Wejście w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, znanego jako AI Act, oznacza dla przedsiębiorców nową erę odpowiedzialności. Regulacje te wprowadzają nie tylko obowiązki dokumentacyjne dla dostawców i użytkowników technologii, lecz także innowacyjne mechanizmy ochrony praw osób trzecich, w tym nowy tryb składania skarg na systemy AI w przypadku podejrzenia naruszeń. Warto sprawdzić, czy Twoja organizacja jest gotowa na nowe wymogi i jak skutecznie zarządzać ryzykiem prawnym.
Dlaczego AI Act wprowadza nowe nowy tryb składania skarg na systemy AI?
Nowe regulacje są postrzegane przez wielu przedsiębiorców wdrażających rozwiązania AI przede wszystkim przez pryzmat obowiązków dokumentacyjnych, zarządzania ryzykiem czy wymagań dotyczących przejrzystości. Tymczasem z perspektywy praktycznej równie istotne znaczenie ma fakt, że AI Act tworzy formalny kanał inicjowania postępowań nadzorczych przez osoby fizyczne i prawne. Oznacza to, że każdy podmiot wykorzystujący sztuczną inteligencję w działalności gospodarczej musi liczyć się z możliwością otrzymania skargi dotyczącej sposobu działania systemu AI.
Podstawę prawną nowego mechanizmu stanowi art. 85 AI Act. Przepis ten przewiduje, że bez uszczerbku dla innych administracyjnych lub sądowych środków ochrony prawnej każda osoba fizyczna lub prawna mająca podstawy, aby uznać, że doszło do naruszenia przepisów rozporządzenia, może wnieść skargę do właściwego organu nadzoru rynku. Ponadto skargi takie mają być uwzględniane dla celów prowadzenia działań nadzorczych oraz rozpatrywane zgodnie ze szczególnymi procedurami ustanowionymi lokalnie przez organy nadzoru rynku.
Rozwiązanie to stanowi istotną zmianę w podejściu do nadzoru nad sztuczną inteligencją. Dotychczas osoba, która uważała, że została pokrzywdzona przez działanie systemu AI, musiała najczęściej korzystać z istniejących środków prawnych, takich jak postępowania cywilne, procedury wynikające z RODO czy skargi do wyspecjalizowanych organów sektorowych.
W motywie 170 AI Act podkreślono, że chociaż przepisy prawa Unii oraz prawa krajowego już wcześniej przewidywały skuteczne środki odwoławcze dla osób, których prawa i wolności zostały naruszone przez wykorzystanie sztucznej inteligencji, to każda osoba fizyczna lub prawna mająca podstawy do uznania, że doszło do naruszenia AI Act, powinna mieć możliwość złożenia skargi do odpowiedniego organu nadzoru rynku.
Kto może złożyć skargę?
Zakres podmiotowy nowego uprawnienia jest bardzo szeroki. Ustawodawca unijny nie ograniczył prawa do składania skarg wyłącznie do konsumentów czy osób fizycznych.
Oznacza to, że skargę może złożyć m.in.:
- pracownik korzystający z procesu rekrutacyjnego wspomaganego przez AI,
- kandydat do pracy odrzucony przez system wykorzystujący sztuczną inteligencję,
- klient banku oceniony przez algorytm scoringowy,
- pacjent korzystający z usług medycznych wspieranych przez AI,
- kontrahent przedsiębiorcy.
Istotne jest przy tym, że złożenie skargi nie wymaga wcześniejszego udowodnienia naruszenia. Wystarczające jest posiadanie racjonalnych podstaw do uznania, że przepisy rozporządzenia mogły zostać naruszone. Już sam ten fakt oznacza znaczące zwiększenie ryzyka regulacyjnego dla przedsiębiorców.
Jak przygotować organizację na skargi dotyczące AI Act?
Zakres potencjalnych skarg jest niezwykle szeroki, ponieważ AI Act obejmuje praktycznie cały cykl życia systemu AI.
Przedmiotem skargi mogą być m.in. zarzuty dotyczące:
- stosowania zakazanych praktyk AI,
- wykorzystywania systemów wysokiego ryzyka bez spełnienia wymagań regulacyjnych,
- braku wymaganej dokumentacji technicznej,
- nieprawidłowego zarządzania ryzykiem,
- niewłaściwej jakości danych wykorzystywanych do trenowania modeli,
- braku odpowiedniego nadzoru człowieka nad systemem,
- naruszenia obowiązków przejrzystości,
- nieprawidłowego oznaczania treści generowanych przez AI,
- niewykonania obowiązków informacyjnych wobec użytkowników,
- nieprzestrzegania obowiązków monitorowania systemów po wprowadzeniu ich do obrotu.
Skarga jako początek kontroli
Największe znaczenie nowego mechanizmu polega na tym, że skarga nie jest jedynie formalnym zawiadomieniem. Zgodnie z art. 85 AI Act organy nadzoru rynku mają obowiązek uwzględniania takich skarg przy prowadzeniu działań nadzorczych.
W praktyce oznacza to, że skarga może stać się bezpośrednim impulsem do:
- wszczęcia kontroli,
- zażądania dokumentacji technicznej,
- weryfikacji procesu zarządzania ryzykiem,
- sprawdzenia zgodności systemu z AI Act,
- przeprowadzenia działań wyjaśniających,
- nałożenia środków naprawczych,
- a w skrajnych przypadkach nawet ograniczenia lub zakazania dalszego wykorzystywania systemu.
Dla przedsiębiorców oznacza to konieczność przygotowania się nie tylko na spełnienie obowiązków regulacyjnych, lecz także na możliwość ich aktywnego wykazywania przed organem nadzorczym.
Związek skargi z prawem do wyjaśnienia decyzji
Mechanizm skargowy należy analizować łącznie z art. 86 AI Act, który ustanawia prawo do uzyskania wyjaśnienia dotyczącego procesu podejmowania decyzji.
Przepis przewiduje, że osoba, na którą wpływa decyzja oparta na wynikach systemu AI wysokiego ryzyka wymienionego w załączniku III do AI Act, może żądać od podmiotu stosującego jasnego i merytorycznego wyjaśnienia roli systemu AI w procesie decyzyjnym oraz głównych elementów podjętej decyzji, jeżeli decyzja wywołuje skutki prawne lub podobnie znacząco wpływa na tę osobę.
Przykład 1.
Spółka ABC wykorzystuje system AI do wstępnej selekcji kandydatów na stanowiska specjalistyczne. Jeden z kandydatów otrzymuje automatyczną informację o odrzuceniu aplikacji. Jakie uprawnienia mu przysługują? Może skorzystać z prawa do otrzymania wyjaśnienia oraz złożyć skargę, jeśli doszło do naruszenia AI. Act. Korzystając z tych uprawnień, kandydat zwraca się o wyjaśnienie sposobu podjęcia decyzji. Pracodawca nie potrafi wskazać kryteriów zastosowanych przez system ani zakresu nadzoru człowieka nad procesem. Kandydat uznaje, że mogło dojść do naruszenia wymagań AI Act dotyczących systemów wysokiego ryzyka i składa skargę do właściwego organu nadzoru rynku.
W praktyce oba mechanizmy mogą działać sekwencyjnie. Najpierw osoba zainteresowana zwraca się do przedsiębiorcy o wyjaśnienie sposobu działania systemu. Następnie, jeśli uzna wyjaśnienie za niewystarczające lub dostrzeże potencjalne naruszenie AI Act, może skierować sprawę do organu nadzoru rynku.
W konsekwencji przedsiębiorcy muszą przygotować się nie tylko na samo składanie skarg, ale także na wcześniejsze żądania wyjaśnień dotyczących działania algorytmów.
Jak przygotować organizację?
Przygotowanie do nowych realiów regulacyjnych wymaga połączenia działań prawnych, organizacyjnych i technicznych.
Kluczowe znaczenie mają:
- identyfikacja wszystkich wykorzystywanych systemów AI;
- ustalenie, które z nich podlegają kwalifikacji jako systemy wysokiego ryzyka;
- opracowanie procedur obsługi skarg i żądań wyjaśnień;
- wdrożenie mechanizmów dokumentowania decyzji podejmowanych przy wykorzystaniu AI;
- przeszkolenie pracowników odpowiedzialnych za korzystanie z systemów;
- przygotowanie procedur współpracy z organami nadzoru rynku.
Szczególną uwagę należy zwrócić na obszary, w których systemy AI wpływają na prawa jednostek, takie jak zatrudnienie, edukacja, kredytowanie, ubezpieczenia czy opieka zdrowotna.
Polecamy:
