ograniczeniach systemu, aby mogli oni podejmować świadome decyzje i skutecznie sprawować nadzór.

AI Act co oznacza dla software house'ów i działów IT?

Dla zespołów deweloperskich, zarówno w software house'ach, jak i wewnętrznych działach IT, AI Act oznacza konieczność integracji nowych wymogów z cyklem życia oprogramowania (SDLC) i procesami MLOps (Machine Learning Operations). W praktyce oznacza to:

• Security & Compliance by Design: Zasady AI Act muszą być uwzględniane od samego początku projektu, a nie dodawane na końcu.
  
  Poznaj sprawdzone praktyki rynkowe i dowiedz się, jak zaplanować bezpieczeństwo danych: strategię i procedury ochrony, aby zminimalizować ryzyko wycieków i luk w nowo powstających algorytmach:
  Bezpieczeństwo danych: Strategia i procedury ochrony


• Rygorystyczne zarządzanie danymi: Procesy pozyskiwania, etykietowania, walidacji i monitorowania danych muszą być sformalizowane i udokumentowane.


• Wersjonowanie i śledzenie: Niezbędne będzie wersjonowanie nie tylko kodu, ale także modeli i danych, na których były trenowane, aby zapewnić pełną odtwarzalność i audytowalność.


• Automatyzacja testów: Wdrożenie zautomatyzowanych testów sprawdzających nie tylko wydajność, ale także odporność, sprawiedliwość (fairness) i bezpieczeństwo modeli.


• Nowe role w zespole: Może pojawić się zapotrzebowanie na specjalistów ds. etyki AI, audytorów algorytmów czy ekspertów ds. zgodności z AI Act.

Etyka w AI: Więcej niż zgodność z przepisami

Podsumowanie

Przełożymy złożoność AI Act na konkretne rozwiązania techniczne i strategie zarządzania ryzykiem, zapewniając zgodność i budując zaufanie do Twoich systemów.

Porozmawiaj z naszym ekspertem o krokach dla Twojej firmy – wypełnij formularz.