---

Ze względu na swój nowatorski charakter Akt w sprawie SI ma potencjał do tego, by wywrzeć istotny wpływ na rozwój systemów SI nie tylko w Unii Europejskiej, ale i na całym świecie. Jest to bowiem pierwsza na świecie próba kompleksowego uregulowania systemów sztucznej inteligencji i ich zastosowań. Projekt wpisuje się w szersze działania UE zmierzające do realizacji europejskiej strategii w zakresie danych^[2] oraz sztucznej inteligencji (SI)^[3] i jest efektem kilkuletnich prac na poziomie UE zmierzających do wypracowania unijnego podejścia do sztucznej inteligencji^[4]. Choć prace nad projektem wciąż trwają i będzie on z pewnością podlegać zmianom w toku procesu legislacyjnego, wydaje się, że jego główne założenia pozostaną niezmienione^[5]. Tym bardziej warto śledzić prace nad projektem rozporządzenia, które – nakładając nowe obowiązki na dostawców, użytkowników i inne podmioty – stworzy również nowe wyzwania dla prawników świadczących dla nich pomoc prawną.

Celem artykułu jest przedstawienie głównych założeń projektu Aktu w sprawie SI, w szczególności jego zakresu zastosowania (materialnego i podmiotowego), podejścia opartego na analizie ryzyka dla praw podstawowych, zdrowia i bezpieczeństwa osób fizycznych oraz nowych obowiązków, które będą wiązały się ze stosowaniem systemu SI o określonym poziomie ryzyka.
 
Zakres przedmiotowy – definicja systemu SI

Podejmując próbę regulacji systemów SI, Komisja Europejska musiała zmierzyć się z niełatwym zadaniem zdefiniowania systemu sztucznej inteligencji. Warto zwrócić uwagę, że zdecydowano się na zdefiniowanie pojęcia „systemu sztucznej inteligencji”, a nie „sztucznej inteligencji”. Odróżnienie systemu SI oraz SI ma niebagatelne znaczenie – trudno bowiem mówić o regulacji samej sztucznej inteligencji, tym bardziej, że jak dotąd środowiska naukowe nie wypracowały jednej definicji sztucznej inteligencji^[6]. Nie dziwi zatem, że Komisja przedstawiła własną definicję systemu sztucznej inteligencji, która w założeniu ma być możliwie neutralna pod względem technologicznym i nie ulegać dezaktualizacji^[7]. Ma to szczególne znaczenie ze względu na szybki rozwój technologiczny i rozwój sytuacji rynkowej w dziedzinie SI.

Definicja zaproponowana przez Komisję jest jednak krytykowana przez wiele środowisk jako zbyt szeroka^[8] (może ona objąć swoim zakresem nie tylko systemy sztucznej inteligencji sensu stricto, ale prawie każde oprogramowanie komputerowe, w tym tzw. stupid AI czy fake AI^[9]).

Z tego względu Rada zdecydowała się na zmianę tej definicji. W wersji projektu obecnie zaproponowanej przez Radę system sztucznej inteligencji (system SI) definiowany jest jako system, który:

Powyższa definicja odwołuje się do załącznika I, który precyzuje techniki i podejścia stanowiące podstawę do tego, by zakwalifikować dany system jako system sztucznej inteligencji. Należą do nich:

Choć katalog technik i podejść wskazany w załączniku I jest zamknięty, to projekt przewiduje możliwość jego zmiany, ponieważ Komisja ma być uprawniona do przyjmowania aktów delegowanych w celu zmiany wykazu technik i podejść wymienionych w załączniku I. Zgodnie z obecną wersją projektu Komisja ma obowiązkowo aktualizować ten wykaz co 24 miesiące. Przyznanie Komisji powyższego uprawnienia ma pozwolić na bieżąco uaktualniać ten wykaz i dostosowywać go do rozwoju sytuacji rynkowej i postępu technologicznego (motywy 6 i 85), ale może również kreować niepewność prawną po stronie twórców systemów SI, którzy nie będą w stanie przewidzieć, czy projektowany przez nich system będzie podlegać unijnym przepisom.

Warto podkreślić, że z pewnością nie jest to finalna wersja definicji SI – projekt sprawozdania połączonych Komisji IMCO oraz LIBE w Parlamencie Europejskim zakłada powrót do pierwotnej definicji systemu SI z drobną zmianą^[10].

Należy się spodziewać, że zakres wyłączeń spod stosowania Aktu w sprawie SI także będzie podlegać zmianom. W wersji zaproponowanej przez Radę znalazło się nie tylko wyłączenie dla systemów SI opracowanych lub wykorzystywanych wyłącznie do celów wojskowych lub bezpieczeństwa narodowego, lecz również szerokie wyłączenie dla działań badawczo-rozwojowych. Spod zakresu rozporządzenia wyłączone mają zostać systemy SI (w tym wyniki ich działań) specjalnie opracowane i oddane do użytku wyłącznie w celach badań naukowych i rozwoju. Takie rozwiązanie, postulowane w szczególności przez środowiska naukowe, które w założeniu ma ułatwić prowadzenie badań w różnych obszarach nauki, należy przyjąć z aprobatą.
 
Zakres podmiotowy – kogo i w jakich okolicznościach dotyczyć będzie nowa regulacja?

Projektowane rozporządzenie w wersji zaproponowanej przez Radę znajdzie zastosowanie do:

Projekt sprawozdania połączonych Komisji IMCO oraz LIBE w Parlamencie Europejskim zakłada rozszerzenie tego katalogu również o (1) osoby fizyczne poddane działaniu systemu SI (co ma istotne znaczenie w kontekście przyznania im określonych praw – szerzej na ten temat zob. poniżej) oraz (2) instytucje, urzędy, organy i agencje UE działające jako dostawca lub użytkownik systemu SI.

Zakres zastosowania projektowanego rozporządzenia jest szeroki. System SI będzie bowiem podlegał unijnym regulacjom, nawet jeżeli będzie trenowany i rozwijany w państwie trzecim na zlecenie operatora (tj. dostawcę, użytkownika, upoważnionego przedstawiciela, importera i dystrybutora) mającego siedzibę w UE albo przez operatora mającego siedzibę w państwie trzecim, w zakresie, w jakim wyniki działania takiego systemu będą wykorzystywane w UE. Podobnie, nawet jeżeli system SI nie będzie przedmiotem wprowadzenia do obrotu lub oddania do użytku w UE ani nie będzie w UE wykorzystywany, to będzie on mógł być objęty projektowanym rozporządzeniem. Dotyczyć to będzie sytuacji, w których operator mający siedzibę w UE zlecałby określone usługi operatorowi spoza UE w związku z operacjami, które miałyby być wykonywane przez system sztucznej inteligencji zakwalifikowany jako system wysokiego ryzyka.

Warto jednak zauważyć, że tak szerokie ujęcie zakresu Aktu w sprawie SI nie odbiega od przyjętego w przypadku innych regulacji unijnych m.in. w obszarze bezpieczeństwa produktów, prawa konsumenckiego czy prawa ochrony danych osobowych (RODO), i w założeniu zapobiegnie obchodzeniu nowych przepisów.

Analiza projektu pozwala na zidentyfikowanie kluczowych uczestników w łańcuchu wartości sztucznej inteligencji, którzy będą głównymi adresatami obowiązków przewidzianych w Akcie w sprawie SI. Należą do nich: dostawcy systemów sztucznej inteligencji (tj. osoby fizyczne lub prawne, organy publiczne, agencje lub inne podmioty, które opracowują system sztucznej inteligencji lub zlecają jego opracowanie i wprowadzają go do obrotu lub oddają go do użytku pod własną nazwą handlową lub własnym znakiem towarowym – odpłatnie lub nieodpłatnie) oraz użytkownicy systemów sztucznej inteligencji (tj. osoby fizyczne lub prawne, organy publiczne, agencje lub inne podmioty, które korzystają z systemu sztucznej inteligencji pod swoją kontrolą). Projekt przewiduje nałożenie proporcjonalnych obowiązków również na innych uczestników łańcucha wartości SI, o których mowa powyżej, czyli w szczególności importerów, dystrybutorów, upoważnionych przedstawicieli.
 
Podejście oparte na analizie ryzyka i nowe obowiązki
Niezależnie od ostatecznego brzmienia definicji systemu SI i zakresu zastosowania Aktu w sprawie SI, warto wskazać, że nie wszystkie systemu SI mają podlegać obowiązkom i ograniczeniom przewidzianym w Akcie w sprawie SI. Prawodawca unijny, projektując akt w sprawie SI, przyjmuje tzw. podejście oparte na analizie ryzyka (risk-based approach)^[11], znane np. z regulacji dotyczących bezpieczeństwa produktów czy RODO. W założeniu nowym obowiązkom i ograniczeniom będą podlegać tylko takie systemy SI, których wykorzystanie wiąże się z określonym poziomem ryzyka dla praw podstawowych, zdrowia i bezpieczeństwa osób fizycznych.

Projekt Aktu w sprawie SI wyróżnia systemy SI stwarzające:

Co do zasady, projektowanym obowiązkom i ograniczeniom będą podlegać tylko systemy SI z pierwszych trzech grup. W przypadku systemów SI, które stwarzają niedopuszczalne ryzyko dla zdrowia i bezpieczeństwa lub praw podstawowych osób fizycznych, przewiduje się całkowity zakaz stosowania praktyk w zakresie SI (art. 5). Do takich zakazanych praktyk w wersji zaproponowanej przez Radę zalicza się wprowadzanie do obrotu, oddawanie do użytku lub wykorzystywanie w UE systemów SI, które:

Systemy SI, które stwarzają wysokie ryzyko dla zdrowia i bezpieczeństwa lub praw podstawowych osób fizycznych, mogą być dopuszczone do obrotu wyłącznie pod warunkiem spełnienia określonych rygorystycznych wymogów i przeprowadzenia oceny zgodności ex ante. Systemy SI wysokiego ryzyka wskazano w art. 6 projektu Aktu, który został całkowicie przeredagowany w listopadowej wersji kompromisowej Rady. Co istotne, uznanie systemu SI za system wysokiego ryzyka nie opiera się wyłącznie na analizie funkcji pełnionej przez system SI, ale przede wszystkim na ocenie celu i sposobu jego wykorzystania.

W obecnej wersji projektu przewiduje się, że systemem SI wysokiego ryzyka jest system, który jest produktem objętym unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku II albo jest wykorzystywany jako element bezpieczeństwa produktu objętego powyższym prawodawstwem, jeżeli musi być on poddany ocenie zgodności w celu wprowadzenia go do obrotu lub oddania do użytku zgodnie z tym prawodawstwem (dotyczy to m.in. takich produktów jak zabawki, samochody, wyroby medyczne, windy).

Dodatkowo załącznik III ustanawia wykaz systemów sztucznej inteligencji wysokiego ryzyka, w przypadku których ryzyko już się urzeczywistniło lub może się urzeczywistnić w najbliższej przyszłości. Zgodnie z wykazem systemami SI wysokiego ryzyka są systemy SI należące do poniższych kategorii lub wykorzystywane we wskazanych niżej obszarach:

Przewiduje się, że powyższy wykaz może być zmieniany – Komisja może rozszerzyć wykaz systemów SI wysokiego ryzyka wykorzystywanych w konkretnych obszarach, stosując zestaw kryteriów i metodykę oceny ryzyka, o których mowa w art. 7.

Systemy SI wysokiego ryzyka muszą spełniać szereg wymogów, a dostawcy takich systemów muszą spełniać określone obowiązki. Proporcjonalne obowiązki nałożono również na użytkowników (art. 29) i innych uczestników łańcucha wartości SI (np. importerów, dystrybutorów, autoryzowanych przedstawicieli). Systemy SI wysokiego ryzyka muszą spełnić wymogi prawne dotyczące m.in.:

Do obowiązków dostawców systemów SI należą m.in.:

Ponadto dostawcy, którzy mają siedzibę poza UE, będą musieli wyznaczyć upoważnionego przedstawiciela w UE, który będzie odpowiedzialny m.in. za ocenę zgodności, ustanowienie systemu monitorowania po wprowadzeniu do obrotu oraz podjęcie w razie potrzeby działań naprawczych.

Co istotne, za dostawcę systemu SI wysokiego ryzyka uważa się dystrybutora, importera, użytkownika lub inną osobę trzecią i nakłada się na nich obowiązki równoważne obowiązkom dostawcy określonym w art. 16, jeżeli:

W przypadku zaistnienia powyższych okoliczności dostawca, który pierwotnie wprowadził system SI wysokiego ryzyka do obrotu lub który oddał ten system do użytku, nie będzie już uznawany za dostawcę w rozumieniu Aktu.
Systemy SI ograniczonego ryzyka, takie jak: systemy wchodzące w interakcje z ludźmi (chatboty), systemy rozpoznawania emocji, systemy kategoryzacji biometrycznej, systemy SI, które generują lub manipulują obrazami, treściami audio lub wideo (tzw. deepfake), będą objęte zestawem obowiązków dotyczących przejrzystości i obowiązków informacyjnych (art. 52).

Z kolei systemy SI charakteryzujące się jedynie niskim lub minimalnym ryzykiem będą mogły być opracowane i stosowane w UE bez konieczności wypełniania jakichkolwiek dodatkowych obowiązków. Projekt Aktu przewiduje jednak możliwość stworzenia kodeksów postępowania, w ramach których podmioty wykorzystujące systemy SI o niskim lub minimalnym ryzyku mogą dobrowolnie zobowiązać się do stosowania w odniesieniu do ich systemów SI wymogów dotyczących systemów SI wysokiego ryzyka (tytuł IX).

W oczywisty sposób kluczowym wyzwaniem – zarówno dla przedsiębiorców, ich prawników, jak i organów nadzoru – związanym z podejściem opartym na ryzyku i uzależnieniem zakresu obowiązków od zidentyfikowanego poziomu ryzyka będzie przeprowadzenie rzetelnej jego analizy. Nie będzie to zadanie łatwe i z pewnością będzie wiązało się z koniecznością współpracy z ekspertami specjalizującymi się w zagadnieniach technicznych i nowych technologiach, którzy taką analizę ryzyka będą w stanie przeprowadzić. Na marginesie warto jednak zauważyć, że odgórne określenie poziomu ryzyka, jakie dla użytkowników końcowych tworzy dany system SI, może też okazać się niemożliwe. Będzie to szczególnie widoczne w przypadku autonomicznych systemów SI, które z natury mają działać i rozwijać się w sposób autonomiczny, niezależny od człowieka – pierwotna ocena takiego systemu może szybko okazać się nietrafiona. Stąd niezbędne może okazać się przeprowadzanie regularnej analizy ryzyka związanej z danym system SI – w obecnej wersji projektu jedynie dostawcy systemów SI wysokiego ryzyka będą zobowiązani do wdrożenia kompleksowego systemu zarządzania ryzykiem, który będzie wymuszał przeprowadzanie takiej oceny.
 
Prawa osób poddanych działaniu systemu SI
Istotną zmianą zaproponowaną w projekcie sprawozdania połączonych Komisji IMCO oraz LIBE w Parlamencie Europejskim z 20 kwietnia 2022 r.^[12] jest wprowadzenie określonych praw dla osób fizycznych lub grupy osób, które poddane są działaniu systemu SI. Jeżeli uznają one, że ich zdrowie, bezpieczeństwo lub prawa podstawowe poprzez działanie danego systemu SI zostały naruszone, będą mogły wnieść skargę na dostawców lub użytkowników takiego systemu do krajowego organu nadzoru państwa członkowskiego. Będzie przysługiwać im również prawo do bycia wysłuchanymi w ramach procedury rozpatrywania skarg oraz w kontekście wszelkich dochodzeń prowadzonych przez krajowy organ nadzoru w wyniku ich skargi oraz prawo do skutecznego środka odwoławczego od decyzji wydanej w ich sprawie przez krajowy organ nadzoru.

Zmiana jest znacząca, ponieważ Komisja Europejska w ogóle nie przewidziała takiego mechanizmu w swoim projekcie. Brak jakichkolwiek uprawnień dla osób, które mogą być dotknięte działaniem systemu SI, było szeroko krytykowane przez różne środowiska^[13]. Z tego względu wydaje się, że zaproponowane uprawnienia zostaną utrzymane lub nawet rozszerzone na dalszym etapie prac legislacyjnych.
 
Podsumowanie

Niezależnie od tego, jaki kształt przyjmie finalnie Akt w sprawie SI, jest pewne, że przyniesie on nowe wyzwania dla prawników – zarówno obsługujących podmioty biznesowe, jak i osoby fizyczne. Po pierwsze, nałoży on na szereg podmiotów wytwarzających lub korzystających z systemów SI (w szczególności dostawców i użytkowników systemów SI) nowe złożone obowiązki. Rolą prawników ich reprezentujących będzie pomoc w odnalezieniu się w nowym otoczeniu regulacyjnym i dostosowaniu oferowanych przez nich usług i produktów do wymogów Aktu. Co istotne, Akt będzie regulacją o charakterze horyzontalnym, która może znaleźć zastosowanie do ww. podmiotów, niezależnie od branży, czy sektora, który reprezentują. Ze względu na szybko postępujący rozwój technologii i dynamicznie rozwijające się regulacje w tym obszarze nie będzie to zadanie łatwe. Tym bardziej warto śledzić, w jakim kierunku zmierzają prace nad projektem Aktu, by powoli przygotowywać swoich klientów do rewolucji, którą wywoła wejście w życie nowego rozporządzenia, porównywalnej z tą, którą wywołało RODO.

Po drugie, jeśli Akt ostatecznie przyzna osobom poddanym działaniu systemu SI określone prawa, prawnicy będą musieli się zmierzyć z wyzwaniami, jakie będą się wiązać ze świadczeniem pomocy prawnej na rzecz osób poszkodowanych działaniem systemu SI. Oprócz wdrożenia się w nowe procedury przed krajowymi organami nadzoru, wydaje się prawie pewne, że rzetelne świadczenie pomocy prawnej w tego typu sprawach będzie wymagało od prawników nie tylko zrozumienia podstaw funkcjonowania danego systemu SI, lecz również ścisłej współpracy ze specjalistami z zakresu nowych technologii.

Choć wydaje się, że prawodawca unijny zostawi rozsądny czas na jego wdrożenie przez podmioty zobowiązane (obecnie przewiduje się, że Akt zacznie obowiązywać 24 miesiące od jego wejścia w życie), już teraz warto się zastanowić, czy klienci, na rzecz których świadczymy pomoc prawną, nie będą objęci zakresem zastosowania Aktu. Jak pokazuje doświadczenie z wdrażania RODO, nawet dwuletni okres na wdrożenie bezpośrednio stosowanego rozporządzenia, przy złożonym charakterze nowych obowiązków, może okazać się niewystarczający.
 
dr Iga Małobęcka-Szwast
radca prawny w Wardyński i Wspólnicy sp.k.; adiunkt w Katedrze Prawa Europejskiego WPiA Uniwersytetu Warszawskiego

---