Unijne przepisy cywilizujące stosowanie AI stopniowo wejdą w życie w ciągu następnych trzech lat
Stosowane z głową AI w firmie to niewątpliwy atut. Dotyczy to zwłaszcza tych przedsiębiorstw, które rzeczywiście mają pomysł na wykorzystanie sztucznej inteligencji, a nie tylko podążają za jakąś branżową modą. Dotarliśmy jednak do momentu, w którym prawodawcy zaczęli wprowadzać pierwsze regulacje. Część z nich już obowiązuje na terytorium Unii Europejskiej. Mam na myśli oczywiście rozporządzenie AI Act, którego zadeklarowanym celem jest "zapewnienie bezpiecznego i etycznego wykorzystania technologii sztucznej inteligencji". Jak się łatwo domyślić, AI Act w firmie oznacza przede wszystkim ograniczenia, na które trzeba uważać.
Rozporządzenie opublikowano w stosownym unijnym dzienniku urzędowym 12 lipca 2024 r. Co do zasady powinno funkcjonować od 2 sierpnia 2026 r. Wdrażanie poszczególnych rozwiązań zawartych w AI Act rozłożono na okres trwający aż do 2 sierpnia 2028 r. Do tego warto wziąć poprawkę na tendencję polskiego ustawodawcy do ociągania się z implementacją europejskich przepisów do krajowego porządku prawnego.
Już obowiązują nas przepisy jednak kluczowe przepisy dotyczące zakazanych praktyk w zakresie AI. Weszły w życie w całej Unii Europejskiej 2 lutego tego roku. Od 2 sierpnia 2025 r. mają obowiązywać także te dotyczące organów nadzoru oraz dotyczące modeli AI ogólnego przeznaczenia.
Sprawdź polecane oferty
RRSO 21,36%
Co to oznacza dla polskich przedsiębiorców? Jeżeli nie korzystamy z AI i nie planujemy tego robić, to praktycznie nic się z naszej perspektywy nie zmieni. Jeśli jednak wykorzystujemy sztuczną inteligencję w pracy naszej firmy, to stajemy się "podmiotem stosującym" w rozumieniu przepisów rozporządzenia. To podzieliło różnego rodzaju istniejące i potencjalne rozwiązania z zakresu AI na cztery kategorie w zależności od stopnia ryzyka:
- systemy AI niedozwolonego ryzyka – rozwiązania uznane za absolutnie niedopuszczalne;
- systemy AI wysokiego ryzyka – systemy dopuszczalne, ale równocześnie podlegające szczególnie intensywnemu nadzorowi z wykorzystaniem obowiązków sprawozdawczych, organizacyjnych oraz wyśrubowanych norm;
- systemy AI ograniczonego ryzyka - w tym przypadku wprowadzone ograniczenia służą przede wszystkim zapewnienia ochrony przed wprowadzeniem w błąd człowieka;
- systemy AI minimalnego ryzyka - na tyle bezpieczne, że nie podlegają żadnym dodatkowym rygorom czy obowiązkom
Przepisy dotyczące systemów AI wysokiego ryzyka wejdą w życie dopiero 2 sierpnia 2026 r. Na razie nie musimy się nimi zbytnio przejmować. Interesują nas w szczególności ta pierwsza kategoria.
Zignorujesz zakazy? Zapłacisz wielomilionową karę
Co takiego zostało uznane za systemy AI niedozwolonego ryzyka? Chodzi przede wszystkim o rozwiązania szczególnie niebezpieczne oraz potencjalnie nieetyczne. Listę zakazanych praktyk znajdziemy w art. 5 ust. 1 rozporządzenia. Znajdziemy w nim osiem pozycji:
Firmowe systemy AI nie mogą stosować technik podprogowych, manipulacyjnych i celowo wprowadzać w błąd. Przykładem mogą być tutaj tzw. dark patterns wykorzystywane przez niektóre sklepy internetowe, które zostałyby rozbudowane o sztuczną inteligencję w celu zwiększenia ich skuteczności.
Nie możemy także wykorzystywać systemu sztucznej inteligencji, który wykorzystuje słabości osoby fizycznej lub określonej grupy osób ze względu na ich wiek, niepełnosprawność lub szczególną sytuację społeczną lub ekonomiczną. Łatwo sobie wyobrazić system celujący w dzieci w taki sposób, by skłonić je do bardziej intensywnych zakupów.
Nie wolno nam wprowadzić systemu, który służyłby analizowaniu oceny lub klasyfikacji osób pod kątem jakichś ich określonych cech lub zachowania. W tym przypadku chodzi o jakiegoś rodzaju odpowiednik tzw. kredytu społecznego stosowanego na przykład przez Chiny. Nikt w końcu nie powiedział, że nie może nam przyjść do głowy traktować w zbliżony sposób naszych pracowników albo klientów.
Na liście zakazanych praktyk znajdziemy także systemy kategoryzacji biometrycznej, które mają wydedukować lub wywnioskować konkretne informacje na temat danych osób. Ściślej mówiąc, chodzi o informacje na temat ich rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub światopoglądowych, seksualności lub orientacji seksualnej. To kolejna war
AI Act zabrania także stosowania systemów AI, które tworzą lub rozbudowują bazy danych służące rozpoznawaniu twarzy poprzez pozyskiwanie wizerunków twarzy z internetu lub nagrań z telewizji przemysłowej.
Zabronione jest także wykorzystywanie AI po to, by wyciągać wnioski na temat emocji osoby fizycznej w miejscu pracy. Przykładem może być oprogramowanie mające wykrywać, kiedy pracownicy nie są dostatecznie skupieni na wykonywaniu pracy i akurat nie dają z siebie tyle, ile oczekuje pracodawca.
Zakaz tworzenia systemów profilowania osób w celu przewidzenia przez nich możliwości popełnienia przestępstwa raczej nas nie interesuje. Z drugiej strony, można sobie wyobrazić zaprzęgnięcie sztucznej inteligencji do typowania potencjalnych złodziei kręcących się po terenie firmy albo pracowników zachowujących się podejrzanie.
AI Act w firmie to także konieczność zapewnienia szkoleń pracownikom
Co w sytuacji, jeśli wprowadzimy zakazane AI w firmie? W takiej sytuacji grożą nam drakońskie kary sięgające 35 mln euro albo nawet 7 proc. naszego globalnego obrotu. Warto jednak wspomnieć, że w Polsce nakładanie kar administracyjnych będzie możliwe dopiero po uchwaleniu projektu ustawy o systemach sztucznej inteligencji. Zgodnie z danymi znajdującymi się na stronie Rządowego Centrum Legislacji, dopiero co zakończyły się konsultacje publiczne. Nastąpiło to 24 czerwca.
Kolejnym obowiązkiem, na który należy zwrócić uwagę i który obejmie praktycznie wszystkich przedsiębiorców wykorzystujących AI w swoich firmach, jest ten wynikający z art. 4 rozporządzenia. Chodzi o tzw. AI Literacy Act:
Dostawcy i podmioty stosujące systemy AI podejmują środki w celu zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu, z uwzględnieniem ich wiedzy technicznej, doświadczenia, wykształcenia i wyszkolenia oraz kontekstu, w którym systemy AI mają być wykorzystywane, a także biorąc pod uwagę osoby lub grupy osób, wobec których systemy AI mają być wykorzystywane.
Jak należy rozumieć ten przepis? Jeżeli wykorzystujemy AI w firmie, to musimy przeszkolić naszych pracowników i współpracowników w taki sposób, by zapewnić im odpowiedni poziom kompetencji z zakresu sztucznej inteligencji. Można domniemywać, że chodzi nie tylko o szkolenia z obsługi firmowego oprogramowania, ale także edukację z zakresu bezpieczeństwa i potencjalnych zagrożeń.
