Nowe technologie w ryzach prawnych. Czy w 2025 r. zmierzymy się z przepisami na miarę RODO?

Od 2023 r. trwa istne „regulacyjne tsunami” w prawie nowych technologii. Kwestie, które były dotąd ujęte w prawie bardzo oględnie (cyberbezpieczeństwo i moderowanie treści w socialmediach) lub wręcz w ogóle (jak np. sztuczna inteligencja) stały się przedmiotem zainteresowania unijnych prawodawców. Co więcej – UE ma ambicję by „narzucić” swoje standardy w tej kwestii także podmiotom z państw pozaeuropejskich, tak jak w dużej mierze udało się to w przypadku RODO. Wraz z nowym rokiem zaczyna się też polska prezydencja w Unii – a resort cyfryzacji wskazuje, że cyberbezpieczeństwo, rozwój sztucznej inteligencji, zarządzanie internetem, a także spójne wdrażanie cyfrowych regulacji mają być priorytetami naszego kraju na ten okres.

Czytaj więcej

Administracja rządowa

Brak spójności we wdrażaniu DGA i AI Act. Jednak ministerstwo uspokaja

Resort cyfryzacji przygotowuje obecnie projekty wdrażające unijne rozwiązania dotyczące zarządzania danymi i sztucznej inteligencji. Choć regulacje dotyczą zbliżonej materii, da się zauważyć między nimi znaczące różnice – np. co do właściwego sądu odwoławczego od decyzji organu.

Większość aktów w tej kwestii weszło już w życie w mijającym roku (albo w jeszcze poprzednim, jak Akt o zarządzaniu danymi), ale do ich pełnej skuteczności potrzebna jest implementacja do prawa polskiego. Ma ona przede wszystkim powołać organy w krajowe, które będą mogły czuwać nad przestrzeganiem obowiązków z unijnych rozporządzeń i wymierzać kary za ich niedopełnienie.

– To będzie zupełną nowością. Przykładowo Prezes Urzędu Komunikacji Elektronicznej będzie odpowiadał za sprawy internetowych pośredników. W kwestii sztucznej inteligencji powstanie nowy, kolegialny organ, a z kolei UODO dostanie nowe uprawnienia w ramach Aktu o zarządzaniu danymi – tłumaczy Xawery Konarski, adwokat i partner w Traple Konarski Podrecki i Wspólnicy.

– Tak jak RODO stało się katalizatorem zmiany podejścia do ochrony danych, tak samo będzie ze wskazanymi dziedzinami. W dodatku w niektórych dziedzinach będzie więcej, niż jeden regulator. Będą oni mogli przeprowadzać kontrole i nakładać kary, niejednokrotnie wyższe, niż te w RODO. Skargę do nich będzie mógł wnieść każdy indywidualny podmiot, a taka skarga może być podstawą do dalszych roszczeń odszkodowawczych, nie tylko publicznoprawnych kar – dodaje ekspert.

Czytaj więcej

Konsumenci

Internet z nową unijną konstytucją. Kto najbardziej odczuje zmiany

Lepsza ochrona i większe prawa konsumentów – taka przede wszystkim ma być konsekwencja wejścia w życie unijnego aktu o usługach cyfrowych (Digital Services Act – DSA) powszechnie nazywanego „konstytucją internetu”.

Akt o usługach cyfrowych. Nowe obowiązki dla wielkich i małych pośredników internetowych

Digital Services Act (DSA) od 17 lutego zaczął obowiązywać wobec wszystkich pośredników internetowych (wcześniej, jeszcze w sierpniu 2023 r. – wobec tzw. bardzo dużych platform i wyszukiwarek). Wprowadza on ujednolicone zasady usuwania treści nielegalnych i szkodliwych (w tym przyznaje użytkownikom prawo do odwołania się od decyzji o takim usunięciu), a także wprowadza dodatkowe obowiązki dla operatorów platform (stworzenie wspomnianych procedur odwoławczych, czy raportowanie treści nielegalnych.

Czytaj więcej:

Biznes

Bezpieczeństwo w wirtualnej Europie, czyli nowe obowiązki wprowadzone dyrektywą NIS2

Nowe przepisy ustawy o krajowym systemie cyberbezpieczeństwa prawdopodobnie zaczną obowiązywać w 2025 r. Oznacza to, że polskie firmy powinny jak najszybciej podjąć działania dostosowawcze.

Pro

– DSA obejmie szeroki zakres podmiotów, bo nie tylko firmy technologiczne czy platformy internetowe, ale także przedsiębiorstwo które np. pozwala na swojej stronie zamieszczać komentarze, może tłumaczyć, dlaczego usunęło lub nie usunęło danej treści. Zgodność z nowymi normami na pewno będzie wyzwaniem, żeby np. nie dostać kary za sam brak odpowiedzi na skargę – wskazuje Xawery Konarski.

Jak informuje Ministerstwo Cyfryzacji, projekt ustawy o zmianie ustawy o świadczeniu usług drogą elektroniczną oraz niektórych innych ustaw (UC21), stanowiący wdrożenie aktu o usługach cyfrowych, został przyjęty przez Komitet do Spraw Europejskich 3 grudnia 2024 r. i przekazany do rozpatrzenia przez Stały Komitet Rady Ministrów. Następnie ma on być przedmiotem obrad Komisji Prawniczej i całej Rady Ministrów. Zgodnie z planem, rząd ma go przyjąć w I kwartale 2025 r.

Czytaj więcej

Konsumenci

Sejm uchwalił Prawo komunikacji elektronicznej. Zmiany dobre dla konsumentów

Ustawa, która zastąpi prawo telekomunikacyjne, stanowi implementację dyrektywy ustanawiającej Europejski Kodeks Łączności Elektronicznej. Termin na jej wdrożenie minął w grudniu 2020 r., a od wyroku TSUE z 14 marca br. Polska płaci z tego powodu karę w wysokości 50 tys. euro dziennie.

Prawo komunikacji elektronicznej i krajowy system bezpieczeństwa. Duże obciążenie dla operatorów

Drugim ważnym projektem Ministerstwa Cyfryzacji jest ustawa o Krajowym Systemie Cyberbezpieczeństwa, stanowiąca implementację dyrektywy NIS2. Tutaj, inaczej niż w przypadku rozporządzeń, bez krajowych przepisów unijne regulacje nie będą realnie działać. MC zapowiada, że także ten projekt ma zostać przyjęty przez rząd do końca następnego kwartału. Już teraz budzi on jednak wiele kontrowersji i obaw biznesu. Dotyczą one przede wszystkim kryterium uznania za tzw. dostawcę wysokiego ryzyka – jednym z nich jest kraj pochodzenia producenta danego sprzętu czy oprogramowania. W przypadku takiego uznania, podmioty zaliczone do tzw. ważnych i kluczowych (a jest to łącznie 17 branż) będą musiały wymienić software lub hardware dostarczany przez taką firmę w ciągu 7 lat. Jednak operatorzy telekomunikacyjni będą mieli na to jedynie 4 lata.

Czytaj więcej:

ABC Firmy

Cyberbezpieczeństwo. Prawniczka: nadregulacja uderzy w biznes

Rozumiem wagę kwestii cyberbezpieczeństwa. Jednak przedsiębiorstwa powinny wiedzieć, dlaczego mają przestrzegać bardziej surowych wymogów niż te, które obowiązują w pozostałych 26 krajach Unii Europejskiej. Tego polski ustawodawca nie uzasadnił – mówi Justyna Wilczyńska-Baraniak, partnerka EY Law.

Pro

– A to duży problem, bo powoduje olbrzymie koszty. Operatorzy mają obawy związane z tym, że kryteria uznania za takiego dostawcę są bardzo nieprecyzyjne. Większość sprzętu tego typu produkowana jest w Azji, a tam powiązania z rządem w mniejszym lub większym stopniu są standardem. Nie wiadomo też, czy będzie tu zachowana zasada proporcjonalności, czy przy uznaniu dostawców z jednego kraju za stwarzających „wysokie ryzyko”, dostawcy z innych, będących w podobnej sytuacji, również będą za takich uznawani? – tłumaczy Katarzyna Orzeł, radczyni prawna i partner zarządzający w kancelarii Brightspot.

– Obejmie ona wiele podmiotów, niezbyt dużych, nakładając na nie nieproporcjonalnie duże obowiązki. Spowodują one konieczność wprowadzenia dodatkowych procedur, co wymaga też poniesienia kosztów. Zwłaszcza, że sektor jeszcze nie otrząsnął się po wdrożeniu Prawa Komunikacji Elektronicznej – zaznacza mec. Orzeł.

PKE to ustawa uchwalona w lipcu, która weszła w życie 10 listopada. Co do zasady jest postrzegana jako sukces rządu, gdyż stanowi implementację unijnego Kodeksu Łączności Elektronicznej. Polska była z nią spóźniona o kilka lat, m.in. dlatego, że poprzednia ekipa rządząca próbowała dorzucić do projektu przepisy tzw. lex pilot, co wywołało bardzo silny opór całej branży i zmusiło władzę do wycofania się z projektu w ogóle. Także sektor telekomunikacyjny chwali przyjęcie PKE.

– Problem w tym, że jego wejście było odwlekane w czasie wielokrotnie, co spowodowało skrócenie vacatio legis. Zamiast pół roku, jak w przypadku wcześniejszych projektów, w ostatecznej ustawie czas na dostosowanie wynosił tylko 3 miesiące. Było to prawdziwym „sprintem” dla małych przedsiębiorców z branży – wskazuje Katarzyna Orzeł.

Czytaj więcej

Administracja państwowa

Jest terminarz prac nad przepisami o cyberbezpieczeństwie. Kiedy będzie ustawa?

Ministerstwo Cyfryzacji zapowiada, że do końca pierwszego kwartału 2025 r. zakończą się rządowe prace nad ustawą wdrażającą dyrektywę NIS2. Według deklaracji resortu ma ona podnieść poziom cyberbezpieczeństwa, ale rodzi wiele obaw u przedsiębiorców.

Akt o sztucznej inteligencji. Edukowanie personelu i analiza ryzyka stosowanych systemów AI

Jednak chyba najwięcej emocji w debacie publicznej budzi temat sztucznej inteligencji i wdrażania regulującego ją AI Aktu. To pierwsza tak kompleksowa regulacja na świecie – wiąże się z nią zatem zarówno wiele nadziei, jak i obaw. W odróżnieniu od wcześniej opisanych przepisów unijnych, AI Act nie wszedł jeszcze całkowicie w życie. Pierwsza część jego przepisów zacznie obowiązywać od 2 lutego 2025 r., kolejna – od 2 sierpnia, a następne dopiero w 2026 r.

Równolegle toczą się prace nad polską ustawą implementującą rozporządzenie o sztuczniej inteligencji. Choć nasz kraj chce tu świecić przykładem i wykorzystać prezydencję do promowania dobrych standardów regulacyjnych w tym względzie, a także koordynacji wydatków na rozwój AI, projekt może być przekazany do prac parlamentarnych dopiero na przełomie I i II kwartału przyszłego roku.

– Będzie to rok przygotowywania się do stosowania przepisów rozporządzenia o sztucznej inteligencji. Pamiętajmy, że akt ws. sztucznej inteligencji nie dotyczy wszystkich firm używających tej technologii, a tylko systemów najistotniejszych dla naszej prywatności, bezpieczeństwa czy zdrowia. Z drugiej strony odnosi się nie tylko do dostawców systemów, ale też tych którzy je wdrażają – mówi Xawery Konarski. – Dlatego w przyszłym roku będzie czas na dokonanie weryfikacji, czy w organizacji nie mamy np. systemów wysokiego ryzyka – dodaje.

Za takie uważa się np. narzędzia służące do rekrutacji czy obserwowania pracowników w miejscu pracy. Definicja zawarta w AI Akcie jest jednak dość szeroka i wciąż trwają dyskusje, czy należy objąć nią np. reklamy analizujące i wykorzystujące emocje. Ta kwestia z pewnością będzie przedmiotem licznych interpretacji Komisji Europejskiej w nadchodzącym roku.

Doktor Maria Dymitruk, radczyni prawna z firmy doradczej Olesiński i Wspólnicy wskazuje zaś, że w pierwszej kolejności należy przygotować się na przepisy o praktykach zakazanych AI (np. rozpoznawanie twarzy w czasie rzeczywistym czy też tzw. scoring społeczny, uzależniający uprawnienia jednostki od jej oceny dokonanej przez sztuczną inteligencję) oraz obowiązek tzw. AI Literacy – czyli wyposażenia pracowników podmiotów stosującym i dostawcom systemów AI w odpowiednie kompetencje w zakresie sztucznej inteligencji. Oba wejdą w życie już w lutym 2025 r.

– To swojego rodzaju parasol nad wszystkimi innymi obowiązkami z AI Aktu, których bez odpowiednich kompetencji po stronie podmiotu zobowiązanego nie da się wypełnić – tłumaczy Maria Dymitruk. – Jeśli nasz personel pewnych rzeczy nie wie, nie rozumie lub nie umie zrobić, to niemożliwe będzie poprawne wdrożenie obowiązków z AI Aktu. Dlatego też ten obowiązek wchodzi odpowiednio wcześniej – podkreśla.

Czytaj więcej

Prawo dla Ciebie

AI Act wchodzi w życie, ale nie cały od razu

Choć akt o sztucznej inteligencji oficjalnie obowiązuje, rozpoczęcie stosowania poszczególnych przepisów będzie odroczone. Kto i na co musi się przygotować?

Nie warto czekać z wdrażaniem rozporządzenia o sztucznej o inteligencji. Lepiej zacząć już teraz

I choć przepisy o karach za niedopełnienie powyższych obowiązków zaczną obowiązywać dopiero od 2 sierpnia (a przed tym dniem zapewne uchwalona zostanie polska ustawa implementująca, powołująca odpowiedni organ nadzorczy), to nie warto czekać ze szkoleniami do ostatniej chwili.

– Firma, która chce tworzyć lub korzystać ze sztucznej inteligencji, najpierw powinna ją wewnętrznie „zmapować” – sprawdzić, jak i gdzie ją wykorzystuje, kto ma z nią do czynienia itd. Nawet na potrzeby tego etapu potrzebna jest pewna wiedza po stronie pracowników, choćby w kwestii tego, jak AI Akt definiuje pojęcie systemu sztucznej inteligencji. Bo jak pracownik ma wskazać, że w danym zadaniu wykorzystywana jest AI, gdy nie wie, co się mieści w tej definicji? – pyta retorycznie Maria Dymitruk.

Ekspertka zwraca też uwagę, że niektóre firmy też przyjmują podejście dwustopniowe – najpierw szkolą całą załogę na ogólnym poziomie, a potem szykują już dedykowane szkolenia nakierowane na konkretne zadania, funkcje czy sposoby interakcji z AI. Często kto inny musi się uczyć o jakości danych, a kto inny – o obowiązku nadzoru człowieka.

Czytaj więcej

Opinie Prawne

Maciej Gawroński: Za 30 mln zł rocznie Komisja będzie nakładać makijaż sztucznej inteligencji

Na łamach Rzeczpospolitej 6 listopada nawoływałem, aby kompetencje nadzoru sztucznej inteligencji (SI) oddać Prezesowi Urzędu Ochrony Danych Osobowych (PUODO). 20 listopada ukazał się tekst polemiczny, autorstwa mecenasa Przemysława Sotowskiego, w którym Pan Mecenas powołuje kilkanaście tez na granicy dezinformacji, bez uzasadnienia, oprócz „oczywistej oczywistości”. Tak jakby autor był bardziej politykiem niż prawnikiem. Niech mottem mojej repliki będzie to, co 12 sierpnia 1986 roku powiedział Ronald Reagan “Dziewięć najbardziej przerażających słów w języku angielskim to „Jestem z rządu i jestem tu, aby pomóc”

– Wspomniane „zmapowanie” będzie trochę trwało, zwłaszcza w większych organizacjach. Sam proces dokształcania też wymaga czasu. Dlatego nie tylko nie można czekać, ale wręcz już teraz jest ostatni dzwonek, by zacząć te procesy. Wiadomo, że dobrze unikać wdrażania nowych obowiązków na szybko i byle jak, bo kary za ich niedopełnienie będą wysokie. Działania muszą być odpowiednie do skali ryzyka – podkreśla Maria Dymitruk.