Spis treści:
- Akt o AI. Pierwsza w skali świata kompleksowa regulacja prawna dotycząca sztucznej inteligencji
- Sejm przyjął ustawę o sztucznej inteligencji. Nowe przepisy dotyczące AI w Polsce
- "Sztuczna inteligencja jest jedynie narzędziem". Odpowiedzialność, naruszenia i prawo w praktyce
Sztuczna inteligencja jest na wyciągnięcie ręki, nawet jeśli nie szukamy kontaktu z chatbotami. Pojawia się w coraz większej liczbie aplikacji, regularnie też możemy dostrzec twory AI podczas zwykłego przeglądania sieci czy mediów społecznościowych.
Kilkanaście sekund wystarczy, by wygenerować tekst lub grafikę. Kolejnych kilka potrzebnych jest, by je edytować. Dzięki AI możemy na chwilę stać się pisarzem, grafikiem, architektem, nauczycielem, lekarzem - z różnym skutkiem, oczywiście. Nie sposób też nie wspomnieć o niebezpieczeństwie, które za tym idzie, jeśli AI zacznie nas wyręczać i jeżeli zawierzymy jej bardziej, niż osobom, które poświęciły sporą część swojego życia, by zdobyć wiedzę w jakiejś materii.
Ze sztucznej inteligencji może skorzystać niemal każdy. Potrzeba tylko urządzenia z dostępem do internetu. To niestety dobra i zła wiadomość - nic się przecież nie stanie, jeśli AI odpowie nam na pytanie, jak długo powinniśmy gotować jajka albo jaka będzie jutro pogoda, ale nie każdy używa jej w taki sposób.
Spójrzmy na to z innej strony. Sztuczna inteligencja rozwijana jest błyskawicznie. Wraz z nią pojawiły się ogromne możliwości, ale i wyzwania oraz zagrożenia, którym w jakiś sposób trzeba przeciwdziałać.
Jeszcze nie tak dawno temu obawialiśmy się o dzieci i młodzież używających filtrów zmieniających rysy twarzy w mediach społecznościowych, przecież bez wątpienia wpływa to na ich postrzeganie siebie. Czym jednak jest ten problem w obliczu aktualnie tak łatwo dostępnych narzędzi, dzięki którym deep fake'owe wideo potencjalnie niszczące komuś życie możemy wygenerować zaledwie w kilka minut?
Już teraz AI tworzy treści, które nie każdy potrafi rozpoznać wśród tych, jakie wyszły spod palców człowieka. Zdecydowanie nie wszyscy będą jej też używali w niewinnych celach. Pojawiają się pytania: czy jeśli stworzymy coś przy pomocy sztucznej inteligencji, to jesteśmy tego autorem? Co z treściami, które służą AI do nauki jej "umiejętności"? AI potrafi coraz więcej, a wszystko wokół zdaje się zostawać w tyle, włącznie z regulacjami, które mogłyby sprawić, by narzędzie to było odrobinę bezpieczniejsze. Ale czy na pewno?
Rzućmy okiem na sytuację prawną wokół sztucznej inteligencji.
Akt o AI. Pierwsza w skali świata kompleksowa regulacja prawna dotycząca sztucznej inteligencji
Pod koniec 2023 roku Komisja Europejska, Rada Unii Europejskiej i Parlament osiągnęły porozumienie wstępne dotyczące Aktu ws. Sztucznej Inteligencji. 1 sierpnia 2024 roku "Akt o AI", czyli, jak czytamy na stronie gov.pl, pierwsza w skali świata kompleksowa regulacja prawna dla systemów i modeli sztucznej inteligencji, oficjalnie wszedł w życie. Ma na celu zapewnienie bezpieczeństwa, przejrzystości i zgodności z wartościami europejskimi w rozwoju i stosowaniu sztucznej inteligencji. Ma formę rozporządzenia, a jego przepisy obowiązują bezpośrednio w całej Unii Europejskiej.
Wprowadzenie Aktu o AI to przełomowy krok w kierunku odpowiedzialnego i etycznego rozwoju technologii, na którego wdrożenie przygotowywaliśmy się już od początku roku (2024 - przyp. aut.). Ta pierwsza w skali świata kompleksowa regulacja prawna dla systemów i modeli sztucznej inteligencji stanowi nie tylko fundament dla innowacji, ale przede wszystkim gwarantuje bezpieczeństwo i poszanowanie praw człowieka w obliczu szybko rozwijającej się technologii
Jak czytamy na stronie Komisji Europejskiej, akt w sprawie sztucznej inteligencji ma zapewniać Europejczykom zaufanie do tego, co oferuje nam AI. Zauważono, że chociaż większość systemów sztucznej inteligencji nie stwarza żadnego ryzyka, a nawet może się przyczynić do rozwiązania wielu wyzwań społecznych, nie da się zaprzeczyć, że niektóre faktycznie mogą nieść za sobą pewne zagrożenia i ryzyko, któremu należy przeciwdziałać.
Co ważne, podkreślono, że chociaż obowiązujące przepisy zapewniają pewną ochronę, nie są one wystarczające, by sprostać tak szczególnym wyzwaniom, jakie niesie ze sobą AI.
Nie wszystkie zasady zostały wprowadzone w jednym terminie. Chociaż przepisy aktu mają obowiązywać po upływie 24 miesięcy od jego zgłoszenia, zaznaczono, że w przypadku części przepisów będą to terminy 6, 12 i 36 miesięcy.
I tak w lutym 2025 roku mocy nabrały przepisy zakazujące stosowania szczególnie niebezpiecznych systemów AI w całej Unii Europejskiej (katalog zakazanych praktyk). W sierpniu tego samego roku zaczęły obowiązywać przepisy kluczowe dla nadzoru nad sztuczną inteligencją, dotyczące określenia organu nadzoru rynku i organu notyfikującego, modeli AI ogólnego przeznaczenia i kar za naruszenia aktu.
W sierpniu 2026 roku wejdą w życie przepisy odnoszące się do systemów AI wysokiego ryzyka oraz związanych z nimi obowiązków. W przypadku niektórych systemów tego typu, będących elementem produktów podlegających osobnym normom, mowa już o sierpniu 2027 roku.
Oficjalna treść AI Act, a właściwie Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) dostępna jest w języku polskim.
O istotę AI Act i komentarz na jej temat zapytaliśmy eksperta, Tomasza Siedleckiego, radcę prawnego na co dzień zajmującego się zagadnieniami związanymi z bezpieczeństwem i ochroną danych. Jak mówi:
"Unia Europejska, wdrażając AI Act w formie bezpośrednio stosowanego rozporządzenia zamiast dyrektywy (którą państwa członkowskie implementują, zachowując pewną swobodę w zakresie kształtu przepisów) daje jasny sygnał, że dąży do silnej harmonizacji tego segmentu i chce, aby prawa i obowiązki związane z korzystaniem z AI na terenie Unii Europejskiej były jak najbardziej jednolite. Nie jest to zresztą pierwszy taki przypadek. W tym roku obchodzimy na przykład dziesięciolecie uchwalenia RODO, które również wprowadzało silną harmonizację zagadnień związanych z ochroną danych osobowych osób fizycznych na terenie Unii Europejskiej".
GeekWeek: Czy uważa pan, że prawo, ustanawiając między innymi AI Act, nadąża za szeroko pojętym rozwojem technologii?
T. Siedlecki: - AI Act w swojej konstrukcji nie jest dokumentem przesadnie sztywnym. Gdyby taki był, postęp technologiczny zapewne szybko wymusiłby jego nowelizację. Dawno odeszliśmy bowiem od komfortu, który zapewniało tworzenie prawa przed innowacjami. Obecnie należy raczej powiedzieć, że prawo stara się za tymi innowacjami nadgonić. Mając to na uwadze unijny prawodawca zidentyfikował za nas pewne sytuacje, w których stosowanie systemów AI będzie niedopuszczalne (katalog niedopuszczalnych praktyk z art. 5 AI Act), wskazał wprost, kiedy z dużym prawdopodobieństwem czekają na nas dodatkowe obowiązki i formalności związane z budowaniem systemu AI (systemy wysokiego ryzyka), a w pozostałym zakresie stosuje więcej klauzul generalnych i nakazuje, aby podejmować działania oparte na wnioskach z przeprowadzonej analizy ryzyka, czemu dano wyraz w motywie 26 do AI Act.
To od właściwie przeprowadzonej analizy ryzyka będzie w dużej mierze zależeć to, w jakim zakresie my, jako podmiot tworzący lub wdrażający AI, będziemy objęci obowiązkami wynikającymi z AI Act, przy czym będzie ich tym więcej, im większe ryzyko dla praw i wolności nasz system generuje. Warto zauważyć, że nawet system opisywany wprost w AI Act jako system wysokiego ryzyka może utracić ten status, jeżeli przeprowadzona przez nas analiza ryzyka wykaże, że nie stwarza on znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych, w tym poprzez brak znaczącego wpływu na wynik procesu decyzyjnego, co dodatkowo podkreśla istotność właściwego przeprowadzania analiz ryzyka.
Co w takim razie z bezpieczeństwem publicznym? W jaki sposób omawiany akt go obejmuje?
- Nie bez powodu w AI Act przewidziano pewien wentyl bezpieczeństwa w sprawach stosowania sztucznej inteligencji w sprawach związanych z bezpieczeństwem publicznym. Zarówno Unia Europejska, jak i same państwa członkowskie, zwłaszcza w ostatnich latach, podchodzą bardzo poważnie do zagadnień związanych z terroryzmem, czy ogólnie szeroko pojętym bezpieczeństwem, a narzędzia AI mogą przyczynić się do sprawniejszego identyfikowania i śledzenia potencjalnych zagrożeń. Sfera ta nie może oczywiście pozostawać w próżni i również powinna być regulowana, aby uniknąć pola do nadużyć po stronie administracji publicznej.
W kontekście wojskowości, już teraz obserwujemy wykorzystanie systemów AI na polu walki, na przykład za naszą wschodnią granicą, gdzie w celu autonomicznego wykrywania, identyfikowania i rażenia celów wykorzystywane są drony sprzęgnięte z systemem AI, karmionym wcześniej różnymi zdjęciami, na przykład ciężarówek wojskowych. AI Act, co zauważono w motywie 24 do rozporządzenia, nie jest tutaj aktem właściwym, bo za bezpieczeństwo narodowe odpowiadają co do zasady same państwa członkowskie i to ich swobodzie pozostawia się decyzje o wdrażaniu (lub nie) pewnych narzędzi.
Sejm przyjął ustawę o sztucznej inteligencji. Nowe przepisy dotyczące AI w Polsce
11 czerwca 2026 roku Sejm uchwalił ustawę o systemach sztucznej inteligencji wraz z poprawkami. Ma ona zapewnić stosowanie w Polsce wspomnianego powyżej unijnego rozporządzenia AI Act.
Należy przy tym podkreślić, że są to przede wszystkim przepisy techniczne. Rozporządzenia unijne obowiązują bowiem bezpośrednio i co do zasady państwa członkowskie nie dysponują narzędziami, aby wpływać na treść praw i obowiązków wynikających z uchwalonych rozporządzeń (co więcej, w przypadku kolizji prawa krajowego i rozporządzenia unijnego, pierwszeństwo powinno mieć to drugie). Państwa unijne mogą jednak uchwalać prawo mające ułatwić stosowanie rozporządzenia na swoim terytorium lub je doprecyzowywać, jeżeli samo rozporządzenie tak przewiduje)
W ustawie przewidziano powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Ma ona stanowić krajowy organ nadzoru rynku w zakresie systemów AI. Ma być też punktem kontaktowym w relacjach z instytucjami unijnymi.
Jakie będą zadania KRiBSI? Mówimy m.in. o kontroli przestrzegania unijnych i krajowych przepisów o sztucznej inteligencji, ale też wydawanie decyzji, prowadzenie działań informacyjnych i edukacyjnych, współpraca z organami zarówno krajowymi, jak i unijnymi i wspieranie rozwoju innowacji. Ale to nie wszystko - komisja będzie też mogła składać indywidualne skargi na działania systemów AI czy wydawać zezwolenia dla systemów wysokiego ryzyka oraz nakładać kary i wycofywać z rynku systemów, które są niezgodne z Aktem o AI. Komisja będzie także wydawała indywidualne opinie w konkretnych sprawach.
Istotnym zadaniem komisji będzie również tworzenie tzw. piaskownic regulacyjnych - to właśnie one mają pozwolić firmom na testowanie innowacyjnych rozwiązań związanych ze sztuczną inteligencją w bezpiecznych warunkach. Co najmniej jedna ma powstać do 2 sierpnia 2026 roku.
Przy komisji ma działać organ opiniodawczo-doradczy, czyli Społeczna Rada ds. Sztucznej Inteligencji.
Co istotne, przepisy nie będą stosowane m.in. wobec osób fizycznych, które używają AI do celów osobistych, niezwiązanych z działalnością gospodarczą, rolniczą lub inną regulowaną przez prawo. Nie będą też im podlegać sprawy związane z obroną narodową czy bezpieczeństwem narodowym, objęte działaniami służb specjalnych.
"Sztuczna inteligencja jest jedynie narzędziem". Odpowiedzialność, naruszenia i prawo w praktyce
T. Siedlecki: - Musimy pamiętać, że przepisy dotyczące AI nie mogą być stosowane w oderwaniu od pozostałych przepisów prawa. Nie bez powodu w kontekście AI wiele mówi się o ryzyku naruszenia praw własności intelektualnej, tajemnicy przedsiębiorstwa lub tajemnicy handlowej. Musimy pamiętać, że AI jest jedynie narzędziem (spotkałem się z porównaniem, myślę, że całkiem trafnym, AI do nowoczesnej taczki, która też przecież jest tylko narzędziem), ale finalnie za korzystanie z niego i za efekty pracy odpowiada człowiek. W związku z tym to my będziemy odpowiedzialni, jakie dane dostarczamy AI i powinniśmy uzależnić ich dawkowanie od tego, z jakiego systemu korzystamy.
Istnieje bowiem różnica pomiędzy tym, czy dostarczamy dane stanowiące tajemnicę przedsiębiorstwa lub dane osobowe AI przeznaczonemu dla konsumenta, gdzie często nie mamy wpływu na lokalizację ich przechowywania przez dostawcę AI i na to, czy takie dane posłużą trenowaniu modelu, a AI przeznaczonemu dla biznesu, które działa w oparciu o precyzyjnie nakreślone umowy z dostawcami, ma jasno określoną rezydencję danych i udostępnia korzystającemu mniej lub więcej narzędzi administracyjnych.
GeekWeek: Powszechne stosowanie sztucznej inteligencji również w firmach stwarza dodatkowe zagrożenie w kontekście udostępniania (nawet nieświadomego) wrażliwych danych.
- Zjawisko shadow AI, czyli karmienia modeli AI poufnymi lub wrażliwymi danymi firmy przez pracowników powinno być brane pod uwagę podczas wdrażania w organizacjach procedur związanych ze stosowaniem AI. Z punktu widzenia bezpieczeństwa danych, w tym osobowych, jest to istotne ryzyko, a jego zmaterializowanie może zakończyć się sporem cywilnym lub nałożeniem na organizację kar administracyjnych, których górne widełki mogą zamknąć się w milionach złotych.
Podczas rozważań na temat powszechnie dostępnej sztucznej inteligencji, nie sposób zignorować kłopotliwą kwestię odpowiedzialności za wygenerowane dzieła.
- Z całą pewnością powinniśmy kontrolować, czy efekty pracy AI nie naruszą praw osób trzecich, w szczególności praw własności intelektualnej. Nie zawsze bowiem dostawca AI przejmuje pełną odpowiedzialność za działania swojego modelu, pozostawiając finalną ocenę nam. Powinniśmy również zwrócić uwagę, czy korzystamy z modelu wyposażonego w filtry blokujące generowanie treści mogących naruszać prawa własności intelektualnej lub inne prawa osób trzecich".
Interesującym zjawiskiem, a może także niepokojącym, jest fakt chętnego korzystania ze sztucznej inteligencji na rynku pracy, również w procesach rekrutacji.
- Na zachłyśnięcie się możliwościami AI zdecydowanie powinni również zwracać uwagę pracodawcy korzystający ze sztucznej inteligencji w procesie selekcji CV czy też analizie produktywności pracowników. Art. 22 RODO ogranicza możliwość podejmowania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu danych. Finalną decyzję, na przykład o odrzuceniu danej kandydatury, powinien zawsze podejmować człowiek. Nie jest to jedynie kwestia suchego przepisu. AI może mieć bowiem tendencję do stosowania uprzedzeń, czy wręcz dyskryminacji (na przykład w sytuacji, w której historyczne nabory do pracy faworyzowały mężczyzn lub kobiety w określonym wieku), a to może narazić firmę na konsekwencje administracyjne i finansowe.
Internauci karmią sztuczną inteligencję treściami wszelakimi. W tym swoimi wrażliwymi danymi, np. wynikami badań, poszukując "odpowiedniej" diagnozy. Co dzieje się zatem w dwóch przypadkach: po pierwsze, gdy tego typu dane z jakiegoś powodu wyciekną, a po drugie, gdy chatbot AI podsunie użytkownikowi potencjalne niebezpieczne dla niego rozwiązanie? Na kim spoczywa odpowiedzialność?
- Oba przypadki należy od siebie mocno odgrodzić. W pierwszym przypadku wypływamy przede wszystkim na terytorium RODO. Jeżeli Jan Kowalski, korzystając z ogólnodostępnego konsumenckiego modelu zacznie przekazywać mu swoje personalne dane, w tym te dotyczące zdrowia, to dostawca AI najpewniej stanie się administratorem tych danych i będą ciążyły na nim obowiązki ich odpowiedniego zabezpieczenia, a w przypadku ich wycieku lub ujawnienia, że wykorzystuje je niezgodnie z pierwotnie określonym przez siebie celem, może spoczywać na nim odpowiedzialność za naruszenie ochrony danych.
W drugim przypadku sytuacja jest już bardziej skomplikowana, a ostateczne przypisanie odpowiedzialności będzie wymagać analizy zorientowanej na dany przypadek. Inna może być bowiem odpowiedzialność dostawcy systemu AI, którego celem jest stawianie diagnoz medycznych i był on trenowany pod tym kątem i który musiał spełnić rygorystyczne wymogi AI Act, a dostawcy systemu o bardziej ogólnym przeznaczeniu. Konieczne będzie udzielenie odpowiedzi, czy wejdziemy tutaj w rygor tzw. Dyrektywy PLD, dotyczącej odpowiedzialności za produkty wadliwe, która traktuje systemy AI jako oprogramowanie mogące generować ww. odpowiedzialność za produkt wadliwy, a także czy Kowalski nie powinien zwyczajnie pójść do lekarza, zamiast wypytywać AI i działać wyłącznie w oparciu o jego wskazówki.
W tym kontekście warto monitorować skutki niedawnego wyroku zapadłego w Niemczech w sprawie przeciwko Google, gdzie przypisano firmie odpowiedzialność za wprowadzone przez nią podsumowania AI w wyszukiwarce internetowej.
Wspomniał pan o naruszeniach praw własności intelektualnej. Swego czasu bardzo głośno dało się słyszeć sprzeciw artystów, których prace były wykorzystywane do nauczania sztucznej inteligencji, obecnie widzimy też próby zapobiegnięcia takim wydarzeniom. Co mogą zrobić twórcy, którzy nie zgadzają się na takie praktyki?
- W sytuacji, w której z sieci pobiera się, w różnych celach, w tym związanych z trenowaniem AI, ogromne ilości danych, które mogą być przedmiotem praw własności intelektualnej, nie można się dziwić, że powoduje to sprzeciw podmiotów tych praw. W Dyrektywie (UE) 2019/790 (tzw. Dyrektywie DSM), implementowanej w Polsce m.in. poprzez znowelizowanie Ustawy o prawie autorskim i prawach pokrewnych, zezwolono na zwielokrotnianie utworów stanowiących przedmiot praw autorskich do celów eksploracji tekstów i danych, jednak wdrożono jednocześnie mechanizm opt-out, umożliwiający twórcom wyrażenie sprzeciwu wobec wykorzystywania ich danych do celów badawczych. W przypadku danych dostępnych online sprzeciw powinien być wyrażony w sposób nadający się do odczytu maszynowego.
Dyrektywa nie wskazuje wprost, że opt-out dotyczy również treści pozyskiwanych na potrzeby trenowania AI, jednak nie można wykluczyć, że tego typu oświadczenia podmiotów praw autorskich powinny być respektowane. Powiązanie z prawem do sprzeciwu znajdujemy bowiem w samym art. 53 ust. 1 lit. c) AI Act, który wprost mówi o tym, że dostawcy modeli ogólnego przeznaczenia powinni wprowadzić polityki służące respektowaniu zastrzeżenia praw wyrażonego zgodnie z art. 4 ust. 3 Dyrektywy DSM.
Dopilnujmy, żeby to było jasne. Czy wprowadzone regulacje w jakiś sposób chronią albo ograniczają "zwykłego człowieka", korzystającego na co dzień ze sztucznej inteligencji?
- Tak, bo celem regulacji jest nakłonienie twórców AI, aby podczas tworzenia ich lub prowadzenia wdrożeń byli zorientowani na człowieka i poprzedzali swoje działania odpowiednimi analizami, mającymi odpowiedzieć na pytanie, czy system może generować jakiekolwiek zagrożenia (na przykład dyskryminacja) i w jaki sposób można im zapobiegać. Dodatkową wskazówkę daje prawodawca unijny powołując się w motywie 27 AI Act na wytyczne w zakresie etyki dotyczące godnej zaufania sztucznej inteligencji z 2019 r. opracowane przez niezależną grupę ekspertów wysokiego szczebla ds. AI powołaną przez Komisję Europejską, a które kładą duży nacisk właśnie na to, aby tworzone AI były etyczne i godne zaufania.
Czy wprowadzone dotychczas regulacje są wystarczające, czy należy się spodziewać kolejnych inicjatyw, próbujących uporządkować sposoby wykorzystania AI pod kątem prawnym?
- Jesteśmy tak naprawdę dopiero na początku ścisłego regulowania wykorzystania AI i w związku z tym nie możemy z całą pewnością stwierdzić, w jakim kierunku pójdzie stosowanie omawianych regulacji. Unia Europejska wytyczyła cel, stawiający jednostki, ich prawo do niedyskryminacji czy przejrzystości w przetwarzaniu ich danych, w centrum oraz dostarczyła ku temu podstawowe narzędzia.
Nie można jednak wykluczyć, że trwająca rewolucja AI wymusi przyjęcie dodatkowych aktów prawnych mających na celu doprecyzowanie pewnych kwestii. Należy również spodziewać się nowych wytycznych w kontekście AI, ponad przyjęte już wytyczne dla dostawców modeli AI ogólnego przeznaczenia czy procedowane wytyczne w sprawie klasyfikacji systemów sztucznej inteligencji wysokiego ryzyka.
