AI Act precyzyjnie definiuje podmiot stosujący sztuczną inteligencję, nakładając na niego szereg wymagań. Niezależnie od tego, czy jest to osoba fizyczna, firma czy organ publiczny, kluczowe stają się obowiązki korzystających z systemów sztucznej inteligencji, zwłaszcza gdy mają one wpływ na inne osoby. Dowiedz się, jakie konkretne zadania i odpowiedzialność spoczywają na podmiotach stosujących AI, aby działać zgodnie z nowymi regulacjami i unikać ryzyka.
Kluczowe obowiązki korzystających z systemów sztucznej inteligencji wysokiego ryzyka
Podmioty stosujące systemy AI wysokiego ryzyka podejmują odpowiednie środki techniczne i organizacyjne w celu zapewnienia, aby takie systemy były wykorzystywane zgodnie z dołączoną do nich instrukcją obsługi.
Podmiot stosujący zapewnia, w zakresie, w jakim sprawuje on kontrolę nad danymi wejściowymi, adekwatność i wystarczającą reprezentatywność danych wejściowych w odniesieniu do przeznaczenia systemu AI wysokiego ryzyka.
Podmioty stosujące monitorują działanie systemu AI wysokiego ryzyka na podstawie instrukcji obsługi i w stosownych przypadkach informują dostawców. W przypadku gdy podmioty stosujące mają powody uważać, że wykorzystanie systemu AI wysokiego ryzyka zgodnie z instrukcją obsługi może powodować, że ten system będzie stwarzał ryzyko, bez zbędnej zwłoki informują o tym dostawcę lub dystrybutora oraz odpowiedni organ nadzoru rynku i zawieszają wykorzystywanie systemu. W przypadku gdy podmioty stosujące stwierdziły wystąpienie poważnego incydentu, natychmiast informują o tym incydencie najpierw dostawcę, a następnie importera lub dystrybutora oraz odpowiednie organy nadzoru rynku.
Podmioty stosujące systemy AI wysokiego ryzyka przechowują generowane automatycznie przez system AI wysokiego ryzyka rejestry zdarzeń – w zakresie, w jakim rejestry te znajdują się pod ich kontrolą – przez stosowny ze względu na przeznaczenie danego systemu AI wysokiego ryzyka okres, wynoszący co najmniej 6 miesięcy, o ile mające zastosowanie prawo Unii lub prawo krajowe, w szczególności prawo Unii dotyczące ochrony danych osobowych, nie stanowi inaczej.
Przykład 1.
ABC sp. z o.o. planuje oddać do użytku system AI, który będzie wykorzystywany w stosunku do pracowników. Czy w takim wypadku spółka jest zobowiązana do konsultacji lub uzyskania zgody pracowników?
Przed oddaniem do użytku lub wykorzystaniem systemu AI wysokiego ryzyka w miejscu pracy podmioty stosujące będące pracodawcami mają obowiązek poinformować przedstawicieli pracowników i pracowników, których to dotyczy, że będzie w stosunku do nich wykorzystywany system AI wysokiego ryzyka. Informacje te przekazuje się, w stosownych przypadkach, zgodnie z zasadami i procedurami ustanowionymi w prawie Unii i prawie krajowym oraz praktyką w zakresie informowania pracowników i ich przedstawicieli.
Podmioty stosujące systemy AI obowiązkowo podejmują środki w celu zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu, z uwzględnieniem ich wiedzy technicznej, doświadczenia, wykształcenia i wyszkolenia oraz kontekstu, w którym systemy AI mają być wykorzystywane, a także biorąc pod uwagę osoby lub grupy osób, wobec których systemy AI mają być wykorzystywane.
Ocena skutków systemów AI wysokiego ryzyka dla praw podstawowych
Przed wdrożeniem systemu AI wysokiego ryzyka może się również, w przypadkach określonych w AI Act, okazać konieczne przeprowadzenie oceny skutków w zakresie praw podstawowych, jakie może wywołać wykorzystanie takiego systemu.
W tym celu podmioty stosujące przeprowadzają ocenę obejmującą:
- opis procesów podmiotu stosującego, w których system AI wysokiego ryzyka będzie wykorzystywany zgodnie z jego przeznaczeniem;
- opis okresu, w którym każdy system AI wysokiego ryzyka ma być wykorzystywany i opis częstotliwości tego wykorzystywania;
- kategorie osób fizycznych i grup, na które może mieć wpływ wykorzystywanie systemu;
- szczególne ryzyko szkody, które może mieć wpływ na kategorie osób fizycznych lub grupy osób, z uwzględnieniem informacji przekazanych przez dostawcę;
- opis wdrożenia środków nadzoru ze strony człowieka, zgodnie z instrukcją obsługi;
- środki, jakie należy podjąć w przypadku urzeczywistnienia się tego ryzyka, w tym ustalenia dotyczące zarządzania wewnętrznego i mechanizmów rozpatrywania skarg.
W podobnych przypadkach podmiot stosujący może polegać na wcześniej przeprowadzonych ocenach skutków dla praw podstawowych lub na istniejących ocenach skutków przeprowadzonych przez dostawcę. Jeżeli w trakcie wykorzystania systemu AI wysokiego ryzyka podmiot stosujący uzna, że którykolwiek z elementów wymienionych wyżej uległ zmianie lub nie jest już aktualny, podmiot ten podejmuje niezbędne kroki w celu aktualizacji informacji.
Po przeprowadzeniu oceny podmiot stosujący powiadamia organ nadzoru rynku o jej wynikach, przedkładając jako element tego powiadomienia wypełniony wzór określony w AI Act.
Obowiązki podmiotów stosujących niektóre systemy AI
Podmioty stosujące systemy rozpoznawania emocji lub systemy kategoryzacji biometrycznej informują osoby fizyczne, wobec których systemy te są stosowane, o fakcie ich stosowania i przetwarzają dane osobowe zgodnie z właściwymi przepisami.
Obowiązek ten nie ma zastosowania do systemów AI wykorzystywanych do kategoryzacji biometrycznej i rozpoznawania emocji, których wykorzystywanie jest dozwolone z mocy prawa do celów wykrywania przestępstw, przeciwdziałania im i prowadzenia postępowań przygotowawczych w ich sprawach, z zastrzeżeniem odpowiednich zabezpieczeń w zakresie praw i wolności osób trzecich oraz zgodnie z prawem Unii.
Obowiązek ten nie ma zastosowania, w przypadku gdy wykorzystywanie jest dozwolone na mocy prawa w celu wykrywania przestępstw, zapobiegania im, prowadzenia postępowań przygotowawczych w ich sprawie lub ścigania ich sprawców.
W przypadku gdy treść stanowi część pracy lub programu o wyraźnie artystycznym, twórczym, satyrycznym, fikcyjnym lub analogicznym charakterze, obowiązki w zakresie przejrzystości ograniczają się do ujawnienia istnienia takich wygenerowanych lub zmanipulowanych treści w odpowiedni sposób, który nie utrudnia wyświetlania lub korzystania z utworu.
Podmioty stosujące system AI, który generuje tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym lub manipuluje takim tekstem, ujawniają, że tekst został sztucznie wygenerowany lub zmanipulowany.
Obowiązek ten nie ma zastosowania, w przypadku gdy wykorzystywanie jest dozwolone na mocy prawa w celu wykrywania przestępstw, zapobiegania im, prowadzenia postępowań przygotowawczych w ich sprawie lub ścigania ich sprawców lub w przypadku gdy treści wygenerowane przez AI zostały poddane weryfikacji przez człowieka lub kontroli redakcyjnej i gdy za publikację treści odpowiedzialność redakcyjną ponosi osoba fizyczna lub prawna.
Zgłaszanie poważnych incydentów
Jeżeli podmiot stosujący nie jest w stanie skontaktować się z dostawcą, dokonuje zgłoszenia poważnych incydentów organom nadzoru rynku tego państwa członkowskiego, w którym wystąpił dany incydent.
Zgłoszenia dokonuje się natychmiast po ustaleniu związku przyczynowo-skutkowego między systemem AI a poważnym incydentem lub dostatecznie wysokiego prawdopodobieństwa wystąpienia takiego związku, nie później jednak niż w terminie 15 dni od dnia, w którym podmiot stosujący dowiedział się o wystąpieniu poważnego incydentu.
Termin na dokonanie zgłoszenia uwzględnia dotkliwość danego poważnego incydentu.
W przypadku gdy nastąpi śmierć osoby, zgłoszenia dokonuje się natychmiast po stwierdzeniu przez podmiot stosujący wystąpienia lub podejrzenia wystąpienia związku przyczynowo-skutkowego między systemem AI wysokiego ryzyka a poważnym incydentem, nie później jednak niż w terminie 10 dni od dnia, w którym dostawca lub, w stosownych przypadkach, podmiot stosujący AI dowiedzieli się o wystąpieniu danego poważnego incydentu.
Polecamy:
