AI ACT – obowiązki dla systemów AI wysokiego ryzyka

Rozwój sztucznej inteligencji (AI) wprowadza nie tylko nowe możliwości, ale również nowe ryzyka. W odpowiedzi na te wyzwania Unia Europejska przyjęła Akt w sprawie sztucznej inteligencji (AI ACT), który wprowadził kompleksowe ramy regulacyjne dla systemów AI, a szczególną uwagę poświęcono systemom wysokiego ryzyka, które podlegają surowym wymogom.

W tym artykule przyjrzymy się, które systemy AI są klasyfikowane jako wysokiego ryzyka oraz jakie obowiązki wiążą się z ich dostarczaniem i użytkowaniem.

Podsumowanie na start

Nie masz czasu, aby przeczytać cały artykuł? Zapoznaj się z podsumowaniem najważniejszych informacji!

1. AI ACT to pierwsze na świecie kompleksowe rozporządzenie regulujące systemy sztucznej inteligencji, które klasyfikuje je według czterech poziomów ryzyka: niedopuszczalne, wysokie, ograniczone i minimalne.
2. Systemy AI wysokiego ryzyka to te, które mogą znacząco wpływać na zdrowie, bezpieczeństwo lub prawa podstawowe osób, np. systemy rekrutacyjne, systemy oceny zdolności kredytowej czy rozpoznawania emocji.
3. Dostawcy systemów AI wysokiego ryzyka muszą spełnić 30 szczegółowych wymogów, w tym wdrożyć system zarządzania ryzykiem, zapewnić nadzór człowieka i prowadzić dokumentację techniczną.
4. Za brak przestrzegania przepisów AI ACT grożą surowe kary sięgające nawet 35 mln EUR lub 7% światowego rocznego obrotu firmy (za najpoważniejsze naruszenia).
5. Obowiązki nakładane są nie tylko na dostawców, ale także na importerów, dystrybutorów i użytkowników systemów AI wysokiego ryzyka, tworząc odpowiedzialność w całym łańcuchu dostaw.
6. Pierwszym krokiem do zgodności z AI ACT jest zidentyfikowanie, czy Twój system AI jest klasyfikowany jako wysokiego ryzyka – możesz to zrobić korzystając z zawartej w artykule checklisty.

Nie wiesz, czy Twój system AI podlega pod kategorię wysokiego ryzyka w AI ACT? Skorzystaj z bezpłatnej 15-minutowej konsultacji, podczas której nasz prawnik IT pomoże Ci sprawdzić klasyfikację Twojego systemu i doradzi pierwsze kroki w dostosowaniu do przepisów. Wypełnij formularz kontaktowy i umów się na rozmowę bez zobowiązań – zyskaj pewność w obliczu nowych regulacji!

Pobierz e-booka: https://creativa.legal/e-booki/aplikacje-saas/

Klasyfikacja systemów AI według poziomów ryzyka

Unijny Akt w sprawie sztucznej inteligencji (AI ACT) wprowadza rygorystyczne podejście do regulacji systemów AI poprzez ich klasyfikację według różnych stopni ryzyka. Jest to pierwsza na świecie tak kompleksowa regulacja dotycząca sztucznej inteligencji, która ustanawia jasne ramy obowiązków dla dostawców i użytkowników systemów AI.

Cztery poziomy ryzyka w AI ACT

AI ACT klasyfikuje systemy sztucznej inteligencji według czterech głównych poziomów ryzyka, które determinują zakres obowiązków dla podmiotów wprowadzających je na rynek:

1. Ryzyko niedopuszczalne – systemy AI zakazane w UE:
   • systemy manipulujące zachowaniem człowieka,
   • systemy wykorzystujące słabości grup wrażliwych,
   • systemy oceniające lub klasyfikujące obywateli (tzw. social scoring),
   • zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej (z wyjątkami).
2. Wysokie ryzyko – systemy podlegające szczegółowym wymogom:
   • systemy stanowiące element bezpieczeństwa produktów,
   • systemy wykorzystywane w obszarach wyszczególnionych w załączniku III.
     Załącznik III znajdziesz na stronie 127 AI Actu znajdującego się [pod tym linkiem]
3. Ograniczone ryzyko – systemy podlegające jedynie obowiązkom informacyjnym:
   • systemy wchodzące w interakcje z ludźmi (chatboty),
   • systemy tworzące deepfake,
   • systemy rozpoznające emocje.
4. Minimalne ryzyko – pozostałe systemy AI:
   • gry video oparte na AI,
   • filtry spamu,
   • większość powszechnych zastosowań AI.

Klasyfikacja danego systemu AI do właściwej kategorii determinuje, jakim wymogom podlega i jakie obowiązki musi spełnić dostawca, aby zgodnie z prawem korzystać z AI w Unii Europejskiej.

Checklista: Czy Twój system AI jest systemem wysokiego ryzyka?

Poniższa checklista pomoże Ci wstępnie określić, czy Twój system AI może zostać sklasyfikowany jako system wysokiego ryzyka.

✓ Czy Twój system AI jest elementem produktu objętego unijnym prawodawstwem harmonizacyjnym?
System AI może być uznany za wysokiego ryzyka, jeśli stanowi element bezpieczeństwa produktu regulowanego przez unijne prawodawstwo.

✓ Czy Twój system AI będzie wykorzystywany w obszarach wymienionych w załączniku III?
Załącznik III wymienia konkretne obszary zastosowań sztucznej inteligencji klasyfikowane jako wysokiego ryzyka.

✓ Czy Twój system AI podejmuje decyzje lub wspiera podejmowanie decyzji dotyczących ludzi?
Systemy wspierające procesy decyzyjne dotyczące osób fizycznych często klasyfikowane są jako wysokiego ryzyka.

✓ Czy Twój system AI przetwarza dane biometryczne lub dane osobowe na dużą skalę?
Przetwarzanie danych sensytywnych znacząco podnosi ryzyko związane z systemem AI.

✓ Czy Twój system AI może wpływać na zdrowie, bezpieczeństwo lub prawa podstawowe osób?
Każdy potencjalny negatywny wpływ na te obszary zwiększa poziom ryzyka.

✓ Czy Twój system AI będzie wykorzystywany w sektorach krytycznych?
Sektory krytyczne to na przykład: edukacja, zatrudnienie, wymiar sprawiedliwości czy ochrona zdrowia.

✓ Czy Twój system AI może służyć do profilowania osób fizycznych?
Profilowanie zawsze klasyfikuje system jako wysokiego ryzyka.

✓ Czy Twój system AI może mieć znaczący wpływ na sytuację społeczną lub ekonomiczną jednostek?
Wpływ na dostęp do podstawowych usług prywatnych i publicznych klasyfikuje system jako wysokiego ryzyka.

Pamiętaj! Gdy system AI jest wymieniony w załączniku III, ale spełnia warunki wyłączenia z art. 6 ust. 3 (np. wykonuje wąsko określone zadanie proceduralne), może nie być klasyfikowany jako system wysokiego ryzyka – pod warunkiem, że nie dokonuje profilowania osób fizycznych.

Jeśli na większość z powyższych pytań odpowiedziałeś/aś twierdząco, Twój system AI prawdopodobnie będzie sklasyfikowany jako system wysokiego ryzyka i będziesz musiał/a spełnić szereg wymogów prawnych określonych w AI ACT.

Systemy AI wysokiego ryzyka – charakterystyka i przykłady

Systemy AI wysokiego ryzyka to takie, które mogą potencjalnie wywierać znaczący niekorzystny wpływ na zdrowie, bezpieczeństwo lub prawa podstawowe osób. AI ACT szczegółowo definiuje, które systemy sztucznej inteligencji zaliczają się do tej kategorii.

System wysokiego ryzyka – definicja

Zgodnie z art. 6 AI ACT, system AI uznawany jest za system wysokiego ryzyka, jeśli spełniony jest którykolwiek z poniższych warunków:

1. System AI jest przeznaczony do wykorzystania jako związany z bezpieczeństwem element produktu objętego unijnym prawodawstwem harmonizacyjnym (np. urządzenia medyczne, maszyny, zabawki).
2. System AI jest wymieniony w załączniku III rozporządzenia, który obejmuje systemy wykorzystywane w określonych obszarach uznanych za krytyczne.

Warto zauważyć, że AI ACT wprowadza też pewne wyjątki – system AI wymieniony w załączniku III może nie być uznany za system wysokiego ryzyka, jeśli nie stwarza znaczącego ryzyka szkody i spełnia dodatkowe warunki (np. wykonuje wąsko określone zadanie proceduralne).

Przykłady systemów wysokiego ryzyka

Aby lepiej zrozumieć, jakie systemy AI klasyfikowane są jako wysokiego ryzyka, przyjrzyjmy się kilku konkretnym przykładom:

1. System do oceny kandydatów w procesie rekrutacji.

System AI wykorzystywany do automatycznej oceny CV, przeprowadzania wstępnej selekcji kandydatów lub analizy nagrań wideo z rozmów rekrutacyjnych jest klasyfikowany jako system wysokiego ryzyka. Takie systemy mogą znacząco wpływać na dostęp do zatrudnienia i rozwój kariery, co przekłada się bezpośrednio na sytuację ekonomiczną i społeczną jednostek.

Przykład: Narzędzie AI, które analizuje nagrania wideo rozmów kwalifikacyjnych, oceniając mimikę, ton głosu i dobór słów kandydatów, a następnie generuje ocenę ich „dopasowania kulturowego” do firmy.

2. Systemy rozpoznawania emocji.

Systemy AI używane do rozpoznawania emocji w miejscu pracy lub edukacji również zaliczają się do kategorii wysokiego ryzyka. Mogą one być wykorzystywane do monitorowania zaangażowania pracowników, studentów lub do oceny ich stanu emocjonalnego podczas wykonywania zadań.

Przykład: Oprogramowanie monitorujące ekspresję twarzy uczniów podczas zajęć online, które generuje raport o poziomie ich zainteresowania i zaangażowania dla nauczycieli.

3. Systemy wspomagające decyzje kredytowe.

Systemy AI wykorzystywane do oceny zdolności kredytowej lub przyznawania dostępu do usług finansowych również zaliczają się do kategorii wysokiego ryzyka. Mogą one bezpośrednio wpływać na dostęp do podstawowych usług i kształtować sytuację ekonomiczną jednostek.

Załącznik III do AI ACT – obszary wysokiego ryzyka

Załącznik III do AI ACT wymienia osiem obszarów, w których zastosowanie systemów AI automatycznie klasyfikuje je jako systemy wysokiego ryzyka:

1. systemy identyfikacji biometrycznej i kategoryzacji biometrycznej,
2. zarządzanie i obsługa infrastruktury krytycznej,
3. edukacja i szkolenie zawodowe,
4. zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia,
5. dostęp do podstawowych usług prywatnych i publicznych oraz świadczeń publicznych,
6. egzekwowanie prawa,
7. zarządzanie migracją, azylem i kontrolą graniczną,
8. wymiar sprawiedliwości i procesy demokratyczne.

Każdy system AI, który jest wykorzystywany w tych obszarach i spełnia określone w załączniku kryteria, jest automatycznie klasyfikowany jako system wysokiego ryzyka, chyba że podlega wyłączeniom określonym w art. 6 ust. 3.

Obowiązki dostawców systemów AI wysokiego ryzyka

Dostawcy systemów AI wysokiego ryzyka mają do spełnienia szereg rygorystycznych obowiązków, które mają zapewnić bezpieczeństwo i zgodność tych systemów z wymogami AI ACT.

System AI wysokiego ryzyka AI ACT – lista obowiązków:

• stosowanie zasad klasyfikacji jako system wysokiego ryzyka (art. 6),
• wdrożenie systemu zarządzania ryzykiem (art. 9),
• wdrożenie zasad dot. zarządzania danymi, zarządzania jakością (art. 10),
• opracowanie dokumentacji technicznej (art. 11),
• rejestrowanie zdarzeń (art. 12),
• zapewnienie przejrzystych informacji dla użytkowników (art. 13),
• zapewnienie nadzoru człowieka (art. 14),
• dążenie do ciągłego zapewnienia dokładności, solidności, cyberbezpieczeństwa (art. 15),
• sporządzenie dokumentacji związanych z oceną i zarządzaniem zgodnością (art. 16),
• wdrożenie systemu zarządzania jakością (art. 17),
• prowadzenie i przechowywanie dokumentów przez 10 lat (art. 18),
• automatyczne generowanie logów (art. 19),
• wykrywasz nieprawidłowość – podejmujesz działania naprawcze i zawiadamiasz o fakapie (art. 20),
• współpraca z właściwymi organami (art. 21),
• wyznaczenie przedstawiciela (art. 22),
• odpowiedzialność w ramach łańcucha dostaw (art. 25),
• prowadzenie oceny skutków systemów AI wysokiego ryzyka dla praw podstawowych (art. 27),
• zapewnienie zgodności ze specyfikacjami wydawanymi przez KE (art. 41),
• zapewnienie zgodności (procedury i oceny wg ustalonych kryteriów)(art. 43),
• certyfikacja (art. 44),
• sporządzenie deklaracji zgodności UE (art. 47),
• oznakowanie CE (art. 48),
• rejestracja w unijnej bazie (art. 49),
• raportowanie poważnych incydentów (art. 73),
• udzielanie wyjaśnień na temat zasad podejmowania decyzji w indywidualnych sprawach (art. 86).

Jak widać, lista wymogów jest długa i obejmuje szeroki zakres obowiązków – od technicznych aspektów związanych z jakością, bezpieczeństwem i przejrzystością systemu AI, przez dokumentację i certyfikację, aż po procedury monitorowania, raportowania i współpracy z organami nadzoru.

Praktyczne podejście do obowiązków

Wdrożenie wszystkich wymogów AI ACT może wydawać się przytłaczające, szczególnie dla startupów i mniejszych firm technologicznych. Warto jednak podejść do tego zadania metodycznie:

1. Oceń swój system AI – pierwszym krokiem jest określenie, czy Twój system AI rzeczywiście kwalifikuje się jako system wysokiego ryzyka. Aby tego dokonać, skorzystaj z checklisty, którą przedstawiliśmy wcześniej.
2. Zrozum wymagania – zapoznaj się dokładnie z wymogami, które dotyczą Twojego systemu. Niektóre z nich mogą być bardziej krytyczne dla Twojego konkretnego przypadku.
3. Stwórz plan wdrożenia – opracuj harmonogram implementacji poszczególnych wymogów, zaczynając od tych najbardziej podstawowych, jak system zarządzania ryzykiem czy dokumentacja techniczna.
4. Wdrażaj systematycznie – podejście etapowe ułatwi spełnienie wszystkich wymogów bez przeciążania zasobów.
5. Monitoruj zmiany – AI ACT to nowe prawo, które będzie ewoluować. Śledź interpretacje i wytyczne, które mogą pojawić się w przyszłości.

Obowiązki dystrybutorów, importerów i użytkowników

AI ACT nakłada obowiązki nie tylko na dostawców systemów AI wysokiego ryzyka, ale także na innych uczestników łańcucha dostaw oraz na podmioty stosujące te systemy.

Obowiązki importerów (art. 23)

Importerzy systemów AI wysokiego ryzyka muszą m.in.:

• przed wprowadzeniem systemu do obrotu sprawdzić, czy dostawca przeprowadził odpowiednią procedurę oceny zgodności,
• upewnić się, że system posiada oznakowanie CE i wymaganą dokumentację,
• upewnić się, że system został prawidłowo zarejestrowany w bazie danych UE,
• zapewnić, że warunki przechowywania i transportu nie zagrażają zgodności systemu z wymogami.

Obowiązki dystrybutorów (art. 24)

Dystrybutorzy systemów AI wysokiego ryzyka mają obowiązek:

• przed udostępnieniem systemu na rynku sprawdzić, czy posiada on oznakowanie CE,
• sprawdzić, czy system posiada wymaganą dokumentację,
• zapewnić, że warunki przechowywania i transportu nie zagrażają zgodności systemu z wymogami,
• jeśli dystrybutor uzna, że system nie jest zgodny z wymogami, nie może udostępnić go na rynku do czasu zapewnienia zgodności.

Obowiązki użytkowników (art. 26)

Podmioty stosujące systemy AI wysokiego ryzyka muszą:

• stosować system zgodnie z instrukcjami dostawcy,
• zapewnić, że dane wejściowe są odpowiednie do zamierzonego celu,
• monitorować działanie systemu na podstawie instrukcji,
• prowadzić automatyczne rejestrowanie zdarzeń (logi), o ile znajduje się to pod ich kontrolą,
• przeprowadzać ocenę skutków dla ochrony danych, gdy jest to wymagane przez RODO.

Kary za nieprzestrzeganie wymogów AI ACT

Nieprzestrzeganie wymogów AI ACT będzie skutkowało surowymi karami – sankcje mają być skuteczne, proporcjonalne i odstraszające.

Kary za naruszenia przepisów AI ACT mogą być znaczące:

• Za dostarczanie zakazanych systemów AI lub naruszenie wymogów dotyczących danych – do 35 000 000 EUR lub 7% światowego rocznego obrotu firmy (w zależności od tego, która kwota jest wyższa).
• Za niezgodność z innymi wymogami rozporządzenia – do 15 000 000 EUR lub 3% światowego rocznego obrotu.
• Za dostarczanie nieprawdziwych informacji – do 7 500 000 EUR lub 1% światowego rocznego obrotu.

Kary te mogą być druzgocące dla małych i średnich przedsiębiorstw, dlatego tak ważne jest, aby podchodzić do zgodności z AI ACT z należytą starannością.

Jak wygląda proces kontroli i nadzoru AI ACT

Za egzekwowanie przepisów AI ACT odpowiedzialne są krajowe organy nadzoru. Ich zadania obejmują:

• monitorowanie rynku,
• prowadzenie dochodzeń w przypadku podejrzenia naruszenia,
• nakładanie kar i sankcji,
• współpracę z Europejską Radą ds. Sztucznej Inteligencji.

Ponadto, AI ACT przewiduje utworzenie Europejskiego Urzędu ds. Sztucznej Inteligencji, który będzie koordynował działania krajowych organów nadzoru i zapewniał spójne stosowanie rozporządzenia w całej UE.

Podsumowanie

AI ACT wprowadza kompleksowe ramy regulacyjne dla systemów sztucznej inteligencji, ze szczególnym uwzględnieniem systemów wysokiego ryzyka. Dla firm technologicznych, zwłaszcza tych działających w obszarach takich jak rekrutacja, edukacja czy finanse, kluczowe jest zrozumienie tych przepisów i dostosowanie się do nich.

AI ACT stanowi nowe wyzwanie dla firm wykorzystujących sztuczną inteligencję, ale jednocześnie daje szansę na budowanie bezpieczniejszych i bardziej godnych zaufania systemów AI. Systematyczne podejście do wdrażania wymogów rozporządzenia nie tylko zapewni zgodność prawną, ale może również przyczynić się do zwiększenia konkurencyjności i budowania zaufania klientów.

Biorąc pod uwagę to, jak szybko ewoluuje środowisko technologiczne i regulacyjne, kluczowym jest, aby firmy nie tylko reagowały na nowe przepisy, ale aktywnie prognozowały zmiany i przygotowywały się do nich z wyprzedzeniem. AI ACT to tylko początek globalnego trendu w kierunku regulacji sztucznej inteligencji – firmy, które najszybciej dostosują się do nowych wymogów, będą miały przewagę konkurencyjną w przyszłości.

Potrzebujesz wsparcia w dostosowaniu się do wymogów AI ACT? Nasi eksperci pomogą Ci zidentyfikować systemy wysokiego ryzyka i wdrożyć niezbędne procedury. Skorzystaj z formularza kontaktowanego, aby skontaktować się z nami już dziś i zadbaj o przyszłość swojego biznesu opartego o AI!

Zdjęcie dodane przez Google DeepMind