Regulacja sztucznej inteligencji (AI) w UE

Dlatego firmy i organizacje powinny koniecznie wiedzieć, które praktyki AI są w UE niedopuszczalne, jak uniknąć ich naruszenia i jak zapewnić zgodność (compliance) z nowymi przepisami. W dalszej części przedstawiamy przegląd zakazanych praktyk AI według AI Act, bardziej szczegółową analizę wybranych zakazów (zwłaszcza technik manipulacyjnych i rozpoznawania emocji) z odwołaniami do konkretnych artykułów AI Act, omówienie wytycznych Komisji Europejskiej dotyczących tych zakazów oraz zalecenia dla firm. Na koniec opisujemy, jak kancelaria prawna może pomóc klientom w obszarze regulacji AI.

Zakazane praktyki AI według AI Act

AI Act w art. 5 zakazuje ośmiu rodzajów praktyk wykorzystania sztucznej inteligencji, które uznaje się za „niedopuszczalne ryzyko” – czyli sprzeczne z wartościami UE i prawami podstawowymi, a zatem całkowicie niedozwolone. Od 2 grudnia 2026 dojdą do nich dwa kolejne. Chodzi o następujące zakazane praktyki w dziedzinie AI:

• Techniki podprogowe i manipulacyjne (art. 5 ust. 1 lit. a) AI Act): systemy AI wykorzystujące techniki podprogowe, celowo manipulacyjne lub wprowadzające w błąd, których celem lub skutkiem jest istotne zniekształcenie zachowania osoby (lub grupy osób) poza jej świadomą kontrolą, przez co skłaniają ją do podjęcia decyzji, której inaczej by nie podjęła, i wyrządzają jej szkodę. (Ten zakaz i przykłady manipulacyjnych technik AI omawiamy szczegółowo poniżej.)
• Wykorzystywanie słabości (art. 5 ust. 1 lit. b): systemy AI wykorzystujące słabości osób lub grup wynikające z ich wieku, niepełnosprawności albo sytuacji społeczno-ekonomicznej w celu istotnego wpłynięcia na ich zachowanie w sposób, który może wyrządzić im szkodę. Typowo chodzi o praktyki AI wymierzone w dzieci, seniorów lub inne szczególnie wrażliwe osoby, mające na celu zmanipulowanie ich do szkodliwego działania (np. oszustwa wymierzone w łatwowiernych seniorów – zob. dalej).
• Scoring społeczny (social scoring) (art. 5 ust. 1 lit. c): systemy AI służące do oceny lub klasyfikacji ludzi na podstawie ich zachowań społecznych lub cech osobistych, które prowadzą do tzw. kredytu społecznego, a w konsekwencji do niekorzystnego traktowania osób. Przepis dotyczy przede wszystkim powszechnej oceny społecznej obywateli na wzór niektórych systemów kredytu społecznego – czyli krzywdzącego traktowania ludzi poza pierwotnym kontekstem danych lub w sposób nieproporcjonalny do ich zachowania. Takie „punktowanie obywateli” jest w UE zakazane.
• Predykcyjne systemy policyjne (art. 5 ust. 1 lit. d): AI wykorzystywana do oceny ryzyka popełnienia przestępstwa przez daną osobę na podstawie profilowania lub oceny jej cech, tj. przewidywanie przestępczości bez oparcia w obiektywnych faktach. W praktyce chodzi o „predictive policing” czy analizy „przedprzestępcze” znane z fikcji – AI Act ich zakazuje, ponieważ mogą prowadzić do dyskryminacji. (Zakaz nie obejmuje jedynie systemów wspierających, które pomagają ludzkiemu śledczemu na podstawie zweryfikowanych faktów.)
• Masowe pozyskiwanie danych biometrycznych (scraping) do rozpoznawania twarzy (art. 5 ust. 1 lit. e)): systemy AI, które tworzą lub rozbudowują bazy danych do rozpoznawania twarzy poprzez nieukierunkowane pobieranie (scraping) wizerunków twarzy z internetu lub nagrań z kamer. Przepis ten dotyczy praktyk takich jak masowe gromadzenie zdjęć ze stron internetowych lub mediów społecznościowych bez zgody w celu trenowania AI do rozpoznawania twarzy (przykładem jest sprawa Clearview AI). Takie niepożądane, potajemnie prowadzone zbieranie danych biometrycznych jest zakazane.
• Rozpoznawanie emocji w miejscu pracy i w edukacji (art. 5 ust. 1 lit. f): systemy AI przeznaczone do wyciągania wniosków na temat emocji osób w miejscu pracy lub w instytucjach edukacyjnych (np. analiza mimiki pracowników lub uczniów w celu ustalenia ich stanu emocjonalnego), z wyjątkiem zastosowań do celów medycznych lub związanych z bezpieczeństwem. Innymi słowy, monitorowanie emocji pracowników i studentów za pomocą AI jest w UE zakazane (szczegóły poniżej).

• Kategoryzacja biometryczna według cech wrażliwych (art. 5 ust. 1 lit. g): systemy AI, które biometrycznie identyfikują i przypisują poszczególne osoby do kategorii według pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych, przynależności do związków zawodowych, stanu zdrowia, orientacji seksualnej lub życia seksualnego itp. Chodzi o AI, która próbowałaby na podstawie danych biometrycznych (np. zdjęcia twarzy lub głosu) wywnioskować wrażliwe cechy człowieka. Takie praktyki są zakazane, ponieważ stanowią ingerencję w godność ludzką i prywatność. (Zakaz nie obejmuje samego etykietowania lub filtrowania legalnie pozyskanych danych biometrycznych ani kategoryzacji danych biometrycznych do celów egzekwowania prawa – np. policyjne kryminalistyczne sortowanie odcisków palców nie jest nim objęte.)
• Zdalna identyfikacja biometryczna osób w czasie rzeczywistym w przestrzeni publicznej (art. 5 ust. 1 lit. h): wykorzystywanie AI do identyfikacji biometrycznej (np. rozpoznawania twarzy) w czasie rzeczywistym w miejscach publicznie dostępnych przez organy ścigania. Ten zakaz dotyczy powszechnego nadzoru policyjnego – np. kamery z systemem rozpoznawania twarzy monitorujące wszystkie przechodzące osoby byłyby niedopuszczalne. Istnieją jedynie wąsko określone wyjątki, w których taki system może być użyty (i to wyłącznie przez policję): poszukiwanie ofiar przestępstw (np. uprowadzeń lub handlu ludźmi), zapobieganie bezpośrednim zagrożeniom terrorystycznym lub odnalezienie konkretnego podejrzanego o poważne przestępstwo. Wyjątki te są bardzo restrykcyjne i uzależnione m.in. od uprzedniego zezwolenia organu sądowego oraz przeprowadzenia oceny skutków dla praw podstawowych. W praktyce ogólne stosowanie przez policję technologii typu „face recognition” na ulicach nie jest więc dozwolone.

Jak widać, zakazane praktyki AI obejmują przede wszystkim takie formy manipulacji, nadzoru i profilowania, które podważają autonomię człowieka lub mogą prowadzić do dyskryminacji i szkody. Poniżej przyjrzymy się bliżej dwóm obszarom, których AI Act wyraźnie zakazuje i na których koncentrują się także wytyczne Komisji – technikom manipulacyjnym i rozpoznawaniu emocji.

Manipulacyjne i wprowadzające w błąd techniki AI (art. 5 ust. 1 lit. a) AI Act)

AI Act zakazuje systemów AI, które wykorzystują techniki podprogowe, manipulacyjne lub wprowadzające w błąd, aby wpływać na ludzi w sposób poważnie upośledzający ich zdolność podejmowania decyzji i wyrządzający im szkodę.

Chodzi o praktyki manipulacji „poza świadomością” człowieka – na przykład ukryte przekazy podprogowe, niezauważalne wpływanie na emocje czy AI, która celowo wprowadza człowieka w błąd co do swojej natury lub zamiarów. Kluczowe jest to, że takie techniki w istotny sposób wpływają na zachowanie osoby, która podejmuje wtedy decyzję, jakiej w normalnych okolicznościach by nie podjęła, i dochodzi do szkody.

Do tej kategorii należą różne formy wprowadzającej w błąd lub ukrytej manipulacji z wykorzystaniem AI. Nie ma znaczenia, czy twórca AI zamierzał kogoś oszukać – zakaz ma zastosowanie już wtedy, gdy system obiektywnie stosuje takie techniki manipulacyjne i może wyrządzić znaczną szkodę.

Typowym przykładem jest chatbot AI, który podaje się za prawdziwą osobę (np. przyjaciela lub krewnego) i nakłania ofiarę do działania na jej niekorzyść (np. wyłudzenia pieniędzy) – taka wprowadzająca w błąd AI wyrządzająca szkodę jest jednoznacznie zakazana.

Innym przykładem może być AI generująca treści graficzne lub audiowizualne (tzw. deepfake) bez informacji, że jest to dzieło sztucznie wytworzone, jeżeli prowadzi to do oszukania człowieka. Techniki podprogowe mogą natomiast polegać np. na umieszczaniu w filmie niezwykle szybko migających tekstów lub obrazów, które są świadomie niedostrzegalne, ale mózg przetwarza je podświadomie i wpływają one na widza. Również to mieściłoby się w tej zakazanej praktyce.

Komisja Europejska w swoich Wytycznych dotyczących zakazanych praktyk AI (zob. dalej) szczegółowo wyjaśnia, co może zostać uznane za technikę manipulacyjną lub wprowadzającą w błąd.

Na przykład pojęcie „istotnego zniekształcenia zachowania” człowieka Komisja interpretuje zgodnie z prawem ochrony konsumentów – analogicznie do „istotnego zniekształcenia zachowania gospodarczego” w przypadku nieuczciwych praktyk handlowych według dyrektywy 2005/29/WE.

Ważnym kryterium rozróżniającym jest to, czy AI wykracza poza ramy „dozwolonej perswazji”. Uprawnione wywieranie wpływu (np. zwykła reklama) to takie, które w przejrzysty sposób przedstawia informacje lub argumenty, a nawet odwołuje się do emocji, ale nie ucieka się do ukrytej manipulacji.

Natomiast praktyki AI wykorzystujące błędy poznawcze, słabości emocjonalne lub inne podatności człowieka bez jego wiedzy stanowią zakazaną manipulację.

Wytyczne Komisji przedstawiają kilka konkretnych scenariuszy. Oprócz wspomnianego chatbota podają np. AI generującą filmy deepfake, przy czym jeśli są one wyraźnie oznaczone jako sztuczne (np. znakiem wodnym lub tekstem ostrzegawczym), znacznie zmniejsza to ryzyko celowego wprowadzenia w błąd i szkodliwej manipulacji. To ważna wskazówka praktyczna: konsekwentna przejrzystość (oznaczanie treści AI, informowanie użytkowników, że komunikują się z maszyną itp.) pozwala uniknąć wypełnienia znamion tego zakazu.

Dla firm rozwijających systemy AI wchodzące w interakcję z ludźmi oznacza to, że zawsze powinny informować użytkowników, że mają do czynienia z AI (co zresztą jest odrębnym obowiązkiem według AI Act w odniesieniu do wszystkich systemów AI przeznaczonych do interakcji z ludźmi). Należy także unikać wszelkich ukrytych „narzędzi perswazji”, których użytkownik nie jest w stanie świadomie wykryć.

Podsumowując: żadna AI, która potajemnie manipuluje użytkownikiem na jego niekorzyść, nie ma w UE racji bytu. Firmy powinny ocenić swoje aplikacje AI – do tej kategorii mogłyby należeć np. niektóre agresywne algorytmy marketingowe czy „dark patterns” wykorzystujące AI, jeżeli skłaniałyby konsumentów do decyzji zakupowych lub działań prowadzących do szkody, których w normalnych okolicznościach by nie podjęli. Jeśli projekt AI choćby w niewielkim stopniu ociera się o tę definicję, konieczne jest jego przeklasyfikowanie lub modyfikacja, aby mieć pewność, że nie chodzi o manipulację podprogową (np. zwiększenie poinformowania użytkownika, wprowadzenie możliwości wyboru, zapewnienie zgody itp.). W razie wątpliwości warto przyjąć ostrożne podejście lub zasięgnąć porady prawnej.

Rozpoznawanie emocji w miejscu pracy i w edukacji (art. 5 ust. 1 lit. f))

Drugą szczególną zakazaną praktyką jest AI służąca do rozpoznawania emocji w zatrudnieniu i edukacji. Art. 5 ust. 1 lit. f) AI Act zakazuje wprowadzania do obrotu lub wykorzystywania systemów AI do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy i w instytucjach edukacyjnych (szkole).

Wyjątek dotyczy wyłącznie systemów przeznaczonych do celów medycznych lub związanych z bezpieczeństwem. W praktyce oznacza to, że np. kamera AI śledząca mimikę pracownika lub studenta, aby ocenić jego stan emocjonalny (czy jest zdenerwowany, znudzony, smutny itp.), jest niedopuszczalna. Firmy nie mogą więc wdrażać AI do monitorowania nastroju lub emocji swoich pracowników w pracy, a szkoły nie mogą za pomocą AI monitorować przejawów emocji uczniów.

Celem tego zakazu jest ochrona prywatności i godności człowieka – przejawy emocji należą do sfery wysoce intymnej, a ich zautomatyzowana ocena w kontekście pracowniczym lub edukacyjnym może prowadzić do presji lub dyskryminacji. Wytyczne Komisji Europejskiej podkreślają, że zakaz ten dotyczy wszelkich systemów AI, które identyfikują lub interpretują emocje bądź zamiary osoby w tych środowiskach. Pojęcie „emocji i zamiarów” należy przy tym interpretować szeroko i nie powinno ono być zawężane do kilku podstawowych emocji. Istotne jest, że typowo chodzi o AI analizującą dane biometryczne (mimikę, ton głosu, gesty, reakcje fizjologiczne).

Gdyby AI wnioskowała o stanie emocjonalnym wyłącznie na podstawie tekstu (np. analiza słów w e-mailu), nie podlegałoby to temu zakazowi, ponieważ dane tekstowe nie są danymi biometrycznymi. Niemniej jakiekolwiek rejestrowanie i ocena mimiki, intonacji głosu, ruchów ciała, tętna itp. w celu ustalenia emocji w pracy lub szkole jest zakazane.

Praktyczne skutki tego zakazu: pracodawcy muszą ponownie przeanalizować ewentualne wdrożenie monitoringu pracowników z użyciem AI. Na przykład aplikacje oceniające „poziom uśmiechu” sprzedawców podczas kontaktu z klientami albo AI śledząca stres lub zadowolenie pracowników przez kamerę internetową podlegałyby zakazowi i nie mogą być stosowane.

Wyjątek dotyczy jedynie systemów wdrożonych ze względu na bezpieczeństwo lub zdrowie – np. AI monitorującej oznaki zmęczenia lub niepokoju u kierowców albo operatorów niebezpiecznych maszyn, aby zapobiec wypadkowi. Podobnie np. asystent AI analizujący głos pracownika pod kątem zdrowotnym (wykrywanie oznak stresu prowadzących do zawału) mógłby mieścić się w dozwolonym wyjątku ze względów medycznych. Zawsze jednak cel musi być rzeczywiście związany z bezpieczeństwem lub zdrowiem, a nie np. ze zwiększaniem wydajności czy kontrolą lojalności – takie cele wykraczają poza wyjątek.

Firmy powinny bardzo ostrożnie oceniać wszelkie technologie, które „odczytują” emocje pracowników lub studentów. Jeśli np. dział HR rozważał wdrożenie AI do analizy nagrań rozmów kwalifikacyjnych (tzw. rozmowy z AI, które śledzą mimikę kandydata w celu oceny osobowości), należy zwrócić uwagę, że w UE taka praktyka mogłaby naruszać art. 5 ust. 1 lit. f), jeśli chodziłoby o ocenę emocji kandydata jako potencjalnego pracownika.

Analogicznie wszelkie narzędzia „emotion AI” służące do oceny nastroju zespołów, zadowolenia klientów na podstawie reakcji emocjonalnych pracowników itp. są problematyczne. Alternatywą może być skupienie się na obiektywnych wskaźnikach wydajności lub zadowolenia (np. anonimowych ankietach) zamiast ukrytego rejestrowania emocji albo wykorzystanie innych technologii nieobjętych definicją AI Act (np. oprogramowania deterministycznego bez uczenia maszynowego – przy czym nadal obowiązuje ochrona prywatności zgodnie z RODO).

Z regulacyjnego punktu widzenia rozpoznawanie emocji poza wymienionymi zakazanymi kontekstami (np. AI analizująca emocje klientów w sklepie do celów marketingowych) należy do niższej kategorii ryzyka – konkretnie zostało zaliczone do systemów AI wysokiego ryzyka według załącznika III AI Act, jeśli jest wykorzystywane do klasyfikacji osób na podstawie danych biometrycznych (a więc także emocji) w kontekście dostępu do usług.

Takie przypadki wymagałyby spełnienia surowych wymogów, ale nie są bezwzględnie zakazane. Dla przeciętnej firmy najważniejsze jest jednak to, że każdy zamiar wykorzystania AI do monitorowania stanu emocjonalnego własnych pracowników napotyka ścisły zakaz i nie może zostać zrealizowany.

Zamów e-book „Nie trać czasu na umowy” TUTAJ

Wytyczne Komisji Europejskiej dotyczące zakazanych praktyk AI

4 lutego 2025, czyli wkrótce po rozpoczęciu stosowania wspomnianych zakazów, Komisja Europejska wydała Wytyczne dotyczące zakazanych praktyk w zakresie sztucznej inteligencji według AI Act (dokument C(2025) 884 final). Wytyczne zostały zatwierdzone przez Komisję, choć formalnie zostaną przyjęte po przetłumaczeniu na wszystkie języki. Ich celem jest dostarczenie wykładni i praktycznych przykładów do poszczególnych zakazów z art. 5 AI Act, a tym samym wsparcie jednolitego i skutecznego stosowania przepisów w całej UE.

Same wytyczne nie są prawnie wiążące (wiążącej wykładni dokonuje Trybunał Sprawiedliwości UE), ale mają istotną wartość orientacyjną i można oczekiwać, że będą je uwzględniać organy nadzoru i sądy. Dla firm i organizacji stanowią więc cenną wskazówkę, jak Komisja rozumie poszczególne zakazy.

Co zawierają Wytyczne? Dla każdej z zakazanych praktyk od a) do h) Wytyczne omawiają główne elementy definicji, podają praktyczne przykłady, a także określają, co danym zakazem nie jest objęte. Ponadto zawierają zalecenia, jak unikać dostarczania lub stosowania systemów AI w sposób, który mógłby być zakazany.

Na przykład w odniesieniu do technik manipulacyjnych (lit. a) Wytyczne wyjaśniają pojęcia „podprogowy” vs. „manipulacyjny” vs. „wprowadzający w błąd”, rozróżniają, co jest jeszcze dopuszczalną perswazją (lawful persuasion), a co już zakazaną manipulacją, i zalecają środki takie jak wyraźne oznaczanie treści AI (labeling), które mogą ograniczyć ryzyko manipulacji.

W przypadku zakazu rozpoznawania emocji Wytyczne precyzują, że nie dotyczy on zastosowań klienckich ani prywatnych (obejmuje tylko miejsca pracy i szkoły), i zawierają scenariusze tego, co jest nadal dozwolone – np. systemy do ustalania poziomu stresu ze względów bezpieczeństwa. Podobnie w odniesieniu do pozostałych kategorii (wykorzystywanie osób szczególnie wrażliwych, scoring społeczny, identyfikacja biometryczna itd.) Wytyczne oferują szczegółową analizę.

Dla firm istotne jest to, że Wytyczne Komisji zawierają także konkretne przykłady z praktyki. Wiele z nich wspomnieliśmy powyżej: np. manipulacyjny chatbot podający się za przyjaciela, AI podsuwająca niedostrzegalne bodźce czy marketingowa AI wykorzystująca uzależnienie nastolatków od aplikacji – wszystkie te przypadki Wytyczne wskazują jako typowe zakazane praktyki.

 Z drugiej strony podają też przykłady systemów, które do zakazanych kategorii nie należą, aby wyznaczyć granicę. Np. w kontekście manipulacji podkreśla się, że zwykła reklama czy perswazja, która nie wykorzystuje ukrytych, wprowadzających w błąd sztuczek, nie jest objęta tym zakazem.

W odniesieniu do analizy emocji wskazuje się z kolei, że jeśli AI nie spełnia wszystkich znamion zakazanej praktyki (np. nie jest stosowana wobec pracowników), będzie należeć do niższej kategorii ryzyka – typowo do AI wysokiego ryzyka z obowiązkami zamiast bezwzględnego zakazu.

Znaczenie Wytycznych w skrócie: dla przedsiębiorstw i organizacji pracujących z AI wytyczne te są cenne, ponieważ zwiększają pewność prawa. AI Act jest stosunkowo ogólny i neutralny technologicznie, więc konkretna ocena, czy dana aplikacja AI podlega zakazowi, może być trudna. Dzięki Wytycznym firma ma teraz do dyspozycji interpretację Komisji, w tym praktyczne scenariusze. Choć Wytyczne nie są prawnie wiążące, ignorowanie ich byłoby ryzykowne – odstępstwo od wykładni Komisji trzeba by ewentualnie obronić przed sądem. Zalecamy więc firmom zapoznanie się z Wytycznymi (są publicznie dostępne) i w razie potrzeby konsultowanie spornych przypadków z prawnikiem, aby upewnić się, że ich działania w zakresie AI są zgodne zarówno z duchem, jak i literą regulacji.

Skutki dla firm i organizacji: jak uniknąć naruszeń i zapewnić compliance

Natychmiastowe obowiązywanie zakazów i wysokie sankcje

Jak już wspomniano, zakazy dotyczące zakazanych praktyk AI obowiązują od lutego 2025. Każda firma lub organizacja wykorzystująca AI powinna więc niezwłocznie przeprowadzić inwentaryzację swoich systemów i aplikacji oraz sprawdzić, czy któryś z nich nie stanowi zakazanej praktyki w rozumieniu art. 5 AI Act. W odróżnieniu od obowiązków dotyczących tzw. AI wysokiego ryzyka (dla których przewidziano dłuższy okres przejściowy na wdrożenie), tutaj nie wyznaczono żadnego okresu odroczenia – zakaz obowiązuje i jest egzekwowalny już teraz. W każdym państwie członkowskim nadzór nad przestrzeganiem przepisów będą sprawować organy nadzoru rynku (market surveillance authorities) oraz ewentualnie inni regulatorzy (np. organy ochrony danych osobowych w przypadku AI biometrycznej). Mogą one przeprowadzać kontrole i nakładać sankcje. Jak wspomnieliśmy, sankcje nie są błahe – do 35 milionów euro lub 7 % rocznego obrotu firmy.

Dotyczy to naruszenia zakazów z art. 5. Dla porównania jest to ten sam poziom sankcji co za najpoważniejsze naruszenia RODO. Ryzyko finansowe, prawne i reputacyjne jest więc ogromne, jeśli firma – choćby nieświadomie – korzystałaby z zakazanej AI.

Praktyczne kroki w celu spełnienia wymogów (compliance)

1. Identyfikacja systemów AI i ocena ryzyka: pierwszym krokiem jest zmapowanie wszystkich systemów i projektów AI w firmie. AI Act zawiera dość szeroką definicję „systemu AI”, która obejmuje nie tylko uczenie maszynowe, ale także systemy logiczne/eksperckie, modele bayesowskie itd. (tj. każde oprogramowanie wykorzystujące autonomiczne, inteligentne działanie do wykonania konkretnego zadania). W przypadku każdego takiego systemu trzeba ocenić, do której kategorii ryzyka należy.

Gdyby należał do kategorii zakazanych praktyk (zob. lista powyżej i szczegółowy opis), konieczne jest natychmiastowe podjęcie działań – system trzeba zasadniczo zmodyfikować albo zaprzestać jego używania. Natomiast systemy AI wysokiego ryzyka będą musiały do 2 grudnia 2027 (systemy według załącznika III) lub do 2 sierpnia 2028 (systemy według załącznika I) przejść ocenę zgodności i spełnić szereg wymogów technicznych i organizacyjnych, ale nie muszą być wyłączone. Zakazane praktyki nie dopuszczają jednak kompromisów – nie wolno ich stosować w ogóle.

2. Skupienie się na obszarach krytycznych: firmy muszą zwrócić szczególną uwagę na obszary marketingu, HR, bezpieczeństwa i analizy danych, gdzie istnieje ryzyko, że niektóre innowacyjne pomysły na AI mogą kolidować z art. 5. Przykładowe pytania, które firma powinna sobie zadać:

• Czy nasze marketingowe narzędzie AI nie próbuje podprogowo manipulować klientami? (Np. czy nie stosuje sztuczek neuromarketingowych bez wiedzy użytkownika?)
• Czy nasza reklama lub oferty oparte na AI nie są kierowane szczególnie do grup wrażliwych w sposób, który może im zaszkodzić? (Np. wykorzystanie danych o podeszłym wieku do wywierania presji na seniorów, wprowadzające w błąd oferty inwestycji lub preparatów leczniczych skierowane do chorych itp. – mogłoby to wypełniać zakaz z art. 5 ust. 1 lit. b).)
• Czy nie stosujemy narzędzi do monitorowania pracowników lub studentów za pomocą AI, które mogłyby śledzić ich emocje lub w inny sposób nadmiernie ingerować w ich prywatność? (Zob. zakaz z art. 5 ust. 1 lit. f) – jeśli tak, należy natychmiast przerwać.)
• Czy nie planujemy wdrożenia AI do oceny wiarygodności osób na podstawie obszernych danych (np. scoringu klientów wykraczającego poza ocenę zdolności kredytowej)? (Mogłoby to przypominać social scoring i kolidować z art. 5 ust. 1 lit. c).)
• Czy przypadkiem nie korzystamy z jakiejś publicznej bazy twarzy lub profili biometrycznych stworzonej przez masowy „scraping” z internetu? (Jeśli tak, jest to wysoce problematyczne – lepiej zweryfikować pochodzenie danych treningowych i przestrzegać ustawowych procedur uzyskiwania zgody, w przeciwnym razie dochodzi do naruszenia art. 5 ust. 1 lit. e).)
• Czy nie rozwijamy AI, która próbuje szacować wrażliwe cechy ludzi (np. pochodzenie etniczne, orientację, stan zdrowia) na podstawie ich zdjęć lub głosu? (Taki projekt podlegałby zakazowi z art. 5 ust. 1 lit. g) – trzeba go wstrzymać lub zmienić jego założenia.)
• W obszarze bezpieczeństwa: czy nie planujemy wdrożenia kamer z funkcją face recognition do ogólnego monitorowania przestrzeni publicznej? (Dla podmiotów prywatnych jest to co do zasady zakazane już z innych powodów – RODO – a dla policji dozwolone tylko w ograniczonym zakresie, zob. art. 5 ust. 1 lit. h). Firmy mogą stosować identyfikację biometryczną wyłącznie wewnętrznie do uwierzytelniania w ograniczonym kręgu osób – np. wejście pracowników do budynku na podstawie rozpoznawania twarzy – co nie jest ani „przestrzenią publiczną”, ani celem policyjnym, więc zakaz tego nie obejmuje.)

3. Modyfikacja lub zakończenie ryzykownych działań w zakresie AI: jeśli zidentyfikujecie system AI, który mógłby należeć do zakazanej kategorii, trzeba natychmiast działać. Możliwości:

• Zaprzestanie używania – najpewniejsza droga, jeśli AI nie jest krytyczna dla biznesu. Np. decydujecie się raczej nie korzystać z eksperymentalnego narzędzia AI, niż ryzykować naruszenie prawa.
• Środki techniczne i proceduralne ograniczające ryzyko – czasami AI można zmodyfikować tak, aby wypadła poza zakazaną definicję. Przykład: jeśli macie AI generującą bardzo realistyczne awatary wideo do komunikacji z klientem, zadbajcie, aby zawsze było przy nich wyraźnie wskazane, że chodzi o wirtualną postać (komunikat „Jestem wirtualnym asystentem”) – w ten sposób zapobiegniecie wprowadzaniu w błąd, a AI nie będzie „manipulacyjna”. Albo jeśli rozwijaliście AI do oceny emocji pracowników ze względów bezpieczeństwa, udokumentujcie ten cel i nie wykorzystujcie wyników do innych celów (aby zmieścić się w wyjątku).
• Ocena prawna przypadków granicznych – jeśli nie macie pewności, czy wasz system AI przekracza granicę, skonsultujcie to z prawnikiem lub ekspertem ds. compliance. Na przykład różnica między dozwoloną personalizacją treści a zakazaną manipulacją może być subtelna, a decyduje o niej stopień i rodzaj wpływu na użytkownika. Pomocne mogą tu być także Wytyczne Komisji – doradca prawny może je z wami przeanalizować i ocenić wasz konkretny przypadek użycia.

4. Szkolenia i wewnętrzne regulacje: wprowadźcie wewnętrzne procedury, które zapewnią, że nowe projekty AI będą przed wdrożeniem oceniane pod kątem zgodności z AI Act (podobnie jak dziś ocenia się projekty pod kątem ochrony danych osobowych – DPIA). Szkolcie swoich programistów, product managerów i innych odpowiednich pracowników w zakresie zakazanych praktyk. Ważne jest, aby członkowie zespołu wiedzieli, że np. pomysł „analizujmy mimikę klienta przez kamerę internetową i na tej podstawie zmieniajmy ofertę” jest z prawnego punktu widzenia niedopuszczalny. Opracujcie kodeksy i wytyczne dotyczące rozwoju AI w firmie, zawierające listę kontrolną zakazanych obszarów – programiści mogą wtedy już na wczesnym etapie ustalić, w jakim kierunku iść nie wolno.

5. Śledzenie dalszego rozwoju regulacji: dziedzina AI jest dynamiczna – AI Act upoważnia Komisję do doprecyzowywania szczegółów w przyszłości (np. może dojść do rozszerzenia listy zakazanych praktyk, jeśli pojawią się nowe niebezpieczne trendy). Dlatego śledźcie zmiany przepisów i ich wykładni. Już teraz Komisja wydaje obok wytycznych dotyczących zakazanych praktyk również wytyczne dotyczące definicji systemu AI i inne metodyki. Kancelaria prawna może pomóc wam w bieżącym monitorowaniu (zob. niżej).

Przykłady z praktyki, czyli jak uniknąć naruszeń

Aby zilustrować praktyczne środki, przedstawiamy kilka scenariuszy i zaleceń, jak zapobiegać naruszeniu zakazów:

• Przejrzystość jako ochrona przed wprowadzaniem w błąd: jeśli korzystacie z chatbota lub wirtualnych asystentów, zawsze wyraźnie informujcie użytkowników, że komunikują się z AI. W ten sposób zapobiegniecie niezamierzonemu wprowadzeniu w błąd. Podobnie oznaczajcie treści generowane przez AI (tekst, obrazy, filmy) tak, aby odbiorca wiedział, że nie chodzi o prawdziwą osobę ani rzeczywistość. Zminimalizujecie w ten sposób ryzyko, że wynik działania AI kogoś oszuka lub w ukryty sposób na niego wpłynie.
• Ostrożność przy kierowaniu działań do grup wrażliwych: w reklamie i ofertach unikajcie sytuacji, w których segmentacja AI wprost kieruje działania do osób według ich podatności (wiek, choroba, ubóstwo) z zamiarem ich wykorzystania. Jeśli np. AI zidentyfikowała grupę starszych osób reagujących na określony bodziec, nie wykorzystujcie tego do wywierania presji (np. agresywnej sprzedaży kosztownego produktu o wątpliwej wartości). Taka sytuacja mogłaby zostać uznana za zakazane wykorzystywanie słabości.
• Żadnego monitorowania emocji pracowników poza celami bezpieczeństwa: wprowadźcie wewnętrzny zakaz stosowania jakiejkolwiek technologii rozpoznawania emocji pracowników, jeśli nie ma ku temu wyraźnego powodu związanego z bezpieczeństwem lub zdrowiem. Wyjątki (np. monitorowanie uwagi kierowcy ciężarówki za pomocą kamery w celu zapobiegania mikrośnom) zatwierdzajcie na piśmie przez zarząd i dział prawny, aby było jasne, że są legalne i służą bezpieczeństwu. Natomiast np. pomysł oceniania na podstawie wideorozmów, czy pracownicy są „wystarczająco pozytywni”, kategorycznie odrzućcie – nie jest legalny.
• Prawidłowe stosowanie technologii biometrycznych: jeśli wykorzystujecie biometrię (odcisk palca, rozpoznawanie twarzy) do uwierzytelniania osób przy wejściu, upewnijcie się, że pozyskujecie dane legalnie i wyłącznie na potrzeby tej funkcji. Nie twórzcie własnych dużych baz biometrycznych poprzez potajemne pobieranie zdjęć ze źródeł internetowych – naruszacie w ten sposób zarówno AI Act (art. 5 ust. 1 lit. e)), jak i RODO. W razie potrzeby skorzystajcie raczej z oficjalnie dostępnych zbiorów danych lub kupcie licencję od dostawcy, który pozyskał dane zgodnie z prawem.
• Uwaga na „AI scoring” ludzi: jeśli używacie AI do oceny klientów lub użytkowników (np. scoringu wiarygodności, zdolności kredytowej, poziomu ryzyka), trzymajcie się utrwalonych i uprawnionych kryteriów. Nie wymyślajcie szerszego „scoringu społecznego”, który łączyłby ogromną ilość danych o zachowaniu i przypinał ludziom etykiety w rodzaju „problematyczny obywatel” – właśnie tego UE zakazała. Każdy system punktowania ludzi powinien mieć jasny, konkretny cel (np. ocenę wypłacalności na potrzeby kredytu) i nie przenosić negatywnych skutków na zupełnie inne obszary życia danej osoby.

Przestrzegając powyższych zasad i zaleceń, firmy mogą zminimalizować ryzyko, że nieświadomie dopuszczą się zakazanej praktyki. Ponadto zyskają zaufanie klientów i regulatorów, że korzystają z AI w sposób etyczny i odpowiedzialny – co zresztą jest jednym z celów AI Act.

Jak kancelaria prawna może pomóc w zakresie regulacji AI

Regulacja AI w UE jest nowa i złożona. Firmy często nie mają wewnętrznych ekspertów, którzy ogarnęliby wszystkie wymogi prawne (AI Act, RODO, przepisy o cyberbezpieczeństwie itp.) i jednocześnie rozumieli techniczną stronę systemów AI. Kancelaria specjalizująca się w prawie nowych technologii może w tej sytuacji odegrać kluczową rolę partnera, który pomoże klientom zapobiegać problemom i bezpiecznie korzystać z AI. Konkretne formy pomocy obejmują:

• Audyt i ocena systemów AI: prawnicy mogą przeprowadzić kompleksowy audyt waszych narzędzi i projektów AI oraz zidentyfikować ewentualne ryzyka. W przypadku każdego systemu ocenią, czy nie należy on do zakazanej kategorii lub do reżimu systemów wysokiego ryzyka z określonymi wymogami. Zwłaszcza w przypadkach granicznych (np. systemy personalizacji treści, które mogłyby zostać uznane za manipulacyjne) przedstawią fachową opinię opartą na AI Act i Wytycznych Komisji.
  
  
• Propozycja środków zapewniających compliance: jeśli zostanie wykryty potencjalny problem, kancelaria zaproponuje rozwiązanie szyte na miarę – np. modyfikację funkcjonalności AI (dodanie komunikatów dla użytkowników, zmianę algorytmu doboru grupy docelowej itp.), wprowadzenie wewnętrznych polityk lub inne środki zapewniające zgodność z prawem. Celem jest często znalezienie sposobu na osiągnięcie celu biznesowego klienta w alternatywny sposób, który nie jest już niezgodny z prawem.
  
  
• Prawne wsparcie projektów AI od samego początku: najlepiej zaangażować prawników już na wczesnym etapie rozwoju lub zakupu rozwiązania AI. Adwokaci pomogą przygotować umowy z dostawcami AI tak, aby zawierały gwarancje dotyczące zgodności z AI Act. Mogą też zweryfikować licencje i dane – np. sprawdzić, czy dane treningowe dla AI nie zostały pozyskane w sposób sprzeczny z prawem (scraping danych osobowych itp.). Pozwala to uniknąć późniejszych sporów.
  
  
• Szkolenia i przygotowanie wewnętrznych regulacji: kancelaria może przygotować dla klienta szkolenia dla kadry zarządzającej i programistów na temat nowych obowiązków wynikających z AI Act. Pomoże również opracować wewnętrzne wytyczne dotyczące rozwoju i stosowania AI – praktyczny dokument podsumowujący, co pracownikom wolno, a czego nie wolno robić z AI, jak oceniać ryzyka i kiedy zwrócić się do działu prawnego. Dzięki temu wymogi prawne przełożą się na codzienną praktykę firmy.
  
  
• Rozwiązywanie kwestii transgranicznych i regulacyjnych: dla spółek międzynarodowych zaletą jest to, że AI Act jest rozporządzeniem bezpośrednio stosowanym we wszystkich państwach UE. Mimo to lokalne organy nadzoru i procedury mogą się różnić. Kancelaria może koordynować strategię we wszystkich oddziałach w UE, komunikować się z regulatorami w razie zapytań lub kontroli oraz reprezentować klienta w postępowaniu, gdyby doszło do sporu lub zarzutu naruszenia (np. wykazywać, że dany system AI w rzeczywistości nie podlega zakazowi, ponieważ… itd.).
  
  
• Aktualizacje i stały nadzór: prawo AI będzie się dalej rozwijać – adwokaci będą śledzić nowelizacje AI Act, nowe wytyczne i orzecznictwo oraz na bieżąco informować klientów, co to dla nich oznacza. Mogą w ten sposób z wyprzedzeniem zwrócić uwagę np. na rozszerzenie listy zastosowań wysokiego ryzyka lub nowe interpretacje zakazanych praktyk.

Podsumowując: regulacja AI w UE (AI Act) stanowi dla firm wyzwanie, ale przy fachowym wsparciu można się w niej skutecznie odnaleźć. Zakazane praktyki AI określone w AI Act chronią nas wszystkich przed najniebezpieczniejszymi formami nadużywania AI – a ich przestrzeganie leży w interesie zarówno społeczeństwa, jak i waszego biznesu (naruszenie skutkowałoby surowymi sankcjami i utratą dobrej reputacji).

Kancelaria prawna pomoże wam wdrożyć procedury compliance, abyście mogli korzystać z innowacyjnych technologii AI, w pełni przestrzegając jednocześnie regulacji prawnych. Dzięki temu będziecie mogli skupić się na rozwoju swoich projektów AI ze świadomością, że są legalne, etyczne i bezpieczne.