Zastrzeżenie na samym początku

Zanim przejdziemy do treści: Ai Act, czyli usługa dostępna pod adresem aiact.waw.pl, nie jest organem nadzoru, nie reprezentuje KRiBSI ani żadnej instytucji państwowej i nie ma uprawnień kontrolnych ani decyzyjnych. To prywatna usługa techniczno-konsultingowa, która pomaga firmom przygotować się do ewentualnej kontroli. Ten artykuł opisuje ogólny zarys kompetencji krajowego organu nadzoru, nie działania samego Ai Act.

Skąd w ogóle bierze się krajowy organ nadzoru

AI Act jako rozporządzenie unijne obowiązuje bezpośrednio, ale nie tworzy sam z siebie instytucji, która pilnuje jego przestrzegania w danym kraju. Tę rolę wypełnia ustawa krajowa, która w Polsce ustanawia organ nadzoru funkcjonujący pod nazwą KRiBSI. Szerzej o samej ustawie i jej relacji do rozporządzenia unijnego pisze artykuł Polska ustawa o systemach sztucznej inteligencji.

Typowe kompetencje organu nadzoru tego rodzaju

Organy nadzoru powoływane do egzekwowania unijnych rozporządzeń mają zwykle zbliżony, powtarzalny zestaw kompetencji, znany choćby z organów odpowiedzialnych za ochronę danych osobowych w innych krajach członkowskich. W ogólnym zarysie obejmuje to:

  • prowadzenie kontroli u podmiotów objętych rozporządzeniem, z prawem żądania dokumentacji i wyjaśnień,
  • nakładanie kar administracyjnych w granicach progów przewidzianych przez rozporządzenie,
  • przyjmowanie i rozpatrywanie skarg od osób lub firm, które uważają, że dany system AI narusza ich prawa,
  • wydawanie zaleceń i wytycznych dotyczących interpretacji obowiązków wynikających z rozporządzenia.

Dokładny, szczegółowy zakres tych kompetencji określa ustawa krajowa i towarzyszące jej akty wykonawcze, których ten artykuł celowo nie próbuje streszczać w drobiazgowych szczegółach, żeby nie podawać precyzji, której nie da się na tym poziomie ogólności zagwarantować jako aktualnej.

Jak zwykle wygląda kontrola: ogólny, orientacyjny zarys

Organy nadzoru tego typu, znane z innych obszarów prawa unijnego, mają zazwyczaj podobny, powtarzalny wzorzec działania, choć konkretny przebieg zależy od przepisów danego kraju i danej sprawy:

  1. Impuls do kontroli: skarga osoby trzeciej, informacja medialna, albo kontrola z urzędu w ramach planowego nadzoru nad daną branżą.
  2. Żądanie dokumentacji: organ zwraca się do firmy o przedstawienie dokumentów potwierdzających spełnienie obowiązków (na przykład dowodów przeszkolenia zespołu, dokumentacji technicznej systemu wysokiego ryzyka, dowodów oznaczenia treści generowanych przez AI).
  3. Ocena i, jeśli to konieczne, postępowanie wyjaśniające: organ analizuje, czy stwierdzone braki stanowią naruszenie, i w jakim zakresie.
  4. Decyzja: może to być zalecenie usunięcia naruszeń w wyznaczonym terminie, a w poważniejszych przypadkach kara administracyjna.

Ten schemat ma charakter orientacyjny i opiera się na ogólnej praktyce znanej z innych organów nadzoru w Unii Europejskiej, nie na szczegółowej, potwierdzonej procedurze KRiBSI. Konkretny przebieg kontroli może się różnić.

Najważniejszy praktyczny wniosek z tego schematu: firmy, które w momencie kontroli mają już przygotowaną dokumentację (szkolenia, oznaczenia, rejestr systemów AI), przechodzą przez ten proces znacznie szybciej i z mniejszym ryzykiem sankcji niż firmy, które zaczynają przygotowania dopiero po otrzymaniu pisma od organu. Praktyczny przewodnik po przygotowaniu takiej dokumentacji znajdziesz w artykule Jak przygotować firmę na kontrolę oraz Checklista audytu AI Act.

Tryb nakładania kar: co wynika z samego rozporządzenia

Górne progi kar administracyjnych za naruszenie AI Act są ustalone bezpośrednio w rozporządzeniu unijnym i obowiązują jednolicie w całej Unii Europejskiej, niezależnie od tego, który krajowy organ nadzoru je nakłada. Najwyższy próg, do 35 milionów euro lub 7% globalnego rocznego obrotu firmy, dotyczy naruszeń związanych z zakazanymi praktykami. Pozostałe kategorie naruszeń mają niższe progi. Pełne rozbicie progów i typów naruszeń opisuje artykuł Kary za naruszenie AI Act. Krajowy organ nadzoru działa w tych granicach, ustawa krajowa może precyzować tryb i kryteria wymiaru kary, ale nie zmienia samych progów ustalonych na poziomie unijnym.

Współpraca z organami innych krajów członkowskich

Systemy AI, zwłaszcza te oparte na dużych modelach ogólnego przeznaczenia, rzadko działają w granicach jednego kraju. Firma z siedzibą w Polsce może korzystać z modelu dostarczanego przez firmę zarejestrowaną w innym kraju Unii Europejskiej, a jej usługi mogą trafiać do klientów w jeszcze innych krajach członkowskich. Z tego powodu krajowe organy nadzoru, w tym polski, mają przewidziane mechanizmy współpracy i wymiany informacji z odpowiednikami w innych krajach członkowskich oraz z instytucjami unijnymi odpowiedzialnymi za nadzór nad AI na poziomie całej Unii, w tym z tak zwanym unijnym Urzędem ds. AI, odpowiedzialnym przede wszystkim za nadzór nad dostawcami modeli ogólnego przeznaczenia o zasięgu ogólnounijnym.

Dla firmy oznacza to w praktyce, że kontrola prowadzona przez krajowy organ nadzoru może, w uzasadnionych przypadkach, opierać się na informacjach lub ustaleniach pochodzących od organu innego kraju członkowskiego, zwłaszcza jeśli dana sprawa dotyczy systemu AI wykorzystywanego jednocześnie w kilku krajach Unii Europejskiej.

Dlaczego kara to zwykle ostatni krok, nie pierwszy

Warto rozumieć logikę, jaka przyświeca tego rodzaju organom nadzoru: ich celem jest doprowadzenie do zgodności z prawem, nie karanie samo w sobie. W praktyce oznacza to, że pierwszą reakcją na drobniejsze braki bywa zalecenie ich usunięcia w wyznaczonym terminie, a kara finansowa pojawia się w poważniejszych przypadkach albo gdy firma nie reaguje na wcześniejsze zalecenia. To nie zmienia faktu, że sam czas i koszt reagowania na kontrolę bez przygotowanej wcześniej dokumentacji bywa dla firmy bardziej dotkliwy niż sama ewentualna kara.

Najczęściej zadawane pytania

Czy Ai Act (ta strona) jest tym samym co KRiBSI?

Nie, absolutnie nie. Ai Act (aiact.waw.pl) to prywatna usługa techniczno-konsultingowa. Nie reprezentujemy KRiBSI ani żadnego urzędu i nie wydajemy decyzji administracyjnych. KRiBSI to krajowy organ nadzoru ustanowiony polską ustawą o systemach sztucznej inteligencji.

Czy organ nadzoru kontroluje wyłącznie duże firmy?

Nie. Kompetencje kontrolne organu nadzoru obejmują wszystkie podmioty podlegające AI Act, niezależnie od wielkości. W praktyce priorytety kontrolne mogą się różnić, ale mała firma nie jest formalnie zwolniona z możliwości kontroli.

Co się dzieje, jeśli firma nie zgadza się z decyzją organu nadzoru?

Decyzje administracyjne tego rodzaju organów podlegają zwykle trybowi odwoławczemu przewidzianemu w przepisach krajowych o postępowaniu administracyjnym. Szczegóły takiej procedury wykraczają poza zakres tego ogólnego artykułu i najlepiej skonsultować je z radcą prawnym.

Czy to jest porada prawna?

Nie. Ten artykuł ma charakter informacyjny i edukacyjny, oparty na ogólnej wiedzy o organach nadzoru tego typu. Ocenę konkretnej sytuacji firmy powinien przeprowadzić radca prawny lub adwokat.