System AI czy zwykły program? Dlaczego definicja ma znaczenie dla Twojej firmy

Kiedy w grudniu 2023 r. pojawiła się ostateczna definicja systemu sztucznej inteligencji w Akcie o Sztucznej inteligencji (AI Act), wielu prawników i doradców odetchnęło: wreszcie mamy punkt zaczepienia. Ale to był oddech krótki. Bo wraz z definicją przyszło… jeszcze więcej pytań niż odpowiedzi.

Dziś przedsiębiorcy stoją przed bardzo praktycznym dylematem: 

• czy to, co mamy w organizacji, to system AI?

• czy to tylko zwykłe oprogramowanie, które w ogóle nie podlega pod nowe przepisy?

  
  

Brzmi jak teoretyczna akademicka zabawa? Wcale nie. Od tej kwalifikacji zależy, czy Twoja firma będzie musiała wdrożyć obowiązki z AI Act – i to niemałe.

Definicja z Aktu o AI – niby jasna, ale…

Artykuł 3 AI Act wskazuje, że system AI to system maszynowy, który jest zaprojektowany tak, aby - po jego wdrożeniu - działał z różnym poziomem autonomii i który na podstawie danych wejściowych potrafi generować wyniki (treści, przewidywania, rekomendacje, decyzje), wpływając na środowisko, w którym działa.

Motyw 12 AI Act, mówi, że systemy stworzone wyłącznie przez człowieka, działające na podstawie tradycyjnych reguł programistycznych, nie są systemami AI.

Czyli: Excel z formułami nie jest AI. Ale już system, który sam dobiera formuły na podstawie danych – być może tak.

Wytyczne Komisji – więcej chaosu niż jasności

Wytyczne Komisji Europejskiej zamiast porządkować, jeszcze bardziej komplikują.

Przykład?

• Akt mówi: tradycyjne systemy symboliczne mogą być traktowane jako AI.

• Wytyczne: nie, one są wyłączone.

Albo:

• Akt mówi: system AI to „maszynowy” system, zaprojektowany do działania z różnym poziomem autonomii; może się adaptować po wdrożeniu i – dla jawnych lub ukrytych celów – wnioskuje z danych, jak generować wyjścia (np. predykcje, treści, rekomendacje, decyzje), a oprogramowanie nie jest systemem AI.

• Wytyczne mówią: „maszynowy” = sprzęt + oprogramowanie (procesory, pamięć itd. + kod, instrukcje, systemy i aplikacje). To konkretny „system software’owy” może (albo nie) spełniać definicję systemu AI — oceniasz to po 7 elementach z art. 3

Ostatni przykład pastwienia się nad wytycznymi: systemy oparte na heurystykach. Gdzie jest granica między „klasycznymi” a „nieklasycznymi”? Szachowy program, który pokonał Kasparowa w 1997 – klasyczny. Algorytm sprzed 10 lat – jeszcze klasyczny, czy już nie?

Takie rozmycie definicji to problem praktyczny. Bo prawnik jako doradca biznesowy ma odpowiedzieć klientowi: czy podlegasz pod regulację, czy nie? A gdy odpowiedź brzmi „to zależy”, rodzi się niepewność prawa.

Dlaczego to takie ważne dla przedsiębiorcy?

W Akcie o AI kluczowa jest rola adresata regulacji:

• dostawca (twórca, rozwijający system),

• użytkownik (ten, kto wdraża i stosuje).

  
  

Ale tu wchodzi w grę legislacyjna pułapka. Bo możesz być uznany za „dostawcę” nawet wtedy, gdy… wcale nie rozwijasz własnego systemu. Wystarczy, że outsourcujesz rozwiązanie AI, które dopasowujesz do potrzeb firmy.

Efekt? Obowiązki, które normalnie spadałyby na dostawcę, mogą spaść na Ciebie. A to oznacza koszty: dokumentacja, testy, oceny ryzyka, obowiązki informacyjne.

Ryzyka biznesowe wynikające z błędnej kwalifikacji

1. Fałszywe poczucie bezpieczeństwa – myślisz: „to tylko narzędzie IT, więc mnie nie dotyczy”, a potem po audycie wychodzi brak zgodności z AI Act.

   
   

2. Nadmiarowe koszty – firmy często wchodzą w compliance „na zapas”, uznając coś za AI, choć formalnie nie musiałyby. Efekt: wydane pieniądze na dokumentację i procesy, które mogły być prostsze.

   
   

3. Spory kontraktowe – jeśli nie ustalisz w umowie z dostawcą AI, kto ponosi obowiązki wynikające z regulacji, możesz zostać z nimi sam. A dostawca – umyje ręce.

   
   

4. Ryzyko reputacyjne  – klient, partner biznesowy, inwestor oczekuje zgodności z regulacjami. Jeśli wyjdzie, że Twoja firma „nie wiedziała”, że korzysta z systemu AI, trudno będzie odbudować zaufanie.

Co powinna zrobić firma już dziś?

• Audyt oprogramowania – przejrzyj wszystkie narzędzia w firmie, także te używane oddolnie przez pracowników (shadow AI).

  
  

• Klasyfikacja – oceń, które rozwiązania mogą być uznane za systemy AI, a które nie. Tu nie obejdzie się bez wsparcia prawnika i technologa.

  
  

• Kontrakty z dostawcami – wpisz w umowy jasny podział obowiązków związanych z AI Act. Jeśli coś pójdzie nie tak, chcesz wiedzieć, kto za to odpowiada.

  
  

• Edukacja – pracownicy muszą rozumieć różnicę między programem a systemem AI. To podstawa, by zarząd nie obudził się z ... niespodzianką.

Szerszy kontekst – deregulacja przez wytyczne

Ciekawym zjawiskiem jest to, że Komisja Europejska w praktyce „dereguluje” przez wytyczne. Akt mówi jedno, wytyczne – wyłączają kolejne przypadki. To daje elastyczność, ale kosztem pewności prawa.

Sztuczna inteligencja nie jest prosta do zdefiniowania nawet na tym poziomie.

Dla biznesu oznacza to jedno: trzeba działać na podstawie „najlepszej dostępnej wiedzy”, wiedząc, że za rok lub dwa interpretacja może się zmienić. To z kolei oznacza ryzyko inwestycyjne.

I co teraz?

Definicja systemu sztucznej inteligencji w AI Act to nie akademicki detal. To punkt startu do całej ścieżki obowiązków prawnych i kosztów wdrożenia.

Jeśli źle zakwalifikujesz swoje rozwiązanie:

• możesz niechcący stać się „dostawcą AI” z pełnym katalogiem obowiązków,

• albo przeciwnie – zignorujesz przepisy i narazisz się na sankcje i utratę reputacji.

  
  

Dlatego dziś najważniejsze jest: zrozumieć różnicę między systemem AI a tradycyjnym oprogramowaniem i zacząć porządkować kontrakty oraz procesy w organizacji.