Unijne regulacje dotyczące sztucznej inteligencji i niezbędne działania dla japońskich przedsiębiorstw

12 lipca 2024 roku (Reiwa 6) w Unii Europejskiej zostało ogłoszone „Rozporządzenie dotyczące AI (EU AI Act)”, które weszło w życie 1 sierpnia tego samego roku.
To prawo reguluje wykorzystanie i dostarczanie systemów AI na terenie UE i od 2025 roku będzie wymagać określonych działań również od japońskich firm.

Konkretnie, podobnie jak operatorzy japońskich stron e-commerce muszą przestrzegać „Ogólnego Rozporządzenia o Ochronie Danych (GDPR)” w przypadku obsługi klientów z UE, tak japońskie firmy dostarczające produkty lub usługi związane z AI na rynek unijny mogą podlegać przepisom Rozporządzenia dotyczącego AI w UE.

W tym miejscu wyjaśnimy, jakie działania w odpowiedzi na to prawo będą wymagane od przedsiębiorców, w tym klasyfikację ryzyka systemów AI oraz ocenę zgodności, aby sprostać nowym regulacjom.

Podstawy: Różnice między “rozporządzeniem” a “dyrektywą” w prawie UE

Zanim przejdziemy do wyjaśnienia samej ustawy regulującej AI, musimy zrozumieć różnicę między “rozporządzeniem” a “dyrektywą” w prawie Unii Europejskiej.

Po pierwsze, “rozporządzenie” to akt prawny, który ma bezpośrednie zastosowanie w państwach członkowskich UE, przedsiębiorstwach itp. Dzięki temu ma ono pierwszeństwo przed prawem krajowym państw członkowskich i jest stosowane jednolicie na całym obszarze UE. W związku z tym, gdy rozporządzenie wchodzi w życie, w państwach członkowskich UE stosuje się identyczne przepisy regulacyjne.

Z drugiej strony, “dyrektywa” to akt prawny mający na celu koordynację i unifikację przepisów regulacyjnych między państwami członkowskimi UE. Jednakże dyrektywa nie ma zastosowania bezpośredniego do państw członkowskich, a każde z nich musi przekształcić treść dyrektywy w swoje prawo krajowe. Zazwyczaj państwa członkowskie mają na to trzy lata od momentu publikacji dyrektywy w Dzienniku Urzędowym UE.

Charakterystyczną cechą “dyrektywy” jest to, że przy przekształcaniu jej w prawo krajowe, państwa członkowskie mają pewną swobodę, co może prowadzić do różnic w treści przepisów krajowych. Innymi słowy, należy pamiętać, że przepisy oparte na “dyrektywie” nie są całkowicie ujednolicone w całej UE i mogą występować pewne różnice między krajami.

Na podstawie tego rozróżnienia, ustawa regulująca AI została ustanowiona jako “rozporządzenie”. Oznacza to, że ustawa ta ma bezpośrednie zastosowanie do przedsiębiorców znajdujących się na terenie UE.

Powiązany artykuł: Niezbędne informacje dla firm rozwijających działalność w Europie: kluczowe punkty prawa i systemu prawodawczego UE[ja]

Regulacje AI i ich zastosowanie poza granicami UE

Co to jest zastosowanie poza granicami?

Zastosowanie poza granicami oznacza, że prawo ustanowione w jednym kraju może być stosowane również do działań podejmowanych poza jego terytorium suwerennym. Zaakceptowanie zastosowania poza granicami wynika z globalizacji gospodarki i internacjonalizacji działalności przedsiębiorstw, mając na celu zapewnienie sprawiedliwego i właściwego prowadzenia działalności gospodarczej na świecie.

Przykładem, który przyczynił się do szerokiego rozpoznania tego pojęcia, jest GDPR (Ogólne Rozporządzenie o Ochronie Danych UE). Zgodnie z GDPR, przedsiębiorcy nieposiadający siedziby w UE mogą podlegać jego zastosowaniu (zastosowanie poza granicami), jeśli spełniają następujące wymagania:

• Jeśli oferują towary lub usługi osobom znajdującym się w UE
• Jeśli przetwarzają dane osobowe w celu monitorowania zachowań osób znajdujących się w UE

Na przykład, w przypadku gdy przedsiębiorstwo spoza UE wysyła swoich pracowników na delegację do UE i przetwarza dane osobowe związane z tym okresem, wytyczne z 2020 roku określiły to jako “niepodlegające zastosowaniu”, chociaż początkowo rozważano zastosowanie poza granicami.

Zastosowanie poza granicami w regulacji AI UE

W regulacji AI UE również przewidziano zastosowanie poza granicami dla przedsiębiorców znajdujących się poza UE. Dotyczy to następujących przedsiębiorców i działań:

• Dostawcy (Providers): osoby rozwijające systemy AI lub modele GPAI, wprowadzające je na rynek lub uruchamiające systemy AI pod własną nazwą lub znakiem towarowym
• Użytkownicy (Users): osoby korzystające z systemów AI na własną odpowiedzialność (z wyłączeniem przypadków osobistych i niezwiązanych z zawodem)
• Importerzy (Importers): importerzy z siedzibą lub założeni w UE, wprowadzający na rynek UE systemy AI oznaczone nazwą lub znakiem towarowym osób fizycznych lub prawnych założonych poza UE
• Dystrybutorzy (Distributers): osoby fizyczne lub prawne w łańcuchu dostaw, które dostarczają systemy AI na rynek UE, nie będąc dostawcami ani importerami

Tak więc, jak widać, przedsiębiorcy znajdujący się poza UE, ale oferujący, uruchamiający, importujący lub korzystający z systemów AI lub modeli GPAI w UE, mogą podlegać bezpośredniemu zastosowaniu regulacji AI UE.

Cechy unijnego prawa regulującego AI: podejście oparte na ryzyku

Czym jest podejście oparte na ryzyku

Największą cechą charakterystyczną prawa regulującego sztuczną inteligencję (AI) w Unii Europejskiej jest stosowanie regulacji “zależnych od treści i stopnia ryzyka” (podejście oparte na ryzyku).

Podejście oparte na ryzyku oznacza metodę dostosowywania intensywności regulacji w zależności od treści i stopnia ryzyka. W ramach tego podejścia, stopień surowości regulacji systemów AI jest ustalany na podstawie powagi ryzyka, jakie mogą one spowodować.

Konkretnie, dla systemów AI o wysokim ryzyku stosowane są bardziej rygorystyczne regulacje, podczas gdy systemy o niższym ryzyku podlegają stosunkowo łagodniejszym przepisom. Dzięki temu można uniknąć nadmiernej regulacji systemów o niskim ryzyku, a jednocześnie zapewnić odpowiedni nadzór i zarządzanie dla systemów o wysokim ryzyku.

Systemy AI z niedopuszczalnym ryzykiem w Japonii

Przede wszystkim systemy AI, które uznaje się za posiadające niedopuszczalne ryzyko, są postrzegane jako zagrożenie dla ludzi i zasadniczo są zakazane w Japonii.

Na przykład, do tej kategorii należą systemy AI, które manipulują postrzeganiem lub zachowaniem użytkowników należących do określonych wrażliwych grup, takie jak zabawki aktywowane głosem, które mogą zachęcać dzieci do niebezpiecznych działań. Zakazane są również systemy oceny społecznej (social scoring), które klasyfikują ludzi na podstawie ich zachowań, statusu społeczno-ekonomicznego lub osobistych cech. Ponadto, zasadniczo zakazane są systemy „biometrycznego rozpoznawania tożsamości w czasie rzeczywistym i na odległość”, które wykorzystują technologię rozpoznawania twarzy do porównywania danych biometrycznych człowieka z bazą danych referencyjnych w celu zdalnej identyfikacji osób.

Jednakże istnieją wyjątki, które pozwalają na korzystanie z tych systemów. Konkretnie, systemy biometrycznego rozpoznawania tożsamości w czasie rzeczywistym i na odległość mogą być używane wyłącznie w przypadku ograniczonej liczby poważnych incydentów. Z kolei systemy biometrycznego rozpoznawania tożsamości na odległość po fakcie są dozwolone tylko wtedy, gdy mają na celu oskarżenie o poważne przestępstwa i są zatwierdzone przez sąd.

Dodatkowo, w wyjątkowych przypadkach, kiedy takie działania są możliwe, obejmują one poszukiwanie osób, które mogą być ofiarami przestępstw, takich jak zaginione dzieci, zapobieganie konkretnym i bezpośrednim zagrożeniom dla życia lub bezpieczeństwa ludzkiego, jak ataki terrorystyczne, oraz wykrywanie sprawców lub podejrzanych o poważne przestępstwa i ustalanie ich lokalizacji. Dla tych wyjątków ustanowione są surowe ograniczenia, które zasadniczo wymagają uprzedniej zgody sądu, co oznacza, że korzystanie z systemów AI wymaga ostrożnego podejścia.

Systemy AI o wysokim ryzyku

Następnie, systemy AI klasyfikowane jako wysokiego ryzyka to takie, które mogą mieć negatywny wpływ na bezpieczeństwo lub podstawowe prawa człowieka. Są one dopuszczane do użytku po spełnieniu określonych wymagań i obowiązków (ocena zgodności).

Systemy AI o wysokim ryzyku dzielą się na dwie główne kategorie. Po pierwsze, są to systemy AI stosowane w produktach podlegających prawu bezpieczeństwa produktów UE, do których należą na przykład zabawki, lotnictwo, samochody, urządzenia medyczne, windy itp. Po drugie, są to systemy AI klasyfikowane w określonych obszarach, które są obowiązkowo rejestrowane w bazie danych UE. Do tych obszarów należą zarządzanie i operowanie kluczową infrastrukturą, edukacja i szkolenia zawodowe, zarządzanie zatrudnieniem i pracownikami, dostęp do niezbędnych usług publicznych i świadczeń, egzekwowanie prawa, imigracja i azyl, zarządzanie granicami, wsparcie w interpretacji i stosowaniu prawa.

Systemy AI o wysokim ryzyku wymagają oceny przed wprowadzeniem na rynek oraz przez cały cykl życia. Ponadto, użytkownicy mają prawo składać skargi dotyczące systemów AI do wyznaczonych krajowych organów.

Ogólnie rzecz biorąc, można powiedzieć, że maszyny i pojazdy, które są podstawą dla bezpieczeństwa życia i zdrowia ludzkiego, podlegają systemom AI o wysokim ryzyku. Na przykład, AI do autonomicznej jazdy również może być zaliczane do tej kategorii, dlatego japońskie firmy rozwijające AI do autonomicznej jazdy i planujące ekspansję zagraniczną muszą starannie ocenić, czy spełniają wymagania dla systemów AI o wysokim ryzyku i odpowiednio się do nich dostosować.

Systemy AI o ograniczonym ryzyku w Japonii

W przypadku systemów AI o ograniczonym ryzyku, przewiduje się ryzyka związane z przejrzystością, a także ryzyka podszywania się, manipulacji i oszustwa. Konkretnie, do tej kategorii należą chatboty, deepfake’i oraz generatywne AI, które według opinii Parlamentu Europejskiego, stanowią większość obecnie używanych systemów AI. Przykłady obejmują systemy automatycznego tłumaczenia, konsole do gier, roboty wykonujące powtarzalne procesy produkcyjne, a także systemy AI typu “Eureka Machine”.

W przypadku generatywnego AI, choć nie jest ono klasyfikowane jako wysokiego ryzyka, wymagane jest spełnienie wymogów przejrzystości oraz zgodności z prawem autorskim UE. Konkretnie, wymaga się następujących działań:

• Jasne ujawnienie, że treść została wygenerowana przez AI
• Zaprojektowanie modelu w taki sposób, aby nie generował on nielegalnych treści
• Upublicznienie informacji o danych chronionych prawem autorskim, które zostały użyte do treningu AI

Dodatkowo, w przypadku zaawansowanych i wpływowych ogólnych modeli AI (GPAI), takich jak “GPT-4”, które mogą przynieść ryzyko systemowe, wymagana jest dokładna ocena. W przypadku wystąpienia poważnego incydentu, nakłada się obowiązek zgłoszenia go do Komisji Europejskiej. Ponadto, treści (obrazy, dźwięki, pliki wideo, deepfake’i itp.) wygenerowane lub zmodyfikowane przy użyciu AI muszą jasno wskazywać, że zostały stworzone przez AI, aby użytkownicy mogli je jako takie rozpoznać.

Systemy AI z minimalnym ryzykiem w Japonii

Na koniec, w przypadku systemów AI z minimalnym ryzykiem, nie ustanowiono szczególnych regulacji. Przykładami mogą być filtry antyspamowe lub systemy rekomendacji. W tej kategorii zamiast regulacji, zachęca się jedynie do tworzenia i przestrzegania kodeksów postępowania.

Wymagania i obowiązki dotyczące systemów AI wysokiego ryzyka w Japonii

Obowiązki dostawców, użytkowników, importerów i sprzedawców

W świetle powyższego rozróżnienia, systemy AI wysokiego ryzyka podlegają szczególnie rygorystycznym regulacjom ze względu na ich poważne ryzyko, a od dostawców i użytkowników wymaga się spełnienia konkretnych obowiązków.

Przede wszystkim, dostawcy, użytkownicy, importerzy i sprzedawcy muszą zbudować system zarządzania ryzykiem (art. 9). Oznacza to obowiązek identyfikacji ryzyka inherentnego systemom AI wysokiego ryzyka, stworzenia, wdrożenia oraz utrzymania i dokumentowania systemu zarządzania tym ryzykiem. W kwestii zarządzania danymi (art. 10), wymagane jest korzystanie z zestawów danych do nauki, weryfikacji i testowania, które spełniają określone standardy jakości. Jest to konieczne, ponieważ jakość i wiarygodność danych muszą być rygorystycznie zarządzane już na etapie rozwoju systemu AI.

Ponadto, obowiązkowe jest tworzenie dokumentacji technicznej (art. 11). Dokumentacja techniczna powinna zawierać informacje niezbędne do udowodnienia, że system AI wysokiego ryzyka jest zgodny z wymaganiami regulacyjnymi i powinna być przygotowana do udostępnienia właściwym organom krajowym lub certyfikującym instytucjom zewnętrznym. Wymagane jest również zaprojektowanie i rozwój funkcji logowania, która automatycznie rejestruje zdarzenia podczas działania systemu AI (art. 12). Dodatkowo, przed wprowadzeniem systemów AI wysokiego ryzyka na rynek, wymagana jest ich rejestracja w bazie danych zarządzanej przez UE, a dostawcy są odpowiedzialni za utrzymanie i dokumentowanie systemu zarządzania jakością.

Obowiązki dostawców

Dostawcy są zobowiązani do przechowywania dokumentacji technicznej, dokumentów związanych z systemem zarządzania jakością, zatwierdzeń lub decyzji wydanych przez certyfikujące instytucje zewnętrzne oraz innych powiązanych dokumentów przez okres 10 lat po wprowadzeniu produktu na rynek lub rozpoczęciu jego eksploatacji i przedstawiania ich na żądanie krajowych organów regulacyjnych. W ten sposób dostawcy mają obowiązek utrzymania jakości i bezpieczeństwa systemu AI na długi okres oraz zapewnienia jego przejrzystości.

Obowiązki użytkowników

Z kolei użytkownicy również mają konkretne obowiązki związane z korzystaniem z systemów AI wysokiego ryzyka. Użytkownicy muszą przechowywać logi generowane automatycznie przez system AI wysokiego ryzyka przez odpowiedni okres, zgodnie z przeznaczeniem systemu, chyba że prawo UE lub prawo krajowe stanowi inaczej. Konkretnie, wymagane jest przechowywanie logów co najmniej przez sześć miesięcy.

Ponadto, gdy użytkownik będący pracodawcą rozpoczyna operowanie lub korzystanie z systemu AI wysokiego ryzyka w miejscu pracy, ma obowiązek wcześniej poinformować o tym przedstawicieli pracowników oraz pracowników, którzy będą pod wpływem tego systemu. Jest to wymóg ustanowiony z myślą o ochronie praw pracowników i zapewnieniu przejrzystości.

W ten sposób, systemy AI wysokiego ryzyka nakładają rygorystyczne wymagania i obowiązki zarówno na dostawców, jak i użytkowników. Szczególnie w przypadku zaawansowanych technologii AI, takich jak urządzenia medyczne czy systemy autonomicznej jazdy, konieczne może być przeprowadzenie oceny zgodności i przeglądu przez certyfikujące instytucje zewnętrzne, z uwzględnieniem zgodności z istniejącymi ramami regulacyjnymi, co wymaga od przedsiębiorców ostrożnego i planowego podejścia.

Harmonogram stopniowego wdrażania japońskiej ustawy o regulacji AI

Ustawa o regulacji AI w Japonii jest wdrażana stopniowo, zgodnie z ustalonym harmonogramem, od ogłoszenia do zastosowania. Dzięki temu przedsiębiorcy są zobowiązani do przygotowania się i odpowiedniego reagowania na każdym etapie.

12 lipca 2024 roku (Reiwa 6) ustawa o regulacji AI została opublikowana w dzienniku urzędowym, a 1 sierpnia tego samego roku weszła w życie. Na tym etapie od przedsiębiorców wymaga się przede wszystkim sprawdzenia i rozważenia treści regulacji.

2 lutego 2025 roku (Reiwa 7) zaczną obowiązywać przepisy dotyczące “ogólnych zasad” i “systemów AI z niedopuszczalnym ryzykiem”. Jeśli przedsiębiorca zajmuje się systemami AI z niedopuszczalnym ryzykiem, musi niezwłocznie zaprzestać ich obsługi.

Następnie, 2 maja 2025 roku (Reiwa 7), zostaną opublikowane kodeksy praktyk (Codes of Practice) dla dostawców ogólnych modeli AI (GPAI). Przedsiębiorcy będą musieli dostosować swoje działania do tych kodeksów praktyk.

Później, 2 sierpnia 2025 roku (Reiwa 7), zaczną obowiązywać przepisy dotyczące “modeli GPAI” i “sankcji”, a każde państwo członkowskie mianuje odpowiednie organy nadzorcze. Na tym etapie dostawcy modeli GPAI muszą przestrzegać odpowiednich przepisów.

2 lutego 2026 roku (Reiwa 8) zostaną opublikowane wytyczne dotyczące metod wdrażania systemów AI na podstawie ustawy o regulacji AI. Jednocześnie zostanie nałożony obowiązek monitorowania po wprowadzeniu na rynek systemów AI o wysokim ryzyku, co wymaga odpowiedniej organizacji.

Dodatkowo, 2 sierpnia 2026 roku (Reiwa 8), zaczną obowiązywać przepisy dotyczące “systemów AI o wysokim ryzyku” wymienionych w załączniku III. W tym momencie państwa członkowskie muszą utworzyć sandboxy regulacyjne AI i zapewnić przestrzeganie przepisów przez systemy AI o wysokim ryzyku.

Wreszcie, 2 sierpnia 2027 roku (Reiwa 9), zaczną obowiązywać przepisy dotyczące “systemów AI o wysokim ryzyku” wymienionych w załączniku I. Oznacza to, że systemy AI określone w załączniku I również będą musiały przestrzegać ustalonych przepisów.

Tak więc, ustawa o regulacji AI jest wdrażana stopniowo przez kilka lat, a regulacje dostosowane do stopnia ryzyka są sukcesywnie stosowane. Przedsiębiorcy muszą dokładnie zrozumieć każdy termin wdrożenia i odpowiednio reagować na systemy AI, które są przedmiotem regulacji.

Powiązane artykuły: Jaka jest obecna sytuacja i perspektywy japońskiej ustawy o regulacji AI? Wyjaśniamy również wpływ na japońskie przedsiębiorstwa[ja]

Informacje o środkach zaradczych stosowanych przez naszą kancelarię

Kancelaria Prawna Monolith to firma specjalizująca się w IT, a w szczególności w zagadnieniach związanych z Internetem i prawem, posiadająca bogate doświadczenie w obu tych dziedzinach.

Biznes oparty na sztucznej inteligencji (AI) wiąże się z wieloma ryzykami prawnymi, a wsparcie adwokatów specjalizujących się w problematyce AI jest niezbędne. Nasza kancelaria, dysponując zespołem adwokatów zorientowanych na AI oraz inżynierów, oferuje zaawansowane wsparcie prawne dla biznesu AI, w tym ChatGPT, obejmujące tworzenie umów, analizę legalności modeli biznesowych, ochronę własności intelektualnej oraz obsługę zagadnień prywatności. Szczegóły znajdują się w poniższym artykule.

Zakres usług Kancelarii Prawnej Monolith: Prawo AI (w tym ChatGPT i inne)[ja]