Artificial Intelligence Act – projekt unijnego rozporządzenia w sprawie sztucznej inteligencji

W dniu 21 kwietnia 2021r. Komisja Europejska opublikowała długo wyczekiwany projekt unijnego rozporządzenia w sprawie sztucznej inteligencji, określanego jako Artificial Intelligence Act. Celem powyższej regulacji jest zapewnienie bezpieczeństwa dla obywateli i przedsiębiorstw oraz  jednocześnie wsparcie rozwoju tej innowacyjnej gałęzi gospodarki poprzez zwiększenie innowacyjności i inwestycji w dziedzinie sztucznej inteligencji w całej Unii Europejskiej. W niniejszej publikacji omówione zostały najważniejsze elementy i aspekty tego projektu.

Kontekst

Komisja Europejska w 2018r. mając na względzie chęć rozwoju technologii sztucznej inteligencji w Europie oraz dostrzegając jednocześnie zagrożenia z jakimi ta technologia się wiąże, opracowała europejską strategię na rzecz sztucznej inteligencji. W tym samym roku opublikowano także pierwszy skoordynowany plan w sprawie sztucznej inteligencji. Następnie po odbyciu eksperckich konsultacji w 2019r. opublikowane zostały wytyczne dotyczące wiarygodnej sztucznej inteligencji, a w toku dalszych prac realizowanych w 2020r. opublikowano także listę kontrolną w zakresie wiarygodnej sztucznej inteligencji. Zwieńczeniem powyższych działań, było opublikowanie  w 2020r. tzw. Białej księgi AI. W dokumencie tym Komisja Europejska przedstawiła wizję ekosystemu sztucznej inteligencji w Unii Europejskiej, opartego na doskonałości i zaufaniu. To właśnie Biała księga AI wyznaczyła strategiczne ramy prawne dla projektu rozporządzenia w sprawie sztucznej inteligencji.

Zakres regulacji

Unijne rozporządzenie w sprawie sztucznej inteligencji ma za zadanie zharmonizować przepisy dotyczące wprowadzania do obrotu, oddawania do użytku oraz wykorzystywania systemów sztucznej inteligencji w całej Unii Europejskiej. Jednocześnie na jego mocy ustanowione mają zostać zakazy dotyczące określonych praktyk w zakresie sztucznej inteligencji, szczególne wymogi dotyczące systemów sztucznej inteligencji wysokiego ryzyka, jak również wymogi w zakresie przejrzystości- w szczególności w zakresie systemów sztucznej inteligencji przeznaczonych do wchodzenia w interakcję z osobami fizycznymi. Rozporządzenie swym zakresem obejmuje również kwestie monitorowania systemów sztucznej inteligenci po ich wprowadzeniu do obrotu i nadzoru nad rynkiem.

Definicja sztucznej inteligencji

Kluczowe znaczenie dla oceny zakresu zastosowania rozporządzenia ma przy tym przyjęta w nim definicja systemu sztucznej inteligencji. To bowiem ta definicja w dużej mierze decyduje o samym zakresie zastosowania nadchodzących, unijnych ram prawych dla AI.

Rozporządzenie określa system sztucznej inteligencji jako oprogramowanie opracowane przy użyciu co najmniej jednej spośród technik i podejść wymienionych w załączniku I, które może – dla danego zestawu celów określonych przez człowieka – generować wyniki, takie jak treści, przewidywania, zalecenia lub decyzje wpływające na środowiska, z którymi wchodzi w interakcję. Załącznik nr I do rozporządzenia precyzuje zatem techniki i podejścia AI, które to właśnie stanowią podstawę dla zakwalifikowania danego systemu jako systemu sztucznej inteligencji. Katalog ten jest przy tym zamknięty i obejmuje swym zakresem:

• mechanizmy uczenia maszynowego, w tym uczenie nadzorowane, uczenie się maszyn bez nadzoru i uczenie przez wzmacnianie, z wykorzystaniem szerokiej gamy metod, w tym uczenia głębokiego;
• metody oparte na logice i wiedzy, w tym reprezentacja wiedzy, indukcyjne programowanie (logiczne), bazy wiedzy, silniki inferencyjne i dedukcyjne, rozumowanie (symboliczne) i systemy ekspertowe;
• podejścia statystyczne, estymacja bayesowska, metody wyszukiwania i optymalizacji.

Komisja Europejska, będzie przy tym uprawniona do przyjmowania aktów delegowanych w celu zmiany wykazu technik i podejść wymienionych w załączniku I, co pozwoli na bieżąco uaktualniać ten wykaz z uwzględnieniem rozwoju sytuacji rynkowej i rozwoju technologicznego.

Klasyfikacja systemów AI- podejście oparte na ocenie ryzyka

Zgodnie z treścią rozporządzenia przyjęte zostało podejście do AI oparte na zasadzie ryzyka. Założono bowiem, że systemy niosące za sobą wyższy poziom ryzyka powinny podlegać szerszym i bardziej restrykcyjnym wymogom, niż systemy których to wykorzystywanie wiąże się jedynie z ograniczonym lub niskim ryzykiem. W tym celu dokonany została podział systemów sztucznej inteligencji na 4 kategorie Na gruncie rozporządzenia, systemy sztucznej inteligencji będą mogły być zatem zakwalifikowane do następujących kategorii ryzyka:

• Niedopuszczalne ryzyko – systemy sztucznej inteligencji, które ze względu na ich sprzeczność z wartościami Unii, na przykład ze względu na fakt, że naruszają one prawa podstawowe, zostały zakazane.
• Wysokie ryzyko – systemy sztucznej inteligencji, które niosą za sobą znaczne ryzyko, dla bezpieczeństwa, a tym samym powinny podlegać ścisłym regulacjom i wymogom.
• Ograniczone ryzyko – systemy sztucznej inteligencji, których to wykorzystanie, nie wiąże się ze znaczącym ryzykiem np. chatboty. Systemy te powinny jednak podlegać pewnym, minimalnym obowiązkom w zakresie przejrzystości, tak by użytkownicy tych systemów mieli świadomość wchodzenia w interakcję ze sztuczną inteligencją.
• Minimalne ryzyko – pozostałe systemy sztucznej inteligencji (np. gry komputerowe oparte na AI), których to wykorzystywanie wiąże się z minimalnym lub zerowym ryzykiem dla bezpieczeństwa. Systemy te nie podlegają przepisom i wymogom rozporządzenia.

Zakazane praktyki związane z AI

W oparciu o dokonany podział systemów sztucznej inteligencji, wyróżniono systemy których to potencjalne użycie wiąże się niedopuszczalnym poziomem ryzyka. Z tego też względu rozporządzenie wprost wskazuje na praktyki, które to bezwzględnie będą zakazane. Do wspomnianych zakazanych praktyk należą:

• praktyki, które wykazują znaczny potencjał manipulowania ludźmi, oparte na technikach podprogowych działających na ich podświadomość lub wykorzystujące słabości określonych słabszych grup,
• praktyki pozwalające organom publicznym stosowanie systemów punktowej oceny społecznej,
• praktyki wykorzystujące zdalną identyfikację biometryczną w czasie rzeczywistym w przestrzeni publicznej do celów egzekwowania prawa (chyba że mają zastosowanie niektóre ograniczone wyjątki).

AI wysokiego ryzyka

Unijne rozporządzenie zwraca szczególną uwagę na systemy zakwalifikowane jako systemy AI wysokiego ryzyka. Są to bowiem systemy i rozwiązania, których to stosowanie nie jest zakazane, ale które to jednocześnie ze względu na duże ryzyko zagrożenia bezpieczeństwa ludzi i przedsiębiorstw, powinny podlegać szczególnym wymogom.

Rozporządzenie AI nie zawiera jednak zamkniętej definicji  systemu sztucznej inteligencji wysokiego ryzyka, wskazując że do systemów wysokiego ryzyka zalicza się te systemy, które to są elementem bezpieczeństwa produktu lub samodzielnym produktem objętym unijnymi przepisami (wymienionymi w załączniku II do rozporządzenia) oraz systemy podlegające z góry ocenie zgodności przeprowadzanej przez osoby trzecie. Oprócz tak opisanych systemów, do kategorii systemów AI wysokiego ryzyka wprost kwalifikuje się także systemy sztucznej inteligencji określone w załączniku III do rozporządzenia.

Na gruncie rozporządzenia, systemy AI wysokiego ryzyka obejmują zatem swym zakresem technologię sztucznej inteligencji wykorzystywaną w  szczególności w:

• elementach bezpieczeństwa produktu,
• systemie kształcenia i szkolenia zawodowego (dostęp do szkolnictwa, ocena egzaminów)
• zarządzaniu infrastrukturą krytyczną i jej eksploatacją,
• identyfikacji i kategoryzacji biometrycznej osób fizycznych,
• zatrudnianiu, zarządzaniu pracownikami i dostępie do samozatrudnienia,
• zapewnieniu dostępu do podstawowych usług prywatnych oraz usług i świadczeń publicznych, a także w zakresie korzystania z nich (np. w zakresie oceny zdolności kredytowej),
• celu ściganiu przestępstw i egzekwowania prawa,
• celu zarządzaniu migracją, azylem i kontrolą graniczną,
• sprawowaniu wymiaru sprawiedliwości i procesach demokratycznych.

Komisja Europejska przy spełnieniu odpowiednich warunków, będzie przy tym uprawniona do przyjmowania aktów delegowanych w celu aktualizacji wykazu zawartego w załączniku III i dodania do tego wykazu dodatkowych systemów sztucznej inteligencji wysokiego ryzyka.

AI wysokiego ryzyka- dodatkowe wymogi

Zakwalifikowanie danego systemu jako systemu sztucznej inteligencji wysokiego ryzyka związane będzie z obowiązkiem spełnienia odpowiednich dodatkowych wymogów. Do wymogów tych należą:

• obowiązek posiadania odpowiedniego systemu oceny i ograniczania ryzyka;
• obowiązek wykorzystywania wysokiej jakości zbiorów danych do zasilania algorytmu sztucznej inteligencji, mający na celu zminimalizowanie ryzyka dyskryminującego działania algorytmu;
• ewidencjonowanie działania sztucznej inteligencji mające na celu umożliwienie oceny wyników pracy algorytmu i  identyfikowalności wyników, w tym obowiązek sporządzania logów;
• obowiązek sporządzenia i aktualizowania dokumentacji zawierającej wszelkie informacje co do systemu sztucznej inteligencji i celu w jakim to system ten funkcjonuje, co ma pozwolić na ocenę zgodności systemu sztucznej inteligencji z wymogami przez odpowiednie organy;
• zapewnienie należytych środków nadzoru człowieka nad algorytmem sztucznej inteligencji;
• obowiązek przekazywania użytkownikom odpowiednio jasnych informacji o systemie sztucznej inteligencji;
• obowiązek zapewnienia wysokiego poziomu solidności, bezpieczeństwa i dokładności algorytmu sztucznej inteligencji.

Systemy AI wysokiego ryzyka będą musiały być poddane ocenie zgodności i tym samym będą musiały spełniać wymogi rozporządzenia w zakresie AI. Dla niektórych systemów dla dokonania tej oceny niezbędny będzie udział jednostki notyfikowanej, a dla pozostałej części ocena ta będzie mogła być dokonana samodzielnie przez dostawcę. Celem wprowadzenia AI wysokiego ryzyka do obrotu konieczne będzie również dokonanie przez dostawcę rejestracji systemu w unijnej bazie oraz podpisanie deklaracji zgodności dla danego systemu AI.

Należy także zauważyć, że szereg dodatkowych obowiązków nałożonych zostanie nie tylko na dostawców systemów AI wysokiego ryzyka ale także i na dystrybutorów, importerów jak również użytkowników tych systemów.

Nadzór

Nadzór nad realizacją nowych przepisów mają sprawować co do zasady właściwe krajowe organy rynku. Powołany ma zostać również nowy organ- Europejska Rada ds. Sztucznej Inteligencji, który to będzie miał na celu ułatwienie wdrożenie nowych przepisów, a także opracowywanie nowych norm w zakresie AI.

System kar

Rozporządzenie przewiduje również odpowiedni system kar za nieprzestrzeganie jego przepisów i ustanowionych na jego mocy norm. W tym zakresie ustanowiono trzy kategorie wysokości kar:

• Do 30 000 000 EUR lub – jeżeli naruszenia dopuszcza się przedsiębiorstwo – w wysokości do 6 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa, za:

• nieprzestrzeganie zakazu praktyk w zakresie sztucznej inteligencji oraz za
• niezgodność systemu sztucznej inteligencji z wymogami z zakresu jakości danych wykorzystywanych przez sztuczna inteligencję;

• do 20 000 000 EUR lub – jeżeli naruszenia dopuszcza się przedsiębiorstwo – w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa w przypadku naruszenia pozostałych wymogów rozporządzenia;
• do 10 000 000 EUR lub – jeżeli naruszenia dopuszcza się przedsiębiorstwo – w wysokości do 2 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa za przekazywanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym i właściwym organ krajowym w odpowiedzi na ich wezwanie.

Podsumowanie

Projekt rozporządzenia w sprawie AI bezsprzecznie będzie miał duże znaczenie dla całego rynku sztucznej inteligencji w Europie i ze względu na ustanowiony zakres, projekt ten bezpośrednio obejmie działalność wielu podmiotów branży nowych technologii. Przyjęta w projekcie definicja sztucznej inteligencji jest bowiem bardzo szeroka, co tym samym determinuje szeroki zakres zastosowania rozporządzenia.

Nie ulega również wątpliwości, że zapewne konieczne będzie doprecyzowanie szeregu zapisów rozporządzenia, tak by z jednej strony wyeliminowane zostały ewentualne luki prawne, z drugiej zaś strony by na rozwiązania AI nałożone były jedynie takie wymogi i ograniczenia, które to są niezbędne dla realizacji celów rozporządzenia.

Z całą zatem pewnością, treść rozporządzenia w toku prac legislacyjnych ulegnie pewnym zmianom. Już jednak na obecnym etapie, możliwe jest ustalenie kierunku działań Unii Europejskiej w zakresie wyznaczenia ram prawnych dla systemów sztucznej inteligencji w Europie.