4 lutego 2025 r. Komisja Europejska opublikowała wytyczne dotyczące zakazanych praktyk w zakresie AI – w rozumieniu art. 5 rozporządzenia 2024/1689 („AI Act”).

Art. 5 AI Act zaczął obowiązywać już 2 lutego 2025 r. Jego obowiązywanie nie zostało odroczone w czasie tak znacznie, jak miało to miejsce w przypadku większości przepisów AI Act. Wynika to z faktu, że stanowi on o praktykach w zakresie sztucznej inteligencji, które są zabronione przez Unię Europejską – jako nadmiernie i nieproporcjonalnie ingerujące w podstawowe wartości Unii Europejskiej – takie jak prawo do prywatności, praworządność, demokracja. Konieczność szybkiego wprowadzenia w życie tego przepisu wynikała z dotychczasowych doświadczeń w zakresie stosowania nowych technologii, niekoniecznie sztucznej inteligencji, takich jak np. działalność Cambridge Analytica, która profilując użytkowników social media pod kątem treści politycznych kierowanych do nich, wywarła znaczny wpływ choćby na Brexit czy wybór Donalda Trumpa na prezydenta USA w 2017 r., czy też dyskryminacyjne działania administracji niderlandzkiej w zakresie dostępu do zabezpieczenia społecznego, które miały miejsce w drugiej dekadzie XXI wieku, nie wspominając o wielu kontrowersyjnych praktykach mających miejsce w USA – takich jak np. wymierzanie kary przez sąd w oparciu o predykcję co do przyszłego zachowania sprawy generowaną samodzielnie przez AI, czy też prowadzenie rozmów rekrutacyjnych z kandydatami do pracy przez system AI i automatyczne odrzucanie tych kandydatów, którzy nie wpisali się odpowiednio w algorytm.

Unia Europejska dostrzega wartość sztucznej inteligencji, na pierwszym miejscu stara się jednak stawiać człowieka – przynajmniej w sferze deklaracji i ogólnych regulacji. W Europie odrzucono amerykańskie liberalne podejście do AI, zgodnie z którym można robić bardzo wiele, tak długo jak nie szkodzi się „Wujkowi Samowi”, a kwestia ewentualnych naruszeń praw osób, na których nakierowane zostało zastosowanie sztucznej inteligencji, pozostawiona została w sferze cywilnoprawnej.

Wytyczne Komisji Europejskiej nie mają co prawda mocy wiążącej, będą natomiast istotną wskazówką zarówno dla państw członkowskich, organów nadzorczych, jak i sądów, w zakresie tego, jakie praktyki AI uznać za zakazane. Zawierają one nie tylko interpretację wprowadzonych zakazów, ale także ich uzasadnienie i przykłady praktyk zakazanych – co może pomóc w lepszym zrozumieniu AI Act. Komisja podkreśla niemniej, że każdy sposób zastosowania AI wymaga indywidualnej oceny, a podane w wytycznych przykłady mają jedynie charakter ilustracyjny.

Co warte zauważenia, również Ministerstwo Cyfryzacji opublikowało w ostatnim kwartale 2024 r. wytyczne dotyczące zakazanych systemów AI (dalej "Wytyczne Ministerstwa Cyfryzacji").

Zakazy przewidziane w art. 5 AI Act nie dotyczą wyłącznie użytkowników systemów AI, ale również ich dostawców, dystrybutorów i importerów – każda z tych kategorii podmiotów działających na rynku AI może te regulacje naruszyć, odpowiednio poprzez wprowadzenie zabronionego systemu AI do obrotu, oddanie go do użytku, czy wykorzystanie.

Jakich praktyk w zakresie AI zakazuje AI Act? Ze względu na format niniejszej publikacji, zakazy te nie zostały opisane w niej w sposób szczegółowy, warto niemniej hasłowo choćby zaznaczyć, że zakazanym jest:

1. stosowanie technik podprogowych, celowych technik manipulacyjnych lub wprowadzających w błąd, mogących wyrządzić poważną szkodę; w Wytycznych Ministerstwa Cyfryzacji za przykład takiej praktyki podano system AI wdrożony jako narzędzie marketingowe w centrum handlowym, którego głównym celem jest subtelne wpływanie na decyzje zakupowe klientów - np. poprzez wplatanie w odtwarzaną muzykę ukrytych komunikatów takich jak "kup", "potrzebujesz";
2. wykorzystywanie słabości osoby lub grupy osób mogące wyrządzić poważną szkodę; w Wytycznych Ministerstwa Cyfryzacji za przykład takiej praktyki podano system AI reklamowany jako narzędzie wspierające seniorów w zarządzaniu ich finansami, który wykorzystuje zbierane dane do wywierania na użytkownikach presji nakłaniającej do podjęcia zobowiązań finansowych;
3. stosowanie scoringu społecznego mogącego prowadzić do krzywdzącego lub bezzasadnie niekorzystnego traktowania; w Wytycznych Ministerstwa Cyfryzacji za przykład takiej praktyki podano system AI wykorzystywany przez gminę, który na podstawie szeroko gromadzonych danych ocenia zachowania poszczególnych mieszkańców i przyznaje im punkty dodatnie za zachowania uznane za pożądane oraz punkty ujemne za zachowania uznane za niepożądane - co w konsekwencji ma przełożenie na niekorzystne traktowanie nisko ocenianych mieszkańców np. w dostępie do mieszkań, pracy, czy podwyższenie opłat za usługi publiczne;
4. ocenianie lub przewidywanie ryzyka popełnienia przestępstwa wyłącznie na podstawie profilowania lub oceny cech charakterystycznych bądź osobowości osoby fizycznej; w Wytycznych Ministerstwa Cyfryzacji za przykład takiej praktyki podano system AI oferowany szkołom, którego celem jest przewidywanie ryzyka popełnienia przestępstwa przez pracowników czy uczniów na podstawie analizy ich cech osobowościowych;
5. tworzenie lub rozbudowa baz danych służących do rozpoznawania twarzy poprzez scraping wizerunków twarzy z internetu lub telewizji przemysłowej; w Wytycznych Ministerstwa Cyfryzacji za przykład takiej praktyki wskazano system AI, który automatycznie przeszukuje internet pobierając bez wiedzy i zgody użytkowników wizerunki twarzy, powiązany z systemami telewizji przemysłowej, który wykorzystywany jest przez dostawcę social media do kierowania do użytkowników ukierunkowanych reklam, czy też do budowania baz danych zawierających informacje o nawykach zakupowych i zainteresowaniach użytkowników, które następnie są udostępniane firmom reklamowym;
6. wnioskowanie na temat emocji w miejscu pracy lub instytucjach edukacyjnych; w Wytycznych Ministerstwa Cyfryzacji jako przykład takiej praktyki podano wprowadzenie w zakładzie pracy systemu AI monitorującego i analizującego emocje pracowników celem tworzenia ich profili emocjonalnych, które mają następnie przełożenie na podejmowane decyzje personalne;
7. kategoryzacja biometryczna bazująca na indywidualnej kategoryzacji osób fizycznych w oparciu o ich dane biometryczne, mająca na celu wydedukowanie lub wywnioskowanie informacji na temat ich rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub światopoglądowych, seksualności lub orientacji seksualnej; w Wytycznych Ministerstwa Cyfryzacji za przykład takiej praktyki podano wprowadzenie w zakładzie pracy systemu AI zbierającego szerokie spektrum danych biometrycznych celem wnioskowania np. o orientacji seksualnej czy poglądach politycznych pracowników, co z kolei może mieć później wpływ na traktowanie pracowników skategoryzowanych niezgodnie ze światopoglądem przełożonego;
8. wykorzystywania systemów zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej do celów ścigania przestępstw; w Wytycznych Ministerstwa Cyfryzacji jako przykład takiej praktyki podano system AI, który wykorzystuje monitoring miejski celem przesiewowego wyszukiwania w czasie rzeczywistym, w sposób ciągły i przy użyciu mechanizmów rozpoznawania twarzy, osób podejrzanych choćby o drobne przestępstwa lub wykroczenia.

AI Act precyzuje zasady stosowania w/w zakazów, przewidując również pewne wyjątki, a szersze ich objaśnienie, wraz z przykładami ich zastosowania, znaleźć możemy w Wytycznych Komisji.

Warto na koniec zaznaczyć, że stosowanie praktyk zakazanych w obszarze AI traktowane jest jako najcięższe naruszenie AI Act i podlega w związku z tym najbardziej surowym karom przewidzianym przez rozporządzenie – aż do 35 mln EUR albo 7% rocznego światowego obrotu przedsiębiorcy w minionym roku kalendarzowym – w zależności od tego, która z tych wartości jest wyższa. Jest to więc sankcja wyraźnie surowsza od tych wynikających np. z GDPR. Kary te zaczną być stosowane dopiero pół roku po rozpoczęciu stosowania w/w zakazów – a więc od 2 sierpnia 2025 r. Nie oznacza to jednak, że w międzyczasie, w sposób pozbawiony ryzyka, naruszać można w/w zakazy. Maja one charakter obowiązujący już od 2 lutego 2025 r., co oznacza, że już od tej daty naruszenie ich może prowadzić chociażby do roszczeń odszkodowawczych ze strony osób i podmiotów poszkodowanych zakazanymi praktykami AI.

Wpisy powiązane:

Sztuczna inteligencja okiem UE

Unijna definicja sztucznej inteligencji

Dane w systemach AI

Poziomy ryzyka systemów AI

Obowiązki dostawców systemów AI

Obowiązki importerów systemów AI

Obowiązki dystrybutorów systemów AI

Kary pieniężne za naruszenie AI Act

🔝Prawo AI - wszystkie wpisy

Data publikacji: 14.02.2025