Polska ustawa uzupełnia unijny AI Act – rozporządzenie obowiązujące bezpośrednio we wszystkich państwach UE, którego celem jest stworzenie jednolitych reguł dla rynku sztucznej inteligencji, a także wspieranie rozwoju bezpiecznej i godnej zaufania AI.
– W AI Act problemem jest dziś często nie brak przepisu, lecz niepewność, jak zastosować bardzo ogólny przepis do konkretnego systemu i konkretnego modelu biznesowego – podkreśla dla „Rzeczpospolitej” radczyni prawna dr Gabriela Bar, która specjalizuje się w prawie nowych technologii oraz prawie i etyce AI. Ekspertka zwraca przy tym uwagę, że właśnie dlatego dla firm szczególnie istotne mogą okazać się instrumenty pozwalające uzyskać stanowisko nowego regulatora jeszcze przed wdrożeniem konkretnego rozwiązania w obszarze sztucznej inteligencji.
Czytaj więcej
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji – nowy regulator rynku AI – będzie mogła rozpocząć pracę w listopadzie. Prezydent Karol Naw...
KRiBSI ma nadzorować rynek AI
Najważniejszą zmianą instytucjonalną wynikającą z ustawy będzie utworzenie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), której przewodniczącego w ciągu najbliższych dwóch miesięcy ma powołać Sejm za zgodą Senatu. Z kolei pierwsze posiedzenie KRiBSI ma zostać zwołane w terminie trzech miesięcy od dnia wejścia w życie ustawy, czyli ma to nastąpić najpóźniej w listopadzie.
KRiBSI ma być krajowym organem nadzoru rynku w zakresie systemów AI, a jej obsługę administracyjną zapewni Ministerstwo Cyfryzacji. Komisja będzie mogła upoważniać pracowników do wykonywania w jej imieniu części zadań wynikających z AI Act i polskiej ustawy. Co istotne, w zakresie tych zadań pracownicy Komisji, co jest ujęte w przepisach, mają działać niezależnie.
Obecne etapowe wejście przepisów w życie ma pozwolić najpierw zbudować zaplecze instytucjonalne. Już 28 lipca zaczął obowiązywać art. 125 ust. 4, nakazujący Ministerstwu Cyfryzacji podjęcie działań niezbędnych do utworzenia Komisji. Pod koniec października wejdą z kolei w życie przepisy dotyczące kontroli, postępowań wszczynanych także na podstawie skarg czy kar.
Czytaj więcej
Od dziś każdy z nas powinien wiedzieć, czy rozmawia z człowiekiem, czy z botem. Oznaczane też muszą być deepfake'i – podkreśla dr Paula Skrzypecka,...
Na znaczenie opinii indywidualnych zwraca szczególną uwagę Gabriela Bar. Przedsiębiorca będzie mógł zwrócić się do Komisji nie tylko w sprawie już istniejącego rozwiązania, ale również planowanego wdrożenia AI, przedstawiając własną ocenę prawną i pytając regulatora o jej prawidłowość. Komisja będzie miała co do zasady 30 dni na odpowiedź, a w sprawie szczególnie skomplikowanej – 60 dni.
– Co interesujące, brak odpowiedzi w tym terminie będzie oznaczał przyjęcie stanowiska przedstawionego przez wnioskodawcę. Opinia będzie wiążąca dla Komisji oraz organów, których opinii zasięgnięto w danej sprawie, a zastosowanie się do niej przed jej ewentualną późniejszą zmianą nie może szkodzić przedsiębiorcy. Moim zdaniem może to być jeden z najbardziej praktycznych instrumentów całej polskiej ustawy. Co więcej, opinie indywidualne i wyjaśnienia mają być po anonimizacji publikowane. Jeżeli Komisja będzie z tego instrumentu dobrze korzystać, z czasem może powstać swoista „mapa praktycznego stosowania AI Act”, dostępna nie tylko dla podmiotu, który zadał pytanie, ale dla całego rynku – mówi ekspertka.
Od 28 października będzie też działał krajowy tryb składania skarg do KRiBSI. Osoba fizyczna, osoba prawna albo jednostka organizacyjna będzie mogła wskazać system AI, opisać istotne fakty i wyjaśnić, dlaczego uważa, że doszło do naruszenia AI Act albo polskiej ustawy.
Czytaj więcej
Nie można wymagać od przedsiębiorców pełnego dostosowania się do skomplikowanych obowiązków, jeśli Komisja Europejska wciąż nie wydała wytycznych p...
Piaskownica ma pomóc firmom testować AI
Ważnym elementem ustawy o systemach AI ma być także wspieranie rozwoju nowych rozwiązań, czemu ma służyć piaskownica regulacyjna. Udział mikro-, małych i średnich przedsiębiorców w piaskownicy, czyli w kontrolowanym środowisku służącym testowaniu systemów sztucznej inteligencji, będzie bezpłatny. Resort cyfryzacji poinformował właśnie, że Centrum Projektów Polska Cyfrowa ogłosiło nabór dotyczący stworzenia centralnego portalu polskiej piaskownicy AI oraz bezpiecznego środowiska do testowania systemów sztucznej inteligencji. Budżet naboru wynosi 35 mln zł.
Portal ma obsługiwać dwie ścieżki. Regulacyjna będzie przeznaczona dla przedsiębiorców oraz administracji rządowej i samorządowej rozwijających systemy AI, w szczególności rozwiązania wysokiego ryzyka. Uczestnicy mają uzyskać pomoc w dostosowaniu ich do AI Act. Druga – technologiczna – będzie skierowana do administracji i ma pozwolić testować systemy poza działającą infrastrukturą urzędów, bez konieczności zakupu własnych zasobów obliczeniowych. Zaplecze mają zapewnić m.in. Cyfronet AGH i Poznańskie Centrum Superkomputerowo-Sieciowe.
W ocenie Bar piaskownica regulacyjna to korzystne rozwiązanie dla firm, zwłaszcza startupów.
– Jednak doświadczenie Hiszpanii pokazuje, że trzeba bardzo precyzyjnie powiedzieć, do czego piaskownica ma służyć. Nie jest ona substytutem rynku i nie odpowiada na pytanie, czy klient potrzebuje produktu. Powiedziałabym, że rynek weryfikuje, czy produkt odpowiada na realne potrzeby klientów, a piaskownica – czy da się go wdrożyć zgodnie z wymogami regulacyjnymi. To zresztą nie jest wyłącznie teoria. Do pierwszego hiszpańskiego sandboxu AI przyjmowano systemy wysokiego ryzyka już dojrzałe technologicznie – zasadniczo powyżej TRL 6 – znajdujące się na rynku albo bliskie wdrożenia – zwraca uwagę ekspertka.
– Testowano więc nie to, czy produkt znajdzie klienta, ale jak na realnym systemie wykonać takie obowiązki AI Act jak zarządzanie ryzykiem, danymi, nadzór człowieka, dokumentacja techniczna, odporność czy monitoring po wprowadzeniu na rynek – dodaje Bar, w której ocenie właśnie tutaj ujawniła się największa wartość tego eksperymentu, m.in. dlatego, że uczyła się nie tylko firma, ale także regulator.
Na podstawie pracy z rzeczywistymi systemami Hiszpanie przygotowali 16 praktycznych przewodników i checklist dotyczących wdrażania wymogów AI Act i – jak wskazuje Bar – doświadczenia Hiszpanii pokazują, że piaskownice pozwalają przekładać ogólne wymogi AI Act na konkretne procesy techniczne i organizacyjne, a regulatorowi lepiej rozpoznawać problemy przedsiębiorców. – Piaskownice mają największy sens w przypadku innowacyjnych systemów, zwłaszcza wysokiego ryzyka, gdzie istnieje rzeczywista niepewność co do sposobu spełnienia wymogów prawnych – mówi.
Sama gotowość przedsiębiorstw do nowych wymogów jest natomiast – zdaniem Bar – bardzo nierówna. Firmy wiedzą już zwykle, że muszą uwzględniać AI Act, ale mają trudności z przełożeniem jego ogólnych norm na konkretne zastosowania AI i określeniem, kto odpowiada za poszczególne obowiązki. Ekspertka zwraca uwagę na błędne przekonanie, że system nie może być uznany za system wysokiego ryzyka, jeżeli ostateczną decyzję zawsze podejmuje człowiek. Tymczasem o klasyfikacji przesądza przede wszystkim przeznaczenie systemu oraz jego faktyczny wpływ na proces decyzyjny.
Problemem pozostaje również praktyczne stosowanie od 2 sierpnia obowiązków przejrzystości. – Wiele firm dopiero teraz zaczyna szczegółowo analizować, jak w praktyce wykonywać wynikające z niego obowiązki transparentności. Nadal pojawia się też podstawowe pytanie: kto właściwie za co odpowiada – dostawca systemu czy firma, która go stosuje? Tymczasem AI Act świadomie rozdziela te obowiązki – tłumaczy Bar.
Przykładowo – jak wyjaśnia – dostawca odpowiada m.in. za odpowiednie zaprojektowanie systemu komunikującego się bezpośrednio z człowiekiem czy techniczne oznaczanie określonych treści generowanych przez AI, podczas gdy na podmiocie stosującym, czyli np. firmie używającej AI, spoczywają m.in. określone obowiązki informacyjne przy deepfake'ach czy systemach rozpoznawania emocji.
Czytaj więcej
Sztuczna inteligencja stała się nowym wyzwaniem dla RODO. Ponad połowa pracowników korzysta z narzędzi AI bez wiedzy pracodawców, często przesyłają...
Rozwój nie wyłącza odpowiedzialności
W związku z wejściem w życie ustawy o systemach sztucznej inteligencji pojawiają się też pytania o kary. Rozdział AI Act dotyczący kar jest stosowany od 2 sierpnia 2025 r., a część obowiązków – m.in. zakaz określonych praktyk – obowiązuje jeszcze dłużej. W Polsce krajowy rozdział ustawy pozwalający KRiBSI nakładać administracyjne kary pieniężne zacznie natomiast obowiązywać 28 października.
– Brak działającej dziś KRiBSI nie oznacza, że przedsiębiorcy mają „wakacje regulacyjne” do czasu jej powołania. AI Act, jako rozporządzenie unijne, ma bezpośrednie zastosowanie – podkreśla Bar, choć zastrzega, że nie można formułować generalnej tezy, iż KRiBSI będzie mogła w przyszłym roku karać za każde jednorazowe naruszenie dokonane przed wejściem w życie polskich przepisów sankcyjnych.
– Ale już inaczej wygląda sytuacja przy naruszeniu ciągłym. Jeżeli przedsiębiorca rozpocznie dziś praktykę sprzeczną z obowiązującym AI Act i będzie ją kontynuował również po uruchomieniu krajowego mechanizmu sankcyjnego, sam fakt, że rozpoczął ją wcześniej, oczywiście nie będzie stanowił ochrony przed odpowiedzialnością za dalsze naruszenie – podkreśla. Ekspertka przypomina również, że korzystanie z AI może równocześnie naruszać RODO, prawo konsumenckie, prawo pracy albo przepisy sektorowe, których egzekwowanie już dziś należy do innych organów.
Sejm i Senat wybiorą szefa nadzoru
Ustawa nie wywołała zasadniczego sporu co do samej potrzeby zbudowania krajowego systemu nadzoru nad AI, choć podczas prac parlamentarnych zgłaszano liczne poprawki dotyczące szczegółów jego funkcjonowania. Prezydent podpisał ustawę 24 lipca, a 27 lipca została ona ogłoszona w Dzienniku Ustaw. Przed parlamentem pozostaje teraz procedura obsadzenia najważniejszego stanowiska w nowym organie – w praktyce wymagająca także uregulowania jej szczegółów w regulaminach obu izb.
