AI Act w projektach IT — kiedy pojawiają się obowiązki po stronie twórcy, integratora i użytkownika

Firma informatyczna planuje dodać do swojego flagowego oprogramowania nową funkcję opartą na algorytmach uczenia maszynowego. Zespół projektowy staje przed poważnym wyzwaniem regulacyjnym. Przed faktycznym rynkowym udostępnieniem modułu organizacja musi precyzyjnie określić, czy nowe rozwiązanie wpisuje się w ramy unijnego rozporządzenia AI Act. Istotnym krokiem jest identyfikacja konkretnych obowiązków prawnych spoczywających na poszczególnych podmiotach zaangażowanych w cykl życia produktu. Twórca modelu bazowego, przedsiębiorstwo integrujące gotowy mechanizm we własnej aplikacji oraz końcowy użytkownik ponoszą bowiem zupełnie inną odpowiedzialność. Błędna kwalifikacja na wczesnym etapie projektowania grozi nie tylko opóźnieniem całego wdrożenia, ale również nałożeniem poważnych sankcji administracyjnych.

Kwalifikacja technologii i role w łańcuchu dostaw

Analizę zgodności prawnej zawsze rozpoczyna weryfikacja samego mechanizmu działania oprogramowania. Przepisy nie obejmują każdego kodu komputerowego.

Odróżnienie sztucznej inteligencji od automatyzacji

Zasadniczym elementem całego procesu jest ustalenie, czy wdrażany mechanizm spełnia kryteria narzucone przez europejskiego prawodawcę. Definicja systemu AI w rozumieniu unijnych przepisów obejmuje system maszynowy zaprojektowany do działania z odpowiednim poziomem autonomii. Mechanizm ten samodzielnie wnioskuje na podstawie dostarczonych danych wejściowych, ustalając sposób generowania docelowych wyników. Do efektów takiej pracy zaliczają się zaawansowane predykcje, nowe treści, spersonalizowane zalecenia lub decyzje bezpośrednio wpływające na otoczenie.

Zwykła automatyzacja procesów biznesowych nie kwalifikuje się jako sztuczna inteligencja. Oprogramowanie oparte wyłącznie na sztywnych regułach ustalonych przez człowieka pozostaje poza zakresem rozporządzenia. Mechanizm wykonujący jedynie przewidywalny ciąg zaprogramowanych kroków decyzyjnych bez wbudowanego elementu samodzielnego wnioskowania nie uruchamia surowego reżimu regulacyjnego. Prawidłowe rozróżnienie tych dwóch modeli technologicznych zapobiega nadmiarowemu wdrażaniu kosztownych procedur.

Dostawca, integrator i użytkownik systemu

Kolejny etap to poprawne przypisanie organizacji właściwej roli. Rola dostawcy polega na opracowaniu modelu sztucznej inteligencji i wprowadzeniu go do obrotu pod własnym szyldem. Ten podmiot ponosi największy ciężar zagwarantowania zgodności technicznej. Dostawca odpowiada za architekturę algorytmu, jakość danych treningowych oraz wstępne testy bezpieczeństwa.

Integrator zajmuje się zaimplementowaniem gotowego modułu w swoim środowisku operacyjnym, dostosowując go do konkretnych potrzeb biznesowych. Użytkownik wykorzystuje system wyłącznie do własnych celów zawodowych. Rozdzielenie ról rynkowych dyktuje dokładny zakres obowiązków prawnych. Integrator musi zapewnić stały nadzór ludzki nad działaniem funkcji w gotowym produkcie oraz monitorować skuteczność modelu w rzeczywistych warunkach. Niezrozumienie tych różnic prowadzi do sytuacji, w której wdrażający nieświadomie przejmuje na siebie ryzyka ciążące na dostawcy technologii.

Kluczowe obowiązki prawne w procesie wdrożenia

Po ustaleniu ram technologicznych organizacja podejmuje kroki formalne zabezpieczające projekt. Prace te wymagają ścisłej współpracy inżynierów z ekspertami od zgodności.

Ocena poziomu ryzyka rozwiązania

Wprowadzenie innowacyjnej funkcji na rynek poprzedza skrupulatna kategoryzacja. Ocena ryzyka wdrażanego rozwiązania stanowi fundament określenia wymogów regulacyjnych. Przepisy dzielą oprogramowanie według kryterium potencjalnego zagrożenia dla praw podstawowych. Klasyfikacja obejmuje systemy o ryzyku nieakceptowalnym, wysokim, ograniczonym i minimalnym.

Modele zakwalifikowane jako systemy wysokiego ryzyka podlegają najbardziej restrykcyjnym procedurom. Dotyczy to narzędzi wykorzystywanych chociażby w rekrutacji pracowników, edukacji oraz obsłudze infrastruktury krytycznej. Firmy operujące w tych sektorach muszą wdrożyć kompleksowy system zarządzania ryzykiem. Obowiązkowe staje się prowadzenie rozbudowanej dokumentacji technicznej, która umożliwia organom nadzorczym precyzyjne odtworzenie procesu decyzyjnego maszyny w przypadku wystąpienia błędu.

Dokumentacja i wewnętrzne procedury nadzoru

Zgodność techniczna znajduje ostateczne odzwierciedlenie w dokumentach korporacyjnych. Przed aktywacją modelu AI przepisy wymagają przeprowadzenia zaawansowanych testów wewnętrznych. Firma ma prawny obowiązek zapewnienia odpowiedniego poziomu wiedzy o sztucznej inteligencji wszystkim pracownikom zaangażowanym w obsługę algorytmu. Członkowie zespołu muszą rozumieć mechanikę działania narzędzia, aby potrafili wychwycić anomalie i skutecznie sprawować nadzór.

Ważnym zadaniem jest uaktualnienie istniejących procedur operacyjnych. Organizacje powinny starannie przeanalizować zapisy umowne opisujące podział odpowiedzialności w łańcuchu dostaw. Klarowne sformułowanie kontraktów IT zabezpiecza firmę przed konsekwencjami cudzych błędów architektonicznych. Odpowiednie klauzule gwarantują dostęp do logów systemowych niezbędnych do wykazania pełnej zgodności przed regulatorem.

Praktyka udowadnia, że największe ryzyko w projektach technologicznych wyposażonych w mechanizmy uczenia maszynowego nie wynika z samej specyfiki algorytmów. Problemy rodzi przede wszystkim niedostatecznie zaplanowany podział obowiązków. Przejrzysta dokumentacja i poprawne przypisanie ról decydują o bezpieczeństwie prawnym całego wdrożenia. W ramach obsługi branży innowacyjnej doradztwo prawne obejmuje analizę wymogów nakładanych przez nowe regulacje unijne. Kancelaria Adwokacka Katarzyna Rodacka zajmuje się opiniowaniem dokumentacji dla podmiotów technologicznych. Jako prawnik IT w Krakowie kancelaria wspiera przedsiębiorstwa we wdrażaniu narzędzi cyfrowych, pomagając ustalić właściwe zapisy umowne między twórcami oprogramowania a jego ostatecznymi dystrybutorami.