Pod koniec kwietnia 2021, Komisja Europejska opublikowała projekt Rozporządzenia Parlamentu Europejskiego i Rady UE dotyczącego stworzenia i przyjęcia ujednoliconych norm prawnych dla systemów sztucznej inteligencji w Unii Europejskiej (ang. Proposal for a Regulation of the European Parliament and of the Council laying down harmonised rules on artificial intelligence (artificial intelligence act) and amending certain Union legislative acts)[1] (dalej “Rozporządzenie” lub “Projekt”). Jak możemy przeczytać w Projekcie, Sztuczna inteligencja (AI) jest szybko rozwijającą się technologią, która może przynieść szereg korzyści gospodarczych i społecznych. Może jednak rodzić również zagrożenia dla jednostek lub społeczeństwa. Unia pragnie osiągnąć wiodącą rolę w rozwoju AI. Chce równocześnie, aby nowe technologie były tworzone i wykorzystywane zgodnie z wartościami, prawami podstawowymi i zasadami Unii. To właśnie te elementy kierowały pracami Komisji przy tworzeniu Projektu. Jest to także kontynuacja działań Unii z lat ubiegłych, takich jak opublikowanie w 2018 roku europejskiej strategii na rzecz sztucznej inteligencji, czy Białej Księgi w roku 2020.
Kategorie AI
Rozporządzenie przewiduje skategoryzowanie systemów AI na cztery grupy, zależnie od potencjalnego ryzyka dla praw i wolności osób fizycznych. Kryteria podziału zostały określone w Rozporządzeniu oraz w załączniku do Rozporządzenia. Twórcy systemu powinni mieć świadomość do której z grup będzie zaliczać się ich AI i zadbać o uwzględnienie wymagań przewidzianych w Rozporządzeniu już w na etapie ich tworzenia. Pozwoli to na dystrybucję ich AI na rynku europejskim i uniknięcie ryzyka ponoszenia znaczących nakładów w celu późniejszego dostosowania do wymogów Rozporządzenia. Warto przy tym zwrócić uwagę, że długa lista wymagań dotyczy przede wszystkim systemów zakwalifikowanych jako systemy wysokiego ryzyka. Dodatkowo, Projekt przewiduje utworzenie przez każde z państw członkowskich organów regulacyjnych mających za zadanie rejestrację, kategoryzację, wyznaczenie procedur oraz monitorowanie kwestii związanych z systemami sztucznej inteligencji.
Projekt dokonuje podziału AI na następujące kategorie:
Niedopuszczalne ryzyko
Jest to AI, która stwarza bardzo wyraźne zagrożenie dla bezpieczeństwa praw i wolności osób fizycznych. W tej grupie znajdą się np. systemy lub aplikacje wykorzystujące sztuczną inteligencję do manipulowania ludzkim zachowaniem. Należą do nich np. głosowe zabawki dla dzieci, które wypowiadanymi przez siebie instrukcjami mogłyby doprowadzić do niebezpiecznych zachowań. Na cenzurowanym są także systemy oceny punktowej społeczeństwa, takie jak ten działający w Chinach (ang. Social Rating Systems). Systemy social ratingowe opierają się na nadzorze i obserwacji naszego zachowania. W Chinach jest to realizowane m.in. poprzez systemy rozpoznawania twarzy korzystające z sieci kamer zainstalowanych w całym kraju, a także poprzez kontrolę działań podejmowanych przez internet.
Konsekwencją zakwalifikowania systemu do tej grupy będzie niedopuszczenie go do obrotu.
Wysokie ryzyko
Do grupy wysokiego ryzyka zostaną zakwalifikowane wszystkie AI stwarzające wysokie ryzyko szkody dla zdrowia i bezpieczeństwa lub ryzyko niekorzystnego wpływu na prawa podstawowe, które będą stosowane w kluczowych, z punktu widzenia państwa, sektorach. Sektory te zostały wskazane w Załączniku nr 3 do Projektu wraz ze wskazaniem konkretnego możliwego wykorzystania danego AI w danym sektorze. Wśród wskazanych znalazły się następujące sektory:
- Infrastruktura krytyczna (np. systemy AI przeznaczone do kierowania ruchem);
- Edukacja (np. systemy AI mające na celu określenie predyspozycji do danego zawodu lub kierunku kształcenia);
- Zatrudnienie/HR (np. systemy AI przeznaczone dla rekruterów w celu filtrowania, analizy czy segregacji nadesłanych zgłoszeń);
- Dostęp do podstawowych usług prywatnych oraz usług i świadczeń publicznych (np. systemy AI służące analizie zdolności kredytowej przed udzieleniem pożyczki);
- Ochrona porządku publicznego (np. systemy AI służące do analizy możliwości popełnienia przestępstwa przez konkretną osobę);
- Zarządzanie migracjami, azylem i kontrolą graniczną (np. systemy AI przeznaczone do stosowania w celu weryfikacji autentyczności dokumentów podróży poprzez sprawdzenie ich zabezpieczeń);
- Wymiar sprawiedliwości (np. systemy AI mające na celu wspomaganie organu sądowego w badaniu i interpretowaniu faktów oraz prawa, a także w stosowaniu prawa do konkretnego stanu faktycznego).
Niewykluczone, że lista ta z biegiem czasu będzie się powiększała.
Wśród wymagań stawianych tego typu systemom możemy znaleźć:
- ustanowienie kontroli systemu ryzyka,
- odpowiednie zarządzanie i kontrola nad danymi, które wprowadzane są do AI w celu uczenia maszynowego,
- wymóg posiadania odpowiedniej szczegółowej dokumentacji technicznej systemu,
- obowiązek przechowywania logów systemowych,
- nadzór człowieka nad systemem.
Ponadto systemy takie będą podlegały obowiązkowej certyfikacji przez wyznaczony przez państwo organ.
Do systemów AI wysokiego ryzyka zostaną zaliczone także systemy, które odpowiadają za bezpieczeństwo danego produktu oraz systemy, do których zastosowanie będzie mieć tzw. unijne prawodawstwo harmonizacyjne. Dokumenty, które poruszają ten temat zostały wymienione w Załączniku nr 2 do projektu i są to zazwyczaj dyrektywy lub rozporządzenia dotyczące urządzeń z dużym ryzykiem narażenia bezpieczeństwa w przypadku błędu, takich jak np. roboty medyczne czy windy.
Co warto dodać, Projekt przewiduje, że wszystkie rodzaje zdalnej identyfikacji biometrycznej – a więc i systemy rozpoznawania twarzy – nie będą mogły być wykorzystywane w miejscach dostępnych publicznie w czasie rzeczywistym, w szczególności pod pretekstem ochrony porządku publicznego. Wszystkie systemy tego typu zostaną zakwalifikowane do systemów wysokiego ryzyka. W Projekcie wskazano sytuacje kiedy takie systemy będą mogły zostać wykorzystane (np. ogólnokrajowe poszukiwania zaginionego dziecka), przy czym będą musiały spełniać szereg wymogów, w tym takie jak możliwość wykorzystania systemów jedyne w ściśle określonych ramach czasowych, miejscach oraz przy wykorzystaniu wskazanych baz danych.
Ograniczone ryzyko
Do tej grupy zaliczono systemy sztucznej inteligencji podlegające szczególnym obowiązkom w zakresie przejrzystości. W Projekcie wskazano na chatboty i inne systemy polegające na wzajemnej interakcji z użytkownikiem. W Projekcie wymieniono także tzw. Deepfake, które pozwalają na manipulowanie obrazem tak, by np. stworzyć wideo ze znaną osobą wypowiadającą słowa, których nigdy w rzeczywistości nie powiedziała.
W przypadku systemów AI zakwalifikowanych do systemów ograniczonego ryzyka, użytkownik powinien mieć przedstawione wszystkie niezbędne informacje do tego, aby mieć świadomość, że wchodzi w interakcję z maszyną, jak również móc podjąć świadomą decyzję o kontynuowaniu lub przerwaniu interakcji. Tworzenie AI przeznaczonych do interakcji z człowiekiem, bez informowania o tym, że ma do czynienia z AI, będzie zakazane.
Minimalne ryzyko
Komisja Europejska przewidziała umożliwienie swobodnego korzystania z systemów AI, które nie stanowią zagrożenia dla praw lub bezpieczeństwa osób fizycznych lub ryzyko to jest minimalne. Do tej kategorii zaliczymy filtry antyspamowe czy gry wideo z wykorzystaniem sztucznej inteligencji. To właśnie tu zostanie sklasyfikowana zdecydowana większość obecnych systemów.
Organ nadzorujący
Komisja proponuje, aby nadzór nad nowymi przepisami sprawowały właściwe krajowe organy nadzoru, które zostaną utworzone po przyjęciu Rozporządzenia. Projekt przewiduje także możliwość oddania tych kompetencji w ręce krajowych organów akredytacyjnych. To właśnie te organy – w przypadku Polski byłoby to Polskie Centrum Akredytacji – miałyby sprawować nadzór nad wprowadzaniem konkretnych systemów AI na rynek. Ponadto, ma zostać utworzona Europejska Rada ds. Sztucznej Inteligencji, która miałaby sprawować funkcję unijnego organu nadzorczego. W jej skład wejdą przewodniczący organów nadzorczych ds. sztucznej inteligencji z poszczególnych państw członkowskich oraz Europejski Inspektor Ochrony Danych. Zadania Rady obejmować mają wydawanie opinii oraz rekomendacji w sprawach związanych z AI, jak i dbanie o prawidłowy przepływ wiedzy dotyczącej tychże systemów. Nietrudno dostrzec tu analogię do przyjętych ram prawnych w zakresie ochrony danych osobowych, w tym w zakresie kompetencji krajowych organów nadzorczych oraz Europejskiej Rady Ochrony Danych.
Sankcje
Przestrzeganie nowych przepisów ma zapewnić system sankcji. Najwyższą przewidzianą karą jest 30 milionów EUR lub 6% całkowitego rocznego obrotu za poprzedni rok finansowy. To konsekwencja nieprzestrzegania zakazu stosowania systemów o niedopuszczalnej skali ryzyka oraz za niedotrzymanie obowiązków w zakresie AI o wysokiej klasie ryzyka.
Organ nadzorujący
systemów AI na rynek. Ponadto, ma zostać utworzona Europejska Rada ds. Sztucznej Inteligencji, która miałaby sprawować funkcję unijnego organu nadzorczego. W jej skład wejdą przewodniczący organów nadzorczych ds. sztucznej inteligencji z poszczególnych państw członkowskich oraz Europejski Inspektor Ochrony Danych. Zadania Rady obejmować mają wydawanie opinii oraz rekomendacji w sprawach związanych z AI, jak i dbanie o prawidłowy przepływ wiedzy dotyczącej tychże systemów. Nietrudno dostrzec tu analogię do przyjętych ram prawnych w zakresie ochrony danych osobowych, w tym w zakresie kompetencji krajowych organów nadzorczych oraz Europejskiej Rady Ochrony Danych.
Co dalej?
Obecnie trwają dyskusję nad projektem w Radzie UE. Po ich zakończeniu Komisja Europejska najprawdopodobniej złoży wniosek ustawodawczy do Parlamentu Europejskiego. W przypadku uzyskania aprobaty Parlamentu, a następnie Rady Europy, Rozporządzenie zacznie bezpośrednio obowiązywać w polskim porządku prawnym. Podobnie jak w przypadku RODO, przewidywany jest 24-miesięczny okres przejściowy, pozwalający na dostosowanie do nowych regulacji. Jednak krótsze okresy będą obowiązywały w przypadku niektórych wymogów (np. obowiązku dotyczącego transparentności).
Materiał przygotowany przez kancelarię JT Weston Legal. Nie jest to porada prawna. W razie pytań zapraszamy do kontaktu z Magdaleną Bartosik (magdalena.bartosik@jtweston.legal).
[1] https://eur-lex.europa.eu/legal-content/PL/ALL/?uri=CELEX:52021SC0084
