Rozporządzenie (UE) 2024/1689 weszło w życie 1 sierpnia 2024 roku. Punktem wyjścia każdego audytu jest ustalenie, jaką rolę organizacja pełni wobec konkretnego systemu AI, a nie samo stwierdzenie, że korzysta ze sztucznej inteligencji. To rozróżnienie decyduje o tym, który zestaw obowiązków w ogóle ma zastosowanie, a pomylenie ról to typowy błąd na tym etapie, bo obie definicje opisują tę samą organizację z dwóch różnych stron.

Dwie role, dwa różne pakiety obowiązków

Rozporządzenie rozróżnia dostawcę, czyli podmiot, który opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą, od podmiotu stosującego, czyli organizację, która używa systemu w swojej działalności.

Dla systemów AI wysokiego ryzyka dostawcy wprowadzają udokumentowany system zarządzania jakością, obejmujący między innymi strategię zgodności regulacyjnej, procedury testowania i walidacji, zarządzanie danymi oraz monitorowanie po wprowadzeniu systemu do obrotu. Podmiot stosujący ma zupełnie inny zestaw obowiązków: stosuje system zgodnie z jego instrukcją obsługi, powierza nadzór ludzki osobom z odpowiednimi kompetencjami i uprawnieniami, monitoruje działanie systemu, przechowuje rejestry zdarzeń przez minimum sześć miesięcy i informuje pracowników przed uruchomieniem systemu w ich miejscu pracy.

Te dwa pakiety adresują różne podmioty. Organizacja, która kupuje gotowy system AI od zewnętrznego dostawcy i używa go bez modyfikacji, formalnie odpowiada za obowiązki podmiotu stosującego. Dokumentacja techniczna i system zarządzania jakością pozostają po stronie firmy, która zbudowała system i wprowadziła go do obrotu. To rozróżnienie brzmi prosto na poziomie zasady, ale w praktyce firmy zbyt często zakładają jedną odpowiedź dla wszystkich wdrożonych narzędzi naraz, bez sprawdzenia jej osobno dla każdego systemu.

Dlaczego jedna organizacja może pełnić obie role jednocześnie

To, że firma jest podmiotem stosującym w odniesieniu do jednego systemu, nie oznacza, że jest nim automatycznie wobec wszystkich pozostałych. Organizacja, która kupuje gotowy model do obsługi klienta, może w tym samym czasie sama budować i wdrażać własne narzędzie AI wspierające inny proces wewnętrzny, na przykład analizę danych operacyjnych. W tej drugiej sytuacji ta sama organizacja pełni rolę dostawcy wobec systemu, który sama opracowała, mimo że wobec innego, kupionego narzędzia pozostaje podmiotem stosującym.

To dlatego pierwszym krokiem każdego rzetelnego przeglądu jest konkretny spis systemów AI używanych w organizacji, z osobnym ustaleniem roli dla każdego z nich. Rola jest cechą konkretnej relacji między organizacją a konkretnym systemem, i traktowanie jej jako jednej odpowiedzi na wszystkie pytania naraz łatwo prowadzi do błędu klasyfikacyjnego, bo każdy system trzeba ocenić osobno.

Obowiązki podmiotu stosującego, które łatwo przeoczyć

FRIA dla wybranych systemów Załącznika III

Art. 26, przywołany wyżej, nie jest jedynym przepisem adresowanym do podmiotu stosującego. Dla części systemów wysokiego ryzyka z Załącznika III, poza pkt 2, rozporządzenie nakłada dodatkowy obowiązek z art. 27: ocenę skutków dla praw podstawowych, znaną jako FRIA. Obowiązek ten dotyczy dwóch konkretnych grup: podmiotów prawa publicznego lub prywatnych dostawców usług publicznych, oraz podmiotów wdrażających systemy z pkt 5 lit. b i c Załącznika III, czyli ocenę zdolności kredytowej i wycenę ryzyka w ubezpieczeniach na życie i zdrowotnych.

Ocena musi opisać procesy, w których system będzie wykorzystywany, okres i częstotliwość jego użycia, kategorie osób, na które może wpłynąć, konkretne ryzyko szkody, przewidziane środki nadzoru ludzkiego i plan reakcji na wypadek materializacji ryzyka, a wynik trzeba zgłosić organowi nadzoru rynku.

Przejrzystość: dwa obowiązki po stronie podmiotu stosującego

Osobny, węższy obowiązek dotyczy przejrzystości. Art. 50 rozdziela cztery odrębne wymogi między dostawcę i podmiot stosujący, a dwa z nich adresowane są do organizacji, która system kupuje i używa. Jeśli wdrożony system rozpoznaje emocje albo dokonuje kategoryzacji biometrycznej, podmiot stosujący musi poinformować o tym osoby, wobec których system jest stosowany.

Jeśli system generuje treści typu deepfake albo nimi manipuluje, podmiot stosujący ujawnia, że treść została sztucznie wygenerowana lub zmanipulowana, a obowiązek ten nie jest zawężony do spraw interesu publicznego. Osobnym przypadkiem jest tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym; tam obowiązek ujawnienia odpada, gdy treść przeszła weryfikację przez człowieka lub kontrolę redakcyjną i odpowiedzialność redakcyjną za publikację ponosi osoba fizyczna lub prawna.

Wyjątek redakcyjny obejmuje wyłącznie ten drugi, tekstowy przypadek. Pozostałe dwa obowiązki z tego artykułu, informowanie odbiorcy, że rozmawia z AI, oraz znakowanie treści generatywnych w formacie odczytywalnym maszynowo, art. 50 adresuje do dostawcy.

Żaden z tych dwóch obowiązków przejrzystości nie jest zastępowany przez ogólną klauzulę w regulaminie albo w umowie z klientem. Informacja dla osoby poddanej rozpoznawaniu emocji albo kategoryzacji biometrycznej oraz ujawnienie treści typu deepfake muszą trafić do konkretnej osoby w konkretnym momencie; ogólny zbiór zasad korzystania z usługi, opublikowany gdzieś na stronie, tego wymogu nie spełnia.

Ustalenie roli musi wyprzedzać dokumentację

Dokładnie w tym miejscu widać, dlaczego ustalenie roli musi wyprzedzać każdą decyzję o dokumentacji. Organizacja, która błędnie uzna się za wyłącznie podmiot stosujący, może przeoczyć, że wobec własnego, samodzielnie zbudowanego narzędzia odpowiada również za system zarządzania jakością z art. 17. Po Digital Omnibusie ten obowiązek ma być proporcjonalny do wielkości dostawcy, z wyraźnym uwzględnieniem MŚP, startupów i małych spółek o średniej kapitalizacji, ale samego obowiązku nie zdejmuje.

Rozporządzenie przewiduje też sytuację odwrotną: podmiot stosujący, dystrybutor lub importer staje się dostawcą, jeśli umieści własną nazwę lub znak towarowy na już wprowadzonym systemie wysokiego ryzyka, wprowadzi w nim istotną zmianę zachowującą ten status, albo zmieni jego przeznaczenie w sposób, który kwalifikuje go jako system wysokiego ryzyka; dla systemów z Załącznika III pełny pakiet obowiązków dostawcy, który wtedy powstaje, zaczyna obowiązywać od 2 grudnia 2027 roku.

Organizacja przekonana, że jako nabywca gotowego rozwiązania nie ma obowiązków FRIA, może działać akurat w sektorze oceny zdolności kredytowej albo ubezpieczeń na życie i zdrowotnych, gdzie art. 27 ma zastosowanie niezależnie od tego, kto system zbudował. Zarząd, który chce mieć nad tym kontrolę, potrzebuje rejestru systemów z przypisaną rolą dla każdego z nich; jedna ogólna deklaracja na poziomie całej organizacji tego nie zapewnia.

Pytania, które warto zadać przy każdym systemie z osobna

Czy nasza organizacja opracowała ten system samodzielnie, czy kupiła go od zewnętrznego podmiotu? Czy w umowie z dostawcą jest zapis o tym, kto odpowiada za dokumentację techniczną i instrukcję obsługi systemu? Czy wprowadziliśmy w systemie zmiany wykraczające poza standardową konfigurację przewidzianą przez dostawcę?

To pytania, na które nie ma jednej uniwersalnej odpowiedzi, i odpowiedź na każde z nich zależy od konkretnej umowy, konkretnego systemu i konkretnego sposobu jego wykorzystania w organizacji. Tam, gdzie odpowiedź nie jest oczywista, właściwym krokiem jest analiza konkretnej umowy i zakresu faktycznie wprowadzonych zmian; odpowiedź założona z góry w tym miejscu zawodzi.

Dlaczego to ma znaczenie już teraz

Dla części systemów wysokiego ryzyka, w tym systemów samodzielnych z Załącznika III, obowiązki zaczynają obowiązywać dopiero 2 grudnia 2027 roku, po przesunięciu tego terminu z pierwotnego 2 sierpnia 2026 roku. To odroczenie dotyczy samego obowiązku spełnienia wymogów; ustalenie, kim organizacja jest wobec konkretnego systemu, można i warto zrobić już teraz.

Rejestr systemów AI, przypisana rola dla każdego z nich i jasność co do tego, kto odpowiada za dokumentację, to praca do wykonania zanim terminy przesądzą o tym pod presją czasu. Organizacja, która wie już dziś, jaką rolę pełni wobec każdego używanego systemu, wchodzi w kolejne terminy z gotową mapą decyzji do podjęcia.

Od czego zacząć

Dla organizacji, które nie mają jeszcze spisu systemów AI używanych w firmie ani ustalonej roli dla każdego z nich, punktem wejścia jest bezpłatny audyt wstępny pod adresem novus-point.pl/audyt. Dla organizacji, które podejrzewają, że w przypadku konkretnego systemu rola mogła się przesunąć, i chcą to ustalić wraz z konsekwencjami dla dalszej dokumentacji, właściwym krokiem jest rozmowa 30-minutowa przez formularz kontaktowy, prowadzona przez Google Meet.