AI Act – wszystko, co chcesz wiedzieć, ale boisz się zapytać
Do jakich systemów odnosi się AI Act? Czym w ogóle jest system AI na gruncie nowego prawa? Czy do wszystkich systemów unijne regulacje podchodzą tak samo? Poniżej odpowiedzi na każde z tych pytań.
Artykuł ukazał się w czerwcowym wydaniu magazynu CRN, nr 6-7/2024, autorem jest radca prawny Piotr Grzelczak. Zapraszamy do lektury!
Jesteśmy już bardzo blisko końca ścieżki legislacyjnej tzw. „AI Act” i możemy spodziewać się jej rychłego zakończenia (być może, jak będziecie Państwo czytać ten artykuł, będzie ona już sfinalizowana). W świetle nowych regulacji system AI oznacza system oparty (działający) na maszynie, zaprojektowany do działania z pewnym poziomem autonomii, który może po wdrożeniu wykazywać zdolność adaptacji i który – do wyraźnych lub dorozumianych celów – wnioskuje na podstawie danych wejściowych, jak generować wyniki takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne.
Taka definicja jest bardzo szeroka. W przeciwieństwie do wyjściowej propozycji Komisji Europejskiej, przewidującej zamknięty katalog technik/rozwiązań, których wykorzystanie było jedną z przesłanek uznania oprogramowania za system AI, ostatecznie nie zdecydowano się na wskazywanie takiego katalogu. Definicja nie koncentruje się więc na stronie technicznej, a znaczenie ma jedynie to, czy mamy do czynienia z rozwiązaniem działającym w oparciu o maszynę (urządzenie), posiadającym przynajmniej odrobinę autonomii i generującym wyniki na podstawie dostarczanych mu danych wejściowych.
AI Act, podobnie jak szereg innych regulacji przyjmowanych przez Unię Europejską, zwłaszcza w ostatnich latach, jest oparty o zasadę ryzyka („risk based approach”). Skutkuje to tym, że ciężar regulacyjny jest różnicowany w odniesieniu do ryzyka, jaki dany typ systemu generuje. Punktem odniesienia dla tego ryzyka są tutaj: zdrowie, bezpieczeństwo i prawa podstawowe osób fizycznych. Bazując na ryzyku, wyróżniono kilka rodzajów systemów AI, poczynając od tych zakazanych.
Modele z ryzykiem systemowym poddane są większym rygorom.
Systemy zakazane
AI Act zabrania wprowadzania do obrotu, oddawania do użytku i wykorzystywania w Unii Europejskiej pewnych systemów AI z uwagi na fakt, że zdaniem unijnego legislatora są one nie do pogodzenia z wartościami, na których oparta jest Unia Europejska lub wiążą się z ryzykiem nie do zaakceptowania. Chodzi tutaj o systemy stosujące techniki podprogowe lub manipulacyjne, które ograniczają zdolność do podejmowania świadomych decyzji, skutkujące poważną szkodą (potencjalną lub rzeczywistą). Kolejną grupę stanowią systemy ukierunkowane na wykorzystanie słabości ludzkich ze względu na wiek, niepełnosprawność, sytuację społeczną lub ekonomiczną, co może powodować lub powoduje poważną szkodę.
Ponadto zakazane mają być systemy scoringu społecznego (realizowane zarówno przez podmioty publiczne jak i prywatne), jak również systemy ukierunkowane na wnioskowanie na temat emocji w zakładach pracy lub instytucjach edukacyjnych (z pewnymi wyjątkami). Z kolei wnioskowanie o ludzkich emocjach w pozostałych kontekstach społecznych nie będzie z góry zabronione.
Systemy wysokiego ryzyka
AI Act wyszczególnia kategorię tzw. systemów wysokiego ryzyka, czyli systemów, które co prawda można wprowadzać do obrotu, oddawać do użytku i wykorzystywać w Unii Europejskiej, ale pod warunkiem spełnienia wymogów regulacyjnych przewidzianych w AI Act. Ta kategoria jest sednem AI Act, bo trzon jego postanowień odnosi się właśnie do niej. Jeśli dany system AI nie jest zabroniony ani nie jest uznany za system wysokiego ryzyka, wówczas, wpływ regulacyjny AI Act na ten system będzie albo mocno ograniczony (jeśli system będzie jednym z „pozostałych systemów regulowanych” – o czym więcej poniżej) albo nie będzie go w ogóle, chyba że dostawca bądź podmiot stosujący AI przejmie pewne mechanizmy na zasadzie dobrowolności.
W tym miejscu warto wskazać, że samo ustalenie, czy dany system AI stanowi system wysokiego ryzyka czy też nie może nie być takie proste, jeśli spojrzymy na to, jak AI Act podchodzi do procesu klasyfikacji. Otóż, systemami wysokiego ryzyka będą, po pierwsze, systemy odpowiedzialne za bezpieczeństwo produktów objętych unijnymi przepisami harmonizacyjnymi wskazanymi w załączniku I do AI Act lub same będące takimi produktami, ale pod warunkiem, że z przepisów harmonizacyjnych wynika obowiązek przeprowadzenia oceny zgodności produktu przez stronę trzecią (zewnętrzną jednostkę badającą zgodność). Takimi produktami będą np. zabawki, wyroby medyczne czy dźwigi.
Innymi słowy, systemem AI wysokiego ryzyka nie będzie system odpowiedzialny za bezpieczeństwo produktu objętego ww. regulacjami, dla którego procedura oceny zgodności jest realizowana wewnętrznie przez producenta (w ramach systemu kontroli wewnętrznej).
Po drugie, systemami wysokiego ryzyka będą inne systemy wymienione w załączniku III do AI Act, takie jak w szczególności niektóre systemy zdalnej identyfikacji biometrycznej i kategoryzacji biometrycznej, systemy przeznaczone do rozpoznawania emocji (w zakresie w jakim nie są zabronione – jw.), systemy stosowane przez pracodawców w ramach procesów rekrutacyjnych (np. umieszczanie ukierunkowanych ogłoszeń, filtrowanie CV, ocena kandydatów) lub w celu podejmowania decyzji dotyczących rozmaitych aspektów środowiska pracy (np. przydzielanie zadań dopasowanych do predyspozycji osobowościowych, monitorowanie wydajności pracy), systemy stosowane do oceny zdolności kredytowej lub szacowania ryzyka ubezpieczeniowego.
W zakresie drugiego z wymienionych punktów istnieje dodatkowo możliwość odstępstwa, o ile mamy do czynienia z systemem AI niedokonującym profilowania osób fizycznych (systemy profilujące nie mogą z tego odstępstwa skorzystać). Polega to na tym, że system AI wymieniony w załączniku III do AI Act nie będzie uznany za system wysokiego ryzyka, jeżeli nie stwarza on znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych. Uogólniając nieco, takiego ryzyka nie będzie wtedy, jeśli wpływ danego systemu na wynik procesu decyzyjnego, w który jest zaangażowany, nie będzie istotny, np. dlatego, że wykonuje on jedynie wąskie działania proceduralne lub czynności przygotowawcze lub że przeznaczony jest do poprawiania wyniku zakończonej uprzednio czynności wykonywanej przez człowieka.
Pozostałe systemy regulowane
AI Act nakłada pewne szczególne wymogi w zakresie przejrzystości odnośnie systemów AI, które są przeznaczone do wchodzenia w bezpośrednią interakcję z osobami fizycznymi, jak też generują treści w postaci syntetycznych dźwięków, obrazów, wideo lub tekstu, w tym w zakresie deepfake, lub są przeznaczone do rozpoznawania emocji lub kategoryzacji biometrycznej (w zakresie w jakim takie systemy nie są zabronione przez AI Act). Prawodawca uzasadnia to pewnym szczególnym ryzykiem generowanym przez takie właśnie systemy AI.
Wymogi w zakresie transparentności dotyczące systemów AI, o których mowa powyżej, będą nakładać się na wymogi przewidziane dla systemów AI wysokiego ryzyka, jeśli konkretny system AI będzie spełniał kryteria kwalifikujące go do obu ww. kategorii. Jeśli dany system AI nie będzie systemem wysokiego ryzyka, wówczas będzie musiał spełniać jedynie wymogi dot. przejrzystości.
Modele AI ogólnego przeznaczenia
AI Act zawiera również regulacje dotyczące modelów AI ogólnego przeznaczenia, wprowadzone w końcowym etapie prac legislacyjnych. Modele te są definiowane jako modele wykazujące znaczną ogólność, będące w stanie kompetentnie wykonywać szeroki zakres różnych zadań, niezależnie od sposobu, w jaki model jest wprowadzany do obrotu, i które można integrować z różnymi systemami/aplikacjami niższego szczebla. Chodzi więc tutaj o pewne modele ogólne, na których mogą być budowane rozmaite systemy AI.
Przyjmuje się, że modelem ogólnego przeznaczenia będą m.in. modele o co najmniej miliardzie parametrów, trenowane w oparciu o dużą ilość danych. W ramach tej kategorii wyróżnia się dodatkowo podklasę modeli AI ogólnego przeznaczenia z ryzykiem systemowym, czyli takich które mają zdolność dużego oddziaływania (uznaje się, że takie duże oddziaływanie występuje w przypadku modeli, jeśli do ich trenowania wykorzystano łączną liczbę obliczeń na poziomie większym niż 10^25 FLOP).
Modele AI ogólnego przeznaczenia nie stanowią same w sobie systemów AI (brakuje im bowiem pewnych komponentów, takich jak np. interfejs do komunikacji z użytkownikiem). Niemniej, są kluczowym komponentem wielu takich systemów, dlatego też zostały poddane regulacji AI Act. Oczywiście, modele z ryzykiem systemowym poddane są większym rygorom.
Systemy małego ryzyka
Nie wszystkie systemy AI będą kwalifikować się do którejś z ww. kategorii przewidzianych w AI Act. W przypadku systemów, które nie niosą za sobą wysokiego ryzyka ani nie wymagają szczególnej transparentności, dostawcy i podmioty stosujące AI będą mogły przejąć wszystkie bądź niektóre z mechanizmów, o których mowa w AI Act, na zasadzie dobrowolności. Może to znaleźć odzwierciedlenie w szczególności w rozmaitych kodeksach dobrych praktyk.
Artykuł dostępny także na stronie wydawcy magazynu CRN – TUTAJ. Całe wydanie magazynu dostępne pod linkiem TUTAJ.
Materiał prasowy: radca prawny Piotr Grzelczak.
fot. Piotr Grzelczak, Kancelaria Prawna GFP_Legal Wrocław
#AIAct #ModeleAI #SystemyZakazane #SystemyWysokiegoRyzyka #RiskBasedApproach #IT #PolishLawOffice #PolishLawyer #ITLawyerPoland #LawFirmPoland #PrawnikITWrocław #CRN #GFPLegal #KancelariaPrawnaWrocław #KancelariaPrawnaGFPLegal #RadcaPrawnyWrocław
