Jakich systemów AI zakazuje AI ACT?

Sztuczna inteligencja (AI) to dziedzina, która nieustannie się rozwija i oferuje coraz więcej możliwości i korzyści dla ludzkości. Nie wszystkie rozwiązania są jednak bezpieczne i pożądane z perspektywy społeczeństwa, a w szczególności zdrowia, bezpieczeństwa, czy praw podstawowych. Akt o sztucznej inteligencji adresuje ten problem poprzez wskazanie tzw. zakazanych praktyk w zakresie AI.

Odpowiedzi na pytanie, jakie systemy AI będą już wkrótce zakazane w Unii Europejskiej, należy szukać w treści art. 5 Aktu o sztucznej inteligencji[1] (dalej: „AI ACT”). Artykuł ten wyszczególnia bowiem kolejno w całej swojej treści praktyki uznane za szkodliwe i stanowiące nadużycie, przez co powinny być zakazane.

Aby filmy sci-fi nie stały się rzeczywistością

Artykuł 5 rozpoczyna się od systemów AI wykorzystujących techniki podprogowe (wykorzystujące bodźce wykraczające poza ludzką percepcję), manipulacyjne czy wprowadzające w błąd. Jak wskazano w motywie 29 do AI ACT, ma to na celu uniknięcie nakłaniania przez systemy AI osób do niepożądanych zachowań czy skłanianie do podjęcia decyzji wbrew ich swobodzie wyboru. Co istotne, przepis mówi jednak, że systemy wykorzystujące takie techniki, muszą prowadzić do istotnego zniekształcenia zachowania danej osoby lub grupy, czyli np. sprawiając, że osoba podejmuje decyzję, której w innym wypadku by nie podjęła, co w konsekwencji powoduje lub może spowodować dla niej „poważną szkodę”. Co ciekawe, w motywie 29 wyjaśniono, że zakaz praktyk polegających na manipulacji nie powinien mieć wpływu na zgodne z prawem praktyki w kontekście leczenia, jak np. terapia psychologiczna czy rehabilitacja fizyczna, jeżeli są prowadzone zgodnie z prawem i za zgodą danej osoby. Podobnie z legalnymi i zasadnymi praktykami w dziedzinie reklamy.

Innym, wręcz filmowym przykładem zakazanych praktyk w ramach systemów AI są systemy wykorzystujące tzw. social scoring, który to może być nam znany z popkultury (chociażby film pt. „Raport mniejszości”). Klasyfikowanie osób na podstawie ich zachowania lub ich wnioskowanych cech osobowości będzie wiec wkrótce prawnie zakazane, jeżeli miałoby prowadzić do dyskryminowania niektórych osób w jakimś całkowicie innym kontekście lub w nieuzasadniony do zachowania tej osoby sposób.

AI ACT zakazuje ponadto systemów AI, które wykorzystują słabości danej osoby lub grupy, ze względu na ich wiek, niepełnosprawność, czy szczególną sytuację społeczną lub ekonomiczną, co także miałoby skutkować zniekształceniem zachowania takiej osoby/grupy i prowadzić lub móc prowadzić do spowodowania „poważnej szkody”. Jak zresztą wskazano w motywie 29, osoby żyjące w skrajnym ubóstwie, osoby z mniejszości etnicznych lub religijnych, mogą być potencjalnie bardziej narażone na ich wykorzystanie.

AI to nie wróżka

Artykuł 5 AI ACT pochyla się ponadto nad systemami AI wykorzystywanymi do predykcji kryminalnej, czyli do przewidywania ryzyka ponownego popełnienia przestępstwa na podstawie profilowania danej osoby, jej cech osobowości czy cech charakterystycznych takich jak np. narodowość, miejsce urodzenia, miejsce zamieszkania, liczba dzieci, poziom zadłużenia lub rodzaj samochodu[2]. Takie systemy AI również są uznawane za niedozwolone. Wyjątek dotyczy wspierania poprzez takie systemy dokonywanej przez człowieka oceny zaangażowania danej osoby w działalność przestępczą, o ile mamy uzasadnione podejrzenie co do tego, dodatkowo oparte na obiektywnie możliwych do zweryfikowania faktach. Zakaz ten nie dotyczy jednak też analizy ryzyka, która nie opiera się na profilowaniu, czy cechach osobistych lub charakterystycznych danej osoby. Czyli np. dopuszczalne są sytuacje, gdy analizowane są podejrzane transakcje w celu oceny prawdopodobieństwa nadużyć finansowych przez daną osobę[3].

Za niedozwolone uznano też systemy AI służące do rozpoznawania lub wyciągania wniosków na temat emocji osób w ich miejscu pracy, szkołach lub uczelniach, chyba że ma to związek ze względami medycznymi (np. do użytku terapeutycznego) czy bezpieczeństwa. Unijny ustawodawca dostrzega ryzyka związane z takimi systemami AI, bowiem mają one ograniczoną wiarygodność i są nieprecyzyjne, chociażby z uwagi na to, że wyrażanie emocji różni się w zależności od danej kultury czy sytuacji. Taki system AI wiąże się zatem z ryzykiem uzyskania dyskryminacyjnych wyników, a w efekcie prowadzi do niekorzystnego traktowania niektórych osób lub grup.

Poza tym, AI ACT zakazuje również systemów AI, które pozyskują wizerunki twarzy z Internetu lub nagrań z telewizji przemysłowej w celu tworzenia lub rozbudowywania baz danych służących rozpoznawaniu twarzy. Praktyka ta bowiem wprowadza poczucie masowego nadzoru i może prowadzić do naruszeń prawa do prywatności.

Skomplikowane meandry biometrii

Dosyć szczegółowa wydaje się kwestia związana z systemami AI wykorzystującymi biometrię. I tak, zakazane są systemy kategoryzacji biometrycznej, które wykorzystują dane biometryczne osób fizycznych do wnioskowania informacji na temat ich „rasy, poglądów politycznych, przynależności do związków zawodowych, przekonań religijnych lub filozoficznych, życia seksualnego lub orientacji seksualnej”. Zakaz ten nie dotyczy ścigania przestępstw czy etykietowania legalnie zdobytych danych biometrycznych, np. w postaci sortowania obrazów wg koloru włosów czy oczu, co można potem wykorzystać w ściganiu przestępstw (motyw 30).

Temat biometrii przewija się także w kontekście zakazu systemów zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej do celów ścigania przestępstw. Ustawodawca unijny zauważa bowiem, że takie systemy mogły wywoływać „poczucie stałego nadzoru i pośrednio zniechęcać do korzystania z wolności zgromadzeń i innych praw  podstawowych” (motyw 32). Aby nie było tak łatwo, unijny ustawodawca wskazuje wyjątki, umożliwiające wykorzystywanie takich systemów. Są nimi sytuacje, gdy wykorzystanie jest „absolutnie niezbędne” do któregoś z celów:

• poszukiwania konkretnych ofiar uprowadzeń, handlu ludźmi, wykorzystywania seksualnego, poszukiwania zaginionych;
• zapobieganie „konkretnemu, poważnemu i bezpośredniemu” zagrożeniu życia lub bezpieczeństwa fizycznego osób fizycznych bądź rzeczywistemu zagrożeniu atakiem terrorystycznym;
• lokalizowania lub identyfikowania osoby podejrzanej o popełnienie przestępstwa w celu prowadzenia postępowania przygotowawczego, ścigania lub wykonania kar w odniesieniu do przestępstw takich jak np. terroryzm, handel ludźmi, wykorzystywanie seksualne dzieci, nielegalny obrót środkami odurzającymi lub bronią, zabójstwo, nielegalny obrót organami ludzkimi, zgwałcenie, sabotaż, rozbój przy użyciu broni.

AI ACT dalej wskazuje również, że jakiekolwiek wykorzystanie takich systemów AI do tych wyżej wymienionych celów musi przebiegać z zachowaniem niezbędnych i proporcjonalnych zabezpieczeń, a także zgodnie z prawem krajowym. Co istotne, taki system, aby w ogóle mógł być zastosowany, musi najpierw zostać zarejestrowany w unijnej bazie danych, chyba że mamy do czynienia z nadzwyczajną sytuacją – wówczas można zarejestrować taki system później, jednak bez zbędnej zwłoki.

Warto również odnotować, że każde wykorzystanie systemu zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej, wymaga uprzedniego zezwolenia udzielonego przez sąd lub odpowiedni organ administracyjny. Tak, jak i w przypadku rejestracji w unijnej bazie, tak samo w przypadku wspomnianego zezwolenia, w nadzwyczajnych przypadkach system może zostać wykorzystany bez zezwolenia, przy czym taki wniosek musi zostać następnie złożony w ciągu 24h. Gdy odpowiedni sąd lub organ nie wyda takiego zezwolenia, wykorzystywanie systemu musi zostać wstrzymane natychmiast, a wszystkie dane i wyniki muszą zostać usunięte.

O użyciu takiego systemu AI informuje się jeszcze dodatkowo właściwy organ nadzoru rynku i krajowy organ ochrony danych, oczywiście bez wrażliwych danych operacyjnych. Te organy natomiast mają corocznie raportować Komisji Europejskiej takie wykorzystania, która to w dalszej kolejności publikuje roczne sprawozdania na ten temat.

Ochrona osób fizycznych w przypadku wykorzystania systemu zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej ma jeszcze jeden aspekt. W przepisie wprost wskazano bowiem, że nie można podjąć decyzji wywołującej niepożądane skutki prawne dla danej osoby wyłącznie na podstawie wyników uzyskanych z takiego systemu.

Istotnie jednak państwa członkowskie mogą podjąć decyzję o wprowadzeniu możliwości pełnego lub częściowego zezwolenia na wykorzystywanie takich systemów w granicach i na warunkach określonych w AI ACT. W związku z tym, jak wyjaśnia motyw 37, państwa członkowskie mogą w ogóle nie przewidywać takiej możliwości lub przewidzieć ją jedynie w odniesieniu do niektórych celów mogących uzasadniać dozwolone wykorzystanie.

Na koniec rozważań dotyczących danych biometrycznych, warto wskazać, że zgodnie z AI ACT, nie jest tak, że automatycznie wszystkie systemy zdalnej identyfikacji biometrycznej są zakazane. Zakazane są bowiem te dokonujące tego w czasie rzeczywistym w przestrzeni publicznej. Inne zostały bowiem skategoryzowane jako systemy AI wysokiego ryzyka, na które to został nałożony szereg obowiązków. Nie są one jednak niedozwolone. Podobnie systemem AI wysokiego ryzyka będą systemy AI przeznaczone do stosowania przy kategoryzacji biometrycznej, według wrażliwych lub chronionych cech lub na podstawie wnioskowania o nich albo systemy AI przeznaczone do stosowania przy rozpoznawaniu emocji.

Od kiedy te systemy będą zakazane?

Obecnie AI ACT czeka na swoją publikację w Dzienniku Urzędowym Unii Europejskiej. Wówczas 20 dnia od tej publikacji rozporządzenie wejdzie w życie, a stosować się do niego będziemy musieli co do zasady po 2 latach. W przypadku zakazanych praktyk w zakresie AI, określonych w art. 5 jest jednak inaczej. Regulacja ta będzie obowiązywać już po 6 miesiącach od daty wejścia w życie AI ACT, zatem możemy spodziewać się tego prawdopodobnie na samym początku 2025 roku.

[1] https://www.europarl.europa.eu/doceo/document/TA-9-2024-0138-FNL-COR01_PL.pdf.

[2] Motyw 42 AI ACT.

[3] Motyw 42 AI ACT.