- Komisja Europejska nie dotrzymała terminu publikacji wytycznych wymaganych przez art. 6 ust. 5 AIAct, które mają wyjaśnić kryteria kwalifikacji systemów AI jako wysokiego ryzyka.
- Wytyczne mają kluczowe znaczenie dla podmiotów stosujących i dostarczających systemy AI, gdyż od ich kwalifikacji zależy zakres obowiązków compliance przewidzianych w rozporządzeniu.
- Brak wytycznych utrudnia przygotowanie organizacji do obowiązków, które mają wejść w życie od 2.8.2026 r., przy jednoczesnym rozważaniu przez Komisję możliwego odroczenia tych przepisów w ramach pakietu Digital Omnibus.
Obowiązek wydania wytycznych wynika bezpośrednio z AI Act
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13.6.2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji) (Dz.Urz. UE L z 2024 r. s. 1689; dalej: AIAct) przewiduje szczegółowy harmonogram wdrażania jego poszczególnych przepisów. Jednym z kluczowych elementów tego harmonogramu jest obowiązek Komisji Europejskiej określony w art. 6 ust. 5 AIAct, zgodnie z którym Komisja, po konsultacji z Europejską Radą ds. Sztucznej Inteligencji, powinna przedstawić wytyczne dotyczące praktycznego stosowania art. 6, nie później niż do 2.2.2026 r.
Wytyczne te mają obejmować w szczególności przykłady zastosowań systemów AI stanowiących systemy wysokiego ryzyka, jak również przypadki, w których takie zastosowania nie powinny być kwalifikowane jako wysokiego ryzyka. Ich celem jest zapewnienie wskazówek interpretacyjnych dotyczących stosowania przepisów, które mają charakter ogólny i wymagają interpretacji w kontekście konkretnych zastosowań technologicznych.
Termin ten nie został jednak dotrzymany. Komisja Europejska poinformowała, że wytyczne zostaną opublikowane w późniejszym terminie, co powoduje konsternacje wśród podmiotów objętych zakresem regulacji.
Klasyfikacja systemów wysokiego ryzyka jako centralny element reżimu AI Act
Kwalifikacja systemu AI jako systemu wysokiego ryzyka stanowi podstawowy mechanizm determinujący zakres obowiązków przewidzianych w AI Act. Zgodnie z art. 6 AIAct system AI może zostać uznany za system wysokiego ryzyka w dwóch głównych przypadkach:
- jeżeli stanowi komponent bezpieczeństwa produktu objętego unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I do rozporządzenia, a produkt ten podlega procedurze oceny zgodności przez stronę trzecią;
- jeżeli system AI jest wykorzystywany w jednym z obszarów wskazanych w załączniku III, obejmujących m.in. zatrudnienie, edukację, dostęp do usług publicznych i prywatnych, opiekę zdrowotną, egzekwowanie prawa czy sprawowanie wymiaru sprawiedliwości.
Jednocześnie art. 6 ust. 3 AIAct przewiduje wyłączenia, zgodnie z którymi system AI objęty zakresem załącznika III nie jest uznawany za system wysokiego ryzyka, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych, w szczególności gdy jego działanie nie wpływa materialnie na wynik procesu decyzyjnego lub ma charakter wyłącznie pomocniczy.
To właśnie interpretacja tych przepisów ma zostać doprecyzowana w oczekiwanych wytycznych Komisji Europejskiej.
Znaczenie wytycznych dla obowiązków podmiotów stosujących i dostarczających AI
Zakwalifikowanie systemu AI jako systemu wysokiego ryzyka spowoduje (od 2.8.2026 r.) powstanie szeregu obowiązków zarówno po stronie dostawców (provider), jak i podmiotów stosujących systemy AI (deployer).
Dostawcy takich systemów zobowiązani będą m.in. do wdrożenia systemu zarządzania ryzykiem, zapewnienia odpowiedniej jakości danych wykorzystywanych do trenowania systemu, sporządzenia dokumentacji technicznej oraz przeprowadzenia procedury oceny zgodności przed wprowadzeniem systemu do obrotu. Dodatkowo muszą zapewnić mechanizmy nadzoru człowieka nad działaniem systemu oraz prowadzić rejestr zdarzeń związanych z jego funkcjonowaniem.
Podmioty stosujące systemy wysokiego ryzyka będą natomiast zobowiązane do korzystania z nich zgodnie z instrukcjami dostawcy, monitorowania ich działania oraz podejmowania odpowiednich środków w przypadku wykrycia i zgłaszania nieprawidłowości lub incydentów, w zakresie w jakim sprawują nad tymi systemami kontrolę.
W konsekwencji kwalifikacja systemu AI jako systemu wysokiego ryzyka ma bezpośredni wpływ na zakres obowiązków regulacyjnych oraz koszty związane z wdrożeniem i eksploatacją takich systemów.
Wejście w życie obowiązków w sierpniu 2026 r. i możliwe zmiany harmonogramu
Zgodnie z obecnym brzmieniem AIAct przepisy dotyczące systemów wysokiego ryzyka mają zacząć obowiązywać od 2.8.026 r. Od tego momentu podmioty stosujące i dostarczające takie systemy będą zobowiązane do pełnego stosowania wymogów określonych w szczególności w rozdziale III rozporządzenia.
Jednocześnie Komisja Europejska przedstawiła propozycję pakietu legislacyjnego określanego jako Digital Omnibus, który przewiduje możliwość odroczenia stosowania niektórych przepisów dotyczących systemów wysokiego ryzyka nawet o kilkanaście miesięcy. Propozycja ta pozostaje jednak na etapie prac legislacyjnych i nie wywołuje obecnie skutków prawnych.
Do czasu ewentualnego przyjęcia zmian obowiązującym terminem pozostaje sierpień 2026 r., co oznacza, że organizacje powinny kontynuować przygotowania do wdrożenia wymogów AI Act.
Brak wytycznych jako istotne źródło niepewności regulacyjnej
Opóźnienie publikacji wytycznych Komisji Europejskiej ma duże znaczenie dla podmiotów wykorzystujących systemy AI w obszarach takich jak rekrutacja, ochrona zdrowia, bankowość czy świadczenie usług publicznych. W wielu przypadkach kwalifikacja systemu jako wysokiego ryzyka zależy bowiem od szczegółowej analizy jego funkcjonalności oraz wpływu na sytuację prawną lub faktyczną jednostki.
Brak wytycznych utrudnia praktyczną interpretację przepisów, a co za tym idzie przeprowadzenie jednoznacznej kwalifikacji systemów oraz przygotowanie odpowiednich mechanizmów zgodności może nie być tak oczywiste, jak wynika to z samych przepisów. Dotyczy to w szczególności systemów wspomagających podejmowanie decyzji, takich jak narzędzia wspierające rekrutację pracowników, systemy wspomagania decyzji medycznych czy narzędzia wykorzystywane do oceny zdolności kredytowej.
Wytyczne Komisji mają zatem kluczowe znaczenie praktyczne, gdyż będą stanowiły podstawowy punkt odniesienia dla interpretacji przepisów AIAct oraz wdrażania obowiązków wynikających z tego rozporządzenia.
Opóźnienie publikacji wytycznych Komisji Europejskiej należy uznać za ważne wydarzenie z perspektywy stosowania AI Act, gdyż kwalifikacja systemu AI jako systemu wysokiego ryzyka stanowi jeden z kluczowych elementów reżimu regulacyjnego ustanowionego w AI Act. W praktyce wytyczne będą stanowiły istotny punkt odniesienia przy interpretacji przepisów dotyczących kwalifikacji systemów AI jako systemów wysokiego ryzyka, a tym samym ustalenia, które z nich podlegają najbardziej rygorystycznym obowiązkom przewidzianym w rozporządzeniu, a które pozostają poza tym reżimem.
Brak tych wytycznych powoduje obecnie stan niepewności regulacyjnej, w którym organizacje muszą samodzielnie interpretować przepisy rozporządzenia i podejmować decyzje o kwalifikacji systemów AI. Jednocześnie z uwagi na zbliżający się termin rozpoczęcia stosowania przepisów dotyczących systemów wysokiego ryzyka, organizacje powinny już teraz prowadzić identyfikację i analizę wykorzystywanych systemów AI oraz przygotowywać się do wdrożenia mechanizmów zgodności przewidzianych w AI Act.
Publikacja wytycznych Komisji Europejskiej będzie miała fundamentalne znaczenie dla zapewnienia jednolitego stosowania rozporządzenia w całej Unii Europejskiej oraz dla zapewnienia pewności prawa podmiotom wykorzystującym systemy sztucznej inteligencji w działalności gospodarczej i publicznej.
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
