Unijny Akt w sprawie sztucznej inteligencji (AI Act) i jego znaczenie dla przedsiębiorców

W celu ujednolicenia zasad rozwoju i wykorzystywania systemów AI, Unia Europejska przyjęła w 2024 roku tzw. Unijny Akt w sprawie sztucznej inteligencji (AI Act). Jego celem jest wprowadzenie wspólnych standardów i zasad stosowania AI, ze szczególnym uwzględnieniem przejrzystości, ochrony praw podstawowych i przeciwdziałania potencjalnym nadużyciom. Co istotne, AI Act znajduje zastosowanie nie tylko wobec podmiotów mających siedzibę na terenie Unii Europejskiej, ale również do dostawców oferujących systemy AI na rynku unijnym, niezależnie od miejsca ich zarejestrowania. Przepisy rozporządzenia odnoszą się nie tylko do producentów i twórców technologii, ale również do przedsiębiorców wykorzystujących systemy AI w ramach prowadzonej działalności gospodarczej – w tym w sektorze handlu.

Kategorie ryzyka – kwalifikacja systemów AI

Nie każde rozwiązanie określane jako „inteligentne” podlega regulacjom zawartym w AI Act. Rozporządzeniem nie są objęte systemy, które nie wykazują zdolności do uczenia się lub podejmowania decyzji, chociażby częściowo, w sposób autonomiczny. Przykładowo, automatyczne powiadomienie SMS wysyłane po wypełnieniu przez klienta formularza nie stanowi systemu AI w rozumieniu AI Act. Natomiast chatbot oparty na modelu językowym, generujący odpowiedzi w czasie rzeczywistym jest oprogramowaniem wchodzącym w zakres regulacji. Mając na uwadze dużą różnorodność zastosowań systemów AI, unijny ustawodawca zdecydował się na wprowadzenie podziału systemów opartego na ocenie ryzyka. W zależności od tego, do której kategorii ryzyka zostanie zakwalifikowany dany system, różny będzie zakres obowiązków spoczywających na przedsiębiorcy.

W związku z powyższym pierwszym krokiem, jaki powinien podjąć podmiot stosujący różnorakie oprogramowania powinno być ustalenie, czy wykorzystywany przez niego system ma zdolność do uczenia się lub podejmowania decyzji chociażby w częściowo autonomiczny sposób. Jeżeli odpowiedź jest twierdząca, konieczna staje się jego kwalifikacja do jednej z poniższych kategorii ryzyka:

1. niedopuszczalne ryzyko – systemy całkowicie zakazane, tj. manipulacja podprogowa, social scoring, wykorzystywanie podatności osoby lub grupy osób (m.in. ze względu na wiek, niepełnosprawność czy szczególną sytuację społeczną lub ekonomiczną), systemy tworzące lub rozbudowujące bazy danych do rozpoznawania twarzy na podstawie wizerunków pozyskiwanych z internetu lub nagrań z kamer, a także systemy wykorzystujące dane biometryczne w czasie rzeczywistym (z nielicznymi wyjątkami),
2. wysokie ryzyko – systemy mogące wywoływać istotne skutki dla zdrowia i bezpieczeństwa, praw podmiotowych lub środowiska oraz które mogą być stosowane jedynie przy spełnieniu rygorystycznych wymagań prawnych. Przykładami są systemy wykorzystywane w zakresie zarządzania pracownikami i zatrudnieniem czy oceny zdolności kredytowej,
3. ograniczone ryzyko – systemy obarczone ryzykiem wprowadzenia użytkownika w błąd lub manipulacji. W tym przypadku wymagane jest spełnienie minimalnych obowiązków informacyjnych, w szczególności zapewnienie transparentności co do faktu korzystania z AI. Przykładem są chatboty lub systemy generujące treści audiowizualne,
4. minimalne ryzyko – systemy nieobjęte szczególnymi obowiązkami regulacyjnymi. Przykładowo zalicza się do nich narzędzia wspomagające automatyczne tłumaczenia.

Obowiązki przedsiębiorców: kto, za co i kiedy odpowiada?