Kupujący też ma obowiązki. Czego AI Act wymaga od organizacji, która korzysta z AI

W rozmowach z zarządami często słyszę: „AI Act dotyczy dostawców, my tylko kupujemy”. To błąd. Rozporządzenie nazywa organizację, która używa systemu AI, podmiotem stosującym i nakłada na nią własne obowiązki. Część z nich już obowiązuje

Co obowiązuje od 2 lutego 2025 roku

Artykuł 4 wymaga, żeby osoby, które w organizacji obsługują systemy AI, miały odpowiednie kompetencje w zakresie AI. Artykuł 5 zakazuje niektórych praktyk, między innymi systemów, które wyciągają wnioski o emocjach osób w miejscu pracy i w instytucjach edukacyjnych, z wyjątkiem względów medycznych lub bezpieczeństwa. Jeśli dostawca oferuje „analizę nastroju pracowników”, kupujący powinien najpierw zapytać, czy w ogóle wolno mu z tego korzystać

Co czeka organizacje korzystające z systemów wysokiego ryzyka

Artykuł 26 opisuje obowiązki podmiotu stosującego system wysokiego ryzyka: korzystanie zgodnie z instrukcją dostawcy, nadzór człowieka sprawowany przez osoby z odpowiednimi kompetencjami, monitorowanie działania, przechowywanie automatycznie tworzonych rejestrów zdarzeń co najmniej przez sześć miesięcy i informowanie pracowników przed wdrożeniem takiego systemu w miejscu pracy. Artykuł 27 wymaga od podmiotów publicznych i części podmiotów prywatnych oceny skutków dla praw podstawowych

W Unii trwają prace nad przesunięciem terminów dla systemów wysokiego ryzyka. Organizacja, która kupuje system dziś, i tak będzie go używać, kiedy te obowiązki zaczną się stosować

Administracja porządkuje zasady

8 maja po raz pierwszy zebrał się zespół MSWiA do spraw AI, który ma opracować bezpieczne zasady jej stosowania w Państwowej Straży Pożarnej, Policji i Straży Granicznej. Pod koniec maja dyrektorzy generalni urzędów ostrzegli, że urzędnicy bezkrytycznie korzystający z AI muszą liczyć się z konsekwencjami, łącznie z dyscyplinarnymi. Kary dla pracowników nie zastąpią jednak zasad i narzędzi, które powinien zapewnić pracodawca

Co to znaczy dla zakupu

Większości obowiązków podmiotu stosującego nie da się spełnić bez dostawcy. To dostawca daje instrukcję, dokumentację, rejestry zdarzeń i techniczną możliwość nadzoru. Dlatego trzeba o nie zadbać w opisie przedmiotu zamówienia i w umowie, a nie dopiero po wdrożeniu

Andrzej Albera

Od ponad 30 lat w projektach IT, także o znaczeniu krytycznym dla państwa. Doradza zarządom i zamawiającym, jak mądrze kupować, wdrażać i rozwijać AI