Ustawa wywołuje więc wiele pytań i słusznie! Powstaje nowy organ, kary odsyłają do rozdziału XII rozporządzenia, gdzie ich górne granice wyrażono w procentach światowego obrotu. Decyzja nakazująca zaprzestanie stosowania systemu albo wycofanie go z rynku może zapaść w postępowaniu trwającym nie dłużej niż siedem dni.
Uważna lektura pokazuje jednak coś innego. Nowy jest przedmiot nadzoru, nie mechanika jego sprawowania!
Nie „kodeks AI”, lecz instrukcja egzekwowania
Zacznijmy od tego, czym ta ustawa nie jest.
Nie jest polskim „kodeksem AI”. Nie nakłada nowych obowiązków merytorycznych na dostawców i operatorów systemów sztucznej inteligencji, ponieważ obowiązki te wynikają wprost z rozporządzenia, stosowanego bez transpozycji. Wskazano na to w uzasadnieniu do projektu ustawy: ustawa celowo nie zawiera rozdziału o obowiązkach uczestników łańcucha wartości AI, bo tę materię wyczerpał prawodawca unijny.
Ustawa realizuje inne zadanie, ale dla praktyki równie ważne. Buduje polską „architekturę” egzekwowania AI Act. Zgodnie z art. 1 określa organizację nadzoru nad rynkiem systemów AI oraz modeli AI ogólnego przeznaczenia, postępowanie w sprawie naruszenia, warunki notyfikacji jednostek oceniających zgodność, działania wspierające rozwój systemów AI oraz zasady nakładania administracyjnych kar pieniężnych. Podział ról między oba akty da się streścić w dwóch zdaniach. Rozporządzenie mówi, czego nie wolno. Ustawa mówi, co się stanie, jeśli mimo to ktoś to zrobi, i kto rozstrzygnie czy doszło do złamania zasad.
Stąd pytania, które dziś stawia sobie każdy, kto odpowiada w organizacji za zgodność z prawem:
- kto w Polsce kontroluje przestrzeganie AI Act?
- jak przebiega kontrola?
- jakie terminy wiążą organ, a jakie przedsiębiorcę?
- gdzie przysługuje odwołanie i co można zrobić, żeby złagodzić sankcję?
Żadna z odpowiedzi na te pytania nie jest nową konstrukcją. Ustawodawca nie projektował procedury od zera, lecz sięgnął po instytucje sprawdzone w innych obszarach prawa gospodarczego.
Tryb postępowania
Kontrola
W zakresie nieuregulowanym stosuje się rozdział 5 Prawa przedsiębiorców, a wobec podmiotów niebędących przedsiębiorcami – ustawę o kontroli w administracji rządowej. Schemat jest znany: zawiadomienie, po którym czynności podejmuje się nie wcześniej niż po siedmiu dniach, imienne upoważnienie, protokół oraz czternaście dni na jego podpisanie albo zgłoszenie zastrzeżeń. Nowością jest domyślnie zdalny tryb kontroli.
Tajemnica zawodowa
Ustawa powtarza mechanizm znany z praktyki organu antymonopolowego. Materiały objęte oświadczeniem o komunikacji z adwokatem lub radcą prawnym pozostają w miejscu kontroli, a spór o zasadność ochrony rozstrzyga Sąd Okręgowy w Warszawie, przy czym ciężar dowodu spoczywa na kontrolowanym.
Postępowanie
Prowadzi się je według Kodeksu postępowania administracyjnego w zakresie nieuregulowanym ustawy, z ramą sześciu miesięcy od doręczenia postanowienia o wszczęciu.
Opinie indywidualne
Art. 8 do 17 przenoszą niemal wiernie konstrukcję interpretacji indywidualnej z prawa podatkowego: wniosek o określonej treści, opłata, termin dla organu, milcząca zgoda po jego upływie i ochrona podmiotu, który się do opinii zastosował.
Układ w sprawie złagodzenia sankcji
Rozdział 5 czerpie z prawa konkurencji, łącząc dobrowolne poddanie się karze z premią za ujawnienie naruszenia z własnej inicjatywy.
Droga odwoławcza
Właściwy jest nie sąd administracyjny, lecz Sąd Okręgowy w Warszawie (sąd ochrony konkurencji i konsumentów), orzekający w trybie nowego działu IVfa Kodeksu postępowania cywilnego, wzorowanego na modelu obowiązującym wobec decyzji Prezesa UOKiK, Prezesa URE, Prezesa UKE i Prezesa UTK.
Nowy organ zostaje po prostu dopisany do katalogu w art. 32 ustawy o kosztach sądowych w sprawach cywilnych, obok czterech pozostałych regulatorów, z tą samą opłatą 1000 zł od odwołania i 500 zł od zażalenia. Nie stworzono odrębnej ścieżki dla „spraw sztucznej inteligencji”. Włączono je do ścieżki, która działa od lat. Dla praktyki oznacza to przewidywalność oraz przenoszalność kompetencji: procedury nie trzeba poznawać od nowa, wystarczy przełożyć ją na nowy przedmiot oceny.
Znajomy tryb, nieznane tempo
I tu kończy się to, co znane. Badaniu nie podlega już umowa, faktura ani cennik, lecz dokumentacja systemu zarządzania ryzykiem, zbiory danych treningowych, walidacyjnych i testowych, dokumentacja techniczna, automatycznie generowane rejestry zdarzeń oraz deklaracja zgodności. Zmienia się także rytm. Sprawa dotycząca ryzyka dla życia, zdrowia, bezpieczeństwa lub praw podstawowych toczy się nie dłużej niż siedem dni, decyzji można nadać rygor natychmiastowej wykonalności, a zażalenie na postanowienie Komisji wnosi się w terminie tygodnia. Dochodzi do tego sankcja reputacyjna, ponieważ decyzje publikuje się w Biuletynie Informacji Publicznej, a ukarane systemy wpisuje do jawnego wykazu wraz z oznaczeniem operatora.
Nowość tej ustawy nie leży zatem w procedurze. Leży w tempie, w jakim znane procedury potrafią się teraz zamknąć oraz w wąskim marginesie reakcji, jaki pozostawiają podmiotowi nieprzygotowanemu.
