Artykuł 2 — Zakres stosowania (Rozporządzenie UE w sprawie AI)

Artykuł 2 Rozporządzenia (UE) 2024/1689 — Zakres stosowania. Oficjalny tekst, praktyczna interpretacja, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie tekstu oficjalnego

Artykuł 2 Rozporządzenia (UE) 2024/1689 definiuje materialny i terytorialny zakres stosowania Rozporządzenia UE w sprawie AI. Określa, które podmioty, systemy i okoliczności wchodzą w zakres regulacji.

Ratione personae rozporządzenie ma zastosowanie do: (1) dostawców wprowadzających systemy AI na rynek Unii lub oddających je do użytku w UE, niezależnie od miejsca ich siedziby; (2) podmiotów stosujących systemy AI, które mają siedzibę lub są zlokalizowane w UE; (3) dostawców i podmiotów stosujących mających siedzibę w państwach trzecich, gdy wyniki generowane przez system AI są wykorzystywane w Unii; (4) importerów i dystrybutorów systemów AI; oraz (5) producentów wyrobów, którzy wprowadzają systemy AI jako elementy bezpieczeństwa regulowanych wyrobów na rynek Unii.

Artykuł 2 doprecyzowuje ponadto, że rozporządzenie nie ma zastosowania do systemów AI opracowanych lub używanych wyłącznie do celów wojskowych, bezpieczeństwa narodowego lub obronnych, ani do systemów AI używanych przez organy władzy publicznej państw trzecich lub organizacje międzynarodowe w kontekście umów międzynarodowych dotyczących współpracy w zakresie egzekwowania prawa i współpracy sądowej. Systemy AI, które nie zostały jeszcze wprowadzone na rynek i nadal znajdują się w fazie badań i rozwoju, przed udostępnieniem użytkownikom, również pozostają poza zakresem stosowania.

W przypadku gdy podmiot stosujący lub dostawca ma siedzibę poza UE, ale wyniki działania systemu AI są wykorzystywane w UE, rozporządzenie nadal ma zastosowanie, ustanawiając silne działanie eksterytorialne porównywalne z modelem RODO.

Co to oznacza w praktyce

Artykuł 2 przesądza o tym, czy Państwa organizacja musi w ogóle przestrzegać Rozporządzenia UE w sprawie AI — jest to kwestia progowa, na którą każdy zespół prawny i ds. zgodności musi odpowiedzieć przed dokonaniem oceny jakichkolwiek obowiązków.

Dla firm z siedzibą w UE analiza jest prosta: jeżeli opracowujesz, wdrażasz, importujesz, dystrybuujesz lub integrujesz systemy AI w produktach lub usługach dostępnych w UE, jesteś objęty zakresem stosowania. Dotyczy to dostawców SaaS oferujących funkcje oparte na AI, przedsiębiorstw wdrażających narzędzia AI w obszarze HR, udzielania kredytów lub opieki zdrowotnej, oraz producentów integrujących AI w produktach fizycznych podlegających istniejącemu prawodawstwu UE w zakresie bezpieczeństwa produktów.

Dla firm spoza UE kluczowym testem jest to, czy wyniki działania systemu AI docierają do osób lub podmiotów w UE lub na nie wpływają. Na przykład firma z siedzibą w USA świadcząca usługi narzędzia AI do wstępnej selekcji kandydatów do pracy, używanego przez europejskie spółki zależne korporacji wielonarodowych, podlega zakresowi stosowania, nawet jeśli sama firma nie ma żadnej obecności w UE. Tacy dostawcy muszą wyznaczyć upoważnionego przedstawiciela w Unii.

W praktyce zespoły ds. zgodności powinny najpierw sporządzić mapę wszystkich systemów AI w użyciu lub w fazie opracowywania, a następnie zastosować kryteria Artykułu 2 do każdego z nich. Systemy używane wyłącznie do wewnętrznych prac badawczo-rozwojowych — nieudostępniane użytkownikom końcowym — mogą być dokumentowane jako pozostające poza zakresem stosowania, ale status ten musi być aktywnie utrzymywany i ponownie oceniany w momencie wdrożenia. Wyłączenia dotyczące sfery wojskowej i bezpieczeństwa narodowego są wąskie i nie należy zakładać, że mają zastosowanie do systemów podwójnego zastosowania lub narzędzi egzekwowania prawa bez starannej analizy prawnej.

Dostawcy modeli o otwartym kodzie źródłowym korzystają z niektórych złagodzonych obowiązków, ale nadal podlegają zakresowi stosowania w odniesieniu do zakazanych praktyk i klasyfikacji wysokiego ryzyka.

Kluczowe obowiązki

• Ustalenie zakresu stosowania: Organizacje muszą twierdząco ustalić, czy należą do jednej ze zdefiniowanych kategorii podmiotów (dostawca, podmiot stosujący, importer, dystrybutor lub producent wyrobów), zanim dokonają oceny, który poziom obowiązków ma do nich zastosowanie.
• Zgodność eksterytorialna: Dostawcy spoza UE, których systemy AI generują wyniki wykorzystywane w Unii, muszą przestrzegać rozporządzenia i wyznaczyć upoważnionego przedstawiciela mającego siedzibę w UE.
• Jasność ról: W przypadku gdy ta sama organizacja działa jednocześnie jako dostawca i podmiot stosujący, oba zestawy obowiązków mają zastosowanie łącznie; organizacje muszą dokumentować każdą rolę i zarządzać nią oddzielnie.
• Dokumentacja granicy prac B+R: Organizacje korzystające ze zwolnienia dotyczącego badań i rozwoju muszą prowadzić jasne rejestry wykazujące, że system nie został wprowadzony na rynek ani oddany do użytku, i muszą ponownie oceniać zakres stosowania na każdym etapie opracowywania.
• Wąska interpretacja wyłączeń: Wyłączenia dotyczące sfery wojskowej, bezpieczeństwa narodowego i obronnej muszą być stosowane ściśle; systemy AI podwójnego zastosowania lub używane w ogólnych kontekstach egzekwowania prawa nie kwalifikują się automatycznie do wyłączenia.
• Wyznaczenie upoważnionego przedstawiciela: Dostawcy z państw trzecich objęci zakresem stosowania muszą formalnie wyznaczyć i udokumentować upoważnionego przedstawiciela w UE jako element swojej infrastruktury zgodności.

Związek z innymi artykułami

Artykuł 2 stanowi punkt wejścia do całego ram regulacyjnych i musi być czytany łącznie z kilkoma przepisami fundamentalnymi. Artykuł 3 (Definicje) jest niezbędny do interpretacji kluczowych pojęć użytych w Artykule 2, w szczególności definicji "systemu AI", "dostawcy" i "podmiotu stosującego", które determinują zakres stosowania. Artykuł 5 (Zakazane praktyki w zakresie AI) ma zastosowanie do wszystkich podmiotów objętych zakresem stosowania niezależnie od poziomu ryzyka, dlatego prawidłowe ustalenie zakresu stosowania na mocy Artykułu 2 jest warunkiem wstępnym oceny najpoważniejszych obowiązków. Artykuł 6 (Klasyfikacja systemów AI wysokiego ryzyka) i Artykuł 51 (Klasyfikacja modeli GPAI) stają się istotne dopiero po potwierdzeniu zakresu stosowania Artykułu 2. Dla organizacji korzystających ze ścieżki dostawcy z państwa trzeciego Artykuł 2 łączy się bezpośrednio z Artykułem 25 (Obowiązki importerów) i Artykułem 26 (Obowiązki dystrybutorów). Działanie eksterytorialne ustanowione w Artykule 2 odzwierciedla logikę Artykułu 3 RODO, a organy regulacyjne potwierdziły, że te przepisy powinny być interpretowane spójnie.

Harmonogram zgodności

Artykuł 2 wszedł w życie 1 sierpnia 2024 r., dwadzieścia dni po opublikowaniu rozporządzenia w Dzienniku Urzędowym UE. Jednak jego praktyczne obowiązki aktywują się zgodnie z fazowym harmonogramem stosowania rozporządzenia:

• 2 lutego 2025 r.: Zakres stosowania Artykułu 2 ma pełne zastosowanie w odniesieniu do zakazanych praktyk w zakresie AI na mocy Artykułu 5 — organizacje muszą były do tego dnia ukończyć ustalanie zakresu stosowania, aby ocenić, czy którykolwiek z ich systemów należy do kategorii zakazanych.
• 2 sierpnia 2025 r.: Zakres stosowania ma zastosowanie do dostawców modeli AI ogólnego przeznaczenia (GPAI) na mocy Tytułu VIII (Artykuły 51–56), w tym ocen ryzyka systemowego i obowiązków w zakresie przejrzystości.
• 2 sierpnia 2026 r.: Obowiązki dla instytucji i organów UE korzystających z systemów AI na mocy Artykułu 2(1)(h) stają się stosowalne.
• 2 grudnia 2026 r.: Zakres stosowania Artykułu 2 ma zastosowanie do systemów AI wysokiego ryzyka wymienionych w Załączniku I (elementy bezpieczeństwa regulowanych wyrobów).
• 2 sierpnia 2027 r.: Pełne stosowanie do systemów AI wysokiego ryzyka wymienionych w Załączniku III (samodzielne aplikacje wysokiego ryzyka w obszarach takich jak zatrudnienie, edukacja, infrastruktura krytyczna i egzekwowanie prawa).

Organizacje powinny traktować sierpień 2024 r. jako datę, od której powinny były rozpocząć działania w zakresie mapowania zakresu stosowania, przy czym każdy kolejny termin uruchamia odpowiedni strumień prac związanych ze zgodnością.