AI Act wchodzi w życie, ale nie cały od razu

Rozporządzenie w sprawie sztucznej inteligencji (AI Act) wchodzi w życie 1 sierpnia 2024 r. Ale podobnie jak było np. z RODO, moment rozpoczęcia stosowania tych przepisów został przesunięty w czasie. Ogólną zasadą jest, że regulacje będą stosowane od 2 sierpnia 2026 r., a zatem po dwóch latach. Tak będzie np. z wymogiem transparentności, tj. obowiązkiem informowania użytkownika, że wchodzi w interakcję z modelem sztucznej inteligencji.

Obowiązek ten związany jest głównie z tzw. generatywną AI i powoduje konieczność oznaczenia, że tekst, obraz czy film został stworzony przez sztuczną inteligencję. Ale ma też zastosowanie np. do chatbotów.

Zakazy i kary

AI Act przewiduje jednak liczne wyjątki od dwuletniego terminu. Przede wszystkim, już po sześciu miesiącach (a zatem od 2 lutego 2025 r.) stosowane będą przepisy dotyczące tzw. praktyk zakazanych.

Czytaj więcej:

Biznes

Kiedy scoring społeczny będzie zakazany przez AI Act

AI Act, który wchodzi w życie już 2 sierpnia, będzie miał pewne przełożenie na niektóre modele biznesowe i podejście do człowieka w kontekście wykorzystywania systemów sztucznej inteligencji.

Pro

Chodzi więc o takie zastosowania sztucznej inteligencji, które unijny ustawodawca uznał za niedopuszczalne. To np. techniki podprogowe wpływające na decyzję odbiorcy poza jego świadomością, wykorzystujące słabość danej grupy odbiorców. A także klasyfikowanie z wykorzystaniem AI osób na potrzeby tzw. scoringu społecznego, nieukierunkowane pozyskiwanie baz twarzy z internetu czy kamer przemysłowych, analiza emocji w miejscu pracy czy edukacji oraz identyfikacja twarzy w czasie rzeczywistym na potrzeby ścigania przestępstw (choć wyjątkowo będzie to dozwolone).

– W przypadku zakazanych praktyk AI sytuacja jest dość prosta. Z dniem 2 lutego 2025 r. staną się one nielegalne i nie będzie tu żadnych wyjątków – mówi dr Maria Dymitruk, radca prawny z kancelarii Olesiński i Wspólnicy.

– Ten stosunkowo krótki termin uzasadniony jest doniosłością tych przepisów. Można jednak mieć nadzieję, że przypadki niedopuszczalnego wykorzystania AI są w Unii Europejskiej rzadkie – dodaje.

Po 12 miesiącach zaczną zaś być stosowane przepisy o organach nadzorujących przestrzeganie AI Actu, zarówno na poziomie unijnym, jak i krajowym. A także o karach za łamanie tych przepisów.

W przypadku praktyk zakazanych wyniosą one do 35 mln euro, lub w przypadku przedsiębiorstw – do 7 proc. rocznego światowego obrotu, za naruszenie pozostałych przepisów – „tylko” do 15 mln euro lub 3 proc. obrotu.

– Państwa członkowskie muszą mieć czas, by przyjąć przepisy implementujące, zorganizować instytucjonalnie te organy. Akt o sztucznej inteligencji zostawia też pole do tego, by oprócz sankcji finansowych, na poziomie krajowym wprowadzić inne kary za nieprzestrzeganie jego wymogów – wskazuje dr Maria Dymitruk.

Czytaj więcej

Prawo dla Ciebie

Lewandowski mówi po rosyjsku, a Świątek zachęca do inwestycji? Uważaj, to deepfake

Do bezprawnej promocji spreparowanych materiałów coraz częściej wykorzystuje się znanych i lubianych, m.in. Igę Świątek i Roberta Lewandowskiego. Zdaniem ekspertów deepfake zdradza żerowanie na emocjach, przypadkowe wstawki z innych języków i obietnica szybkiego zysku.

Nie dotyczy to jednak kar dla dostawców modeli AI tzw. ogólnego przeznaczenia, za ich nakładanie bowiem odpowiedzialna będzie Komisja Europejska. Chodzi tu o modele mające szeroki zakres zastosowania, które mogą być wykorzystane przez różnego rodzaju systemy i aplikacje.

Najbardziej znanym przykładem są tu modele, na których opiera się ChatGPT. AI Act nakłada na dostawców taki modeli nowe obowiązki i przepisy te wejdą w życie 2 sierpnia 2025 r. Chodzi głównie o wymogi związane z prowadzeniem dokumentacji odnośnie do trenowania i testowania tych modeli, które muszą być przekazane organom unijnym i krajowym. A także dokumentacji pozwalającej podmiotom chcącym zintegrować swoje systemy z takim modelem na zrozumienie jego możliwości i ograniczeń.

Jednocześnie dla już istniejących modeli przewiduje się kolejne dwa lata na dostosowanie się do wymogów rozporządzenia (czyli do 2 sierpnia 2027 r.).

Wysokie ryzyko

Jeszcze inaczej ma się sprawa z systemami wysokiego ryzyka. Chodzi tu o takie zastosowania AI, które nie zostały zakazane, ale dotyczą sfer objętych unijną harmonizacją przepisów lub np. służą do procesów rekrutacyjnych, określania, czy ktoś spełnia wymogi do świadczeń państwowych albo uzyskania kredytu czy zarządzania infrastrukturą krytyczną. Obowiązki związane z tymi systemami, np. gwarantowanie nadzoru człowieka czy zapewnianie dokładności i cyberbezpieczeństwa AI, zaczną być stosowane w pełni dopiero za trzy lata.

Co więcej, wymogi te nie znajdą zastosowania do systemów wysokiego ryzyka wprowadzonych przed 2 sierpnia 2026 r. Chyba że po tej dacie wprowadzone w nich będą „istotne zmiany”. Jednak jeśli mają one być stosowane przez podmioty publiczne, zgodność z rozporządzeniem nie zależy od daty wprowadzenia na rynek lub oddania do użytku i należy ją zapewnić w stosunku do wszystkich systemów AI do 2 sierpnia 2030 r.

– Możliwe jest więc, że pojawi się trend, by przed tą datą wprowadzić jak najwięcej systemów potencjalnie tworzących wysokie ryzyko dla praw obywateli – wskazuje dr Maria Dymitruk. – Liczę jednak na odpowiedzialne podejście biznesu i nieopóźnianie procesów zapewniania zgodności z nowym rozporządzeniem.