Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 w sprawie sztucznej inteligencji, znane jako AI Act, weszło w życie 1 sierpnia 2024 r., ale jego przepisy zaczynały obowiązywać etapami. Zakazy najbardziej ryzykownych praktyk stosuje się od lutego 2025 r., obowiązki dotyczące modeli ogólnego przeznaczenia od sierpnia 2025 r., a zasadnicza część rozporządzenia, w tym reżim systemów wysokiego ryzyka, od 2 sierpnia 2026 r. Dla prawników oznacza to, że AI Act przestał być tematem na przyszłość i stał się obowiązującym prawem, o które pytają klienci.
Dwie role prawnika wobec AI Act
Kancelarie i działy prawne spotykają AI Act z dwóch stron. Po pierwsze jako doradcy: klienci wdrażający systemy AI potrzebują kwalifikacji systemu do kategorii ryzyka, przeglądu umów z dostawcami technologii i procedur zgodności. Po drugie jako użytkownicy: coraz więcej zespołów prawnych samodzielnie korzysta z narzędzi AI, na przykład do analizy umów, i musi rozumieć, jakie obowiązki wiążą się z tą rolą.
Podejście oparte na ryzyku
Konstrukcja AI Act opiera się na kategoriach ryzyka. Praktyki zakazane, takie jak manipulacyjne techniki podprogowe czy scoring społeczny, są wyłączone z obrotu. Systemy wysokiego ryzyka, wymienione w załącznikach do rozporządzenia, podlegają wymogom dotyczącym m.in. zarządzania ryzykiem, jakości danych, dokumentacji technicznej, nadzoru człowieka i rejestracji. Systemy ograniczonego ryzyka obejmują przede wszystkim obowiązki przejrzystości, na przykład informowanie, że użytkownik ma do czynienia z AI. Pozostałe zastosowania, a jest ich większość, pozostają poza szczegółową regulacją.
Narzędzie wspierające analizę umów, które przygotowuje propozycje i zostawia decyzję człowiekowi, mieści się co do zasady poza kategorią wysokiego ryzyka. Kwalifikacja zawsze wymaga jednak oceny konkretnego zastosowania, bo o kategorii decyduje cel i kontekst użycia systemu, a nie jego technologia.
AI Act nie działa w próżni: RODO i tajemnica zawodowa
Dla praktyki prawniczej AI Act jest tylko jedną z trzech warstw. Drugą pozostaje RODO (rozporządzenie 2016/679): dokumenty przekazywane narzędziu AI niemal zawsze zawierają dane osobowe, więc potrzebna jest podstawa przetwarzania, umowa powierzenia z dostawcą i jasność co do miejsca przetwarzania danych. Trzecią warstwą jest tajemnica zawodowa adwokata i radcy prawnego, która wymaga szczególnej ostrożności przy wyborze narzędzi: przewagę mają rozwiązania przetwarzające dane wyłącznie na terenie Unii Europejskiej, z logiczną separacją danych każdej organizacji i bez wykorzystywania dokumentów klientów do trenowania modeli.
Praktyczna lista kontrolna przed wdrożeniem narzędzia AI
Zanim zespół prawny zacznie korzystać z narzędzia AI do pracy z dokumentami, warto odpowiedzieć na kilka pytań. Gdzie fizycznie przetwarzane są dane i czy pozostają w UE? Czy dostawca zawiera umowę powierzenia przetwarzania danych? Czy dokumenty klientów są wykorzystywane do trenowania modeli? Czy wynik pracy narzędzia jest weryfikowalny, to znaczy czy każda wskazówka ma podstawę, którą prawnik może sprawdzić? Czy istnieje ścieżka usunięcia danych na żądanie? Odpowiedzi na te pytania przesądzają nie tylko o zgodności z prawem, ale też o tym, czy z narzędzia da się odpowiedzialnie korzystać w praktyce objętej tajemnicą zawodową.
Co dalej
Harmonogram AI Act jeszcze się nie wyczerpał: część obowiązków dla systemów wysokiego ryzyka wbudowanych w produkty regulowane sektorowo wejdzie w życie w 2027 r. Dla prawników praktyczny wniosek jest prosty: kompetencja w ocenie narzędzi AI i umów ich dotyczących przestała być specjalizacją niszową, a stała się częścią codziennego warsztatu.