Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji – co musisz wiedzieć?

Dynamiczny rozwój technologii opartych na sztucznej inteligencji wymusił na ustawodawcy wprowadzenie nowych ram prawnych, co finalnie doprowadziło do powołania wyspecjalizowanego organu nadzorczego. Kluczową rolę w polskim systemie prawnym odgrywać będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, której kompetencje, uprawnienia kontrolne oraz decyzyjne stają się obecnie przedmiotem ożywionej dyskusji w środowisku biznesowym.

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji – nowy nadzór rynku

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jest organem uregulowanym w nowej ustawie o systemach sztucznej inteligencji. Akt ten stanowi prawną podstawę do rozpoczęcia kształtowania struktury instytucjonalnej organu nadzorczego w Polsce.

Zgodnie z art. 5 ust. 1 ustawy Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jest organem nadzoru rynku w rozumieniu art. 70 ust. 1 AI Act. Jednocześnie, na podstawie art. 5 ust. 2 ustawy, pełni funkcję pojedynczego punktu kontaktowego (Single Point of Contact), o którym mowa w art. 70 ust. 2 AI Act. Oznacza to, że będzie odpowiadała nie tylko za krajowy nadzór nad systemami sztucznej inteligencji, ale również za współpracę z Komisją Europejską oraz organami nadzorczymi pozostałych państw członkowskich.

KRiBSI będzie organem kolegialnym, którego skład określa art. 19 ustawy. Jak wskazuje ust. 1 tego przepisu, w skład Komisji wchodzą:

1. Przewodniczący Komisji;
2. dwóch Zastępców Przewodniczącego Komisji;
3. czterech członków Komisji wskazanych przez:
4. Prezesa Urzędu Ochrony Konkurencji i Konsumentów,
5. Komisję Nadzoru Finansowego,
6. Krajową Radę Radiofonii i Telewizji,
7. Prezesa Urzędu Komunikacji Elektronicznej.

To rozwiązanie ma zapewnić połączenie doświadczeń organów odpowiedzialnych za ochronę konkurencji, rynek finansowy, media oraz komunikację elektroniczną. Takie łączenie różnych działów prawo-gospodarczych jest konieczne z punktu widzenia skutecznego nadzoru, który to wymaga współpracy wielu wyspecjalizowanych instytucji. Komisja ma stać się centralnym punktem koordynującym działania wszystkich organów odpowiedzialnych za bezpieczeństwo i zgodność systemów AI.

Jakie zadania realizuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji?

W debacie publicznej Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji przedstawiana jest przede wszystkim jako nowy organ, mający kontrolować działalność przedsiębiorców w kwestii AI. Należy jednak wskazać, że analiza art. 6 ustawy prowadzi do wniosków, iż jej uprawnienia będą o wiele szersze. Ustawodawca powierzył jej bowiem nie tylko funkcje nadzorcze, ale również zadania związane z rozwojem rynku sztucznej inteligencji.

Przede wszystkim Komisja będzie sprawowała kontrolę przestrzegania przepisów AI Act oraz ustawy o systemach sztucznej inteligencji (art. 6 pkt 1). Jednocześnie będzie wykonywała wszystkie kompetencje organu nadzoru rynku przewidziane w AI Act (art. 6 pkt 7).

Za istotne należy uznać także zadania o charakterze strategicznym. Zgodnie z art. 6 pkt 3 i 14 KRiBSI będzie monitorowała rozwój technologii AI, wspierała innowacyjność oraz podejmowała działania sprzyjające rozwojowi sztucznej inteligencji w Polsce. Z kolei art. 6 pkt 5 przewiduje jej udział w opiniowaniu projektów dokumentów rządowych oraz projektów aktów prawnych dotyczących AI. Co więcej, w pkt 16 czytamy, iż KRiBSI będzie współpracowała z dostawcami sztucznej inteligencji ogólnego przeznaczenia.

Komisja stanie się również ważnym ośrodkiem interpretacji prawa. Na podstawie art. 6 pkt 13 będzie wydawała opinie indywidualne oraz wyjaśnienia dotyczące stosowania zarówno ustawy, jak i AI Act. Dla przedsiębiorców może to oznaczać możliwość uzyskania oficjalnego stanowiska organu jeszcze przed wdrożeniem określonego rozwiązania opartego na sztucznej inteligencji – pozwoli im to na oszczędność czasu i środków, gdyby okazało się, że projekt jest niezgodny z przepisami prawa.

Ponadto do zadań KRiBSI należeć będzie opracowywanie i wydawanie publikacji oraz realizacja programów edukacyjnych popularyzujących wiedzę o AI (art. 6 pkt 8), tworzenie i zarządzanie piaskownicami regulacyjnymi (art. 6 pkt 11) oraz prowadzenie rejestru skarg dotyczących naruszeń przepisów (art. 6 pkt 12).

Jak szerokie będą uprawnienia kontrolne KRiBSI?

Największe zainteresowanie budzą kompetencje kontrolne Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Projekt ustawy przewiduje bowiem, że Komisja będzie mogła prowadzić kontrole przestrzegania zarówno AI Act, jak i krajowych przepisów wykonujących to rozporządzenie.

Kontrola będzie mogła zostać wszczęta na podstawie stosownego planu (art. 48 ust. 2 ustawy). Możliwa będzie również kontrola doraźna (pozaplanowa), w przypadku spełnienia się przesłanek ustawowych. Co więcej, może być ona wszczęta z urzędu lub na wniosek Przewodniczącego Komisji, Zastępcy Przewodniczącego Komisji lub członka Komisji, a także na wniosek krajowego organu lub podmiotu publicznego, o których mowa w art. 77 ust. 1 rozporządzenia 2024/1689.

Proces ten nie będzie jednak przebiegał w nieznany dotąd sposób, ustawa bowiem odsyła bezpośrednio do Prawa przedsiębiorców. Ustawodawca zdecydował się na wykorzystanie istniejących mechanizmów, jednocześnie przyznając Komisji dodatkowe kompetencje wynikające ze specyfiki nadzoru nad systemami sztucznej inteligencji. Co istotne, zasadą generalną jest, że kontrola będzie przeprowadzana w całości zdalnie. Jedynie w przypadku uzasadnionego podejrzenia wystąpienia szkody dla życia, zdrowia, bezpieczeństwa lub praw podstawowych konsumentów, Komisja może wydać postanowienie o przeprowadzeniu części albo całości czynności kontrolnych w siedzibie przedsiębiorcy.

Kontrolę będzie przeprowadzał upoważniony pracownik urzędu reprezentujący ministra właściwego do spraw informatyzacji. W określonych sytuacjach do czynności kontrolnych będą mogli zostać włączeni również przedstawiciele organów nadzoru innych państw członkowskich Unii Europejskiej lub Komisji Europejskiej. Rozwiązanie to wynika bezpośrednio z mechanizmów współpracy przewidzianych w AI Act i ma zapewnić jednolite stosowanie przepisów na całym rynku unijnym.

Uprawnienia kontrolującego

Zakres uprawnień kontrolujących będzie bardzo szeroki. Kontrolujący uzyskają między innymi prawo do:

1. żądania udostępnienia związanych z przedmiotem kontroli materiałów, dokumentów, korespondencji przesyłanej drogą elektroniczną, informatycznych nośników danych oraz innych urządzeń zawierających dane;
2. żądania zapewnienia dostępu do systemów informatycznych i teleinformatycznych oraz chmury obliczeniowej będących własnością innego podmiotu, zawierających dane kontrolowanego związane z przedmiotem kontroli, w zakresie, w jakim kontrolowany ma do nich dostęp;
3. dostępu do związanych z przedmiotem kontroli materiałów, dokumentów i innych danych niezbędnych do przeprowadzenia kontroli;
4. zabezpieczania materiałów, dokumentów i innych danych, o których mowa w pkt 1;
5. sporządzania niezbędnych do kontroli kopii lub wyciągów z materiałów, dokumentów i innych danych, o których mowa w pkt 1, jak również zestawień i obliczeń na podstawie dokumentów lub elektronicznych baz danych;
6. żądania złożenia ustnych lub pisemnych wyjaśnień w sprawach związanych z przedmiotem kontroli;
7. przetwarzania danych osobowych w zakresie niezbędnym do realizacji celu kontroli;
8. utrwalania kontroli lub poszczególnych czynności podejmowanych w jej toku, za pomocą urządzeń rejestrujących obraz lub dźwięk, w celu zapewnienia ich prawidłowego przebiegu – po uprzednim poinformowaniu kontrolowanego.

Na szczególną uwagę zasługuje możliwość skorzystania z pomocy policji oraz jednostek podległych ministrowi właściwemu do spraw informatyzacji. Ustawa przewiduje taką możliwość w sytuacjach, gdy wsparcie będzie niezbędne do skutecznego przeprowadzenia kontroli. Pokazuje to, że ustawodawca zamierza wyposażyć Komisję w realne instrumenty egzekwowania przepisów, a nie jedynie kompetencje o charakterze doradczym.

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji będzie wydawać decyzje i nakładać kary

Zapoznając się z treścią ustawy, już na pierwszy rzut oka widać, że Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji nie będzie kolejnym organem pełniącym wyłącznie funkcję opiniodawczą, stworzoną jedynie po to, aby wypełnić obowiązki wobec UE. Będzie to instytucja, która połączy zadania regulatora rynku, organu kontrolnego oraz podmiotu wspierającego rozwój innowacji.

Komisja przy tym nie ograniczy się wyłącznie do prowadzenia kontroli. Ustawodawca wyposażył ją również w kompetencje władcze, umożliwiające wydawanie decyzji administracyjnych oraz stosowanie środków przewidzianych zarówno w AI Act, jak i ustawie o systemach sztucznej inteligencji.

Już art. 6 pkt 6 ustawy wskazuje, że jednym z jej podstawowych zadań będzie wydawanie postanowień i decyzji w sprawach dotyczących naruszenia przepisów AI Act oraz ustawy. Oznacza to, że postępowanie kontrolne może zakończyć się wydaniem wiążącego rozstrzygnięcia administracyjnego nakładającego określone obowiązki na przedsiębiorcę lub inny podmiot stosujący systemy AI, w tym administracyjnych kar pieniężnych (art. 104 ustawy).

Co więcej, projekt przewiduje możliwość jednoczesnego zastosowania kilku środków prawnych. Przepisy dopuszczają zarówno nałożenie administracyjnej kary pieniężnej, jak i wydanie decyzji nakazującej wycofanie systemu AI z rynku, zakazanie jego dalszego wykorzystywania lub zastosowanie innej sankcji administracyjnej. Takie rozwiązanie znacząco zwiększa skuteczność egzekwowania przepisów.

Kary pieniężne są naprawdę wysokie

Na koniec trzeba jeszcze zwrócić uwagę na to, jak wysokie mogą być kary administracyjne za nieprzestrzeganie przepisów AI Act oraz omawianej ustawy.

Podstawę prawną nakładania sankcji stanowią przepisy AI Act, do których odsyła ustawa krajowa. Jak czytamy w art. 99 ust. 3 rozporządzenia UE, nieprzestrzeganie zakazu praktyk w zakresie AI podlega administracyjnej karze pieniężnej w wysokości:

• do 35 mln euro lub
• jeżeli sprawcą naruszenia jest przedsiębiorstwo – w wysokości do 7% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego

– w zależności od tego, która z tych kwot jest wyższa.

Przy ustalaniu wysokości sankcji Komisja będzie zobowiązana uwzględniać przesłanki wskazane w art. 99 ust. 7 AI Act, takie jak charakter naruszenia, jego czas trwania, skala oddziaływania, stopień zawinienia czy działania podjęte przez przedsiębiorcę w celu ograniczenia skutków naruszenia.