Akt w sprawie AI w kontekście RODO: 10 kluczowych informacji

Ochrona danych osobowych jest jednym z dwóch, oprócz prawa autorskiego, obszarów wywołujących największe kontrowersje prawne, jeśli chodzi o stosowanie sztucznej inteligencji.

Obowiązywanie AI Act zwiększy ochronę na podstawie RODO

Uchwalenie „AI Act” poszerzy ochronę interesów podmiotów danych, ponieważ w tym akcie prawnym zawarte są instrumenty prawne, które wzmacniają realizację praw, określonych w RODO. Przykładem jest wymóg transparentności (art. 52 projektu). Innym przykładem jest obowiązek zapewnienia skutecznego nadzoru systemów sztucznej inteligencji przez człowieka (art. 14 projektu).

Przepisy RODO zwiększają ochronę wyznaczoną przepisami „AI Act”

Z uwagi na fakt, że filozofią RODO jest koncentracja na ochronie interesów podmiotów danych (zob. pkt 5 powyżej), przepisy tego aktu prawnego poszerzają – w stosunku do „AI Act” – możliwości ochrony osób, których dane osobowe są wykorzystywane przez sztuczną inteligencję. Przykładem są regulacje dotyczące prawa podmiotów danych (art. 15 RODO), czy możliwość dochodzenia odszkodowań cywilnoprawnych (art. 82 RODO), np. w sytuacjach naruszenia poprzez użycie systemu sztucznej inteligencji zasad określonych w art. 22 RODO (automatyczne decyzje).

Zarówno RODO, jak „AI Act” regulują certyfikacje jako mechanizm compliance

W art. 42 RODO przewidziano możliwość certyfikacji w zakresie ochrony danych osobowych. Certyfikację przewidziano również w „AI Act” (m.in. art. 44 projektu). Z uwagi na okoliczność, że często te same podmioty będą dokonywały certyfikacji na podstawie obydwóch tych aktów prawnych, pożądane byłoby, aby jej przeprowadzenie odbywało się na podstawie tych samych standardów.

Regulatorem na podstawie RODO i „AI Act” może być ten sam podmiot

Zgodnie z art. 59 projektu, w każdym państwie członkowskim UE powinien zostać ustanowiony niezależny organ ds. ochrony danych osobowych. Może to być nowo utworzony organ względnie poszerzeniu mogą ulec kompetencje dotychczasowych organów. Wydaje się, że najlepszym rozwiązaniem jest poszerzenie kompetencji Urzędu Ochrony Danych Osobowych (za taką koncepcją opowiedział się też Europejski Rzecznik Ochrony Danych Osobowych we wspólnym stanowisku wydanym z Europejską Radą Ochrony Danych nr 5/2021, z dnia 18 czerwca 2021 r.).

10.

Sankcje na podstawie przepisów RODO i „AI Act”

Sankcje administracyjne, w tym kary pieniężne, są określone w art. 83 i 84 RODO. Zbliżone do nich konstrukcyjnie są sankcje określone w projekcie „AI Act”. Z uwagi na wskazany powyżej punkt 2, overlapping regulacyjny niesie ryzyko „podwójnego” nałożenia kar na administratora oraz dostawcę/użytkownika systemu sztucznej inteligencji, w wyniku jednego zdarzenia (np. wykorzystania systemu SI niezgodnie z warunkami określonymi w art. 22 RODO).