Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 roku w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt w sprawie sztucznej inteligencji, AI Act) wprowadza nowe obowiązki dotyczące systemów sztucznej inteligencji. Przeczytaj poniższy artykuł i dowiedz się jak działa nadzór i kary w AI Act!
Nadzór rynku i kontrola systemów AI na rynku Unii
Na poziomie unijnym nadzór będzie realizowany przez Urząd ds. AI, który jest definiowany jako zadanie KE polegające na przyczynianiu się do wdrażania, monitorowania i nadzorowania systemów AI i modeli AI ogólnego przeznaczenia oraz zarządzania AI.
Na poziomie krajowym z kolei nadzór jest realizowany przez wskazany właściwy organ krajowy, tj. organ notyfikujący lub organ nadzoru rynku.
Organ nadzoru rynku państwa członkowskiego zobowiązuje właściwego dostawcę do usunięcia niezgodności w terminie, który może zostać wyznaczony przez ten organ, w przypadku gdy ustali, że:
- oznakowanie CE zostało umieszczone z naruszeniem art. 48 AI Act;
- oznakowanie CE nie zostało umieszczone;
- deklaracja zgodności UE, o której mowa w art. 47 AI Act, nie została sporządzona;
- deklaracja zgodności UE, o której mowa w art. 47 AI Act, została sporządzona nieprawidłowo;
- rejestracja w bazie danych, o której mowa w art. 71 AI Act, UE nie została dokonana;
- upoważniony przedstawiciel nie został, w stosownych przypadkach, ustanowiony;
- brakuje dokumentacji technicznej.
W przypadku gdy niezgodność, o której mowa wyżej, utrzymuje się, krajowy organ nadzoru rynku zainteresowanego państwa członkowskiego podejmuje wszelkie odpowiednie i proporcjonalne środki w celu ograniczenia lub zakazania udostępniania na rynku takiego systemu AI wysokiego ryzyka lub zapewnienia, aby system ten niezwłocznie wycofano z użytku lub z rynku.
W przypadku gdy system AI jest oparty na modelu AI ogólnego przeznaczenia i ten model i system zostały rozwinięte przez tego samego dostawcę, Urząd ds. AI jest uprawniony do monitorowania i nadzorowania zgodności tego systemu AI z obowiązkami wynikającymi z niniejszego rozporządzenia.
W przypadku gdy odpowiednie organy nadzoru rynku mają wystarczające powody, by systemy AI ogólnego przeznaczenia, które mogą być wykorzystywane bezpośrednio przez podmioty stosujące do co najmniej jednego celu, który zgodnie z niniejszym rozporządzeniem został zaklasyfikowany jako wysokiego ryzyka, uznać za niezgodne z wymogami ustanowionymi w niniejszym rozporządzeniu, organy te współpracują z Urzędem ds. AI w zakresie przeprowadzenia ocen zgodności i informują o tym odpowiednio Radę ds. AI i pozostałe organy nadzoru rynku.
W przypadku gdy organ nadzoru rynku nie jest w stanie zakończyć postępowania dotyczącego systemu AI wysokiego ryzyka z uwagi na niemożność dostępu do niektórych informacji związanych z danym modelem AI ogólnego przeznaczenia, pomimo podjęcia wszystkich stosownych wysiłków w zakresie uzyskania tych informacji, może zwrócić się z uzasadnionym wnioskiem do Urzędu ds. AI, który wyegzekwuje dostęp do takich informacji. W takim przypadku Urząd ds. AI udziela organowi wnioskującemu niezwłocznie, a w każdym razie w terminie 30 dni, wszelkich informacji, które Urząd ds. AI uznaje za istotne do celów ustalenia, czy dany system AI wysokiego ryzyka jest niezgodny z wymogami.
Wytyczne dotyczące wysokości kary w AI Act
Zgodnie z zasadami i warunkami ustanowionymi w niniejszym rozporządzeniu państwa członkowskie mają obowiązek ustanowić przepisy dotyczące kar i innych środków egzekwowania prawa, które mogą również obejmować ostrzeżenia i środki niepieniężne, mające zastosowanie w przypadku naruszeń przepisów niniejszego rozporządzenia przez operatorów. Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające. Powinny także uwzględniać interesy MŚP, w tym przedsiębiorstw typu startup, oraz ich sytuację ekonomiczną.
Nieprzestrzeganie któregokolwiek z przepisów dotyczących operatorów lub jednostek notyfikowanych, innych niż przepisy dotyczące systemów zakazanych, podlega administracyjnej karze pieniężnej w wysokości do 15 000 000 EUR lub – jeżeli sprawcą naruszenia jest przedsiębiorstwo – w wysokości do 3% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa (obowiązki z art. 16, 22, 23, 24, 26, 31, 33 ust. 1-3 i 4, 34, 50 AI Act).
Przykład 1.
Spółka dystrybuuje system AI na rynku polskim. Zbadała ona swój system pod kątem ryzyk dla praw podstawowych i ustaliła, że jest to system wysokiego ryzyka. W okresie po wejściu w życie przepisów dotyczących systemów wysokiego ryzyka spółka dopełniła wszelkich obowiązków – zapominając jednak o sporządzeniu deklaracji zgodności dla systemu AI.
Brak sporządzenia deklaracji zgodności dla systemu AI wysokiego ryzyka zagrożone jest karą w wysokości do 15 000 000 EUR lub – jeżeli sprawcą naruszenia jest przedsiębiorstwo – w wysokości do 3% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.
Dostarczanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub właściwym organom krajowym w odpowiedzi na ich wniosek podlega administracyjnej karze pieniężnej w wysokości do 7 500 000 EUR lub – jeżeli sprawcą naruszenia jest przedsiębiorstwo – w wysokości do 1% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.
Wytyczne dotyczące nakładania kar wynikające z AI Act
Przy podejmowaniu decyzji o nałożeniu administracyjnej kary pieniężnej oraz przy ustalaniu jej wysokości w każdej indywidualnej sprawie uwzględnia się wszystkie istotne okoliczności danej sytuacji w każdym indywidualnym przypadku i zwraca się w stosownych przypadkach uwagę na:
- charakter, wagę i czas trwania naruszenia oraz jego konsekwencji, przy uwzględnieniu przeznaczenia systemu AI, a także, w stosownych przypadkach, liczby poszkodowanych osób oraz rozmiaru poniesionej przez nie szkody;
- to, czy inne organy nadzoru rynku nałożyły już na tego samego operatora administracyjne kary pieniężne za to samo naruszenie;
- to, czy inne organy nałożyły już administracyjne kary pieniężne na tego samego operatora za naruszenia innych przepisów prawa Unii lub prawa krajowego, w przypadku gdy takie naruszenia wynikają z tego samego działania lub zaniechania stanowiącego odpowiednie naruszenie niniejszego rozporządzenia;
- wielkość operatora dopuszczającego się naruszenia, jego roczny obrót i udział w rynku;
- wszelkie inne obciążające lub łagodzące czynniki mające zastosowanie do okoliczności sprawy, takie jak powiązane bezpośrednio lub pośrednio z danym naruszeniem osiągnięte korzyści finansowe lub uniknięte straty;
- stopień współpracy z właściwymi organami krajowymi w celu usunięcia naruszenia oraz złagodzenia jego ewentualnych niepożądanych skutków;
- stopień odpowiedzialności operatora, z uwzględnieniem wdrożonych przez niego środków technicznych i organizacyjnych;
- sposób, w jaki właściwe organy krajowe dowiedziały się o naruszeniu, w szczególności, czy i w jakim zakresie operator zgłosił naruszenie;
- umyślny lub wynikający z zaniedbania charakter naruszenia;
- wszelkie działania podjęte przez operatora w celu złagodzenia szkody poniesionej przez poszkodowane osoby.
Każde państwo członkowskie ustanawia przepisy dotyczące określenia, w jakim zakresie na organy i podmioty publiczne ustanowione w tym państwie członkowskim można nakładać administracyjne kary pieniężne.
W zależności od systemu prawnego państw członkowskich przepisy dotyczące administracyjnych kar pieniężnych można stosować w taki sposób, że kary w tych państwach członkowskich są nakładane, stosownie do przypadku, przez właściwe sądy krajowe lub inne odpowiednie organy. Stosowanie takich przepisów w tych państwach członkowskich ma skutek równoważny.
Pieniężne kary w AI Act dla dostawców modeli AI ogólnego przeznaczenia
Komisja może nakładać na dostawców modeli AI ogólnego przeznaczenia kary pieniężne nieprzekraczające 3% ich całkowitego rocznego światowego obrotu w poprzednim roku obrotowym lub 15 000 000 EUR, w zależności od tego, która z tych kwot jest wyższa, jeśli ustali, że dostawca celowo lub w wyniku zaniedbania:
- naruszył odpowiednie przepisy niniejszego rozporządzenia;
- nie zastosował się do wniosku o przedstawienie dokumentu lub informacji zgodnie z art. 91 AI Act lub dostarczył informacje nieprawidłowe, niekompletne lub wprowadzające w błąd;
- nie zastosował się do środka wymaganego na podstawie art. 93 AI Act;
- nie udzielił Komisji dostępu – w celu przeprowadzenia oceny zgodnie z art. 92 AI Act – do modelu AI ogólnego przeznaczenia lub modelu AI ogólnego przeznaczenia z ryzykiem systemowym.
Przy ustalaniu pieniężnej kwoty kary w AI Act lub okresowej kary pieniężnej bierze się pod uwagę charakter, wagę i czas trwania naruszenia, z należytym uwzględnieniem zasad proporcjonalności i adekwatności.
Przed przyjęciem decyzji Komisja przekazuje swoje wstępne ustalenia dostawcy modelu AI ogólnego przeznaczenia i daje mu możliwość bycia wysłuchanym.
