Ustawa o systemach AI: Krok naprzód czy blokada dla przedsiębiorców?

Dokumentowi przyjrzeliśmy się w tym tekście. Ustawa, która jest chwalona przez wielu prawników, wzbudza obawy i sprzeciw wśród przedstawicieli biznesu.

Dr Leszek Bukowski, który jest specjalistą w dziedzinie przetwarzania języka naturalnego, stwierdził w serwisie X, że ustawa wprowadza „Milicję AI Ministerstwa Cyfryzacji”.

„Ministerstwo Cyfryzacji wykonywało to, co miało zrobić"

Według prawników, których poprosiliśmy o komentarz – projekt ustawy o systemach AI jest jednak dobrym wdrożeniem unijnych przepisów.

„Przepisy są zadowalające pod kątem spełnienia wymogów, jakie stawia przed nami AI Act – tzn. musimy utworzyć jakiś urząd ds. AI i te przepisy to realizują” – twierdzi Michał Nosowski, radca prawny z Kancelarii Bytelaw Nosowski i Lewańska Radcowie Prawni sp. p. w rozmowie z CyberDefence24.pl.

Podobnego zdania jest Łukasz Rodak, radca prawny Rubicon Kancelaria Radców Prawnych Wacht Kijek sp. k. „Projekt ustawy ma przede wszystkim znaczenie dla administracji. Nie odkrywa koła na nowo, nie próbuje na siłę definiować czegoś, co zostało już w AI Act uregulowane, trzyma się ram określonych przez UE. Myślę zatem, że Ministerstwo po prostu poprawnie wykonało to, co miało zgodnie z AI Act zrobić” – komentuje w rozmowie z naszą redakcją.

Ustawa nie reguluje w jakiś konkretny czy odbiegający do AI Act sposób zasad działania systemów AI w naszym kraju. Nadal mamy zatem te same zakazane praktyki, te same obowiązki dotyczące tworzenia stosownej dokumentacji, bezpieczeństwa, monitorowania systemów. Dla przedsiębiorców to na pewno spore wyzwanie formalne, a dla zwykłych obywateli dodatkowe gwarancje ochrony ich praw i wolności. Jak zwykle można gdzieś postawić pytanie, czy balans między nimi został dobrze zachowany, ale to raczej dyskusja na poziomie samego AI Act, a nie naszej ustawy.
Łukasz Rodak, radca prawny Rubicon Kancelaria Radców Prawnych Wacht Kijek sp. k.

Czy ustawa ogranicza innowacyjność?

Według Nosowskiego, ustawa nie ogranicza innowacyjności, ale także jej nie wspiera. „Musimy pamiętać o tym, że większość reguł i ograniczeń, które dotyczą AI, znalazło się w samym unijnym rozporządzeniu AI Act. Nasza krajowa ustawa nie zawiera jakichkolwiek dodatkowych ograniczeń lub wymogów” – twierdzi nasz rozmówca.

Jak zauważa, tylko w jednym miejscu ustawa wspomina o tworzeniu piaskownic regulacyjnych, co ma być rolą Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Tworzenie piaskownic to jednak wymóg nałożony przez AI Act.

Według Nosowskiego, nie może więc być mowy „o szczególnie innowacyjnych rozwiązaniach” Ministerstwa Cyfryzacji. „Jest jeszcze jedna kwestia, która może zaważyć na rozwoju AI w Polsce z perspektywy regulacyjnej – sprawność stosowania przepisów i działania organów państwa, które zajmują się AI. Przykładowo, AI Act wymaga, aby niektóre systemy AI przeszły odpowiednią certyfikację przed wypuszczeniem ich na rynek – jeżeli proces akredytacji jednostek certyfikujących, realizowany zgodnie z naszą krajową ustawą, będzie się przedłużał, to oczywiście ograniczy to możliwość tworzenia rozwiązań opartych o AI, które taką certyfikację muszą przejść” – zauważa.

Innego zdania jest Tomasz Rychter, ekspert w fundacji Digitality, który twierdzi w rozmowie z CyberDefence24.pl, że ustawa nie tylko może zahamować pracę firm wykorzystujących systemy AI, ale także zniechęcić startupy do rozpoczęcia działalności w Polsce.

„Problem jest taki, że w tej ustawie jest bardzo mało treści. Dowiadujemy się przede wszystkim, w jaki sposób przedsiębiorcy będą karani, ale nawet nie wiemy dokładnie za co. Są to bardzo ogólne przepisy” – twierdzi nasz rozmówca.

Według niego, jeśli przedsiębiorca ma stosować ustawę – musi ją najpierw zrozumieć. „Bez zrozumienia nie będzie w ogóle możliwości dostosowania się do niej, nawet jeżeli jest dobra wola pod stronie przedsiębiorcy, a uważam, że państwo zawsze powinno zakładać dobrą wolę swoich obywateli” – zaznacza.

Według niego, ustawa stawia jednak przedsiębiorców jako „tych złych” skupia się na sposobach ich karania.

Kontrole Komisji

Jednym z zadań Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, krytykowanym przez dr Bukowskiego w serwisie X, jest prowadzenie postępowań związanych z podejrzeniem naruszenia przepisów. Postępowanie może trwać maksymalnie 12 miesięcy i być stosowane na trzy sposoby – z urzędu (w związku z kontrolą), na wniosek samej firmy lub na podstawie skargi.

Art. 49. 1. Komisja prowadzi postępowanie w sprawie naruszenia przepisów rozporządzenia 2024/1689, zwane dalej „postępowaniem". 2. Komisja wszczyna postępowanie: 1) z urzędu; 2) na wniosek podmiotu, o którym mowa w art. 7 ust. 2 i 3 ustawy, lub 3) na podstawie skargi, o której mowa w art. 50 ustawy.
Projekt ustawy o systemach sztucznej inteligencji

Skargi może składać każdy - osoba fizyczna, osoba prawna albo jednostka organizacyjna nieposiadająca osobowości prawnej.

Jeśli chodzi o kontrole Komisji - mają one odbywać się zdalnie, ale w przypadku niesprecyzowanych „szczególnych okoliczności” – także fizycznie. Tutaj uprawnienia Komisji są bardzo szerokie: ma dostęp do biur oraz możliwość zabezpieczenia wszelkich dokumentów i sprzętu, jako dowody, na maksymalnie na 7 dni.

Art. 43. 11. Komisja w toku kontroli może wydać postanowienie o zajęciu akt, ksiąg, wszelkiego rodzaju pism, dokumentów, korespondencji lub informatycznych nośników danych, urządzeń, o których mowa w ust. 4 pkt 3, oraz innych przedmiotów mogących stanowić dowód w sprawie, na czas niezbędny do przeprowadzenia kontroli, jednakże nie dłuższy niż 7 dni.
Projekt ustawy o systemach sztucznej inteligencji

Art. 51. 1. Stroną postępowania jest każdy, wobec kogo zostało wszczęte postępowanie. 2. Komisja wydaje postanowienie o wszczęciu postępowania oraz zawiadamia o tym strony postępowania. 3. Postępowanie nie może trwać dłużej niż 12 miesięcy od dnia wydania postanowienia o wszczęciu postępowania.
Projekt ustawy o systemach sztucznej inteligencji

Biznes boi się „donosów"

Jak zaznaczył Tomasz Rychter, aby postępowanie szło sprawnie ważne jest, żeby w Komisji zasiadały osoby, które będą rozumiały materię, którą będą się zajmować.

Jarosław Królewski, CEO Synerise, stwierdził w serwisie X, że systemy w jego firmie podejmuję 1,5 miliarda decyzji wspieranych przez AI dziennie. W takiej sytuacji zatrzymanie pracy urządzeń, nawet na kilka dni może powodować ogromne straty, zwłaszcza jeśli kontrolę będzie przeprowadzał nieprzygotowany do tego urzędnik.

„Jeżeli wyłączamy system, który jest kluczowym systemem dla działania sklepu internetowego, to w tym momencie obroty tego sklepu spadają kilkanaście - kilkadziesiąt procent” – tłumaczy Rychter.

Jak podkreśla ekspert: część firm już przygotowuje się do tworzenia regulaminów i wewnętrznych wytycznych, tak by były zgodne z AI Act i NIS2. Nie jest to proste zadanie, chociażby ze względu na to, że nikt do końca nie wie, jak dokładnie ewoluują procesy decyzyjne w algorytmach sztucznej inteligencji.

W kuluarach mówi się jedno - to jest fikcja, bo nikt tak naprawdę nie wie, jak działają skomplikowane algorytmy; która część tego algorytmu za co dokładnie odpowiada i w jaki sposób będzie to interpretowane przez ewentualnych audytorów.
Tomasz Rychter, ekspert w fundacji Digitality

W tym kontekście przedsiębiorcy boją się „donosów”, które mogą być zlecone np. przez konkurencję. Wystarczy, że dana firma zgłosi, jakoby inna zbudowała swoje systemy w sposób szkodliwy dla użytkownika.

Według Tomasza Rychtera roczne postępowanie, które będzie miało to sprawdzić i zapewne będzie też nagłośnione prze media, może doprowadzić do milionowych strat oraz upadku wielu firm. „Sprawa będzie trudna, nieoczywista. Ciężko będzie się wycofać i powiedzieć, że się pomyliliśmy, bo taka pomyłka może być bardzo kosztowna dla przedsiębiorcy i dla całego ekosystemu wokół niego” – komentuje.

Czy interpretacje wystarczą?

„Biznes chciałby więc przede wszystkim mieć jasno ustalone, jakiego rodzaju przesłanki powodują pojawienie się konkretnych akcji związanych z kontrolą” – zaznacza nasz rozmówca.

Wskazówką w tym zakresie, według ustawy, mają być interpretacje wydawane przez Komisję – zarówno indywidualnie, jak i dla całego sektora, jednak według eksperta takie rozwiązanie nie jest wystarczające.

Podobnie działa nasz system podatkowy, ale ciężko chyba będzie znaleźć w Polsce przedsiębiorcę, który powie, że decyzja o tym, kiedy i jaki podatek zapłacić w oparciu o interpretację, to jest najwygodniejsza forma prowadzenia działalności gospodarczej. Przedsiębiorcy bardzo często muszą korzystać z uług kancelarii prawno-podatkowych i płacić wysokie wynagrodzenia m.in. za opinie dotyczącą tego, jakiej stawki VAT w konkretnym przypadku należy użyć. Mimo wszystko są to stosunkowo proste problemy do rozwiązania, w porównaniu do analizy działania skomplikowanych systemów AI.
Tomasz Rychter, ekspert w fundacji Digitality

Co może zrobić Ministerstwo Cyfryzacji?

Według eksperta, w trakcie konsultacji Ministerstwo Cyfryzacji powinno przede wszystkim wysłuchać przedstawicieli biznesu, którzy są praktykami – mają na co dzień do czynienia z systemami sztucznej inteligencji oraz prawników z kancelarii, które działają na styku prawodawstwa oraz IT.

„Należy pomyśleć, jak realnie miałyby wyglądać kontrole Komisji oraz wdrożenie i egzekwowanie przepisów. Ministerstwo powinno stworzyć przykłady, »use case’y«, stosowania ustawy w praktyce i wtedy się zastanowić, czego jeszcze brakuje w tych przepisach” – radzi ekspert.

Serwis CyberDefence24.pl otrzymał tytuł #DigitalEUAmbassador (Ambasadora polityki cyfrowej UE). Jeśli są sprawy, które Was nurtują; pytania, na które nie znacie odpowiedzi; tematy, o których trzeba napisać – zapraszamy do kontaktu. Piszcie do nas na: [email protected].