Nowe technologie pod kontrolą

Ustawa o systemach sztucznej inteligencji (AI), której projekt Ministerstwo Cyfryzacji zaprezentowało 16 października, to najświeższy przykład dostosowywania polskiego prawa do unijnych regulacji odnoszących się do nowych technologii. Wcześniej resort przedstawił już projekt nowelizacji ustawy o świadczeniu usług drogą elektroniczną oraz projekt ustawy o zarządzaniu danymi.

Wszystkie znajdują się obecnie na mniej lub bardziej zaawansowanych etapach prac rządowych. Łączy je to, że stanowią wdrożenie unijnych regulacji, które zmieniają zasady gry na rynku cyfrowym i przynoszą nowe obowiązki dla przedsiębiorstw prowadzących działalność w internecie lub przy użyciu najnowszych technologii.

Jakie przepisy wejdą w życie…

Pierwsza ustawa stworzy ramy do stosowania unijnego aktu o sztucznej inteligencji (AI Actu), który ma zagwarantować, że opracowywana i wykorzystywana w Unii Europejskiej sztuczna inteligencja będzie respektowała prawa podstawowe obywateli.

AI Act dzieli zastosowania tej technologii na cztery kategorie, zależnie od związanego z nimi ryzyka – i stosownie do tego je traktuje. Nieakceptowalne ryzyko skutkuje zakazem wprowadzania danego rozwiązania w Unii Europejskiej. Zastosowania AI wysokiego ryzyka będą dopuszczone, ale pod ścisłą kontrolą. Kategorię ograniczonego ryzyka objęto obowiązkami informacyjnymi, natomiast zastosowania AI minimalnego ryzyka uniknęły regulacji.

Krajowe przepisy są potrzebne m.in. po to, aby polskie firmy miały się gdzie zgłosić z wnioskami o zezwolenie dla systemu AI wysokiego ryzyka, a osoby poddane działaniom systemów sztucznej inteligencji miały się komu poskarżyć.

Z kolei w nowelizacji ustawy o świadczeniu usług drogą elektroniczną znajdują się przepisy potrzebne do tego, byśmy mogli w pełni korzystać z tzw. konstytucji internetu – czyli unijnego aktu o usługach cyfrowych (DSA). Zwiększa on bezpieczeństwo w internecie, wzmacnia ochronę najmłodszych i ogranicza arbitralną władzę algorytmów na największych platformach – jak Facebook, Instagram, TikTok czy YouTube. Przepisy aktu dotyczą jednak nie tylko big techów. Obejmują – w różnym zakresie, zależnie od wielkości i rodzaju usług – wszystkich dostawców usług pośrednich, a więc np. także serwisy z sekcją komentarzy.

DSA obowiązuje już wprawdzie w pełni od lutego tego roku, ale z braku krajowych przepisów polscy internauci nie mają się komu poskarżyć na platformy naruszające akt.

Ustawowe ramy umożliwią również korzystanie z aktu o zarządzaniu danymi (DGA), stanowiącymi paliwo cyfrowej gospodarki. Ta unijna regulacja ułatwia ponowne wykorzystanie niektórych kategorii chronionych danych będących w posiadaniu podmiotów sektora publicznego. To informacje, które – np. ze względu na ochronę danych osobowych – wykraczają poza zakres dyrektywy w sprawie otwartych danych, jak dane będące źródłem zestawień statystycznych GUS czy NFZ. DGA reguluje też m.in. udostępnianie danych nieosobowych bez wynagrodzenia – przez tzw. organizacje altruizmu danych. Dopiero jednak krajowe przepisy umożliwią funkcjonowanie tego systemu, w tym rejestrowanie takich organizacji oraz rejestrowanie dostawców usług pośrednictwa danych.

…i kto będzie ich pilnował

Ustawy wdrażające unijne regulacje upoważnią krajowe organy nie tylko do przyjmowania skarg, lecz także do przeprowadzania kontroli przestrzegania aktów dotyczących rynku cyfrowego. Firmy będą się mogły spodziewać kontroli zarówno ze strony nowych instytucji, jak i znanych już urzędów uzbrojonych w dodatkowe kompetencje.

W przypadku sztucznej inteligencji pierwsze skrzypce grać będzie nowe ciało – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Za naruszenie AI Actu będzie ona mogła nałożyć kary sięgające 35 mln euro lub 7 proc. rocznych przychodów danej firmy na całym świecie (w zależności od tego, która z tych kwot okaże się wyższa).

Te wysokie kary to jednak na razie pieśń przyszłości. AI Act już wszedł w życie, ale w przypadku unijnych rozporządzeń nie jest to równoznaczne z obowiązywaniem przepisów. Dlatego pierwsze rozwiązania AI Actu – odnośnie do systemów zakazanych – będą stosowane od 2 lutego 2025 r. Większość przepisów aktu zacznie obowiązywać 2 sierpnia 2026 r., a ostatnia transza – 2 sierpnia 2027 r.

Natomiast w zakresie DSA ewentualne naruszenia pozostaną bezkarne do czasu wejścia w życie krajowej ustawy wdrażającej. Bez niej nie ma bowiem komu kontrolować polskich przedsiębiorców – np. firm świadczących usługi hostingowe. Dopiero gdy Urząd Komunikacji Elektronicznej i Urząd Ochrony Konkurencji i Konsumentów zyskają nowe uprawnienia jako właściwe organy, będą mogły nakładać kary do wysokości 6 proc. światowych rocznych przychodów firmy, która nie przestrzega DSA.

W przypadku DGA najwyższa kara wyniesie zaś 0,5 mln euro.

Elżbieta Rutkowska