Czy twój system AI podlega pod zakazane praktyki, czy jednak nie?
Od początku lutego 2025 roku w całej Unii Europejskiej obowiązuje zakaz stosowania szczególnie niebezpiecznych systemów AI. To nie jest zapowiedź, tylko działające prawo: rozporządzenie 2024/1689, czyli AI Act, weszło w życie 1 sierpnia 2024 roku. Jeśli twoja firma używa sztucznej inteligencji, od tej daty musisz sprawdzić, czy twoje zastosowanie nie wpada w któryś z zakazów.
Zakazane praktyki to nie są drobne uchybienia. Chodzi o systemy, które celowo manipulują ludźmi, np. przez techniki podprogowe, czyli bodźce działające poza świadomością osoby, albo wprowadzanie w błąd, jeśli skutkiem jest znacząca zmiana zachowania i poważna szkoda. Podobnie traktowane jest wykorzystywanie słabości ze względu na wiek, niepełnosprawność czy trudną sytuację społeczną lub ekonomiczną. W praktyce oznacza to, że algorytm, który celowo naciska na emocje starszej osoby, żeby podjęła niekorzystną decyzję, łamie prawo unijne.
Na liście zakazów są też praktyki, które brzmią abstrakcyjnie, ale mają konkretne konsekwencje. Chodzi o scoring społeczny, czyli ocenianie ludzi na podstawie zachowań lub cech osobistych, jeśli prowadzi to do krzywdzącego traktowania, oraz o systemy przewidujące ryzyko popełnienia przestępstwa wyłącznie na podstawie profilowania. Zakazane jest także tworzenie baz do rozpoznawania twarzy przez zbieranie wizerunków z internetu czy monitoringu oraz zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej do celów ścigania przestępstw, poza wąskimi wyjątkami.
Za naruszenie tych zakazów kary sięgają 35 milionów euro albo 7 procent rocznego światowego obrotu przedsiębiorstwa. Komisja Europejska opublikowała wytyczne, które wyjaśniają, jak interpretować przepisy, ale nie są one wiążące. Autorytatywną wykładnię zastrzegł sobie Trybunał Sprawiedliwości UE. Jeśli masz wątpliwości, czy twój system AI nie łamie zakazów, warto zweryfikować go u źródła, zamiast polegać na interpretacjach z drugiej ręki.
Które konkretnie systemy AI są od początku lutego 2025 roku całkowicie zakazane?
Od początku lutego 2025 roku w całej Unii Europejskiej obowiązuje zakaz używania i wprowadzania na rynek systemów AI, które spełniają kryteria praktyk zakazanych, jak podaje Ministerstwo Cyfryzacji. To nie jest lista życzeń, tylko twarde przepisy, za których złamanie grozi kara do 35 milionów euro albo 7% rocznego światowego obrotu firmy. Dla porównania, to znacznie więcej niż maksymalne kary za naruszenie RODO, więc biznesowo ryzyko jest realne i konkretne. Zakaz obejmuje między innymi systemy, które celowo manipulują człowiekiem, żeby zmienić jego zachowanie i wyrządzić mu poważną szkodę. Chodzi o techniki podprogowe działające poza świadomością osoby albo takie, które w znaczący sposób ograniczają jej zdolność do podjęcia świadomej decyzji. Podobnie zakazane jest wykorzystywanie słabości wynikających z wieku, niepełnosprawności czy trudnej sytuacji społecznej lub ekonomicznej, jeśli celem jest znacząca zmiana zachowania i wyrządzenie szkody. W praktyce oznacza to, że algorytm, który celowo naciska na starszą osobę, żeby podjęła decyzję, której inaczej by nie podjęła, łamie prawo unijne. Przepisy uderzają też w systemy oceny ryzyka, które przewidują popełnienie przestępstwa wyłącznie na podstawie profilowania albo cech osobowości. Zabronione jest tworzenie baz do rozpoznawania twarzy przez nieukierunkowane zbieranie wizerunków z internetu czy monitoringu. Zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej do celów ścigania przestępstw również odpada, poza wąskimi wyjątkami. Co istotne, zakazy obowiązują wszystkie systemy, nawet te wprowadzone do obrotu przed tą datą, więc nie ma tu luki dla starszych rozwiązań.
Jak sprawdzić, czy twój system nie manipuluje klientami w sposób, którego prawo zabrania?
Zacznij od sprawdzenia, czy twój system AI w ogóle mieści się w definicji zakazanych praktyk. Od początku lutego 2025 roku w całej Unii Europejskiej obowiązuje zakaz używania i wprowadzania na rynek systemów sztucznej inteligencji, które spełniają kryteria praktyk zakazanych, jak podaje Ministerstwo Cyfryzacji. To oznacza, że przepis obejmuje również systemy, które działały przed tą datą.
Najczęstszy problem dotyczy manipulacji. AI Act zakazuje systemów, które stosują techniki podprogowe lub celowe techniki manipulacyjne, których celem lub skutkiem jest znacząca zmiana zachowania osoby i wyrządzenie jej poważnej szkody. Zwróć uwagę na mechanizm: jeśli algorytm celowo ogranicza zdolność klienta do świadomej decyzji, np. przez ukryte komunikaty w czasie rzeczywisty, to działasz na granicy prawa.
Drugim obszarem ryzyka jest wykorzystywanie słabości. Prawo unijne zabrania systemów, które wykorzystują podatność osób ze względu na wiek, niepełnosprawność lub szczególną sytuację społeczną lub ekonomiczną, aby znacząco zmienić ich zachowanie i wyrządzić im poważną szkodę. Sprawdź, czy twój system nie profiluje klientów pod kątem tych cech w sposób, który prowadzi do nieuczciwych decyzji.
Kary są dotkliwe. Za naruszenie zakazanych praktyk AI Act przewiduje kary finansowe w wysokości do 35 milionów euro lub 7% rocznego światowego obrotu przedsiębiorstwa, jak informuje Ministerstwo Cyfryzacji. Wytyczne Komisji Europejskiej nie są wiążące, ale pokazują, jak urzędnicy interpretują przepisy, więc warto je potraktować jako mapę ryzyka dla własnego systemu.
Czy twój system scoringowy lub oceniający klientów łamie przepisy o social scoringu?
Ocena i klasyfikacja ludzi przez systemy AI to temat, który od początku lutego 2025 roku przestał być wyłącznie kwestią etyki, a stał się twardym przepisem prawa unijnego. Zgodnie z AI Act, czyli rozporządzeniem o sztucznej inteligencji, całkowicie zakazane są systemy scoringu społecznego, które oceniają osoby na podstawie ich zachowania lub cech osobistych, jeśli prowadzi to do krzywdzącego traktowania. Zakaz dotyczy sytuacji, w których dane do oceny zbierane są w jednym kontekście, a wykorzystywane przeciwko komuś w zupełnie innym, niezwiązanym z pierwotnym. Jeśli twoja firma automatycznie punktuje klientów na podstawie ich aktywności w mediach społecznościowych, poglądów politycznych czy przekonań religijnych, a następnie wykorzystuje ten wynik do odmowy usługi, to wchodzisz w bardzo ryzykowny obszar. Rozporządzenie wprost wymienia niedozwolone podstawy takiej oceny, w tym pochodzenie rasowe, orientację seksualną czy niepełnosprawność. Systemy AI, które profilują ludzi w ten sposób, żeby przewidzieć ryzyko popełnienia przestępstwa lub ocenić ich wiarygodność poza pierwotnym celem zbierania danych, są traktowane jako praktyki o niedopuszczalnym ryzyku. Kary za złamanie tych zakazów są dotkliwe i mają odstraszać. Za naruszenie przepisów AI Act grozi kara finansowa w wysokości do 35 milionów euro lub 7% rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa. Co istotne, zakazy obowiązują wszystkie systemy AI, również te, które zostały wdrożone przed początkiem lutego 2025 roku, więc nie ma tu mowy o "prawie nabytym" do korzystania ze starego algorytmu. Zanim zdecydujesz się na wdrożenie systemu scoringowego, sprawdź, czy twoje rozwiązanie nie wykorzystuje słabości określonych grup, na przykład ze względu na wiek czy szczególną sytuację ekonomiczną. Wytyczne Komisji Europejskiej, choć liczą 140 stron i nie są wiążące, dają praktyczne wskazówki, gdzie przebiega granica między dozwoloną personalizacją oferty a zakazaną manipulacją. Jeśli masz wątpliwości, czy twój algorytm nie łamie praw podstawowych, lepiej skonsultować go z prawnikiem, zanim zrobi to urząd.
Co grozi twojej firmie, jeśli twój system okaże się praktyką zakazaną?
Od początku lutego 2025 roku w całej Unii Europejskiej obowiązuje zakaz używania i wprowadzania na rynek systemów sztucznej inteligencji, które spełniają kryteria praktyk zakazanych, jak podaje Ministerstwo Cyfryzacji. To data, którą warto znać, bo zakaz dotyczy wszystkich systemów, niezależnie od tego, czy powstały przed tą datą, czy po niej.
Za naruszenie tych przepisów AI Act przewiduje kary finansowe w wysokości do 35 milionów euro lub 7% rocznego światowego obrotu przedsiębiorstwa, podaje Ministerstwo Cyfryzacji. Dla porównania, to kwota, która dla większości polskich firm oznaczałaby koniec działalności.
Zakazane praktyki to między innymi celowa manipulacja użytkownikami przez techniki podprogowe, czyli takie, które działają poza świadomością osoby, albo wprowadzanie w błąd, jeśli skutkiem jest znacząca zmiana zachowania i poważna szkoda. Chodzi o sytuacje, w których system AI sprawia, że ktoś podejmuje decyzję, której inaczej by nie podjął, a konsekwencje są dla niego dotkliwe.
Drugi obszar to wykorzystywanie słabości osób ze względu na wiek, niepełnosprawność albo szczególną sytuację społeczną lub ekonomiczną. Jeśli twój system celowo gra na tych podatnościach, żeby zmienić czyjeś zachowanie i wyrządzić szkodę, łamiesz prawo unijne. To dotyczy także profilowania klientów pod kątem ich podatności na manipulację.
Jeśli prowadzisz firmę i używasz AI do oceny klientów, warto sprawdzić, czy twój system nie wpada w którąś z tych kategorii. Wytyczne Komisji Europejskiej nie są wprawdzie wiążące, a autorytatywne interpretacje zastrzeżono dla Trybunału Sprawiedliwości UE, ale pokazują, jak Komisja rozumie przepisy. Lepiej traktować je jako ostrzeżenie, niż czekać na pierwszy proces.
Od czego zacząć weryfikację swoich systemów AI pod kątem AI Act już dziś?
Zacznij od spokojnego przeglądu tego, co Twoja firma faktycznie robi z danymi osobowymi i jakie systemy AI w ogóle są w użyciu. Chodzi o to, żeby ustalić, czy któreś z Twoich narzędzi nie trafia w zakres praktyk zakazanych, które od początku lutego 2025 roku obowiązują w całej Unii Europejskiej, jak przypomina Ministerstwo Cyfryzacji. Nie musisz od razu rozumieć całego rozporządzenia, wystarczy, że zaczniesz od własnego podwórka.
Na początek warto sprawdzić, czy Twój system nie manipuluje użytkownikami albo nie wykorzystuje ich słabości. AI Act zakazuje systemów, które stosują techniki podprogowe lub celowo wprowadzają w błąd, żeby znacząco zmienić zachowanie osoby i wyrządzić jej poważną szkodę. Podobnie zakazane jest wykorzystywanie słabości związanych z wiekiem, niepełnosprawnością albo trudną sytuacją społeczną czy ekonomiczną, żeby wpłynąć na decyzje takiej osoby.
W praktyce weryfikację możesz przeprowadzić w kilku krokach:
- Spisz wszystkie narzędzia, które automatycznie podejmują decyzje lub oceniają ludzi, np. przy rekrutacji, scoringu klientów czy personalizacji ofert.
- Sprawdź, czy któryś z tych systemów profiluje osoby na podstawie pochodzenia rasowego, poglądów politycznych, przekonań religijnych albo orientacji seksualnej, bo takie dane są szczególnie chronione.
- Upewnij się, że żaden system nie ocenia ludzi na podstawie zachowań społecznych w sposób, który prowadzi do krzywdzącego traktowania, czyli tzw. scoringu społecznego.
- Zweryfikuj, czy nie tworzysz baz do rozpoznawania twarzy przez zbieranie wizerunków z internetu albo monitoringu, bo to jest wprost zakazane.
- Jeśli używasz identyfikacji biometrycznej, sprawdź, czy nie działa ona w czasie rzeczywistym w przestrzeni publicznej, bo taki system jest dozwolony tylko w wąskich wyjątkach związanych ze ściganiem przestępstw.
Pamiętaj, że zakazy z AI Act nie działają w próżni. Jak podkreśla Ministerstwo Cyfryzacji, nie zwalniają one z obowiązku przestrzegania innych przepisów, w tym RODO, więc ochrona danych osobowych i tak musi być u Ciebie na porządku dziennym. Za naruszenie zakazanych praktyk grożą kary do 35 milionów euro albo 7% rocznego światowego obrotu przedsiębiorstwa, więc spokojny audyt już dziś to zdecydowanie tańsza opcja niż późniejsza interwencja prawnika.
