W praktyce prawa nowych technologii, na co dzień obserwuję wyzwania, z jakimi mierzą się organizacje wdrażające innowacyjne rozwiązania. Wejście w życie unijnego rozporządzenia o sztucznej inteligencji (AI Act) wprowadza zupełnie nowe standardy w zakresie odpowiedzialnego wykorzystywania algorytmów. Jednym z kluczowych wymogów jest ocena skutków dla praw podstawowych, uregulowana w art. 27 rozporządzenia. W tym artykule wyjaśniam, na czym dokładnie polega ten obowiązek i w jaki sposób organizacje powinny się do niego prawidłowo przygotować. Zrozumienie tych mechanizmów to fundament budowania transparentnych i zgodnych z prawem relacji z użytkownikami usług.
Spis treści
Kogo dotyczy obowiązek oceny skutków systemów AI wysokiego ryzyka?
Przepisy rozporządzenia o sztucznej inteligencji nie nakładają obowiązku przeprowadzenia omawianej oceny na każdego użytkownika, lecz w sposób precyzyjny wskazują konkretną grupę podmiotów stosujących. Zgodnie z art. 27 Aktu o AI, obowiązek ten spoczywa przede wszystkim na organach publicznych oraz wszelkich podmiotach prawa publicznego. Regulacja ta obejmuje jednak w równym stopniu podmioty prywatne, o ile świadczą one usługi publiczne. Ponadto, unijny prawodawca rozszerzył ten katalog o instytucje wykorzystujące systemy sztucznej inteligencji wysokiego ryzyka w sektorach kluczowych dla życia społecznego. Dotyczy to w szczególności branży bankowej, na przykład przy zautomatyzowanej ocenie zdolności kredytowej, oraz sektora ubezpieczeniowego, gdzie algorytmy wspierają wycenę ryzyka i ustalanie składek, co znajduje potwierdzenie w załączniku III do omawianego rozporządzenia. Warto wyraźnie podkreślić, że obowiązek przygotowania oceny aktualizuje się bezwzględnie przed pierwszym wykorzystaniem systemu w danej organizacji. Oznacza to z perspektywy prawnej, że pełna analiza ryzyka musi zostać przeprowadzona na etapie planowania wdrożenia technologii, a nie dopiero po jej swobodnym uruchomieniu w środowisku produkcyjnym.
Z jakich elementów składa się ocena skutków dla praw podstawowych?
Prawidłowe przeprowadzenie oceny skutków dla praw podstawowych wymaga od podmiotu stosującego szczegółowego przeanalizowania kilku ściśle określonych obszarów. Ustawodawca unijny wyraźnie wskazał w treści art. 27 ust. 1 Aktu o AI, jakie minimalne informacje muszą znaleźć się w dokumentacji tworzonej przed wdrożeniem oprogramowania. Tworzony dokument musi być wyczerpujący, opierać się na obiektywnej analizie przewidywanego działania sztucznej inteligencji i uwzględniać specyfikę środowiska docelowego. Prawidłowe zgromadzenie i przetworzenie tych danych pozwala na identyfikację potencjalnych zagrożeń dla praw jednostki oraz przygotowanie odpowiednich procedur zapobiegawczych. Rzetelne podejście do tworzenia tej analizy jest najlepszym sposobem na minimalizację negatywnych skutków społecznych i uniknięcie problemów prawnych. W ramach przygotowywania dokumentacji każda instytucja musi bezwzględnie uwzględnić następujące zagadnienia:
- Opis procesów operacyjnych: Należy dokładnie określić, w jakich konkretnych zadaniach system AI będzie wykorzystywany zgodnie z jego przeznaczeniem podanym przez producenta.
- Ramy czasowe i częstotliwość: Dokumentacja musi zawierać wyczerpujące informacje o przewidywanym okresie oraz częstotliwości wykorzystywania wdrażanego rozwiązania w codziennej pracy podmiotu.
- Identyfikacja grup osób narażonych: Konieczne jest wyraźne wskazanie kategorii osób fizycznych, na które funkcjonowanie algorytmu może mieć jakikolwiek bezpośredni lub pośredni wpływ.
- Analiza specyficznych ryzyk szkód: Należy ocenić szczególne ryzyko wystąpienia negatywnych skutków dla zidentyfikowanych grup osób, korzystając przy tym z informacji technicznych dostarczonych zgodnie z art. 13 Aktu o AI.
- Opis nadzoru ludzkiego: Kluczowe jest wskazanie konkretnych środków, za pomocą których człowiek będzie kontrolował procesy decyzyjne maszyny.
- Plan reagowania i mechanizmy naprawcze: Organizacja musi przewidzieć procedury na wypadek urzeczywistnienia się ryzyka, w tym jasne zasady wewnętrznego rozpatrywania skarg od poszkodowanych obywateli.
Jak połączyć wymogi AI Act z oceną DPIA (art. 35 RODO)?
Wdrażanie systemów sztucznej inteligencji w zdecydowanej większości przypadków wiąże się z przetwarzaniem dużej ilości danych osobowych. Taka sytuacja rodzi konieczność powiązania nowych przepisów technologicznych z obowiązującym od lat prawem ochrony danych. Wiele organizacji obawia się nadmiaru nakładających się na siebie obowiązków dokumentacyjnych, dlatego należy zwrócić szczególną uwagę na brzmienie art. 27 ust. 4 Aktu o AI. Przepis ten wprowadza zasadę, zgodnie z którą ocena skutków dla praw podstawowych powinna stanowić bezpośrednie uzupełnienie oceny skutków dla ochrony danych (DPIA), wymaganej przez art. 35 RODO. Jeśli dana organizacja skutecznie przeprowadziła już DPIA, znaczna część wymogów mogła zostać zrealizowana, co skutecznie zapobiega powielaniu procedur audytowych. W praktyce doradczej najczęściej rekomenduję, aby procesy analizy ryzyka dla algorytmów oraz ochrony danych osobowych prowadzić równolegle poprzez stworzenie zintegrowanej dokumentacji.
Zgłoszenie wyników oceny i obowiązek aktualizacji dokumentacji
Pozytywne zakończenie prac nad wewnętrzną analizą oceny skutków dla praw podstawowych nie oznacza jeszcze finału obowiązków prawnych spoczywających na podmiocie wdrażającym system sztucznej inteligencji. Bezpośrednio po przeprowadzeniu pełnej oceny skutków, organizacja ma obowiązek powiadomić o jej wynikach właściwy organ nadzoru rynku, co jest warunkiem koniecznym przed legalnym uruchomieniem technologii. Należy jednak pamiętać, że zgodnie z art. 27 ust. 2 Aktu o AI, raz poprawnie sporządzona dokumentacja nie zachowuje swojej ważności bezterminowo. Jeżeli w trakcie codziennego eksploatowania systemu użytkownik zauważy, że którykolwiek z uprzednio analizowanych czynników uległ modyfikacji, prawo wymaga podjęcia kroków w celu pilnej aktualizacji zebranych informacji. Podmioty publiczne mogą bezpiecznie polegać na wcześniej sporządzonych przez siebie raportach w sytuacjach, w których wdrażają kolejne systemy o pokrewnym zastosowaniu.
Znaczenie zgodności i konsekwencje braku oceny skutków
Właściwe podejście do obowiązków nałożonych przez unijnego prawodawcę nie powinno być postrzegane wyłącznie przez pryzmat biurokratycznego obciążenia dla organizacji. Przeprowadzenie rzetelnej oceny skutków dla praw podstawowych to przede wszystkim inwestycja w stabilność, reputację oraz szeroko pojęte bezpieczeństwo prawne organizacji. Brak odpowiedniej dokumentacji lub wdrożenie systemu wysokiego ryzyka z pominięciem procedury z art. 27 Aktu o AI może narazić instytucję na niezwykle dotkliwe sankcje finansowe. Co więcej, nienależyta analiza ryzyka znacząco zwiększa prawdopodobieństwo pojawienia się uzasadnionych roszczeń odszkodowawczych ze strony osób, których prawa zostały naruszone przez zautomatyzowane decyzje. Transparentność procesów algorytmicznych jest dzisiaj kluczem do budowania trwałego zaufania społecznego w szybko cyfryzującym się świecie. Dlatego też zachęcam do traktowania analizy FRIA jako szansy na gruntowne zrewidowanie i uporządkowanie wewnętrznych procedur.
Praktyczna checklista dla oficerów ds. zgodności
Dostosowanie wewnętrznych procedur do wymogów unijnego rozporządzenia o sztucznej inteligencji może być procesem wysoce skomplikowanym i wieloetapowym. Aby ułatwić weryfikację stanu przygotowań, opracowałem krótki, praktyczny wykaz najważniejszych kroków, które organizacja powinna bezwzględnie podjąć. Poniższe zestawienie systematyzuje obowiązki prawne i pozwala szybko ocenić, na jakim etapie wdrażania wymogów z art. 27 rozporządzenia AI znajduje się obecnie Państwa instytucja. Korzystanie z tego typu ustrukturyzowanych narzędzi znacząco minimalizuje ryzyko przeoczenia kluczowych, a zarazem obowiązkowych aspektów regulacyjnych.
- Weryfikacja statusu podmiotu: Czy organizacja jest organem publicznym, podmiotem prawa publicznego lub podmiotem prywatnym świadczącym usługi publiczne?
- Klasyfikacja systemu AI: Czy wdrażane oprogramowanie kwalifikuje się jako system sztucznej inteligencji wysokiego ryzyka zgodnie z załącznikiem III do Aktu o AI?
- Integracja z procedurami RODO: Czy posiadają Państwo aktualną dokumentację DPIA, którą można efektywnie uzupełnić o wymogi dotyczące praw podstawowych z art. 27?
- Analiza podstawowych zagadnień: Czy w dokumencie szczegółowo opisano procesy operacyjne, czas stosowania, grupy ryzyka, środki nadzoru ludzkiego oraz mechanizmy skargowe?
- Pozyskanie informacji od dostawcy: Czy uzyskali Państwo od producenta technologii niezbędne informacje i instrukcje obsługi wymagane na mocy art. 13 Aktu o AI?
- Zgłoszenie do organu nadzoru: Czy przygotowano formalne powiadomienie o wynikach oceny dla właściwego organu nadzoru, które należy wysłać przed uruchomieniem systemu?
