Pełnomocnik ds. AI: obowiązek czy dobrowolność?

Czy potrzebujemy pełnomocnika ds. AI?

Nie, EU AI Act nie zawiera obowiązku wyznaczenia pełnomocnika ds. AI. Inaczej niż RODO w przypadku inspektora ochrony danych (art. 37 RODO), rozporządzenie o AI nie przewiduje takiej roli. Komisja Europejska wyjaśnia w pytaniach i odpowiedziach dotyczących kompetencji w zakresie AI, że art. 4 nie narzuca żadnej określonej struktury organizacyjnej, ani pełnomocnika ds. AI, ani zespołu ds. AI.

Obowiązkiem jest co innego: dostawcy i podmioty stosujące podejmują środki wspierające rozwój kompetencji w zakresie AI ich personelu i innych osób działających w ich imieniu (art. 4 ust. 1). Kto te środki planuje i rejestruje, firma ustala sama.

Kiedy stała odpowiedzialna osoba mimo to ma sens?

Wyznaczona osoba się opłaca, gdy używanych jest kilka narzędzi AI albo zespoły same testują nowe usługi. Wtedy potrzebny jest ktoś, kto panuje nad całością i odpowiada na pytania, na przykład w takich sytuacjach:

• Firma korzysta z kilku usług AI, na przykład ChatGPT, Microsoft Copilot i funkcji AI w CRM.
• Stosujesz AI w obszarze z załącznika III, na przykład w rekrutacji. Od 2 grudnia 2027 r. nadzór ludzki musi tam spoczywać na osobach o niezbędnych kompetencjach, wyszkoleniu i uprawnieniach (art. 26 ust. 2).
• Klienci lub audytorzy, na przykład przy audytach ISO 27001, pytają o odpowiedzialną jednostkę ds. AI.

Jakie zadania pasują do tej roli?

Typowe są cztery zadania, które można też rozdzielić na kilka osób:

• Prowadzić zestawienie stosowanych systemów AI i ich dostawców.
• Opracować politykę AI i aktualizować ją, na przykład z naszym wzorem polityki AI.
• Planować środki w zakresie kompetencji w AI i odnotowywać, kto kiedy w jakim środku uczestniczył.
• Oceniać nowe projekty AI: czy podlegają regułom dla wysokiego ryzyka albo obowiązkom przejrzystości z art. 50?

Prostym środkiem dla wszystkich pracowników jest udokumentowane szkolenie z EU AI Act z certyfikatem uczestnictwa dla każdej osoby i raportem audytu dla firmy.

Czy inspektor ochrony danych może to przejąć?

Tak, to możliwe, ale nie jest obowiązkiem. Komisja odpowiada łącznie na pytania o pełnomocnika ds. AI, o podwójną rolę z inspektorem ochrony danych i o zespół ds. AI: dla art. 4 żadna określona struktura nie jest narzucona. Jeśli rolę przejmuje inspektor ochrony danych, nie może powstać konflikt interesów z jego zadaniami wynikającymi z RODO (art. 38 ust. 6 RODO). Kto sam decyduje o stosowaniu AI, nie powinien jednocześnie kontrolować jej ochrony danych.

Najczęstsze pytania o pełnomocnika ds. AI

Czy grozi kara, jeśli nie mamy pełnomocnika ds. AI?

Nie. EU AI Act nie wymaga pełnomocnika ds. AI, więc nie ma za to także kary. Sankcje za naruszenia art. 4 określają państwa członkowskie (art. 99 ust. 1); art. 4 wymaga środków w zakresie kompetencji w AI, a nie określonej roli. Więcej na stronie Kary.

Czy pełnomocnik ds. AI potrzebuje określonego wykształcenia?

Nie, wymaganego wykształcenia ani egzaminu nie ma. Przydatna jest wiedza o stosowanych systemach AI, EU AI Act i ochronie danych. Także od pracowników Komisja nie wymaga certyfikatu; wystarcza wewnętrzny zapis szkoleń i innych środków.

Czy dotyczy to także małych firm?

Tak. Art. 4 obowiązuje niezależnie od wielkości firmy wszystkich dostawców i podmioty stosujące. W małych firmach koordynację często przejmuje sam zarząd, osobne stanowisko nie jest potrzebne. Czego dokładnie wymaga art. 4, wyjaśnia strona Obowiązek kompetencji w zakresie AI wg art. 4.

Przeszkol zespół Wzór polityki AI

Uwaga: ten artykuł ma charakter informacyjny i nie stanowi porady prawnej.