Sztuczna inteligencja zyskała ogromną popularność i na stałe zagościła w codziennej praktyce biznesowej. Rozwój technologiczny niesie ze sobą jednak nie tylko nowe możliwości, ale również bezprecedensowe wyzwania w obszarze bezpieczeństwa i ochrony praw konsumentów. Unia Europejska postanowiła uporządkować te kwestie, uchwalając Akt o Sztucznej Inteligencji (AI Act) – pierwsze na świecie tak kompleksowe rozporządzenie regulujące rynek AI. Co ciekawe, na pilną potrzebę wprowadzenia jednolitych ram prawnych powoływali się nie tylko unijni politycy, ale także szefowie największych gigantów technologicznych, z prezesem OpenAI Samem Altmanem na czele (szczerość czy PR? nie nam to oceniać). Faktem jest, że nowe unijne prawo bezpośrednio wpływa na sposób, w jaki przedsiębiorstwa korzystają z narzędzi cyfrowych, budują swoją przewagę konkurencyjną oraz chronią się przed ryzykiem prawnym i technologicznym.
Co to jest AI Act i dlaczego powstał?
AI Act (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689) to obowiązujący akt prawny o charakterze rozporządzenia unijnego. Oznacza to, że jego zapisy stosuje się bezpośrednio we wszystkich państwach członkowskich Unii Europejskiej, bez konieczności uchwalania dodatkowych krajowych ustaw wdrażających. Nadrzędnym celem nowej regulacji jest zagwarantowanie, że systemy sztucznej inteligencji wprowadzane na rynek i wykorzystywane w Europie są bezpieczne, przejrzyste, wolne od uprzedzeń oraz zgodne z podstawowymi prawami i wartościami Unii.
Przyjęcie aktu stanowi odpowiedź na dynamiczny rozwój zaawansowanych technologii cyfrowych oraz rosnące ryzyko wykorzystywania AI do dezinformacji, masowej inwigilacji czy naruszania prywatności. Unijny prawodawca dążył do stworzenia stabilnych ram prawnych, które chronią obywateli i przedsiębiorców, a jednocześnie nie hamują innowacyjności ani globalnej konkurencyjności europejskiej gospodarki.
Przepisy AI Act nie dotyczą wyłącznie gigantów z branży Big Tech czy programistów tworzących zaawansowane modele. Obowiązkami zostali objęci zarówno dostawcy, czyli podmioty rozwijające i wprowadzające systemy AI na rynek pod własną marką, jak i podmioty stosujące, którymi są niemal wszystkie firmy i instytucje komercyjne wykorzystujące narzędzia AI w swojej codziennej działalności zawodowej.
Wiedz, z czego i jak korzystasz
Trzonem unijnej regulacji jest podejście oparte na ryzyku. Prawodawca zrezygnował z jednolitego traktowania wszystkich rozwiązań informatycznych, dzieląc systemy sztucznej inteligencji na cztery podstawowe kategorie ryzyka: niedopuszczalne, wysokie, ograniczone oraz minimalne. Od przyporządkowania konkretnego narzędzia do danej grupy zależy pełen zakres prawnych wymagań i obowiązków organizacyjnych.
Pierwszą grupę stanowią praktyki zakazane (niedopuszczalne ryzyko), czyli zastosowania techniczne uznane za sprzeczne z wartościami Unii Europejskiej i prawami człowieka. Zalicza się do nich m.in. wykorzystywanie technik podprogowych i manipulacyjnych ograniczających świadomość użytkownika czy zakazane formy kategoryzacji biometrycznej. Używanie tego typu rozwiązań na terenie UE jest bezwzględnie zabronione.
Kluczowym obszarem z punktu widzenia przedsiębiorców są jednak systemy wysokiego ryzyka. Chodzi o rozwiązania AI wykorzystywane w obszarach wrażliwych społecznie i gospodarczo, takich jak rekrutacja i zarządzanie pracownikami, ocena zdolności kredytowej, usługi publiczne, biometria oraz zarządzanie infrastrukturą krytyczną. Wdrażanie systemów wysokiego ryzyka nakłada na firmę rozbudowane obowiązki obejmujące stworzenie systemu zarządzania ryzykiem, zapewnienie nadzoru ze strony człowieka, prowadzenie szczegółowej dokumentacji technicznej, rejestrowanie zdarzeń oraz ocenę wpływu na prawa podstawowe.
Każde przedsiębiorstwo powinno w pierwszej kolejności przeprowadzić rzetelny audyt posiadanego oprogramowania i ustalić dokładne przeznaczenie każdego narzędzia AI. Warto pamiętać, że nawet powszechne oprogramowanie analityczne czy asystent językowy, wdrożone do automatycznej selekcji aplikacji rekrutacyjnych lub oceny pracowników, stają się na gruncie prawa systemami wysokiego ryzyka.
Odpowiedzialność za treści
AI Act nakłada na przedsiębiorców obowiązki w zakresie przejrzystości. Zakres wymaganych działań różni się w zależności od roli w łańcuchu dostaw. Znakowanie cyfrowe w formacie czytelnym maszynowo – takie jak zaszyte metadane czy cyfrowe znaki wodne – spoczywa na dostawcach narzędzi technologicznych. Z kolei firmy wykorzystujące gotowe rozwiązania, odpowiadają za widoczne ujawnienie faktu użycia AI przed ostatecznym odbiorcą.
Ujawnienia wymagają przede wszystkim materiały będące tzw. deepfake’ami oraz treści fotorealistyczne. Jeżeli przedsiębiorstwo publikuje sztucznie wygenerowane lub istotnie zmodyfikowane zdjęcia, nagrania wideo bądź próbki głosowe, które odbiorca mógłby uznać za autentyczne fotografie lub rzeczywiste nagrania – np. wizualizacje produktów, nieistniejące zdjęcia zespołu czy syntezatory mowy – musi zamieścić wyraźną informację dla człowieka, najpóźniej w momencie pierwszej ekspozycji. Obowiązek ten nie dotyczy natomiast abstrakcyjnych grafik, ikonek czy ilustracji stylizowanych, których nikt nie pomyli z prawdziwym zdjęciem.
Duże obawy przedsiębiorców budzi kwestia tekstów pisanych na bloga lub na potrzeby marketingu firmowego. AI Act precyzuje, że obowiązkowi oznaczenia podlegają teksty generowane przez AI publikowane w celu informowania opinii publicznej o sprawach interesu publicznego. Zwykłe artykuły poradnikowe, opisy produktów oraz teksty firmowe, które przeszły rzeczywistą weryfikację i merytoryczną kontrolę człowieka, a firma ponosi za nie pełną odpowiedzialność redakcyjną, nie wymagają umieszczania etykiet o użyciu AI.
Osobnym wymogiem jest czytelne oznaczanie wirtualnych asystentów i chatbotów na stronach internetowych. Użytkownik kontaktujący się z firmowym chatem musi od pierwszej wiadomości wiedzieć, że prowadzi rozmowę z automatycznym asystentem sztucznej inteligencji, a nie z fizycznym pracownikiem działu obsługi klienta.
AI (prawie) bez tajemnic
Kluczowym i powszechnym obowiązkiem, który dotyczy niemal każdego przedsiębiorcy, jest obowiązek podnoszenia kompetencji pracowników w zakresie AI. Oznacza to konieczność zapewnienia, że personel oraz osoby działające w imieniu firmy, posiadają odpowiedni poziom wiedzy na temat używanych narzędzi. Co istotne, prawo to dotyczy każdej organizacji bez względu na jej wielkość, obejmując nawet małe firmy oraz jednoosobowe działalności gospodarcze.
Praktyczne wdrożenie obowiązku kompetencyjnego ma na celu wyeliminowanie zjawiska tzw. shadow AI. Najczęstszym ryzykiem w mniejszych przedsiębiorstwach nie są bowiem skomplikowane algorytmy, lecz brak świadomości pracowników, którzy bezrefleksyjnie wklejają do darmowych generatorów poufne dokumenty firmowe, wyceny, umowy czy dane osobowe klientów. Tego typu praktyki prowadzą do bezpośrednich wycieków danych oraz potencjalnych naruszeń przepisów RODO.
Spełnienie wymogów artykułu 4 w firmie nie wymaga skomplikowanej biurokracji. Przedsiębiorca powinien w pierwszej kolejności sporządzić spis używanych narzędzi AI, opracować krótką politykę określającą zasady wklejania danych i weryfikacji wyników, a następnie przeprowadzić i udokumentować krótkie szkolenie dla zespołu. Posiadanie potwierdzenia takich szkoleń oraz jasnych procedur stanowi kluczowy dowód należytej staranności w przypadku wystąpienia ewentualnego incydentu bezpieczeństwa.
Wdrożenie AI Act to dla każdej firmy moment na uporządkowanie wewnętrznych procedur oraz weryfikację stosowanych narzędzi technologicznych. Odpowiednio zaplanowana strategia odporności cyfrowej pozwala bezpiecznie rozwijać biznes i budować przewagę rynkową w erze sztucznej inteligencji.
Grafika: DC Studio | Magnific