Dynamiczny rozwój sztucznej inteligencji spowodował lawinowy wzrost popularności treści typu deepfake tworzonych z wykorzystaniem generatywnej AI, a także chatbotów, które wchodzą w interakcję z osobami fizycznymi. Unijny ustawodawca w treści rozporządzenia AI Act reguluje obowiązki związane z transparentnością wykorzystania narzędzi AI. Kto musi je stosować i o czym należy pamiętać?
W tym artykule przeczytasz o:
- Nowych obowiązkach wynikających z art. 50 AI Act.
- Oznaczaniu deepfaków w internecie.
- Obowiązku tagowania chatbotów jako narzędzi AI.
- Dokumentacji wymaganej w firmie korzystającej z AI.
Co zmienia art. 50 AI Act?
Artykuł 50 rozporządzenia AI Act reguluje w sposób kompleksowy obowiązki w zakresie przejrzystości dla dostawców i podmiotów stosujących wybrane rodzaje systemów AI. Wraz z wejściem w życie nowych przepisów konieczne staje się informowanie odbiorców Twoich towarów lub usług o korzystaniu z modeli AI lub treści (np. zdjęć produktów) stworzonej przy użyciu generatywnych algorytmów. Nowe regulacje dotyczą przede wszystkim szeroko rozumianej branży e-commerce, ale też bankowości, usług telekomunikacyjnych i innych sektorów, w których popularne stało się wykorzystywanie chatbotów. Obowiązki w zakresie transparentności są kluczowe również dla serwisów informacyjnych.
Dla przedsiębiorców korzystających z nowoczesnych technologii wejście w życie art. 50 AI Act oznacza konieczność zweryfikowania zgodności stosowanego modelu biznesowego z treścią rozporządzenia. Błędy i zaniedbania mogą skutkować nałożeniem sankcji finansowych na Twoją firmę.
Prowadzisz sklep e-commerce i korzystasz z AI? Upewnij się, że robisz to zgodnie z przepisami: https://rpms.pl/obsluga-prawna-e-commerce/
Od kiedy obowiązują nowe wymagania?
Zgodnie z art. 113 aktu o sztucznej inteligencji, art. 50 AI Act będzie miał zastosowanie od dnia 2 sierpnia 2026 r. Wymaga to, aby wszystkie objęte zakresem stosowania systemy sztucznej inteligencji wprowadzone do obrotu lub oddane do użytku od tej daty w Unii były zgodne z tym przepisem w tym dniu.
Warto pamiętać, że rozporządzenie zmieniające akt o sztucznej inteligencji (tzw. AI Omnibus) przewiduje ukierunkowaną zasadę zachowania praw nabytych wyłącznie w odniesieniu do obowiązków w zakresie oznaczania i wykrywania, o których mowa w art. 50 ust. 2 aktu o sztucznej inteligencji, dla systemów generatywnej sztucznej inteligencji wprowadzonych do obrotu lub oddanych do użytku przed dniem 2 sierpnia 2026 r.
Przyznaje ono dostawcom tych istniejących systemów okres przejściowy na dostosowanie systemów do wymogów do dnia 2 grudnia 2026 r. Systemy, które są częściowo interaktywne, a częściowo generatywne, mogą korzystać z tego okresu przejściowego wyłącznie w zakresie obowiązku oznaczania określonego w art. 50 ust. 2 aktu o sztucznej inteligencji, natomiast wymóg zapewnienia zgodności z obowiązkiem informacyjnym dotyczącym systemów sztucznej inteligencji wchodzących w bezpośrednią interakcję z osobami fizycznymi musi zostać spełniony od dnia 2 sierpnia 2026 r. Oznacza to, że o częściową zgodność trzeba będzie zadbać już wkrótce!
Jeśli chodzi o treści wprowadzone do obrotu lub oddane do użytku przed 2 sierpnia 2026 roku, nie muszą być oznaczane ani opatrywane etykietą z mocą wsteczną. Dla dobra ogółu użytkowników sieci i w celu zapewnienia transparentności serwisu zaleca się jednak odpowiednie tagowanie treści.
Kim jest dostawca, a kim podmiot stosujący AI?
W kontekście art. 50 AI Act pojawiają się dwa typy podmiotów. Dostawca to podmiot, który samodzielnie tworzy system sztucznej inteligencji (lub model ogólnego przeznaczenia) albo zleca jego stworzenie, a następnie wprowadza go na rynek lub uruchamia pod własną nazwą lub znakiem towarowym. To na dostawcy spoczywa najwięcej obowiązków związanych z opracowaniem dokumentacji technicznej, oceną zgodności, ocena ryzyka, zarządzeniem jakością i monitorowaniem systemu po wprowadzeniu go na rynek.
Podmiotem stosującym jest ten, kto wykorzystuje system AI i sprawuje nad nim kontrolę (z wyjątkiem sytuacji, kiedy system AI jest wykorzystywany w działalności pozazawodowej). Za podmiot stosujący można uznać np. firmę medyczną, która otrzymuje oprogramowania AI do analizy zdjęć diagnostyki obrazowej i wykorzystuje je do badania pacjentów.
W określonych sytuacjach dostawca może stać się jednocześnie podmiotem stosującym. Tak dzieje się np. w sytuacji, gdy:
- tworzysz system wykorzystywany w swojej działalności (np. AI do oceny zdolności kredytowej klientów),
- istotnie modyfikujesz otrzymany system AI wysokiego ryzyka lub zmienisz oprogramowanie na AI wysokiego ryzyka.
Masz wątpliwości dotyczące swoich obowiązków na gruncie AI Act? Zmapujemy je dla Ciebie i przygotujemy procedury compliance: https://rpms.pl/obsluga-prawna-ai/.
Dlaczego ten podział ról w AI Act ma dla Ciebie znaczenie? Dostawcy odpowiadają za funkcje informacyjne chatbotów i automatyczne tagowanie treści. Podmioty stosujące dbają o tagowanie treści deepfake oraz informowanie o stosowaniu systemów rozpoznawania emocji lub systemów kategoryzacji biometrycznej.
Kiedy trzeba poinformować o rozmowie z chatbotem lub agentem AI?
Dostawcy zapewniają, aby systemy AI przeznaczone do wchodzenia w bezpośrednią interakcję z osobami fizycznymi projektowano i rozwijano w taki sposób, aby zainteresowane osoby fizyczne były informowane o tym, że prowadzą interakcję z systemem AI. Unijny ustawodawca motywuje tę regulację koniecznością indywidualnej oceny każdego użytkownika, czy chce on zaufać sztucznej inteligencji i w jakim zakresie. Jako model osoby fizycznej przyjmuje się odbiorcę, który jest dostatecznie poinformowany, uważny i ostrożny, z uwzględnieniem okoliczności i kontekstu wykorzystywania.
Bezpośrednią interakcją jest możliwość dwukierunkowej wymiany informacji lub podejmowania działania z inicjatywy odbiorcy w czasie rzeczywistym (np. głosowe podawanie przyczyny wykonania połączenia -> telefon do banku -> kredyty hipoteczne -> numer klienta).
Obowiązki podmiotów stosujących w zakresie sygnalizowania interakcji z AI
W przypadku podmiotów stosujących obowiązek oznaczania interakcji z systemem AI dotyczy stosowania systemów do rozpoznawania emocji lub kategoryzacji biometrycznej. Jeśli Twoje AI potrafi:
- wnioskować o emocjach lub zamiarach osób fizycznych na podstawie ich danych biometrycznych,
- przypisać osoby fizyczne do określonych kategorii na podstawie ich danych biometrycznych (chyba że stanowi to element pomocniczy wobec innej usługi komercyjnej i jest ściśle niezbędne ze względów technicznych o obiektywnym charakterze)
– musisz zadbać o poinformowanie odbiorcy o tym, że wchodzi w interakcję z AI.
Ważne!
Pamiętaj, że wszystkie systemy AI, które potrafią rozpoznawać emocje, są traktowane jako systemy wysokiego ryzyka (chyba że stosowanie ich zostało uznane za niedozwolone). Oznacza to konieczność wdrożenia także pozostałych obowiązków względem High-Risk AI.
Czy agenci AI podlegają pod regulację art. 50 ust. 1 AI Act?
Tak, Agenci AI również muszą być oznaczani w interakcji z odbiorcą, jeżeli są zdolni do interakcji poprzez automatyczną realizację konkretnych działań (np. rezerwacji pobytu, zarządzania korespondencją, finalizowania zakupów). Jeśli chodzi o środowisko multiagentowe ujawnienie AI jest niezbędne, jeśli dostawca wie lub może przypuszczać, że dany agent będzie miał kontakt z osobą fizyczną, jego oznaczanie jest niezbędne.
Przykład 1 – stosowanie art. 50 ust. 1 AI Act w środowisku multiagentowym
Chatbot do raportowania fraudów, który przekazuje dane do innego AI lub asystent głosowy AI, który uruchamia rezerwację wizyty w placówce medycznej.
Przykład 2 – wyłączenie stosowania art. 50 ust. 1 w środowisku multiagentowym
Roboty przemysłowe wykorzystujące sztuczną inteligencję, działające w zamkniętym środowisku przemysłowym i nieprzeznaczone do interakcji z ludźmi, Systemy rekomendacyjne, filtry antyspamowe oraz narzędzia do automatycznego tłumaczenia lub transkrypcji wykorzystujące sztuczną inteligencję lub systemy wyszukiwania i odzyskiwania informacji wykorzystujące sztuczną inteligencję, niewiążące się z generowaniem ani modyfikowaniem treści.
Kto odpowiada za oznaczanie treści generowanych przez AI?
Obowiązek oznaczania treści generowanych przez AI (tekstu, obrazów lub dźwięków) spoczywa zarówno na dostawcach, jak i podmiotach stosujących. W przypadku dostawców obowiązek ten nie dotyczy sytuacji, kiedy systemy AI pełnią funkcję wspomagającą w zakresie standardowej edycji lub nie zmieniają w istotny sposób przekazywanych przez podmiot stosujący danych wejściowych lub ich semantyki (np. oprogramowania do autokorekty gramatyki, interpunkcji lub składni).
Innymi słowy, możesz korzystać z AI bez obowiązku tagowania treści jako AI-Generated, jeśli używasz wtyczek wspomagających tworzenie treści (ale nie zastępujących tego procesu).
Czy każda grafika i każdy tekst wygenerowany przez AI wymagają oznaczenia?
Oznaczanie treści generatywnych nie ma charakteru uniwersalnego. Z tego obowiązku zostały wyłączone działania mające na celu wykrywanie przestępstw, zapobieganie im, prowadzenie postępowań przygotowawczych w ich sprawie lub ściganie ich sprawców.
Kiedy treść stanowi deepfake?
Deepfakiem jest wszystkie treści, które zostały wygenerowane przez sztuczną inteligencję lub poddane manipulacji treści wizualne, dźwiękowe lub wideo, przypominające istniejące osoby, obiekty, miejsca, podmioty lub wydarzenia i które w odbiorze danej osoby mogłyby błędnie uchodzić za autentyczne lub prawdziwe. Unijny ustawodawca wskazuje na 4 przesłanki, które muszą zostać spełnione, aby można mówić o istnieniu deepfake’a:
- podobieństwo między prawdziwym obiektem a wygenerowaną treścią,
- treść AI odnosi się do istniejącego obiektu (choćby potencjalnie),
- wygenerowany obraz manipuluje osobami, obiektami, miejscami, podmiotami lub zdarzeniami,
- efekt pracy AI sprawia na odbiorcy mylne wrażenie autentyczności lub prawdziwości.
Oceny prawdziwości należy dokonać kompleksowo, uwzględniając stopień podobieństwa, potencjalny przekaz merytoryczny treści, zamierzone i dające się przewidzieć konteksty ich wykorzystania, środowisko, w jakim są prezentowane, a także zamierzony i dający się racjonalnie przewidzieć skład odbiorców oraz ich oczekiwania.
Warto zwrócić uwagę, że – choć Wielka Brytania nie stosuje AI Act – przed sądami brytyjskimi zapadają wyroki sądów dotyczących wykorzystania deep fake’ów, m.in. w sprawach Mendones, et al. v. Cushman and Wakefield, Inc., et al. (sankcje za celowe przedkładanie fałszywych dowodów stworzonych przez AI) lub R v Teixeira (sprawca uczestniczył w internetowych grupach dyskusyjnych poświęconych wykorzystywaniu dzieci, w których udostępniano materiały przedstawiające takie nadużycia, w tym obrazy wygenerowane przez sztuczną inteligencję). Można spodziewać się, że również sądownictwo europejskie będzie równie skutecznie zwalczało brak transparentności.
Jak działa wyjątek dotyczący kontroli człowieka i odpowiedzialności redakcyjnej?
Rozporządzenie AI Act przewiduje dwa wyjątki od obowiązku oznaczania treści stworzonych lub zmodyfikowanych przez AI.
Kontrola człowieka
Kontrola człowieka wymaga celowej analizy merytorycznej zawartości tekstu, dokonywanej przez jedną lub więcej osób fizycznych posiadających odpowiednią wiedzę i kompetencje zawodowe w zakresie poddawanego ocenie tematu. Kontrola powinna przebiegać na płaszczyźnie faktów, a tam, gdzie to możliwe, warto zadbać o nadzór redaktora naczelnego. Zautomatyzowane procesy weryfikacji treści lub wyłącznie pobieżne sprawdzenie tematu nie spełniają wymogów właściwych dla tego wyjątku.
Odpowiedzialność redakcyjna
Warunkiem skorzystania z drugiego wyłączenia jest możliwość przypisania odpowiedzialności za weryfikację i publikację treści konkretnemu podmiotowi. Dane te powinny być łatwe do ustalenia np. w regulaminie serwisu lub w innych informacjach prawnych skierowanych do użytkowników (np. stopce redakcyjnej lub informacji o wydaniu.
Jakie dokumenty i procedury powinna posiadać firma korzystająca z AI?
Jeśli decydujesz się na stosowanie technologii sztucznej inteligencji do kontaktu z użytkownikiem lub tworzenia treści, zadbaj o przygotowanie niezbędnej dokumentacji. Uporządkowany zestaw dokumentów to pewność, że Twoja firma działa zgodnie z przepisami. Będziesz potrzebował przede wszystkim:
- rejestru systemów AI używanych w firmie wraz z opisem przeznaczenia każdego systemu,
- wskazania roli firmy wśród podmiotów wymienionych w AI Act,
- klasyfikacji ryzyka wraz z audytem, czy system podlega zakazom,
- opisu danych wejściowych i wyników generowanych przez system,
- zasad nadzoru nad systemem wraz z opisem mechanizmu kontroli ludzkiej,
- procedur reagowania na błędy, incydenty i skargi;
- zasad korzystania z generatywnej AI przez pracowników,
- dowodów szkoleń z kompetencji w zakresie AI.
Przygotujemy dla Ciebie kompleksową dokumentację niezbędną według AI Act. Sprawdź nasze usługi: https://rpms.pl/obsluga-prawna-ai/.
Sankcje za naruszenie art. 50 AI Act
Dostawcy i podmioty stosujące, które nie wywiązują się z obowiązujących obowiązków w zakresie przejrzystości określonych w art. 50 ustawy o AI, mogą zostać ukarane grzywną w wysokości do 15 000 000 EUR lub, jeśli sprawcą jest przedsiębiorstwo, w wysokości do 3% jego całkowitego rocznego światowego obrotu za poprzedni rok obrotowy (w zależności od tego, która kwota jest wyższa). Przy nakładaniu sankcji organ bierze pod uwagę wagę naruszenia, w tym np. charakter, wagę i czas trwania naruszenia oraz jego konsekwencje, charakter nieumyślny lub umyślny uchybienia, inne czynniki obciążające lub łagodzące. Duże firmy powinny liczyć się z wyższymi sankcjami niż podmioty z sektora MŚP lub startupy.
Checklista dla przedsiębiorcy – 10 rzeczy, które musisz wiedzieć, zanim zastosujesz AI
Na zakończenie przygotowaliśmy dla Ciebie checklistę, która pomoże Ci przygotować się do AI Act.
- Sprawdź, czy korzystasz z zasobów AI.
- Określ rolę firmy w łańcuchu podmiotów AI, np. dostawca, podmiot stosujący, dystrybutor.
- Ustal przeznaczenie systemu AI, czy nie służy on praktykom zakazanym lub nie jest systemem wysokiego ryzyka.
- Przygotuj kompletną dokumentację systemu AI.
- Stosuj zasadę AI Literacy – przygotowanie zespołu do korzystania ze sztucznej inteligencji.
- Ustal zasady przejrzystości w zakresie informowania o systemach AI oraz deepfake’ach.
- Upewnij się, że prawidłowo stosujesz RODO razem z AI Act.
- Audytuj umowy z dostawcami usług AI.
- Stwórz wewnętrzną politykę AI.
- Opracuj procedurę reagowania na incydenty.
Jak możemy Ci pomóc?
Kancelaria RPMS oferuje kompleksowe wsparcie w zakresie wdrażania AI Act w przedsiębiorstwach:
- Audytujemy zasoby AI w Twojej firmie.
- Tworzymy niezbędne procedury.
- Doradzamy w zakresie umów z dostawcami.
- Monitorujemy zgodność z przepisami sektorowymi.
- Szkolimy pracowników w zakresie korzystania z AI.
Potrzebujesz szybkiej pomocy prawnej w zakresie AI Act? Napisz do nas na adres kancelaria@rpms.pl lub zadzwoń pod numer telefonu 61 307 09 91.
FAQ Obowiązki przejrzystości w AI Act – pytania i odpowiedzi
Czy autokorekta treści dokonana przez agenta AI wyłącza obowiązek publikacji informacji o wykorzystaniu sztucznej inteligencji do tworzenia treści?
Nie, artykuły wygenerowane przez sztuczną inteligencję, które są weryfikowane i redagowane przez inny system AI, a w przypadku których redaktor-człowiek przed publikacją dokonuje jedynie powierzchownej korekty gramatycznej, nie spełniają przesłanek wyłączających obowiązki informacyjne z art. 50 ust. 4 AI Act.
Jak powinna wyglądać prawidłowa informacja lub oznaczenie treści stworzonych przez AI?
Należy posługiwać się jasnym i precyzyjnym językiem, wskazując, że konkretne treści zostały wygenerowane z wykorzystaniem sztucznej inteligencji. Możesz zamieścić także bardziej rozbudowany disclaimer, np. „Ten artykuł powstał dzięki technologii AI, aby dostarczyć interesujące Cię treści szybciej i efektywniej. Zweryfikuj zawarte tutaj informacje z niezależnymi źródłami”.