Doradztwo dostawcom nowoczesnych technologii wymaga regularnej analizy przepisów unijnych pod kątem ich praktycznego wdrożenia w firmach informatycznych. Jednym z niezwykle ważnych, a często pomijanych aspektów nowego rozporządzenia, jest automatyczne rejestrowanie zdarzeń w systemie AI. Dostawcy systemów AI powinni być świadomi jakie techniczne możliwości musi posiadać oprogramowanie, aby spełniać wymogi dotyczące identyfikowalności prowadzonych operacji oraz jak długo prawo nakazuje przechowywać wygenerowane logi systemowe.
Spis treści
Techniczny obowiązek rejestracji w całym cyklu życia algorytmu
Zgodnie z art. 12 ust. 1 Aktu o AI, wszystkie systemy AI wysokiego ryzyka muszą dysponować wbudowanymi, technicznymi możliwościami automatycznego rejestrowania zdarzeń. Oznacza to, że proces gromadzenia logów systemowych musi funkcjonować w sposób ciągły i niezawodny przez cały cykl życia danego oprogramowania. Zebrane w ten sposób dane techniczne służą przede wszystkim do identyfikowania niebezpiecznych sytuacji, które mogłyby bezpośrednio prowadzić do naruszenia praw podstawowych. Ponadto, prawidłowo skonstruowane rejestry zdarzeń mają na celu ułatwienie obowiązkowego monitorowania działania systemu sztucznej inteligencji po jego formalnym wprowadzeniu na rynek. Jako twórca rozwiązań cyfrowych, musisz koniecznie zagwarantować, by zaimplementowane mechanizmy pozwalały na diagnozę ewentualnych błędów oraz ukrytych anomalii w funkcjonowaniu modelu AI.
Wymogi logowania dla określonych systemów AI
Bardziej rygorystyczne wymagania zostały przewidziane dla niektórych, szczególnie wrażliwych kategorii oprogramowania, takich jak nowoczesne systemy identyfikacji biometrycznej. Artykuł 12 ust. 3 Aktu o AI wymienia minimalny zakres informacji, które funkcja rejestracji zdarzeń musi zapisywać w pamięci. Ze względu na wysokie ryzyko ewentualnych nadużyć, prawodawca zamknął te wymogi w ścisłym katalogu niezbędnych danych technicznych do zachowania. Jako dostawca oprogramowania musisz zagwarantować, by tworzone logi systemowe bezbłędnie spełniały wytyczne dokumentacyjne wskazane przez organy nadzoru rynkowego. W świetle omawianego przepisu oprogramowanie wysokiego ryzyka musi utrwalać i trwale zabezpieczać następujące kategorie kluczowych informacji cyfrowych:
- Dokładny czas aktywności: Okres każdego wykorzystania systemu, z precyzyjnym wskazaniem daty i godziny rozpoczęcia oraz daty i godziny zakończenia operacji.
- Identyfikacja bazy odniesienia: Parametry referencyjnej bazy danych, względem której algorytm sztucznej inteligencji sprawdził i zweryfikował dostarczone mu wcześniej informacje.
- Zapis trafień: Dokładne dane wejściowe w sytuacjach, w których przeprowadzone przez system wyszukiwanie doprowadziło do jakiegokolwiek pozytywnego trafienia analitycznego.
- Śledzenie nadzoru ludzkiego: Cyfrowe dane umożliwiające identyfikację poszczególnych osób fizycznych, które uczestniczyły w końcowej weryfikacji wygenerowanych przez maszynę wyników.
Zasady i czas przechowywania automatycznych rejestrów zdarzeń
Samo posiadanie wbudowanej technicznej możliwości logowania operacji algorytmicznych nie wyczerpuje listy obowiązków nakładanych na firmy technologiczne. Artykuł 19 ust. 1 rozporządzenia AI wyraźnie stanowi, że twórcy i dostawcy systemów AI wysokiego ryzyka mają obowiązek bezpiecznie przechowywać automatycznie generowane rejestry zdarzeń. Co do zasady, przepisy te mają bezpośrednie zastosowanie w takim zakresie, w jakim wygenerowane logi systemowe znajdują się pod faktyczną kontrolą samego dostawcy. Prawo reguluje również czas trwania obowiązkowego retencjonowania tego rodzaju dokumentacji, wprowadzając sztywne ramy czasowe. Wygenerowane rejestry muszą być przechowywane przez okres stosowny ze względu na przeznaczenie algorytmu, który wynosi co najmniej sześć miesięcy.
Minimalny 6-miesięczny okres przechowywania logów wskazany w rozporządzeniu ma charakter ogólny. Zgodnie z art. 19 ust. 1, prawo unijne lub krajowe, w szczególności przepisy o ochronie danych osobowych (RODO), mogą narzucać odmienne zasady minimalizacji i retencji danych, co wymusza przeprowadzenie zindywidualizowanej analizy dla każdego tworzonego systemu.
Rejestry zdarzeń AI w sektorze finansowym
Rozporządzenie w sprawie sztucznej inteligencji uwzględnia odrębną specyfikę rynków objętych już innymi nadzorami ze strony odpowiednich organów i komisji państwowych. Artykuł 19 ust. 2 rozporządzenia wprowadza ułatwienie prawne dla dostawców oprogramowania, którzy posiadają status uregulowanych i licencjonowanych instytucji finansowych. Podmioty te podlegają już wymogom dotyczącym zarządzania wewnętrznego i tworzenia procedur na podstawie prawa Unii Europejskiej dotyczącego usług finansowych. Zgodnie z omawianym przepisem, takie instytucje po prostu prowadzą rejestry zdarzeń generowane przez ich systemy AI jako integralną część posiadanej już dokumentacji. Dzięki takiemu rozwiązaniu, europejski prawodawca z sukcesem zapobiega kosztownemu powielaniu obowiązków ewidencyjnych w bankach czy funduszach inwestycyjnych. Umiejętna integracja wymagań narzucanych przez AI Act z wcześniej istniejącymi procedurami zgodności pozwala na znacznie bardziej efektywne wdrażanie cyfrowych innowacji w ściśle regulowanym sektorze.
