Czy Twoja firma podlega pod AI Act - jak to ocenić

Które firmy i podmioty obejmuje AI Act

Zakres rozporządzenia jest szeroki. Obejmuje on dostawców wprowadzających systemy AI lub modele ogólnego przeznaczenia na rynek Unii, podmioty używające systemów AI w Unii, importerów, dystrybutorów, producentów wyrobów z systemami AI pod własną nazwą, a nawet podmioty z państw trzecich, jeżeli wynik działania ich systemu jest używany w Unii. To oznacza, że AI Act może dotyczyć nie tylko twórcy narzędzia, ale też firmy, która po prostu używa go w swojej działalności.

Rozporządzenie przewiduje też wyjątki. Nie dotyczy ono między innymi użycia czysto osobistego i nieprofesjonalnego, części działań badawczych i rozwojowych przed wprowadzeniem systemu na rynek lub do użycia, systemów tworzonych wyłącznie do badań naukowych oraz pewnych rozwiązań udostępnianych na wolnych i otwartych licencjach, chyba że chodzi o systemy zakazane, wysokiego ryzyka albo objęte obowiązkami przejrzystości. Poza zakresem pozostają też zastosowania wyłącznie wojskowe, obronne i związane z bezpieczeństwem narodowym.

Jak ocenić, czy firma jest objęta AI Act

Czy stosowane rozwiązanie można uznać za system AI

Punktem wyjścia powinno być ustalenie, czy narzędzie wykorzystywane w firmie rzeczywiście mieści się w definicji systemu AI albo modelu ogólnego przeznaczenia. Nie każde oprogramowanie używane na co dzień będzie objęte AI Act. Wiele rozwiązań stosowanych dziś przy rekrutacji, analizie danych, obsłudze klienta, generowaniu treści czy profilowaniu może jednak wchodzić w zakres rozporządzenia. Ocena powinna zaczynać się nie od nazwy produktu, lecz od tego, jak działa dane narzędzie i do czego jest wykorzystywane.

Jaką rolę pełni Twoja firma

Drugie pytanie dotyczy roli przedsiębiorcy. Firma może być dostawcą, jeżeli tworzy system albo zleca jego stworzenie i wprowadza go na rynek. Może być też podmiotem stosującym, importerem lub dystrybutorem. Ta różnica ma zasadnicze znaczenie, bo obowiązki nie są takie same dla każdego uczestnika obrotu. Przykładowo obowiązki dotyczące modeli ogólnego przeznaczenia dotyczą dostawców takich modeli, natomiast wiele typowych przedsiębiorstw będzie raczej podmiotem używającym system AI niż jego dostawcą.

Jakie wymogi z AI Act mogą już dziś dotyczyć przedsiębiorcy

AI Act nie jest regulacją, którą można odłożyć do chwili pełnego wejścia wszystkich przepisów. Już teraz część obowiązków działa i dla niektórych firm ma bardzo praktyczne znaczenie. Dotyczy to przede wszystkim zakazanych zastosowań sztucznej inteligencji oraz obowiązku zadbania o to, by osoby korzystające z takich narzędzi w imieniu firmy miały odpowiedni poziom wiedzy. Dla przedsiębiorcy oznacza to, że nawet jeśli firma nie weszła jeszcze w najbardziej rozbudowany zakres obowiązków, powinna już sprawdzić, czy używane rozwiązania nie naruszają przepisów i czy sposób ich wykorzystywania jest odpowiednio uporządkowany. Szczególnie ważne jest to tam, gdzie AI wspiera rekrutację, kontakt z klientem, analizę danych albo tworzenie treści.

W jakich sytuacjach firma zwykle jest objęta AI Act

Najczęściej dzieje się tak wtedy, gdy firma używa AI w działalności zawodowej, a nie prywatnie, działa w Unii albo jej wynik jest używany w Unii, oraz korzysta z narzędzi mogących wejść w obszar zakazów, systemów wysokiego ryzyka, przejrzystości albo modeli ogólnego przeznaczenia. Szczególnie uważnie trzeba oceniać systemy wykorzystywane w zatrudnieniu, edukacji, ocenie osób, biometrii czy obsłudze klientów przez systemy generatywne. Na stronie AI Act Service Desk dostępny jest oficjalny Compliance Checker, który pomaga wstępnie ocenić, czy dany podmiot podlega obowiązkom i jakie kroki powinien podjąć. Na tym etapie wiele przedsiębiorstw zaczyna szukać obsługi prawnej IT, ponieważ pozwala ustalić, które obowiązki wynikają już z obowiązujących przepisów, a do których firma powinna przygotować się w najbliższych miesiącach.

Podsumowanie - jak podejść do oceny AI Act w firmie

Aby ocenić, czy firma podlega pod AI Act, trzeba sprawdzić kilka kwestii: czy używa systemu AI lub modelu ogólnego przeznaczenia, jaką pełni rolę, gdzie wykorzystywany jest wynik działania systemu oraz do której kategorii ryzyka można przypisać dane zastosowanie. Część obowiązków wynikających z AI Act już obowiązuje, więc odkładanie tej analizy na później może być błędem. Osoby, które wpisują w wyszukiwarkę „obsługa prawna IT”, coraz częściej szukają wsparcia w ocenie, czy używane w firmie rozwiązania oparte na sztucznej inteligencji mieszczą się już w zakresie AI Act i jakie działania organizacyjne należy podjąć jeszcze przed pełnym rozpoczęciem stosowania kolejnych przepisów. W takim zakresie wsparciem może być przykładowo KGM LEGAL IT. Każda taka ocena powinna uwzględniać rzeczywisty sposób korzystania z danego narzędzia w działalności firmy.

---