11 godzin temu
Kontrola jako element systemu nadzoru rynku
Punktem wyjścia jest art. 74 ust. 1 AIAct, zgodnie z którym do systemów AI objętych rozporządzeniem zastosowanie znajduje rozporządzenie Parlamentu Europejskiego i Rady (UE) 2019/1020 z 20.6.2019 r. w sprawie nadzoru rynku i zgodności produktów oraz zmieniające dyrektywę 2004/42/WE oraz rozporządzenia (WE) nr 765/2008 i (UE) nr 305/2011 (Dz.Urz. UE L z 2019 r. Nr 169, s. 1). AIAct wykorzystuje zatem istniejącą konstrukcję unijnego nadzoru rynku, dostosowując ją do specyfiki systemów sztucznej inteligencji.Nie oznacza to jednak, iż kompetencje nadzorcze w odniesieniu do wszystkich systemów AI wykonuje jeden krajowy organ. AIAct przewiduje szczególne reguły adekwatności wynikające przede wszystkim z art. 74 AIAct, natomiast po zmianach dokonanych rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8.7.2026 r. w sprawie zmiany rozporządzeń (UE) 2024/1689, (UE) 2018/1139 i (UE) 2023/1230 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt zbiorczy prawa cyfrowego dotyczący AI) (Dz.Urz. UE L z 2026 r., s. 1744) zmieniony art. 75 ust. 1 AIAct przyznaje Urzędowi ds. AI (AI Office) wyłączną kompetencję w zakresie nadzorowania i egzekwowania obowiązków wynikających z rozporządzenia wobec określonych kategorii systemów. Dotyczy to w szczególności, z wyjątkami określonymi w tym przepisie, systemów AI opartych na modelach AI ogólnego przeznaczenia, o ile model i system zostały opracowane przez tego samego dostawcę albo podmioty należące do tego samego przedsiębiorstwa, a także systemów AI stanowiących lub zintegrowanych z bardzo dużymi platformami internetowymi albo bardzo dużymi wyszukiwarkami internetowymi. W tym zakresie kompetencje nadzorcze wykonuje AI Office, któremu art. 75a AIAct przyznaje kompetencje organu nadzoru rynku oraz dodatkowe uprawnienia dochodzeniowe i egzekucyjne.
Dalsze rozważania dotyczą zatem kontroli prowadzonej przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji w takim zakresie, w jakim pozostaje ona adekwatnym organem nadzoru rynku.
Kontrola AI nie jest audytem dobrowolnym ani procedurą, której zakres może zostać jednostronnie określony przez kontrolowany podmiot. Organ nadzoru rynku dysponuje publicznoprawnymi kompetencjami służącymi ustaleniu, czy system oraz działalność jego operatora odpowiadają wymaganiom rozporządzenia.
Jednocześnie AIAct wzmacnia klasyczne instrumenty nadzoru rynku w sposób uwzględniający specyfikę technologii algorytmicznych. Zgodnie z art. 74 ust. 12 AIAct dostawcy systemów AI wysokiego ryzyka mają zapewnić organom nadzoru rynku pełny dostęp do dokumentacji oraz zbiorów danych treningowych, walidacyjnych i testowych używanych do rozwoju systemu, o ile jest to istotne i ograniczone do tego, co konieczne dla wykonywania zadań organu. Dostęp może być zapewniony, przy zachowaniu odpowiednich zabezpieczeń, również poprzez API lub inne środki techniczne umożliwiające dostęp zdalny.
Przepis ten należy czytać łącznie z wymaganiami odnoszącymi się do systemów wysokiego ryzyka. Artykuły 8–15 AIAct ustanawiają obowiązki dotyczące m.in. systemu zarządzania ryzykiem, danych i zarządzania danymi, dokumentacji technicznej, rejestrowania zdarzeń, przejrzystości, nadzoru ze strony człowieka oraz dokładności, odporności i cyberbezpieczeństwa. Dostawca ma ponadto, zgodnie z art. 17 AIAct, ustanowić system zarządzania jakością, zaś art. 72 AIAct przewiduje monitorowanie systemu po wprowadzeniu go do obrotu.
Z punktu widzenia kontroli oznacza to zasadniczą zmianę perspektywy. Organ nie bada wyłącznie tego, czy przedsiębiorca posiada określony dokument. Może potrzebować dowodów pozwalających zweryfikować, czy opisany w dokumentacji model zgodności odpowiada rzeczywistemu działaniu systemu. Dokumentacja przestaje więc pełnić wyłącznie funkcję formalną i staje się punktem wyjścia do rekonstrukcji procesu projektowania, trenowania, walidacji, wdrażania i monitorowania systemu.
Polska procedura kontroli
Krajowy model kontroli został uregulowany przede wszystkim w rozdziale 3 ustawy z 3.7.2026 r. o systemach sztucznej inteligencji (Dz.U. z 2026 r. poz. 1003; dalej: AIU), którego przepisy wejdą w życie 28.10.2026 r. Zgodnie z art. 48 ust. 1 AIU Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (dalej: „Komisja”) może prowadzić kontrolę przestrzegania AIAct i ustawy krajowej. Stosownie do art. 48 ust. 2 AIU kontrola może być prowadzona zgodnie z planem kontroli, na podstawie informacji uzyskanych przez Komisję lub w ramach monitorowania przestrzegania AIAct.
Źródłem informacji prowadzących do kontroli może być zatem zarówno własna działalność analityczna Komisji, jak i skarga z art. 85 AIAct, zawiadomienie innego organu, informacja medialna, incydent związany z działaniem systemu czy ustalenia wynikające z prowadzonego monitoringu rynku.
Istotne znaczenie ma art. 48 ust. 3 AIU. W zakresie nieuregulowanym w przepisach rozdziału 3 do kontroli przedsiębiorcy znajdują zastosowanie przepisy rozdziału 5 Prawa przedsiębiorców, z przewidzianym przez ustawę wyjątkiem. Kontrola AI pozostaje więc szczególną kontrolą działalności gospodarczej, ale nie zostaje całkowicie wyłączona z ogólnych gwarancji kontrolowanego przedsiębiorcy.
Upoważnienie do kontroli powinno zgodnie z art. 51 ust. 2 AIU określać m.in. podstawę prawną, kontrolowanego, zakres przedmiotowy kontroli oraz przewidywany termin jej prowadzenia. Określenie zakresu kontroli nie jest elementem wyłącznie formalnym. Powinno wyznaczać również granicę dopuszczalnego żądania informacji.
Podstawowy krajowy katalog uprawnień informacyjnych i dowodowych kontrolującego został zawarty w art. 52 AIU. Kontrolujący może żądać udostępnienia związanych z przedmiotem kontroli materiałów, dokumentów, korespondencji elektronicznej, informatycznych nośników danych, urządzeń zawierających dane oraz systemów informatycznych i teleinformatycznych. Ustawa obejmuje także możliwość zapewnienia dostępu do systemów informatycznych i teleinformatycznych oraz chmury obliczeniowej należących do innego podmiotu, o ile zawierają one dane kontrolowanego związane z przedmiotem kontroli i w zakresie, w jakim kontrolowany ma do nich dostęp. Kontrolujący może również sporządzać kopie i wyciągi, zabezpieczać materiały oraz żądać ustnych lub pisemnych wyjaśnień.
Rozwiązanie to ma istotne znaczenie w warunkach współczesnego rynku AI. Przedsiębiorca bardzo często nie posiada bowiem całej infrastruktury wykorzystywanej przez system. Model może działać w środowisku chmurowym, system może korzystać z usług SaaS, API innego dostawcy, zewnętrznego modelu bazowego albo infrastruktury należącej do podwykonawcy. Fakt, iż określone dane znajdują się technicznie u innego podmiotu, nie oznacza zatem sam przez się, iż pozostają poza zakresem kontroli, o ile spełnione są przesłanki określone w art. 52 AIU.
Dostęp nie oznacza jednak nieograniczonego prawa do informacji
Szerokie brzmienie art. 52 AIU nie może być interpretowane w oderwaniu od AIAct. Fundamentalne znaczenie ma tutaj art. 78 ust. 2 AIAct. Stanowi on, iż organy uczestniczące w stosowaniu rozporządzenia mogą żądać jedynie danych ściśle niezbędnych do oceny ryzyka stwarzanego przez system AI oraz wykonywania swoich kompetencji na podstawie AIAct i rozporządzenia 2019/1020. Przepis wprowadza zatem samodzielną zasadę minimalizacji ingerencji kontrolnej. Można określić ją jako odpowiednik zasady minimalizacji danych znanej z art. 5 ust. 1 lit. c RODO, tyle iż skierowany nie do administratora danych, ale do regulatora wykonującego kompetencje nadzorcze. Organ powinien być w stanie odpowiedzieć nie tylko na pytanie, czy określona informacja może być użyteczna, ale również dlaczego jej uzyskanie jest ściśle konieczne dla konkretnej czynności kontrolnej.
Ma to znaczenie zwłaszcza wobec użytego w art. 52 AIU szerokiego katalogu materiałów, obejmującego choćby korespondencję elektroniczną i dostęp do systemów teleinformatycznych. Przepisu krajowego nie można interpretować jako generalnego upoważnienia do przeszukiwania zasobów przedsiębiorcy w poszukiwaniu potencjalnie interesujących informacji.
Zakres żądania powinien pozostawać w funkcjonalnym związku z przedmiotem kontroli oraz konkretnym obowiązkiem wynikającym z AIAct. o ile przedmiotem kontroli jest przykładowo zgodność systemu z wymaganiem nadzoru człowieka z art. 14 AIAct, uzasadnione może być pozyskanie instrukcji, konfiguracji interfejsu, polityk eskalacji, logów interwencji operatora i dokumentacji szkoleniowej. Nie oznacza to automatycznie prawa do uzyskania całej dokumentacji biznesowej przedsiębiorcy lub pełnego repozytorium kodu. Zasada wynikająca z art. 78 ust. 2 AIAct powinna zatem działać równocześnie na trzech płaszczyznach: zakresu informacji, zakresu czasowego oraz poziomu szczegółowości żądania.
W kolejnej części
Szerokie uprawnienia informacyjne organu prowadzącego kontrolę systemu AI rodzą pytanie o ochronę informacji stanowiących najcenniejsze aktywa przedsiębiorcy. W drugiej części artykułu zostanie omówione znaczenie tajemnicy przedsiębiorstwa w toku kontroli, w tym zakres ochrony poufnych informacji oraz odrębne zasady dotyczące komunikacji z profesjonalnym pełnomocnikiem.
