Polskie urzędy nie wiedzą, czy używają systemów objętych unijnym AI Act

Niecały miesiąc dzieli polską administrację publiczną od pełnego wejścia w życie unijnego AI Act, a znaczna część urzędów wciąż nie potrafi jednoznacznie odpowiedzieć, czy w ogóle korzysta z systemów objętych nową regulacją. Wynika to z raportu organizacji Sieć Obywatelska Watchdog Polska, która przez kilka miesięcy pytała jednostki administracji publicznej o wykorzystanie sztucznej inteligencji.

Problem zaczyna się już na poziomie definicji. Część urzędów uznaje za system AI nawet proste oprogramowanie OCR do rozpoznawania tekstu ze skanów dokumentów, inne przyjmują wąskie rozumienie i za sztuczną inteligencję uznają wyłącznie narzędzia generatywne w rodzaju ChatGPT. Wiele instytucji odmawia ujawnienia informacji o zaawansowanych modelach analitycznych, twierdząc, że nie spełniają one definicji z rozporządzenia.

Konkretne przykłady z administracji

Raport wskazuje na Zakład Ubezpieczeń Społecznych, który wykorzystuje modele punktowe do analizy zwolnień lekarskich, ale nie klasyfikuje tego systemu jako AI, co pozwala uniknąć obowiązkowej oceny ryzyka. Podobna sytuacja dotyczy systemu STIR prowadzonego przez Krajową Izbę Rozliczeniową, służącego do analizy ryzyka oszustw finansowych i blokowania rachunków, gdzie przejrzystość co do wykorzystywanej technologii pozostaje ograniczona. Agencja Bezpieczeństwa Wewnętrznego odmówiła komentarza, powołując się na względy bezpieczeństwa operacyjnego.

Definicyjne spory często służą jako pretekst do unikania przejrzystości - Michał Zemełka, autor raportu Sieci Obywatelskiej Watchdog Polska

Kto ponosi odpowiedzialność

Prawnicy zwracają uwagę, że sama regulacja nakłada obowiązek samodzielnej oceny na każdą instytucję z osobna. Nie ma jednego centralnego mechanizmu, który rozstrzygałby wątpliwości definicyjne za urzędy, co w praktyce otwiera pole do rozbieżnych interpretacji między poszczególnymi jednostkami administracji.

Każdy podmiot musi samodzielnie ocenić, czy dany system spełnia kryteria AI Act, określając swoją rolę - dostawcy czy użytkownika - co przesądza o obowiązkach związanych ze zgodnością - Paweł Dymek, prawnik

Co zakłada unijna regulacja

AI Act definiuje system sztucznej inteligencji jako mechanizm oparty na uczeniu maszynowym, zdolny do działania z różnym poziomem autonomii po wdrożeniu, potrafiący dostosowywać się i wnioskować wyniki takie jak prognozy, treści, rekomendacje czy decyzje wpływające na środowisko fizyczne lub wirtualne. Instytucje stosujące systemy wysokiego ryzyka będą musiały zapewnić zgodność z instrukcjami dostawcy, wdrożyć kompetentny nadzór ludzki, prowadzić ciągłe monitorowanie oraz przeprowadzać oceny wpływu na prawa podstawowe. Za brak zgodności rozporządzenie przewiduje sankcje finansowe nakładane po weryfikacji przez organ nadzorczy.

Rekomendacje i dalsze kroki

Watchdog Polska proponuje ujednolicenie definicji operacyjnej AI dla administracji publicznej, stworzenie centralnego rejestru publicznych zastosowań sztucznej inteligencji oraz niezależny mechanizm weryfikacji odwołań w sprawach odmowy udzielenia informacji. Organizacja podkreśla, że klasyfikacja systemu powinna opierać się na jego faktycznym działaniu, a nie na deklaracjach instytucji, które go wdrożyła.

Dla polskich firm i samorządów oznacza to, że zostało niewiele czasu na uporządkowanie własnych rejestrów narzędzi AI, zanim zaczną obowiązywać pełne wymogi rozporządzenia. Instytucje, które dziś unikają jasnej klasyfikacji swoich systemów, ryzykują, że po 2 sierpnia znajdą się pod lupą organu nadzorczego bez przygotowanej dokumentacji zgodności.

Źródła: AI Act już za chwilę, a urzędy nadal nie wiedzą, czy używają AI (prawo.pl), AI Act wszedł w życie. Polskie firmy wciąż nie wiedzą, że łamią prawo (rp.pl)