Jako prawnik doradzający w sprawach związanych z nowymi technologiami, często spotykam się z pytaniami o nowe obowiązki wynikające z unijnego rozporządzenia o sztucznej inteligencji. Wdrażanie innowacyjnych rozwiązań technologicznych przez instytucje wiąże się obecnie z koniecznością przestrzegania bardzo rygorystycznych wymogów prawnych. Jednym z najważniejszych obowiązków, jakie nakłada na określonych użytkowników to rozporządzenie, jest tak zwana ocena skutków systemów AI wysokiego ryzyka dla praw podstawowych. Artykuł 27 aktu o sztucznej inteligencji (AI Act) precyzyjnie określa, w jaki sposób wybrane podmioty muszą analizować ryzyko przed uruchomieniem algorytmów.
Spis treści
Kogo dokładnie dotyczy obowiązek oceny skutków na podstawie art. 27 AI Act?
Przepisy rozporządzenia o sztucznej inteligencji nie nakładają obowiązku przeprowadzenia omawianej oceny na każdego użytkownika, lecz skupiają się na organizacjach pełniących określone funkcje społeczne. Zgodnie z wytycznymi, ocena skutków ryzyka dla systemów AI jest wymagana przede wszystkim od podmiotów stosujących będących podmiotami prawa publicznego. Regulacja ta obejmuje w równej mierze podmioty prywatne, o ile świadczą one usługi publiczne na rzecz obywateli i konsumentów. Ponadto unijne przepisy wskazują na konieczność wykonania takiej oceny przez organizacje wykorzystujące systemy wysokiego ryzyka na przykład w sektorze bankowym czy ubezpieczeniowym. Warto zaznaczyć, że obowiązek ten aktualizuje się bezwzględnie przed pierwszym wykorzystaniem systemu AI wysokiego ryzyka w danej organizacji. Oznacza to z perspektywy prawnej, że cała dogłębna analiza musi zostać przeprowadzona na etapie planowania technologii, a nie dopiero po jej swobodnym uruchomieniu w środowisku produkcyjnym.
Z jakich elementów składa się ocena skutków systemów AI wysokiego ryzyka dla praw podstawowych?
Prawidłowe przeprowadzenie oceny skutków praw podstawowych wymaga od podmiotu stosującego szczegółowego przeanalizowania kilku ściśle określonych obszarów. Ustawodawca unijny wyraźnie wskazał w treści artykułu 27, jakie minimalne informacje muszą znaleźć się w dokumentacji tworzonej przed wdrożeniem oprogramowania. Tworzony dokument musi być wyczerpujący i opierać się na obiektywnej analizie przewidywanego działania sztucznej inteligencji w specyficznym środowisku. Prawidłowe zgromadzenie tych danych pozwala na identyfikację potencjalnych zagrożeń dla praw obywateli i szybkie przygotowanie odpowiednich procedur zapobiegawczych. W ramach przygotowywania takiej rzetelnej oceny każda instytucja musi bezwzględnie udokumentować następujące elementy:
- Opis procesów, w których system AI wysokiego ryzyka będzie wykorzystywany zgodnie z jego pierwotnym przeznaczeniem.
- Określenie przewidywanego okresu oraz częstotliwości wykorzystywania wdrażanego rozwiązania technologicznego.
- Wskazanie konkretnych kategorii osób fizycznych oraz grup, na które funkcjonowanie systemu może mieć jakikolwiek wpływ.
- Wyszczególnienie szczególnego ryzyka szkody dla zidentyfikowanych grup obywateli, z uwzględnieniem informacji technicznych przekazanych przez dostawcę.
- Dokładny opis wdrożenia środków nadzoru ze strony człowieka nad działaniem maszyny, zgodnie z instrukcją obsługi.
- Przewidziane środki zaradcze i mechanizmy organizacyjne w przypadku urzeczywistnienia się ryzyka, w tym zasady wewnętrznego rozpatrywania skarg.
Powiązanie z DPIA, czyli ocena skutków dla ochrony danych (art. 35 RODO)
Wdrażanie zaawansowanych systemów sztucznej inteligencji bardzo często wiąże się z przetwarzaniem sporej ilości danych osobowych, co rodzi konieczność powiązania nowych przepisów z obowiązującym prawem prywatności. Ocena skutków ryzyka dla systemów AI nie funkcjonuje w prawnej próżni i jej ramy muszą ściśle korespondować z wytycznymi dotyczącymi zabezpieczania informacji o osobach fizycznych. Jeśli dana organizacja skutecznie przeprowadziła już ocenę skutków dla ochrony danych, czyli powszechnie znane DPIA wymagane przez art. 35 RODO, to znaczna część wymogów analitycznych mogła zostać już zrealizowana. W takiej optymalnej sytuacji, ocena skutków w zakresie praw podstawowych przewidziana w artykule 27 aktu o sztucznej inteligencji stanowi bezpośrednie uzupełnienie istniejącej już wewnątrz organizacji oceny DPIA. Takie racjonalne podejście europejskiego ustawodawcy zapobiega niepotrzebnemu powielaniu procedur audytowych i pozwala na stworzenie jednej, zintegrowanej dokumentacji z zakresu szeroko pojętego compliance. Dlatego w swojej praktyce doradczej najczęściej rekomenduję, aby procesy analizy ryzyka dla algorytmów oraz ochrony danych osobowych prowadzić zupełnie równolegle, z aktywnym udziałem Inspektora Ochrony Danych pracującego w Państwa strukturach.
Zgłoszenie wyników oceny do organu i aktualizacja dokumentacji
Samo pozytywne zakończenie prac nad dokumentacją wewnętrzną nie oznacza niestety finału obowiązków prawnych spoczywających na podmiocie wdrażającym nowy system sztucznej inteligencji. Bezpośrednio po przeprowadzeniu pełnej oceny skutków w zakresie praw podstawowych, organizacja ma obowiązek powiadomić o jej wynikach właściwy organ nadzoru rynku. Raportowanie to odbywa się poprzez przedłożenie odpowiedniego, zestandaryzowanego wzoru formularza, który docelowo jest udostępniany przez powołany na szczeblu unijnym Urząd do spraw Sztucznej Inteligencji (Urząd ds. AI). Należy jednak zawsze mieć na uwadze, że raz poprawnie sporządzona dokumentacja analityczna nie zachowuje swojej ważności bezterminowo. Jeżeli w trakcie codziennego wykorzystywania systemu sztucznej inteligencji użytkownik zauważy, że którykolwiek z uprzednio analizowanych czynników uległ modyfikacji lub się zdezaktualizował, prawo wymaga podjęcia niezbędnych kroków w celu pilnej aktualizacji zebranych informacji. Na sam koniec warto jednak dodać, że podmioty publiczne mogą bezpiecznie polegać na wcześniej sporządzonych przez siebie raportach w sytuacjach, w których wdrażają kolejne systemy algorytmiczne o bardzo podobnym i pokrewnym zastosowaniu.
Art. 27 Aktu o AI: Kompletny przewodnik po ocenie skutków dla praw podstawowych
Jako prawnik obserwujący dynamiczny rozwój technologii, dostrzegam, że wejście w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, znanego jako Akt o AI, rewolucjonizuje podejście do odpowiedzialnego wdrażania algorytmów. Kluczowym elementem tej rewolucji jest proces Fundamental Rights Impact Assessment (FRIA), czyli ocena skutków dla praw podstawowych, która staje się fundamentem etycznej cyfryzacji. Moim celem w tym artykule jest wyjaśnienie, dlaczego ten mechanizm jest niezbędny dla ochrony godności ludzkiej, prywatności oraz zasady równości w dobie powszechnej automatyzacji procesów decyzyjnych. Uważam, że zrozumienie art. 27 Aktu o AI pozwoli Państwu nie tylko na wypełnienie obowiązków regulacyjnych, ale przede wszystkim na budowanie transparentnych relacji z obywatelami i klientami. W dobie algorytmizacji, rzetelna analiza ryzyka jest najlepszym sposobem na minimalizację negatywnych skutków społecznych, jakie mogą generować systemy wysokiego ryzyka.
Zakres podmiotowy – Kogo dotyczy obowiązek przeprowadzania oceny skutków dla praw podstawowych?
Obowiązek przeprowadzenia oceny skutków na podstawie art. 27 Aktu o AI nie jest powszechny, lecz dotyczy specyficznej grupy podmiotów stosujących systemy sztucznej inteligencji. W swojej praktyce doradczej podkreślam, że w pierwszej kolejności są to organy publiczne oraz podmioty prywatne świadczące usługi publiczne, które planują wdrożyć systemy wysokiego ryzyka. Do tej grupy zaliczamy również instytucje działające w sektorach kluczowych dla życia obywateli, takich jak bankowość (ocena zdolności kredytowej) czy ubezpieczenia (wycena ryzyka i ustalanie składek), zgodnie z załącznikiem III pkt 5 lit. b) i c). Należy jednak pamiętać o istotnym wyłączeniu, które dotyczy systemów AI przeznaczonych do stosowania w obszarze infrastruktury krytycznej, wymienionych w pkt 2 załącznika III. Moim zdaniem precyzyjne ustalenie, czy Państwa organizacja wpisuje się w ten zakres, jest pierwszym i najważniejszym krokiem w procesie zapewniania zgodności z nowym prawem unijnym.
Sześć filarów rzetelnej oceny według art. 27 ust. 1 Aktu o AI
Zgodnie z literą prawa, prawidłowo przeprowadzona ocena skutków musi być procesem wielowymiarowym i udokumentowanym w sposób niebudzący wątpliwości. Art. 27 ust. 1 nakłada na podmioty stosujące obowiązek przeanalizowania sześciu kluczowych obszarów przed faktycznym uruchomieniem technologii. W mojej ocenie, rzetelne podejście do tych filarów pozwala uniknąć wielu problemów prawnych i wizerunkowych w przyszłości. Poniżej przedstawiam strukturę, którą powinna posiadać każda analiza FRIA:
- Opis procesów operacyjnych: Należy dokładnie określić, w jakich konkretnych zadaniach system AI będzie wspierał organizację i jaki jest jego cel zgodny z przeznaczeniem.
- Ramy czasowe i częstotliwość: Dokumentacja musi zawierać informacje o tym, jak długo i jak często system będzie wykorzystywany w codziennej pracy podmiotu.
- Identyfikacja grup osób narażonych: Konieczne jest wskazanie kategorii osób fizycznych (np. mniejszości, pracownicy, pacjenci), na które działanie algorytmu może mieć realny wpływ.
- Analiza specyficznych ryzyk szkód: Należy ocenić ryzyko wystąpienia dyskryminacji lub naruszenia praw, korzystając przy tym z informacji technicznych dostarczonych przez producenta (art. 13 Aktu o AI).
- Opis nadzoru ludzkiego: Kluczowe jest wskazanie, w jaki sposób człowiek będzie kontrolował procesy decyzyjne AI (model human-in-the-loop), zgodnie z instrukcją obsługi systemu.
- Plan reagowania i mechanizmy naprawcze: Instytucja musi posiadać gotowe procedury na wypadek urzeczywistnienia się ryzyk, w tym jasną ścieżkę rozpatrywania skarg od osób dotkniętych decyzją AI.
Relacja między FRIA a RODO - Jak efektywnie łączyć procedury?
Wielu moich klientów obawia się nadmiaru obowiązków dokumentacyjnych, dlatego warto zwrócić uwagę na brzmienie art. 27 ust. 4 Aktu o AI, który reguluje relację z RODO. Przepis ten wyjaśnia, że jeśli dany podmiot przeprowadził już ocenę skutków dla ochrony danych (DPIA) na podstawie art. 35 RODO, to FRIA powinna stanowić jej merytoryczne uzupełnienie. W praktyce oznacza to, że nie muszą Państwo tworzyć dwóch całkowicie odrębnych i niezależnych dokumentów, co jest wyrazem racjonalności ustawodawcy. Z mojego doświadczenia wynika, że integracja obu procesów pozwala na głębszą analizę przepływu danych oraz ryzyk dla prywatności, które są nierozerwalnie związane z prawami podstawowymi. Rekomenduję, aby zespół odpowiedzialny za ochronę danych ściśle współpracował z działem IT i oficerami ds. zgodności przy tworzeniu wspólnej matrycy ryzyk dla systemów sztucznej inteligencji.
Procedura zgłoszenia wyników i rola Urzędu ds. AI
Po zakończeniu procesu analizy, podmiot stosujący ma obowiązek powiadomić organ nadzoru rynku o wynikach przeprowadzonej oceny przed wdrożeniem systemu. Warto wiedzieć, że proces ten zostanie ułatwiony dzięki pracom Urzędu ds. AI (AI Office), który zgodnie z art. 27 ust. 5 ma opracować ujednolicony wzór kwestionariusza. Dokument ten będzie mógł przybrać formę zautomatyzowanego narzędzia, co znacznie obniży próg wejścia dla mniejszych podmiotów realizujących zadania publiczne. Należy jednak pamiętać, że samo zgłoszenie nie zdejmuje z Państwa odpowiedzialności za stałe monitorowanie poprawności działania algorytmu. Moim zadaniem jako eksperta jest przypominanie, że zgłoszenie jest jedynie punktem wyjścia do stałego procesu zarządzania ryzykiem wewnątrz organizacji.
Praktyczne aspekty aktualizacji oceny skutków (FRIA)
Zgodnie z art. 27 ust. 2 AI Act, ocena skutków nie jest dokumentem „raz na zawsze”, lecz wymaga regularnej weryfikacji i dostosowywania do zmieniających się okoliczności. Jeśli w trakcie eksploatacji systemu zauważą Państwo, że parametry techniczne uległy zmianie lub pierwotnie zidentyfikowane grupy ryzyka się rozszerzyły, konieczna jest niezwłoczna aktualizacja dokumentacji. Prawo dopuszcza jednak sytuację, w której przy wdrażaniu podobnych systemów można opierać się na wcześniej przeprowadzonych ocenach, co stanowi spore ułatwienie operacyjne. Wierzę, że podejście procesowe do art. 27 Aktu o AI jest najlepszą drogą do zapewnienia trwałości i bezpieczeństwa wdrożonych innowacji. Stała czujność i gotowość do rewizji założeń analitycznych to w mojej opinii cecha nowoczesnych i odpowiedzialnych instytucji.
Podsumowanie i znaczenie zgodności (compliance)
Podsumowując, art. 27 Aktu o AI wprowadza wysokie standardy ochrony prawnej, które mają na celu budowanie zaufania obywateli do technologii cyfrowych. Compliance w tym zakresie nie powinien być postrzegany jako ciężar, lecz jako inwestycja w stabilność i bezpieczeństwo prawne Państwa organizacji. Przeprowadzenie rzetelnej oceny skutków dla praw podstawowych pozwala uniknąć dotkliwych kar finansowych oraz chroni przed potencjalnymi roszczeniami ze strony osób trzecich. Jako prawnik zachęcam do traktowania tych wymogów jako szansy na uporządkowanie procesów wewnętrznych i wzmocnienie kultury etycznej w cyfrowym świecie. Pamiętajmy, że za każdym algorytmem stoi człowiek, a prawo ma za zadanie dbać o to, by technologia służyła wspólnemu dobru bez naruszania naszych podstawowych wolności.
Checklista compliance (Art. 27 Aktu o AI):
- Weryfikacja statusu: Czy jesteśmy organem publicznym lub podmiotem świadczącym usługi publiczne?
- Klasyfikacja AI: Czy wdrażany system kwalifikuje się jako system wysokiego ryzyka (np. bankowość, ubezpieczenia)?
- Integracja z RODO: Czy posiadamy aktualne DPIA, które możemy uzupełnić o wymogi z art. 27 Aktu o AI?
- Analiza 6 filarów: Czy opisaliśmy procesy, czas stosowania, grupy ryzyka, środki nadzoru i mechanizmy skargowe?
- Kontakt z dostawcą: Czy uzyskaliśmy od dostawcy niezbędne informacje techniczne zgodnie z art. 13?
- Zgłoszenie: Czy przygotowaliśmy powiadomienie dla organu nadzoru rynku przed uruchomieniem systemu?
