W pracy z firmami technologicznymi regularnie doradzam, jak prawidłowo uporządkować procesy związane z projektowaniem, wdrażaniem i dokumentowaniem systemów AI. Wdrożenie takiego systemu wymaga odpowiedniej organizacji, a system zarządzania jakością stanowi obecnie jeden z najważniejszych obowiązków dla twórców technologii wysokiego ryzyka. Artykuł 17 rozporządzenia w sprawie sztucznej inteligencji (AI Act) szczegółowo określa, jakie procedury organizacyjne i techniczne dostawca musi obligatoryjnie wdrożyć w swojej firmie. Znaczenie ma tu przede wszystkim to, czy organizacja potrafi jasno opisać swoje procedury, przypisać odpowiedzialność i zintegrować nowe obowiązki z dotychczasowym modelem działania.
Spis treści
Jaką formę musi mieć system zarządzania jakością dostawcy AI
Z perspektywy wymogów art. 17 ust. 1 Aktu o AI, nieformalna organizacja pracy jest zdecydowanie niewystarczająca. System zarządzania jakością musi przyjąć sformalizowaną formę udokumentowanych, pisemnych polityk, procedur oraz szczegółowych instrukcji technicznych. Nakładane wymogi prawne narzucają w tym przypadku szerokie ujęcie, co oznacza konieczność nadzorowania pełnego cyklu życia danego rozwiązania. Wymaga to merytorycznego objęcia regulaminami fazy wczesnych badań, kontrolowania algorytmu w trakcie pisania kodu, a także utrzymania niezbędnych procedur po wprowadzeniu produktu na rynek. Każdy etap wewnętrznego testowania i walidacji musi zostać trwale udokumentowany, aby w razie urzędowej kontroli szybko oraz bezspornie wykazać całkowitą zgodność z obowiązującymi przepisami unijnymi.
Zarządzanie danymi oraz bezpieczeństwo zasobów w świetle AI Act
System zarządzania jakością to nie tylko zbiór formalnej dokumentacji, ale przede wszystkim procedury technologiczne, które warunkują poprawne działanie algorytmów. Zgodnie z art. 17 ust. 1 lit. f) oraz l) rozporządzenia w sprawie sztucznej inteligencji, jednym z kluczowych elementów organizacji jest wdrożenie zasad postępowania z powierzonymi zasobami cyfrowymi. Aby skutecznie ograniczać ryzyko błędów, system zarządzania jakością powinien precyzyjnie regulować następujące obszary:
- jasne zasady pozyskiwania, oznaczania, analizowania, przechowywania i filtrowania danych wykorzystywanych do tworzenia, testowania i przygotowania systemu do użycia;
- zasady zarządzania zasobami technicznymi potrzebnymi do rozwoju i działania systemu, w tym sprzętem, środowiskiem IT oraz ciągłością i bezpieczeństwem dostaw;
- zasady kontroli komponentów i usług pochodzących od podmiotów zewnętrznych, jeżeli mają one wpływ na bezpieczeństwo, dostępność lub zgodność systemu.
Ustawodawca europejski w ramach tych przepisów całkowicie wyklucza możliwość przenoszenia odpowiedzialności za wadliwe komponenty oprogramowania na dostawców zewnętrznych. Egzekwowanie wymienionych ram proceduralnych znacząco podnosi ogólną niezawodność wdrażanego oprogramowania i stanowi przed organami nadzoru najsilniejszy dowód należytej staranności biznesowej.
Odpowiedzialność kierownictwa i personelu w systemie zarządzania jakością
Organizacja musi jasno określić, kto odpowiada za skuteczne egzekwowanie instrukcji technicznych i procedur w codziennej praktyce. Artykuł 17 ust. 1 lit. m) rozporządzenia o sztucznej inteligencji nakłada na dostawców obowiązek ustanowienia ram odpowiedzialności wewnątrz struktury organizacji. Kierownictwo musi jednoznacznie wyznaczyć konkretne osoby z kadry kierowniczej oraz wykwalifikowanego personelu, które będą bezpośrednio odpowiadać za poszczególne działania. Taka przejrzysta struktura gwarantuje, że w sytuacji awarii, na przykład podczas incydentu naruszenia praw, nie dojdzie do rozmycia kompetencji decyzyjnych. Ustawodawca wymaga, aby za poszczególne elementy systemu zarządzania jakością, począwszy od wstępnej analizy ryzyka, aż po politykę danych treningowych, przypisano mierzalną odpowiedzialność personalną. Brak jasno udokumentowanego nadzoru ze strony zarządu spółki lub menedżerów głównego projektu stanowi rażące naruszenie wymogów europejskiego rozporządzenia. Zaniedbania kadrowe w tym obszarze mogą prowadzić do nałożenia na dostawcę sankcji w przypadku ewentualnego audytu organu nadzoru.
Integracja wymogów AI Act z dotychczasowym systemem organizacji
Wdrożenie nowych przepisów unijnych na szczęście nie musi oznaczać budowania wewnętrznych procedur kontrolnych całkowicie od nowa. Zgodnie z art. 17 ust. 3 Aktu o AI, jeśli Twoja organizacja posiada już wdrożone standardy zarządzania jakością, takie jak certyfikat ISO 9001, możesz zintegrować wymogi sztucznej inteligencji z obecnymi procesami. Rozporządzenie systemowo uwzględnia również szczególną specyfikę działalności instytucji z silnie regulowanego sektora finansowego, takich jak banki czy fundusze. Istniejące w tych instytucjach rygorystyczne procedury wewnętrzne uznaje się za spełniające zdecydowaną większość prawnych wymogów dla AI. Należy jednak zawsze pamiętać, że podmioty finansowe nie zostały w żaden sposób zwolnione z obowiązku wdrożenia odrębnego systemu monitorowania zachowania algorytmu po jego wprowadzeniu do komercyjnego obrotu. Odpowiednie połączenie dotychczasowego reżimu z nowymi wymogami cyfrowymi pozwala na utrzymanie pełnej legalności innowacji przy jednoczesnej optymalizacji kosztów audytu.
