Regulacje prawne działania AI – rozporządzenie UE o sztucznej inteligencji – omówienie, kontrowersje, opinie, jak daleko powinno sięgać.

‍ W dniu 2 lutego 2025 r.weszły w życie nowe przepisy regulujące funkcjonowanie rynku sztucznej inteligencji na obszarze Unii Europejskiej – nowa regulacja została wprowadzonaza pośrednictwem rozporządzenia Parlamentu Europejskiego i Rady (UE), a więc mamoc wiążącą i nie wymaga dla swojego obowiązywania wprowadzenia odrębnej ustawyw Polsce – potocznie rozporządzenie przyjęło nazwę AI Act[i].

‍ Czym jest AI Act i jaki był cel jego wprowadzenia?

‍

Jak wskazuje się w preambule do rozporządzenia, jego celem jest poprawa funkcjonowania rynku wewnętrznego przezustanowienie jednolitych ram prawnych, w szczególności w zakresie rozwoju,wprowadzania do obrotu, oddawania do użytku i wykorzystywania systemów sztucznej inteligencji. Dalej celem jest również promowanie upowszechnianie zorientowanej na człowieka i godnej zaufania sztucznej inteligencji przy jednoczesnym zapewnieniu wysokiego poziomu ochrony zdrowia oraz bezpieczeństwa.

Kontrowersje związane z wprowadzeniem AI Act.

AI Act już na etapie wczesnych prac stanowił źródło kontrowersji, których wyraz stanowią nie tylkoliczne artykuły internetowe, w których treści dokonywano analizy fragmentów aktu, czy wskazywano na głosy krytyczne wobec jego brzmienia[ii], ale również dyskusje różnych przedstawicieli prawa.

Przed wejściem w życie przepisówAI Act zwracano szczególną uwagę na kwestię definicji sztucznej inteligencji,która pierwotnie odnosiła się do oprogramowania, które zostało zaprojektowane przy użyciu jednej z metod wymienionych w odpowiednim załączniku[iii]. Rozwiązanie to budziło wątpliwości. Czy takie ukształtowanie definicji sztucznej inteligencji nie obejmie swoim zakresem również systemów, które już obecnie w życiu codziennym stosowane są przykładowo do rozpoznawania twarzy przy odblokowywaniu smartfonu,czy monitorowania przestrzeni publicznej?

Główną kontrowersją wprzedmiocie regulowania sztucznej inteligencji był więc zakres jegozastosowania, podnoszono bowiem, że zbyt szerokie zastosowanie rozporządzeniamoże uniemożliwić lub znacznie utrudnić funkcjonowanie już obecnie wypracowanychrozwiązań. Ale również zatrzymać rozwój nowych podmiotów, które swoje działanieopierają na badaniach nad sztuczną inteligencją.

Obecnie definicja sztucznej inteligencji znajduje się w art. 3 pkt 1 rozporządzenia, który stanowi, iż „systemAI” oznacza system maszynowy, który został zaprojektowany do działania z różnym poziomem autonomii po jego wdrożeniu oraz który może wykazywać zdolność adaptacji po jego wdrożeniu, a także który – na potrzeby wyraźnych lub do rozumianych celów – wnioskuje, jak generować na podstawie otrzymanych danych wejściowych wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne.

Ostatecznie opracowan adefinicja jest bardzo ogólna, wydaje się więc, że ostatecznie o zakresie zastosowania AI Act zadecyduje praktyka orzecznicza sądów oraz sposób działania organów, które mają zostać powołane przez państwa do nadzorowania rynku sztucznej inteligencji.

Przedstawiciele gigantów technologicznych, którzy również byli obecni przy procesie formułowania treści aktu zwracali również uwagę na wiele innych istotnych szczegółów. Podnoszono,że planowana regulacja jest zbyt restrykcyjna i będzie tłumić innowacje sprawiając, że Unia Europejska pozostanie w tyle w rozwoju sztucznej inteligencji[iv].Wskazywano również, że przepisy i definicje rozporządzenia są zbyt ogólne i niejednoznaczne co będzie powodować ogromne ryzyko dla firm próbujących się dostosować do nowo wprowadzonego prawa.

Systemy AI wysokiego ryzyka –czy inteligentne chatboty zostaną zakazane?

Podstawowym założeniem możliwości zastosowania konkretnych przepisów AI Act wobec danych produktów spełniających definicję „systemu AI” jest analiza ryzyka jakie dany produkt stanowi dla bezpieczeństwa praw osób korzystających z nowych rozwiązań[v].

W tym zakresie produkty wykorzystujące sztuczną inteligencję podzielono na: zakazane praktyki, systemy wysokiego ryzyka oraz systemy ryzyka innego niż wysokie. Zakazane praktyk i wymieniono w treści art. 5 rozporządzenia, wedle którego zakazuje się praktyk wzakresie AI:

1)   stosujących techniki podprogowe lub wpływające na słabości określonej wrażliwej grupy (np. ze względu na ich wiek,niepełnosprawność, sytuację ekonomiczną czy zaburzenia psychiczne), które mogą ograniczyć zdolność tych osób do świadomego podjęcia decyzji – poznawczo-behawioralna manipulacja ludźmi;

2)   wykorzystujących systemy AI na potrzeby klasyfikacji ludzi na podstawie ich zachowania społecznego lub cech osobistych,cech osobowości, gdy klasyfikacja ta prowadzi do niekorzystnego traktowania tych osób w kontekstach społecznych (za przykład takiego rozwiązania poza Unią Europejską można wskazać system oceny obywateli w Chinach, który na podstawie oceny uzyskanej przez konkretne osoby może ograniczyć ich wolność np. zakaz podróży samolotem[vi])– srocing obywateli;

3)   wykorzystujących systemy AI by przewidzieć ryzyko popełnienia przestępstwa przez daną osobę, wyłącznie na podstawie jej profilowania lub oceny jej cech osobowości i cech charakterystycznych –prognozowanie ryzyka popełnienia przestępstwa przez obywateli;

4)   stosowania systemów AI, które tworzą lub rozbudowują bazy danych służące rozpoznawania twarzy przez ich uzyskiwanie przy użyciu masowego pobierania (np. tworzenie takie bazy poprzez wykorzystanie zdjęć zamieszczonych w mediach społecznościowych) – scraping danych;

5)   wykorzystywania systemów AI do wyciągania wniosków na temat emocji osób w miejscu pracy lub instytucjach edukacyjnych (nie dotyczy to sytuacji, gdy taki system miałby zostać wprowadzony ze względów medycznych lub względów bezpieczeństwa);

6)   wykorzystywania systemów kategoryzacji biometrycznej, które indywidualnie kategoryzowałyby ludzi w oparciu o ich dane biometryczne, by wyciągać wnioski na temat ich rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub światopoglądowych,seksualności lub orientacji seksualnej;

7)   wykorzystywania systemów kategoryzacji biometrycznej w przestrzeni publicznej do celów ścigania przestępstw (od tej zasady istnieją wyjątki, takie systemy można bowiem wykorzystywać np. w sytuacji poszukiwania konkretnych ofiar uprowadzeń, handlu ludźmi lub wykorzystywania seksualnego ludzi, a także poszukiwania osób zaginionych).

Zlekceważenie jednego ze wskazanych zakazów związane jest z dotkliwą sankcją, przykładowo, zgodnie z art.99 ust. 3 rozporządzenia, w przypadku nieprzestrzegania zakazanych praktyk w zakresie AI może zostać wymierzona administracyjna kara pieniężna w wysokości do 35 milionów euro lub nawet w wysokości do 7% całkowitego rocznego światowego obrotu danego podmiotu.

Kolejną kategorią wymienianą w treści AI Act są systemy wysokiego ryzyka, do takich systemów będzie należeć każde rozwiązanie, które spełnia łącznie dwa warunki:

1.    jest przeznaczone do wykorzystania jako (związane z bezpieczeństwem) element produktu objętego unijnym prawodawstwem harmonizacyjnym, wymienionym w zał. I lub sam w sobie jest takim produktem.

2.    produkt, w którym elementem związanym z bezpieczeństwem jest system AI lub system AI sam w sobie jako produkt podlegana podstawie prawodawstwa harmonizacyjnego ocenie zgodności przez stronę trzecią w związku z wprowadzeniem go do obrotu lub oddaniem do użytku.

Powyższe oznacza, że aby dokonać klasyfikacji danego produktu jako systemu wysokiego ryzyka, będzie on musiał jednocześnie być elementem produktu lub produktem związanym z bezpieczeństwem (element produktu lub systemu AI, który spełnia funkcję bezpieczeństwa w przypadku tego produktu lub systemu AI lub którego awaria bądź nieprawidłowe działanie zagrażają zdrowiu i bezpieczeństwu osób lub mienia) i jednocześnie musi być przedmiotem prawodawstwa wymienionego w załączniku I.

Drugim elementem jaki należy ustalić jest fakt, czy dany produkt podlega ocenie zgodności z unijnym prawodawstwem harmonizacyjnym w związku z wprowadzeniem do obrotu lub oddaniem do użytku przez tzw. stronę trzecią.

Podmioty chcące odpowiednio zaklasyfikować swój produkt będą więc musiały zadać sobie pytania:

1.    Czy dany system AI jest produktem, czy elementem produktu?

2.    Jeśli produkt zostanie uznany za element produktu, to czy związany jest z bezpieczeństwem produktu (czy jego awaria lub nieprawidłowe działanie zagrażają zdrowiu i bezpieczeństwu osób i mienia)?

3.    Czy dany produkt podlega ocenie zgodności z unijnym prawodawstwem harmonizacyjnym w związku z wprowadzeniem do obrotu lub oddaniem do użytku przez tzw. stronę trzecią? (Takimi produktami są przykładowo wyroby medyczne – które w celu ich wprowadzenia na wspólny rynek wymagają odpowiedniego certyfikatu zgodności[vii]).

Ponadto, za systemy wysokiego ryzyka uznaje się również systemy, o których mowa w załączniku III dorozporządzenia, a więc:

1)   biometrię (w tym identyfikację osób fizycznychi systemy rozpoznawania emocji);

2)   zarządzanie i operowanie infrastrukturą krytyczną, w tym systemy stanowiące elementy bezpieczeństwa w ramach rozwiązań do zarządzania ruchem (np. lotniczym), a także elementy bezpieczeństwa w ramach rozwiązań do dostarczania mediów (np. woda i prąd) czy w zakresie krytycznej infrastruktury cyfrowej;

3)   edukację i kształcenie zawodowe;

4)   zatrudnienie, pracę i samozatrudnienie (w tym systemy do rekrutacji, jak i oceny i zarządzania pracownikami);

5)   dostęp do kluczowych prywatnych usług (Essential Private Services), takich jak ochrona zdrowia i dostęp do mediów(np. woda i ogrzewanie), ocena zdolności kredytowej, dostęp do ubezpieczeń na życie i zdrowotnych, czy „ratunkowe” usługi publiczne (np. system decydujący o priorytetach wysłania karetki czy wozu strażackiego);

6)   egzekwowanie prawa;

7)   migrację, kwestie dot. azylu i kontroligranicznej;

8)   zarządzanie sprawiedliwością i procesami demokratycznymi (np. systemy, które mogą wpływać na wynik wyborów);

9)   wykorzystanie przez wielkie platformy social media do rekomendowania treści.

Należy zatem zauważyć, iż system klasyfikacji systemów AI jako systemów wysokiego ryzyka jest dalece złożony i wymaga obszernej analizy oferowanego produktu. Klasyfikacja danego systemu jako systemu wysokiego ryzyka będzie wiązała się z dodatkowymi obowiązkami podmiotów oferujących taki produkt, w tym między innymi obowiązek raportowania organom nadzoru poważnych incydentów w ich działaniu (w terminie 72 godzin odnabycia o nich wiedzy), czy rejestracji w publicznej, powszechnie dostępnej bazie danych Unii Europejskiej.

Pozostałe systemy, które nie zostaną zakwalifikowane, ani jako zakazane praktyki, ani jako systemy wysokiego ryzyka, nie będą musiały spełniać szczególnie skomplikowanych wymagań. Odnosząc się natomiast do zadanego wcześniej pytania należy stwierdzić, że chatboty korzystające ze sztucznej inteligencji nie zostaną zakazane jeśli nie będą stosować zakazanych praktyk, które zostały wyżej opisane. Przy odpowiedniej klasyfikacji mogą zostać uznane za systemy wysokiego ryzyka lub tzw. systemy ogólnego przeznaczenia, które w świetle nowej regulacji dostawca ma obowiązek zgłosić Komisji Eurpoejskiej.

Czy wprowadzenie przepisów regulujących sztuczną inteligencję należy uznać za nadmierną regulację?

Sytuacja związana z wprowadzeniem AI Act przez wiele osób porównywana jest do przepisów RODO, które wprowadziły niemałe zamieszanie w momencie, gdy były uchwalane. Obecnie również nowym przepisom zarzuca się nadmierną regulację nowej gałęzi gospodarki, która dopiero zaczyna się rozwijać. Pojawiają się głosy wskazujące, że nadmierna regulacja ograniczy ilość możliwych do przetwarzania danych, na podstawie których sztuczna inteligencja jest udoskonalana. Jednocześnie często zaznacza się, że państwa takie jak Chiny, z uwagi na brak ograniczeń w tym zakresie mogą dużo łatwiej rozwijać technologię, która przez wielu określana jest jako kluczowa dla przyszłej gospodarki.

W kontrze do takiego stanowiska pojawiają się jednak zdania, iż taka regulacja jest konieczna.Sztuczna inteligencja już obecnie ma bardzo duży wpływ na nasze życie i stwarza realne zagrożenia takie jak:

-        brak przejrzystości –sposób podejmowania decyzji przez sztuczną inteligencję nie jest przejrzysty i jednoznacznie zrozumiały dla jej użytkowników, treści generowane przez sztuczną inteligencję bardzo często nie są oznaczane przez jej użytkowników i mogą wprowadzać w błąd osoby trzecie (np. deepfake);

-        zagrożenie dla bezpieczeństwa w przypadku błędu systemu, który ma zastosowanie w sektorach krytycznych (takich jak transport czy infrastruktura);

-        uprzedzenia i dyskryminacja –sztuczna inteligencja ćwiczona na nieobiektywnych i niewłaściwie selekcjonowanych danych może w sposób niezamierzony szerzyć uprzedzenia i dyskryminację;

-        naruszanie praw podstawowych – zastosowanie sztucznej inteligencji bez ograniczeń może naruszać prywatność, wolność słowa i inne prawa osób trzecich.[viii]

Obecnie nie można jednoznacznie wskazać, czy przepisy AI Act są adekwatną odpowiedzią na dynamiczny rozwój sztucznej inteligencji. Przepisy rozporządzenia funkcjonują od paru miesięcy, a część z nich nie została jeszcze wprowadzona. W powyższym zakresie nie ukształtowała się jeszcze praktyka orzecznicza sądów, a państwa nie powołały właściwych urzędów odpowiedzialnych za kontrolę i wdrażanie regulacji.

Na stronie informacyjnej Ministerstwa Cyfryzacji opublikowano jednak komunikat, w którym wskazano, że Ministerstwo pracuje już nad projektem ustawy, która pozwoli na stosowanie AI Act w Polsce. Należy więc spodziewać się dalszych etapów wprowadzania rozwiązań AI Act wżycie.[ix]

[i] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. wsprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE)nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji)

[ii] https://cyberdefence24.pl/polityka-i-prawo/kontrowersje-wokol-ai-act-stracona-szansa-czy-konieczny-kompromis

[iii] https://open.spotify.com/episode/1QX2GwlcgqwYAeVCiete3r?si=7tIQaBG9T5axBJx6IG6M_Q

[iv] https://www.bankier.pl/wiadomosc/Meta-Trump-i-wojna-o-sztuczna-inteligencje-Dolina-Krzemowa-walczy-z-Unia-Europejska-8894798.html

[v] https://itwiz.pl/ai-act-totalna-regulacja-sztucznej-inteligencji-w-ue/

[vi] https://www.kochanski.pl/chinski-system-zaufania-spolecznego/

[vii] Art. 5pkt 1-2 oraz inne przepisy Rozporządzenia Parlamentu Europejskiego i Rady2017/745 z dnia 5 kwietnia 2017 r. w sprawie wyrobów medycznych, zmiany dyrektywy 2001/83/WE, rozporządzenia (WE) nr 178/2002 i rozporządzenia (WE) nr1223/2009 oraz uchylenia dyrektyw Rady 90/385/EWG i 93/42/EWG ( dalej jako rozporządzenie).

[viii] https://www.consilium.europa.eu/pl/policies/benefits-and-risks-of-ai/#risks

[ix] https://www.gov.pl/web/cyfryzacja/europejski-ai-act-opublikowany

‍