W ramach swojej strategii cyfrowej Unia Europejska chce uregulować sztuczną inteligencję (AI), aby zapewnić lepsze warunki do rozwoju i wykorzystania tej innowacyjnej technologii. Zdaniem UE sztuczna inteligencja może przynieść wiele korzyści, takich jak lepsza opieka zdrowotna, bezpieczniejszy i czystszy transport, bardziej wydajna produkcja, tańsza i bardziej zrównoważona energia. UE dostrzega jednak wyzwania i ryzyka związane z rozwojem sztucznej inteligencji, na które odpowiadać ma Rozporządzenie Parlamentu Europejskiego i Rady (AI Act) ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (akt w sprawie sztucznej inteligencji) i zmieniające niektóre akty ustawodawcze Unii.
Czego i kogo dotyczyć będzie AI Act?
Rozporządzenie AI Act ustanawiać będzie:
- zharmonizowane przepisy dotyczące wprowadzania do obrotu, oddawania do użytku oraz wykorzystywania systemów sztucznej inteligencji w UE;
- zakazy dotyczące określonych praktyk w zakresie sztucznej inteligencji;
- szczególne wymogi dotyczące systemów sztucznej inteligencji wysokiego ryzyka oraz obowiązki spoczywające na podmiotach będących operatorami takich systemów;
- zharmonizowane przepisy dotyczące przejrzystości w przypadku systemów sztucznej inteligencji przeznaczonych do wchodzenia w interakcję z osobami fizycznymi, systemów rozpoznawania emocji oraz systemów kategoryzacji biometrycznej, a także systemów sztucznej inteligencji wykorzystywanych do generowania obrazów, treści dźwiękowych lub treści wideo lub do manipulowania nimi;
- przepisy dotyczące monitorowania po wprowadzeniu do obrotu i nadzoru rynku.
Rozporządzenie AI Act będzie mieć zastosowanie do:
- dostawców wprowadzających do obrotu lub oddających do użytku systemy sztucznej inteligencji w UE, niezależnie od tego, czy dostawcy ci mają siedzibę w UE, czy w państwie trzecim;
- użytkowników systemów sztucznej inteligencji, którzy znajdują się w UE;
- dostawców i użytkowników systemów sztucznej inteligencji, którzy znajdują się w państwie trzecim, jeżeli wyniki działania systemu są wykorzystywane w UE.
Zakazy wynikające z AI Act
AI Act zakazuje następujących praktyk w zakresie sztucznej inteligencji:
- wprowadzania do obrotu, oddawania do użytku lub wykorzystywania systemu sztucznej inteligencji, który stosuje techniki podprogowe będące poza świadomością danej osoby w celu istotnego zniekształcenia zachowania tej osoby w sposób, który powoduje lub może powodować u niej lub u innej osoby szkodę fizyczną lub psychiczną;
- wprowadzania do obrotu, oddawania do użytku lub wykorzystywania systemu sztucznej inteligencji, który wykorzystuje dowolne słabości określonej grupy osób ze względu na ich wiek, niepełnosprawność ruchową lub zaburzenia psychiczne w celu istotnego zniekształcenia zachowania osoby należącej do tej grupy w sposób, który powoduje lub może powodować u tej osoby lub u innej osoby szkodę fizyczną lub psychiczną.
Niezgodne z AI Act będzie także wprowadzanie do obrotu, oddawanie do użytku lub wykorzystywanie systemów sztucznej inteligencji przez organy publiczne lub w ich imieniu na potrzeby oceny lub klasyfikacji wiarygodności osób fizycznych prowadzonej przez określony czas na podstawie ich zachowania społecznego lub znanych bądź przewidywanych cech osobistych lub cech osobowości, kiedy punktowa ocena społeczna prowadzi do jednego lub obu z następujących skutków:
- krzywdzącego lub niekorzystnego traktowania niektórych osób fizycznych lub całych ich grup w kontekstach społecznych, które nie są związane z kontekstami, w których pierwotnie wygenerowano lub zgromadzono dane;
- krzywdzącego lub niekorzystnego traktowania niektórych osób fizycznych lub całych ich grup, które jest nieuzasadnione lub nieproporcjonalne do ich zachowania społecznego lub jego wagi.
Rozporządzenie zakazywać będzie także wykorzystywania systemów zdalnej identyfikacji biometrycznej „w czasie rzeczywistym” w przestrzeni publicznej do celów egzekwowania prawa, chyba że w zakresie, w jakim takie wykorzystanie jest absolutnie niezbędne do jednego z następujących celów:
- ukierunkowanego poszukiwania konkretnych potencjalnych ofiar przestępstw, w tym zaginionych dzieci;
- zapobiegnięcia konkretnemu, poważnemu i bezpośredniemu zagrożeniu życia lub bezpieczeństwa fizycznego osób fizycznych lub atakowi terrorystycznemu;
- wykrywania, lokalizowania, identyfikowania lub ścigania sprawcy przestępstwa lub podejrzanego o popełnienie przestępstwa, o którym mowa w art. 2 ust. 2 decyzji ramowej Rady 2002/584/WSiSW 62 i które w danym państwie członkowskim podlega karze pozbawienia wolności lub środkowi zabezpieczającemu polegającemu na pozbawieniu wolności przez okres, którego górna granica wynosi co najmniej 3 lata, zgodnie z prawem danego państwa członkowskiego.
Systemy sztucznej inteligencji wysokiego ryzyka
Bez względu na to, czy system sztucznej inteligencji wprowadza się do obrotu lub oddaje do użytku niezależnie od produktów w punktach poniżej, taki system sztucznej inteligencji uznaje się za system wysokiego ryzyka, jeżeli spełnione są oba poniższe warunki:
- system sztucznej inteligencji jest przeznaczony do wykorzystywania jako związany z bezpieczeństwem element produktu objętego unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku II lub sam jest takim produktem;
- produkt, którego związanym z bezpieczeństwem elementem jest system sztucznej inteligencji, lub sam system sztucznej inteligencji jako produkt podlega – na podstawie unijnego prawodawstwa harmonizacyjnego wymienionego w załączniku II do AI Act – ocenie zgodności przeprowadzanej przez osobę trzecią w celu wprowadzenia tego produktu do obrotu lub oddania go do użytku.
Przykład 1.
System został sklasyfikowany jako system sztucznej inteligencji wysokiego ryzyka. Jakiego rodzaju wymogi wiążą się z taką klasyfikacją?
Systemy sztucznej inteligencji wysokiego ryzyka muszą m.in. mieć systemy zarządzania ryzykiem, spełniać wymogi dotyczące danych i zarządzania danymi, mieć odpowiednią dokumentację techniczną, mieć rejestry zdarzeń, zapewniać przejrzystość i dostęp do informacji dla użytkowników. System powinien być zaprojektowany w taki sposób, aby mógł być nadzorowany przez człowieka.
Zgodnie z AI Act systemy sztucznej inteligencji wysokiego ryzyka projektuje się i opracowuje w taki sposób, aby osiągały, z uwagi na ich przeznaczenie, odpowiedni poziom dokładności, solidności i cyberbezpieczeństwa oraz działały konsekwentnie pod tymi względami w całym cyklu życia.
Obowiązki dostawców sztucznej inteligencji wysokiego ryzyka
Dostawcy systemów sztucznej inteligencji wysokiego ryzyka, w szczególności:
- zapewniają zgodność swoich systemów sztucznej inteligencji wysokiego ryzyka z wymogami ustanowionymi w AI Act;
- mają system zarządzania jakością;
- sporządzają dokumentację techniczną systemu sztucznej inteligencji wysokiego ryzyka;
- przechowują rejestry zdarzeń generowane automatycznie przez ich systemy sztucznej inteligencji wysokiego ryzyka, jeżeli znajdują się one pod ich kontrolą;
- zapewniają, aby system sztucznej inteligencji wysokiego ryzyka poddano odpowiedniej procedurze oceny zgodności przed wprowadzeniem go do obrotu lub oddaniem go do użytku;
- wypełniają obowiązki rejestracyjne;
- podejmują niezbędne działania naprawcze, jeżeli system sztucznej inteligencji wysokiego ryzyka nie spełnia wymogów ustanowionych w AI Act;
- informują właściwe organy krajowe państw członkowskich, w których udostępnili lub oddali do użytku system sztucznej inteligencji, oraz, w stosownych przypadkach, jednostkę notyfikowaną o niezgodności z wymogami i o wszelkich podjętych działaniach naprawczych;
- umieszczają oznakowanie CE w swoich systemach sztucznej inteligencji wysokiego ryzyka na potwierdzenie zgodności z AI Act;
- wykazują, na żądanie właściwego organu krajowego, zgodność systemu sztucznej inteligencji wysokiego ryzyka z wymogami ustanowionymi w AI Act.
Zgłaszanie incydentów i nieprawidłowego działania AI
Dostawcy systemów sztucznej inteligencji wysokiego ryzyka wprowadzanych do obrotu w UE zgłaszają wszelkie poważne incydenty związane z tymi systemami lub wszelkie przypadki nieprawidłowego działania tych systemów, które stanowią naruszenie obowiązków przewidzianych w prawie UE mającym na celu ochronę praw podstawowych, organom nadzoru rynku państw członkowskich, w których doszło do danego incydentu lub naruszenia.
