Sztuczna inteligencja dynamicznie zmienia świat, ale czy rozwija się w sposób bezpieczny? AI Act (akt w sprawie sztucznej inteligencji) to pierwsze kompleksowe podejście do regulacji sztucznej inteligencji. Pierwsze regulacje AI Act weszły w życie już 2 lutego 2025 roku.
Czy nowe regulacje ograniczą innowacyjność, czy wręcz przeciwnie – stworzą bezpieczne ramy dla rozwoju tej technologii? Poniżej omówimy kluczowe założenia AI Act oraz to jak przedsiębiorstwa powinny przygotować się na nadchodzące zmiany oraz odpowiemy na pytanie, jak korzystać w bezpieczny sposób z chatbotów, czy zaawansowanych modeli językowych AI, takich jak popularny ChatGPT.
Kogo obejmuje AI Act?
AI Act (pełna nazwa: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828) to kompleksowe unijne rozporządzenie regulujące wprowadzanie do obrotu, oddawanie do użytku oraz wykorzystywanie systemów sztucznej inteligencji na terenie Unii Europejskiej. Co istotne, jego przepisy mają zastosowanie nie tylko do podmiotów zarejestrowanych na terenie UE, ale także do firm spoza UE, jeśli ich systemy AI są stosowane w Unii. Oznacza to, że dostawcy z krajów trzecich nie będą mogli omijać regulacji, jeśli chcą, aby ich modele były wykorzystywane przez użytkowników w Europie.
Kto podlega AI Act?
– podmioty, które opracowują systemy AI lub zlecają ich opracowanie, a następnie wprowadzają je na rynek UE, niezależnie od tego, czy mają siedzibę w Unii, czy poza jej granicami;
– osoby fizyczne lub prawne korzystające z systemów AI na terenie Unii.
Kogo nie obejmuje AI Act?
– jeśli rozwój technologii ma charakter badawczy, nie podlega restrykcjom;
– AI Act nie reguluje narzędzi stosowanych w sektorze obronnym;
– jeśli ktoś korzysta z AI wyłącznie do celów osobistych, rozporządzenie go nie obowiązuje.
Poziomy ryzyka według AI Act – jakie obowiązki czekają firmy i użytkowników AI?
Unia Europejska w ramach AI Act wprowadza podejście oparte na analizie ryzyka, które klasyfikuje systemy sztucznej inteligencji według ich potencjalnego wpływu na bezpieczeństwo użytkowników. W zależności od stopnia ryzyka, jakie niesie dany system, nałożone są różne obowiązki – od całkowitego zakazu, aż po minimalne wymagania w zakresie przejrzystości.
Aby ułatwić zrozumienie tych zasad, przygotowaliśmy tabelę, w której znajduje się podział systemów AI według stopnia ryzyka oraz obowiązki, jakie wiążą się z ich stosowaniem.
Kiedy i jakie przepisy AI Act wchodzą w życie?
Przepisy AI Act będą wdrażane stopniowo. Zasadą jest że rozporządzenia wchodzi w życie 2 sierpnia 2026 roku, jednak pierwsze regulacje zaczęły obowiązywać już 2 lutego 2025 roku. Pełne wdrożenie będzie jednak rozłożone w czasie:
- 2 lutego 2025 roku – na tym etapie weszły w życie głównie przepisy ogólne oraz regulacje dotyczące praktyk zakazanych, o których wspomnieliśmy powyżej,
- 2 sierpnia 2025 roku – wejdą w życie przepisy dotyczące obowiązków w zakresie systemów AI ogólnego przeznaczenia oraz obowiązków z tym związanych,
- 2 sierpnia 2027 roku – wejdą w życie ostatnie przepisy dotyczące klasyfikacji systemów AI wysokiego ryzyka.
Zakazane praktyki AI zgodnie z AI Act – obowiązujące od 2 lutego 2025 roku
Już 2 lutego 2025 roku weszły w życie przepisy AI Act, które zakazują stosowania określonych praktyk – najbardziej ryzykownych systemów sztucznej inteligencji. Wśród nich znalazły się m.in.:
– technologie wykorzystujące podprogowe techniki lub celowo wprowadzające użytkowników w błąd, np. chatboty udające ludzi w celu wyłudzenia danych
– systemy analizujące podatność osób (np. dzieci, seniorów) na manipulację, np. aplikacje nakłaniające dzieci do nadmiernych zakupów w grach
– podobne do chińskiego „social credit system”, gdzie AI ocenia obywateli na podstawie ich zachowania i interakcji
– systemy oceniające prawdopodobieństwo popełnienia przestępstwa na podstawie analizy danych, co może prowadzić do profilowania rasowego
– np. Clearview AI, które zbierało zdjęcia ludzi bez ich zgody w celu identyfikacji,
– np. AI klasyfikujące ludzi na podstawie cech fizycznych (rasa, płeć) do celów analizy i segregacji
Jak AI Act wpłynie na przedsiębiorców?
AI Act to pierwsze kompleksowe unijne rozporządzenie dotyczące sztucznej inteligencji, które znacząco wpłynie na przedsiębiorców rozwijających systemy AI. Podmioty, zwłaszcza software house’y, będą musiały dostosować się do nowych regulacji i przede wszystkim:
Zidentyfikować systemy AI i swoją rolę w łańcuchu dostaw
Jednym z kluczowych wymogów AI Act jest konieczność określenia, czy dany produkt lub usługa kwalifikuje się jako system sztucznej inteligencji. Przedsiębiorcy będą zobowiązani do ustalenia:
- Czy ich oprogramowanie spełnia definicję systemu AI?
- Jaką pełnią rolę w łańcuchu dostaw – czy są dostawcami, czy użytkownikami systemu?
- Czy system należy do kategorii wysokiego ryzyka zgodnie z klasyfikacją AI Act?
- Czy nie stosuje zakazanych praktyk, np. manipulacji poznawczej czy biometrycznej identyfikacji w czasie rzeczywistym?
Spełnić nowe obowiązki w zakresie dokumentacji i zarządzenia ryzykiem
Podmioty tworzące systemy AI, zwłaszcza te wysokiego ryzyka, będą musiały opracować szczegółową dokumentację wewnętrzną oraz procedury zarządzania ryzykiem. Kluczowe wymagania obejmują:
- Stworzenie kompletnej dokumentacji technicznej opisującej działanie i cele systemu AI,
- Prowadzenie rejestru zdarzeń,
Opracowanie procedur zarządzania ryzykiem, monitorowania i zapewnienia zgodności z regulacjami.
Jak przygotować firmę na AI Act?
Aby dostosować się do nowych regulacji, przedsiębiorcy powinni:
- Zidentyfikować systemy AI i określić ich kategorię ryzyka.
- Przygotować procedury wewnętrzne do zarządzania dokumentacją i ryzykiem.
- Zapewnić transparentność działania systemów AI.
- Monitorować zmiany w przepisach i aktualizować polityki wewnętrzne.
Nieprzestrzeganie przepisów AI Act może prowadzić do surowych sankcji finansowych. Nieprzestrzeganie zakazu praktyk w zakresie AI, podlega administracyjnym karom pieniężnym w wysokości nawet do 1 500 000 EUR.
ChatGPT a AI Act – czego nie udostępniać chatbotom, aby chronić swoje dane?
Sztuczna inteligencja staje się coraz bardziej powszechna w naszym codziennym życiu, a jej wpływ jest szczególnie widoczny w przypadku chatbotów, takich jak ChatGPT. W świetle regulacji AI Act chatboty należą do systemów sztucznej inteligencji o ograniczonym ryzyku. Niezależnie od AI Act ich użytkowanie wymaga przede wszystkim świadomego podejścia i znajomości podstawowych zasad ochrony danych. Do chatbotów nie należy wprowadzać informacji dotyczących przede wszystkim:
- Danych osobowych – imię, nazwisko, adres zamieszkania, numer telefonu, e-mail, PESEL, numer dowodu osobistego.
- Poufnych danych firmowych – strategii biznesowych, wewnętrznych procedur, informacji o klientach i kontrahentach.
- Danych logowania i finansowych – haseł, kodów PIN, numerów kont bankowych, kart kredytowych.
- Informacji medycznych i zdrowotnych – szczególnie tych dotyczących stanu zdrowia czy historii leczenia.
Aby unikać zagrożeń, warto stosować zasadę „nie udostępniaj niczego, czego nie powiedziałbyś w publicznej rozmowie”.
Nasza kancelaria wspiera przedsiębiorców w dostosowaniu się do AI Act, zapewniając pełne wsparcie prawne w zakresie zgodności systemów AI z nowymi regulacjami.
Specjalizacje w tym wpisie:
Zobacz także:
Umowa wdrożenia oprogramowania bez pułapek – jak zabezpieczyć…
Wdrożenie oprogramowania to nie tylko kod, to także dobrze skonstruowana umowa, która chroni interesy obydwu stron. Zamawiający chce jasnych zasad i…
Od hasła do odcisku palca: Jak działają nowoczesne…
Rozwój technologii płatniczej umożliwił nam błyskawiczne zlecanie płatności bez konieczności odwiedzania placówek bankowych. Ta rewolucyjna zmiana wiąże się jednak z ryzykiem…
Czym jest DORA i co reguluje? Szczegółowe wprowadzenie…
W dynamicznie rozwijającym się cyfrowym świecie, technologia stała się nieodłącznym elementem sektora finansowego. Wraz z postępującą cyfryzacją, pojawiają się nowe zagrożenia…
- Radca prawny
Jestem radcą prawnym, specjalizującym się w szerokim zakresie usług prawnych z obszaru cyberbezpieczeństwa, w tym w doradztwie w zakresie wdrażania procedur bezpieczeństwa i zgodności z regulacjami, takimi jak NIS2 czy DORA. Pomagam firmom budować skuteczne strategie ochrony danych i reagowania na incydenty, dbając o ich stabilność i bezpieczeństwo w obliczu rosnących zagrożeń cybernetycznych.
Obszary specjalizacji:
Cyberbezpieczeństwo
Wdrażanie procedur bezpieczeństwa
Zgodność z regulacjami (NIS2, DORA)
Zarządzanie ryzykiem
Audyty prawne
Ochrona danych