Polska reguluje systemy AI. Co trzeba poprawić w projekcie ustawy?

Trwają prace nad ustawą o systemach sztucznej inteligencji, wdrażającą unijne rozporządzenie. Fundacja Panoptykon zwraca w opinii uwagę na konieczność doprecyzowania wyłączeń dotyczących służb specjalnych, na procedury składania skargi i na konflikt interesów w działaniach specjalnej komisji.

Walczymy o Twoją prywatność

Wspieraj Fundację Panoptykon

Unijny akt o sztucznej inteligencji (AI Act) to pierwsza kompleksowa regulacja wykorzystania sztucznej inteligencji. Dzieli systemy AI na cztery kategorie: zakazane, wysokiego ryzyka, ograniczonego ryzyka i minimalnego ryzyka oraz ustanawia zasady ich wprowadzania i stosowania. Polska ustawa o systemach sztucznej inteligencji ma doprecyzować sprawowanie nadzoru nad systemami AI oraz określić zasady składania i rozpatrywania skarg na działanie takich systemów.

Służby (znów) poza regulacją

400 stron AI Actu jest pełne wyłączeń i wyjątków od wyjątków. Jeśli chodzi o obszar bezpieczeństwa narodowego, państwa członkowskie muszą samodzielnie zdecydować, czy przepisy unijnego rozporządzenia dotyczące systemów AI będą stosowane wobec służb.

Projekt polskiej ustawy nie wskazuje precyzyjnie, czy polskie służby specjalne będą ograniczone przepisami unijnego rozporządzenia. Możliwe są różne interpretacje, w tym taka, która całkowicie wyłączy ograniczenia dotyczące np. zakazanych systemów AI wobec Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu oraz Służb Wywiadu i Kontrwywiadu Wojskowego.

Oceniając niejasno sformułowane przepisy, trzeba też pamiętać, że interpretować je będą same służby, które mogą przyjąć najwygodniejszą dla siebie wykładnię zwalniającą je z jakichkolwiek rygorów wynikających z aktu o AI. Wtedy zarówno obywatele, jak i organy nadzorcze (jakikolwiek będzie ostatecznie ich kształt) nie będą mieli nic do powiedzenia.

Polska od lat zmaga się z kontrolą nad służbami – a właściwie jej brakiem. Obywatele nie są w stanie kontrolować, jak ABW korzysta ze swoich uprawnień (np. gdy blokuje strony internetowe) czy odwołać się od jej decyzji. Nie ma też niezależnego mechanizmu kontroli nad służbami. Z kolei na jawne naruszenia ze strony służb państwo reaguje niemrawo (np. podczas wykorzystywania Pegasus) lub wręcz je legitymizuje.

Zdajemy sobie sprawę, że bezpośrednio z aktu o AI wynika wyłączenie zakresu stosowania rozporządzenia do systemów sztucznej inteligencji wykorzystywanych do celów „wojskowych, obronnych lub celów bezpieczeństwa narodowego”. Jednak niezmiennie stoimy na stanowisku, że nie wszystkie działania służb specjalnych powinny być objęte tym wyłączeniem. W scenariuszu minimum ustawodawca powinien doprecyzować, których konkretnie zadań służb ono dotyczy. W scenariuszu maksimum – przy okazji wdrażania aktu stworzyć reguły wykorzystywania sztucznej inteligencji także w tych obszarach, których nie reguluje unijny prawodawca.

Czy obywatel się poskarży na działanie systemu AI

Podczas prac nad rozporządzeniem w sprawie sztucznej inteligencji wraz z innymi organizacjami broniącymi praw cyfrowych walczyliśmy o to, żeby osoby poddane działaniu systemów miały prawo poskarżyć się na niesprawiedliwą czy krzywdzącą decyzję. Przepisy wdrażające mają na celu doprecyzowanie procedury skargowej poprzez określenie, kto i w jakiej sytuacji może złożyć skargę, a także – kto ją będzie rozpatrywał.

Według projektu skargę będzie mogła złożyć każda osoba fizyczna (także osoba prawna i jednostka organizacyjna), która uznała, że jej prawa zostały naruszone. Problem w tym, że do złożenia skargi konieczna będzie znajomość nazwy systemu. To naszym zdaniem wymaganie na wyrost, a nazwa systemu może być trudna do uzyskania (np. instytucja publiczna, która kupiła system od prywatnej firmy, może zasłaniać się tajemnicą handlową). W opinii wnioskowaliśmy o usunięcie tego wymogu.

Zgłosiliśmy też szereg uwag do zasad działania nowego organu: Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która ma zajmować się rozpatrywaniem skarg. Chociaż właściwie… Z projektu nie wynika jasno, czy skarga ma zostać rozpatrzona przez samą komisję, czy też najpierw przez jej przewodniczącego – zatem to także warto byłoby doprecyzować.

Upomnieliśmy się też o to, żeby decyzje o „braku przesłanek do wszczęcia postępowania” były opatrzone uzasadnieniem.

Zapobieganie konfliktom interesów w komisji

W Komisji Rozwoju i Bezpieczeństwa AI mają zasiadać przedstawiciele:

1. Prezesa Urzędu Ochrony Konkurencji i Konsumentów,
2. Komisji Nadzoru Finansowego,
3. Rzecznika Praw Dziecka,
4. Krajowej Rady Radiofonii i Telewizji,
5. Prezesa Urzędu Komunikacji Elektronicznej,
6. Państwowej Inspekcji Pracy,
7. Prezesa Urzędu Rejestracji Produktów Leczniczych, Wyrobów Medycznych i Produktów Biobójczych.

Co się stanie, gdy do komisji trafi skarga na system stosowany przez jedną z tych instytucji? Naszym zdaniem przepisy powinny zawierać jasne reguły zapobiegania konfliktom interesów. Zatem w takim przypadku przedstawiciel instytucji, na którą złożono skargę, nie mógłby brać udziału w jej rozpatrywaniu. Dzięki temu unikniemy sytuacji, w której członek lub członkini komisji będzie sędzią we własnej sprawie.

Kiedy zacznie obowiązywać akt o AI

Unia Europejska zakończyła prace nad rozporządzeniem w sprawie sztucznej inteligencji w marcu 2024 r. Jego przepisy wchodzą w życie na przestrzeni kilku lat: niektóre obowiązują już od lutego 2025 r., inne zaczną obowiązywać dopiero w 2027 r.

Jednocześnie trwają prace nad wdrożeniem unijnego rozporządzenia do polskich przepisów. Złożyliśmy już dwie opinie do kolejnych wersji projektu – czekamy na trzecią. Ministerstwo Cyfryzacji planuje zakończenie prac i przyjęcie ustawy do końca wakacji.

Pamiętajmy jednak, że ustawa o systemach sztucznej inteligencji dotyczy tylko części rozwiązań przewidzianych w AI Act. Jeśli chodzi o regulacje dotyczące systemów wysokiego ryzyka, to będziemy musieli jeszcze poczekać.