Nowy unijny przymus od 2 sierpnia. Jak uniknąć kary?

Rozporządzenie Artificial Intelligence Act nie jest dokumentem nowym – Parlament Europejski przegłosował go wiosną 2024 roku, kilka miesięcy później został opublikowany w dzienniku urzędowym Komisji Europejskiej. Od tego czasu wdrażane są kolejne przepisy dot. ram regulacyjnych dla rozwoju i użytkowania tzw. sztucznej inteligencji na terenie Wspólnoty. Co warto o nich wiedzieć?

Po co nam AI Act, czyli Akt o sztucznej inteligencji?

Wypada zacząć od tego, czym jest AI Act i po co ów dokument opracowano. Komisja Europejska tłumaczy na swoich stronach internetowych, że to pierwsze w historii kompleksowe ramy prawne dot. SI. Kwestią dyskusyjną będzie pewnie to, czy umożliwią one państwom członkowskim odgrywanie wiodącej roli w globalnym wyścigu o prymat w sektorze sztucznej inteligencji, jak chcą to przedstawiać unijni urzędnicy. Ale jest całkiem prawdopodobne, że przepisy pozwolą uporządkować ów rozwój.

Akt w sprawie sztucznej inteligencji (rozporządzenie 2024/1689) ma sprawić, że Europejczycy będą mieli zaufanie do tego, co oferuje SI. Przepisy usuwają lub przynajmniej minimalizują ryzyka i zagrożenia związane z rewolucją technologiczną, która dzieje się na naszych oczach. By po kilku latach nie okazało się, że nad prężnie rozwijającym się sektorem gospodarki czuwał nikt, a skutki tego są opłakane i mocno uderzają w społeczeństwo. Chociaż można już teraz założyć, że pojawią się głosy krytyczne, wskazujące na nadmierną biurokrację i spowalnianie czy wręcz uśmiercanie innowacji. 

Nowe prawo wdrażane jest stopniowo

Przepisy zawarte w AI Act nie są wdrażane zbiorczo – cały proces rozbito na kilka lat, by ułatwić dostosowanie się do nowego prawa firmom oraz instytucjom. Przykładowo od lutego 2025 roku obowiązuje artykuł 5 rozporządzenia. Opisano w nim zakazane praktyki w zakresie SI. Na liście znaleźć można m.in. wykorzystywania systemów tzw. sztucznej inteligencji, stosujących techniki manipulacyjne lub podprogowe, jeśli celem jest zmiana zachowania osoby lub grupy i podjęcie decyzji, których w normalnych warunkach by nie podjęto. 

Zakazano też używania systemów, które wykorzystują słabości osoby czy grupy ze względu na wiek, sytuację społeczną lub ekonomiczną, niepełnoprawność. Oczywiście pod warunkiem, że wiąże się to z ryzykiem wyrządzenia szkody tym odbiorcom. W myśl tych przepisów nie można też tworzyć baz danych służących np. rozpoznawaniu twarzy, jeśli wizerunki zostały pozyskane z telewizji przemysłowej. Podobnie jest z określaniem emocji osoby fizycznej w miejscu pracy czy szkole, a także wykorzystywaniem danych biometrycznych. 

Tych zakazów jest sporo, zostały one dość jasno opisane, istnieją od nich wyjątki, by nie marnować potencjału, który może się przysłużyć społeczeństwu. Zdecydowanie nie jest zatem tak, że UE wszystkiego zakazuje, bo boi się SI. 

Niespełna rok temu w życie weszły przepisy regulujące kwestie modeli SI ogólnego przeznaczenia. Określono czym one są, jak należy je klasyfikować, opisano procedurę, której muszą się trzymać podmioty wdrażające narzędzia tego typu. W dokumencie wskazano też np. obowiązki dostawców modeli SI ogólnego przeznaczenia. Wśród nich jest m.in. tworzenie i aktualizowanie dokumentacji technicznej modelu. Dotyczy to np. procesu trenowania i testowania rozwiązań.

Co przyniesie AI Act 2 sierpnia 2026 roku?

Powyższe przepisy już obowiązują. Czego należy się spodziewać wraz z wdrażaniem kolejnych części AI Act? W wielkim skrócie można to ująć w następujący sposób:

2 sierpnia 2026 roku zaczynają obowiązywać kolejne przepisy AI Act, w szczególności dotyczące obowiązków transparentności dla określonych systemów sztucznej inteligencji. Oznacza to m.in. obowiązek informowania użytkowników, gdy wchodzą w interakcję z AI lub mają do czynienia z treściami wygenerowanymi bądź zmodyfikowanymi przez sztuczną inteligencję. Na nowe regulacje powinny przygotować się przede wszystkim firmy technologiczne, HR oraz przedsiębiorcy wykorzystujący AI w obsłudze klienta, marketingu, mediach i tworzeniu treści cyfrowych, a także wszyscy dostawcy i użytkownicy systemów objętych obowiązkami wynikającymi z AI Act. Dodatkowo, obowiązywać zaczną przepisy dotyczące systemów AI wysokiego ryzyka. Przepisy te nakładać będą obowiązki przede wszystkim na dostawców takich systemów, ale w niektórych przypadkach, na przykład jeśli systemy te będą wykorzystywane niezgodnie z instrukcjami dostawcy, część obowiązków obowiązywała będzie również klientów tych dostawców

Na obecnym etapie najbardziej interesuje nas artykuł 50 opisywanego rozporządzenia. Są to „Obowiązki w zakresie przejrzystości dla dostawców i podmiotów stosujących niektóre systemy AI”. Należy przyjrzeć im się bliżej.

Punkt pierwszy dotyczy systemów sztucznej inteligencji „przeznaczonych do wchodzenia w bezpośrednią interakcję z osobami fizycznymi”. Ich dostawcy mają zagwarantować, że użytkownicy będą informowani o fakcie komunikowania się z SI. W praktyce oznacza to np., że klient banku, który zechce skontaktować się z tą instytucją, musi mieć świadomość, iż prowadzi konwersację z botem, jeśli to z nim rozwiązuje swój problem. To samo dotyczy także innych firm czy instytucji. Wyjątek? Warto zacytować fragment rozporządzenia:

Obowiązek ten nie ma zastosowania do systemów AI, których wykorzystywanie jest dozwolone na mocy prawa do celów wykrywania przestępstw, przeciwdziałania im, prowadzenia postępowań przygotowawczych w ich sprawie lub ścigania ich sprawców, z zastrzeżeniem odpowiednich zabezpieczeń w zakresie praw i wolności osób trzecich, chyba że systemy te udostępnia się ogółowi społeczeństwa na potrzeby składania zawiadomień o popełnieniu przestępstwa.

Jeden z punktów dotyczy „systemów rozpoznawania emocji lub systemów kategoryzacji biometrycznej”. Wykorzystujące je podmioty muszą informować osoby fizyczne o stosowaniu tych rozwiązań. Konieczne jest też właściwe przetwarzanie danych osobowych. Przepisy wskazują również, kiedy te obowiązki nie mają zastosowania – ponownie mowa jest np. o wykrywaniu przestępstw.

Deepfake musi być odpowiednio oznaczony

Kolejny punkt dotyczy dostawców systemów AI generujących treści (tekst, obrazy, audio i wideo). Ich obowiązkiem jest zapewnienie, by materiały tworzone z pomocą tzw. sztucznej inteligencji były odpowiednio oznakowane. Odbiorca powinien być świadomy, z czym ma do czynienia. I tu dochodzimy do ważnej kwestii: jeden z punktów mówi wyraźnie, że ten obowiązek dotyczy nie tylko dostawców rozwiązań SI, ale też podmiotów, które je stosują do generowania treści.

Dotyczy to w szczególności produktów zmanipulowanych oraz tzw. deepfake’ów. Jak rozumiane są te ostatnie? Rzućmy okiem do rozporządzenia:

Deepfake oznacza wygenerowane przez AI lub zmanipulowane przez AI obrazy, treści dźwiękowe lub treści wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia, które odbiorca mógłby niesłusznie uznać za autentyczne lub prawdziwe.

Kto musi zwrócić uwagę na zapisy AI Act?

Po 2 sierpnia trzeba zatem oznaczać treści, które mogą uchodzić za autentyczne, ale zostały stworzone z pomocą SI. W ramach przykładu można sobie wyobrazić tekst dziennikarski, do którego dołączono grafikę wyprodukowaną z pomocą AI. Powiedzmy, że przedstawia ona znanego polityka w szyderczym uśmiechu na tle zamykanej fabryki. To trzeba odpowiednio oznaczyć. A jeśli ów polityk będzie siedział za sterami promu kosmicznego i machał do tłumu, też trzeba wytłumaczyć odbiorcom, że mają do czynienia z nieautentyczną grafiką. 

Nowe prawo nie będzie obowiązywać wyłącznie dziennikarzy, szerzej pracowników mediów. O zmianach w prawie powinni wiedzieć np. ludzie odpowiedzialni za marketing. Jeśli stworzą oni z pomocą SI grafiki, które trafią np. do mediów społecznościowych i będą promować buty, samochody czy napoje, konieczne będzie oznaczenie. Influencer przygotował miniaturkę do swojego filmu na YouTube i zmajstrował ją przy pomocy SI? To też trzeba oznaczyć.

W tym miejscu warto zaznaczyć istotną kwestię. Być może ktoś dojdzie do wniosku, że odpowiedzialność za wrzucenie nieoznakowanej grafiki SI poniesie platforma społecznościowa: Instagram, YouTube czy Facebook. Otóż nie – to na podmiocie stosującym narzędzia tzw. sztucznej inteligencji spoczywa obowiązek informacyjny. Jeśli grafikę wykonujemy na czyjeś zlecenie, to i tak my musimy zaznaczyć, że to dzieło SI.

Sektorem, w którym trzeba będzie pamiętać o nowych przepisach, jest także handel internetowy. Serwisy e-commerce pełne są dzisiaj grafik, które przedstawiają rzekomo sprzedawany produkt, ale w rzeczywistości są podrasowane lub w pełni stworzone z pomocą SI. W myśl wdrażanego prawa nadal będzie można to robić. Ale konieczne będzie właściwe oznaczenie takich tworów. Klient musi wiedzieć, co kupuje. Jeśli sieć sklepów stacjonarnych poprawi w swoich gazetkach reklamowych wygląd mięsa czy owoców, również musi to właściwie zakomunikować konsumentom. Tak samo sprawa wygląda np. w przypadku deweloperów prezentujących wizualizacje mieszkań. Jeśli powstały z pomocą SI, trzeba to zaznaczyć.

Mowa była już o grafikach, ale trzeba pamiętać, że na nich sprawa się nie kończy. W artykule 50 AI Act znaleźć można taki zapis:

Podmioty stosujące system AI, który generuje tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym lub manipuluje takim tekstem, ujawniają, że tekst został sztucznie wygenerowany lub zmanipulowany. 

Są od tego wyjątki. Jednym z nich jest przywoływane już wykrywanie przestępstw. Druga sytuacja zakłada, że treść wygenerowana przez SI została zweryfikowana przez człowieka, a za publikację odpowiedzialność ponosi osoba fizyczna lub prawna.

Jak oznaczać AI wedle nowych przepisów?

W poprzednich akapitach pisałem o właściwym oznaczaniu. Ale na czym ono polega? W jaki sposób dziennikarz, marketingowiec czy jutuber mają dawać znać odbiorcom, że używali SI?

AI Act nie wprowadza jednego, obowiązkowego oznaczenia deepfake'ów obowiązującego wszystkich. Przepisy wymagają natomiast, aby odbiorca był w jasny i jednoznaczny sposób poinformowany, że obraz, nagranie lub materiał wideo został wygenerowany lub zmodyfikowany przy użyciu sztucznej inteligencji. Może to oznaczać np. odpowiednią adnotację przy publikowanym materiale. Komisja Europejska opublikowała również dobrowolny Kodeks dobrych praktyk, który ma ułatwić przedsiębiorcom spełnienie tych obowiązków

Unijni urzędnicy przygotowali zestaw ikon, którymi można oznaczać treści przygotowane częściowo lub w całości przez SI. Można się z nimi zapoznać (i pobrać) pod tym adresem. To np. napisy "AI Generated" lub "AI Modified". Udostępniono je bezpłatnie i nie jest konieczne przypisywanie autorstwa KE. Podkreślić należy ikonami trzeba oznaczać nie tylko grafiki, ale także teksty czy materiały wideo, jeśli zostały wygenerowane z pomocą SI i wpisują się w powyższą narrację. 

Używane symbole powinny być widoczne, należy w nich stosować prosty język i unikać żargonu. W miejscu, w którym występuje ikona SI/AI nie mogą się pojawiać inne elementy, które utrudnią jej odczytanie. Jeśli oznaczenie ma zniknąć (np. w filmie), najpierw powinno być widoczne na tyle długo, by odbiorca mógł zapoznać się z jego treścią. Istotne jest też to, że taki symbol musi być widoczny najpóźniej w momencie pierwszego kontaktu z treścią deepfake. Chowanie go w miejscu trudno dostępnym może się skończyć kłopotami. 

Wiadomo już, kiedy oznaczenia muszą być stosowane. A co z odstępstwami? Otóż obowiązek nie ma zastosowania, jeśli celem było wykrycie przestępstwa czy ściganie sprawców – ten wątek się powtarza. Kolejnym przypadkiem są treści o charakterze wyraźnie artystycznym, satyrycznym czy fikcyjnym. Tu jednak ważna uwaga – tłumaczenie, że np. reklama była dziełem artystycznym może nie wystarczyć. Ale autor wygenerowanej grafiki nie musi jej oznaczać symbolem AI, jeśli przedstawia jednorożca, kosmitów czy bohaterów kreskówek. W tych przypadkach odbiorca powinien się domyślić, że ma do czynienia z czymś zmyślonym.

Kluczowe jest to, że AI Act nie patrzy na stanowisko, ale na sposób i cel użycia technologii. Dla dziennikarzy, marketingowców i influencerów głównym obowiązkiem po 2 sierpnia jest przejrzystość - jeśli publikują realistyczny wizerunek, wideo czy tekst stworzony przez AI, muszą jasno powiadomić o tym odbiorców. W e-commerce klient od razu musi wiedzieć, że pisze z chatbotem. Z kolei dla działów HR zmiana jest fundamentalna, bo narzędzia AI do rekrutacji trafiają do kategorii wysokiego ryzyka - firma musi przeprowadzić ocenę ryzyka, poinformować kandydata o użyciu algorytmu i zapewnić, że ostateczną decyzję zawsze podejmuje człowiek

Ktoś może się teraz zastanawiać: a jak to będzie wyglądać w przypadku treści, które wrzucę jako osoba prywatna na swoje profile w mediach społecznościowych? 

Osoby prywatne publikujące treści wygenerowane przez AI na swoich osobistych kontach w social mediach nie muszą ich oznaczać, jeśli nie robią tego w związku z działalnością zawodową lub w ramach działalności publicznej, np. politycznej. AI Act zwalnia z tego obowiązku działania czysto prywatne oraz pozazawodowe. Obowiązek ten spoczywa na dostawcach technologii AI oraz podmiotach wykorzystujących ją komercyjnie lub zawodowo

Co to oznacza w praktyce? Jeśli ktoś na prywatnym profilu np. na Facebooku umieści wygenerowaną z pomocą SI grafikę, na której grilluje na Marsie, to nie musi jej oznaczać. Podobnie będzie w przypadku, gdy podrasuje zdjęcie swojej rodziny w czasie świąt i doda do niego piękną choinkę oraz wór prezentów. Ale już np. uderzanie na swoim profilu prywatnym w burmistrza czy prezydenta miasta z pomocą SI należy oznaczyć. Jeśli ktoś z użyciem generatora AI przebierze urzędnika czy polityka za rabusia i nie poinformuje o tym odbiorców, musi się liczyć z konsekwencjami, bo to już nie jest sfera prywatna. 

Jakie kary grożą za łamanie przepisów AI Act?

Są obowiązki, zakazy i nakazy, muszą być też kary, które skłonią do przestrzegania nowego prawa. W przypadku AI Act o nich nie zapomniano, tej kwestii dotyczą artykuły 99-101 rozporządzenia. Jeśli ktoś pobieżnie rzuci na nie okiem albo zda się jedynie na branżowe plotki, może odnieść wrażenie, że wdrażane przepisy są drakońskie, bo kary sięgają milionów euro. Czy taki cios może spaść na agencję marketingową, która nie oznaczyła właściwie grafiki w mediach społecznościowych? Spokojnie, nie może.

Maksymalne stawki kar przewidziane są przede wszystkim dla największych przedsiębiorstw i globalnych firm technologicznych. AI Act przewiduje trzy poziomy administracyjnych kar pieniężnych, uzależnione od rodzaju naruszenia. Najwyższa kara - do 35 mln euro lub 7 proc. całkowitego światowego rocznego obrotu przedsiębiorstwa - dotyczy stosowania praktyk zakazanych przez rozporządzenie. Za naruszenie obowiązków dotyczących m.in. systemów AI wysokiego ryzyka czy wymogów transparentności grożą kary do 15 mln euro lub 3 proc. światowego rocznego obrotu. Z kolei za przekazywanie organom nadzorczym nieprawdziwych lub wprowadzających w błąd informacji maksymalna kara wynosi 7,5 mln euro lub 1,5 proc. światowego rocznego obrotu. 

Dla MŚP oraz startupów przewidziano łagodniejsze traktowanie. W ich przypadku kara finansowa jest ustalana na poziomie niższej z dwóch kwot (progu kwotowego lub procentowego), a nie wyższej, jak ma to miejsce przy dużych korporacjach

Ustawa o systemach sztucznej inteligencji z podpisem prezydenta

Pojawi się zapewne pytanie: kto będzie czuwał nad prawidłowym funkcjonowaniem tego rynku? Jeszcze całkiem niedawno mogło się wydawać, że ta kwestia nie zostanie uporządkowana, bo właściwa ustawa była dopiero procedowana. Ostatecznie jednak Ustawa o systemach sztucznej inteligencji przeszła przez Parlament i uzyskała podpis prezydenta. W trakcie tego procesu politycy różnych opcji podkreślali, że tzw. sztuczna inteligencja może być siłą napędową dla gospodarki czy nauki, ale to także zagrożenia, wśród których są wspomniane już deepfake’i. 

Polska nie może wybierać między rozwojem a bezpieczeństwem. Potrzebujemy jednego i drugiego. Musimy wspierać innowacje, ale technologia zawsze musi służyć człowiekowi, a nie człowiek technologii

Z kolei Ministerstwo Cyfryzacji w swoim komunikacie zaznaczyło, że Ustawa o systemach sztucznej inteligencji zapewni stosowanie w Polsce rozwiązań wynikających z AI Act. Dotyczy to m.in. ustanowienia we Wspólnocie jednolitych zasad dotyczących SI, a także zapewnienia ochrony praw i bezpieczeństwa obywateli, gdy mowa o użytkowaniu tych rozwiązań. Jednym z ważniejszych efektów wprowadzenia ustawy będzie powołanie nowego organu: KRiBSI.

Polska powołuje do życia KRiBSI

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji to organ, który ma sprawować nadzór nad stosowaniem przepisów AI Act i rodzimej ustawy. To do niego skargi dot. działania systemów SI będą mogli zgłaszać obywatele, ale też instytucje czy firmy. Ma to być instytucja niezależna, od strony organizacyjnej obsługiwana przez Ministerstwo Cyfryzacji. 

Nowy organ ma nie tylko rozpatrywać zgłoszone go niego nieprawidłowości, ale też na nie reagować w razie potrzeby. Kolejnym zadaniem będzie wydawanie indywidualnych opinii, dzięki którym firmy czy instytucje zyskają jasność w zakresie poprawności wdrażania rozwiązań SI. KRiBSI powinna też prowadzić działania informacyjne, wspierać badania i tworzyć piaskownice regulacyjne. Decyzje organu nie będą ostateczne – przewidziano możliwość sądowej kontroli rozstrzygnięć tej instytucji. Ustawa gwarantuje jednocześnie poszanowanie praw przedsiębiorców i ochronę tajemnicy firmy.

Komisja ma skupiać przedstawicieli kilku innych organów: Prezesa Urzędu Ochrony Konkurencji i Konsumentów, Komisji Nadzoru Finansowego, Krajowej Rady Radiofonii i Telewizji oraz Prezesa Urzędu Komunikacji Elektronicznej. W efekcie będą wykorzystywane doświadczenia istniejących już organów regulacyjnych. Pracami podmiotu będzie kierował przewodniczący powoływany przez Sejm za zgodą Senatu na pięć lat.

Od kiedy obowiązują nowe przepisy AI Act?

Z przepisów wynika, że Komisja powinna rozpocząć działalność w… listopadzie br. Tymczasem AI Act ma wejść w życie 2 sierpnia. Czy to oznacza, że przez te kilka miesięcy można lekceważyć nowe przepisy?

Brak wyznaczenia krajowego organu nadzoru nie zwalnia przedsiębiorców ani instytucji z obowiązku stosowania przepisów AI Act. Rozporządzenie unijne obowiązuje bezpośrednio we wszystkich państwach członkowskich, a jego adresaci są zobowiązani do przestrzegania wynikających z niego obowiązków od dat wskazanych w harmonogramie stosowania

Pisząc krótko: nowego prawa trzeba przestrzegać od 2 sierpnia. Niektórzy mogą się zastanawiać, co z deepfake’ami, które powstały przed wspomnianą datą – należy do nich wrócić i odpowiednio oznaczyć? Na stronach KE podjęto ten temat i wyjaśniono, że jest to działanie zalecane. Nie oznacza to jednak, że obligatoryjne. Jeśli zatem ktoś nie ma ochoty na wprowadzanie zmian, nie poniesie z tego powodu konsekwencji. 

Zbędna biurokracja? Raczej ochrona przed katastrofą