Otoczenie regulacyjne

Mapa kluczowych regulacji i standardów, które kształtują sposób, w jaki firmy projektują, wdrażają i utrzymują systemy AI. Z lotu ptaka, rzecz jasna!

Prawo

Twarde ramy prawne wyznaczające granice dla projektowania, wdrażania i utrzymywania systemów AI w Unii Europejskiej.

Rozporządzenie o Sztucznej Inteligencji (AI Act)

AI Act to pierwsze na świecie kompleksowe ramy prawne dotyczące sztucznej inteligencji, wprowadzone przez Unię Europejską. Jego celem jest zapewnienie, że systemy AI używane w UE są bezpieczne, przejrzyste, identyfikowalne, niedyskryminujące i przyjazne dla środowiska.

Ustawa dzieli systemy AI na cztery kategorie ryzyka:

Niedopuszczalne ryzyko: Systemy wyraźnie zagrażające bezpieczeństwu, źródłom utrzymania i prawom ludzi (np. ocena punktowa obywateli przez rządy). Są one całkowicie zakazane.
Wysokie ryzyko: Systemy stosowane m.in. w infrastrukturze krytycznej, edukacji, zatrudnieniu czy egzekwowaniu prawa. Wymagają one rygorystycznej oceny i certyfikacji przed wprowadzeniem na rynek oraz ciągłego monitorowania.
Ograniczone ryzyko: Systemy o konkretnych obowiązkach w zakresie przejrzystości, takie jak chatboty, przy których użytkownik musi wiedzieć, że wchodzi w interakcję z maszyną.
Minimalne/Brak ryzyka: Większość obecnie używanych systemów AI (np. filtry spamowe), na które nie nałożono dodatkowych wymogów prawnych.

RODO (GDPR)

Fundament ochrony danych osobowych. AI przetwarza ogromne ilości danych, co często prowadzi do napięć między innowacyjnością modeli a prawem do prywatności, bycia zapomnianym czy wyjaśnialności decyzji.

Regulacje

Stay tuned!

Standardy

Stay tuned!

Odpowiedzialna AI

Ramy koncepcyjne wykraczające poza samą zgodność z prawem — dotyczą tego, w jaki sposób projektujemy, rozwijamy i wdrażamy AI w sposób etyczny, budujący zaufanie i minimalizujący negatywny wpływ na społeczeństwo.

Kluczowe wymiary Responsible AI obejmują:

Fairness (Sprawiedliwość): Zapobieganie algorytmicznym uprzedzeniom (bias), które mogą faworyzować lub dyskryminować pewne grupy demograficzne.
Explainability & Transparency: (Wyjaśnialność i transparentność). System AI nie może być czarną skrzynką, zwłaszcza gdy podejmuje decyzje wpływające na życie ludzi. Należy zapewnić możliwość śledzenia, dlaczego model podjął daną decyzję.
Robustness & Safety: (Solidność i bezpieczeństwo). Systemy muszą działać niezawodnie, chroniąc przed atakami, takimi jak prompt injection czy data poisoning.
Sustainability: Uwzględnianie śladu węglowego i kosztów środowiskowych związanych z trenowaniem i wnioskowaniem za pomocą dużych modeli językowych (LLM).

Potrzebujesz mapy regulacji dla swojej organizacji?

Pomogę Ci sklasyfikować systemy AI pod kątem AI Act i powiązać obowiązki z konkretnymi rolami w firmie.

Otoczenie regulacyjne AI - przegląd

Mapa regulacji dotykających AI: AI Act, RODO, NIS2, Data Act, DSA, DMA i sektorowe. Co i kiedy obowiązuje polskie organizacje.

Hej, hej. Skoro jesteś na stronie legal architect'a, to nie może zabraknąć spojrzenia na prawo, regulacje i etykę.

Dokładnie w takiej kolejności, choć oczywiście możemy się kłócić co z czego wynika. W każdym razie jest tak, że standardowo:

przepisy prawa (ustawy, rozporządzenia) stosujemy tak jak je natura... tfu, prawodawca stworzył; innymi słowy pole do interpretacji tego co tam zapisane jest dość zawężone,
regulacje są nieco mniej twarde, bo zasadniczo nie mają mocy prawnie wiążącej; to najczęściej rekomendacje czy wytyczne wydawane przez organy sektorowe lub "tematyczne" (jak Prezes Urzędu Ochrony Danych Osobowych) i które ze względu na autorytet stosujemy,
etyka najsłabsza, ale i chyba najważniejsza część naszego otoczenia; normy etyczne nie są wiążące a ich stosowanie jest uzależnione od naszego sumienia i dobrej woli; w kontekście AI mają jednak kolosalne znaczenie, o czym się jeszcze przekonamy.

Z grubsza tak to wygląda, choć odcieni jest więcej...

Patrząc na projekty AI najczęściej dokonujemy takiego podziału (szczegółowe omówienie znajdziecie w odpowiednich sekcjach):

#PRAWO

[AI Act] Link: https://eur-lex.europa.eu/legal-content/PL/ALL/?uri=CELEX:32024R1689

Rozporządzenie w sprawie sztucznej inteligencji, które wbrew swojej nazwie nie reguluje wszystkich aspektów AI. Ma jednak duże znaczenie dla tych rozwiązań, które wiążą się z większym niż "normalne" ryzykiem. Naruszenie to poważne kary, ale Unia Europejska i państwa członkowskie nadal [15/05/2026] pracują nad tym, aby to w końcu zadziałało.

[RODO] Link: https://eur-lex.europa.eu/eli/reg/2016/679/oj?locale=pl

Nie każde rozwiązanie AI wiążę się z przetwarzaniem danych osobowych, ale jeżeli już tak jest, to RODO jest fundamentem. Przepisy nie są zbyt precyzyjne, ale mamy całą masę wytycznych i rekomendacji, które nam je doprecyzowują, także w kontekście AI. Więcej znajdziecie w odpowiedniej sekcji na stronie!

[Data Act] Link: https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=OJ:L_202302854

Wbrew pozorom to nie akt prawny regulujących wszystko o danych. To akt, który m.in. otwiera dostęp do danych (nieosobowych) pochodzących z urządzeń Internetu Rzeczy, np. smartwatch, samochód "samojezdny" czy urządzenia typu smarthome. Dodatkowo mamy kilka przepisów o chmurze i dostępie do naszych danych na żądanie podmiotów publicznych.

[NIS2 / UKSC 2.0] Link: https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20260000252/O/D20260252.pdf

NIS2 i ustawa o krajowym systemie cyberbezpieczeństwa to "pakiet", który ustanawia konkretne wymogi w zakresie tzw. bezpieczeństwa informacji dla niektórych podmiotów, w tym dostawców usług ICT, sektora energetycznego czy bankowego. A skoro AI to rozwiązanie ICT, to pewnie i tutaj znajdziemy jakieś punkty zaczepienia.

Dla sektora finansowego takim NIS2 jest DORA, czyli Digital Operational Resilience Act.

[Cyberresilience Act] Link: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R2847

To konkretne rozporządzenie, które daje nam wymagania dla m.in. oprogramowania/aplikacji, ale i systemów AI wysokiego ryzyka w zakresie cyberbezpieczeństwa. Same konkrety.

Będę to na bieżąco uzupełniał, więc stay tuned!

#REGULACJE

Nie wiem od czego zacząć, bo jest tego sporo i różni się od sektora czy obszaru. Pozwólcie, że wrzucę linki, a jak czas pozwoli to trochę poopisuję CO, KTO i JAK.