Doradztwo prawne międzynarodowym firmom technologicznym wymaga analizy przepisów dotyczących wprowadzania oprogramowania na terytorium Unii Europejskiej. Dostawca AI spoza UE na rynku unijnym nie może działać w prawnej próżni, dlatego przepisy nakładają na niego obowiązek ustanowienia lokalnego reprezentanta. Upoważniony przedstawiciel pełni rolę głównego łącznika między zagranicznym twórcą a europejskimi organami nadzoru, dbając o przestrzeganie norm bezpieczeństwa. Wymaga wyjaśnienia, na czym dokładnie polega rola takiego reprezentanta oraz jak formalnie ustanowić takie zastępstwo w świetle wytycznych wynikających z artykułów 22 oraz 54 unijnego rozporządzenia w sprawie AI.
Spis treści
Jak ustanowić upoważnionego przedstawiciela dostawcy AI spoza UE?
Zgodnie z artykułem 22 ust. 1 oraz artykułem 54 ust. 1 Aktu o AI, umocowanie upoważnionego przedstawiciela musi bezwzględnie przybrać sformalizowaną formę pisemnego pełnomocnictwa. Taki dokument stanowi podstawę relacji prawnej i uprawnia reprezentanta do podejmowania konkretnych działań przed europejskimi urzędami. Na żądanie właściwego organu nadzoru przedstawiciel musi niezwłocznie przekazać kopię tego pełnomocnictwa do urzędowej weryfikacji. Organ państwowy ma pełne prawo zażądać dokumentu wcześniej przetłumaczonego na jeden z oficjalnych języków instytucji Unii Europejskiej. Dlatego ważne jest, aby zagraniczni dostawcy z odpowiednim wyprzedzeniem przygotowali właściwe wersje językowe swoich umów, unikając w ten sposób podejrzeń o brak gotowości do współpracy z nadzorem.
Jak ustanowić upoważnionego przedstawiciela dostawcy AI spoza UE?
Ustanowienie reprezentanta na terytorium Unii Europejskiej wyraźnie zmienia sposób komunikacji z organami nadzoru rynku. Zgodnie z przepisami udzielone pełnomocnictwo daje urzędom pełne prawo do tego, aby zwracać się bezpośrednio do upoważnionego przedstawiciela obok albo nawet zamiast do samego zagranicznego dostawcy. Taka konstrukcja prawna oznacza, że lokalny reprezentant ponosi bezpośrednią odpowiedzialność za sprawną komunikację i nie może zasłaniać się brakiem kontaktu ze swoim zagranicznym mocodawcą. Wymaga to bardzo ścisłej i bieżącej współpracy, zwłaszcza w obszarze wymiany danych. Zgodnie z wymogami artykułu 22 omawianego rozporządzenia przedstawiciel musi posiadać techniczne i organizacyjne możliwości natychmiastowego przekazania urzędnikom generowanych automatycznie logów systemowych. Dostawca AI spoza UE na rynku unijnym musi więc z wyprzedzeniem wyposażyć swojego reprezentanta w odpowiednie uprawnienia dostępowe do infrastruktury. Dzięki temu lokalny przedstawiciel będzie mógł bez zbędnej zwłoki zrealizować każdy uzasadniony wniosek dowodowy kierowany przez europejski organ kontrolny.
Systemy AI wysokiego ryzyka i modele GPAI - z jakim organem współpracuje przedstawiciel?
AI Act wprowadza rozróżnienie w zakresie instytucji, z którymi współpracuje upoważniony przedstawiciel, w zależności od klasyfikacji danego oprogramowania. W przypadku wdrażania systemów sztucznej inteligencji wysokiego ryzyka art. 22 rozporządzenia wskazuje na obowiązek bieżącej współpracy z właściwymi organami krajowymi poszczególnych państw członkowskich. Sytuacja prawna wygląda jednak inaczej w odniesieniu do twórców modeli AI ogólnego przeznaczenia (GPAI), których obowiązki uregulowano w odrębnym artykule. W tym przypadku powołany reprezentant współpracuje bezpośrednio ze Urzędem do spraw Sztucznej Inteligencji (AI Office), co ma służyć ujednoliceniu ogólnounijnego nadzoru nad kluczowymi technologiami. Warto jednak pamiętać o bardzo ważnym wyłączeniu przewidzianym dla programistów tworzących otwarte oprogramowanie. Zgodnie z przepisami obowiązek powołania przedstawiciela dla modeli ogólnego przeznaczenia w ogóle nie dotyczy technologii udostępnianej na bezpłatnej licencji open-source, chyba że dany model stwarza na rynku konkretne ryzyko systemowe.
Jak długo przedstawiciel musi przechowywać dokumentację AI?
Decyzja o pełnieniu funkcji upoważnionego przedstawiciela dla zagranicznego dostawcy technologii wiąże się z przyjęciem poważnego, wieloletniego zobowiązania administracyjnego. Zgodnie z dyspozycjami zawartymi w artykułach 22 oraz 54 rozporządzenia na reprezentancie ciąży obowiązek archiwizacji informacji dowodowych. Okres ten wynosi 10 lat od momentu wprowadzenia danego systemu wysokiego ryzyka lub modelu ogólnego przeznaczenia do obrotu w Unii. Przedstawiciel musi przechowywać określony zbiór dokumentów:
- Aktualne dane kontaktowe podmiotu, czyli dostawcy AI spoza UE.
- Kompletną, obszerną dokumentację techniczną stworzonego oprogramowania.
- Pełne kopie unijnych deklaracji zgodności oraz oficjalnie wydanych certyfikatów.
Co bardzo ważne z perspektywy bezpieczeństwa obrotu prawnego, ten dziesięcioletni obowiązek retencji nie wygasa automatycznie wraz z ewentualnym wcześniejszym rozwiązaniem umowy handlowej z producentem.
Kiedy przedstawiciel musi zakończyć współpracę z dostawcą AI?
Pełnienie tak ważnej funkcji nie sprowadza się jedynie do przyjmowania korespondencji, ale wiąże się poniekąd także z aktywnym staniem na straży europejskiego porządku prawnego. Unijny ustawodawca celowo wprowadził do przepisów bezwzględny obowiązek swoistej lojalności wobec prawa, który w sytuacjach kryzysowych stoi ponad zwykłą lojalnością biznesową wobec klienta. Zgodnie z art. 22 ust. 4 oraz art. 54 ust. 5 rozporządzenia w sprawie AI upoważniony przedstawiciel musi wypowiedzieć udzielone mu pełnomocnictwo, jeśli ma realne powody uważać, że dostawca działa w sposób sprzeczny z rozporządzeniem. Ten krok prawny jest bezwzględnie konieczny, gdy zagraniczny producent na przykład świadomie ignoruje wezwania do poprawy bezpieczeństwa, ukrywa poważne incydenty przed opinią publiczną lub odmawia przekazania logów. W takiej sytuacji reprezentant nie może milczeć, lecz ma ustawowy obowiązek poinformowania właściwych organów krajowych lub Urzędu ds. AI o przyczynach wstrzymania współpracy. Ten mechanizm ma na celu skuteczne zapobieganie powstawania tak zwanych biznesowych słupów, zmuszając europejskich przedstawicieli do weryfikowania działań swoich partnerów.
