Sztuczna inteligencja przestała być technologiczną ciekawostką. Systemy oparte na AI pomagają już wybierać kandydatów do pracy, oceniać zdolność kredytową, wykrywać oszustwa, analizować obrazy medyczne, zarządzać infrastrukturą, tworzyć treści i wspierać decyzje administracji publicznej.
Im więcej decyzji powierzamy algorytmom, tym bardziej zasadne staje się pytanie: kto odpowiada, gdy sztuczna inteligencja się myli, dyskryminuje albo podejmuje decyzję, której człowiek nie potrafi wyjaśnić?
Odpowiedzią Unii Europejskiej jest AI Act — pierwsze tak szerokie rozporządzenie regulujące rozwój, sprzedaż i wykorzystywanie systemów sztucznej inteligencji. Akt został przyjęty w 2024 roku, ale jego przepisy są wdrażane etapami. Część obowiązków już obowiązuje, kolejne zaczną być stosowane w sierpniu 2026 roku, a najbardziej rozbudowane wymagania dotyczące systemów wysokiego ryzyka przesunięto na lata 2027–2028.
AI Act przedstawiany jest jako próba ochrony obywateli przed manipulacją, dyskryminacją, masowym nadzorem i niekontrolowanym automatyzowaniem ważnych decyzji. Jednocześnie budzi obawy przedsiębiorców, twórców technologii i części ekspertów. Ich zdaniem Europa może stworzyć system tak skomplikowany, że największe firmy poradzą sobie z nim bez problemu, natomiast mniejsze przedsiębiorstwa i start-upy zostaną obciążone kosztami dokumentacji, prawników, audytów i procedur zgodności.
Spór o AI Act nie sprowadza się więc do prostego wyboru między bezpieczeństwem a technologiczną wolnością. Dotyczy tego, jak regulować technologię, która rozwija się szybciej niż prawo i może wpływać na niemal każdy obszar życia.
Czym właściwie jest AI Act?
AI Act to potoczna nazwa rozporządzenia Parlamentu Europejskiego i Rady Unii Europejskiej 2024/1689 ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji.
Rozporządzenie weszło w życie 1 sierpnia 2024 roku. Nie oznaczało to jednak natychmiastowego zastosowania wszystkich jego przepisów. Unia zdecydowała się na okres przejściowy, w którym kolejne obowiązki zaczynają działać stopniowo.
AI Act jest rozporządzeniem, a nie dyrektywą. Oznacza to, że jego podstawowe reguły obowiązują bezpośrednio w państwach członkowskich, bez konieczności przepisywania całego aktu do prawa krajowego. Poszczególne państwa muszą jednak wyznaczyć organy nadzoru, ustalić procedury egzekwowania prawa i przygotować krajowy system kar oraz kontroli.
Podstawową zasadą AI Act jest regulacja oparta na ryzyku. Unia nie próbuje zakazać całej sztucznej inteligencji ani kontrolować każdego programu wykorzystującego algorytmy. Zakres obowiązków zależy od tego, do czego system służy i jakie skutki może wywołać.
Inaczej traktowany będzie filtr antyspamowy, inaczej generator obrazów, a jeszcze inaczej system decydujący o przyjęciu człowieka do pracy, udzieleniu mu kredytu albo zakwalifikowaniu go do świadczenia publicznego.
Nie technologia, lecz sposób jej wykorzystania
Ta sama technologia może mieć zupełnie różne znaczenie w zależności od miejsca zastosowania. Algorytm analizujący twarz człowieka może służyć do odblokowania telefonu, ale może również być wykorzystywany do masowej identyfikacji uczestników demonstracji.
Model językowy może pomagać w poprawianiu tekstu, ale może też wspierać urzędnika przy podejmowaniu decyzji wpływającej na prawa obywatela. System analizujący zachowanie może usprawniać działanie gry komputerowej, ale może również oceniać pracownika, ucznia albo osobę ubiegającą się o ubezpieczenie.
AI Act próbuje więc regulować przede wszystkim kontekst użycia. Im większy możliwy wpływ systemu na zdrowie, bezpieczeństwo, wolność albo prawa człowieka, tym większe obowiązki nakładane są na jego twórcę i użytkownika.
To rozsądne założenie, ale jego praktyczne zastosowanie jest trudne. Firmy muszą ustalić, czy ich produkt w ogóle jest systemem AI w rozumieniu rozporządzenia, do jakiej kategorii ryzyka należy i jaką rolę pełni dana firma: dostawcy, użytkownika profesjonalnego, importera, dystrybutora czy producenta produktu zawierającego AI.
Cztery poziomy ryzyka
AI Act dzieli systemy sztucznej inteligencji na kilka podstawowych kategorii.
Ryzyko niedopuszczalne obejmuje zastosowania uznane za sprzeczne z prawami podstawowymi i wartościami Unii Europejskiej. Takie praktyki są zakazane.
Wysokie ryzyko dotyczy systemów, których działanie może istotnie wpływać na życie, bezpieczeństwo i prawa człowieka. Nie są one zabronione, ale muszą spełniać rozbudowane wymagania.
Ograniczone ryzyko obejmuje m.in. systemy generujące treści oraz rozwiązania, w których człowiek powinien wiedzieć, że komunikuje się z maszyną. Głównym narzędziem regulacji jest tutaj przejrzystość.
Ryzyko minimalne obejmuje ogromną część codziennych zastosowań AI. Takie systemy mogą być używane bez szczególnych obowiązków wynikających z AI Act, choć nadal podlegają innym przepisom, np. dotyczącym ochrony danych, konsumentów, prawa pracy czy własności intelektualnej.
Jakich zastosowań AI Unia zakazuje?
Od 2 lutego 2025 roku obowiązują zakazy dotyczące praktyk uznanych za niedopuszczalne. Lista nie oznacza całkowitego zakazu określonych technologii, lecz zakazuje konkretnych sposobów ich wykorzystywania.
Zakazane są m.in. systemy stosujące techniki manipulacyjne lub podprogowe, jeśli mogą istotnie zniekształcić zachowanie człowieka i doprowadzić do poważnej szkody. Obejmuje to również wykorzystywanie słabości związanych z wiekiem, niepełnosprawnością albo trudną sytuacją społeczną i ekonomiczną.
AI Act zabrania też określonych form społecznego punktowania ludzi. Chodzi o sytuacje, w których obywatel jest oceniany na podstawie zachowania lub cech osobistych, a wynik prowadzi do nieuzasadnionego albo nieproporcjonalnego traktowania w innych obszarach życia.
Zakazane jest tworzenie baz rozpoznawania twarzy przez nieukierunkowane pobieranie zdjęć z internetu albo nagrań monitoringu. Rozporządzenie ogranicza również systemy przewidujące popełnienie przestępstwa wyłącznie na podstawie profilowania osoby lub oceny jej cech i osobowości.
Co do zasady nie wolno używać rozpoznawania emocji w miejscu pracy i placówkach edukacyjnych. Przewidziano jednak ograniczone wyjątki, np. związane z bezpieczeństwem albo określonymi zastosowaniami medycznymi.
AI Act ogranicza również biometryczne kategoryzowanie ludzi według szczególnie wrażliwych cech, takich jak poglądy polityczne, religia, orientacja seksualna czy pochodzenie rasowe.
Jednym z najbardziej kontrowersyjnych tematów jest zdalna identyfikacja biometryczna w przestrzeni publicznej. Jej wykorzystanie przez organy ścigania w czasie rzeczywistym jest co do zasady zakazane, ale rozporządzenie przewiduje wąskie wyjątki, związane m.in. z poszukiwaniem ofiar, poważnym zagrożeniem terrorystycznym i ściganiem najcięższych przestępstw.
Krytycy tych wyjątków obawiają się, że otwierają one drogę do rozszerzania masowego nadzoru. Zwolennicy wskazują, że całkowity zakaz mógłby utrudnić działania w sytuacjach bezpośredniego zagrożenia.
Systemy wysokiego ryzyka
Najbardziej rozbudowana część AI Act dotyczy systemów wysokiego ryzyka. Są to rozwiązania, które mogą wpływać na bezpieczeństwo produktów albo na ważne decyzje dotyczące człowieka.
Do pierwszej grupy należą systemy AI będące elementami produktów podlegających unijnym regulacjom bezpieczeństwa. Może to być np. sztuczna inteligencja wbudowana w urządzenie medyczne, maszynę przemysłową, pojazd, robota, windę albo inny produkt wymagający oceny zgodności.
Druga grupa obejmuje konkretne zastosowania wymienione w załączniku do AI Act. Dotyczą one m.in.:
- biometrii i identyfikacji osób,
- zarządzania infrastrukturą krytyczną,
- edukacji i egzaminowania,
- rekrutacji, awansowania i oceniania pracowników,
- dostępu do podstawowych usług prywatnych i publicznych,
- oceny zdolności kredytowej,
- ubezpieczeń na życie i zdrowie,
- działań organów ścigania,
- migracji, azylu i kontroli granic,
- wymiaru sprawiedliwości i procesów demokratycznych.
Sam fakt użycia AI w danej branży nie zawsze oznacza automatyczne zakwalifikowanie systemu jako wysokiego ryzyka. Znaczenie ma jego przeznaczenie i realny wpływ na decyzję. Program porządkujący kalendarz pracowników nie będzie traktowany tak samo jak system automatycznie odrzucający kandydatów do pracy.
Co musi zrobić twórca systemu wysokiego ryzyka?
Dostawca systemu wysokiego ryzyka będzie musiał wykazać, że jego rozwiązanie zostało zaprojektowane i przetestowane zgodnie z wymaganiami AI Act.
Podstawą ma być system zarządzania ryzykiem. Firma powinna rozpoznawać możliwe zagrożenia na każdym etapie działania produktu: od projektowania i trenowania modelu, przez testowanie, aż po obserwowanie jego działania po wejściu na rynek.
Ważną rolę odgrywa jakość danych. Dane treningowe, walidacyjne i testowe powinny być odpowiednie dla przeznaczenia systemu, możliwie reprezentatywne i wolne od błędów, które mogłyby prowadzić do systematycznej dyskryminacji.
System ma posiadać dokumentację techniczną pozwalającą odtworzyć sposób jego działania i ocenić zgodność z prawem. Powinien także zapisywać odpowiednie zdarzenia w dziennikach systemowych, czyli logach.
Użytkownik profesjonalny musi otrzymać informacje o możliwościach i ograniczeniach rozwiązania. AI nie może być przedstawiana jako nieomylna maszyna, jeśli w określonych warunkach jej skuteczność spada albo wyniki wymagają dodatkowej weryfikacji.
Konieczny ma być również nadzór człowieka. Osoba odpowiedzialna za system powinna rozumieć jego ograniczenia, umieć zakwestionować wynik, odrzucić rekomendację algorytmu, a w razie potrzeby zatrzymać działanie systemu.
Rozporządzenie zwraca uwagę na zjawisko automatycznego zaufania do maszyny. Człowiek może formalnie podejmować ostateczną decyzję, ale w praktyce bezrefleksyjnie akceptować wynik wyświetlony przez algorytm. Samo umieszczenie pracownika między systemem a decyzją nie gwarantuje więc realnej kontroli.
Ocena zgodności i oznaczenie CE
Przed wprowadzeniem systemu wysokiego ryzyka na rynek dostawca będzie musiał przeprowadzić odpowiednią ocenę zgodności. W zależności od rodzaju produktu może to być kontrola wewnętrzna albo procedura wymagająca udziału zewnętrznej jednostki oceniającej.
Po spełnieniu wymagań system otrzyma deklarację zgodności i oznaczenie CE. Podobnie jak w przypadku wielu innych produktów dostępnych na rynku europejskim, oznaczenie ma informować, że produkt spełnia zasadnicze wymagania unijnego prawa.
Wybrane systemy wysokiego ryzyka będą również rejestrowane w europejskiej bazie danych. Ma to zwiększyć przejrzystość i ułatwić organom nadzoru kontrolowanie rynku.
Dla firm oznacza to, że rozwój niektórych narzędzi AI zacznie bardziej przypominać wprowadzanie na rynek regulowanego produktu niż publikowanie zwykłego programu komputerowego.
Pracodawca będzie musiał poinformować pracowników
Szczególne znaczenie AI Act może mieć dla rynku pracy. Systemy wykorzystywane do rekrutowania, oceniania kandydatów, przydzielania zadań, monitorowania wydajności, decydowania o awansach albo rozwiązywaniu umów mogą zostać zakwalifikowane jako systemy wysokiego ryzyka.
Przed zastosowaniem takiego systemu w miejscu pracy pracodawca będzie musiał poinformować przedstawicieli pracowników oraz osoby, których działanie AI będzie dotyczyć.
Nie oznacza to automatycznego zakazu algorytmicznego wspierania rekrutacji. Firma będzie jednak musiała wiedzieć, jakie dane analizuje system, jakie mogą być jego błędy i czy nie dyskryminuje określonych grup kandydatów.
To istotne, ponieważ algorytm może powielać uprzedzenia zawarte w danych historycznych. Jeśli przez wiele lat określone stanowisk