Słowniczek EU AI Act: Kluczowe Definicje i Terminy Wyjaśnione

Oficjalne definicje z EU AI Act (Art. 3) i powszechnie używane terminy w regulacji AI UE. Zrozumienie, co Rozporządzenie rozumie przez 'system AI', 'dostawca', 'wysokiego ryzyka', 'istotna modyfikacja' i 'model GPAI' jest niezbędne do zachowania zgodności. Ten słowniczek obejmuje wszystkie podstawowe terminy z wyjaśnieniami w przystępnym języku.

Definicje Podstawowe (Art. 3)

EU AI Act zawiera 65 zdefiniowanych terminów w Art. 3. Najważniejsze dla celów zgodności są podsumowane poniżej.

System AI (Art. 3 ust. 1)

System maszynowy, który:

• Działa z różnym stopniem autonomii
• Może wykazywać zdolność adaptacji po wdrożeniu
• Wnioskuje z danych wejściowych sposób generowania wyników (prognozy, treści, rekomendacje, decyzje) mogących wpływać na środowiska fizyczne lub wirtualne

Kluczowa implikacja: Definicja jest neutralna technologicznie. Nie wymaga głębokiego uczenia ani sieci neuronowych — system oparty na regułach z komponentami adaptacyjnymi może się kwalifikować. I odwrotnie, prosty system logiki if-then bez zdolności uczenia się prawdopodobnie nie kwalifikuje się.

Dostawca (Art. 3 ust. 3)

Każda osoba fizyczna lub prawna, organ publiczny, agencja lub podmiot, który opracowuje system AI lub zleca opracowanie systemu AI i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym — niezależnie od tego, czy za opłatą czy bezpłatnie.

Kluczowa implikacja: Odpowiedzialność za opracowanie + wprowadzenie do obrotu = status dostawcy. Firma, która zleca niestandardowe opracowanie AI zewnętrznemu deweloperowi, jest dostawcą, jeżeli system jest wprowadzany do obrotu pod marką firmy.

Podmiot Wdrażający (Art. 3 ust. 4)

Każda osoba fizyczna lub prawna, organ publiczny, agencja lub podmiot, który używa systemu AI pod swoją odpowiedzialnością w celach zawodowych — z wyjątkiem sytuacji, gdy użycie odbywa się w ramach osobistej działalności niezawodowej.

Kluczowa implikacja: Zdecydowana większość firm używających AI zakupionego od stron trzecich to podmioty wdrażające. Obowiązki podmiotu wdrażającego są mniej uciążliwe niż obowiązki dostawcy, ale nadal są znaczące dla systemów wysokiego ryzyka.

Upoważniony Przedstawiciel (Art. 3 ust. 5)

Każda osoba fizyczna lub prawna z siedzibą w Unii, która otrzymała pisemne pełnomocnictwo od dostawcy systemu AI z siedzibą poza Unią do wykonywania obowiązków w imieniu tego dostawcy.

Kluczowa implikacja: Dostawcy spoza UE systemów AI wprowadzanych na rynek UE muszą wyznaczyć upoważnionego przedstawiciela z siedzibą w UE. Przedstawiciel ten może być pociągnięty do odpowiedzialności prawnej za obowiązki dostawcy wynikające z EU AI Act.

Importer (Art. 3 ust. 6)

Każda osoba fizyczna lub prawna z siedzibą w Unii, która wprowadza do obrotu w UE system AI noszący nazwę lub znak towarowy osoby fizycznej lub prawnej z siedzibą poza Unią.

Dystrybutor (Art. 3 ust. 7)

Każda osoba fizyczna lub prawna w łańcuchu dostaw, inna niż dostawca lub importer, która udostępnia system AI na rynku Unii bez jego modyfikowania.

Operator (Art. 3 ust. 8)

Termin zbiorczy obejmujący dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów, podmioty wdrażające i każdą inną osobę podlegającą obowiązkom na podstawie Rozporządzenia.

Zamierzone Przeznaczenie (Art. 3 ust. 12)

Zastosowanie, do którego system AI jest przeznaczony przez dostawcę, w tym specyficzny kontekst i warunki użycia określone w informacjach dostarczonych przez dostawcę w instrukcjach użytkowania, materiałach promocyjnych lub sprzedażowych lub oświadczeniach.

Kluczowa implikacja: Zamierzone przeznaczenie determinuje, która kategoria ryzyka ma zastosowanie i które wymagania muszą być spełnione. System przeznaczony do scoringu kredytowego jest wysokiego ryzyka (Annex III); ten sam bazowy model przeznaczony do filtrowania spamu może nie być. Dostawcy nie mogą uniknąć klasyfikacji wysokiego ryzyka, pozostawiając zamierzone przeznaczenie niejasne — Rozporządzenie patrzy na wszystkie informacje o projekcie i marketingu systemu.

Rozsądnie Przewidywalne Nadużycie (Art. 3 ust. 13)

Używanie systemu AI w sposób niezgodny z jego zamierzonym przeznaczeniem, ale które może wynikać z rozsądnie przewidywalnego zachowania człowieka lub interakcji z innymi systemami.

Kluczowa implikacja: Dostawcy muszą oceniać i adresować przewidywalne nadużycie w swoich systemach zarządzania ryzykiem — nie tylko zamierzony przypadek użycia. System rozpoznawania twarzy przeznaczony do kontroli dostępu musi adresować przewidywalne ryzyko, że mógłby być używany do nadzoru w czasie rzeczywistym.

Składnik Bezpieczeństwa (Art. 3 ust. 14)

Komponent produktu lub systemu AI, który pełni funkcję bezpieczeństwa dla tego produktu lub systemu AI lub którego awaria lub nieprawidłowe działanie zagraża zdrowiu i bezpieczeństwu osób lub mienia.

Kluczowa implikacja: Systemy AI będące składnikami bezpieczeństwa produktów objętych prawodawstwem sektorowym Annex I podlegają automatycznie wymogom wysokiego ryzyka, niezależnie od tego, czy sam AI stanowi bezpośrednie ryzyko.

Wprowadzenie do Obrotu (Art. 3 ust. 9)

Pierwsze udostępnienie systemu AI lub modelu AI ogólnego przeznaczenia na rynku Unii.

Oddanie do Użytku (Art. 3 ust. 11)

Dostarczenie systemu AI do pierwszego użycia bezpośrednio podmiotowi wdrażającemu lub do własnego użytku na rynku Unii dla jego zamierzonego przeznaczenia.

Kluczowa implikacja: Zarówno „wprowadzenie do obrotu" (sprzedaż innym) jak i „oddanie do użytku" (używanie samemu) uruchamiają obowiązki dostawcy. Przedsiębiorstwo, które buduje system AI do użytku wewnętrznego, oddaje go do użytku i jest dostawcą podlegającym wszystkim obowiązkom.

System AI Wysokiego Ryzyka

Nie zdefiniowany w jednym zdaniu — klasyfikowany przez odniesienie do Annex I (składniki bezpieczeństwa w regulowanych produktach) i Annex III (samodzielne przypadki użycia wysokiego ryzyka). Poziom ryzyka zależy od zamierzonego przeznaczenia i kontekstu wdrożenia, a nie od bazowej technologii.

Kategorie Annex III wysokiego ryzyka:

1. Identyfikacja i kategoryzacja biometryczna
2. Zarządzanie infrastrukturą krytyczną
3. Edukacja i szkolenie zawodowe
4. Zatrudnienie, zarządzanie pracownikami, dostęp do samozatrudnienia
5. Dostęp do niezbędnych usług prywatnych i publicznych oraz świadczeń
6. Egzekwowanie prawa
7. Migracja, azyl, zarządzanie kontrolą graniczną
8. Wymiar sprawiedliwości i procesy demokratyczne

Model AI Ogólnego Przeznaczenia (GPAI) (Art. 3 ust. 63)

Model AI, w tym wytrenowany na dużych ilościach danych przy użyciu samouczenia się w dużej skali, który wykazuje znaczącą ogólność i jest zdolny do kompetentnego wykonywania szerokiego zakresu różnych zadań niezależnie od sposobu wprowadzenia modelu do obrotu — który może być używany w różnych zastosowaniach niższego szczebla.

Kluczowe rozróżnienie od systemu AI: Model GPAI nie jest jeszcze systemem AI. Staje się częścią systemu AI, gdy jest zintegrowany w produkt lub aplikację. Rozporządzenie nakłada obowiązki na dostawców modeli GPAI oddzielnie od (i dodatkowo do) obowiązków nałożonych na dostawców systemów AI zbudowanych przy użyciu modeli GPAI.

Model GPAI z Ryzykiem Systemowym (Art. 3 ust. 65)

Model GPAI wyznaczony jako posiadający ryzyko systemowe, ponieważ ma możliwości wysokiego wpływu ocenione zgodnie z odpowiednimi narzędziami i metodologiami technicznymi lub ze względu na jego faktyczny lub rozsądnie przewidywalny zasięg wysokiego wpływu.

Aktualnym wskaźnikiem jest skumulowana moc obliczeniowa trenowania przekraczająca 10^25 FLOPs. Dodatkowe kryteria mogą być stosowane przez akt delegowany Komisji.

Poważny Incydent (Art. 3 ust. 49)

Każdy incydent lub awaria systemu AI bezpośrednio lub pośrednio prowadząca do:

• Śmierci osoby lub poważnej szkody dla zdrowia osoby
• Poważnego i nieodwracalnego zakłócenia zarządzania i eksploatacji infrastruktury krytycznej
• Naruszenia obowiązków wynikających z prawa unijnego mających na celu ochronę praw podstawowych
• Poważnego uszkodzenia mienia lub środowiska

Istotna Modyfikacja (Art. 3 ust. 23)

Zmiana systemu AI po wprowadzeniu do obrotu lub oddaniu do użytku, która nie jest przewidziana ani zaplanowana w pierwotnej ocenie zgodności i która wpływa na zgodność systemu AI z wymogami Rozporządzenia lub skutkuje zmianą zamierzonego przeznaczenia.

Ocena Zgodności (Art. 3 ust. 20)

Proces weryfikacji, czy system AI wysokiego ryzyka spełnia wymagania określone w rozdziale III, sekcja 2 Rozporządzenia. Oceny zgodności mogą być przeprowadzane przez dostawcę (samoocena) lub przez jednostkę notyfikowaną (ocena przez stronę trzecią), w zależności od rodzaju systemu.

Jednostka Notyfikowana (Art. 3 ust. 22)

Organ oceny zgodności wyznaczony przez państwo członkowskie do przeprowadzania ocen zgodności przez stronę trzecią dla systemów AI wysokiego ryzyka. Jednostki notyfikowane to odpowiednik EU AI Act dla organów oznakowania CE stosowanych w tradycyjnych regulacjach produktowych.

Organ Nadzoru Rynku (Art. 3 ust. 26)

Krajowy organ odpowiedzialny za prowadzenie nadzoru rynku na podstawie EU AI Act. Państwa członkowskie muszą wyznaczyć co najmniej jeden organ nadzoru rynku na państwo członkowskie.

Oznakowanie CE (Art. 3 ust. 30)

Oznakowanie, przez które dostawca wskazuje, że system AI wysokiego ryzyka jest zgodny z wymogami EU AI Act i innym mającym zastosowanie prawodawstwem unijnym przewidującym jego afiszowanie.

Terminy Specyficzne dla Sektora

Dane Biometryczne (importowane z RODO)

Dane osobowe wynikające z określonego przetwarzania technicznego odnoszącego się do cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej, które pozwalają na potwierdzenie lub umożliwiają jednoznaczną identyfikację tej osoby fizycznej.

Zdalny System Identyfikacji Biometrycznej (Art. 3 ust. 40)

System AI przeznaczony do identyfikacji osób fizycznych na odległość poprzez porównanie danych biometrycznych osoby z danymi biometrycznymi zawartymi w referencyjnej bazie danych, bez uprzedniej wiedzy użytkownika systemu AI, czy dana osoba będzie obecna i może zostać zidentyfikowana.

Kluczowa implikacja: Zdalna identyfikacja biometryczna w czasie rzeczywistym w miejscach publicznie dostępnych jest zakazana dla celów egzekwowania prawa z wąskimi wyjątkami (Art. 5).

Model Bazowy

Nie zdefiniowany w EU AI Act — Rozporządzenie używa zamiast tego „modelu GPAI". Model bazowy to powszechnie używany termin branżowy dla modeli pretrenowanych na dużą skalę. Do celów regulacyjnych używaj „modelu GPAI".

Dostrajanie

Nie zdefiniowane w Rozporządzeniu. Adaptacja modelu GPAI do konkretnej dziedziny lub zadania poprzez dodatkowe trenowanie. Jeżeli dostrajanie skutkuje istotnie innym modelem wprowadzanym do obrotu, podmiot dostrajający może stać się dostawcą tego nowego modelu.

Terminy Proceduralne

Dokumentacja Techniczna (Annex IV)

Ustrukturyzowany pakiet dokumentacji, który dostawcy systemów AI wysokiego ryzyka muszą przygotować przed wprowadzeniem do obrotu i prowadzić przez cały cykl życia systemu. Obejmuje opis systemu, logikę projektową, informacje o danych do trenowania, wyniki testowania, dokumentację zarządzania ryzykiem i plan nadzoru posprzedażowego.

Deklaracja Zgodności UE (Art. 3 ust. 37)

Formalny dokument podpisany przez dostawcę stwierdzający, że system AI wysokiego ryzyka spełnia wszystkie mające zastosowanie wymogi Rozporządzenia. Jest podstawą prawną do afiszowania oznakowania CE.

Instrukcje Użytkowania (Art. 3 ust. 15)

Informacje dostarczane przez dostawcę w celu poinformowania podmiotu wdrażającego o zamierzonym przeznaczeniu systemu AI, wydajności, specyfikacjach technicznych i warunkach użycia — w tym wszelkich ograniczeniach i przewidywalnych ryzykach.

Plan Nadzoru Posprzedażowego (Art. 3 ust. 32)

Udokumentowany plan ustanowiony przez dostawcę do zbierania i przeglądania doświadczeń zdobytych podczas eksploatacji systemu AI wysokiego ryzyka po jego wprowadzeniu do obrotu lub oddaniu do użytku.

Ocena Wpływu na Prawa Podstawowe (Art. 27)

Ocena, którą podmioty wdrażające z sektora publicznego (i niektóre prywatne podmioty wdrażające) muszą przeprowadzić przed wdrożeniem systemu AI wysokiego ryzyka, oceniając wpływ na prawa podstawowe dotkniętych osób.