Skargi na AI od dzisiaj mogą skończyć się kontrolą i karą

W środę 28 października wchodzą w życie przepisy ustawy o systemach sztucznej inteligencji, które dotyczą skarg, kontroli i postępowań, a także kar finansowych. Na ich podstawie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) będzie nadzorować przestrzeganie unijnego rozporządzenia AI Act i polskiej ustawy. Skargi należy wnosić w formie elektronicznej, a gdy nie jest to możliwe – w formie papierowej.

– Każda skarga musi być rozpatrzona – mówi dla „Rzeczpospolitej” przewodnicząca KRiBSI Pamela Krzypkowska, zapewniając, że komisja będzie sukcesywnie rozpatrywać skargi do niej wpływające.

– Skarga, po jej rozpatrzeniu przez komisję, może być podstawą do rozpoczęcia kontroli ad hoc albo dodania podmiotu albo klasy podmiotów do planu kontroli. Na jej podstawie może też zostać wszczęte postępowanie – wyjaśnia, dodając, że możliwe jest wszczęcie postępowania w trybie pilnym, jeżeli system stwarza ryzyko, np. dla zdrowia lub bezpieczeństwa.

– Może to skutkować nawet decyzją komisji o obowiązku wycofania systemu z rynku – ostrzega Krzypkowska.

Zgłoszenia anonimowe będą traktowane równie poważnie jak imienne.

– W niektórych przypadkach bezpieczniejsze dla skarżącego jest pozostanie anonimowym – przyznaje szefowa KRiBSI.

Firmy nie wiedzą, czego się spodziewać

Podstawą skargi może być np. podejrzenie, że AI jest wykorzystywana do badania emocji pracowników, by ocenić ich pracę, co jest zabronione od 2.2.2025 r. Innymi powodami zgłaszania skarg może być m.in. brak informacji o tym, że klient rozmawia z chatbotem albo brak stosownego oznaczenia reklamy stworzonej przez sztuczną inteligencję. W tych przypadkach chodzi o obowiązki przejrzystości, które zgodnie z unijnym AI Act stosuje się od 2 sierpnia.

W rozmowie z „Rz” Eliza Turkiewicz, która kieruje Departamentem Rynku Cyfrowego w Konfederacji Lewiatan, ocenia, że większość firm nie wie jeszcze, czego dokładnie może się spodziewać po KRiBSI. – To całkowicie naturalne, ponieważ komisja to nowy organ nadzoru, działający w tym obszarze w formule kolegialnej, przy czym firmom więcej trudności sprawia sam AI Act niż polska ustawa, choć również ona wymaga pewnych poprawek – mówi.

– Niektóre przepisy unijnego rozporządzenia pozostają dla przedsiębiorców niezrozumiałe – dodaje Turkiewicz, zwracając uwagę, że komisja będzie przedstawiać wyjaśnienia ogólne i opinie indywidualne, które pomogą przedsiębiorcom w rozumieniu regulacji. Podobną rolę mają odegrać piaskownice regulacyjne, które będą służyć wyjaśnianiu praktycznych wątpliwości przy wdrażaniu AI.

W naszej ocenie świadomość regulacji dotyczących AI jest wśród firm nadal dość niska, a przesunięcia terminów w ramach Digital Omnibus podziałały na przedsiębiorców rozprężająco. Pojawiła się nadzieja, że skoro stosowanie przepisów jest odwlekane, to może obowiązki też zostaną rozluźnione. Nie znajduje to jednak potwierdzenia w tym, co naprawdę zmienia się w europejskich regulacjach.

Przy egzekwowaniu przepisów może pojawić się np. problem, gdy w danej sprawie nakładają się regulacje dotyczące AI i ochrony danych osobowych. W rezultacie za jeden czyn dana firma może zostać ukarana zarówno na podstawie RODO, jak i ustawy o systemach sztucznej inteligencji.

Spis narzędzi AI

– Największym mankamentem może okazać się brak spisu narzędzi AI i kontroli nad tym, jak korzystają z nich pracownicy – ocenia dla „Rzeczpospolitej” Paweł Markiewicz z M3M, specjalista ds. bezpieczeństwa danych i cyberbezpieczeństwa. Obserwuje on np., że jego klienci na początku deklarują używanie np. Copilota, a dopiero kolejne pytania ujawniają, że korzystają jeszcze z ChatGPT, Gemini czy innych narzędzi.

– Pytam: kto to zatwierdził, na jakich kontach, jakie dane tam trafiają i tu zwykle odpowiedzi już nie ma. Narzędzia AI są prawie wszędzie, tylko mało kto nad tym panuje – zaznacza.

Ekspert podaje też przykład, gdy w jednej z obsługiwanych spółek finansowych ankieta wykazała sześć różnych narzędzi AI, ale zabrakło informacji, czy pracownicy korzystają z kont służbowych czy prywatnych, płatnych czy darmowych. Dodatkowo pewne moduły AI są wbudowane w używane programy, stąd zalecono nie wpisywać wrażliwych danych do narzędzi na kontach prywatnych i bezpłatnych, a także wyłączyć wykorzystywanie danych do trenowania modeli.

– Nie da się wykazać zgodności z przepisami bez wiedzy, jakich narzędzi firma faktycznie używa. Nie tylko tych kupionych przez IT, ale też uruchomionych samodzielnie przez pracowników – podkreśla Markiewicz.

Radzi też, by przygotowania do nadzoru rozpocząć właśnie od spisu narzędzi AI.

– Także tych na prywatnych kontach pracowników. Nie chodzi o szukanie winnych, tylko o zabezpieczenie danych, które już tam trafiły. Potem ocena każdego narzędzia: czy nie wchodzi w zakazy, czy wymaga oznaczania i czy od grudnia 2027 r. nie będzie traktowane jako system wysokiego ryzyka – mówi Markiewicz. Z kolei gdy KRiBSI zwróci się o wyjaśnienia, należy wyznaczyć osobę prowadzącą sprawę i ustalić system AI: kto go dostarcza, jak jest ustawiony i jakie dane przetwarza.

Nie trzeba wskazywać konkretnego przepisu

Prawo do skargi przewiduje art. 85 AIAct, przy czym samo niezadowolenie z czatbota to za mało, by można było mówić o naruszeniu przepisów. Polska ustawa o systemach AI zakłada, że w zgłoszeniu trzeba podać nazwę lub opis systemu, a jeśli można to ustalić, to również nazwę i adres do doręczeń elektronicznych podmiotu, którego dotyczy skarga. Należy przy tym opisać istotne fakty i wyjaśnić powody podejrzenia złamania prawa.

– W przypadku niepełnego zgłoszenia ważne, by skarżący wiedział, że bez informacji, o jaki system chodzi, ciężko będzie komisji szybko działać na podstawie danej skargi. Im pełniejsza informacja, tym łatwiej nam podejść do sprawy. Jednak będziemy traktować każdą skargę jako istotną informację, która w przyszłości może wpłynąć na plan kontroli, jeżeli uznamy to za istotne – zapewnia szefowa Komisji ds. AI.

Przygotowując zgłoszenie skargi, dobrze jest odnotować datę zdarzenia oraz adres strony internetowej, a także zachować korespondencję i zrzuty ekranu. Po wysłaniu skargi warto mieć też potwierdzenie jej przekazania. Nie jest natomiast konieczne wskazywanie w zgłoszeniu podstawy prawnej ani wcześniejsze kontaktowanie się z dostawcą systemu czy podmiotem, którego dotyczy skarga.

Po otrzymaniu skargi KRiBSI oceni, czy mogło dojść do naruszenia, a jeżeli stwierdzi taką możliwość, rozpocznie postępowanie z urzędu, a następnie może wydać ostrzeżenie, nakazać usunięcie skutków naruszenia lub nałożyć karę pieniężną. Gdy system stwarza bezpośrednie zagrożenie dla życia, zdrowia, bezpieczeństwa lub praw podstawowych, komisja może nakazać zaprzestanie jego stosowania albo wycofanie go z rynku.

– Próg wszczęcia postępowania przez KRiBSI jest celowo niski – wyjaśnia dr Aleksandra Auleytner, partnerka w kancelarii Domański Zakrzewski Palinka, która specjalizuje się m.in. w prawie własności intelektualnej. – Nie trzeba wykazywać „uzasadnionego podejrzenia”, wystarczy, że z opisu wynika, iż do naruszenia „mogło dojść”. W praktyce skarga może dotyczyć na przykład sytuacji, w której bank lub firma pożyczkowa odmawia kredytu na podstawie nieprzejrzystego algorytmu oceny zdolności kredytowej, bez możliwości uzyskania wyjaśnienia decyzji, albo np. chatbotów i wirtualnych konsultantów, którzy prowadzą rozmowy z klientami, nie ujawniając, że są systemami AI – zwraca uwagę ekspertka.

Skarga do KRiBSI – jak dodaje – nie jest jednak środkiem dochodzenia indywidualnego odszkodowania czy naprawienia szkody skarżącego.

Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →