Autor : Aleksandra Leonowicz
2024-01-03 16:07
Koniec 2023 r. przyniósł dwa istotne wydarzenia w dziedzinie sztucznej inteligencji: przyjęcie przez Europejską Agencję Leków (EMA) przygotowanego we współpracy z Szefami Agencji Leków (HMA - The Heads of Medicines Agencies) wieloletniego planu prac w zakresie wykorzystania sztucznej inteligencji do 2028 r. oraz zakończenie trójstronnych negocjacji między Radą UE, Komisją i Parlamentem Europejskim w sprawie finalnej wersji AI Act. Zmiany opisują eksperci z Kancelarii KRK.
Pod koniec zeszłego roku EMA ogłosiła przygotowany we współpracy z HMA plan prac dot. wykorzystania AI na lata 2023-2028. EMA zamierza wykorzystywać AI w zakresie zwiększenia produktywności, automatyzacji procesów i systemów, zwiększania możliwości analizy danych i wspierania sprawniejszego procesu decyzyjnego.
Plan koncentruje się na następujących obszarach:
wykorzystanie AI w cyklu życia produktów leczniczych - EMA zamierza wspierać rozwój narzędzi AI wykorzystywanych w całym cyklu życia leków, np. w zakresie pharmacovigilance – w tym poprzez opracowywanie i ocenę odpowiednich wytycznych; na początek 2024 r. zaplanowano opublikowanie wytycznych dot. wykorzystania dużych modeli językowych (LLM);
narzędzia AI w pracy EMA - EMA wdrażać będzie narzędzia AI wspierające prace organu, np. ułatwiające korzystanie z baz wiedzy czy służące do lepszego zrozumienia i analizy danych oraz wspierania procesu podejmowania decyzji;
współpraca z interesariuszami - EMA planuje intensywną współpracę z interesariuszami publicznymi (w tym regulatorami unijnymi i krajowymi) i prywatnymi (w tym firmami rozwijającymi wyroby medyczne AI) i inicjowanie działań mających na celu wychodzenie naprzeciw ewoluującej dziedzinie AI, m.in. poprzez organizowanie warsztatów.
Ponadto w grudniu 2023 r. w ramach trilogu między Radą UE, Komisją i Parlamentem Europejskim wypracowana została finalna wersja AI Act. Co przewidują unijne przepisy?
Zachowano zakaz wykorzystania AI w określonych celach, m.in.: predictive policing, social scoring, rozpoznawania emocji w pracy, tworzenia baz danych rozpoznawania twarzy w oparciu o dane pobierane z internetu albo CCTV (scraping), albo do manipulowania ludźmi lub wykorzystywania ich podatności (wynikających np. z wieku, niepełnosprawności, sytuacji społecznej lub ekonomicznej). Przywrócono jednak możliwość wykorzystywania AI do zdalnej identyfikacji biometrycznej w czasie rzeczywistym przez policję i inne służby mundurowe w wyjątkowych sytuacjach.
Zachowano metodologię regulacji odróżniającą general purpose AI (GPAI, czyli AI ogólnego przeznaczenia), tj. systemy AI, które mogą być stosowane i dostosowywane do szerokiego zakresu zastosowań, dla których nie zostały celowo i specjalnie zaprojektowane, i foundation models (modele podstawowe), które mogą być wykorzystywane w wielu różnorodnych systemach AI (np. GPT-4). Projekt przewiduje szereg obowiązków, które realizować będą musieli dostawcy GPAI oraz modeli podstawowych, dotyczących przede wszystkim tworzenia i udostępniania dokumentacji technicznej oraz informacji o specyfikacjach systemu i zbiorach danych, na których system był trenowany. Doprecyzowano jednak obowiązki producentów general purpose AI, zwłaszcza w sytuacji, gdy inne osoby wykorzystują ich system jako AI wysokiego ryzyka, albo integrują GPAI z systemem AI wysokiego ryzyka. Wprowadzono również dodatkową kategorię high impact foundation models (modeli podstawowych o dużym wpływie), które będą musiały spełniać dodatkowe wymogi.
AI stanowią systemy, które na podstawie innych przepisów prawa UE, wskazanych w załączniku II AI Act, podlegają ocenie zgodności przez jednostkę notyfikowaną. Ze względu na tą zasadę systemami AI wysokiego ryzyka będą systemy AI będące wyrobami medycznymi. Dodatkowo zachowano zaproponowane przez PE oparte na ocenie ryzyka podejście do klasyfikacji systemów AI jako high-risk AI, zgodnie z którym systemami wysokiego ryzyka są systemy używane w obszarach lub w celach wskazanych w załączniku III AI Act, jeżeli stwarzają znaczne ryzyko szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych (lub znaczne ryzyko dla środowiska). Złagodzono jednak pewne wymogi dot. systemów high-risk AI, aby obniżyć koszty ich realizacji (np. wymogi dot. jakości danych treningowych, testowych i walidacyjnych) oraz wprowadzono wyjątki dla MŚP. Co istotne, utrzymano obowiązek przeprowadzania oceny skutków działania AI na prawa praw podstawowych osób fizycznych (lub znaczne ryzyko dla środowiska). Złagodzono jednak pewne wymogi dot. systemów high-risk AI, aby obniżyć koszty ich realizacji (np. wymogi dot. jakości danych treningowych, testowych i walidacyjnych) oraz wprowadzono wyjątki dla MŚP. Co istotne, utrzymano obowiązek przeprowadzania oceny skutków działania AI na prawa podstawowe przez podmioty wdrażające high-risk AI i zachowano szersze niż przewidziane w RODO prawo wytłumaczalności decyzji podejmowanych w oparciu o output dostarczany przez AI.
Kary za naruszenie obowiązków wynikających z AI Act mają być kalkulowane jako procent całkowitego rocznego obrotu podmiotu naruszającego w poprzednim roku obrotowym:
do 35 milionów euro lub 7 proc. rocznego obrotu w przypadku naruszenia przepisów dot. zakazanych praktyk AI,
do 15 milionów euro lub 3 proc. rocznego obrotu za naruszenie obowiązków wynikających z AI Act,
do 7,5 miliona euro lub 1,5 proc. rocznego obrotu za przekazanie przez zobowiązanego nieprawdziwych informacji.
Kolejnym krokiem będzie przyjęcie projektu przez Parlament Europejski i Radę UE. Większość przepisów AI Act ma być stosowana po upływie 2 lat od jego uchwalenia.
