Legal Alert | Ustawa o systemach sztucznej inteligencji

Czego dotyczy Ustawa?

Ustawa określa szeroko rozumianą organizację i sposób nadzoru nad systemami i modelami AI.  

Nowy organ nadzoru

Organem nadzoru rynku w zakresie systemów AI będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, złożona z:

1. Przewodniczącego Komisji powoływanego przez Sejm za zgodą Senatu (kadencja 3-letnia);
2. dwóch Zastępców Przewodniczącego; 
3. czterech członków wskazanych odpowiednio przez: Prezesa Urzędu Ochrony Konkurencji i Konsumentów (UOKiK), Komisję Nadzoru Finansowego (KNF), Krajową Radę Radiofonii i Telewizji (KRRiT) oraz Prezesa Urzędu Komunikacji Elektronicznej (UKE). 

Taki skład Komisji ma zapewnić multidyscyplinarne podejście do nadzoru nad rynkiem AI, łączące kompetencje z zakresu ochrony konkurencji i konsumentów, nadzoru finansowego, mediów oraz telekomunikacji.

Zadania Komisji

Do kluczowych zadań Komisji będą należały:

1. sprawowanie kontroli przestrzegania AI Act i Ustawy (w tym nakładanie kar pieniężnych za ich naruszenie);
2. wspieranie oraz monitorowanie rozwoju, innowacyjności i konkurencyjności w obszarze AI;
3. przeciwdziałanie zagrożeniom w zakresie bezpieczeństwa systemów AI;
4. wydawanie postanowień i decyzji w sprawach o naruszenie przepisów;
5. tworzenie piaskownic regulacyjnych i zarządzanie nimi;
6. wydawanie opinii indywidualnych (wiążących dla Komisji i organów państwowych). 

W tym kontekście pewne kontrowersje budzą opinie indywidualne Komisji. Pomimo iż możliwości zmiany opinii indywidualnej są ograniczone, to jednak nie jest wykluczone późniejsze uchylenie lub stwierdzenie wygaśnięcia takiej opinii przez Komisję (co może okazać się dla przedsiębiorców niekorzystne).

Sankcje administracyjne

Co istotne, Komisja będzie wyposażona w kompetencję nakładania na podmioty obowiązane do przestrzegania AI Act administracyjnych kar pieniężnych, które mogą wynosić do 35 mln EUR lub 7% rocznego światowego obrotu (za najcięższe naruszenia), do 15 mln EUR lub 3% obrotu (za inne naruszenia) oraz do 7,5 mln EUR lub 1% obrotu (za podanie nieprawdziwych informacji). 

Komisja może zmniejszyć karę o 10–50%, jeżeli ukarany podmiot wykonał w terminie 3 miesięcy działania wskazane w ostrzeżeniu, a naruszenie nie doprowadziło do śmierci lub poważnego uszczerbku na zdrowiu. Możliwe jest także odroczenie lub rozłożenie kary na raty.

Komisja będzie mogła nakładać administracyjne kary pieniężne od dnia wejścia w życie rozdziału 8 Ustawy, tj. po upływie 3 miesięcy od dnia jej ogłoszenia, jednak wyłącznie w zakresie naruszeń obowiązków wynikających z AI Act, które znajdują już zastosowanie. W odniesieniu do części przepisów dotyczących systemów AI wysokiego ryzyka termin ten będzie późniejszy — zgodnie z uzgodnionymi zmianami Digital Omnibus, odpowiednio 2 grudnia 2027 r. dla wybranych systemów wysokiego ryzyka oraz 2 sierpnia 2028 r. dla systemów AI zintegrowanych z produktami regulowanymi.

Łagodzenie odpowiedzialności – instytucja układu

Ustawa wprowadza instytucję układu jako mechanizmu nadzwyczajnego złagodzenia sankcji, umożliwiającego obniżenie kary pieniężnej w zamian za współpracę z Komisją.
Układ może zostać zawarty, jeżeli strona: (1) zaprzestała naruszania prawa albo usunęła stan niezgodności z prawem oraz (2) ujawniła Komisji wszelkie istotne okoliczności dotyczące naruszenia, w tym osoby współdziałające, i przedstawiła dowody. Dodatkowy warunek: naruszenie nie mogło doprowadzić do wystąpienia poważnych incydentów AI. 

Przykład praktyczny: system AI wysokiego ryzyka wykorzystywany do zarządzania infrastrukturą krytyczną (np. sieciami energetycznymi, wodociągowymi, transportowymi lub cyfrowymi), którego awaria doprowadziłaby do poważnego i nieodwracalnego zakłócenia funkcjonowania tej infrastruktury, kwalifikowałby się jako poważny incydent w rozumieniu AI Act. W takim przypadku podmiot odpowiedzialny nie mógłby skorzystać z instytucji układu, nawet gdyby spełnił pozostałe przesłanki współpracy z Komisją.

Komisja może obniżyć karę o 20–70%. W przypadku dobrowolnego ujawnienia naruszenia z własnej inicjatywy – obniżenie wynosi 30–90%.

Komisja może również odstąpić od nałożenia zakazu/nakazu i nałożyć wyłącznie karę pieniężną. W nadzwyczajnych okolicznościach łagodzących możliwe jest całkowite odstąpienie od nałożenia sankcji.

Kontrola sądowa decyzji Komisji

Ustawa przewiduje sądową kontrolę decyzji i postanowień Komisji:

• Od decyzji Komisji w sprawie naruszeń oraz w sprawie nałożenia kary pieniężnej przysługuje odwołanie do SOKiK, wnoszone za pośrednictwem Komisji w terminie miesiąca od doręczenia decyzji.
• Na postanowienia Komisji (ostrzeżenia i nakazy) przysługuje zażalenie do SOKiK w terminie tygodnia od doręczenia.
• Wniesienie odwołania wstrzymuje wykonanie decyzji w zakresie kary pieniężnej.
• Komisja może w trybie samokontroli (w terminie 14 dni) sama uchylić lub zmienić decyzję, jeśli uzna odwołanie za zasadne.
• SOKiK oddala odwołanie, jeśli nie ma podstaw do uwzględnienia; w razie uwzględnienia – uchyla albo zmienia decyzję i orzeka co do istoty sprawy.
• Przysługuje skarga kasacyjna do Sądu Najwyższego niezależnie od wartości przedmiotu zaskarżenia.

Podsumowanie i rekomendacje praktyczne

• W związku z wejściem w życie Ustawy warto podjąć następujące działania:
• Przeprowadzenie przeglądu stosowanych systemów AI pod kątem zgodności z AI Act, w szczególności identyfikacja systemów wysokiego ryzyka.
• Wdrożenie wewnętrznych procedur compliance obejmujących dokumentację techniczną, ocenę ryzyka i mechanizmy nadzoru człowieka.
• Przeszkolenie pracowników pod kątem korzystania z narzędzi AI w organizacji.
• Przygotowanie się na kontrole Komisji.

Z uwagi na skalę potencjalnych sankcji oraz szeroki zakres kompetencji nadzorczych Komisji warto możliwie wcześnie rozpocząć prace nad dostosowaniem organizacji do wymogów AI Act i Ustawy.