Jako prawnik doradzający dostawcom nowych technologii regularnie spotykam się z pytaniem, kiedy system AI podlega obowiązkowi rejestracji w unijnej bazie. Stosowanie przepisów unijnych nie ogranicza się bowiem do przygotowania rozbudowanej dokumentacji, lecz obejmuje również prawidłowe zgłoszenie gotowego produktu przed jego wprowadzeniem do obrotu lub oddaniem do użytku. Artykuł 49 rozporządzenia w sprawie sztucznej inteligencji (AI Act) ustanawia obowiązek rejestracyjny dla ściśle określonych kategorii rozwiązań cyfrowych. Kluczowe znaczenie ma przy tym ustalenie, które systemy podlegają wpisowi, kto ponosi odpowiedzialność za jego dokonanie oraz jakie wyjątki przewidują przepisy. Znajomość tych zasad pozwala legalnie funkcjonować na rynku unijnym i ogranicza ryzyko sporów z organami nadzoru.
Spis treści
Warunek legalnego wprowadzenia systemu do obrotu
Zgodnie z art. 49 ust. 1 Aktu o AI dostawca nie może legalnie wprowadzić do obrotu ani oddać do użytku systemu AI wysokiego ryzyka bez uprzedniego wpisu do unijnej bazy danych. Brak rejestracji oznacza, że produkt nie spełnia formalnych warunków dopuszczenia go do obrotu na rynku Unii Europejskiej. Oznacza to, że proces programowania, testowania i oceny zgodności musi zostać domknięty także od strony rejestracyjnej, poprzez dokonanie właściwego zgłoszenia w systemie unijnym. Dopiero po spełnieniu tego wymogu dostawca może zgodnie z prawem rozpocząć komercyjne udostępnianie systemu odbiorcom. Pominięcie obowiązku rejestracyjnego stanowi istotne naruszenie przepisów i może prowadzić do sankcji oraz działań nadzorczych po stronie właściwych organów.
Kto odpowiada za rejestrację systemu AI w bazie UE
Powszechnie uważa się, że ciężar administracyjny w branży IT spoczywa wyłącznie na samych twórcach technologii, jednak europejskie prawo reguluje tę kwestię znacznie szerzej. Podstawowym podmiotem bezpośrednio zobowiązanym do wpisu jest oczywiście dostawca systemu AI albo ustanowiony przez niego upoważniony przedstawiciel na terytorium Unii. Artykuł 49 ust. 3 Aktu o AI wprowadza również istotne obowiązki informacyjne dla określonych podmiotów stosujących to oprogramowanie. Jeżeli docelowym użytkownikiem algorytmu wysokiego ryzyka jest organ publiczny, instytucja unijna albo podmiot działający w jej imieniu, taka organizacja także musi zarejestrować fakt wykorzystywania technologii.
Niższa kwalifikacja ryzyka a obowiązek wpisu do bazy UE
Istotnym mechanizmem przewidzianym w rozporządzeniu jest procedura dotycząca systemów, które formalnie nie podlegają najsurowszym wymogom. Zgodnie z art. 49 ust. 2 rozporządzenia dostawca ma obowiązek zarejestrować również takie oprogramowanie, w odniesieniu do którego sam uznał, że nie stanowi ono systemu wysokiego ryzyka na podstawie wyjątku z art. 6 ust. 3 rozporządzenia. Oznacza to, że dostawca nie może samodzielnie przyjąć niższej kwalifikacji ryzyka i wprowadzić systemu na rynek bez formalnej rejestracji w unijnej bazie. Taki wpis pełni funkcję kontrolną, ponieważ umożliwia krajowym organom nadzoru weryfikację, czy obniżenie kategorii ryzyka zostało dokonane prawidłowo i na uzasadnionych podstawach.
Jakie wyjątki od centralnej rejestracji przewiduje AI Act
Przepisy o sztucznej inteligencji uwzględniają specyfikę niektórych kluczowych obszarów funkcjonowania państwa, wprowadzając odrębne zasady dla infrastruktury i służb.
Szczególny tryb rejestracji dla systemów infrastruktury krytycznej
Zgodnie z artykułem 49 ust. 5 rozporządzenia w sprawie AI, nie wszystkie wrażliwe technologie trafiają bezpośrednio do bazy w Brukseli. Wyjątek dotyczy systemów zarządzania ruchem drogowym, dostawami czystej wody, gazu czy krajowymi sieciami energetycznymi. Ze względu na ich krytyczne znaczenie dla bezpieczeństwa i ciągłości działania poszczególnych państw członkowskich, prawo nakazuje rejestrować je wyłącznie na poziomie lokalnym.
Szczególna ochrona informacji o systemach używanych przez służby
Zupełnie inny tryb ochrony dotyczy narzędzi wykorzystywanych przez szeroko rozumiane służby mundurowe. Zgodnie z ustępem czwartym omawianego przepisu, systemy używane w obszarach ścigania przestępstw, zarządzania migracją, azylem oraz kontrolą graniczną trafiają wyłącznie do bezpiecznej, niepublicznej sekcji bazy danych UE. Ten szczególny tryb gwarantuje pełną ochronę danych wrażliwych, ponieważ informacje o narzędziach inwigilacji nie mogą być dostępne dla osób postronnych. Do tej bazy danych dostęp mają wyłącznie wybrane organy krajowe oraz przedstawiciele Komisji Europejskiej.
Jawność bazy UE i odpowiedzialność za prawidłowość wpisu
Znaczenie unijnego rejestru nie ogranicza się wyłącznie do realizacji obowiązków administracyjnych. Główna, niezastrzeżona część bazy danych, o której mowa w art. 71 rozporządzenia, ma być co do zasady publicznie i łatwo dostępna dla wszystkich obywateli Unii Europejskiej. Taka przejrzystość ma wzmacniać zaufanie do systemów sztucznej inteligencji, umożliwiając weryfikację narzędzi wykorzystywanych między innymi przy ocenie zdolności kredytowej czy w procesach rekrutacyjnych. Należy jednak pamiętać, że za informacje przekazywane do rejestru odpowiada podmiot dokonujący wpisu, najczęściej dostawca systemu AI. Odpowiedzialność ta obejmuje zarówno prawidłowość, jak i aktualność danych ujawnianych w bazie. Niedbałe traktowanie tego obowiązku może stać się istotnym problemem w toku kontroli rynkowej lub postępowania nadzorczego.
