Jako prawnik doradzający twórcom nowych technologii wiem, że wprowadzenie oprogramowania na rynek europejski stanowi dziś złożony proces formalny. Obowiązkowa dokumentacja dostawców systemów AI należy dziś do podstawowych warunków legalnego funkcjonowania w tej dynamicznie regulowanej branży. Zgodnie z unijnym rozporządzeniem w sprawie sztucznej inteligencji (AI Act) każdy twórca musi przygotować rozbudowany zestaw dokumentów, polityk wewnętrznych i rejestrów jeszcze przed udostępnieniem produktu użytkownikowi końcowemu. Bardzo ważne jest ustalenie, jakie elementy prawne i techniczne powinna obejmować lista obowiązkowej dokumentacji dostawcy systemów klasyfikowanych jako rozwiązania wysokiego ryzyka. Wczesne uporządkowanie tych obowiązków ogranicza ryzyko sankcji ze strony organów nadzoru.
Spis treści
Pełny zakres dokumentacji wymaganej od dostawcy AI
Przepisy europejskiego rozporządzenia o sztucznej inteligencji nakładają najwięcej obowiązków formalnych na podmioty, które bezpośrednio tworzą i wprowadzają systemy AI do obrotu. Dostawcy systemów AI wysokiego ryzyka muszą wykazać przed organami państwowymi, że ich technologia jest bezpieczna, niedyskryminująca i zgodna z prawem UE. Temu właśnie służy rozbudowana dokumentacja, która towarzyszy algorytmowi od momentu powstawania aż do jego wycofania z rynku.
Art. 9 AI Act - Udokumentowany system zarządzania ryzykiem
Podstawą bezpieczeństwa każdego projektu jest rozpoznanie zagrożeń, które mogą wynikać z jego stosowania. Zgodnie z art. 9 rozporządzenia, dostawca oprogramowania musi wdrożyć i stale prowadzić udokumentowany system zarządzania ryzykiem. Nie może to być jednorazowa analiza przygotowana tuż przed premierą produktu. Przepisy wymagają ciągłego, iteracyjnego procesu oceny prowadzonego przez cały cykl życia systemu sztucznej inteligencji. Taka dokumentacja ma potwierdzać, że firma regularnie identyfikuje możliwe błędy algorytmu i wdraża odpowiednie środki zaradcze.
Art. 11 AI Act - Dokumentacja techniczna sporządzana przed wprowadzeniem
Zanim oprogramowanie trafi do pierwszych klientów, trzeba sporządzić dla niego szczegółową dokumentację techniczną. Artykuł 11 rozporządzenia wymaga, aby została ona przygotowana jeszcze przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Dokumentacja musi jasno wykazywać zgodność modelu z wymogami prawnymi. Nie jest to dokument statyczny, ponieważ musi być na bieżąco aktualizowany wraz ze zmianami w kodzie. Rzetelnie przygotowana dokumentacja techniczna stanowi podstawowy materiał obronny w kontakcie z organami kontrolnymi.
Art. 13 ust. 2-3 AI Act - Instrukcja użycia dla podmiotu stosującego
Użytkownik systemu musi potrafić właściwie odczytać wyniki działania systemu. Dlatego artykuł 13 ust. 2 i 3 Aktu o AI nakłada na dostawców obowiązek przygotowania instrukcji użycia dla podmiotu stosującego. Dokument ten musi zawierać jasne, kompletne i zrozumiałe informacje o działaniu systemu oraz o jego istotnych ograniczeniach. Producent ma też obowiązek opisać bezpieczne warunki korzystania z technologii oraz środki nadzoru, jakie powinna stosować wyznaczona do tego osoba. Dobrze opracowana instrukcja zapewnia wymaganą prawem przejrzystość i ogranicza ryzyko odpowiedzialności za błędy po stronie klienta.
Art. 17 AI Act - Dokumentacja systemu zarządzania jakością (QMS)
Tworzenie systemów wysokiego ryzyka wymaga działania w ramach uporządkowanych i sprawdzonych procedur. Artykuł 17 rozporządzenia AI zobowiązuje dostawców do opracowania dokumentacji wewnętrznego systemu zarządzania jakością, czyli QMS. Powinna ona przybrać postać pisemnych polityk, procedur oraz instrukcji dla personelu. Dokumentacja ta musi obejmować wszystkie istotne etapy tworzenia produktu, od selekcji danych treningowych po walidację kodu źródłowego. Utrzymywanie takiego ładu organizacyjnego ma potwierdzać, że system rozwijany jest zgodnie z europejskimi standardami bezpieczeństwa.
Art. 12 i art. 19 AI Act - Automatycznie generowane zapisy i logi
Pełna techniczna identyfikowalność operacji wykonywanych przez system AI jest jednym z najważniejszych wymogów bezpieczeństwa. Zgodnie z artykułami 12 oraz 19 rozporządzenia, organizacje muszą gromadzić zapisy i logi automatycznie generowane przez ich systemy. Obowiązek ten dotyczy tych rejestrów, które pozostają pod techniczną kontrolą dostawcy. Logi muszą być bezpiecznie przechowywane przez co najmniej 6 miesięcy. Historia działania modelu stanowi kluczowy materiał dowodowy na wypadek konieczności zbadania awarii lub incydentu.
Art. 43 AI Act - Dokumentacja z oceny zgodności systemu
Zanim produkt uzyska unijne dopuszczenie, musi przejść procedurę oceny zgodności. Artykuł 43 rozporządzenia dotyczy obowiązku posiadania dokumentacji z tego procesu, która ma wykazać legalność systemu. Dokumentacja ta powinna potwierdzać spełnienie wszystkich wymogów jakościowych określonych w sekcji drugiej AI Act. Obejmuje ona między innymi wyniki testów inżynieryjnych, raporty z audytów wewnętrznych oraz wnioski sporządzone przez audytorów. Odpowiednie udokumentowanie tej procedury jest niezbędne do legalnego dopuszczenia systemu do obrotu.
Art. 44 AI Act - Certyfikat wydany przez jednostkę notyfikowaną
Często procedura oceny modelu wiąże się z obowiązkiem poddania go szczegółowej weryfikacji przez zewnętrzną instytucję oceniającą. Jak wynika z artykułu 44 Aktu o AI, obowiązkowym rezultatem tych procedur jest certyfikat wydany przez daną jednostkę notyfikowaną. Dokument ten zachowuje ważność przez określony czas, wynoszący maksymalnie 5 lat dla wybranych systemów oraz 4 lata dla innej grupy rozwiązań wysokiego ryzyka. Certyfikat musi zostać wydany w języku akceptowalnym dla krajowych organów nadzoru w danym państwie. Przepisy przyznają też jednostce notyfikowanej prawo do wcześniejszego cofnięcia albo zawieszenia certyfikatu w razie wykrycia istotnego spadku poziomu bezpieczeństwa. Twórca ma ponadto obowiązek przechowywania tego dokumentu przez dziesięć lat od momentu rozpoczęcia używania produktu na rynku.
Art. 47 AI Act - Deklaracja zgodności UE dla każdego systemu
Końcowym potwierdzeniem legalności systemu jest deklaracja zgodności UE. Zgodnie z art. 47 rozporządzenia, dostawca ma obowiązek sporządzić taki dokument dla każdego systemu AI wysokiego ryzyka wprowadzanego na rynek. Jest to wiążący akt prawny podpisywany przez reprezentanta firmy. Deklaracja ta wiąże się z istotną odpowiedzialnością dostawcy za działanie wdrożonego algorytmu i musi być regularnie aktualizowana. Jej stała dostępność dla organów stanowi potwierdzenie, że oferowana technologia respektuje podstawowe prawa obowiązujące w Unii Europejskiej.
Art. 49 ust. 1 AI Act - Wpis rejestracyjny w unijnej bazie danych
Dążąc do zwiększenia przejrzystości rynku cyfrowego w całej Unii Europejskiej, prawodawca przewidział zintegrowany mechanizm raportowania i ewidencjonowania. Artykuł 49 ust. 1 rozporządzenia nakłada na dostawców niektórych modeli obowiązek dokonania wpisu rejestracyjnego w unijnej bazie danych poświęconej sztucznej inteligencji. Formalność ta musi zostać dopełniona jeszcze przed komercyjnym udostępnieniem systemu. Zakres danych podlegających wpisowi został szeroko określony w Załączniku VIII. Warto przy tym zaznaczyć szczególne wyłączenie dotyczące oprogramowania wykorzystywanego przy ściganiu przestępstw, zarządzaniu kryzysami granicznymi czy polityce migracyjnej. W takich przypadkach zgłoszenia dokonuje się w odrębnej, zabezpieczonej i niepublicznej części bazy danych, dostępnej wyłącznie dla uprawnionych organów.
Art. 60 ust. 4 lit. a AI Act - Plan testów w warunkach rzeczywistych
Testowanie systemów AI nie zawsze może ograniczać się do warunków laboratoryjnych, ponieważ dopiero w rzeczywistym środowisku da się ocenić, jak dana technologia się zachowuje. Artykuł 60 dopuszcza tego rodzaju testy zewnętrzne, ale uzależnia je od spełnienia katalogu wymogów bezpieczeństwa wobec osób potencjalnie narażonych. Jednym z najważniejszych warunków jest konieczność przygotowania planu testów w warunkach rzeczywistych. Opracowanie takiego dokumentu należy do twórcy odpowiedzialnego za dany system. Plan musi zostać przekazany właściwemu organowi nadzoru rynku jeszcze przed rozpoczęciem testów. Prawidłowe wykonanie tej czynności przesądza o legalności badań i istotnie ogranicza ryzyko odpowiedzialności na etapie postprodukcyjnym.
Art. 72 AI Act - Plan monitorowania po wprowadzeniu do obrotu
Testowanie systemów AI nie zawsze może ograniczać się do warunków laboratoryjnych, ponieważ dopiero w rzeczywistym środowisku da się ocenić, jak dana technologia się zachowuje. Artykuł 60 dopuszcza tego rodzaju testy zewnętrzne, ale uzależnia je od spełnienia katalogu wymogów bezpieczeństwa wobec osób potencjalnie narażonych. Jednym z najważniejszych warunków jest konieczność przygotowania planu testów w warunkach rzeczywistych. Opracowanie takiego dokumentu należy do twórcy odpowiedzialnego za dany system. Plan musi zostać przekazany właściwemu organowi nadzoru rynku jeszcze przed rozpoczęciem testów. Prawidłowe wykonanie tej czynności przesądza o legalności badań i istotnie ogranicza ryzyko odpowiedzialności na etapie postprodukcyjnym.
Art. 48 AI Act - Oznakowanie CE potwierdzające weryfikację
Ostatnim, ale bardzo istotnym elementem potwierdzającym zakończenie procedur oceny jest oznakowanie CE. Artykuł 48 rozporządzenia AI wskazuje na obowiązek jego prawidłowego umieszczenia w produkcie dostępnym na rynku Unii Europejskiej. Znak CE musi być umieszczony w sposób widoczny, czytelny i trwały. Jeśli charakter systemu informatycznego nie pozwala na pokazanie oznaczenia bezpośrednio w interfejsie, można umieścić je w łatwo dostępnym do odczytu kodzie lub w dołączonej dokumentacji. Prawidłowe użycie tego symbolu potwierdza organom i użytkownikom, że wymagana dokumentacja została zgromadzona i zweryfikowana.
Art. 18 AI Act - Dziesięcioletni obowiązek przechowywania dokumentacji
Wprowadzenie produktu na rynek Unii Europejskiej rozpoczyna długoterminowe obowiązki archiwizacyjne. Zgodnie z artykułem 18 Aktu o AI, dokumentacja techniczna dla dostawców systemów AI musi być przechowywana przez 10 lat od momentu wprowadzenia algorytmu do obrotu. Przechowywane powinny być: dokumentacja techniczna, dokumentacja systemu zarządzania jakością oraz akta dotyczące zmian zatwierdzonych przez audytorów. Należy dołączyć także decyzje wydane przez jednostki notyfikowane oraz podpisaną deklarację zgodności UE. Tak długi okres przechowywania ma umożliwić organom nadzoru dokładne odtworzenie historii powstawania technologii także długo po jej wejściu na rynek.
Podsumowanie
W przypadku systemów AI wysokiego ryzyka o zgodności z prawem nie decyduje wyłącznie jakość samego modelu, ale także to, czy firma potrafi wykazać sposób jego zaprojektowania, wdrożenia i późniejszego nadzorowania. To właśnie dokumentacja pokazuje organom nadzoru, że dostawca działa świadomie, kontroluje ryzyko, reaguje na zmiany i bierze odpowiedzialność za technologię także po jej wprowadzeniu na rynek.
Dlatego obowiązki formalne warto traktować jako stały element procesu projektowego. Im wcześniej organizacja włączy wymogi AI Act do swoich procedur wewnętrznych, tym łatwiej będzie jej ograniczyć ryzyko błędów, opóźnień i sporów z organami nadzoru. Dobrze uporządkowana dokumentacja staje się nie tylko wymogiem regulacyjnym, ale też realnym narzędziem ochrony prawnej dostawcy.
