Wprowadzenie unijnego rozporządzenia w sprawie sztucznej inteligencji (AI Act) to ważny moment dla regulacji nowoczesnych technologii. Akt ten nie tylko wyznacza ramy legalnego projektowania i wdrażania systemów AI, ale także tworzy rozbudowany i rygorystyczny system odpowiedzialności prawnej. Dla operatorów, dostawców oraz podmiotów stosujących sztuczną inteligencję kluczowe staje się zrozumienie, w jakich sytuacjach uchybienia regulacyjne mogą przerodzić się w realne sankcje finansowe. System ten przypomina pod pewnymi względami rozwiązania znane z rozporządzenia o ochronie danych (RODO), ale ma własne progi i zasady. Kluczowe znaczenie ma więc zrozumienie, za jakie naruszenia mogą zostać nałożone administracyjne kary pieniężne, jak wysoka może być ich wartość oraz od jakich okoliczności zależy ich ostateczny wymiar.
Spis treści
Ogólne zasady nakładania kar i kompetencje państw członkowskich
Zgodnie z art. 99 rozporządzenia, odpowiedzialność za egzekwowanie przepisów spoczywa przede wszystkim na państwach członkowskich. To one mają obowiązek wprowadzić do prawa krajowego odpowiednie regulacje dotyczące sankcji oraz innych środków egzekwowania prawa. Europejski ustawodawca pozostawia organom krajowym pewną swobodę, wskazując, że katalog dostępnych środków może obejmować nie tylko administracyjne kary pieniężne, ale także oficjalne ostrzeżenia i środki o charakterze niepieniężnym.
Podstawowa zasada jest jednak jasna: kary muszą być skuteczne, proporcjonalne i odstraszające. Oznacza to, że nie mogą być jedynie drobnym kosztem wpisanym w ryzyko prowadzenia biznesu, ale zarazem nie powinny prowadzić do nieuzasadnionego paraliżu działalności podmiotów, które dopuściły się mniej poważnych uchybień. Państwa członkowskie mają ponadto obowiązek poinformować Komisję Europejską o przyjętych przepisach sankcyjnych jeszcze przed rozpoczęciem stosowania rozporządzenia.
Kategorie naruszeń i maksymalne progi administracyjnych kar pieniężnych
System kar finansowych w AI Act opiera się na stopniowaniu naruszeń. Ustawodawca wyróżnił trzy główne poziomy uchybień i przypisał do nich odpowiednie maksymalne pułapy kwotowe oraz procentowe. W przypadku dużych przedsiębiorstw stosuje się mechanizm wyższej kwoty.
Naruszenie zakazu praktyk niedozwolonych
Najpoważniejsze konsekwencje prawne grożą za naruszenie art. 5 rozporządzenia, który określa katalog praktyk w zakresie sztucznej inteligencji całkowicie zakazanych na terenie Unii Europejskiej. Chodzi tu między innymi o systemy wykorzystujące techniki podprogowe do wpływania na zachowania, systemy kategoryzacji biometrycznej oparte na danych wrażliwych oraz rozwiązania służące do oceny społecznej obywateli.
Złamanie tych podstawowych zakazów podlega administracyjnej karze pieniężnej w wysokości do 35 000 000 EUR lub, jeżeli sprawcą naruszenia jest przedsiębiorstwo, do 7% jego całkowitego rocznego światowego obrotu z poprzedniego roku. Organ nadzorczy ma obowiązek zastosować tę wartość, która w danym przypadku będzie wyższa i bardziej dotkliwa.
Naruszenie obowiązków przez operatorów lub jednostki notyfikowane
Drugi poziom sankcji dotyczy szerokiego zakresu uchybień regulacyjnych. Obejmuje on nieprzestrzeganie wymogów nałożonych na dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów oraz podmioty stosujące systemy AI. Do tej kategorii należą także naruszenia obowiązków dotyczących przejrzystości z artykułu 50 Aktu o AI, które wymagają informowania osób fizycznych o interakcji ze sztuczną inteligencją.
W przypadku stwierdzenia takich naruszeń przewidziana jest administracyjna kara pieniężna w wysokości do 15 000 000 EUR lub do 3% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku. Także tutaj obowiązuje zasada wyższej kwoty.
Dostarczanie nieprawidłowych lub wprowadzających w błąd informacji
Rozporządzenie bardzo surowo ocenia wszelkie próby zakłócania procesu nadzoru i certyfikacji. Przekazywanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub właściwym organom krajowym w odpowiedzi na ich wniosek stanowi odrębne naruszenie.
Takie działanie podlega administracyjnej karze pieniężnej w wysokości do 7 500 000 EUR lub do 1% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku. Wybierana jest wyższa z tych dwóch wartości.
Specjalny reżim i indywidualizacja kar dla MŚP oraz startupów
Aby rygorystyczne przepisy nie zahamowały rozwoju innowacji w Europie, ustawodawca wprowadził mechanizm łagodzący dla małych i średnich przedsiębiorstw (MŚP) oraz startupów. Zgodnie z art. 99 ust. 6 rozporządzenia w sprawie AI, w przypadku tych podmiotów zasada obliczania maksymalnej kary zostaje odwrócona.
Dla MŚP i startupów maksymalna wysokość kary pieniężnej jest ograniczona do niższej z kwot określonych w odpowiednich progach, czyli niższej z wartości kwotowej albo procentowej. To rozwiązanie ma zapewnić, że sankcje będą uwzględniały rzeczywistą sytuację ekonomiczną mniejszych podmiotów i nie doprowadzą ich automatycznie do niewypłacalności w razie popełnienia błędu regulacyjnego.
Kryteria wymiaru kary w indywidualnych przypadkach
Wskazane w rozporządzeniu progi wyznaczają jedynie maksymalne granice odpowiedzialności. Ostateczna decyzja o nałożeniu kary i ustaleniu jej konkretnej wysokości należy do organu nadzoru, który musi przeanalizować wszystkie istotne okoliczności sprawy. Artykuł 99 ust. 7 rozporządzenia zawiera szczegółowy katalog czynników wpływających na wymiar sankcji. Należą do nich między innymi:
- Charakter, waga i czas trwania naruszenia: organ bierze pod uwagę przeznaczenie systemu AI, liczbę osób poszkodowanych oraz rozmiar poniesionej przez nie szkody.
- Stopień odpowiedzialności i zabezpieczenia: oceniane są środki techniczne i organizacyjne wdrożone przez operatora w celu zapobiegania nieprawidłowościom.
- Współpraca i działania naprawcze: współpraca z organami krajowymi przy usuwaniu naruszenia oraz dobrowolne działania ograniczające skutki szkody mogą wyraźnie obniżyć karę.
- Wielkość podmiotu i uzyskane korzyści: analizowany jest roczny obrót, udział w rynku oraz korzyści finansowe osiągnięte bezpośrednio lub pośrednio dzięki naruszeniu.
- Umyślność działania: inaczej oceniane są uchybienia wynikające z zaniedbania, a inaczej działania w pełni świadome i celowe.
W razie wykrycia problemu w działającym systemie AI najgorszym rozwiązaniem jest próba jego ukrycia. Aktywne zarządzanie incydentem i ścisła współpraca z organami nadzorczymi to najskuteczniejsza droga do ograniczenia skutków finansowych.
Prawo do obrony i zabezpieczenia proceduralne
Rozporządzenie o sztucznej inteligencji zachowuje podstawowe standardy państwa prawa. Szerokie uprawnienia sankcyjne organów państwowych i Komisji Europejskiej zostały zrównoważone odpowiednimi gwarancjami dla przedsiębiorców. Wykonywanie uprawnień do nakładania kar, o których mowa w artykułach 99, 100 i 101 omawianego rozporządzenia, podlega ścisłym zabezpieczeniom proceduralnym wynikającym z prawa unijnego oraz krajowych standardów konstytucyjnych.
Każda ukarana organizacja, niezależnie od skali naruszenia, ma prawo do bycia wysłuchaną przed wydaniem ostatecznej decyzji. Przedsiębiorstwu przysługuje prawo do rzetelnego postępowania administracyjnego, dostępu do akt sprawy z poszanowaniem tajemnicy przedsiębiorstwa oraz prawo do wniesienia skutecznego środka zaskarżenia.
Sankcje dla instytucji i organów Unii Europejskiej
AI Act znajduje zastosowanie także do podmiotów publicznych na szczeblu unijnym. Zgodnie z artykułem 100 Aktu o AI, organem uprawnionym do nakładania administracyjnych kar pieniężnych na instytucje, organy i jednostki organizacyjne Unii jest Europejski Inspektor Ochrony Danych (EIOD).
W odniesieniu do tych podmiotów obowiązują odrębne progi finansowe:
- za naruszenie zakazu praktyk niedozwolonych z artykułu 5 rozporządzenia EIOD może nałożyć karę do
1 500 000 EUR, - za naruszenie pozostałych wymogów lub obowiązków wynikających z rozporządzenia przewidziana jest kara do
750 000 EUR.
Postępowanie prowadzone przez EIOD musi w pełni respektować prawa stron do obrony. Instytucjom przysługuje prawo do bycia wysłuchanym, dostęp do akt sprawy, a przy ustalaniu wysokości kary uwzględnia się roczny budżet danej jednostki oraz wdrożone przez nią działania naprawcze.
Kary dla dostawców modeli AI ogólnego przeznaczenia (GPAI)
Szczególny reżim nadzorczy przewidziano dla dostawców modeli sztucznej inteligencji ogólnego przeznaczenia (GPAI). Ze względu na ich potencjał i skalę działania kompetencje do nakładania kar w tym obszarze powierzono bezpośrednio Komisji Europejskiej.
Komisja może nałożyć karę w wysokości do 15 000 000 EUR lub do 3% całkowitego rocznego światowego obrotu z poprzedniego roku, stosując zasadę wyższej kwoty, jeżeli ustali, że dostawca celowo lub wskutek zaniedbania:
- naruszył przepisy rozporządzenia dotyczące modeli GPAI,
- nie dostarczył wymaganych dokumentów lub informacji albo przekazał dane nieprawidłowe i wprowadzające w błąd,
- odmówił udzielenia Komisji dostępu do modelu w celu jego niezależnej oceny,
- nie zastosował się do wcześniej zarządzonych środków naprawczych.
Warto podkreślić, że decyzje Komisji Europejskiej o nałożeniu kar nie mają charakteru ostatecznego. Podlegają one pełnej kontroli sądowej. Trybunał Sprawiedliwości Unii Europejskiej ma w tym zakresie nieograniczoną jurysdykcję i może utrzymać karę w mocy, uchylić ją, obniżyć, a nawet podwyższyć.
Sprawozdawczość i przejrzystość systemu
Aby zapewnić spójność i możliwość oceny skuteczności systemu egzekwowania prawa na poziomie całej Unii, art. 99 ust. 11 oraz art. 100 ust. 7 omawianego rozporządzenia nakładają obowiązki sprawozdawcze. Państwa członkowskie oraz Europejski Inspektor Ochrony Danych muszą co roku przekazywać Komisji Europejskiej szczegółowe raporty. Obejmują one zestawienie wszystkich administracyjnych kar pieniężnych nałożonych w danym roku oraz informacje o związanych z nimi sporach i postępowaniach sądowych. Ma to zapewnić wysoki poziom przejrzystości i umożliwić bieżące monitorowanie praktyki stosowania sankcji na rynku unijnym.
