W dniu 13.03.2024 r. Parlament Europejski przyjął długo wyczekiwane rozporządzenie dotyczące sztucznej inteligencji (dalej: ,,Rozporządzenie AI Act”).

Analogicznie jak w przypadku RODO, AI Act został wprowadzony w formie unijnego rozporządzenia, co oznacza jego bezpośrednie stosowanie w prawie wszystkich państwach członkowskich. Rozporządzenie AI Act wymaga jednak od państw członkowskich przystosowania krajowych systemów prawnych, które pozwolą zrealizować nowe reguły w praktyce. Dlatego aby jak najlepiej przygotować Polskę do tego procesu, Ministerstwo Cyfryzacji rozpoczął proces szerokiego konsultowania prac nad projektem wdrożenia nowego prawa.

Wraz z rozwojem sztucznej inteligencji pojawiły się nowe problemy, nie uregulowane dotychczas w legislacji. AI pozwala m.in. na tworzenie treści za pomocą narzędzia ChatGPT, ocenianie zachowań społecznych (tzw. scoring), rozpoznawanie twarzy czy tworzenie deepfake’ów. Rozporządzenie AI Act  stanowi pierwszy na świecie kompleksowy dokument regulujący obszar sztucznej inteligencji. Ma na celu uregulowanie aspektów prawnych w zakresie rozwoju sztucznej inteligencji przy jednoczesnym stworzeniu gwarancji dla poszanowania praw człowieka i minimalizacji zjawiska dyskryminacji. Rozporządzenie AI Act przewiduje wprowadzenie kategorii zakazanych praktyk w zakresie sztucznej inteligencji. Do tych zaliczono m.in.: stosowanie rozwiązań opartych na technikach podprogowych czy takich, które dyskryminują określone grupy osób. Niedozwolone będzie także stosowanie systemów AI do tzw. oceny osób obywatelskich (social scoring). To znaczy, że nie będzie można wykorzystywać jej do śledzenia stylu życia obywateli.

Odnośnie do zakresu stosowania Rozporządzenia AI Act warto zwłaszcza podkreślić, że znajdzie ono zastosowanie wobec dostawców (tj. producentów) systemów AI oraz podmiotów je stosujących niezależnie od miejsca ich siedziby (tj. w Unii Europejskiej lub państwie trzecim), o ile wyniki ich działania są wykorzystywane w Unii Europejskiej. Przewidzianych w Akcie obowiązków nie stosuje się ponadto wobec osób fizycznych, jeśli korzystają one z systemów AI „w ramach czysto osobistej działalności pozazawodowej”.

W zakresie aspektu praktycznego pierwszym działaniem na ścieżce uzyskania przez firmę wiedzy, czy działa zgodnie z obowiązkami nałożonymi przez Rozporządzenie AI Act jest dokonanie inwentaryzacji posiadanych zasobów informatycznych dla stwierdzenia, czy znajdują się tam systemy AI. Kolejnym krokiem jest ich kwalifikacja do odpowiedniej kategorii. W razie stwierdzenia posiadania systemów AI wysokiego ryzyka niezbędne będzie zidentyfikowanie i realizacja odpowiedniego zakresu obowiązków nałożonych Aktem. Należy jednak pamiętać, że firma musi regularnie aktualizować swoje praktyki i procedury, aby nie tylko nadążać pod względem technicznym za nowymi rozwiązaniami AI, ale również w celu bycia zgodną z obowiązującymi przepisami. Firmy nie mogą również zapominać o tym, że Rozporządzenie AI Act nie zastąpi RODO, a oba rozporządzenia mają wzajemnie się uzupełniać. Oznacza to również więcej obowiązków i ryzyk.