Jako prawnik doradzający twórcom oprogramowania i spółkom technologicznym wiem, że urzędowa kontrola należy do najbardziej stresujących momentów w cyklu życia produktu. Wdrażanie innowacyjnych rozwiązań wiąże się z koniecznością stałego wykazywania, że dana technologia jest bezpieczna oraz zgodna z prawem europejskim. Artykuł 21 rozporządzenia w sprawie sztucznej inteligencji (AI Act) określa zasady współpracy dostawców algorytmów z właściwymi organami nadzoru na poziomie krajowym. Precyzuje obowiązki organizacji w przypadku wezwania do przekazania dokumentacji technicznej i analitycznej, zasady prawidłowego udostępniania logów systemowych, wymogi dotyczące języka komunikacji oraz mechanizmy ochrony własności intelektualnej przed niepożądanym ujawnieniem. Znajomość tych reguł pozwala przygotować organizację do ewentualnego audytu w sposób uporządkowany i świadomy.
Spis treści
Kiedy organ może żądać informacji od dostawcy systemu AI?
Obowiązek pełnej współpracy z państwowymi urzędami nie oznacza, że organy nadzoru mają absolutną i niczym nieograniczoną władzę dostępu do dokumentów Twojej organizacji. Zgodnie z art. 21 ust. 1 rozporządzenia w sprawie AI udostępnienie wrażliwych danych następuje wyłącznie na uzasadniony wniosek właściwego organu krajowego. Oznacza to, że kontrolerzy nie mogą żądać dostępu do firmowych serwerów bez wskazania wyraźnej podstawy faktycznej i prawnej. Każde żądanie udostępnienia informacji musi być odpowiednio uzasadnione, na przykład przez wskazanie konkretnego incydentu, skargi użytkownika albo rutynowego planu kontroli w danym sektorze rynku. Twoja organizacja ma oczywiście bezwzględny obowiązek współpracy, ale jako dostawca masz również prawo oczekiwać, że wezwanie będzie proporcjonalne i ściśle związane z weryfikacją określonego systemu AI. Dobre zrozumienie tego mechanizmu pozwala prowadzić merytoryczny dialog z organem nadzoru i unikać przekazywania danych, które wykraczają poza prawny zakres danego postępowania.
Co podlega weryfikacji podczas kontroli systemu AI?
W chwili rozpoczęcia procedury kontrolnej na dostawcę sztucznej inteligencji wysokiego ryzyka spada praktycznie cały ciężar dowodowy związany z wykazaniem legalności produktu. Przepisy wymagają od twórców przekazania wszelkich informacji i dokumentów potrzebnych do wykazania pełnej zgodności z wymogami ustanowionymi w rozporządzeniu. Oznacza to konieczność uzasadnienia każdego technicznego aspektu systemu ujętego w artykułach od 8 do 15 Aktu o AI. Będziesz musiał wykazać między innymi odpowiednią jakość zbiorów danych treningowych, skuteczność zastosowanych mechanizmów cyberbezpieczeństwa, a także prawidłowe wdrożenie instrumentów nadzoru ze strony człowieka. Kontrolerzy weryfikują również dokumentację techniczną pod kątem potwierdzenia, że architektura rozwiązania została zaprojektowana zgodnie z aktualnym stanem wiedzy oraz właściwymi normami. Brak któregokolwiek elementu z tego katalogu prawnego stanowi podstawę do stwierdzenia naruszenia, dlatego pełna gotowość dowodowa to podstawa bezpieczeństwa prawnego Twojej organizacji.
Co trzeba przygotować przed kontrolą systemu AI?
W jakim języku trzeba przekazać dokumentację organowi
Skuteczna współpraca z organem nadzoru wymaga nie tylko gotowości technicznej, ale także odpowiedniego przygotowania organizacyjnego w zakresie komunikacji urzędowej. Artykuł 21 ust. 1 rozporządzenia nakazuje, aby wszelkie informacje i rozbudowane dokumenty techniczne były udostępniane w języku łatwo zrozumiałym dla danego organu, czyli najczęściej w języku urzędowym danego państwa członkowskiego. Dla zagranicznych dostawców działających w Polsce oznacza to konieczność posiadania dokumentacji przetłumaczonej na język polski. Przekazanie organowi kilkusetstronicowej dokumentacji wyłącznie w oryginalnym języku deweloperskim (np. po angielsku), z pominięciem wytycznych urzędu, może zostać uznane za utrudnianie czynności kontrolnych. Aby uniknąć zarzutu braku ustawowej współpracy, firmy technologiczne muszą odpowiednio wcześniej przetłumaczyć kluczowe procedury z zakresu zarządzania jakością i ryzykiem. Zbudowanie takiej gotowości jest niezbędnym elementem strategii compliance dla każdego podmiotu działającego na rynkach międzynarodowych.
Obowiązek udostępnienia rejestrów zdarzeń
Dokumentacja polityk i procedur stanowi jedynie połowę materiału dowodowego podlegającego ocenie. Zgodnie z art. 21 ust. 2 rozporządzenia AI, na uzasadniony wniosek organu dostawca musi zapewnić kontrolerom bezpośredni dostęp do generowanych automatycznie rejestrów zdarzeń. Ten wymóg prawny ma bardzo duże znaczenie już na etapie pisania kodu źródłowego oprogramowania, ponieważ logi systemowe muszą dawać się łatwo wyeksportować i zinterpretować. Kontroler nie będzie ręcznie przeszukiwał nieuporządkowanych baz danych, dlatego mechanizmy rejestrowania muszą być zaprojektowane tak, by umożliwiały sprawne wygenerowanie raportów dotyczących działania algorytmu w określonym przedziale czasu. Techniczna niezdolność do sprawnego przekazania historii zdarzeń rodzi domniemanie, że system sztucznej inteligencji działa poza jakąkolwiek realną kontrolą ze strony samego producenta. Zapewnienie pełnej dostępności tych danych stanowi kluczowy punkt audytów.
Ochrona tajemnicy przedsiębiorstwa podczas kontroli
Podstawową obawą każdego innowacyjnego przedsiębiorstwa jest ryzyko utraty własności intelektualnej oraz ujawnienia tajemnic handlowych w trakcie audytu. Warto uspokoić twórców, ponieważ europejski prawodawca zadbał o odpowiednie wyważenie interesu publicznego i praw gospodarczych prywatnych podmiotów. Artykuł 21 ust. 3 Aktu o AI stanowi jasną gwarancję prawną, że wszelkie informacje uzyskane przez właściwy organ będą bezwzględnie traktowane zgodnie z obowiązkami dotyczącymi poufności. Rozporządzenie nakłada na urzędników obowiązek ochrony praw własności intelektualnej, kodu źródłowego algorytmów oraz szeroko rozumianej tajemnicy przedsiębiorstwa. Oznacza to, że legalne przekazanie nawet najbardziej wrażliwych danych projektowych państwowemu audytorowi nie jest równoznaczne z ich rynkowym ujawnieniem czy udostępnieniem konkurencji. Instytucje państwowe wdrażają zaawansowane procedury bezpieczeństwa informacji, abyś mógł bez obaw wykonać swój prawny obowiązek współpracy, nie ryzykując przy tym utraty strategicznej przewagi biznesowej.
Obowiązki dostawcy po sprzedaży lub wdrożeniu systemu AI
Zrozumienie reżimu nakładanego przez AI Act wymaga przyjęcia do wiadomości, że obowiązki dostawcy nie mają wyłącznie jednorazowego charakteru i nie kończą się w dniu wystawienia faktury za produkt. Z treści omawianych przepisów wynika zasada długofalowej ciągłości kontroli, co oznacza, że obowiązek współpracy z organami nadzoru nie wygasa w momencie finalizacji sprzedaży licencji. Prawo wskazuje w art. 21 ust. 2 Aktu o AI, że dostawca musi udostępniać rejestry zdarzeń w takim zakresie, w jakim pozostają one pod jego faktyczną, techniczną kontrolą. Nawet po komercyjnym oddaniu systemu do użytkowania przez klienta zewnętrznego (podmiot stosujący), jeśli utrzymujesz środowisko chmurowe i gromadzisz logi, nadal jesteś bezpośrednio odpowiedzialny w razie audytu. Twórcy zaawansowanych rozwiązań cyfrowych muszą więc projektować swoje modele biznesowe i umowy licencyjne w taki sposób, aby uwzględniały wieloletnie koszty obsługi ewentualnych zapytań ze strony organów regulacyjnych. Zignorowanie tego długoterminowego aspektu regulacyjnego może prowadzić do poważnych komplikacji prawnych długo po zakończeniu procesu tworzenia systemu.
