Kto nadzoruje przestrzeganie Aktu o SI w Polsce?

Wiedzą już Państwo, że Akt o sztucznej inteligencji prawdopodobnie dotyczy Państwa firmy, i wiedzą Państwo, że kary z art. 99 potrafią sięgać milionów euro. Następne, bardzo praktyczne pytanie brzmi: kto konkretnie miałby zapukać do drzwi, gdyby coś poszło nie tak? UODO, tak jak przy RODO? Jakiś nowy urząd, o którym jeszcze nikt nie słyszał? Uczciwa odpowiedź jest taka, że Polska wciąż dopracowuje ten system, a sam sposób, w jaki to robi, już dziś podpowiada, gdzie szukać odpowiedzi.

Czego rozporządzenie wymaga od każdego państwa członkowskiego

Artykuł 70 Aktu o sztucznej inteligencji zobowiązuje każde państwo członkowskie do wyznaczenia co najmniej jednego organu notyfikującego oraz co najmniej jednego organu nadzoru rynku, z formalnym terminem do 2 sierpnia 2025 roku. Sam przepis nie narzuca konkretnej struktury — kraj może powołać jeden nowy urząd, rozdzielić zadania między istniejące instytucje, albo połączyć oba podejścia. Polska, podobnie jak większość państw członkowskich, nie zdążyła w pełni ukształtować tego systemu przed upływem terminu — wyznaczenie organów nadzoru okazało się w praktyce bardziej czasochłonne, niż zakładało rozporządzenie.

Ustawa o systemach sztucznej inteligencji: wciąż projekt

Projekt ustawy o systemach sztucznej inteligencji, przygotowywany przez Ministerstwo Cyfryzacji, ma być tym aktem, który w Polsce rozdzieli kompetencje nadzorcze przewidziane w Akcie o sztucznej inteligencji. Kolejne wersje projektu przewidywały powołanie nowego organu koordynującego — w niektórych wersjach określanego jako Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji — obok utrzymania roli istniejących regulatorów sektorowych. Zastrzegamy wyraźnie: dokładna nazwa, zakres kompetencji i ostateczny kształt tego organu zmieniały się między kolejnymi wersjami projektu w toku konsultacji i mogą ulec dalszym zmianom, zanim ustawa zostanie uchwalona. Jeśli podejmują Państwo decyzje w oparciu o konkretny przepis tej ustawy, warto zweryfikować jej aktualny status bezpośrednio przed publikacją tego tekstu.

Rola UODO: punkt wyjścia, nie jedyny organ

Urząd Ochrony Danych Osobowych nadzoruje przetwarzanie danych osobowych w Polsce od wejścia w życie RODO w 2018 roku, a w kolejnych wersjach projektu ustawy o systemach sztucznej inteligencji konsekwentnie wskazywany jest jako organ właściwy dla systemów AI, które przetwarzają dane osobowe — rolę tę i historię egzekwowania RODO przez UODO opisaliśmy szerzej w naszym przewodniku o Akcie o sztucznej inteligencji dla polskich MŚP. Dla większości MŚP, które kupują gotowe narzędzia AI, zamiast rozwijać własne systemy, oznacza to w praktyce, że gdy w grę wchodzą dane osobowe — CV kandydatów, dane klientów, historia rozmów z chatbotem — UODO pozostaje najbardziej prawdopodobnym pierwszym punktem odniesienia, niezależnie od tego, jak ostatecznie ukształtuje się reszta systemu nadzoru.

Organy sektorowe: kiedy inna nazwa jest ważniejsza

Dla firm działających w regulowanych sektorach to zwykle nie UODO, lecz organ, który znał daną branżę na długo przed Aktem o sztucznej inteligencji, będzie pierwszym punktem odniesienia:

• Usługi finansowe, w tym scoring kredytowy i ocena ryzyka ubezpieczeniowego: Komisja Nadzoru Finansowego (KNF), w ramach swojego dotychczasowego mandatu.
• Ochrona konsumentów i praktyki rynkowe, w tym systemy AI wpływające na decyzje zakupowe: Urząd Ochrony Konkurencji i Konsumentów (UOKiK).
• Rekrutacja, ocena pracowników i inne zastosowania AI w relacjach pracowniczych: Państwowa Inspekcja Pracy (PIP), obok UODO tam, gdzie przetwarzane są dane osobowe kandydatów lub pracowników — istotne zwłaszcza dla firm z sektora BPO/HR, gdzie narzędzia rekrutacyjne oparte na AI są już powszechne.
• Żaden z powyższych nie pasuje wyraźnie do Państwa sytuacji: wtedy UODO, jako organ z najdłuższym doświadczeniem w nadzorze nad systemami przetwarzającymi dane osobowe, pozostaje najbardziej naturalnym punktem wyjścia.

Co to oznacza dziś dla Państwa firmy

Dopóki ustawa o systemach sztucznej inteligencji nie zostanie uchwalona, żaden polski organ nie ma w pełni ukształtowanego, ustawowo określonego mandatu wyłącznie do Aktu o sztucznej inteligencji. Nie oznacza to jednak, że nie ma nic do zrobienia — samo rozporządzenie już obowiązuje, wraz z poziomami ryzyka i kwotami kar opisanymi w naszym przewodniku dla polskich MŚP, niezależnie od tempa prac nad krajową ustawą. Dla większości MŚP, które kupują narzędzia AI zamiast je budować, ostateczny kształt systemu nadzoru niewiele zmieni w codziennej praktyce: tam, gdzie przetwarzane są dane osobowe, UODO pozostanie najbardziej prawdopodobnym rozmówcą, a organ sektorowy dołączy do niego tam, gdzie branża tego wymaga.

Lista kontrolna: do kogo się zwrócić

• Czy Państwa system AI przetwarza, choćby pośrednio, dane osobowe możliwej do zidentyfikowania osoby? Wtedy UODO jest najbardziej prawdopodobnym adresatem.
• Czy Państwa branża ma już własnego regulatora (usługi finansowe, ochrona konsumentów, relacje pracownicze)? Ten organ prawdopodobnie dołoży kompetencje związane z AI do swojego dotychczasowego mandatu.
• Czy chodzi o zastosowanie wysokiego ryzyka z załącznika III, jak rekrutacja czy ocena zdolności kredytowej? Proszę liczyć się z podwójnym zainteresowaniem — UODO i organu sektorowego jednocześnie.
• Po odpowiedzi na powyższe pytania wciąż nie mają Państwo pewności? UODO, jako organ z najdłuższym doświadczeniem w nadzorze nad systemami przetwarzającymi dane osobowe, pozostaje rozsądnym punktem startowym.

Informacje ogólne, nie porada prawna

Powyższe to informacje ogólne, które mają pomóc Państwu zorientować się w temacie — nie stanowią porady prawnej dotyczącej Państwa konkretnej sytuacji. Ustawa o systemach sztucznej inteligencji jest na dzień publikacji tego tekstu projektem, a nie uchwaloną ustawą, a jej ostateczna treść, nazwy organów i termin wejścia w życie mogą się jeszcze zmienić. Gdy Komplya publikuje tego rodzaju treści, wyraźnie rozróżnia materiał zweryfikowany prawnie od materiału, który wciąż ma status roboczy, aby mogli Państwo świadomie korzystać z tego, co czytają.

Najszybsza droga od tej listy organów do konkretnej odpowiedzi dla Państwa firmy to przejście punkt po punkcie przez rzeczywiste wykorzystanie AI. Proszę wypełnić krótki kwestionariusz dotyczący Państwa działalności i otrzymać zestawienie w prostym języku tego, który organ prawdopodobnie ma znaczenie dla Państwa firmy.