Polityka dotycząca sztucznej inteligencji w firmach: jak przygotować organizację do unijnej ustawy o sztucznej inteligencji
Sztuczna inteligencja (AI) rozwija się w zawrotnym tempie i stała się nieodłącznym elementem codziennych operacji biznesowych. Od generatywnych narzędzi AI i chatbotów po systemy wykorzystywane do rekrutacji, analizy klientów i podejmowania decyzji – coraz więcej organizacji korzysta z systemów AI, często bez pełnej jasności co do związanych z nimi obowiązków prawnych i organizacyjnych.
Wraz z wejściem w życie unijnej ustawy o sztucznej inteligencji (AI Act) sytuacja ta ulega fundamentalnej zmianie. Od organizacji oczekuje się podejmowania świadomych decyzji dotyczących wykorzystania AI i aktywnego zarządzania związanym z tym ryzykiem. W tym artykule wyjaśniono, jak opracować praktyczną, wykonalną i solidną prawnie politykę w zakresie AI, aby Twoja organizacja była przygotowana na wejście w życie unijnej ustawy o AI i nadal przestrzegała obowiązujących przepisów, takich jak ogólne rozporządzenie o ochronie danych (RODO).
Czym jest polityka AI i dlaczego jest konieczna?
Polityka dotycząca sztucznej inteligencji (AI) to zbiór wewnętrznych zasad, które określają, jak, dlaczego i na jakich warunkach sztuczna inteligencja może być wykorzystywana w organizacji. Zapewnia ona pracownikom wytyczne i pomaga kierownictwu zachować nadzór i kontrolę nad rozwojem technologii.
Sztuczna inteligencja nie ogranicza się już do działów IT ani dużych firm technologicznych. Wiele funkcji sztucznej inteligencji jest wbudowanych w istniejące oprogramowanie, takie jak systemy CRM, narzędzia HR i platformy marketingowe. Pracownicy często eksperymentują również z publicznymi narzędziami sztucznej inteligencji z własnej inicjatywy. Brak jasnych zabezpieczeń może prowadzić do naruszeń prywatności, dyskryminacji, braku przejrzystości lub błędnych decyzji.
Ustawa UE o sztucznej inteligencji (AI Act) i RODO nakładają na organizacje jasne obowiązki. Obejmują one m.in. obowiązki związane z zarządzaniem ryzykiem, wykorzystaniem danych, nadzorem ludzkim i przejrzystością. Dobrze opracowana polityka w zakresie AI pomaga przełożyć te wymagania na codzienne praktyki.
Podstawa prawna: ustawa UE o sztucznej inteligencji, RODO i zatrudnienie prawo
Ustawa UE o sztucznej inteligencji (AI) opiera się na podejściu opartym na ryzyku. Systemy AI klasyfikuje się do różnych kategorii, od ryzyka minimalnego do ryzyka niedopuszczalnego. W przypadku zastosowań AI obarczonych wysokim ryzykiem, takich jak systemy rekrutacji i selekcji, scoring kredytowy lub inne decyzje mające istotny wpływ na jednostki, obowiązują surowe wymogi.
Wymagania te obejmują między innymi zarządzanie ryzykiem i dokumentację, jakość i pochodzenie danych, przejrzystość działania systemu i jego ograniczeń oraz skuteczny nadzór ludzki z możliwością interwencji. Niektóre praktyki związane ze sztuczną inteligencją są całkowicie zakazane, w tym określone formy manipulacji sztuczną inteligencją i punktacji społecznej.
Ponadto RODO nadal w pełni obowiązuje. W przypadku przetwarzania danych osobowych przez systemy sztucznej inteligencji (AI), szczególnie istotne są podstawowe zasady, takie jak minimalizacja danych, zgodność z prawem, bezpieczeństwo i ograniczenia zautomatyzowanego podejmowania decyzji. Mogą mieć również zastosowanie przepisy prawa pracy i przepisy dotyczące ochrony konsumentów, na przykład w przypadku sztucznej inteligencji (AI) w obszarze HR lub w aplikacjach AI skierowanych do klientów. Polityka AI łączy te wymogi prawne z codzienną działalnością biznesową.
Cel i zakres silnej polityki w zakresie sztucznej inteligencji
Skuteczna polityka AI to nie dokument teoretyczny, lecz praktyczny kompas dla każdego, kto pracuje z AI. Powinna wyjaśniać, dlaczego organizacja korzysta z AI, jakie są jej cele, jakie ryzyko się z tym wiąże i jak pracownicy powinni odpowiedzialnie korzystać z narzędzi AI.
Określenie zakresu jest kluczowe. Polityka powinna określać, do których działów ma zastosowanie, takich jak HR, marketing, obsługa klienta, finanse, operacje oraz badania i rozwój. Powinna również wyjaśniać, jakie rodzaje systemów są nią objęte, w tym zakupione oprogramowanie AI, modele wewnętrzne, generatywne narzędzia AI, chatboty, narzędzia scoringowe i systemy rekomendacji. Wreszcie, powinna ona określać, czy i na jakich warunkach indywidualne eksperymentowanie z publicznymi narzędziami AI jest dozwolone.
Kluczowe elementy polityki AI
Polityka dotycząca sztucznej inteligencji powinna opierać się na jasnych definicjach, zgodnych z szerokim pojęciem sztucznej inteligencji określonym w unijnej ustawie o sztucznej inteligencji, ale napisanych językiem zrozumiałym dla pracowników. Pracownicy powinni być w stanie rozpoznać, kiedy korzystają z systemu sztucznej inteligencji, który mieści się w ramach tej polityki. Praktyczne przykłady z różnych dziedzin, takich jak dział HR, interakcja z klientami i procesy wewnętrzne, pomagają w realizacji tego celu.
Polityka powinna następnie rozróżniać dozwolone użycie sztucznej inteligencji, ograniczone użycie z zastrzeżeniem warunków oraz użycie zabronione. Zabronione użycie obejmuje praktyki sztucznej inteligencji sklasyfikowane jako niedopuszczalne ryzyko zgodnie z unijną ustawą o sztucznej inteligencji. W przypadku przypadków użycia o ograniczonym ryzyku polityka może nakładać warunki, takie jak obowiązek przejrzystości lub uprzednia zgoda. Dozwolone użycie może być powiązane z zabezpieczeniami, takimi jak ocena ryzyka, ocena skutków dla ochrony danych (DPIA) oraz dodatkowe środki techniczne i organizacyjne.
Zarządzanie to kolejny kluczowy element. Polityka powinna jasno określać, kto ponosi ostateczną odpowiedzialność za zgodność z przepisami dotyczącymi sztucznej inteligencji, kto jest upoważniony do wyboru lub wdrażania nowych aplikacji AI oraz kto nadzoruje przestrzeganie przepisów i obsługę incydentów. Wybór dostawców i zarządzanie nimi również mają znaczenie. Organizacje powinny ocenić, czy dostawcy są w stanie spełnić wymogi unijnej ustawy o sztucznej inteligencji i upewnić się, że zobowiązania te są odpowiednio uwzględnione w umowach.
Dane, prywatność, bezpieczeństwo i przejrzystość
Ponieważ sztuczna inteligencja opiera się na danych, polityka powinna określać, jakie dane mogą, a jakie nie mogą być przetwarzane przez systemy sztucznej inteligencji. Powinna ona uwzględniać kwestie minimalizacji, anonimizacji lub pseudonimizacji danych, w stosownych przypadkach, okresów przechowywania oraz oddzielenia danych szkoleniowych od danych produkcyjnych. W przypadku systemów wysokiego ryzyka często konieczna jest łączona ocena uwzględniająca zarówno unijną ustawę o sztucznej inteligencji, jak i RODO.
Systemy sztucznej inteligencji i dane, na których się opierają, muszą być odpowiednio zabezpieczone. Polityka powinna opisywać sposób organizacji praw dostępu, rejestrowania i monitorowania użytkowania oraz postępowania w przypadku incydentów i naruszeń danych.
Ustawa UE o sztucznej inteligencji (AI) wymaga przejrzystości w przypadku interakcji użytkowników z systemami AI lub generowania treści przez AI. Polityka może zatem wymagać, aby pracownicy, klienci i inne zainteresowane strony były informowane o każdym użyciu AI, w tym o jego kluczowych cechach i ograniczeniach.
Nadzór ludzki, stronniczość i jakość decyzji
W przypadku systemów AI mających istotny wpływ na jednostki, nadzór ludzki jest niezbędny. Polityka powinna określać, kiedy nadzór ludzki lub podejmowanie decyzji przez człowieka jest obowiązkowe oraz jak ten nadzór jest wdrażany w praktyce. Zaleca się również okresowe testowanie systemów AI pod kątem stronniczości, wskaźników błędów i niezamierzonych konsekwencji, szczególnie w obszarach takich jak HR i onboarding klientów.
Szkolenia i znajomość sztucznej inteligencji
Ustawa UE o sztucznej inteligencji nakłada na organizacje obowiązek promowania kompetencji w zakresie sztucznej inteligencji. Polityka w zakresie sztucznej inteligencji powinna zatem obejmować ramy szkoleniowe z poziomem podstawowym dla wszystkich pracowników oraz bardziej zaawansowane szkolenia dla określonych stanowisk, takich jak HR, IT, zespoły ds. danych i kierownictwo. Regularne aktualizacje są niezbędne, aby nadążać za rozwojem technologicznym i prawnym.
Od początkowego inwentarza do dojrzałej polityki AI
Praktyczna polityka AI jest zazwyczaj opracowywana etapami. Najpierw organizacja identyfikuje używane aplikacje AI, w tym funkcje AI wbudowane w istniejące oprogramowanie i narzędzia wykorzystywane przez pracowników. Następnie aplikacje te są klasyfikowane pod kątem ryzyka. Następnie przeprowadzana jest ocena ryzyka prawnego i organizacyjnego, po której opracowywana jest polityka AI i dostosowywana do istniejących ram ochrony prywatności, bezpieczeństwa informacji i zarządzania zasobami ludzkimi. Następnie polityka jest wdrażana w procesach, umowach i systemach. Na koniec szkolenia, komunikacja, monitorowanie i okresowe aktualizacje zapewniają jej długotrwałą skuteczność.
Wniosek
Ustawa UE o sztucznej inteligencji (AI) jasno stwierdza, że doraźne lub nieustrukturyzowane eksperymenty z AI nie są już zrównoważone. Organizacje, które wcześnie zainwestują w dobrze opracowaną politykę AI, zmniejszają ryzyko prawne i budują zaufanie pracowników, klientów i organów regulacyjnych.
Chcesz wiedzieć, czy Twoja organizacja jest gotowa na unijną ustawę o sztucznej inteligencji (AI Act) lub potrzebujesz wsparcia w opracowaniu lub wdrożeniu polityki dotyczącej AI? Skontaktuj się z nami Law & More. Z przyjemnością pomożemy.
FAQ
Czy polityka dotycząca sztucznej inteligencji jest obowiązkowa na mocy ustawy UE o sztucznej inteligencji?
Ustawa UE o sztucznej inteligencji (AI) nie nakłada wprost na organizacje obowiązku posiadania dokumentu zatytułowanego „Polityka AI”. W praktyce jednak polityka AI jest niezbędna do wykazania zgodności z obowiązkami nałożonymi przez ustawę o AI i RODO, takimi jak zarządzanie ryzykiem, nadzór ludzki, przejrzystość i znajomość AI.
Które organizacje podlegają przepisom unijnej ustawy o sztucznej inteligencji?
Ustawa UE o sztucznej inteligencji (AI) ma zastosowanie praktycznie do wszystkich organizacji, które opracowują, wprowadzają na rynek lub wykorzystują systemy AI w Unii Europejskiej. Dotyczy to nie tylko firm technologicznych, ale także pracodawców, dostawców usług i organizacji wykorzystujących AI w działach HR, marketingu, interakcji z klientami, finansach lub procesach decyzyjnych.
Czy ustawa UE o sztucznej inteligencji ma zastosowanie, jeśli korzystamy wyłącznie ze standardowego, gotowego oprogramowania?
Tak. Nawet jeśli funkcje sztucznej inteligencji (AI) są osadzone w oprogramowaniu firm trzecich, organizacja korzystająca z systemu pozostaje odpowiedzialna za jego wykorzystanie. Poleganie na dostawcy nie zwalnia użytkownika z obowiązków wynikających z unijnej ustawy o sztucznej inteligencji (AI) i RODO.
Jaka jest różnica między systemami sztucznej inteligencji o niskim, ograniczonym i wysokim ryzyku?
Ustawa UE o sztucznej inteligencji klasyfikuje systemy sztucznej inteligencji na podstawie poziomu ryzyka, jakie stanowią dla podstawowych praw i interesów jednostek. Sztuczna inteligencja wysokiego ryzyka obejmuje systemy wykorzystywane do rekrutacji i selekcji, oceny pracowników, oceny zdolności kredytowej lub dostępu do podstawowych usług. Systemy te podlegają znacznie surowszym wymogom.
Czy wszystkie zastosowania sztucznej inteligencji wymagają wcześniejszej oceny?
W praktyce tak. Organizacje powinny dokonać inwentaryzacji i oceny aplikacji AI przed wdrożeniem oraz sklasyfikować je według ryzyka. W przypadku AI wysokiego ryzyka wymagana jest dogłębna ocena, często połączona z oceną skutków dla ochrony danych zgodnie z RODO.
Jaki jest związek polityki dotyczącej sztucznej inteligencji z RODO?
Ustawa UE o sztucznej inteligencji (AI) i RODO wzajemnie się uzupełniają. Podczas gdy ustawa o sztucznej inteligencji koncentruje się na zarządzaniu, zarządzaniu ryzykiem i funkcjonowaniu systemów AI, RODO reguluje przetwarzanie danych osobowych. Skuteczna polityka dotycząca sztucznej inteligencji (AI) integruje oba te systemy i zapewnia spójną zgodność.
Czy ocena skutków dla ochrony danych jest zawsze wymagana przy korzystaniu ze sztucznej inteligencji?
Nie zawsze, ale często. Jeśli system sztucznej inteligencji (AI) przetwarza dane osobowe i prawdopodobnie wiąże się to z wysokim ryzykiem dla osób fizycznych, przeprowadzenie oceny skutków dla ochrony danych (DPIA) jest obowiązkowe na mocy RODO. W przypadku sztucznej inteligencji wysokiego ryzyka, zgodnie z unijną ustawą o sztucznej inteligencji (AI Act), ocena skutków dla ochrony danych (DPIA) jest w praktyce często nieunikniona.
Czy systemy AI mogą podejmować autonomiczne decyzje dotyczące pracowników i klientów?
Tylko pod ściśle określonymi warunkami. RODO ogranicza w pełni zautomatyzowane podejmowanie decyzji, a unijna ustawa o sztucznej inteligencji (AI) wymaga znaczącego nadzoru ze strony człowieka nad systemami AI wysokiego ryzyka. W wielu przypadkach człowiek musi mieć możliwość interwencji, weryfikacji lub ignorowania decyzji podejmowanych przez AI.
Czy polityka dotycząca sztucznej inteligencji może ograniczyć korzystanie przez pracowników z publicznych narzędzi sztucznej inteligencji?
Tak. Jednym z kluczowych celów polityki AI jest określenie, czy i na jakich warunkach pracownicy mogą korzystać z publicznych narzędzi AI. Zazwyczaj obejmuje to zasady dotyczące wprowadzania informacji poufnych, danych osobowych lub wrażliwych informacji biznesowych.
Kto odpowiada za zgodność z polityką dotyczącą sztucznej inteligencji?
Polityka dotycząca sztucznej inteligencji (AI) powinna jasno określać odpowiedzialność za zgodność z przepisami. Ostateczna odpowiedzialność zazwyczaj spoczywa na kierownictwie wyższego szczebla lub zarządzie, a istotne role odgrywają działy prawny, compliance, IT i HR. Bez jasnego zarządzania skuteczny nadzór jest mało prawdopodobny.
Jakie ryzyko istnieje, jeśli organizacja nie ma polityki dotyczącej sztucznej inteligencji?
Brak polityki dotyczącej sztucznej inteligencji (AI) zwiększa ryzyko niezgodności z unijną ustawą o AI i RODO. Może to skutkować wysokimi grzywnami, środkami egzekucyjnymi, uszczerbkiem na reputacji i potencjalną odpowiedzialnością cywilną. Utrudnia to również wykazanie organom regulacyjnym odpowiedzialnego zarządzania AI.
Jak często należy dokonywać przeglądu polityki dotyczącej sztucznej inteligencji?
Polityka dotycząca sztucznej inteligencji (AI) nie powinna być traktowana jako statyczny dokument. Regularne przeglądy są konieczne, szczególnie w przypadku wprowadzania nowych systemów AI, zmian w przepisach lub wytycznych regulacyjnych, a także w przypadku wystąpienia incydentów. Coroczny przegląd jest często uważany za minimalny.
Czy wszyscy pracownicy muszą znać sztuczną inteligencję?
Ustawa UE o sztucznej inteligencji nakłada na organizacje obowiązek podejmowania działań promujących wiedzę z zakresu sztucznej inteligencji. Nie oznacza to, że każdy pracownik musi zostać ekspertem technicznym, ale powinien rozumieć, czym jest sztuczna inteligencja, jak jest wykorzystywana w organizacji i jakie wiążą się z nią zagrożenia.
Kiedy warto zasięgnąć porady prawnej?
Porada prawna jest szczególnie wskazana w przypadku wdrażania systemów AI obarczonych wysokim ryzykiem, gdy istnieje niepewność co do legalności konkretnych zastosowań lub gdy pojawiają się pytania dotyczące egzekwowania prawa, audytów lub odpowiedzialności. Wczesna analiza prawna może zapobiec kosztownym działaniom naprawczym w przyszłości.
