Tak, AI Act ma zastosowanie do wszystkich podmiotów wykorzystujących systemy AI na terenie UE. Jednak większość popularnych narzędzi (ChatGPT, asystenci pisania) to systemy minimalnego lub ograniczonego ryzyka, które mają niewielkie wymogi formalne – głównie transparentności (informowanie, że użytkownik komunikuje się z AI). Kluczowe jest jednak sprawdzenie, jakie dane wprowadzacie do systemu i czy nie dochodzi do przetwarzania danych osobowych lub informacji poufnych.

Kary są zróżnicowane w zależności od rodzaju naruszenia:

• Za stosowanie zakazanych systemów AI: do 35 mln euro lub 7% rocznego obrotu (w zależności która kwota jest wyższa)
• Za naruszenie wymogów dla systemów wysokiego ryzyka: do 15 mln euro lub 3% obrotu
• Za nieprawdziwe informacje dla organów: do 7,5 mln euro lub 1% światowego obrotu.

Dodatkowo mogą być kumulowane z karami z RODO (do 20 mln euro lub 4% obrotu).

Nie. AI Act i RODO to odrębne, komplementarne przepisy. AI Act reguluje bezpieczeństwo i przejrzystość systemów AI, natomiast RODO chroni dane osobowe. W praktyce większość systemów AI wykorzystujących dane osobowe musi spełniać wymogi obu rozporządzeń jednocześnie.

• DPIA (Data Protection Impact Assessment) to ocena skutków dla ochrony danych wymagana przez RODO, gdy przetwarzanie stwarza wysokie ryzyko dla praw osób.
• FRIA (Fundamental Rights Impact Assessment) to ocena wpływu na prawa podstawowe wymagana przez AI Act dla systemów wysokiego ryzyka.

Jeśli system AI przetwarza dane osobowe i jest klasyfikowany jako wysokiego ryzyka, prawdopodobnie muszą zostać przeprowadzone obie oceny.

AI Act definiuje systemy wysokiego ryzyka jako te, które mogą znacząco wpływać na zdrowie, bezpieczeństwo lub prawa podstawowe ludzi. Przykłady:

• AI w rekrutacji i zarządzaniu personelem;
• Systemy kredytowe i scoringowe;
• AI w opiece zdrowotnej (diagnostyka, analiza);
• Systemy w edukacji (ocena studentów);
• AI w zarządzaniu infrastrukturą krytyczną;

​​Podstawa prawna to art. 6 AI Act (klasyfikacja) oraz Załącznik III (katalog obszarów), gdzie systemy te uznaje się za high-risk ze względu na potencjalny znaczący wpływ na zdrowie, bezpieczeństwo lub prawa podstawowe.

Pierwszym krokiem jest audyt prawny, który zidentyfikuje wykorzystywane systemy, oceni ryzyko i wskaże niezbędne działania. Następnie należy uzupełnić brakującą dokumentację i wdrożyć procedury. Lepiej działać proaktywnie – kontrole UODO już się rozpoczęły.

Tak. AI Act reguluje nie tylko komercyjne rozwiązania, ale wszystkie systemy AI wykorzystywane w UE. Jeśli stosujesz open-source’owy model AI w swojej firmie, jesteś „podmiotem wdrażającym” i możesz mieć obowiązki związane z oceną ryzyka, dokumentacją i nadzorem – szczególnie jeśli system jest wysokiego ryzyka.

To jedno z najbardziej spornych zagadnień. Polskie prawo nie przyznaje praw autorskich treściom stworzonym wyłącznie przez AI (bez ludzkiego wkładu twórczego). Jednak AI Act nakłada obowiązki dotyczące praw autorskich danych treningowych – dostawcy modeli AI muszą zapewnić zgodność z prawem autorskim. W praktyce korzystając z AI, należy:

• Sprawdzać regulaminy
• Weryfikować, czy treści można wykorzystywać komercyjnie
• Uwzględniać wkład ludzki w proces twórczy

Tak. AI Act ma zastosowanie do wszystkich podmiotów bez względu na wielkość. Jednak rozporządzenie uwzględnia zasadę proporcjonalności – wymogi dla małych firm mogą być nieco prostsze, szczególnie gdy korzystają z gotowych rozwiązań niskiego ryzyka. Mimo to brak zgodności może skutkować karami, więc lepiej zadbać o podstawową dokumentację.

Nadzór ludzki (human oversight) to wymóg AI Act dla systemów wysokiego ryzyka. Oznacza, że:

• Człowiek musi mieć możliwość interwencji w działanie systemu
• Decyzje AI muszą być monitorowane i weryfikowane
• Użytkownicy muszą mieć możliwość zgłoszenia problemu

Systemy sztucznej inteligencji wysokiego ryzyka muszą być zaprojektowane w taki sposób, aby umożliwić ludziom skuteczny nadzór nad nimi. Celem nadzoru ludzkiego jest zapobieganie lub minimalizowanie ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych, które może wynikać z korzystania z tych systemów. Środki nadzoru powinny być dostosowane do ryzyka i kontekstu wykorzystania systemu sztucznej inteligencji. Środki te mogą być wbudowane w system przez dostawcę lub wdrożone przez użytkownika.