Jako prawnik śledzący dynamiczny rozwój sztucznej inteligencji dostrzegam, że rynek często utożsamia gotowe aplikacje z modelami, które stanowią ich podstawę technologiczną. Tymczasem rozporządzenie w sprawie sztucznej inteligencji (AI Act) wprowadza w tym zakresie precyzyjne rozróżnienie. Model AI ogólnego przeznaczenia, określany jako GPAI (General-Purpose AI), nie jest gotowym systemem AI ani aplikacją kierowaną bezpośrednio do użytkownika końcowego, lecz modelem stanowiącym bazę dla takich rozwiązań. Taka specyfika architektury powoduje, że modele te podlegają odrębnym regulacjom prawnym. Kluczowe znaczenie mają tu obowiązki dostawców GPAI uregulowane w art. 52, 53 i 55 rozporządzenia AI, obejmujące między innymi ochronę własności intelektualnej, wymogi testowania infrastruktury technicznej przez największych dostawców oraz ułatwienia przewidziane dla środowiska open source.
Spis treści
Podstawowe wymogi dotyczące danych i własności intelektualnej
Bez względu na skalę modelu, stworzenie sztucznej inteligencji wymaga zasilenia jej ogromnymi zasobami informacji, co naturalnie rodzi poważne spory o prawa własności intelektualnej. Zgodnie z art. 53 ust. 1 Aktu o AI, każdy dostawca modelu ogólnego przeznaczenia musi sporządzić i publicznie udostępnić wystarczająco szczegółowe streszczenie dotyczące treści wykorzystanych do jego trenowania. Jest to bardzo ważny wymóg prawny dla niezależnych twórców, pisarzy i wydawców prasowych, którzy dzięki takim zestawieniom mogą sprawdzić, czy ich ich prace zostały bezprawnie wykorzystane przez algorytm. Co więcej, przepisy nakładają na firmy technologiczne obowiązek wdrożenia polityki służącej przestrzeganiu unijnego prawa autorskiego. Dostawca modelu musi zastosować dostępne w branży technologie, aby identyfikować i respektować cyfrowe zastrzeżenia praw. Tworzenie innowacji nie może więc polegać na agresywnym, niekontrolowanym pobieraniu materiałów z internetu bez oglądania się na prawa ich autorów.
Obowiązki informacyjne dostawcy wobec podmiotów integrujących model
Twórcy sztucznej inteligencji nie działają w gospodarczej próżni, lecz na co dzień sprzedają dostęp do swoich algorytmów mniejszym firmom wdrażającym specjalistyczne rozwiązania. Artykuł 53 rozporządzenia nakazuje dostawcom GPAI sporządzanie, stałe aktualizowanie oraz przekazywanie dokumentacji technicznej tym podmiotom, które zamierzają zintegrować dany model z własnymi produktami komercyjnymi. Udostępniane informacje muszą być na tyle szczegółowe, aby programiści wdrażający ten algorytm mogli w pełni zrozumieć jego aktualne możliwości, a także ograniczenia technologiczne.
Ustawodawca europejski trafnie dostrzegł jednak, że obciążenie tak rozbudowaną biurokracją wszystkich uczestników rynku mogłoby poważnie zahamować rozwój. Dlatego art. 53 ust. 2 Aktu o AI wprowadza wyjątek dla modeli sztucznej inteligencji udostępnianych całkowicie za darmo na podstawie bezpłatnych licencji otwartego oprogramowania (tzw. Open-Source). Jeżeli kluczowe parametry modelu, wagi oraz istotne informacje o całej architekturze zostały podane do wiadomości publicznej, taki twórca jest zwolniony z najsurowszych obciążeń biurokratycznych i raportowych. Ten status prawny chroni przed nadmierną regulacją oddolne projekty programistyczne, zachęcając do szerokiego i przejrzystego udostępniania kodu źródłowego na europejskim rynku cyfrowym.
Urząd ds. AI jako organ nadzoru nad modelami ogólnego przeznaczenia
Biorąc pod uwagę, że zaawansowane modele językowe z natury nie mają granic państwowych, nadzór nad nimi nie mógł pozostać wyłącznie w rękach lokalnych organów krajowych. Europejski AI Act wprowadza w tym obszarze silny mechanizm centralizacji kompetencji administracyjnych, powołując wyspecjalizowany organ nadzoru, czyli unijny Urząd do spraw Sztucznej Inteligencji (AI Office). Zgodnie z wytycznymi artykułów 52 i 53, to właśnie ta instytucja pełni rolę głównego regulatora dla wszystkich modeli GPAI działających w Europie. Dostawcy muszą przekazywać na wezwanie Urzędu bardzo szczegółową dokumentację techniczną swoich projektów, a w razie osiągnięcia statusu ryzyka systemowego niezwłocznie formalnie notyfikować o tym fakcie Brukselę. Komisja Europejska, za pośrednictwem nowo utworzonego Urzędu ds. AI, ma uprawnienia do samodzielnego klasyfikowania konkretnych technologii oraz odrzucania nietrafionych argumentów dostawców, którzy próbują uniknąć zakwalifikowania swoich modeli do najbardziej wymagającej kategorii prawnej.
Szczególne obowiązki dla GPAI stwarzających ryzyko systemowe
Zupełnie inny, znacznie bardziej rygorystyczny reżim prawny zaczyna obowiązywać wtedy, gdy mamy do czynienia z najbardziej zaawansowanymi modelami sztucznej inteligencji o zasięgu globalnym (GPAI z ryzykiem systemowym). Artykuł 55 rozporządzenia AI nakłada na gigantów technologicznych zestaw unikalnych obowiązków organizacyjnych i technicznych, których celem jest ograniczenie poważnych zagrożeń:
- Przeprowadzanie testów bezpieczeństwa: Dostawcy największych modeli mają obowiązek prowadzenia oraz dokumentowania zaawansowanych testów w kontrolowanych warunkach, ukierunkowanych na wykrywanie skrajnych luk bezpieczeństwa, niepożądanych zachowań modelu oraz potencjalnych scenariuszy nadużyć jeszcze przed jego publicznym udostępnieniem.
- Cyberbezpieczeństwo infrastruktury: W przypadku tak zaawansowanych systemów podstawowa ochrona serwerów jest niewystarczająca. Przepisy zobowiązują dostawców do zapewnienia najwyższego możliwego poziomu cyberbezpieczeństwa nie tylko samego modelu, lecz także całej infrastruktury technicznej i fizycznej, w której system funkcjonuje, w tym wyspecjalizowanych centrów danych.
- Raportowanie o incydentach: Każdy krytyczny incydent bezpieczeństwa albo awaria stwarzająca rzeczywiste i bezpośrednie zagrożenie systemowe na poziomie Unii Europejskiej musi zostać niezwłocznie i szczegółowo zgłoszona do Urzędu ds. AI.
Zapewnienie zgodności z tak złożonymi przepisami jeszcze przed przyjęciem wiążących standardów technicznych stanowi dla dostawców poważne wyzwanie. Dlatego do czasu oficjalnego opublikowania przez Unię norm zharmonizowanych dostawcy modeli GPAI oraz GPAI stwarzających ryzyko systemowe mogą opierać się na dobrowolnych kodeksach praktyk, o których mowa w art. 56 rozporządzenia. Przystąpienie do takiego ujednoliconego kodeksu i jego stosowanie wzmacnia pozycję dostawcy przy wykazywaniu należytej staranności oraz zgodności z oczekiwanymi standardami organizacyjnymi i technicznymi. Rozwiązanie to ma służyć temu, aby systemy o bardzo dużym potencjale oddziaływania pozostawały objęte realnymi mechanizmami kontroli i nie generowały zagrożeń wykraczających poza ramy dopuszczalne z punktu widzenia bezpieczeństwa publicznego i porządku prawnego.
