AI Act - zgodność, rejestr systemów AI i wdrożenie

Nikt nie wie, ile AI jest już w firmie

Marketing ma jedno narzędzie, HR drugie, dział obsługi trzecie, a IT dowiaduje się o nich z faktury na karcie firmowej.

Chatbot nie mówi, że jest maszyną

Rozporządzenie wymaga poinformowania człowieka, że rozmawia z systemem AI. To jedna linijka tekstu i częsty brak.

Treści z AI idą bez oznaczenia

Obrazy i teksty generowane modelami trafiają na stronę i do materiałów bez informacji o pochodzeniu ani śladu w dokumentacji.

Rekrutacja i scoring bez nadzoru

Systemy decydujące o pracy, kredycie albo dostępie do usług należą do kategorii, na którą rozporządzenie patrzy najuważniej.

Zespół nie przeszedł żadnego szkolenia

Obowiązek kompetencji w zakresie AI dotyczy każdego, kto korzysta z takich narzędzi w pracy, nie tylko działu IT.

Inwentaryzacja systemów AI

Spis wszystkiego, co w firmie korzysta z AI, wraz z celem, danymi wejściowymi, dostawcą i osobą odpowiedzialną. Podstawa każdego dalszego kroku.

Klasyfikacja ryzyka

Ustalenie, czy dany system jest zakazany, wysokiego ryzyka, objęty obowiązkiem przejrzystości czy poza zakresem. Z uzasadnieniem na piśmie.

Ustalenie roli

Dostawca, podmiot stosujący, importer czy dystrybutor. Od tej jednej odpowiedzi zależy większość obowiązków, jakie na Was spadają.

Obowiązki przejrzystości

Informowanie, że rozmówcą jest AI, oznaczanie treści generowanych i deepfake, komunikaty przy rozpoznawaniu emocji i biometrii.

Nadzór człowieka i rejestrowanie zdarzeń

Kto może zatrzymać system, jak wygląda odwołanie od decyzji i gdzie zostaje ślad, który da się później odtworzyć.

Kompetencje zespołu

Szkolenie dopasowane do stanowisk, lista uczestników i materiały, czyli dowód, że obowiązek kompetencji został wykonany, a nie odhaczony.

ROZMOWA

Jak wygląda firma, czym się zajmuje i gdzie AI już działa. Bez ankiet na sto pytań, po prostu rozmowa z osobami, które wiedzą.

INWENTARYZACJA

Przeglądam narzędzia, integracje i faktury za subskrypcje. Prawie zawsze wychodzi kilka systemów, o których nie wiedział nikt poza jednym działem.

KLASYFIKACJA

Każdy system dostaje kategorię ryzyka, przypisaną rolę i uzasadnienie. To dokument, który pokazuje się klientowi i kontroli.

PLAN DZIAŁANIA

Lista braków posortowana według ryzyka i kosztu, z osobą odpowiedzialną i terminem przy każdym punkcie. Bez ogólników.

WDROŻENIE

Zmiany w produktach i procesach: komunikaty, oznaczenia, logi, nadzór człowieka, polityki. Część robię sam, część Wasz zespół.

SZKOLENIE I PRZEGLĄD

Szkolenie dla zespołu i ustalenie rytmu przeglądów, bo rejestr bez aktualizacji przestaje być dowodem po kilku miesiącach.

Przegląd startowy

Szybka ocena sytuacji: co macie, co z tego jest ryzykowne i od czego zacząć. Dobry pierwszy krok, jeśli temat dopiero wszedł na agendę.

Pełna zgodność

Rejestr, klasyfikacja, dokumentacja, zmiany w produktach i szkolenie zespołu. Najczęstszy zakres przy firmach, które mają klientów korporacyjnych.

Opieka ciągła

Zgodność nie jest projektem z datą końca. Nowe narzędzia dochodzą co miesiąc, a rejestr bez aktualizacji przestaje mieć wartość.

Czy AI Act dotyczy mojej firmy?

Jeśli korzystacie z narzędzi AI w pracy albo dostarczacie produkt, w którym one działają, to prawie zawsze tak, tylko w bardzo różnym zakresie. Zwykłe użycie asystenta do pisania tekstów oznacza kilka obowiązków, głównie informacyjnych i szkoleniowych. System oceniający kandydatów do pracy albo zdolność kredytową to zupełnie inna kategoria i inny nakład pracy.

Od kiedy obowiązują poszczególne przepisy?

Rozporządzenie weszło w życie w sierpniu 2024 roku i uruchamia się etapami: najpierw zakazane praktyki i obowiązek kompetencji, potem obowiązki dla modeli ogólnego przeznaczenia, następnie przejrzystość i systemy wysokiego ryzyka z załącznika III, a na końcu systemy wysokiego ryzyka wbudowane w produkty. Kalendarz był przedmiotem propozycji zmian, dlatego aktualny stan terminów potwierdzam na początku każdego projektu, zamiast opierać się na dacie z ulotki.

Jakie są kary?

Rozporządzenie przewiduje trzy poziomy, liczone jako kwota albo procent światowego obrotu, w zależności od tego, co jest wyższe. Najwyższy dotyczy praktyk zakazanych, średni większości pozostałych obowiązków, najniższy podawania organom nieprawdziwych informacji. W praktyce jednak większość firm przychodzi do mnie nie z powodu kar, a z powodu ankiety zgodności w przetargu albo pytania od klienta korporacyjnego.

Czy to porada prawna?

Nie i mówię to wprost. Nie jestem prawnikiem i nie wydaję opinii prawnych. Robię część techniczną i organizacyjną: rejestr systemów, klasyfikację z uzasadnieniem, zmiany w produkcie, logi, procedury i szkolenie. Jeśli sprawa wymaga opinii albo reprezentacji, pracuję razem z kancelarią, która ją podpisuje. Ten podział jest uczciwszy niż udawanie kompetencji, których nie mam.

Mamy chatbota na stronie. Co trzeba zmienić?

Zwykle cztery rzeczy: jasna informacja, że rozmówca jest systemem AI, a nie człowiekiem, ścieżka przejścia do człowieka, zapis rozmów z jasną zasadą przechowywania i uzupełnienie polityki prywatności o to, co się dzieje z treścią rozmowy. Do tego wpis w rejestrze systemów. Zmiany są niewielkie i zwykle da się je zrobić w kilka dni.

Czy generowanie obrazów i tekstów wymaga oznaczenia?

Treści generowane lub istotnie zmodyfikowane przez AI, a zwłaszcza wizerunki i nagrania przypominające rzeczywiste osoby, są objęte obowiązkami przejrzystości. Praktycznie oznacza to widoczną informację dla odbiorcy oraz, tam gdzie to możliwe, znacznik w metadanych pliku. Na tej stronie stosuję tę zasadę do własnych materiałów, więc pokazuję ją na żywym przykładzie, a nie w teorii.

Mamy już dokumentację RODO. Da się to połączyć?

Tak i zdecydowanie warto. Rejestr czynności przetwarzania, oceny skutków i procedury incydentów w dużej części pokrywają się z tym, czego wymaga AI Act. Buduję jeden zestaw dokumentów z odsyłaczami, zamiast drugiej równoległej teczki, o której po pół roku nikt nie pamięta. Mniej papieru zwykle znaczy większa szansa, że to będzie utrzymywane.

Audyty bezpieczeństwa

Testy i przegląd kodu, bo zgodność bez bezpieczeństwa jest tylko dokumentem.

Agenci AI

Wdrożenia AI projektowane od początku z nadzorem człowieka i rejestrem zdarzeń.

Szkolenia

Obowiązek kompetencji w zakresie AI, zrealizowany z listą uczestników i materiałami.

AI Act - zgodność, rejestr systemów AI i wdrożenie | Mateusz Ulewicz

ZGODNOŚĆ Z AI ACT

Zaczynamy od odpowiedzi na pytanie, gdzie AI już działa w Twojej firmie i co z tego jest naprawdę ryzykowne. Potem rejestr, klasyfikacja, konkretne zmiany w produkcie i szkolenie zespołu. Tyle dokumentacji, ile trzeba, żeby przejść ankietę i kontrolę, i ani strony więcej.

SZEŚĆ SYTUACJI,

Żadna z nich nie jest złą wolą. Wszystkie wynikają z tego, że narzędzia AI weszły do firm szybciej niż jakikolwiek proces ich pilnowania.

Zakres

Kolejność nie jest przypadkowa. Bez inwentaryzacji i ustalenia roli cała dalsza dokumentacja opisuje coś, czego nikt nie potwierdził.

Rezultaty

Wszystko w formacie, który da się aktualizować bez mojego udziału. Dokument, który potrafi utrzymać tylko autor, jest bezużyteczny po roku.

Warianty

Wycena powstaje po pierwszej rozmowie, bo o nakładzie pracy decyduje liczba systemów i to, czy któryś trafia do kategorii wysokiego ryzyka.

Zakres techniczny i organizacyjny prowadzę sam. Opinie prawne i reprezentacja to praca kancelarii, z którą współpracuję i którą rozliczasz osobno.

Podstawy

Pracuję na tekście rozporządzenia i na standardach, które organizacje i tak wdrażają. Dzięki temu jedna praca obsługuje kilka wymagań naraz.

WYPISZ NARZĘDZIA,

Nawet niepełna lista wystarczy, żeby ocenić skalę pracy i powiedzieć, czy w Waszym przypadku wystarczy przegląd startowy, czy trzeba wejść głębiej. Jeśli obowiązki są niewielkie, powiem to na pierwszej rozmowie.