Wdrażanie nowoczesnych technologii w przedsiębiorstwie wiąże się z licznymi wyzwaniami regulacyjnymi, które wykraczają poza zakres kompetencji działów IT. Obowiązki podmiotów stosujących systemy AI wysokiego ryzyka zostały szczegółowo uregulowane w art. 26 europejskiego rozporządzenia w sprawie sztucznej inteligencji (AI Act). Duże znaczenie ma w tym kontekście ustalenie zakresu odpowiedzialności prawnej firm, które w codziennej działalności korzystają z gotowych algorytmów. Obejmuje to w szczególności obowiązek ścisłego przestrzegania instrukcji dostawcy, właściwe zorganizowanie nadzoru człowieka nad systemem, zapewnienie odpowiedniej przejrzystości wobec pracowników i klientów oraz spełnienie technicznych wymogów dotyczących archiwizacji logów systemowych. Znajomość tych zasad pozwala ograniczyć ryzyko naruszeń i uniknąć sankcji ze strony organów nadzoru.
Spis treści
Stosowanie instrukcji i zapewnienie realnego nadzoru człowieka
Kupując gotowe oprogramowanie AI, wiele firm zakłada, że cała odpowiedzialność za jego działanie spoczywa wyłącznie na dostawcy. Tymczasem artykuł 26 ust. 1 Aktu o AI nakłada na podmioty stosujące obowiązek podejmowania odpowiednich środków technicznych i organizacyjnych. Kluczową rolę odgrywa tutaj instrukcja obsługi dołączona do systemu, która stanowi najważniejszy i wiążący punkt odniesienia dla użytkownika. Nieprzestrzeganie wytycznych zawartych w tym dokumencie to dla przedsiębiorcy prosta droga do przejęcia na siebie odpowiedzialności prawnej za ewentualne szkody. Zgodnie z ustępem drugim, wdrożenie algorytmu wymaga dodatkowo zapewnienia realnego nadzoru ze strony człowieka. Osoba wyznaczona do nadzorowania systemu musi mieć niezbędne kompetencje, odpowiednie przeszkolenie techniczne oraz uprawnienia do ingerencji w jego działanie. Pracownik pełniący taką funkcję powinien rozumieć sposób działania algorytmu, aby w porę wychwycić potencjalne błędy i skutecznie zapobiec dyskryminacji.
Jak użytkownik powinien reagować na problem z systemem AI
Obowiązki podmiotów stosujących systemy AI wysokiego ryzyka nie kończą się na biernym obserwowaniu wdrożonego narzędzia. Ustawodawca wymaga od firm aktywnego podejścia do zarządzania ryzykiem, co zostało szczegółowo opisane w art. 26 ust. 5 rozporządzenia. Podmiot stosujący ma prawny obowiązek stale monitorować działanie oprogramowania w oparciu o instrukcję obsługi otrzymaną od producenta. W przypadku zidentyfikowania zagrożeń organizacja musi podjąć następujące zdecydowane kroki:
- Natychmiastowe zawieszenie wykorzystywania systemu przy każdym podejrzeniu błędu.
- Poinformowanie o incydencie dostawcy technologii oraz właściwych organów nadzoru rynku.
- Ścisła współpraca z urzędami państwowymi w toku prowadzonych działań kontrolnych i wyjaśniających.
Podmiot stosujący ma w związku z tym ustawowy obowiązek udostępniania niezbędnej dokumentacji dowodowej. Przejrzysta i sprawna reakcja na sytuację kryzysową stanowi podstawę legalnego wykorzystywania sztucznej inteligencji.
Kiedy firma musi informować pracowników i klientów o użyciu AI
Wdrożenie zautomatyzowanych narzędzi decyzyjnych w miejscu pracy zawsze budzi zrozumiały niepokój, dlatego prawo kładzie duży nacisk na przejrzystość. Zgodnie z artykułem 26 ust. 7 rozporządzenia AI, pracodawca musi zachować pełną transparentność w relacjach pracowniczych jeszcze przed uruchomieniem algorytmu. Wdrażając algorytmy do procesów HR lub monitorowania pracy, firma ma obowiązek poinformować o tym pracowników. Na mocy ustępu 11, w ścisłym powiązaniu z artykułem 50, organizacje mają obowiązek wyraźnie informować osoby o interakcji z algorytmem. Każdy klient, pacjent czy kandydat do pracy ma prawo wiedzieć, że jego sytuacja jest analizowana z udziałem algorytmu. Jeżeli AI wpływa na przetwarzanie danych osobowych, osób których te dane dotyczą, przykładowo osób świadczących pracę lub klientów, organizacja powinna poinformować ich o tym zgodnie z art. 13 RODO, realizując tym samym obowiązek informacyjny.
Retencja logów i zgodność z RODO przy stosowaniu AI
Prowadzenie audytów opiera się na dowodach cyfrowych, dlatego ustawa nakłada na organizacje konkretne wymogi informatyczne. Zgodnie z art. 26 ust. 6 rozporządzenia, podmioty stosujące systemy AI wysokiego ryzyka mają obowiązek bezpiecznego przechowywania logów generowanych automatycznie przez system. Ta bardzo istotna kwestia techniczna oznacza prawny obowiązek retencji rejestrów zdarzeń przez okres wynoszący bezwzględnie co najmniej sześć miesięcy. Równocześnie wdrożenie algorytmów wymaga od organizacji gruntownego przeglądu dotychczasowych procedur związanych z przetwarzaniem danych osobowych. W ustępie 9 znajduje się wyraźne przypomnienie o konieczności zachowania pełnej spójności między rozporządzeniem o sztucznej inteligencji a standardami RODO. Prawnym obowiązkiem jest więc zaktualizowanie oceny skutków dla ochrony danych (DPIA) o specyfikę, wagę oraz nowe ryzyka wynikające z wdrożenia AI.
Podsumowanie
Korzystanie z systemu AI wysokiego ryzyka wymaga zbudowania w organizacji realnego modelu odpowiedzialności za jego działanie. Oznacza to, że firma musi traktować zgodność z AI Act jako element bieżącego zarządzania, a nie wyłącznie formalność na etapie wdrożenia. To właśnie sposób organizacji nadzoru, obiegu informacji i reakcji na incydenty przesądza o tym, czy użycie systemu pozostaje legalne i bezpieczne. Z perspektywy organizacji najważniejsze jest więc nie tylko samo korzystanie z technologii, ale utrzymanie kontroli nad jej skutkami prawnymi, organizacyjnymi i dowodowymi. Im bardziej zaawansowany system i im większy jego wpływ na ludzi, tym większe znaczenie ma wewnętrzna gotowość organizacji do wykazania, że korzysta z AI w sposób świadomy, udokumentowany i zgodny z wymaganiami prawa.
