AI Act w Polsce: audyt narzędzi AI i kary od października 2024

Audyt użycia narzędzi sztucznej inteligencji w firmie powinien być priorytetem każdej organizacji, bo od 28 października 2024 roku Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRIBSI) będzie mogła nakładać kary za naruszenia unijnego AI Act. Instytut Łączności – Państwowy Instytut Badawczy opublikował poradnik, w którym wskazuje konkretne kroki, które przedsiębiorstwa powinny podjąć już teraz, aby uniknąć sankcji.

Harmonogram wejścia w życie AI Act w Polsce

Unijny Akt o sztucznej inteligencji (AI Act) wszedł w życie 1 sierpnia 2024 roku. W Polsce jego implementacja odbywa się poprzez ustawę o systemach sztucznej inteligencji, która weszła w życie 11 sierpnia 2024 roku. Oznacza to, że polskie organizacje już teraz podlegają niektórym obowiązkom wynikającym z regulacji.

Kluczowe daty dla polskich firm:

Termin	Obowiązek
1 sierpnia 2024	Wejście w życie AI Act (przepisy ogólne)
11 sierpnia 2024	Wejście w życie ustawy o systemach AI w Polsce
28 października 2024	KRIBSI może nakładać kary za naruszenia
Koniec października 2024	Pełne wdrożenie ustawy o systemach AI
2 grudnia 2025	Obowiązkowe przepisy dotyczące systemów wysokiego ryzyka
2028	Pełne wdrożenie AI Act

Pierwszy krok: inwentaryzacja narzędzi GenAI w organizacji

Eksperci Instytutu Łączności zalecają, aby pierwszym krokiem była stworzenie kompletnej listy wszystkich narzędzi generatywnej sztucznej inteligencji (GenAI) wykorzystywanych przez pracowników. To zadanie wydaje się proste, ale wymaga systematycznego podejścia, zwłaszcza w dużych organizacjach, gdzie pracownicy mogą korzystać z narzędzi AI niezależnie, bez wiedzy kierownictwa.

Podczas inwentaryzacji warto odpowiedzieć na następujące pytania:

• Jakie narzędzia AI są używane w organizacji (ChatGPT, Gemini, Claude, inne)?
• Do jakich konkretnych zadań pracownicy je wykorzystują?
• Jakie dane są wprowadzane do tych narzędzi?
• Kto ma dostęp do poszczególnych narzędzi?
• Czy wyniki generowane przez AI wpływają na decyzje dotyczące innych osób?

To ostatnie pytanie jest szczególnie ważne, bo jeśli system AI wspiera decyzje, które mogą wpłynąć na pracowników, klientów lub partnerów biznesowych, organizacja musi zastosować dodatkowe zabezpieczenia.

Ochrona danych wrażliwych w systemach AI

Szczególną uwagę należy zwrócić na dane, które trafiają do narzędzi AI. Instytut Łączności wyraźnie podkreśla, że „szczególnej ochrony wymagają dane osobowe, informacje poufne, tajemnice przedsiębiorstwa, dokumenty wewnętrzne oraz dane objęte tajemnicą zawodową”.

Wiele firm popełnia błąd, wprowadzając do ChatGPT czy podobnych narzędzi dane, które powinny pozostać wewnętrzne. Przykłady niebezpiecznych praktyk:

• Wklejanie fragmentów umów z klientami do ChatGPT w celu ich analizy
• Wprowadzanie danych pracowników w celu automatyzacji procesów HR
• Przetwarzanie informacji finansowych lub medycznych przez publiczne narzędzia AI
• Kopiowanie kodów źródłowych projektów do systemów AI w celu uzyskania pomocy

Każda z tych praktyk może naruszyć przepisy AI Act i jednocześnie stanowić naruszenie RODO (Rozporządzenia o Ochronie Danych Osobowych).

Nadzór człowieka nad decyzjami wspieranymi przez AI

Jedno z kluczowych założeń AI Act to zachowanie nadzoru człowieka nad działaniem narzędzi wykorzystujących sztuczną inteligencję. Oznacza to, że organizacje muszą jasno określić, które decyzje mogą być wspierane przez AI, a które muszą być podejmowane wyłącznie przez ludzi.

Szczególnie istotne jest to w przypadkach, gdy wyniki AI mogą wpłynąć na:

• Zatrudnienie lub zwolnienie pracownika
• Przyznanie kredytu lub ubezpieczenia
• Dostęp do usług publicznych
• Bezpieczeństwo lub zdrowie osób

W takich sytuacjach AI powinno być jedynie narzędziem wspierającym decyzję, a ostateczną odpowiedzialność musi ponosić człowiek. Organizacja powinna dokumentować, w jaki sposób podejmowane są takie decyzje i jaką rolę odgrywa w nich sztuczna inteligencja.

Szkolenia pracowników i wewnętrzne procedury

AI Act nakłada na organizacje obowiązek zapewnienia pracownikom kompetencji w zakresie sztucznej inteligencji – to wymóg zwany „AI literacy”. Oznacza to, że firmy muszą szkolić swoich pracowników na temat:

• Możliwości i ograniczeń narzędzi AI
• Ryzyk związanych z ich użytkowaniem
• Procedur bezpieczeństwa danych
• Odpowiedzialności prawnej za naruszenia

Równie ważne jest opracowanie wewnętrznych zasad korzystania z narzędzi sztucznej inteligencji. Procedury powinny zawierać:

• Listę zatwierdzonych narzędzi AI
• Wytyczne dotyczące typów danych, które mogą być wprowadzane do systemów AI
• Procedury zatwierdzania nowych narzędzi AI
• Proces raportowania potencjalnych zagrożeń lub naruszeń

Dokumentacja techniczna i zarządzanie ryzykiem

AI Act wymaga prowadzenia szczegółowej dokumentacji technicznej oraz monitorowania działania systemów AI. Ta dokumentacja będzie kluczowa w przypadku kontroli przeprowadzonej przez KRIBSI.

Dokumentacja powinna zawierać:

• Opis każdego systemu AI stosowanego w organizacji
• Ocenę ryzyka związaną z jego użytkowaniem
• Przeprowadzone testy i weryfikacje
• Procedury zarządzania ryzykiem
• Logi zmian i aktualizacji systemów

Prowadzenie takiej dokumentacji pozwoli wykazać, że organizacja świadomie oceniła ryzyko, określiła odpowiedzialność i zastosowała właściwe zabezpieczenia. W razie kontroli będzie to dowód na to, że firma działała w zgodzie z przepisami.

Klasyfikacja systemów AI według poziomu ryzyka

AI Act wprowadza podejście oparte na analizie ryzyka. Systemy AI są klasyfikowane na trzy kategorie:

Systemy zakazane – całkowicie niedozwolone w UE (np. systemy masowej inwigilacji)

Systemy o ograniczonym i minimalnym wpływie – podlegają mniejszym obowiązkom

Systemy wysokiego ryzyka – wymagają najsurowszych przepisów, szczególnie gdy mogą wpływać na:

• Zdrowie i bezpieczeństwo osób
• Prawa obywatelskie
• Dostęp do istotnych usług
• Sytuację zawodową, finansową lub społeczną użytkowników

Przepisy dotyczące systemów wysokiego ryzyka będą mieć zastosowanie dopiero od 2 grudnia 2025 roku, ale eksperci Instytutu Łączności zalecają, aby już teraz organizacje sprawdziły, czy je stosują. Warto zadać sobie pytanie: czy błąd systemu AI może wywołać istotne konsekwencje dla użytkowników?

Co to oznacza dla Ciebie i Twojej firmy

Jeśli Twoja organizacja używa narzędzi AI – czy to ChatGPT, Gemini, czy jakiegokolwiek innego systemu – jesteś już objęty regulacją AI Act. Nie czekaj do ostatniej chwili z dostosowaniem się do wymogów.

Praktyczne kroki do podjęcia już teraz:

1. Przeprowadź audyt – Zidentyfikuj wszystkie narzędzia AI używane w Twojej firmie i cele, do których są wykorzystywane.

2. Oceń ryzyko – Określ, jakie dane trafiają do systemów AI i czy mogą to być informacje wrażliwe.

3. Wdrażaj procedury – Opracuj wewnętrzne zasady korzystania z AI i procedury ochrony danych.

4. Szkolić pracowników – Upewnij się, że Twój zespół rozumie, jak bezpiecznie i odpowiedzialnie używać narzędzia AI.

5. Dokumentuj wszystko – Prowadź dokumentację, która będzie dowodem Twojej zgodności z AI Act.

6. Sprawdzaj dostawców – Jeśli korzystasz z gotowych narzędzi, zapytaj dostawców o zgodność ich produktów z AI Act.

Pamiętaj: od 28 października 2024 roku KRIBSI będzie mogła wszczynać kontrole i nakładać kary. Lepiej być przygotowanym teraz niż zmagać się z sankcjami później.