Doradzając organizacjom w procesach transformacji cyfrowej pod kątem prawnym regularnie spotykam się z błędnym założeniem, że za legalność systemów sztucznej inteligencji odpowiada wyłącznie ich twórca. Tymczasem unijne rozporządzenie nakłada istotne obowiązki formalne również na organizacje, które nabywają i wdrażają gotowe rozwiązania w swoich strukturach. Obowiązkowa dokumentacja podmiotów stosujących systemy AI stanowi jeden z kluczowych elementów zapewnienia zgodności z wymogami nowego prawa europejskiego. Artykuły rozporządzenia w sprawie sztucznej inteligencji (AI Act) precyzyjnie określają, jakie rejestry, audyty i procedury wewnętrzne powinny znaleźć się w bazie danych podmiotu stosującego.
Spis treści
Rejestry zdarzeń i logi systemowe
Podstawowym obowiązkiem technicznym każdego podmiotu stosującego oprogramowanie wysokiego ryzyka jest zachowanie pełnej historii działania używanego algorytmu. Zgodnie z artykułem 26 ust. 6 Aktu o AI, Twoja organizacja musi bezpiecznie przechowywać automatycznie generowane rejestry zdarzeń, czyli logi systemowe. Ten wymóg retencji dotyczy wszystkich logów, które pozostają pod faktyczną kontrolą podmiotu stosującego, i obowiązuje przez co najmniej sześć miesięcy. Stworzenie bezpiecznego i trwałego rejestru logów systemowych jest konieczne, aby w razie awarii lub kontroli urzędowej można było dokładnie odtworzyć przebieg zautomatyzowanego procesu decyzyjnego. W przypadku licencjonowanych instytucji finansowych ustawa pozwala prowadzić takie rejestry jako część dokumentacji wymaganej już na podstawie odrębnych unijnych przepisów o usługach finansowych.
Ocena skutków i ochrona prywatności
Jakie podmioty muszą sporządzić ocenę skutków dla praw podstawowych
Samo wdrożenie systemu sztucznej inteligencji musi być poprzedzone analizą jego wpływu na jednostki, co formalizuje ocena skutków w zakresie praw podstawowych (FRIA). Zgodnie z artykułem 27 rozporządzenia, ten obowiązek nie dotyczy każdej organizacji, lecz koncentruje się na ściśle określonych sektorach. Dokument ten muszą przygotować podmioty prawa publicznego, podmioty prywatne świadczące ważne usługi publiczne oraz instytucje z sektora bankowego i ubezpieczeniowego. Przeprowadzona i udokumentowana ocena musi opisywać procesy biznesowe, identyfikować grupy wrażliwe narażone na działanie systemu oraz wskazywać środki ograniczające ewentualne szkody dla jednostki. Wyniki tego audytu podmiot stosujący musi oficjalnie zgłosić do właściwego organu nadzoru rynku. Posiadanie profesjonalnie przygotowanej analizy FRIA jest dla określonych organizacji warunkiem legalnego uruchomienia oprogramowania.
Zaktualizowana ocena DPIA zintegrowana z AI Act
Europejskie przepisy o sztucznej inteligencji nie działają w oderwaniu od prawa ochrony danych, lecz stanowią jego spójne uzupełnienie. Artykuł 26 ust. 9 oraz art. 27 ust. 4 rozporządzenia AI przypominają o konieczności zachowania pełnej zgodności między nowymi wymogami AI Act a standardami wynikającymi z RODO. Jako podmiot stosujący musisz dysponować zaktualizowaną oceną skutków dla ochrony danych, czyli DPIA, która uwzględnia specyfikę, wagę i nowe ryzyka związane z wdrożeniem algorytmu. Ustawodawca wskazuje, że jeśli część obowiązków sprawdzających została już prawidłowo wykonana w ramach audytu RODO, nowa ocena praw podstawowych stanowi jedynie jej logiczne uzupełnienie. Takie połączenie obu dokumentów pozwala uniknąć niepotrzebnego dublowania procedur, a jednocześnie zachować wysoki poziom ochrony praw jednostki. Rzetelnie zintegrowana dokumentacja dowodowa jest dla kontrolerów wyraźnym sygnałem, że organizacja całościowo podchodzi do kwestii cyberbezpieczeństwa i zgodności.
Dokumentacja kadrowa i organizacyjna przy stosowaniu AI
Jak potwierdzić, że pracownicy zostali poinformowani o AI
Wprowadzenie automatyzacji do środowiska pracy naturalnie budzi obawy personelu, dlatego nowe prawo kładzie duży nacisk na przejrzystość w polityce zatrudnienia. Artykuł 26 ust. 7 Aktu o AI nakłada na pracodawców obowiązek poinformowania pracowników oraz ich przedstawicieli, na przykład związki zawodowe, o zamiarze wdrożenia systemu AI wysokiego ryzyka. Niezbędnym elementem firmowej dokumentacji stają się więc oficjalne protokoły powiadomienia, potwierdzające, że personel został właściwie poinformowany o stosowaniu nowego narzędzia. Proces ten musi przebiegać zgodnie z krajowym prawem pracy, a przejrzysta i udokumentowana komunikacja pomaga ograniczyć ryzyko sporów wewnątrz organizacji. Niedopełnienie tego obowiązku informacyjnego stanowi naruszenie unijnego rozporządzenia i może skutkować interwencją właściwych organów. Zbieranie odpowiednich potwierdzeń chroni pracodawcę przed późniejszymi zarzutami o potajemne i nielegalne profilowanie pracowników.
Jak udokumentować kompetencje osób sprawujących nadzór nad AI
Algorytmy wysokiego ryzyka nie mogą działać w firmie całkowicie samodzielnie, bez kontroli ze strony odpowiednio przygotowanego do tego zadania człowieka. Zgodnie z art. 26 ust. 2 rozporządzenia, podmioty stosujące muszą formalnie powierzyć nadzór nad systemem konkretnym osobom, które mają do tego niezbędne kompetencje. Aby wykazać spełnienie tego wymogu, organizacja powinna prowadzić rejestr uprawnień i certyfikatów szkoleniowych wszystkich osób sprawujących taki nadzór. Dokument ten musi potwierdzać, że wyznaczony pracownik zapoznał się z instrukcją obsługi i ma uprawnienia do zignorowania błędnej decyzji algorytmu. Brak takich dowodów na odpowiednie przygotowanie pracowników sprawia, że cały system ograniczania ryzyka może zostać uznany przez audytora za pozorny. Aktualny rejestr kompetencji personelu stanowi więc istotny dowód należytej staranności przedsiębiorstwa w bezpiecznym zarządzaniu technologią.
Procedury reagowania na incydenty i wymogi dla sektora publicznego
Dokumentowanie działań po wykryciu incydentu AI
Każda odpowiedzialna organizacja musi być przygotowana na sytuację, w której algorytm zaczyna stwarzać zagrożenie dla praw jednostki. Artykuł 26 ust. 5 rozporządzenia w sprawie sztucznej inteligencji wymaga od podmiotu stosującego stałego monitorowania działania oprogramowania oraz natychmiastowej reakcji na wszelkie nieprawidłowości. W dokumentach organizacji powinna znaleźć się sformalizowana procedura zgłaszania poważnych incydentów, która określa sposób komunikacji z dostawcą oprogramowania oraz organami nadzoru rynku. Dokument ten musi uwzględniać bezwzględny obowiązek zawieszenia korzystania z systemu, gdy istnieje uzasadnione podejrzenie, że generuje on zagrożenie. Urzędnicy kontrolujący organizację z dużym prawdopodobieństwem zażądają okazania tej procedury, aby sprawdzić, czy pracownicy wiedzą, jak zatrzymać system w razie kryzysu. Brak sformalizowanych procedur może oznaczać z prawnego punktu widzenia, że organizacja korzysta z zaawansowanej technologii w sposób nieuporządkowany i ryzykowny.
Sektor publiczny a szczególne wymogi dokumentacyjne AI Act
Instytucje publiczne i organy państwowe podlegają w nowym rozporządzeniu jeszcze bardziej rygorystycznym wymogom dokumentacyjnym niż sektor prywatny. Zgodnie z art. 26 ust. 8 omawianego rozporządzenia, organy władzy publicznej muszą przechowywać w swoich aktach potwierdzenie weryfikacji wpisu danego systemu AI w centralnej bazie danych UE. Bez takiego potwierdzenia urząd nie może rozpocząć korzystania z nabytego algorytmu.
Z kolei w przypadku organów ścigania wykorzystujących systemy do zdalnej identyfikacji biometrycznej, art. 26 ust. 10 Aktu o AI nakłada obowiązek prowadzenia szczególnie rygorystycznej dokumentacji. Służby muszą archiwizować wnioski o zezwolenie kierowane do organów wymiaru sprawiedliwości oraz odnotowywać w odpowiednich aktach policyjnych każdy przypadek użycia takiej technologii. Dokumentacja ta podlega kontroli organu ochrony danych i ma zapewniać nadzór nad najbardziej inwazyjnymi formami ingerencji w prawa jednostki. Tak skonstruowane przepisy mają zagwarantować, że wykorzystywanie sztucznej inteligencji przez organy ścigania będzie zawsze w pełni udokumentowane i ograniczone do sytuacji rzeczywiście koniecznych.
Podsumowanie - dokumentacja dla firm stosujących systemy AI
Podmiot stosujący system AI musi być przygotowany nie tylko na samo wdrożenie oprogramowania, ale również na wykazanie, że korzysta z niego w sposób uporządkowany, legalny i możliwy do zweryfikowania. Oznacza to konieczność zgromadzenia i utrzymywania co najmniej następujących dokumentów:
- Rejestry zdarzeń i logi systemowe – powinny umożliwiać odtworzenie działania systemu i przebiegu procesu decyzyjnego przez wymagany okres przechowywania.
- Ocena skutków w zakresie praw podstawowych (FRIA) – jest wymagana w określonych sektorach i ma wykazać wpływ systemu na prawa oraz wolności osób, których dotyczy.
- Zaktualizowana ocena skutków dla ochrony danych (DPIA) – powinna uwzględniać ryzyka związane z wykorzystaniem AI i pozostawać spójna z obowiązkami wynikającymi z RODO.
- Protokoły poinformowania pracowników i ich przedstawicieli – potwierdzają, że wdrożenie systemu AI wysokiego ryzyka zostało zakomunikowane zgodnie z wymogami prawa pracy.
- Rejestr osób sprawujących nadzór nad systemem – dokumentuje, kto odpowiada za kontrolę nad systemem oraz jakie posiada do tego kompetencje i przeszkolenie.
- Procedura zgłaszania incydentów i zawieszania działania systemu – określa sposób reagowania na nieprawidłowości, kontakt z dostawcą oraz obowiązki wobec organów nadzoru.
- Potwierdzenie weryfikacji systemu w bazie UE – jest niezbędne w przypadku podmiotów publicznych przed rozpoczęciem korzystania z danego rozwiązania.
- Dokumentacja użycia systemów biometrycznych przez służby – obejmuje w szczególności wnioski o zezwolenie i ewidencję każdego użycia technologii zdalnej identyfikacji biometrycznej.
