Sztuczna inteligencja na dobre weszła do codziennej działalności przedsiębiorców. Narzędzia takie jak ChatGPT, Microsoft Copilot czy Gemini wspierają tworzenie treści, analizę dokumentów, obsługę klienta i procesy rekrutacyjne. Wraz z ich rosnącą popularnością zaczęły jednak pojawiać się pytania o odpowiedzialność za sposób ich wykorzystywania. Odpowiedzią ustawodawcy unijnego jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (AI Act). Choć nowe regulacje w pierwszej kolejności kojarzone są z producentami systemów AI, w wielu przypadkach obowiązki wynikające z rozporządzenia dotyczą również przedsiębiorców korzystających z gotowych rozwiązań.
AI Act - pierwsza kompleksowa regulacja sztucznej inteligencji w Unii Europejskiej
AI Act jest pierwszym na świecie aktem prawnym kompleksowo regulującym rozwój, wprowadzanie do obrotu oraz wykorzystywanie systemów sztucznej inteligencji. Jego celem jest stworzenie jednolitych zasad zapewniających bezpieczne stosowanie AI przy jednoczesnym wspieraniu innowacyjności i konkurencyjności przedsiębiorstw działających na rynku Unii Europejskiej.
Podstawowym aktem prawnym jest rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji. Podobnie jak RODO, ma ono charakter rozporządzenia, a więc obowiązuje bezpośrednio we wszystkich państwach członkowskich bez konieczności implementacji do prawa krajowego.
Kluczowe znaczenie ma również definicja systemu AI zawarta w art. 3 pkt 1 AI Act. Zgodnie z nią system sztucznej inteligencji to system maszynowy zaprojektowany do działania z różnym poziomem autonomii, który po wdrożeniu może wykazywać zdolność adaptacji i na podstawie danych wejściowych generuje wyniki, takie jak przewidywania, treści, rekomendacje lub decyzje wpływające na środowisko fizyczne albo wirtualne.
Rozporządzenie opiera się na podejściu opartym na ryzyku. Nie zakazuje ono korzystania ze sztucznej inteligencji, lecz uzależnia zakres obowiązków od wpływu danego systemu na prawa i bezpieczeństwo osób fizycznych. W praktyce AI Act wyróżnia systemy zakazane (art. 5), systemy wysokiego ryzyka (art. 6 i nast.), systemy objęte obowiązkami w zakresie przejrzystości (art. 50) oraz systemy o minimalnym poziomie ryzyka.
Czy zwykły przedsiębiorca korzystający z ChatGPT podlega AI Act?
Wbrew powszechnemu przekonaniu AI Act nie dotyczy wyłącznie twórców modeli sztucznej inteligencji. Rozporządzenie posługuje się kilkoma kategoriami uczestników rynku, w tym dostawcą (provider), podmiotem stosującym (deployer), importerem oraz dystrybutorem (art. 3 AI Act). Zdecydowana większość przedsiębiorców korzystających z gotowych narzędzi będzie występowała właśnie jako podmiot stosujący.
Samo korzystanie z ChatGPT do przygotowania projektu umowy, opracowania treści marketingowych czy uporządkowania dokumentacji co do zasady nie powoduje powstania najbardziej rygorystycznych obowiązków wynikających z AI Act. Znaczenie ma przede wszystkim cel wykorzystania systemu.
Inaczej sytuacja wygląda w przypadku wykorzystywania AI do:
- selekcji kandydatów do pracy,
- oceny pracowników,
- podejmowania decyzji kredytowych,
- profilowania klientów,
- automatycznego podejmowania decyzji wywołujących skutki prawne wobec osób fizycznych.
W takich przypadkach przedsiębiorca powinien każdorazowo przeanalizować, czy wykorzystywany system nie został zakwalifikowany jako system wysokiego ryzyka lub czy nie podlega innym obowiązkom wynikającym z AI Act.
Na szczególną uwagę zasługuje również art. 4 AI Act, który nakłada na dostawców oraz podmioty stosujące obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie sztucznej inteligencji (AI literacy). Oznacza to, że osoby korzystające z systemów AI powinny posiadać wiedzę pozwalającą na świadome i bezpieczne wykorzystywanie takich narzędzi. W praktyce może to oznaczać konieczność organizowania szkoleń oraz opracowania wewnętrznych zasad korzystania ze sztucznej inteligencji.
Systemy wysokiego ryzyka - kiedy zaczynają się rzeczywiste obowiązki?
Najbardziej rozbudowane obowiązki przewidziane przez AI Act dotyczą systemów wysokiego ryzyka. Ich katalog został określony przede wszystkim w załączniku III do rozporządzenia i obejmuje m.in. rozwiązania wykorzystywane w procesach rekrutacyjnych, edukacji, ochronie zdrowia, sektorze finansowym, infrastrukturze krytycznej czy wymiarze sprawiedliwości.
Nie oznacza to jednak, że każda firma działająca w tych sektorach automatycznie wykorzystuje system wysokiego ryzyka. Każdorazowo konieczna jest analiza konkretnego zastosowania sztucznej inteligencji oraz funkcji pełnionej przez dany system.
Jeżeli przedsiębiorca korzysta z systemu wysokiego ryzyka, powinien spełnić szereg wymagań określonych w rozdziale III AI Act. Obejmują one między innymi wdrożenie systemu zarządzania ryzykiem (art. 9), zapewnienie odpowiedniej jakości danych wykorzystywanych do trenowania i testowania systemu (art. 10), prowadzenie dokumentacji technicznej (art. 11), automatyczne rejestrowanie zdarzeń (art. 12), zapewnienie odpowiedniej przejrzystości działania systemu (art. 13), skutecznego nadzoru człowieka (art. 14) oraz odpowiedniego poziomu dokładności, cyberbezpieczeństwa i odporności systemu (art. 15).
W praktyce oznacza to, że odpowiedzialność za zgodne z prawem wykorzystanie sztucznej inteligencji nie spoczywa wyłącznie na producencie oprogramowania. Także przedsiębiorca wykorzystujący dany system powinien stosować go zgodnie z przeznaczeniem oraz przestrzegać obowiązków wynikających z rozporządzenia.
Jak przygotować firmę do AI Act? Praktyczne działania, które warto podjąć
Przygotowanie przedsiębiorstwa do stosowania AI Act powinno rozpocząć się od identyfikacji wszystkich narzędzi wykorzystujących sztuczną inteligencję. W wielu organizacjach z rozwiązań AI korzystają poszczególni pracownicy bez wiedzy zarządu lub działu compliance, co utrudnia ocenę zgodności z obowiązującymi przepisami.
Kolejnym krokiem jest określenie celu wykorzystania poszczególnych systemów oraz ustalenie, czy nie należą one do kategorii systemów wysokiego ryzyka. Warto również zweryfikować dokumentację dostawców, warunki świadczenia usług oraz kwestie związane z przetwarzaniem danych osobowych.
Dobrą praktyką jest opracowanie wewnętrznej polityki korzystania ze sztucznej inteligencji. Taki dokument może określać zasady wykorzystywania narzędzi AI przez pracowników, obowiązek weryfikacji treści generowanych przez sztuczną inteligencję, zakres odpowiedzialności poszczególnych osób oraz procedury reagowania na nieprawidłowości.
Nie mniej istotne pozostają szkolenia pracowników. Obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie AI wynika wprost z art. 4 AI Act, jednak z perspektywy przedsiębiorcy stanowi również element należytej staranności i ograniczania ryzyka prawnego.
Przygotowanie organizacji do AI Act nie powinno ograniczać się wyłącznie do analizy samego rozporządzenia. W praktyce wykorzystanie sztucznej inteligencji bardzo często wiąże się z przetwarzaniem danych osobowych, koniecznością zapewnienia zgodności z RODO, ochroną tajemnicy przedsiębiorstwa czy przestrzeganiem przepisów prawa pracy. Dlatego wdrożenie AI Act powinno stanowić element szerszego systemu compliance funkcjonującego w przedsiębiorstwie.
Podsumowanie
AI Act nie zakazuje korzystania ze sztucznej inteligencji. Wprowadza jednak ramy prawne, które mają zapewnić bezpieczne, transparentne i odpowiedzialne wykorzystywanie systemów AI na rynku Unii Europejskiej. Dla przedsiębiorców oznacza to konieczność świadomego podejścia do wykorzystywanych narzędzi oraz ocenę, czy sposób ich stosowania nie powoduje powstania dodatkowych obowiązków wynikających z rozporządzenia.
Im wcześniej przedsiębiorca przeprowadzi audyt wykorzystywanych rozwiązań oraz wdroży odpowiednie procedury wewnętrzne, tym łatwiej będzie dostosować działalność do nowych wymagań prawnych i ograniczyć ryzyko odpowiedzialności. Jeśli kwestia stosowania AI w przedsiębiorstwie budzi Twoje wątpliwości, skontaktuj się z nami za pomocą formularza poniżej.