Weszły w życie przepisy o skargach, kontrolach i karach za AI. Komisja KRiBSI ma ruszyć w listopadzie

W środę 28 października weszły w życie kolejne przepisy ustawy o systemach sztucznej inteligencji: te o skargach, kontrolach i karach. Od tego dnia obowiązują regulacje, które pozwalają Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) przyjmować skargi na systemy AI, prowadzić kontrole i nakładać administracyjne kary pieniężne. Sama komisja dopiero się tworzy: jej pierwsze posiedzenie ma się odbyć najpóźniej w listopadzie.

Co się zmieniło

Ustawę prezydent podpisał 24 lipca, a opublikowana została 27 lipca. Większość przepisów weszła w życie 11 sierpnia, natomiast reguły dotyczące kontroli, postępowań wszczynanych na skutek skarg i kar zaczynają działać dopiero teraz, jak opisuje Rzeczpospolita.

KRiBSI ma być krajowym organem nadzoru rynku dla systemów AI. Obsługę administracyjną zapewnia Ministerstwo Cyfryzacji. Komisja nie przejmuje całości nadzoru: nadal działają organy sektorowe, takie jak KNF, UOKiK, UKE, KRRiT i UODO.

Skargi i kontrole

Skargę może złożyć osoba fizyczna, osoba prawna lub jednostka organizacyjna. Musi wskazać system AI, opisać najważniejsze fakty i wyjaśnić, dlaczego uważa, że doszło do naruszenia AI Act lub polskiej ustawy. Skarga służy uruchomieniu nadzoru, nie jest pozwem o odszkodowanie.

Według opisu kompetencji komisji kontrola może obejmować dokumentację, sposób użycia systemu, nadzór człowieka, dane wejściowe i reakcję na incydenty. Przy ryzyku dla zdrowia, bezpieczeństwa lub praw podstawowych możliwe jest ograniczenie udostępniania systemu albo jego wycofanie.

Infor.pl, powołując się na ADP Polska, wskazuje, że komisja może żądać dokumentów i danych, zabezpieczać dowody oraz mieć wgląd w systemy informatyczne firm. Skargi mogą dotyczyć na przykład AI w rekrutacji czy ocenie pracowników.

Kary i opinie indywidualne

Limity kar wynikają z prawa unijnego: do 35 mln euro lub 7 proc. światowego obrotu za zakazane praktyki, do 15 mln euro lub 3 proc. za naruszenie obowiązków operatorów i przejrzystości, do 7,5 mln euro lub 1 proc. za nieprawidłowe informacje dla organu. Dla MŚP stosuje się niższą z wartości. Kary nie są automatyczne, a organ bierze pod uwagę m.in. wagę naruszenia, współpracę i działania naprawcze.

Firmy mogą też wnioskować o indywidualną opinię w sprawie wdrożonych lub planowanych systemów AI. Komisja ma 30 dni na odpowiedź, a w sprawach złożonych 60. Według ekspertki cytowanej przez Rzeczpospolitą opinia wiąże komisję oraz organy, których opinii zasięgnięto, a zastosowanie się do niej przed jej ewentualną późniejszą zmianą nie może szkodzić przedsiębiorcy. Forsal zaznacza jednak, że opinia dotyczy przedstawionego stanu faktycznego, więc późniejsze zmiany systemu mogą prowadzić do innej oceny.

Co interesujące, brak odpowiedzi w tym terminie będzie oznaczał przyjęcie stanowiska przedstawionego przez wnioskodawcę. - dr Gabriela Bar, radczyni prawna, w rozmowie z Rzeczpospolitą

Co to znaczy dla firm

Eksperci przypominają, że AI Act obowiązuje bezpośrednio, więc nie było okresu bez zasad. Rzeczpospolita cytuje jednak zastrzeżenie, że jednorazowe naruszenia sprzed uruchomienia krajowego mechanizmu kar mogą być niekaralne, a naruszenia ciągłe nie są chronione. Inne reżimy, jak RODO, prawo konsumenckie czy prawo pracy, mogły działać wcześniej.

Infor.pl radzi firmom zrobić inwentaryzację używanych narzędzi AI, wprowadzić politykę korzystania z nich, przeszkolić pracowników i sprawdzić, czy któryś system nie jest wysokiego ryzyka. Za taki uznaje m.in. algorytmy rekrutacyjne i scoringowe. Dla małych firm przewidziano piaskownice regulacyjne, w których udział jest bezpłatny dla mikro-, małych i średnich przedsiębiorstw.

Pierwsza sesja komisji ma zostać zwołana w ciągu trzech miesięcy od wejścia ustawy w życie, czyli najpóźniej w listopadzie. Dopiero praktyka pierwszych skarg i kontroli pokaże, jak szeroko KRiBSI będzie korzystać z nowych uprawnień.