Przyjęcie przez Parlament Europejski rozporządzenia w sprawie sztucznej inteligencji znacznie poszerzy krąg zainteresowanych podmiotów. Z nowymi regulacjami już wkrótce będą musiały szczegółowo zaznajomić się także polskie organy administracji.
W kwietniu 2021 r. Komisja Europejska opublikowała projekt rozporządzenia Parlamentu Europejskiego i Rady ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji (akt w sprawie sztucznej inteligencji) i zmieniającego niektóre akty ustawodawcze Unii (COM/2021/206 final; dalej: akt w sprawie sztucznej inteligencji). Od tego czasu nieprzerwanie toczyły się prace z nim związane. Po blisko trzech latach niełatwej drogi legislacyjnej, zwieńczonej przyjęciem projektu przez Parlament Europejski, koniec tego procesu wydaje się być bliski. W kwietniu 2024 r. udostępniono do wglądu tekst rozporządzenia po przejściu procedury sprostowania przez prawników lingwistów i jest to prawdopodobnie finalna wersja aktu w sprawie sztucznej inteligencji. Formalnie rozporządzenie musi jeszcze przyjąć Rada Unii Europejskiej. Następnie pozostanie już tylko oczekiwanie na publikację oficjalnego tekstu aktu prawnego w Dzienniku Urzędowym Unii Europejskiej. Rozporządzenie wejdzie w życie dwadzieścia dni po publikacji, natomiast w pełni obowiązywać będzie 24 miesiące po jego wejściu w życie. W praktyce można się zatem spodziewać, że przepisy zaczną obowiązywać w całości w 2026 r., przy czym niektóre regulacje staną się wiążące już 6 miesięcy po wejściu rozporządzenia w życie.
Sztuczna inteligencja szansą dla administracji publicznej?
Unia dostrzegła w sztucznej inteligencji (dalej także: AI) wielki potencjał, który może mieć wpływ na szereg dziedzin – zarówno w codziennym życiu mieszkańców Wspólnoty, jak i funkcjonowaniu unijnej gospodarki. W samym uzasadnieniu projektu rozporządzenia wskazano na najbardziej podstawowe zalety korzystania ze sztucznej inteligencji, takie jak możliwość lepszego prognozowania, optymalizacji operacji i przydzielania zasobów oraz personalizacji świadczonych usług, które mogą zostać wykorzystane chociażby w sektorach ochrony środowiska i zdrowia, publicznym, w obszarach finansów, mobilności czy spraw wewnętrznych. Po tym, jak sztuczna inteligencja podbiła sektor prywatny, coraz częściej pojawiają się informacje o licznych możliwościach zastosowania jej w podmiotach publicznych. Jako przykład można wskazać chociażby Urząd Miasta Gdyni, który postanowił wykorzystać potencjał tej technologii i wprowadził nowatorski system bazujący na AI GPT, który wspomaga pracę konsultantów Gdyńskiego Centrum Kontaktu. Wirtualny czat wykorzystujący sztuczną inteligencję miał za zadanie przede wszystkim odciążyć pracowników urzędu w odpowiedziach na proste i najczęściej powtarzające się pytania. Według danych UM w Gdyni wdrożenie rozwiązania przy wykorzystaniu nowych technologii doprowadziło do redukcji czasu obsługi interesantów na czacie o średnio 30%. Innym obszarem, który bezsprzecznie będzie pozostawać pod silnym wpływem AI, jest sektor zdrowia. W Polsce już dzisiaj można spotkać wiele przykładów zastosowania sztucznej inteligencji w placówkach medycznych, które poprawiają jakość i efektywność diagnostyki, leczenia oraz opieki nad pacjentami. Przykłady tego typu można byłoby mnożyć, wskazując sposoby efektywnego wykorzystania AI, jak chociażby wsparcie idei inteligentnych miast – szczególnie w obszarze transportu publicznego czy bezpieczeństwa.
Nie sposób jednocześnie nie zwrócić uwagi na liczne wyzwania związane z wykorzystywaniem sztucznej inteligencji – przede wszystkim społeczne, przejawiające się chociażby w problemach ochrony prywatności i danych osobowych, a także szereg ryzyk o charakterze etycznym. Rezultaty działania sztucznej inteligencji będą bowiem zależeć w głównej mierze od tego, kto, w jakim celu i jak ją zaprojektował, a także od tego, z jakich danych AI korzysta. Doniosły wpływ sztucznej inteligencji na otoczenie był z pewnością przyczyną uzasadniającą konieczność ujęcia zasad jej tworzenia i korzystania z niej w ramy prawne.
Regulacja prawna zagadnień związanych ze sztuczną inteligencją ma w założeniu zapewnić możliwość dalszego rozwoju nowych trendów technologicznych przy jednoczesnym zagwarantowaniu bezpieczeństwa użytkowania. Skutków wdrożenia aktu w sprawie sztucznej inteligencji nie jesteśmy jeszcze dziś w stanie przewidzieć. Mając jednak na względzie możliwy zakres zastosowania AI w sektorze publicznym oraz nieuchronne zmiany w prawie, dotyczące korzystania z tych narzędzi, należy przyjrzeć się głównym założeniom rozporządzenia i kluczowym obowiązkom, jakie mogą z niego wynikać dla organów administracji.
Zakres podmiotowy
W pierwszej kolejności należy ocenić, jakie podmioty faktycznie będą objęte zakresem zastosowania aktu w sprawie sztucznej inteligencji. Analiza przepisów projektu rozporządzenia pokazuje, że unijny ustawodawca chce, aby akt dotyczył jak najszerszego kręgu podmiotów.
Rozporządzenie obejmuje zasadniczo wszystkie podmioty, które są zaangażowane w tworzenie sztucznej inteligencji, jej dystrybucję lub korzystanie z niej. Co istotne, przepisy rozporządzenia będą musieli brać pod uwagę nie tylko dostawcy technologii mający siedzibę na terenie Unii, lecz również ci, którzy znajdują się poza Wspólnotą, ale wprowadzają systemy sztucznej inteligencji na terenie Unii. Podejście to ma nie tylko zapewnić bezpieczeństwo użytkowników – chodzi przede wszystkim o zapobieganie ewentualnym próbom omijania przepisów rozporządzenia poprzez twórców AI, którzy przenosząc swoją siedzibę do państw trzecich, mogliby uniknąć stosowania tych regulacji. Dzięki temu prawem objęci będą również światowi giganci rynku IT, którzy dostarczają rozwiązania z zakresu AI na terenie Unii Europejskiej, a siedzibę mają poza nią.
Z perspektywy podmiotów administracji publicznej niewątpliwie kluczowe będzie zrozumienie dwóch pojęć: dostawcy i operatora systemu sztucznej inteligencji. Obydwie kategorie podmiotów są zobowiązane do przestrzegania przepisów i obydwie mogą oznaczać podmiot publiczny.
Zgodnie z projektem aktu przez pojęcie dostawcy (provider) rozumieć należy osobę fizyczną lub prawną, organ publiczny, agencję czy inny podmiot, które opracowują system sztucznej inteligencji (lub system sztucznej inteligencji ogólnego przeznaczenia) bądź zlecają jego opracowanie, by wprowadzić go do obrotu lub oddać do użytku pod własną nazwą handlową bądź własnym znakiem towarowym – odpłatnie lub nieodpłatnie. Operator systemu AI (deployer) będzie natomiast oznaczać osobą fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które korzystają z systemu sztucznej inteligencji pod swoją kontrolą – z wyjątkiem sytuacji, gdy system sztucznej inteligencji jest wykorzystywany w ramach osobistej działalności pozazawodowej.
Pierwszym elementem, który rzuca się w oczy z perspektywy podmiotów publicznych, jest użyte w obydwu definicjach sformułowanie „organ publiczny” (public authority). Pojęcie to będzie problematyczne w kontekście jednoznacznego określenia, jakie podmioty z sektora publicznego będzie można uznać za dostawcę lub operatora systemu AI. Podejście unijnego prawodawcy w tym zakresie może nieco dziwić, biorąc pod uwagę chociażby inne akty prawne, np. rozporządzenie eIDAS, w których znalazły się szczegółowe definicje takie jak podmiot sektora publicznego i podmiot prawa publicznego. Zamiast tego w akcie w sprawie sztucznej inteligencji funkcjonują wieloznaczne zwroty, tj. „organ publiczny” czy „agencja”.
Powyższe wątpliwości będą zapewne rozstrzygane na drodze praktyki orzeczniczej. Niemniej warto odnotować, że organ publiczny będzie mógł pełnić rolę dostawcę AI, o ile opracowuje systemy sztucznej inteligencji lub zleci jego opracowanie w celu wprowadzenia go do obrotu pod własną nazwą lub znakiem towarowym. Przywołany wyżej Urząd Miasta Gdyni mógłby potencjalnie kwalifikować się jako dostawca w rozumieniu rozporządzenia w sprawie sztucznej inteligencji. Organy sektora publicznego będą mogły być także operatorami systemów AI, czyli podmiotami, które wdrożyły i korzystają ze sztucznej inteligencji w ramach swojej działalności.
Co istotne, omawiany akt nie będzie mieć zastosowania do systemów sztucznej inteligencji w zakresie, w jakim są one wprowadzane do obrotu, oddawane do użytku lub wykorzystywane do celów wojskowych, obronnych bądź bezpieczeństwa narodowego – niezależnie od rodzaju podmiotu prowadzącego te działania. Dodatkowo rozporządzenie nie będzie mieć także zastosowania do jakichkolwiek działań badawczych, testowych lub rozwojowych dotyczących systemów AI lub modeli AI przed ich wprowadzeniem do obrotu bądź oddaniem do użytku.
Zdefiniować AI
Nie sposób kontynuować dyskusji nad projektem rozporządzenia o AI bez zdefiniowania, czym na gruncie rzeczonego aktu jest sztuczna inteligencja. W kontekście stosowania w przyszłości tego rozporządzenia jest to kluczowy element. W definicji określono, jakie systemy będą kwalifikować się jako AI, a jakie nie. Co za tym idzie, każdy z podmiotów, których będzie dotyczyć rozporządzenie, musi się zastanowić, czy system, którego używa bądź który produkuje czy dystrybuuje, może być systemem sztucznej inteligencji w rozumieniu rozporządzenia. Warto w tym miejscu odnotować, że w czasie prac legislacyjnych koncepcja samej definicji sztucznej inteligencji kilkukrotnie się zmieniała. Pierwotnie do rozporządzenia dodano załącznik, który określał przykładowe listy technik informatycznych pozwalających na tworzeniu AI. Ostatecznie prawodawca unijny zrezygnował jednak z definicji bazującej na konkretnych technikach, które mogą być wykorzystywane przez sztuczną inteligencję (np. uczeniu maszynowym, uczeniu głębokim, indukcyjnym programowaniu), przyjmując – zapewne słusznie – że trzeba postawić na rozwiązanie bardziej uniwersalne i oderwane od konkretnych rozwiązań technicznych, które z pewnością będą ewoluować w szybkim tempie.
Zgodnie z ostatnią opublikowaną wersją rozporządzenia system AI to każdy system maszynowy, który został zaprojektowany do działania z różnym poziomem autonomii, i który może wykazywać zdolności adaptacyjne po wdrożeniu oraz który może – do wyraźnych lub dorozumianych celów – generować wyniki na podstawie otrzymywanych danych wejściowych – takie jak przewidywania, treści, zalecenia lub decyzje wpływające na środowiska fizyczne bądź wirtualne. Starając się nieco uprościć definicję zaproponowaną w rozporządzeniu, można przyjąć, że będzie ona oznaczać oprogramowanie, które działa w pewnym stopniu autonomicznie i generuje wyniki prac na podstawie danych wejściowych. Jak wspomniano, definicja nabrała charakteru bardziej uniwersalnego, lecz co za tym idzie – zostawi z pewnością znacznie więcej przestrzeni na interpretację.
Można chociażby zadać pytanie, co oznacza „z różnym poziomem autonomii”. Nie znajdujemy wyjaśnienia, gdzie jest granica poziomu autonomii algorytmu. Widać to tym bardziej, gdy weźmiemy pod uwagę, że wiele systemów informatycznych działa po uruchomieniu w pewnym stopniu niezależnie od ludzkiej kontroli. Podobnie enigmatyczne jest stwierdzenie „do wyraźnych lub dorozumianych celów”.
Podpowiedź możemy jednak znaleźć w preambule rozporządzenia. To w niej bowiem wskazano, że definicja sztucznej inteligencji ma bazować na kluczowych cechach systemów AI, które odróżniają je od prostszych tradycyjnych typów oprogramowania. Nie powinna zatem obejmować systemów, które opierają się na regułach określonych wyłącznie przez człowieka w celu automatycznego wykonywania operacji. Kluczową cechą systemów AI ma być w rozumieniu rozporządzenia ich zdolność do wnioskowania. Odnosi się ona do procesu uzyskiwania określonych wyników. Techniki umożliwiające wnioskowanie podczas budowania systemu sztucznej inteligencji obejmują podejścia bazujące przede wszystkim na uczeniu maszynowym. Niewątpliwie ogólny sposób zdefiniowania sztucznej inteligencji będzie wyzwaniem dla organizacji. Będą musiały przeanalizować rozwiązania techniczne wykorzystywane w procesach wewnętrznych i zewnętrznych, by znaleźć odpowiedź na pytanie, czy mogą one zostać uznane za system AI.
Dopuszczalność AI zależna od ryzyka
Nowa regulacja unijna ma na celu w szczególności ustanowienie ram prawnych, by chronić podstawowe prawa człowieka, a także wyznaczać standardy etyczne dotyczące opracowywania, wdrażania i wykorzystywania sztucznej inteligencji. Z tego względu w rozporządzeniu zastosowano podejście bazujące na analizie ryzyka. Na tej podstawie wprowadzono kategorie systemów AI zależne od poziomu ryzyka, jakie stwarzają: zakazane systemy AI, systemy wysokiego ryzyka oraz systemy niskiego lub minimalnego ryzyka.
W projekcie zawarto wykaz zakazanych praktyk w zakresie sztucznej inteligencji i określono, które działania w odniesieniu do AI będą uznawane za niedopuszczalne. Zakazuje się stosowania sztucznej inteligencji wykorzystującej techniki podprogowe oraz słabości danej grupy osób (wynikające np. z wieku czy niepełnosprawności) w celu wpłynięcia na zachowanie osoby wchodzącej w interakcję ze sztuczną inteligencją w sposób, który mógłby zagrażać jej zdrowiu fizycznemu lub psychicznemu. Niedopuszczalne będzie również wykorzystywanie systemów AI służących identyfikacji biometrycznej w czasie rzeczywistym przez organy egzekwujące prawo (np. policję), choć przewidziane zostały ściśle określone wyjątki. Dozwolone będzie to przykładowo przy poszukiwaniu ofiar przestępstw, w tym zaginionych dzieci.
Prawodawca rozstrzyga również intrygującą kwestię, obejmując zakazem zjawisko tzw. scoringu społecznego. Zasadniczo zakazane będzie wykorzystywanie sztucznej inteligencji do oceny czy też klasyfikacji wiarygodności osób fizycznych na podstawie zachowań lub cech osobistych. Chodzi tu zatem o zakazanie punktowej oceny społeczeństwa, która mogłaby prowadzić do krzywdzącego lub niekorzystnego traktowania poszczególnych osób lub całych grup społecznych. Światowe doświadczenia z tego rodzaju systemami pokazują, że technologia może być narzędziem kontroli społecznej. Wystarczy wspomnieć o chińskim systemie zaufania społecznego, w którym obywatelom, w zależności od zachowania, przyznaje się lub odejmuje punkty, co umożliwia lub uniemożliwia np. zakup nieruchomości, latanie samolotem czy kształcenie dzieci w określonych szkołach. Nie może zatem budzić zdziwienia chęć ograniczenia takich zastosowań AI. Przywołane zakazy dotyczące systemów sztucznej inteligencji to jedynie wybrane przykłady z szerszego katalogu zawartego w rozporządzeniu.
Poza wskazanymi wyżej bezpośrednio zakazanymi praktykami w projekcie zawarto przepisy dotyczące systemów sztucznej inteligencji, które stwarzają wysokie ryzyko dla zdrowia i bezpieczeństwa lub praw podstawowych osób fizycznych. Mowa o tzw. systemach wysokiego ryzyka. Zgodnie z podejściem bazującym na analizie ryzyka systemy sztucznej inteligencji wysokiego ryzyka dopuszcza się do obrotu na rynku europejskim pod warunkiem spełnienia określonych wymogów i obowiązku przeprowadzenia uprzedniej oceny zgodności.
Systemy AI wysokiego ryzyka zdefiniowano w rozporządzeniu w sposób dwutorowy. Po pierwsze, systemem AI wysokiego ryzyka jest produkt objęty unijnym prawodawstwem harmonizacyjnym, wymieniony w załączniku I do rozporządzenia, albo taki, który jest wykorzystywany jako element bezpieczeństwa produktu objętego prawodawstwem – jeżeli musi być poddany ocenie zgodności (dotyczy to m.in. zabawek, samochodów, wyrobów medycznych czy wind). Po drugie, systemem sztucznej inteligencji klasyfikowanym jako system wysokiego ryzyka będzie każde rozwiązanie, które spełnia łącznie dwa warunki:
- znajduje się w obrębie obszarów określonych w załączniku nr III do rozporządzenia;
- stwarza znaczące ryzyko powstania szkody dla zdrowia, bezpieczeństwa, praw podstawowych obywateli.
W przypadku systemów sztucznej inteligencji wysokiego ryzyka winno się ustanowić, wdrożyć, dokumentować oraz utrzymywać system zarządzania ryzykiem, który wymaga regularnej, systematycznej aktualizacji. Ponadto niezbędne jest prowadzenie dokumentacji technicznej (wytyczne dokumentacji określa załącznik do rozporządzenia) oraz opracowanie automatycznego rejestru zdarzeń podczas działania systemu AI.
Oceniając systemy sztucznej inteligencji z perspektywy ryzyka, do ostatniej i najmniej szkodliwej grupy można zaliczyć systemy niskiego lub minimalnego ryzyka. Do niej należeć będą zasadniczo te systemy, które nie kwalifikują się jako systemy ryzyka niedopuszczalnego (zakazane) lub wysokiego. W zakresie tej grupy rozporządzenie nie przewiduje szczególnych obowiązków po stronie jego dostawców czy użytkowników.
Nowy standard dla AI?
Chęć ujęcia sztucznej inteligencji w ramy prawne niewątpliwie należy ocenić pozytywnie. Regulacja ma szansę uwiarygodnić technologię jako taką, choć jej nadrzędnym celem jest zapewnienie ochrony praw człowieka w związku z wdrażaniem sztucznej inteligencji i korzystaniem z niej. Dostrzeżenie AI przez instytucje Unii Europejskiej i chęć prawnego uporządkowania zagadnienia wpływa na to, że społeczeństwo może podchodzić do niej z większym zaufaniem. Dla podmiotów, które ją wykorzystują, oznacza to – przynajmniej w teorii – pewność prawa, lecz także szereg nowych obowiązków. Biorąc pod uwagę dotkliwe sankcje za nieprzestrzeganie przepisów rozporządzenia (kary nawet do 35 mln euro), jak również niejednoznaczność niektórych przepisów rozporządzenia, podmioty z sektora publicznego wykorzystujące lub wdrażające rozwiązania bazujące na AI zmuszone będą do skrupulatnej weryfikacji aktu w sprawie sztucznej inteligencji, zanim wejdzie on w życie.
Autor
Paweł Dymek
Autor jest radcą prawnym w kancelarii Głowacki i Wspólnicy. Specjalizuje się w zakresie prawa gospodarczego, prawa nowych technologii oraz ochrony danych osobowych.
