Kolejne przepisy związane ze sztuczną inteligencją sprawiają, że firmy coraz baczniej przyglądają się temu, w jaki sposób ich pracownicy korzystają z AI. Od 2 sierpnia w Unii Europejskiej zaczęły obowiązywać przepisy AI Act dotyczące przejrzystości systemów sztucznej inteligencji. W odpowiedzi na te regulacje część firm postanowiła się zabezpieczyć. Pracownikom podsuwane są więc oświadczenia i wewnętrzne zasady dotyczące korzystania ze sztucznej inteligencji.
Zwykle pojawiają się w nich podobne zalecenia: nie wklejać danych poufnych do publicznych narzędzi, sprawdzać informacje wygenerowane przez AI, ostrożnie korzystać z efektów pracy algorytmów i odpowiednio oznaczać stworzone przy ich pomocy treści. Problem polega na tym, że w wielu przypadkach na samym dokumencie kończą się realne działania firmy.
Pracownicy nadal mogą korzystać z ogólnodostępnych narzędzi AI, nierzadko na prywatnych kontach, nad którymi pracodawca nie ma faktycznej kontroli. Firma ma więc podpisane oświadczenie, ale nie zawsze zapewnia narzędzia ani procedury, które pozwalają pracownikowi rzeczywiście wykonywać pracę zgodnie z narzuconymi zasadami. Pojawia się pytanie, ile takie „zabezpieczenie” jest warte i czy odpowiedzialność za ryzyko związane z AI można w ten sposób przerzucić na zatrudnionego.
– Podpisane przez pracownika oświadczenie nie przenosi na niego odpowiedzialności pracodawcy za zgodne z prawem i bezpieczne zorganizowanie korzystania z AI. Może ono być elementem wewnętrznej polityki i dowodem, że pracownik otrzymał jasne instrukcje – zauważa w rozmowie z „Wprost” adwokat Radosław Rogalski, partner w Kancelarii Czupajło Ciskowski & Partnerzy.
Tłumaczy, że to zdecydowanie za mało.
– Jeżeli jednak firma poprzestaje na zakazach, a zarazem oczekuje lub toleruje używanie AI na prywatnych kontach w publicznych usługach, powstaje istotna luka organizacyjna – stwierdza mec. Radosław Rogalski.
AI Act nie wymaga modelu dla każdego. Wymaga jednak czegoś więcej niż regulaminu
Nowe unijne przepisy nie oznaczają, że każda firma musi od razu kupić własny model sztucznej inteligencji lub kosztowną, dedykowaną platformę.
– AI Act nie nakazuje każdej firmie kupowania dedykowanego modelu. Wymaga jednak od dostawców i podmiotów stosujących AI podejmowania działań wspierających kompetencje personelu, odpowiednich do narzędzia, sposobu użycia i ryzyka – tłumaczy prawnik.
Podkreśla, że sama prośba o podpisanie formularza lub przeczytanie instrukcji może więc nie wystarczyć.
To oznacza, że firmy powinny najpierw odpowiedzieć sobie na kilka podstawowych pytań: czy pracownicy korzystają z AI, do czego jej używają, jakie informacje wprowadzają do systemów i które narzędzia są w organizacji dopuszczone. Dopiero później można skutecznie budować zasady.
– Dochodzą do tego obowiązki z RODO, takie jak ocena ryzyka, minimalizacja danych, odpowiednie zabezpieczenia oraz rozliczalność administratora. Tych obowiązków nie da się „oddelegować” pracownikowi jednym podpisem – wskazuje mec. Rogalski.
Gdzie kończy się odpowiedzialność firmy, a zaczyna pracownika?
Nie oznacza to oczywiście, że pracownik korzystający z AI nie ponosi żadnej odpowiedzialności.
– Pracownik może ponieść konsekwencje za zawinione naruszenie jasnego, zgodnego z prawem polecenia, np. świadome wklejenie tajemnicy przedsiębiorstwa do zakazanego narzędzia – tłumaczy mec. Rogalski.
Granica jest jednak wyraźna: pracownik nie powinien zostać pozostawiony sam z problemem, który firma rozwiązała jedynie za pomocą podpisanego dokumentu. Jeśli organizacja chce wykorzystywać AI, musi stworzyć warunki, w których bezpieczne zasady będzie można rzeczywiście stosować.
– Jeżeli jednak AI ma być używane w pracy, pracodawca powinien najpierw wskazać, które narzędzia i zastosowania są dozwolone, przeszkolić ludzi, zapewnić realny sposób wykonywania pracy zgodnie z zasadami oraz reagować na naruszenia. Inaczej oświadczenie staje się przede wszystkim papierowym alibi, a nie skutecznym systemem zarządzania ryzykiem – podkreśla mec. Rogalski.
Właśnie tu może kryć się największe wyzwanie dla przedsiębiorców. Sztuczna inteligencja nie czekała, aż firmy stworzą dla niej regulaminy. Weszła do organizacji przez codzienne zadania i prywatne konta pracowników, często niemal niezauważenie. Samo dopisanie kilku zakazów do oświadczenia, aby mieć zabezpieczenie w postaci „papieru”, może okazać się niewystarczające. Firmy muszą odpowiedzieć na znacznie trudniejsze pytanie: czy naprawdę zarządzają korzystaniem z AI, czy tylko mają dokument potwierdzający, że próbowały to zrobić?
