Artykuł 77 — Uprawnienia organów ochrony praw podstawowych (Rozporządzenie UE w sprawie AI)

Artykuł 77 Rozporządzenia (UE) 2024/1689 — Uprawnienia organów ochrony praw podstawowych. Tekst urzędowy, interpretacja praktyczna, kluczowe obowiązki i implikacje dla zgodności.

Streszczenie tekstu urzędowego

Artykuł 77 Rozporządzenia (UE) 2024/1689 ustanawia szczególne uprawnienia dla krajowych organów publicznych, których mandat obejmuje ochronę praw podstawowych, umożliwiając im pełnienie roli dodatkowej warstwy nadzoru nad systemami AI wysokiego ryzyka wdrożonymi w ich jurysdykcji.

Na podstawie Artykułu 77(1) każdemu krajowemu organowi publicznemu lub podmiotowi właściwemu w zakresie nadzoru lub egzekwowania obowiązków związanych z prawami podstawowymi — w tym organom ochrony danych na mocy Rozporządzenia (UE) 2016/679, organom ds. równości, organom ochrony konsumentów i podobnym agencjom — przyznano uprawnienie do żądania od podmiotów stosujących systemy AI wysokiego ryzyka dostępu do dokumentacji wygenerowanej i prowadzonej zgodnie z rozporządzeniem. W szczególności organy te mogą żądać oceny skutków dla praw podstawowych wymaganej od określonych podmiotów stosujących na podstawie Artykułu 27, dzienników automatycznie generowanych przez system AI i prowadzonych na podstawie Artykułu 26(6) oraz wszelkiej innej stosownej dokumentacji wykazującej zgodność.

Na podstawie Artykułu 77(2), w przypadku gdy taki organ ma uzasadnione podstawy, by sądzić, że system AI wysokiego ryzyka stwarza zagrożenie dla praw podstawowych lub dla zdrowia i bezpieczeństwa osób, jest on zobowiązany poinformować właściwy organ nadzoru rynku wyznaczony na podstawie Artykułu 70 i może przekazać mu wszelkie posiadane przez siebie istotne informacje. Organ nadzoru rynku jest następnie odpowiedzialny za podjęcie odpowiednich działań dochodzeniowych i naprawczych zgodnie ze swoimi kompetencjami na mocy Rozdziału VII.

Artykuł 77 tworzy zatem ustrukturyzowany mechanizm współpracy między sektorowymi organami ochrony praw podstawowych a podstawową infrastrukturą nadzoru rynku, nie przyznając tym organom bezpośrednich uprawnień egzekwowania w zakresie zgodności systemów AI niezależnie od ustanowionych ram nadzoru rynku.

Co to oznacza w praktyce

Artykuł 77 ma bezpośrednie konsekwencje operacyjne dla podmiotów stosujących systemy AI wysokiego ryzyka — w szczególności tych działających w wrażliwych dziedzinach, takich jak zatrudnienie, edukacja, dostęp do podstawowych usług, egzekwowanie prawa, migracja i wymiar sprawiedliwości, gdzie narażenie na prawa podstawowe jest najbardziej dotkliwe.

Podmioty stosujące muszą być przygotowane na odpowiadanie na żądania dokumentacji ze strony szerszego grona organów publicznych niż tylko główny organ nadzoru rynku. Organ ochrony danych prowadzący dochodzenie dotyczące narzędzia rekrutacyjnego wspomaganego przez AI, organ ds. równości badający zautomatyzowany system ustalania uprawnień do świadczeń lub agencja ochrony konsumentów kontrolująca platformę scoringu kredytowego opartą na AI — wszystkie mogą powołać się na Artykuł 77, aby uzyskać ocenę skutków dla praw podstawowych i dzienniki systemowe podmiotu stosującego.

W praktyce oznacza to, że podmioty stosujące powinny zapewnić, aby ich ocena skutków dla praw podstawowych na podstawie Artykułu 27 była ukończona, aktualna i łatwo dostępna przed wdrożeniem — nie traktując jej jako ćwiczenia wykonywanego po fakcie. Podobnie obowiązki w zakresie rejestrowania na podstawie Artykułu 26 muszą być operacyjnie aktywne, tak aby dokumentacja mogła być dostarczona na żądanie bez zwłoki.

Dla dostawców Artykuł 77 podkreśla znaczenie tworzenia i utrzymywania kompleksowej dokumentacji technicznej na podstawie Artykułu 11 oraz instrukcji użytkowania na podstawie Artykułu 13, które są wystarczająco szczegółowe, aby wspierać zgodność podmiotów stosujących. Jeśli organ ochrony praw podstawowych zgłosi obawy i powiadomi organ nadzoru rynku, dokumentacja dostawcy będzie kluczowa dla każdego późniejszego dochodzenia.

Organizacje wdrażające systemy AI wysokiego ryzyka powinny określić, które organy ochrony praw podstawowych mają jurysdykcję nad ich działalnością i proaktywnie ocenić, w jaki sposób organy te będą prawdopodobnie interpretować swój mandat w związku z nadzorem AI.

Kluczowe obowiązki

• Podmioty stosujące muszą dostarczać dokumentację na żądanie: Na żądanie właściwego organu ochrony praw podstawowych podmioty stosujące systemy AI wysokiego ryzyka muszą zapewnić dostęp do oceny skutków dla praw podstawowych (Artykuł 27), automatycznie generowanych dzienników (Artykuł 26(6)) oraz wszelkiej innej dokumentacji istotnej dla oceny organu.
• Organy ochrony praw podstawowych muszą powiadamiać organy nadzoru rynku: W przypadku gdy organ ochrony praw podstawowych ma uzasadnione podstawy, by sądzić, że system AI wysokiego ryzyka stwarza zagrożenia dla praw podstawowych lub zdrowia i bezpieczeństwa, jest zobowiązany poinformować właściwy organ nadzoru rynku wyznaczony na podstawie Artykułu 70 i przekazać wszelkie istotne informacje.
• Oceny skutków dla praw podstawowych muszą być aktualne i dostępne: Ponieważ Artykuł 77 tworzy aktywne prawo do żądania dokumentacji, podmioty stosujące podlegające Artykułowi 27 nie mogą odraczać ani zaniedbywać oceny skutków — musi ona istnieć i być możliwa do odzyskania w momencie, gdy organ wykonuje swoje uprawnienia.
• Retencja dzienników musi być operacyjna przed wdrożeniem: Podmioty stosujące muszą zapewnić, że mechanizmy rejestrowania wymagane na podstawie Artykułu 26(6) są aktywne i że zapisy są przechowywane w sposób umożliwiający terminowe dostarczenie organom powołującym się na Artykuł 77.
• Wymagana jest współpraca ponad granicami organów: Podmioty stosujące i dostawcy muszą być przygotowane do jednoczesnej współpracy z wieloma właściwymi podmiotami — organem ochrony praw podstawowych inicjującym dochodzenie i organem nadzoru rynku, któremu podlega — bez tworzenia sprzeczności w informacjach dostarczanych każdemu z nich.

Związek z innymi artykułami

Artykuł 77 leży na przecięciu ram monitorowania porejestracyjnego (Rozdział IX) i szerszej architektury nadzoru rynku (Rozdział VII) i musi być czytany w połączeniu z kilkoma innymi przepisami.

Artykuł 26 (Obowiązki podmiotów stosujących) ustanawia podstawowe obowiązki w zakresie monitorowania i rejestrowania, które tworzą dokumentację, do której organy Artykułu 77 są uprawnione do dostępu. Artykuł 27 (Ocena skutków dla praw podstawowych dla systemów AI wysokiego ryzyka) tworzy podstawowy dokument, którego będą poszukiwać organy ochrony praw podstawowych; oba artykuły są operacyjnie powiązane.

Artykuł 70 (Wyznaczenie krajowych właściwych organów i pojedynczych punktów kontaktowych) identyfikuje organy nadzoru rynku, którym organy ochrony praw podstawowych muszą składać sprawozdania na podstawie Artykułu 77(2). Artykuły 74 i 75 definiują uprawnienia dochodzeniowe i naprawcze, które organy nadzoru rynku mogą następnie wykonywać po powiadomieniu.

Artykuł 13 (Przejrzystość i dostarczanie informacji podmiotom stosującym) i Artykuł 11 (Dokumentacja techniczna) są istotne, ponieważ adekwatność dokumentacji dostarczonej przez dostawcę bezpośrednio warunkuje zdolność podmiotu stosującego do odpowiadania na żądania na podstawie Artykułu 77. Artykuł 9 (System zarządzania ryzykiem) zapewnia upstreamowe ramy analityczne, które powinny informować ocenę skutków dla praw podstawowych, do której odwołuje się Artykuł 77.

W przypadku organizacji podlegających RODO Artykuł 77 należy również czytać obok Artykułów 35 i 51–59 Rozporządzenia (UE) 2016/679, które regulują oceny skutków dla ochrony danych oraz uprawnienia organów nadzorczych — kompetencje, które w znacznym stopniu pokrywają się z ramami Artykułu 77 w przypadku wdrożeń AI obejmujących przetwarzanie danych osobowych.

Harmonogram zgodności

Unijne rozporządzenie w sprawie AI weszło w życie 1 sierpnia 2024 r., dwadzieścia dni po opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Harmonogram fazowego stosowania jest następujący:

• 2 lutego 2025 r.: Zakaz stosowania praktyk AI niedopuszczalnego ryzyka (Artykuł 5) stał się stosowany.
• 2 sierpnia 2025 r.: Zasady dotyczące modeli AI ogólnego przeznaczenia (Tytuł VIII, Artykuły 51–56) i obowiązki w zakresie zarządzania (Tytuł VII) stały się stosowane.
• 2 sierpnia 2026 r.: Artykuł 77, wraz z pełnymi ramami dla systemów AI wysokiego ryzyka wymienionych w Załączniku III (w tym zastosowania w dziedzinie zatrudnienia, edukacji, podstawowych usług, egzekwowania prawa, migracji i wymiaru sprawiedliwości), staje się stosowany. Jest to główny termin zgodności dla większości podmiotów stosujących, które prawdopodobnie będą napotykać żądania na podstawie Artykułu 77 ze strony organów ochrony praw podstawowych.
• 2 sierpnia 2027 r.: Ramy Artykułu 77 — i szersze obowiązki w zakresie systemów AI wysokiego ryzyka — stają się stosowane do systemów AI regulowanych unijnym prawodawstwem harmonizacyjnym wymienionym w Załączniku I (w tym wyroby medyczne, maszyny, lotnictwo cywilne i podzespoły pojazdów silnikowych).

Podmioty stosujące systemy AI wysokiego ryzyka w dziedzinach wrażliwych pod względem praw podstawowych powinny zakończyć oceny skutków dla praw podstawowych na podstawie Artykułu 27 i zweryfikować, że ich infrastruktura rejestrowania na podstawie Artykułu 26 jest operacyjna na długo przed terminem 2 sierpnia 2026 r.