Artykuł 87 — Ochrona sygnalistów (Ustawa o AI UE)

Artykuł 87 Rozporządzenia (UE) 2024/1689 — Ochrona sygnalistów. Tekst oficjalny, interpretacja praktyczna, kluczowe obowiązki i implikacje dla zgodności.

Podsumowanie tekstu oficjalnego

Artykuł 87 Rozporządzenia (UE) 2024/1689 (Ustawa o AI UE) ustanawia ramy ochrony sygnalistów mające zastosowanie do osób zgłaszających naruszenia Rozporządzenia właściwym organom krajowym lub odpowiednim instytucjom, organom, urzędom lub agencjom Unii. Artykuł ten działa przez odesłanie do Dyrektywy (UE) 2019/1937 w sprawie ochrony osób zgłaszających naruszenia prawa Unii, rozszerzając zabezpieczenia tej dyrektywy wyraźnie na dziedzinę Ustawy o AI.

Na podstawie Artykułu 87 państwa członkowskie muszą zapewnić, że osoby dokonujące zgłoszeń — zdefiniowane szeroko jako pracownicy, wykonawcy, stażyści, wolontariusze i byli pracownicy, którzy uzyskali istotne informacje w kontekście związanym z pracą — są chronione przed odwetem, dyskryminacją i niekorzystnym traktowaniem w następstwie dokonania zgłoszenia w dobrej wierze. Dostawcy, podmioty stosujące i inni operatorzy podlegający Ustawie o AI są zatem zobowiązani do powstrzymania się od podejmowania działań odwetowych wobec osób, które zgłaszają obawy dotyczące potencjalnej niezgodności.

Artykuł ten ponadto wymaga, aby właściwe organy otrzymujące zgłoszenia rozpatrywały je zgodnie z gwarancjami proceduralnymi ustanowionymi w Dyrektywie 2019/1937, w tym obowiązkami dotyczącymi poufności tożsamości osoby zgłaszającej, potwierdzenia odbioru i terminowego działania następczego. W przypadku gdy instytucje na poziomie Unii otrzymują zgłoszenia, stosuje się analogiczną ochronę wynikającą z regulaminów pracowniczych Unii i obowiązującego prawa Unii. Artykuł 87 integruje tym samym egzekwowanie Ustawy o AI w szerszą architekturę prawa sygnalistów Unii, zamiast tworzyć równoległy, sektorowo specyficzny reżim.

Co to oznacza w praktyce

Artykuł 87 ma bezpośrednie konsekwencje operacyjne dla każdej organizacji objętej zakresem Ustawy o AI UE — przede wszystkim dostawców wprowadzających systemy AI na rynek Unii, podmiotów stosujących wysokiego ryzyka systemy AI oraz operatorów modeli AI ogólnego przeznaczenia.

Dla organizacji praktyczny obowiązek polega na zapewnieniu, że wewnętrzne polityki, umowy o pracę, kodeksy postępowania i umowy z dostawcami nie zawierają klauzul, które mogłyby zniechęcać, karać lub umownie uniemożliwiać osobom fizycznym zgłaszanie naruszeń Ustawy o AI zewnętrznym organom. Umowy o zachowaniu poufności i klauzule poufności muszą zostać poddane przeglądowi w celu potwierdzenia, że nie mają na celu ograniczania zgodnej z prawem działalności sygnalistów. Jeżeli organizacja posiada już wewnętrzny kanał zgłaszania nakazany na podstawie Dyrektywy 2019/1937, należy potwierdzić, że kanał ten obejmuje obawy związane z Ustawą o AI, a wyznaczeni właściciele ds. zgodności powinni zostać przeszkoleni w zakresie obsługi takich zgłoszeń.

Dla zespołów HR i prawnych oznacza to aktualizację procedur skargowych, dyscyplinarnych i zwolnieniowych w celu udokumentowania, że jakiekolwiek działanie niekorzystne podjęte wobec pracownika, który dokonał zgłoszenia związanego z AI, jest całkowicie niezwiązane z tym zgłoszeniem — i możliwość wykazania tego w każdym późniejszym postępowaniu regulacyjnym lub sądowym.

Dla właściwych organów krajowych Artykuł 87 nakłada proceduralny obowiązek rozpatrywania zgłoszeń związanych z AI z zachowaniem tych samych zabezpieczeń poufności i terminów potwierdzenia odbioru co inne zgłoszenia sygnalistów otrzymane w ramach krajowego wdrożenia Dyrektywy 2019/1937.

Konkretny przykład: pracownik firmy stosującej wysokiego ryzyka system AI w rekrutacji zauważa, że wyniki systemu wydają się dyskryminować ze względu na płeć w naruszeniu wymogów Ustawy. Ten pracownik zgłasza problem krajowemu organowi nadzoru rynku. Artykuł 87 zapewnia, że nie może on zgodnie z prawem zostać zwolniony, zdegradowany ani narażony na wrogie środowisko pracy w wyniku tego zgłoszenia.

Kluczowe obowiązki

• Państwa członkowskie muszą rozszerzyć ochronę sygnalistów wynikającą z Dyrektywy (UE) 2019/1937 na osoby zgłaszające naruszenia Ustawy o AI UE, zapewniając brak luki między ogólnym prawem sygnalistów a egzekwowaniem specyficznym dla AI.
• Organizacje podlegające Ustawie o AI nie mogą stosować odwetu wobec pracowników, wykonawców lub innych osób związanych z pracą, które w dobrej wierze zgłaszają podejrzewane naruszenia właściwym organom lub organom Unii.
• Wewnętrzne kanały zgłaszania wymagane na podstawie Dyrektywy 2019/1937 (mające zastosowanie do organizacji zatrudniających 50 lub więcej pracowników) muszą być rozumiane jako obejmujące naruszenia Ustawy o AI, a wyznaczone osoby odpowiedzialne muszą być wyposażone w narzędzia do oceny takich zgłoszeń.
• Właściwe organy otrzymujące zgłoszenia są zobowiązane do zachowania poufności tożsamości osoby zgłaszającej przez cały proces dochodzeniowy, ujawniając ją jedynie gdy jest to wymagane prawem i z uprzednim powiadomieniem zgłaszającego, gdy jest to możliwe.
• Klauzule umowne — w tym umowy o zachowaniu poufności, ugody i umowy o pracę — mające na celu ograniczenie lub ukaranie zewnętrznego zgłaszania naruszeń Ustawy o AI są niewykonalne w zakresie, w jakim kolidują z ochroną wynikającą z Artykułu 87.
• Osoby zgłaszające działające w dobrej wierze zachowują pełną ochronę nawet jeśli zgłoszone naruszenie ostatecznie nie zostanie potwierdzone, pod warunkiem że zgłoszenie nie zostało dokonane z wiedzą o jego fałszywości.

Związek z innymi artykułami

Artykuł 87 jest zawarty w Tytule IX (Monitorowanie posprzedażne, wymiana informacji i nadzór rynku) i działa jako proceduralny czynnik umożliwiający mechanizmy egzekwowania ustanowione w tym tytule i w innych miejscach Rozporządzenia.

Łączy się bezpośrednio z Artykułem 74 (nadzór rynku i kontrola), Artykułem 75 (zgodność systemów AI) oraz Artykułami 78–84 (obowiązki jednostek notyfikowanych i krajowych właściwych organów), ponieważ zgłoszenia sygnalistów mogą inicjować lub uzupełniać dochodzenia, do których te przepisy upoważniają. Wspiera również Artykuł 87 (zgłaszanie poważnych incydentów), tworząc uzupełniający kanał, za pośrednictwem którego pracownicy obserwujący incydenty lub zdarzenia prawie wypadkowe mogą eskalować obawy bez obawy przed odwetem.

W szerszym kontekście Artykuł 87 należy czytać razem z Artykułem 4 (umiejętność korzystania z AI) i Artykułem 9 (systemy zarządzania ryzykiem dla AI wysokiego ryzyka), ponieważ organizacja promująca prawdziwą wewnętrzną przejrzystość i kompetencje w zakresie AI jest lepiej przygotowana zarówno do wykrywania zgłaszalnych problemów, jak i do wykazania, że każda niekorzystna decyzja HR jest całkowicie niezależna od chronionego ujawnienia. Wchodzi również w interakcję z Motywem 179 Rozporządzenia, który potwierdza zobowiązanie Unii do zapewnienia, że egzekwowanie Ustawy nie jest podważane przez efekt odstraszający od legalnego zgłaszania.

Harmonogram zgodności

Ustawa o AI UE weszła w życie 1 sierpnia 2024 r., dwadzieścia dni po opublikowaniu w Dzienniku Urzędowym. Artykuł 87, jako część głównej treści Rozporządzenia, staje się w pełni stosowany 2 sierpnia 2026 r. — ogólna data stosowania dla większości przepisów, w tym tych regulujących systemy AI wysokiego ryzyka na podstawie Załącznika III (Artykuł 113(2)).

W przeciwieństwie do zakazów praktyk AI z niedopuszczalnym ryzykiem, które stały się stosowane 2 lutego 2025 r., lub obowiązków specyficznych dla modeli AI ogólnego przeznaczenia, które obowiązywały od 2 sierpnia 2025 r., Artykuł 87 nie należy do kategorii o przyspieszonym stosowaniu. Jego stosowanie jest zgodne z ogólnym dwuletnim okresem wdrożenia.

Jednakże organizacje, które już podlegają Dyrektywie (UE) 2019/1937 — którą państwa członkowskie były zobowiązane transponować do 17 grudnia 2021 r. — powinny już mieć wdrożone zgodne kanały zgłaszania. Praktyczne zadanie w zakresie zgodności przed sierpniem 2026 r. polega zatem na audycie i rozszerzeniu istniejących kanałów w celu potwierdzenia, że wyraźnie obejmują naruszenia Ustawy o AI, przeszkoleniu odpowiedzialnych osób i odpowiednim przeglądzie dokumentacji umownej. Organizacje stosujące systemy AI wysokiego ryzyka objęte przepisami przejściowymi z grudnia 2026 r. lub sierpnia 2027 r. dla określonych systemów z Załącznika I powinny dostosować gotowość w zakresie ochrony sygnalistów do obowiązującej daty dla swojej konkretnej kategorii systemu.