Wyjściowym obowiązkiem dla podmiotów zaangażowanych w tworzenie lub funkcjonowanie sztucznej inteligencji jest identyfikacja własnej roli w łańcuchu dostaw. AI Act wyróżnia bowiem krąg aktorów na których spoczywają konkretne obowiązki wynikające z rozporządzenia.
W pierwszej kolejności należy ustalić czy mamy do czynienia z modelem AI czy systemem AI. Model AI to w gruncie rzeczy algorytm (lub zbiór algorytmów) zdolny do generowania danych wyjściowych w oparciu o otrzymane dane wejściowe (np. GPT4 od Open AI). Natomiast system AI to model AI obudowany interfejsem użytkownika (np. Chat GPT od Open AI).
Identyfikacja roli przy modelach AI
Jeżeli prowadzimy prace nad modelem AI musimy ustalić czy będzie to model AI ogólnego przeznaczenia czy też model AI szczególnego przeznaczenia. W pierwszym wypadku, zgodnie z art. 3 pkt 63 AI Act, chodzi o „model AI trenowany dużą ilością danych z wykorzystaniem nadzoru własnego na dużą skalę, który wykazuje znaczną ogólność i jest w stanie kompetentnie wykonywać szeroki zakres różnych zadań, niezależnie od sposobu, w jaki model ten jest wprowadzany do obrotu, i który można zintegrować z różnymi systemami lub aplikacjami niższego szczebla – z wyłączeniem modeli AI, które są wykorzystywane na potrzeby działań w zakresie badań, rozwoju i tworzenia prototypów przed wprowadzeniem ich do obrotu”. Dostawcy modeli AI ogólnego przeznaczenia muszą się liczyć z szeregiem obowiązków, których zakres określa art. 53 AI Act, w tym obligiem wprowadzania polityki służącej zapewnieniu zgodności z obowiązującymi na terenie UE przepisami prawa autorskiego i praw pokrewnych.
Dodatkowo, wśród modeli AI ogólnego przeznaczenia wyróżnić należy modele AI z ryzykiem systemowym. Ryzyko systemowe definiowane jest przez art. 3 pkt 65 Ai Act jako „ryzyko, które jest charakterystyczne dla modeli AI ogólnego przeznaczenia posiadających zdolności dużego oddziaływania i ma znaczący wpływ na rynek Unii ze względu na zasięg tych modeli lub rzeczywiste lub dające się racjonalnie przewidzieć negatywne skutki dla zdrowia publicznego, porządku publicznego, bezpieczeństwa publicznego, praw podstawowych lub całego społeczeństwa, mogące rozprzestrzenić się na dużą skalę w całym łańcuchu wartości”. Zakres obowiązków spoczywających na dostawcach modeli AI z ryzykiem systemowym jest jeszcze szerszy niż w wypadku modeli nieobarczonych takim ryzykiem. Te dodatkowe obowiązki ujęte zostały w art. 55 AI Act, a jednym z nich jest obowiązek oceniania i ograniczania ewentualnego ryzyka systemowego na poziomie Unii.
Natomiast jeśli tworzony przez nas model AI nie jest modelem ogólnego przeznaczenia (np. wykonuje wąski zakres zadań), wówczas dostawcy tych modeli w praktyce nie podlegają pod AI Act, zatem nie będą na nich spoczywać prawie żadne obowiązki (poza przestrzeganiem praktyk zakazanych wymienionych w art. 5 AI Act). Konieczne jest więc przeanalizowanie charakteru stosownego modelu AI, by wiedzieć jaką rolę będziemy pełnić w łańcuchu dostaw i z jakiego rodzaju obowiązkami będziemy mieć do czynienia.
Identyfikacja roli przy systemach AI
Jeszcze inaczej wygląda sytuacja przy identyfikowaniu roli podmiotu zaangażowanego w proces tworzenia i wykorzystywania systemu AI. W pierwszej kolejności w odniesieniu do systemu AI musimy odróżniać takie role jak „dostawca”, „importer”, „dystrybutor” czy „podmiot stosujący” (zachęcamy do lektury naszych artykułów poświęconych temu zagadnieniu, które wymieniono w stopce niniejszego wpisu). Następnie musimy ustalić rodzaj systemu AI jakim operujemy. Na gruncie rozporządzenia nr 2024/1689 mamy bowiem do czynienia z:
- systemem AI wysokiego ryzyka wskazanym w Załączniku I sekcja A (powiązanym z produktami objętymi unijnym prawodawstwem harmonizacyjnym jak np. zabawki, skutery wodne, wyroby medyczne do diagnostyki in vitro czy urządzenia ciśnieniowe) – w tym wypadku obowiązki wynikające z AI Act zostały szeroko zakreślone;
- systemem AI wysokiego ryzyka wskazanym w Załączniku I sekcja B (dotyczącym produktów objętych unijnym prawodawstwem harmonizacyjnym w pozostałym zakresie jak np. pojazdy rolnicze i leśne czy samoloty cywilne) – z mocy art. 2 ust. 2 AI Act tylko nieznaczna część przepisów AI Act (a co za tym idzie obowiązków wynikających z rozporządzenia) będzie dotyczyć dostawców tych modeli AI, co niewątpliwie stanowić będzie dla nich daleko idącą ulgę (choć same przepisy harmonizacyjne zawierają już wyśrubowane normy);
- systemem AI wysokiego ryzyka wskazanym w Załączniku III (stosowane w takich obszarach jak m.in. zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia, infrastruktura krytyczna, kształcenie i szkolenie zawodowe) – w tym wypadku mamy do czynienia z szerokim zakresem obowiązków płynących z AI Act;
- systemem AI wskazanym w Załączniku III uznanym przez dostawcę – na podstawie art. 6 ust. 3-4 AI Act– za system ryzyka niższego niż wysokie (z tym zastrzeżeniem, że takie uprawnienie będzie wyłączone w wypadku, gdy system dokonuje profilowania osób fizycznych) – w takiej sytuacji zakres obowiązków ulega daleko idącemu zmniejszeniu (na takim samym poziomie jak w wypadku dwóch poniższych systemów);
- systemem AI niższego ryzyka wchodzącym w interakcję z człowiekiem – mamy tutaj zdecydowanie mniejszy zakres obowiązków, które dotyczą głównie transparentności (określa je art. 50 AI Act);
- systemem AI niższego ryzyka, który nie wchodzi w interakcję z człowiekiem – dostawcy takich modeli będą właściwie zwolnieni ze stosowania AI Act, pamiętając jedynie o powstrzymaniu się od stosowania praktyk zakazanych określonych w art. 5 AI Act (taki obowiązek spoczywa na wszystkich operatorach systemów AI).
Jak widać, przepisy rozporządzenia nr 2024/1689 stwarzają nie lada wyzwanie dla podmiotów zobowiązanych do jego stosowania. Przestrzeganie przepisów AI Act zależy od prawidłowej identyfikacji własnej roli w łańcuchu dostaw, a to z kolei wymaga świadomości istnienia różnic między systemami AI oraz trafnego ustalenia jakim systemem AI operujemy. W realizacji tych obowiązków niezbędne okazać się może wsparcie ze strony ekspertów z zakresu prawa AI. Nasza kancelaria z chęcią takiego wsparcia udzieli.
Wpisy powiązane:
Obowiązki dostawców systemów AI
Obowiązki importerów systemów AI
Obowiązki dystrybutorów systemów AI
Obowiązki podmiotów stosujących AI
Data publikacji: 21.02.2025