Newsletter ZPP
27 listopada 2024 r., Warszawa
Stanowisko Związku Przedsiębiorców i Pracodawców ws. Projektu ustawy o systemach sztucznej inteligencji z dnia 15 października 2024 roku
- Polska jest jednym z pierwszych państw Unii Europejskiej przymierzających się do wdrożenia rozporządzenia AI Act do krajowego porządku prawnego. Tak wczesne przedstawienie stosownego projektu ustawy daje komfort możliwości spokojnej pracy nad dokumentem – dlatego na uznanie zasługują zapowiedzi szerokich i długich konsultacji społecznych proponowanych rozwiązań.
- Wspomniane wyżej pierwszeństwo daje Polsce tytuł do tego, by odgrywać istotną rolę we wspieraniu możliwie jednolitej i zharmonizowanej implementacji w poszczególnych państwach członkowskich. To kluczowe zadanie z punktu widzenia zachowania spójności jednolitego rynku cyfrowego.
- Pomysł powołania nowej instytucji nadzorującej w postaci Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji wydaje się trafiony. Nadzór nad tak skomplikowaną materią będzie wymagał głębokiego zaangażowania merytorycznego i szczególnych kompetencji, a także szerokich zasobów – rozdzielanie ich pomiędzy już istniejące podmioty skutkowałoby znacznym wykroczeniem poza ich dotychczasowy zakres zadań.
- Jednocześnie krytycznie należy odnieść się do niektórych przepisów proceduralnych, czy kształtujących zakres kompetencji Komisji. Ostatecznie, istotnym ograniczeniem wydaje się sam budżet nowej instytucji opiewający na 31 mln zł rocznie.
- Przedstawiony projekt ustawy stanowi solidny punkt wyjścia do dalszych dyskusji – natomiast w naszym przekonaniu powinien w dużo większym stopniu uwzględniać wsparcie i ramy dla rozwoju innowacji, w odniesieniu choćby do piaskownic regulacyjnych. Równolegle, zmitygowana powinna zostać dotkliwość i restrykcyjność przepisów dot. kontroli.
Nie ulega wątpliwości, że regulacje dotyczące sztucznej inteligencji i jej wszechstronnych zastosowań są dzisiaj jednym z najgorętszych tematów dyskusji w świecie cyfrowym. Unijny AI Act, pierwsza regulacja tego typu na świecie, wszedł w życie latem bieżącego roku – i od tego momentu państwa członkowskie przygotowują się do dostosowania krajowych porządków prawnych do przepisów rozporządzenia, mimo że samo w sobie nie wymaga ono transpozycji ponieważ obowiązuje bezpośrednio w całej UE.
Polski projekt ustawy pojawia się stosunkowo wcześnie – co sprawia, że bez obaw o legislacyjne opóźnienia będzie można nad nim w spokoju pracować. W tym sensie szybkie tempo działań Ministerstwa Cyfryzacji jest korzystne – firmy powinny mieć możliwie najszybciej pewność co do przyszłych urządzeń prawnych obejmujących zagadnienia związane z AI, zaś pozycja wśród liderów Europy w zakresie szybkości wdrażania AI Act daje nam szansę wewnątrzwspólnotowego „eksportu” dobrych praktyk i rozwiązań.
W powyższym kontekście kluczowe wydaje się zapewnienie możliwie spójnej i jednolitej implementacji AI Act w poszczególnych państwach członkowskich. Cały koncept jednolitego rynku cyfrowego sprowadza się do stworzenia przestrzeni dla rozwoju europejskiej branży technologicznej pozbawionej niepotrzebnych sztucznych przeszkód, a także ustanowienia wspólnych ram prawnych, tak by działalność transgraniczna wpisana w naturę przedsiębiorstw cyfrowych, była możliwie najłatwiejsza. Mając to na uwadze, choć popieramy koncepcję powołania zupełnie nowego organu nadzoru nad AI w postaci Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, chcielibyśmy zwrócić uwagę na szeroki zakres jej uprawnień – potencjalnie wkraczający na pole kompetencji unijnej Rady ds. AI, co może prowadzić do fragmentaryzacji jednolitego rynku. Wątpliwości w tym zakresie dotyczą przede wszystkim możliwości wydawania indywidualnych i generalnych interpretacji w sytuacji, gdy wspomniana Rada jest umocowana właśnie do wydawania zaleceń i opinii nt. „wszystkich istotnych zagadnień związanych z wdrażaniem” AI Act. Tak sformatowane zakresy kompetencji nie muszą, ale z pewnością mogą prowadzić do kolizji, zwłaszcza jeśli inne państwa członkowskie podążą tą samą ścieżką i znaczna ich część zdecyduje się umożliwić krajowym organom wydawanie interpretacji czy zaleceń w obszarach objętych rozporządzeniem. Wydaje się, że z punktu widzenia zapewnienia jednolitości i spójności rynku, Komisja powinna być ciałem wykonawczym i ewentualnie punktem kontaktowym w zakresie wsparcia przedsiębiorców w obszarze np. wiedzy o utrwalonych i zatwierdzonych przez Radę ds. AI wzorcach czy praktykach.
Nasze wątpliwości budzą również przepisy proceduralne dotyczące kontroli. Art. 41 ust. 2 wprowadza bardzo otwarty katalog potencjalnych przedmiotów kontroli, wskazując jedynie, że jej celem jest ustalenie zgodności działalności podmiotów obowiązanych do przestrzegania AI Act i ustawy. Wydaje się, że z punktu widzenia zasadności i proporcjonalności projektowanych środków należałoby ten przepis, a więc cel kontroli, doprecyzować i określić. Jednocześnie, proponowane brzmienie prowadzi do pewnego legislacyjnego zapętlenia – podmioty obowiązane do przestrzegania ustawy są jednocześnie podmiotami obowiązanymi do przestrzegania przepisów rozporządzenia 2024/1689, zresztą projektodawca posługuje się bezpośrednio odniesieniem do stosownego postanowienia AI Act. Jednocześnie, pojawia się pytanie, jak taką konstrukcję rozumieć – tzn. czy projektodawca zakłada, że krajowe organy będą prowadziły działania wobec podmiotów z siedzibami w innych państwach członkowskich lub krajach trzecich? Z tego punktu widzenia zasadne byłoby określenie, które konkretnie elementy struktur międzynarodowych będą wchodziły w zakres podmiotowy ustawy – filie lub oddziały zlokalizowane w kraju, spółki matki, czy może kilka podmiotów jednocześnie?
Zwracamy uwagę na postanowienie art. 43 ust. 1 pkt 2 umożliwiające przewodniczącemu Komisji upoważnienie w zasadzie dowolnej osoby (jedyny wymóg to „posiadanie wiedzy specjalistycznej”) do przeprowadzenia kontroli. Tak szerokie otwarcie furtki w tym zakresie budzi poważne wątpliwości, zwłaszcza wziąwszy pod uwagę kompetencje kontrolujących takie jak np. możliwość żądania udostępnienia wszelkiego rodzaju dokumentacji i korespondencji związanej z przedmiotem kontroli, przeprowadzania oględzin urządzeń, nośników danych i systemów informatycznych (nb. pojawia się również wątpliwość, czy sformułowanie „oględziny systemu informatycznego” jest najszczęśliwsze), czy opieczętowania lokali, pomieszczeń lub przedmiotów. Trudny do zrozumienia jest również przepis stwarzający możliwość żądania pisemnych kopii i wydruków dokumentów, w tym również z poświadczeniem za zgodność z oryginałem – jak się wydaje, będzie się to wiązało ze zbyt daleko idącą uciążliwością, zwłaszcza prawo do żądania wydruków w warunkach dostępności kopii elektronicznych nie powinno być przewidziane w projekcie. Analogiczną uwagę można poczynić wobec art. 52 ust. 3 umożliwiającego Komisji żądanie od strony tłumaczenia na język polski sporządzonej w obcym języku dokumentacji przez nią przedłożonej. Specyfika sektora cyfrowego, szczególnie w jego najnowocześniejszych obszarach związanych z AI, powoduje że w istocie większość dokumentacji może być dostępna w języku angielskim. Trudno wyobrazić sobie, by profesjonalni członkowie Komisji nie posługiwali się tym językiem.
Co więcej, na gruncie art. 45 ust. 2 kontrolujący ma mieć prawo „pobieżnego” zapoznania się z pismem zawierającym pisemną komunikację między podmiotem kontrolowanym a np. niezależnym od niego adwokatem, a więc dokumentem z zasady objętym tajemnicą adwokacką. Sam przepis jest w naszym przekonaniu za daleko idący i powinien zostać usunięty, tym bardziej razi on w kontekście regulacji dot. możliwości upoważnienia do przeprowadzenia kontroli osób trzecich.
Dodatkowo, Komisja na mocy art. 44 ma mieć możliwość zwrócenia się m.in. do policji o udzielenie pomocy w przeprowadzeniu kontroli – z uwagi na charakter czynności i samej Komisji, która nie ma być kolejną służbą w modelu policyjnym, przeciwdziałającą kryminalnym występkom, lecz organem nadzoru nad stosowaniem w praktyce AI Act, wydaje się to instrument zarysowany w projekcie ustawy zbyt szeroko. W tym samym obszarze uwagę zwraca art. 25 ust. 3 uprawniający członków Komisji do udostępniania informacji uzyskanych w związku z uczestnictwem w pracach organu, w tym również tajemnic prawnie chronionych, funkcjonariuszom, żołnierzom i pracownikom m.in. ABW, CBA, SKW, policji, czy prokuratury. Wydaje się, że projektodawca przewidział zbyt słabe gwarancje ochrony tajemnic przedsiębiorstwa i innych prawnie chronionych informacji wrażliwych. Przesłanki udostępnienia informacji (bardzo szczątkowe i ogólne – ma się to odbywać „w ramach obowiązków służbowych” i „w zakresie niezbędnym dla przygotowania opinii lub stanowisk pozostających w bezpośrednim związku z pracami Komisji”), a także ich nieograniczony przedmiotowo zakres oraz szeroki katalog podmiotów, którym informacje mogą te być udzielone, budzą nasze daleko idące wątpliwości.
Ostatecznie, pragniemy zwrócić uwagę na brak regulacji dotyczących tworzenia „piaskownic regulacyjnych” – w projekcie znajduje się wyłącznie ogólne zastrzeżenie, że podejmowanie działań mających na celu ich utworzenie jest jednym z zadań Komisji. Z uwagi na szczególną rolę sanboxów w regulacji AI Act, a także na ich potencjał do wspierania innowacji, wydaje się że przedstawiony projekt ustawy powinien bardziej szczegółowo i czytelnie odnosić się do ich tworzenia. Jak wynikałoby z uzasadnienia, będzie to przedmiotem dalszych prac legislacyjnych – natomiast wydaje się, że wsparcie dla rozwoju innowacji w zakresie AI jest co najmniej równie ważne, jak wprowadzenie mechanizmów kontrolnych. Z tego punktu widzenia należy stwierdzić, że projekt ustawy pozostaje w powyższym zakresie niezbalansowany.
Reasumując, podstawowe założenia instytucjonalne przedstawionego projektu zasługują na aprobatę, choć szereg ujętych w nim rozwiązań budzi daleko idące wątpliwości. Liczymy na dalszy dialog w ramach prac nad projektem i jego ewolucję uwzględniającą również zachęty i ramy prawne dla tworzenia innowacyjnych rozwiązań wykorzystujących systemy sztucznej inteligencji.
