AI Act wchodzi w życie

1 sierpnia 2024 r. wszedł w życie unijny Akt w sprawie sztucznej inteligencji (AI Act). To pierwsza regulacja, która kompleksowo reguluje zasady tworzenia rozwiązań AI i ich biznesowego wykorzystania w Unii Europejskiej. Ocenę, jak zapewnić zgodność działań firmy z nowym rozporządzeniem, warto rozpocząć od odpowiedzi na cztery pytania:

1. Czy AI Act ma zastosowanie do mojej działalności?
2. Czy działanie AI Act’u ograniczone jest jedynie do terytorium UE?
3. Jak skutecznie zmapować rozwiązania AI, które tworzę lub stosuję w przedsiębiorstwie?
4. Czy będę musiał zapewnić zgodność wszystkich już opracowanych i wdrożonych rozwiązań z Aktem w sprawie sztucznej inteligencji?

Odpowiadamy na nie poniżej.

Czy AI Act ma zastosowanie do mojej działalności?

Przedsiębiorcy działający na rynku Unii Europejskiej powinni mieć świadomość, iż Akt w sprawie sztucznej inteligencji ma zastosowanie do tzw. operatorów AI. Chodzi tu przede wszystkim o:

• dostawców – firmy, które samodzielnie tworzą lub zlecają stworzenie rozwiązań AI (na zewnątrz), a następnie wprowadzają je do obrotu bądź oddają do użytku. Przykład – bank zlecający stworzenie systemu automatycznej oceny kredytowej zewnętrznej firmie informatycznej, a następnie stosujący go na potrzeby przyznawania kredytów swoim klientom);
• podmioty stosujące AI – wszyscy przedsiębiorcy, którzy w ramach swoich działalności korzystają z rozwiązań AI i mają nad nimi kontrolę. Przykład – spółka, której dział HR korzysta ze wsparcia sztucznej inteligencji przy procesach rekrutacyjnych).

Już na pierwszy rzut oka widać, iż powyższe definicje zostały ujęte niezwykle szeroko. Z tego względu trudno wyobrazić sobie przedsiębiorstwo, które stawia na innowacje i jednocześnie nie stanie się adresatem obowiązków AI Act’u.

Czy działanie AI Act’u ograniczone jest jedynie do terytorium UE?

AI Act ma szeroki terytorialnie zakres zastosowania. Obowiązki zawarte w rozporządzeniu będą musiały wypełnić zarówno podmioty mające siedzibę w UE, jak i poza nią. Bezsprzecznie adresatem nowego katalogu wymagań będą dostawcy i podmioty stosujące AI, mające siedzibę w Unii Europejskiej.

W przypadku:

• dostawców AI dodatkowym warunkiem jest, aby tworzone przez nich rozwiązania AI były wprowadzane do obrotu/oddawane do użytku na terytorium UE lub, by w Unii Europejskiej były wykorzystywane ich wyniki.
• podmiotów stosujących AI nie ma znaczenia, czy wykorzystywany system sztucznej inteligencji pochodzi z, czy spoza terytorium UE (i gdzie ma siedzibę jego dostawca).

Na potrzeby zapewnienia zgodności z unijną regulacją AI kluczowe znaczenie ma wpływ AI na obywateli unijnych.

Adresatem nowych obowiązków stajemy się więc niezależnie od tego, czy kupowane przez nas oprogramowanie wyprodukowano na innym kontynencie, czy też, czy nasza spółka-matka lub spółka-córka ma siedzibę poza Unią Europejską. Tak samo dostawcy AI ze Stanów Zjednoczonych czy Chin, chcąc dostarczać swoje rozwiązania na terytorium UE, muszą zapewnić zgodność swojej działalności i produktów z wymogami AI Act.

Jak skutecznie zmapować rozwiązania AI, które tworzy lub stosuje przedsiębiorstwo?

Każdy przedsiębiorca powinien dokonać przeglądu rozwiązań AI, które funkcjonują w jego organizacji. Proces ten warto poprzedzić zrozumieniem różnic między systemem AI a modelem AI. W języku potocznym te dwa pojęcia często występują zamiennie, choć wcale nie są synonimami.

System AI a model AI

Użytkownicy rozwiązań AI (czy to biznesowych, czy niekomercyjnych) zawsze wchodzą w interakcję z systemem AI.Jest tak, ponieważ jest to rodzaj systemu komputerowego wyróżniającego się przede wszystkim 3 cechami.

Natomiast model AI stanowi „bazę” do tworzenia i rozwoju systemów AI, czyli jestich elementem składowym. Model AI nie jest zatem równoważny z systemem AI, ajednocześnie AI Act wprowadza definicję legalną tylko dla jednego z nich – systemu AI.

Sztuczna inteligencja ogólnego przeznaczenia

Rozróżnienie na system AI i model AI jest jednak wyraźne w przypadku regulacji generatywnej AI, którą rozporządzenie nazywa sztuczną inteligencją ogólnego przeznaczenia (ang. general-purpose AI, GPAI). Akt w sprawie sztucznej inteligencji operuje w tym zakresie dwoma nowymi pojęciami:

• system AI ogólnego przeznaczenia;
• model AI ogólnego przeznaczenia.

Według AI Act’u,model AI ogólnego przeznaczenia (np. duży model językowy, ang. large language model, LLM) ma:

• wykazywać znaczą ogólność poprzez kompetentne wykonywanie różnorodnych zadań;
• nadawać się do integracji z innymi systemami lub aplikacjami.

System AI, który jest oparty na takim modelu, nazywa się systemem AI ogólnego przeznaczenia. Może on służyć różnym celom i nadawać się do samodzielnego wykorzystywania lub do integracji z innymi systemami AI (np. integracji z chatbotem do obsługi klienta).

Przedsiębiorcy muszą mieć na uwadze różnorodność rozwiązań AI opracowywanych lub kupowanych w ich organizacjach. Skrupulatne identyfikowanie wykorzystywanej technologii umożliwi przypisanie odpowiedniego katalogu obowiązków z AI Act’u i prawidłowe ustalenie swojej roli w łańcuchu życia AI. Przykładowo – przedsiębiorca może być dostawcą w stosunku do jednego z posiadanych przez siebie systemów i jednocześnie tylko podmiotem stosującym w stosunku do innego rozwiązania.

Które rozwiązania AI muszą być zgodne z unijną regulacją?

Przedsiębiorcy, którzy wykorzystują lub planują wykorzystywanie czy rozwijanie narzędzi z zakresu AI, powinni mieć świadomość, iż AI Act dotyczy również rozwiązań powstałych lub wykorzystywanych jeszcze przed uchwaleniem rozporządzenia! Dzieje się tak jednak tylko w wyjątkowych, opisanych poniżej przypadkach.

Akt w sprawie sztucznej inteligencji będzie miał zastosowanie wobec systemu AI wysokiego ryzyka (np. system AI dokonujący oceny zdolności kredytowej osoby fizycznej), który spełnia 2 kryteria przedstawione na grafice.

Nową regulację muszą wziąć pod uwagę również firmy dostarczające systemy AI wysokiego ryzyka dla organów publicznych (np. system AI stosowany w toku rekrutacji kandydatów do pracy). Tacy przedsiębiorcy powinny zapewnić zgodność dostarczanego przez siebie systemu AI z rozporządzeniem do 2 sierpnia 2030 r. (nawet o ile w systemie nie były dokonywane istotne zmiany). Natomiast dostawca modelu AI ogólnego przeznaczenia, który został wprowadzony na rynek przed 2 sierpnia 2024 r., będzie musiał uspójnić opracowane przez siebie rozwiązanie z wymogami rozporządzenia do 2 sierpnia 2027 r.

Podsumowanie

Wbrew pozorom terminy rozpoczęcia stosowania wymagań AI Act nie są odległe. Przedsiębiorcy powinni już niedługo rozpocząć przegląd wykorzystywanych i tworzonych rozwiązań AI, a także podjąć działania compliance’owe. Zapewni to zrównoważone oraz odpowiedzialne dostosowanie swoich działalności do nowej regulacji.

Warto przy tym pamiętać, iż firma nieprzestrzegająca obowiązków wynikających z AI Act naraża się na znaczące kary finansowe. Aby uniknąć negatywnych konsekwencji kluczowa jest wiedza, od kiedy będą miały zastosowanie poszczególne obowiązki wynikające z AI Act’u.

W razie pytań z zakresu nowych przepisów zachęcamy do kontaktu. Nasi eksperci z działu Sztuczna Inteligencja (AI) są do Państwa dyspozycji!