EU AI Act to przełomowe rozporządzenie wprowadzone przez Unię Europejską w celu regulacji rozwoju i użytkowania technologii sztucznej inteligencji.
Spis treści
Czym jest europejskie prawo dotyczące sztucznej inteligencji?
Europejskie prawo dotyczące sztucznej inteligencji (AI) to kompleksowe ramy regulacyjne, które określają, jak systemy AI są rozwijane, wprowadzane na rynek i wykorzystywane w Unii Europejskiej. Dotyczy to zarówno dostawców, jak i użytkowników AI, ustanawiając jasne obowiązki prawne w zależności od wpływu systemów AI na jednostki, społeczeństwo i prawa podstawowe. Prawo promuje innowacje, jednocześnie chroniąc zdrowie, bezpieczeństwo i prawa podstawowe, poprzez ustalanie wymagań dotyczących przejrzystości, zarządzania ryzykiem, nadzoru ludzkiego, zarządzania danymi i bezpieczeństwa cybernetycznego przez cały cykl życia AI.
Kategorie ryzyka w europejskim prawie dotyczącym AI
Europejskie prawo dotyczące AI stosuje podejście oparte na ryzyku, co oznacza, że systemy AI są regulowane w zależności od poziomu ryzyka, jakie stanowią dla jednostek i społeczeństwa. Im większe potencjalne ryzyko, tym surowsze są obowiązki nałożone na dostawców i użytkowników.
- Zakazane praktyki
Systemy AI, które stanowią nieakceptowalne ryzyko, są całkowicie zakazane. Obejmuje to manipulację poznawczą i behawioralną, ocenianie społeczne przez władze publiczne, niekontrolowane zbieranie obrazów twarzy i biometryczne wnioskowanie o wrażliwych cechach, takich jak przekonania polityczne czy orientacja seksualna. - Systemy AI wysokiego ryzyka
Systemy wysokiego ryzyka są wykorzystywane w wrażliwych lub regulowanych obszarach, takich jak infrastruktura krytyczna, zatrudnienie i zasoby ludzkie, oceny zdolności kredytowej, edukacja, opieka zdrowotna, egzekwowanie prawa, kontrola graniczna i administracja wymiaru sprawiedliwości. Te systemy muszą spełniać rygorystyczne wymagania, w tym procesy zarządzania ryzykiem, wysokiej jakości dane szkoleniowe, dokumentację techniczną, nadzór ludzki, środki bezpieczeństwa cybernetycznego i oznakowanie CE przed wprowadzeniem na rynek. - Modele AI ogólnego przeznaczenia (GPAI)
Ta kategoria obejmuje modele na dużą skalę, takie jak duże modele językowe (LLM). Dostawcy muszą spełniać obowiązki dotyczące przejrzystości, przestrzegać zasad praw autorskich, dokumentować praktyki szkoleniowe i wdrażać środki zaradcze w celu przeciwdziałania ryzyku systemowemu, zwłaszcza w przypadku bardziej wydajnych lub szeroko stosowanych modeli. - Systemy AI o ograniczonym ryzyku
Te systemy podlegają głównie obowiązkom dotyczącym przejrzystości. Użytkownicy muszą być informowani, gdy wchodzą w interakcje z treściami generowanymi przez AI, takimi jak chatboty czy deepfake, chyba że obowiązuje wyjątek. - Systemy AI o minimalnym lub zerowym ryzyku
Aplikacje AI, które stanowią małe lub żadne ryzyko, takie jak gry wideo wspomagane przez AI lub filtry antyspamowe, są w dużej mierze zwolnione z regulacji na mocy prawa dotyczącego AI.
Naruszenia Aktu o SI mogą skutkować grzywnami do 35 milionów euro lub 7% globalnych rocznych obrotów, w zależności od tego, która kwota jest wyższa.
Akt o sztucznej inteligencji UE i umiejętność korzystania z AI
Od 2 lutego 2025 roku dostawcy i użytkownicy muszą zapewnić odpowiednią alfabetizację w zakresie SI wśród pracowników. Szkolenie jest zalecane, ale nie obowiązkowe.
Kluczowe kwestie obejmują rolę firmy, ogólne zrozumienie SI, związane z nią ryzyka oraz dostosowane środki edukacyjne w oparciu o wiedzę techniczną i kontekst.
Wdrożenie w firmach
Wdrożenie europejskiego prawa dotyczącego AI wymaga od organizacji przekształcenia obowiązków regulacyjnych w kontrole operacyjne. Audyty odgrywają kluczową rolę w tym procesie, pomagając firmom zrozumieć, jak wykorzystywane są systemy AI, gdzie występują ryzyka i jakie środki zgodności są potrzebne.
Te audyty mają na celu:
- Identyfikację i klasyfikację systemów AI zgodnie z kategoriami ryzyka określonymi w prawie
- Ustalenie, czy organizacja działa jako dostawca, użytkownik, czy oba
- Ocenę, jak systemy AI przetwarzają dane i generują wyniki
- Identyfikację luk w przejrzystości, nadzorze ludzkim, bezpieczeństwie cybernetycznym i zarządzaniu ryzykiem
- Informowanie o planach naprawczych, strukturach zarządzania i wewnętrznych kontrolach potrzebnych do zapewnienia zgodności
W praktyce te oceny stanowią podstawę programów zarządzania AI i umożliwiają organizacjom priorytetyzację działań zgodności w oparciu o ryzyko i ekspozycję regulacyjną.
Harmonogram ustawy o AI UE
Ustawa o AI UE wprowadza stopniowy harmonogram wdrożenia, dając organizacjom czas na dostosowanie programów zarządzania, ryzyka i zgodności z AI. Kluczowe etapy obejmują wejście w życie przepisów, obowiązywanie konkretnych wymogów oraz pełną zgodność.
Kluczowe daty ustawy o AI UE
Data
Kamień milowy
1 sierpnia 2024
Ustawa o AI UE wchodzi w życie i staje się prawem UE.
2 lutego 2025
Zakazane praktyki AI zaczynają obowiązywać. Wyznaczone zostają organy egzekucyjne.
2 sierpnia 2025
Zaczynają obowiązywać zasady dla modeli AI ogólnego przeznaczenia (GPAI).
2 sierpnia 2026
Ustawa o AI ma pełne zastosowanie we wszystkich kategoriach ryzyka.
2 sierpnia 2027
Systemy AI wysokiego ryzyka w regulowanych produktach muszą być w pełni zgodne.
Stopniowe wdrażanie ma na celu połączenie innowacyjności z pewnością prawną i skutecznym nadzorem opartym na ryzyku.
Czym jest Sztuczna Inteligencja (SI)?
Sztuczna inteligencja (SI) to dziedzina informatyki, która naśladuje ludzkie zdolności poznawcze poprzez identyfikację i sortowanie danych wejściowych. Ta inteligencja może być oparta na zaprogramowanych przepływach pracy lub tworzona za pomocą uczenia maszynowego.
W uczeniu maszynowym dane treningowe są wykorzystywane do nauczania SI rozpoznawania wzorców i dokonywania przewidywań. Akt o SI definiuje system SI jako system oparty na maszynach, który działa z różnym poziomem autonomii i generuje wyniki takie jak przewidywania, treści, rekomendacje lub decyzje.
Przykłady systemów SI według Aktu o SI obejmują rozpoznawanie emocji, rozpoznawanie twarzy, selekcję kandydatów, administrację sprawiedliwości, opiekę zdrowotną (np. analiza objawów), obsługę klienta, chatboty i generatywną SI.
Generatywna SI, taka jak ChatGPT, odnosi się do systemów SI, które autonomicznie generują wyniki na podstawie danych wejściowych przy użyciu uczenia maszynowego i dużych modeli językowych (LLM). Te systemy mogą popełniać błędy i "halucynować" – wymyślając prawdopodobne, ale nieprawdziwe stwierdzenia.
Ochrona danych
Wykorzystanie systemów AI obejmujących dane osobowe musi być zgodne z RODO i wdrażać praktyki zapobiegania utracie danych. Kary za naruszenia mogą sięgać 4% globalnych obrotów lub 20 milionów euro.
Firmy muszą zapewnić legalne przetwarzanie, respektować minimalizację danych, dokładność i poufność oraz spełniać obowiązki informacyjne.
Zautomatyzowane decyzje z efektami prawnymi muszą obejmować dyskrecję ludzką. Środki techniczne i organizacyjne (TOM), takie jak szyfrowanie i pseudonimizacja, są niezbędne.
Wymagana jest ocena wpływu na ochronę danych dla przetwarzania wysokiego ryzyka.
Ochrona tajemnic handlowych
Tajemnice handlowe muszą być chronione przed nielegalnym pozyskiwaniem i ujawnianiem. Wymagania obejmują środki poufności, ograniczenia dostępu i NDA.
Systemy SI, dane treningowe i wyniki mogą stanowić tajemnice handlowe. Firmy muszą regulować użycie danych wejściowych i przeglądać warunki stron trzecich, aby uniknąć ryzyka ujawnienia.
Jakie są implikacje praw autorskich w przypadku SI?
Problemy z prawami autorskimi pojawiają się zarówno po stronie danych wejściowych, jak i wyników systemów SI. Użycie chronionych treści do szkolenia jest poddane kontroli prawnej.
Dzieła generowane przez SI nie są objęte ochroną praw autorskich zgodnie z obowiązującym prawem, ponieważ nie są to twory ludzkie. Oznacza to, że takie wyniki są w domenie publicznej.
Do kogo odnosi się europejskie prawo dotyczące AI?
Europejskie prawo dotyczące AI odnosi się szeroko do organizacji zaangażowanych w rozwój, dystrybucję lub wykorzystanie systemów AI, które wpływają na rynek UE, niezależnie od miejsca siedziby organizacji.
Odpowiedzialne strony obejmują:
- Dostawców AI, takich jak firmy, które rozwijają lub wprowadzają na rynek systemy AI lub modele AI ogólnego przeznaczenia na rynku UE
- Użytkowników AI, w tym organizacje, które wykorzystują systemy AI w operacjach biznesowych, podejmowaniu decyzji lub usługach skierowanych do klientów
- Importerów i dystrybutorów, którzy wprowadzają systemy AI do łańcucha dostaw UE
- Producentów produktów, którzy integrują AI w regulowanych produktach lub usługach
W ramach organizacji odpowiedzialność zazwyczaj spoczywa na:
- Kierownictwie wykonawczym odpowiedzialnym za zarządzanie i nadzór nad ryzykiem
- Zespołach prawnych i zgodności, które zarządzają obowiązkami regulacyjnymi
- Zespołach IT, bezpieczeństwa i danych odpowiedzialnych za wdrażanie, monitorowanie i zabezpieczenia
Prawo pociąga te strony do odpowiedzialności poprzez mechanizmy egzekwowania, w tym grzywny, ograniczenia rynkowe i odpowiedzialność za niezgodność lub szkody spowodowane przez systemy AI.
Co powinno być przeglądane w warunkach użytkowania systemów SI?
Firmy muszą przeglądać warunki użytkowania systemów SI stron trzecich, koncentrując się na:
- Obowiązującym prawie i jurysdykcji
- Przechowywaniu i wykorzystaniu danych wejściowych do szkolenia
- Prawach do wyników
- Odszkodowaniach za roszczenia dotyczące praw autorskich
- Ograniczeniach gwarancji i odpowiedzialności
Jakie wytyczne powinny stosować firmy, aby przestrzegać unijnej ustawy o AI?
Wewnętrzne wytyczne dotyczące SI pomagają regulować użytkowanie systemów SI przez pracowników. Mogą one obejmować:
- Opisy i autoryzacje systemów SI
- Instrukcje dotyczące obsługi danych wejściowych i wyników
- Zgodność z poufnością i ochroną danych
- Środki bezpieczeństwa cybernetycznego i obowiązki dotyczące przejrzystości
Podsumowanie Aktu o SI UE
Akt o SI UE będzie w dużej mierze obowiązywał od 2 sierpnia 2026 roku i musi być wdrożony przez firmy korzystające z SI. Reguluje dostawców i użytkowników SI poprzez podejście oparte na ryzyku: im większe ryzyko szkód społecznych, tym surowsze zasady.
- Zgodność z RODO jest obowiązkowa przy przetwarzaniu danych osobowych za pomocą systemów SI.
- Systemy SI muszą być chronione przed nieautoryzowanym dostępem i atakami cybernetycznymi.
- Tajemnice handlowe muszą być chronione przy użyciu systemów SI.
- Problemy z prawami autorskimi po obu stronach danych wejściowych i wyników są poddane kontroli prawnej.
- Firmy są odpowiedzialne za wady w produktach i usługach spowodowane przez SI.
- Warunki użytkowania systemów SI stron trzecich muszą być starannie przeglądane.
- Alfabetizacja w zakresie SI wśród pracowników powinna być promowana poprzez wewnętrzne wytyczne.
Jak Trend Micro wspiera zgodność z Aktem o SI?
Zachowanie zgodności z Aktem o SI UE oznacza więcej niż tylko zrozumienie zasad – wymaga aktywnego zarządzania, monitorowania ryzyka i jasnej odpowiedzialności w całych systemach SI. Od praw autorskich i odpowiedzialności po warunki użytkowania i wytyczne wewnętrzne, organizacje muszą zapewnić, że każdy aspekt wdrażania SI jest zgodny z ewoluującymi standardami prawnymi.
Aby to wspierać, firmy mogą korzystać z zaawansowanych narzędzi, które upraszczają zgodność i zmniejszają narażenie na ryzyko cybernetyczne, korzystając z platformy zarządzania ekspozycją na ryzyko cybernetyczne Trend Micro, zaprojektowanej, aby pomóc w identyfikacji luk, zarządzaniu ryzykiem związanym z SI i utrzymaniu zaufania w operacjach cyfrowych.
Często zadawane pytania (FAQ)
Czym jest Akt o SI UE?
Akt o SI UE to rozporządzenie regulujące systemy sztucznej inteligencji w celu zapewnienia bezpieczeństwa, przejrzystości i ochrony praw podstawowych.
Kiedy wchodzi w życie Akt o SI UE?
Akt o SI UE wchodzi w życie w 2024 roku, a pełne zastosowanie przewidziane jest na 2026 rok we wszystkich państwach członkowskich UE.
Kogo dotyczy Akt o SI UE?
Akt o SI UE dotyczy dostawców, użytkowników i importerów systemów SI działających na rynku Unii Europejskiej lub go celujących.
Kiedy został uchwalony Akt o SI UE?
Akt o SI UE został uchwalony przez Parlament Europejski w 2024 roku po szeroko zakrojonych negocjacjach i konsultacjach ze stronami zainteresowanymi.
Jak zgodnie z Aktem o SI UE?
Aby być zgodnym, organizacje muszą klasyfikować systemy SI według ryzyka, zapewniać przejrzystość, przeprowadzać oceny zgodności i utrzymywać dokumentację.
Jakie kary grożą za nieprzestrzeganie unijnej ustawy o AI?
- Nieprzestrzeganie ustawy o AI UE może skutkować karami do 35 milionów euro lub 7% globalnych obrotów.