AI Act – wszystko, co trzeba wiedzieć na temat ustawy o sztucznej inteligencji

Znaczna część osób, które wykorzystują sztuczną inteligencję w swoich organizacjach pyta przede wszystkim: Kiedy AI Act wejdzie w życie? Już na wstępie uspokajamy – wiele wskazuje na to, że część regulacji zacznie obowiązywać w pierwszej połowie 2026 roku (całość w pierwszej połowie 2027 roku), więc jest jeszcze sporo czasu na to, by się do tego przygotować. Co zmieni AI Act oraz, co będzie oznaczać wejście w życie nowych przepisów? Przygotowaliśmy kompendium wiedzy na ten temat!

AI Act – co to jest i co reguluje?

Na samym początku warto zaznaczyć, że wbrew pozorom, jeśli chodzi o wykorzystywanie AI, nie jesteśmy obecnie w próżni legislacyjnej. Choć oczy przedsiębiorców, marketerów (i nie tylko) zwrócone są teraz w kierunku AI Act, to istnieją także inne regulacje, dotyczące tej technologii. Mamy w Polsce normy z zakresu prawa cywilnego, dotyczące dóbr osobistych, które mają zastosowanie choćby w odniesieniu do walki z dezinformacją. Jednak to właśnie AI Act będzie jednym z najważniejszych elementów systemu prawnego, regulujących kwestie związane z wykorzystywaniem sztucznej inteligencji.

Ustawa o AI ma zapewnić, że ta technologia będzie wykorzystywana bezpiecznie i transparentnie. Znajdziemy w niej zasady, dotyczące wdrażania systemów bazujących na sztucznej inteligencji, w tym zwłaszcza wprowadzania ich do obrotu i eksploatacji.

Największy rygor został położony na tzw. systemy wysokiego ryzyka (szczegółowo zdefiniowane w ustawie i dotyczące np. podejmowania decyzji, klasyfikacji punktowej czy systemów rekrutacyjnych). Tym samym dostawcy, operatorzy i importerzy tych systemów będą musieli liczyć się z dodatkowymi obowiązkami.

Z projektu ustawy o Artifical Intelligence wynika również, że określone zostaną obszary, w których wykorzystanie AI będzie ograniczone lub niemożliwe. Będzie to kluczowe, zwłaszcza jeśli chodzi o etykę i ochronę praw człowieka.

Ponadto nie zabraknie regulacji dotyczących tzw. deepfake’ów i systemów, które wchodzą w interakcję z ludźmi, mając wpływ na to, jak społeczeństwo odbiera rzeczywistość. Ustawa będzie chronić mieszkańców terenu UE przed manipulacjami i dezinformacją.

Zgodnie z rozporządzeniem przewidywane jest również stworzenie organów, które będą stać na straży przestrzegania przepisów oraz wymierzać sankcję, jeśli regulacje zostaną złamane.

AI Act – klasyfikacja systemów

Jednym z założeń AI Act jest klasyfikacja systemów, które wykorzystują AI na podstawie ryzyka, wiążącego się z ich stosowaniem. I tak wyróżnia się:

• Ryzyko nieakceptowalne – systemy weryfikacji punktowej (klasyfikujące ludzi na podstawie ich zachowania lub osobowości) automatyczna identyfikacja biometryczna (selekcja ludzi np. na podstawie skanów siatkówki oka, celem określenia rasy czy orientacji seksualnej).  
• Wysokie ryzyko – systemy związane z ochroną zdrowia, ale również z bezpieczeństwem czy np. ochroną środowiska.
• Ograniczone ryzyko – chatboty.
• Minimalne i zerowe ryzyko – wideo, w którym wykorzystywana jest sztuczna inteligencja czy np. filtry spamu.

W kontekście ograniczonego ryzyka wymieniono m.in. popularne w e-commerce chatboty. Ich funkcjonowanie zawsze powinno być zgodne z obowiązującym prawem – nie wprowadzać odbiorcy w błąd i zapobiegać dezinformacji. Dowiedz się więcej o chatbotach!

Największa cześć ustawy poświęcona jest jednak systemom wysokiego ryzyka. W akcie określono wymogi, dotyczące wdrażania i wykorzystywania tego typu systemów. Przepisy dotyczą m.in.:

• Wprowadzania i stosowania systemu do zarządzania ryzykiem, podczas całego cyklu życia produktu, wykorzystującego sztuczną inteligencję.
• Sporządzania dokumentacji technicznej, celem wykazania jej zgodności.
• Cyberbezpieczeństwa.
• Systemów zarządzania jakością.

Co jednak to wszystko oznacza w praktyce?

AI Act a ChatGPT

ChatGPT to jedno z najbardziej znanych narzędzi, wykorzystujących sztuczną inteligencję. Można pokusić się o stwierdzenie, że wręcz powszechne – stosowane w wielu branżach, w tym m.in. przez digital marketerów. Czy AI Act zmieni korzystanie z ChatGPT?

Jedno jest pewne – wszyscy twórcy modeli AI będą musieli przestrzegać założeń ustawy. Dla przykładu – będą musieli streszczać treści wykorzystywane do uczenia modelu. Nie do końca wiadomo jeszcze, jak już przeszkolone modele będą w stanie spełnić te wymagania.

Modele generatywne, tworzące obrazy, kod i wideo zostały podzielone na dwupoziomową kategorię. Pierwszy poziom to modele ogólnego przeznaczenia (z wyjątkiem tych, które są wykorzystywane w badaniach lub działają na mocy licencji open source). Tego typu modele będą podlegać wymogom przejrzystości, co oznacza, że będą musiały określać m.in. metodologię szkoleń i zużycia energii oraz wykazać, że przestrzegają praw autorskich.

Drugi poziom (bardziej rygorystyczny) to modele ogólnego przeznaczenia, ale o dużym wpływie i stwarzające większe ryzyko systemowe. Te będą podlegać testom bezpieczeństwa i kontrolom cyberbezpieczeństwa. Dla przykładu – programiści będą musieli ujawnić szczegóły dotyczące architektury czy też źródeł danych. Jak klasyfikowane będą modele? Mówi się, że za „duże” uznawane będą te, które wykorzystują więcej niż 10^25 FLOP (akcji na komputerze) podczas szkolenia.

GPT-4 to model o dużym wpływie, który będzie podlegał regulacjom. Póki co wydaje się, że nowe regulacje będą dotyczyć zwłaszcza jego twórców i osób odpowiedzialnych za wypuszczenie go do obiegu, a to czy i jak wpłynie to na korzystania z narzędzia przez użytkowników, na razie nie jest możliwe do przewidzenia.

Warto jednak zwrócić uwagę na kwestię przejrzystości. Systemy będą musiały spełnić kilka kluczowych wymagań, w tym informować użytkowników, kiedy interakcje lub treści pochodzą od algorytmów AI.

Podczas projektowania systemów istotne jest zapewnienie, że nie będą one tworzyły materiałów zabronionych prawnie. AI Act podkreśla również potrzebę posiadania szczegółowej dokumentacji technicznej, co może stanowić wyzwania w kontekście metod pracy, takich jak „agile” wykorzystywanych przez liczne organizacje.

Ustawa o AI - jakie obowiązki nakłada?

Organizacje, które wprowadzają na rynek systemy bazujące na AI (przede wszystkim te wysokiego ryzyka), muszą dbać o jakość i zarządzanie tymi systemami. Będą także zobligowane do sprawdzania ich zgodności z procedurami przed wprowadzeniem ich na rynek oraz do obrotu. Na produktach będzie trzeba umieszczać oznakowanie CE (deklaracja zgodności, świadcząca o spełnieniu wymogów europejskich).

Dodatkowo – nałożony zostanie szereg obowiązków związanych z rejestrowaniem zdarzeń, dokumentacją działań i spełnianiem obowiązku informacyjnego przy współpracy z powołanymi organami. Operatorzy systemów wysokiego ryzyka będą musieli zapewnić m.in. instrukcje, dane wejściowe i zagwarantować nadzór ludzi nad adekwatnością i reprezentatywnością tych danych w odniesieniu do przeznaczenia systemu. Cel jest jeden – system ma być bezpieczny, szczelny i na różnych poziomach jego funkcjonowania mają istnieć zaangażowane podmioty.

AI ACT – zalety wprowadzenia

Wprowadzenie AI Act to szereg korzyści, kluczowych dla zrównoważonego i etycznego rozwoju technologii AI. Do największych zalet zalicza się m.in.:

• Zwiększenie zaufania – regulacje zapewnią jasne wytyczne dotyczące etycznych i bezpiecznych praktyk w zakresie AI, co buduje zaufanie społeczeństwa i przedsiębiorstw do wykorzystywania tych technologii.
• Ochrona praw jednostki – AI Act kładzie duży nacisk na ochronę praw człowieka i prywatności, zapewniając, że technologie AI nie będą wykorzystywane do nadzoru lub innych praktyk naruszających prywatność i godność człowieka.
• Stymulacja innowacji – ustanowienie jednolitych standardów i ram prawnych sprzyja innowacjom, ponieważ przedsiębiorstwa i instytucje badawcze mają jasność co do prawnego kontekstu swoich działań w zakresie AI.
• Zapewnienie bezpieczeństwa – AI Act koncentruje się na identyfikacji i minimalizacji potencjalnych ryzyk związanych z AI, takich jak błędy algorytmów czy stronniczość danych, co zwiększa bezpieczeństwo użytkowników i społeczeństwa.
• Wzmocnienie konkurencyjności – przez ustanowienie jasnych zasad, AI Act może przyczynić się do wzmocnienia pozycji rynkowej europejskich firm technologicznych, promując uczciwą konkurencję i innowacyjność.

Konsekwencje nieprzestrzegania AI Act

Nieprzestrzeganie przepisów zawartych w AI Act może prowadzić do poważnych konsekwencji, w tym finansowych, dla podmiotów działających w obrębie technologii sztucznej inteligencji.

Oto kluczowe aspekty egzekwowania zgodności z AI Act:

Egzekwowanie przez krajowe organy regulacyjne

Naruszenia przepisów AI Act będą podlegać sankcjom nakładanym przez właściwe organy regulacyjne w ramach postępowań prowadzonych zgodnie z procedurami określonymi w rozporządzeniu.

Proporcjonalność i skuteczność kar

Wysokość nakładanych grzywien ma odstraszać od łamania przepisów w sposób proporcjonalny do naruszenia, zgodnie z przewidzianymi w AI Act limitami maksymalnymi oraz wytycznymi dla organów nakładających kary.

Ocena indywidualnych przypadków

Przy ustalaniu wysokości kary, organy regulacyjne będą brały pod uwagę różne czynniki, takie jak charakter i skala naruszenia, czas jego trwania i wpływ, a także wielkość i rodzaj podmiotu naruszającego, w tym szczególną sytuację małych i średnich przedsiębiorstw oraz startupów.

Kompetencje Europejskiego Inspektora Ochrony Danych

Inspektor będzie miał uprawnienia do nakładania sankcji na instytucje i organy Unii Europejskiej, które naruszają przepisy rozporządzenia, z zastrzeżeniem, że nałożone kary i koszty sądowe nie będą podlegały negocjacjom umownym między stronami.

Jakie są przykładowe, maksymalne kwoty kar przewidziane w AI Act?

Podsumowanie

Wykorzystywanie potencjału sztucznej inteligencji to szereg szans dla organizacji, które dzięki sprawnemu wykorzystaniu AI mogą osiągnąć przewagę konkurencyjną w różnych obszarach. Sztuczna inteligencja niesie jednak za sobą nie tylko szanse, ale także zagrożenia. Utrata kontroli, błędy czy problemy z odpowiedzialnością za ochronę danych i prywatności – to tylko niektóre z wyzwań. AI Act będzie pierwszą ustawą w UE, bezpośrednio regulującą wykorzystywanie tej technologii.