Jak przypomnieli autorzy raportu, 13 marca br. Parlament Europejski przyjął rozporządzenie w sprawie AI (Artificial Intelligence Act). Nowe regulacje pozwalają budować środowisko prawne, które z jednej strony zapewnia możliwość rozwoju sztucznej inteligencji, a z drugiej gwarantuje poszanowanie praw człowieka i minimalizuje zjawisko dyskryminacji.

"rozwój generatywnej sztucznej inteligencji wiąże się z ogromnym wachlarzem zagrożeń – od klasycznego bezpieczeństwa informacji, po kwestie związane z podejmowaniem decyzji na temat finansów, kariery zawodowej, czy nawet zdrowia i życia" - powiedział Michał Kurek, Partner w Dziale Consultingu, Szef Zespołu Cyberbezpieczeństwa w KPMG w Polsce i Europie Środkowo-Wschodniej.

Dodał, że "wdrażanie sztucznej inteligencji wymaga zabezpieczenia integralności i poufności danych wykorzystywanych w procesie trenowania modelu AI. Rozwiązania oparte na sztucznej inteligencji pozyskiwane od zewnętrznych dostawców generują konieczność budowania mechanizmów zapewniających właściwy poziom zaufania oraz ochronę przed atakami na łańcuchy dostaw". Ocenił, że "w związku z szeregiem nowych wyzwań Rozporządzenie AI Act to bardzo potrzebna inicjatywa legislacyjna, dzięki której zapewnianie cyberbezpieczeństwa w procesie projektowania i wdrażania rozwiązań AI stanie się obligatoryjne".

Autorzy badania przypomnieli, że pierwszy etap wejścia w życie rozporządzenia AI Act nastąpi po upływie 20 dni od publikacji w Dzienniku Urzędowym Unii Europejskiej, a w pełni będzie ono obowiązywać 36 miesięcy po opublikowaniu, czyli w pierwszej połowie 2027 roku. Definicja sztucznej inteligencji zawarta w unijnym akcie prawnym obejmuje szeroki zakres technologii i systemów, co w rezultacie znacząco wpłynie na funkcjonowanie firm. Istotne jest, że większość obowiązków jakie nakłada regulacja, będzie musiała być spełniana już w pierwszej połowie 2026 roku. Ograniczenia dotyczące systemów AI o wysokim ryzyku będą obowiązywały już sześć miesięcy po wejściu w życie rozporządzenia, a zasady dotyczące wykorzystywania systemów AI ogólnego przeznaczenia już po 12 miesiącach.

Twórcy raportu, jako kluczowe działania dla przedsiębiorców, związane z wejściem AI Act, wskazali odpowiednie zarządzanie, polegające na kształtowaniu polityki firmy zgodnie z kategoryzacją ryzyka związanego z AI. Wskazali również, że przedsiębiorcy muszą brać pod uwagę, że lista systemów AI o ryzyku sklasyfikowanym jako niedopuszczalne lub wysokie może wydłużać się z biegiem czasu. Istotne jest ciągłe ulepszanie ram zarządzania sztuczną inteligencją przy jednoczesnym stosowaniu przepisów prawa.

Jako kolejne niezbędne działanie wskazali rozpoznanie ryzyka związanego z korzystaniem z systemów AI. Organizacje powinny skoncentrować się na ryzyku zarówno wewnętrznym, jak i zewnętrznym. Kluczowa jest klasyfikacja zagrożeń, identyfikacja luk w zakresie bezpieczeństwa cyfrowego oraz działania profilaktyczne w postaci testów systemów AI.

Wskazali również, że kolejnym działaniem powinno być wdrażanie dobrych praktyk i działań wspierających proces adaptacji systemów AI. Pożądanymi działaniami są: automatyzacja i optymalizacja zarządzania technologią sztucznej inteligencji, prowadzenie rzetelnej dokumentacji i rejestrów działań, szkolenia pracowników oraz przejrzysta komunikacja względem klientów.

Raport KPMG "Decoding the EU AI Act: Understanding the AI Act’s impact and how you can respond" przybliża założenia rozporządzenia, które stanowi nowy, globalny standard regulujący obszar sztucznej inteligencji.

KPMG jest organizacją firm świadczących usługi profesjonalne z zakresu audytu, doradztwa podatkowego i doradztwa gospodarczego. (PAP)

bk/ drag/