Jako prawnik wspierający organizacje w procesach transformacji cyfrowej regularnie spotykam się z pytaniami o zgodne z prawem wdrażanie nowych technologii, przede wszystkim w kontekście nowych regulacji dotyczących AI. Przepisy unijne nakładają szereg obowiązków na firmy decydujące się na szeroką automatyzację procesów decyzyjnych. Jednym z najbardziej wymagających zadań jest prawidłowe przeprowadzenie oceny skutków w zakresie ryzyka związanego z systemami AI, której celem jest ochrona praw i wolności osób, na które technologia może oddziaływać. Kluczowe znaczenie ma tu ustalenie, na czym polega ten proces w świetle art. 27 rozporządzenia w sprawie sztucznej inteligencji, jakie podmioty są nim objęte oraz w jaki sposób należy identyfikować związane z nim zagrożenia społeczne. Istotne pozostaje również takie ukształtowanie procedur, aby ograniczyć zbędne obciążenia administracyjne poprzez spójne połączenie nowych wymogów z obowiązującymi już zasadami ochrony prywatności. Znajomość tych reguł pozwala wdrażać innowacyjne narzędzia w sposób bezpieczny i zgodny z prawem.
Spis treści
Kiedy podmiot stosujący musi wykonać ocenę skutków systemu AI
Katalog podmiotów objętych obowiązkiem oceny skutków
Wielu przedsiębiorców błędnie zakłada, że nowe wymogi wprowadzone przez Unię Europejską dotyczą każdej firmy korzystającej z algorytmów. Tymczasem art. 27 rozporządzenia precyzyjnie określa katalog instytucji, dla których ocena skutków w zakresie praw podstawowych (FRIA) jest obowiązkowa. Przepis ten obejmuje przede wszystkim podmioty stosujące będące jednostkami sektora publicznego oraz prywatne firmy świadczące istotne usługi publiczne. Dodatkowo obowiązki te dotyczą także wybranych instytucji z sektora finansowego i ubezpieczeniowego, w szczególności tych, które wykorzystują algorytmy do oceny zdolności kredytowej albo szacowania ryzyka dotyczącego życia i zdrowia.
Na jakim etapie należy przeprowadzić ocenę skutków
Wdrożenie tego dokumentu musi nastąpić jeszcze przed faktycznym uruchomieniem oprogramowania wysokiego ryzyka w operacyjnym środowisku pracy. Prawo nie dopuszcza w tym zakresie działań podejmowanych po fakcie, dlatego cały proces weryfikacyjny należy odpowiednio wcześnie uwzględnić w harmonogramie wdrożenia. Oznacza to, że ocena skutków nie może być traktowana jako formalność uzupełniająca, lecz jako jeden z warunków legalnego rozpoczęcia korzystania z systemu.
Jak zidentyfikować ryzyka dla praw podstawowych przy wdrożeniu AI
Przeprowadzenie oceny wymaga od zespołu bardzo metodycznego podejścia do identyfikowania możliwych szkód i ryzyk społecznych. Zgodnie z przepisami organizacja musi dokładnie opisać planowane procesy biznesowe, w których sztuczna inteligencja będzie wykorzystywana, oraz częstotliwość jej użycia. Kluczowym elementem tej analizy jest wskazanie konkretnych kategorii osób fizycznych lub słabszych grup społecznych, które będą bezpośrednio narażone na zautomatyzowane działanie oprogramowania. Jako podmiot wdrażający nie musisz jednak samodzielnie zgadywać technicznych parametrów systemu, ponieważ Twoja praca opiera się na informacjach przekazanych wcześniej przez dostawcę oprogramowania na podstawie artykułu 13 omawianego rozporządzenia. To właśnie dołączona do produktu instrukcja obsługi stanowi podstawę, na której opierasz identyfikację zagrożeń oraz planujesz odpowiednie środki nadzoru technicznego sprawowanego przez człowieka. Audyt musi ponadto zawierać plan awaryjny, określający środki zaradcze i mechanizmy rozpatrywania skarg na wypadek, gdyby zidentyfikowane ryzyko dla osób fizycznych się urzeczywistniło.
Zasada proporcjonalności i obowiązek aktualizacji oceny
Prawodawca dostrzegł realne ryzyko nadmiernej biurokracji, dlatego wprowadził do ustawy mechanizmy ułatwiające firmom codzienną pracę z wdrażanymi systemami. Analizując te wymagające przepisy, warto zwrócić uwagę na zasadę proporcjonalności, która pozwala organizacjom optymalizować koszty kolejnych wdrożeń technologicznych. Jeżeli uruchamiasz oprogramowanie po raz kolejny w podobnych warunkach, masz prawo oprzeć się na wcześniej przeprowadzonych ocenach skutków albo na dokumentacji dostarczonej bezpośrednio przez dostawcę. Trzeba jednak wyraźnie pamiętać, że rzeczywistość jest bardzo dynamiczna, a sztuczna inteligencja często uczy się i zmienia na bieżąco. Zgodnie z wytycznymi artykułu 27 rozporządzenia AI, na podmiocie stosującym ciąży obowiązek stałego monitorowania zmian i regularnego aktualizowania posiadanej oceny. Gdy system technicznie ewoluuje albo zmieniają się grupy docelowe osób narażonych na jego działanie, dokumentacja musi odzwierciedlać ten nowy stan faktyczny.
Obowiązek informacyjny wobec państwowych organów nadzoru
Zakończenie audytu bezpieczeństwa nie oznacza, że przygotowane analizy mogą po prostu trafić do firmowego archiwum. Ustawodawca nakłada na podmioty stosujące obowiązek informacyjny, który ma zapewnić rynkową przejrzystość wdrażanych systemów wysokiego ryzyka. Po prawidłowym przeprowadzeniu procedur weryfikacyjnych organizacja musi powiadomić właściwy organ nadzoru rynku o końcowych wynikach swoich analiz. Aby ujednolicić ten proces i ułatwić komunikację administracyjną, Urząd do spraw AI został zobowiązany do opracowania uproszczonego wzoru kwestionariusza. Złożenie takiego powiadomienia stanowi dowód, że Twoja firma przygotowała się do korzystania z technologii w kluczowych obszarach gospodarki. Pominięcie tego pozornie prostego kroku naraża organizację na dotkliwe konsekwencje finansowe w razie kontroli ze strony państwa.
Ocena praw podstawowych a ocena skutków dla ochrony danych osobowych
Wiele osób wyraża uzasadnione obawy związane z dublowaniem się nowych procedur unijnych z dobrze znanymi już standardami ochrony prywatności. Trzeba wyraźnie podkreślić, że ocena skutków ryzyka systemów AI wynikająca z rozporządzenia AI w żadnym razie nie zastępuje wymogów RODO, lecz rozsądnie się na nich opiera. Zgodnie z artykułem 35 RODO, ocena skutków dla ochrony danych (DPIA) analizuje wpływ innowacji na bezpieczeństwo danych osobowych. Nowa procedura FRIA idzie krok dalej i obejmuje znacznie szerszy zakres praw podstawowych, takich jak chociażby zakaz dyskryminacji w miejscu pracy. Prawo unijne wskazuje, że obie te oceny powinny wzajemnie się uzupełniać w ramach jednej organizacji. Rekomendowane jest przygotowanie jednej, spójnej i rozbudowanej dokumentacji dowodowej, która jednocześnie zabezpieczy interesy organizacji na obu polach.
