Sztuczna inteligencja przestała być technologią przyszłości. Jest już obecna w codziennym funkcjonowaniu administracji publicznej, często w sposób niezauważalny. W wielu jednostkach samorządu terytorialnego działa w tle systemów informatycznych, usług chmurowych, platform komunikacyjnych czy narzędzi biurowych.
Problem w tym, że wiele urzędów nie identyfikuje takich rozwiązań jako systemów AI. Tymczasem wejście w życie rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, czyli AI Act, oznacza nową rzeczywistość regulacyjną również dla sektora publicznego.
Administracja publiczna będzie musiała ustalić, gdzie wykorzystuje AI, w jaki sposób, przez kogo oraz jakie ryzyka wiążą się z używaniem takich narzędzi. Pierwszym istotnym krokiem w tym procesie powinna być ocena ryzyka związanego z wykorzystaniem sztucznej inteligencji. Niezbędne jest także udokumentowanie używanych systemów zawierających komponenty AI oraz wdrożenie mechanizmów nadzoru pozwalających na zarządzanie tymi rozwiązaniami. Kolejnym etapem powinno być zapewnienie zgodności z RODO i zasadami transparentności.
Rozmowy z osobami kierującymi urzędami lub poszczególnymi komórkami organizacyjnymi wskazują na zaskakująco duży brak wiedzy zarówno na temat znajomości zagadnień AI przez podległych im pracowników, jak i faktycznego korzystania przez nich z narzędzi wykorzystujących sztuczną inteligencję przy wykonywaniu czynności służbowych. Przy powszechnym dostępie do internetu i rozwiązań technicznych, z których wiele jest dostępnych z poziomu smartfona, należy zauważyć, że nawet jeśli dana organizacja formalnie nie używa sztucznej inteligencji, osoby w niej zatrudnione korzystają lub mogą korzystać z jej zasobów nie tylko prywatnie. Trzeba wręcz założyć, że w celu przyspieszenia i usprawnienia pracy korzystają z nich częściej, niż zakładają ich przełożeni.
Można więc postawić tezę, że urząd już dziś używa AI, nawet jeśli formalnie nigdy jej nie wdrażał. Niewiele zmienią tutaj procedury zakazujące korzystania z prywatnych urządzeń elektronicznych czy inne ograniczenia wewnątrzorganizacyjne. Sztuczna inteligencja oferuje tak szeroki zakres możliwości, że będzie przyciągała osoby szukające odpowiedzi na różne pytania albo chcące w szybszy sposób rozwiązać problemy, z którymi mierzą się w pracy.
Co jest systemem AI, a co nie?
AI Act w art. 3 pkt 1 definiuje system AI jako system maszynowy działający z różnym poziomem autonomii, zdolny do generowania wyników takich jak:
– przewidywania – „uważaj, przy wystąpieniu takich parametrów zjawiska skutkiem może być to…”;
– rekomendacje – „jeżeli stan rzeczy jest taki, dobrze byłoby postąpić w określony sposób…”;
– decyzje – „w tej sytuacji należy wybrać takie działanie…”;
– treści – „przygotowany został pełny, ekspercki raport na temat…”;
– klasyfikacje – „elementy zagadnienia grupuję zgodnie z założeniami i wytycznymi…”.
W praktycznym ujęciu system AI działa na podstawie danych wejściowych – wprowadzonych przez użytkownika lub pozyskanych w inny sposób. Następnie, wykorzystując modele i wzorce, wyprowadza wnioski pozwalające dojść do określonego rezultatu. Wyniki działania systemu mogą natomiast wpływać na środowisko fizyczne lub wirtualne.
Rozwój sztucznej inteligencji przyspieszył wraz z rozpoczęciem zaawansowanych badań nad tzw. machine learning, czyli uczeniem maszynowym. Polegało ono na gromadzeniu dużych zbiorów danych, a następnie grupowaniu ich według podobieństw oraz programowaniu możliwości wyboru między poszczególnymi elementami na podstawie zadanych cech indywidualizujących. Doprowadziło to do obecnego etapu rozwoju systemów AI, w których kluczowe znaczenie ma zdolność do wnioskowania na podstawie danych. Skuteczność tego wnioskowania i efektywność działania systemów zależą zatem od jakości danych oraz możliwości obliczeniowych systemu informatycznego wykorzystywanego w organizacji.
Czy każda automatyzacja to AI?
Klasyczne systemy działają według sztywno zapisanych reguł: „jeśli A → wykonaj B”.
Systemy AI są zaś zdolne do analizowania danych, wykrywania wzorców, przewidywania, klasyfikacji, generowania nowych treści, a w określonych warunkach także do adaptacji swoich działań.
W pracy urzędowej wykorzystywane są systemy OCR (Optical Character Recognition), czyli optycznego rozpoznawania znaków. Pozwalają zamieniać tekst znajdujący się na obrazie, skanie lub zdjęciu na tekst cyfrowy, możliwy do wyszukiwania, kopiowania i dalszego przetwarzania. W codziennej pracy dzieje się tak na przykład wtedy, gdy skan faktury jest przekształcany w tekstowy plik PDF albo gdy następuje odczyt treści z zeskanowanego formularza. Nie każdy system OCR jest jednak sztuczną inteligencją.
Jeżeli rozwiązanie OCR traktujemy jako zwykłe narzędzie techniczne, trudno mówić o wykorzystaniu AI do tego zadania. Jeżeli jednak użyjemy narzędzia w taki sposób, że oprócz czynności typowo technicznej jego zadaniem będzie analiza treści dokumentu, klasyfikacja pisma lub rozpoznanie kontekstu, może ono już spełniać definicję użycia sztucznej inteligencji.
Należy zatem przyjrzeć się temu, czym jest generatywna AI, której stosowanie wymaga podjęcia działań zarządczych. Generatywna AI tworzy nowe treści, które mogą mieć postać tekstu, obrazu, podsumowania, odpowiedzi na zadane pytania lub fachowej analizy. Obecnie najpopularniejszymi narzędziami generatywnej sztucznej inteligencji są ChatGPT, Copilot, Gemini oraz Claude. Różnią się one funkcjami, a niekiedy także sposobem identyfikacji potrzeb organizacji, w której są wykorzystywane.
Skoro zatem obszar modeli i narzędzi jest tak rozległy, osoby odpowiedzialne za funkcjonowanie gmin, powiatów i województw, całego środowiska urzędniczego, a także jednostek zależnych i powiązanych, muszą zacząć szukać odpowiedzi na pytanie: gdzie AI pojawia się w JST?
Gdzie AI pojawia się w JST?
Pierwszymi rozwiązaniami organizacyjnymi, które naturalnie pojawiają się jako odpowiedź na potrzeby administracji, są chatboty obsługujące mieszkańców. Coraz więcej urzędów wdraża takie modele do obsługi pytań dotyczących podatków, gospodarki odpadami, meldunków, świadczeń czy transportu zbiorowego. Jak w przypadku każdego nowego rozwiązania, którego cechy i sposób działania dopiero poznajemy, pojawiają się niewiadome, a wraz z nimi różnego rodzaju ryzyka. Do najpoważniejszych należą:
– możliwość przekazywania błędnych informacji;
– brak transparentności;
– niezgodne z prawem przetwarzanie danych osobowych;
– niedozwolone automatyczne profilowanie.
Drugim obszarem, w którym można znaleźć sztuczną inteligencję zaangażowaną w realizację zadań JST, jest tzw. inteligentny OCR i analiza dokumentów. Nowoczesne systemy są w stanie rozpoznać typ dokumentu, wyekstraktować dane, klasyfikować pisma, predykcyjnie przewidywać przyszłe zdarzenia, a także przygotowywać i sugerować odpowiedzi.
Znacząco przyspiesza to obsługę kancelaryjną, ale rodzi również pytania dotyczące jakości danych, odpowiedzialności za błędną klasyfikację oraz zgodności z przepisami RODO. Wymaga także precyzyjnego określenia warunków brzegowych funkcjonowania takich narzędzi.
Sztuczna inteligencja ma w założeniu ułatwić pracę, skrócić czas jej wykonywania oraz ograniczyć błędy ludzkie dzięki wykorzystaniu narzędzi działających bez emocji.
Kolejnym obszarem, w którym rozpoczęto wykorzystywanie rozwiązań sztucznej inteligencji, są systemy monitoringu miejskiego i inteligentnej analizy obrazu, które – w zależności od funkcjonalności – wymagają szczególnej oceny m.in. w kontekście art. 5 AI Act. Dzięki zastosowaniu odpowiednich urządzeń oraz właściwie przygotowanego, sprofilowanego oprogramowania monitoring AI może wykrywać ruch, identyfikować nietypowe zachowania, analizować zachowania grup ludzi lub urządzeń. Wszystko to prowadzi do rozpoznawania zdarzeń i, przy odpowiednim wykorzystaniu zdolności predykcyjnych, daje możliwość szybkiego oraz trafnego reagowania.
Narzędzia i modele AI wykorzystywane są także w działalności organów administracji samorządowej na potrzeby wewnętrzne. Pierwszym takim obszarem są sprawy kadrowe i rekrutacja, które podlegają różnego rodzaju regulacjom prawnym wspierającym jawność i transparentność procesów. Wdrażane są systemy HR, których celem jest analiza CV i dokumentów aplikacyjnych. Na podstawie tej analizy następuje rekomendowanie kandydatów oraz klasyfikowanie osób aplikujących. W sektorze publicznym wymaga to szczególnej ostrożności ze względu na zakaz dyskryminacji, zasadę przejrzystości oraz bezwzględną konieczność nadzoru człowieka nad systemem.
Jeżeli zatem w organizacji wdrożony system rekomenduje decyzje, klasyfikuje mieszkańców, przewiduje ryzyko, analizuje zachowania lub generuje treści – powinien zostać poddany analizie pod kątem AI Act oraz konieczności wdrożenia procedur wynikających z wprowadzanych przepisów prawa.
AI ukryta w systemach dostawców
Analizując rozwiązania dotyczące wykorzystywania AI w organizacjach, dochodzimy do wniosku, że największym wyzwaniem dla JST nie jest dziś samodzielne tworzenie AI, lecz nieświadome korzystanie z AI dostarczanej przez producentów oprogramowania.
Nowoczesne systemy ERP, EZD, CRM czy platformy SaaS coraz częściej zawierają:
– moduły AI, na przykład PLLuM w mObywatelu;
– funkcje predykcyjne, powszechnie wykorzystywane;
– inteligentne wyszukiwanie, obejmujące szerszy zakres danych niż dotychczasowe narzędzia;
– automatyczne podsumowania;
– asystentów generatywnych.
Co istotne, funkcje AI w takich rozwiązaniach mogą zostać aktywowane po aktualizacji systemu – bez pełnego procesu wdrożeniowego, a tym bardziej bez świadomości odbiorcy.
Dane w chmurze
Organizacje, które zrezygnowały z budowy własnych magazynów danych i zdecydowały się korzystać z usług chmurowych przy gromadzeniu oraz przechowywaniu danych, muszą uwzględniać wyższy poziom ryzyka związanego z wyborem takiego modelu działania. W rozwiązaniach SaaS urząd lub operator często nie zna architektury modelu, nie wie, gdzie model był trenowany, nie ma kontroli nad transferem danych ani nie zna sposobu podejmowania decyzji przez system.
Może to być źródłem trudnych do przewidzenia problemów prawnych, związanych z bezpieczeństwem danych; organizacyjnych, dotyczących trudności technicznych czy awarii; reputacyjnych, gdy informacja o nieprawidłowościach wpływa na wizerunek nie tylko urzędu, lecz także wybieralnych organów; a także naruszeń zasad wynikających z RODO.
Co zrobić, żeby ograniczyć ryzyka związane z AI?
Najprostszym rozwiązaniem jest zwrócenie się do dostawcy z zapytaniem, które pozwoli rozwiać wątpliwości albo odpowiednio ukierunkować działania negocjacyjne. Podstawowa lista pytań powinna zostać przekazana dostawcy przed zakupem systemu lub przed każdą jego aktualizacją i obejmować co najmniej następujące kwestie:
- Czy system wykorzystuje AI lub machine learning?
- Jakie funkcje AI są aktywne?
- Czy możliwe jest ich wyłączenie?
- Jakie dane są wykorzystywane przez model?
- Gdzie przetwarzane są dane?
- Czy dane trafiają poza EOG?
- Czy system podlega AI Act?
- Czy dostawca zapewnia dokumentację AI?
- Czy możliwy jest audyt rozwiązania?
- Czy system wykorzystuje modele generatywne?
Shadow AI, czyli AI używana oddolnie przez pracowników
Jednym z największych wyzwań administracji staje się dziś tzw. shadow AI. To sytuacja, w której pracownicy samodzielnie korzystają z narzędzi AI, bez formalnej zgody organizacji, np. przy generowaniu pism, tworzeniu odpowiedzi e-mail, tłumaczeniach, podsumowywaniu dokumentów, sporządzaniu notatek i protokołów ze spotkań, analizowaniu danych w arkuszach kalkulacyjnych czy korzystaniu z narzędzi typu ChatGPT lub Copilot.
Postęp technologiczny w zakresie dostępności AI, podobnie jak wcześniej wdrażanie pierwszych systemów komputerowych czy upowszechnienie internetu, jest nie do zatrzymania. Samo zakazywanie korzystania z nowych aplikacji czy narzędzi tylko dlatego, że są „nowe” albo „nieznane”, prowadzi donikąd. Trzeba jednak zdać sobie sprawę z najważniejszych zagrożeń, jakie niesie niekontrolowane, pozbawione nadzoru i procedur korzystanie z narzędzi AI przez pracowników urzędów. Są to przede wszystkim:
- możliwość wycieku danych;
- przekazywanie danych osobowych do zewnętrznych modeli;
- brak kontroli nad treścią;
- błędy merytoryczne;
- brak wiedzy kierownictwa o użyciu AI.
W praktyce problem shadow AI bywa poważniejszy niż oficjalne wdrożenie systemów AI. Dopiero w sytuacji kryzysowej, gdy dochodzi do jednej z opisanych sytuacji, a jej konsekwencją jest naruszenie prawa, osoby odpowiedzialne za funkcjonowanie urzędów zaczynają zdawać sobie sprawę ze skali zjawiska. Tyle że działania, jakie wtedy podejmują, są następcze, ukierunkowane na ograniczanie negatywnych skutków. Tymczasem mechanizmy, m.in. kontroli zarządczej, zobowiązują do działania prewencyjnego, uprzedzającego wystąpienie takich skutków.
W tej sytuacji zaleca się, aby w urzędzie została wdrożona polityka korzystania z AI, a wraz z nią – wynikająca z przeanalizowanych potrzeb – lista narzędzi dopuszczonych do użycia oraz procedura zgłaszania i wdrażania nowych narzędzi i aplikacji. Z punktu widzenia bezpieczeństwa informacji i procesów istotna jest również procedura anonimizacji danych. Powinna być znana wszystkim pracownikom i sporządzona w taki sposób, aby jej stosowanie nie powodowało niepotrzebnych problemów po stronie użytkownika.
Ostatnim elementem, bez którego nie uda się zapanować nad obecnością sztucznej inteligencji w rzeczywistości urzędowej, są szkolenia dla pracowników. Warto podkreślić, że AI Act w art. 4 wprowadza obowiązek zapewnienia odpowiedniego poziomu kompetencji AI, czyli AI literacy, po stronie osób korzystających z systemów sztucznej inteligencji. W tym zakresie nasze doświadczenia wskazują, że największą skuteczność mają szkolenia stacjonarne w formie warsztatowej, które pozwalają na pracę na konkretnych rozwiązaniach i modelach oraz wdrażanie wiedzy poprzez praktykę.
Jak zrobić szybki audyt AI w urzędzie?
Nie trzeba rozpoczynać od skomplikowanego projektu compliance. W większości wystarczy prosty proces identyfikacyjny, który pozwoli pozyskać dane, a następnie – po ich analizie – ustalić, na jakim etapie znajomości i wykorzystania sztucznej inteligencji znajduje się dana jednostka organizacyjna.
Pierwszym krokiem do przeprowadzenia działań wewnątrz organizacji jest oczywiście decyzja, czy podejmujemy się oceny stanu zaawansowania rozwiązań AI w naszej organizacji oraz co zrobimy z wiedzą pozyskaną w toku czynności weryfikacyjnych. Możliwych ścieżek i sposobów przeprowadzenia takiej analizy jest kilka. Na tym etapie warto rozważyć, czy weryfikację wykonujemy własnymi siłami, czy korzystamy ze wsparcia fachowego i obiektywnego dostawcy zewnętrznego.
Oba rozwiązania mogą przynieść zadowalające efekty pod warunkiem, że poziom znajomości zagadnień specjalistycznych pozwoli na właściwą ocenę stanu faktycznego. Ze względu na nowoczesny charakter technologii oraz wąską grupę specjalistów z zakresu AI na początkowym etapie bezpieczniejsze może być korzystanie z podmiotów zewnętrznych. Współpraca z nimi daje dostęp do źródeł wiedzy, a także możliwość wyszkolenia osób, którym na późniejszym etapie będzie można powierzyć czynności nadzorcze i organizacyjne w obszarze zastosowań sztucznej inteligencji.
Niezależnie od wybranej ścieżki rekomendujemy przeprowadzenie działań audytowych z podziałem na następujące etapy lub bloki tematyczne.
1. Stworzenie listy systemów, z których korzystamy w organizacji
Należy zebrać informacje – wraz z opisami funkcjonalności – o wszystkich systemach dziedzinowych wykorzystywanych w urzędzie oraz rozwiązaniach SaaS. Konieczna jest także inwentaryzacja narzędzi chmurowych wraz z opisem ich dostosowania do aktualnych wymagań prawnych. Bardzo istotne znaczenie ma również raport z badania aplikacji wykorzystywanych przez poszczególne komórki organizacyjne, uzupełniony o informacje dotyczące rozproszenia uprawnień do zarządzania tymi narzędziami.
2. Badanie ankietowe komórek organizacyjnych
Celem tego badania jest uzyskanie odpowiedzi na pytania:
– czy pracownicy korzystają z AI;
– jeżeli tak, to czy korzystają z niej prywatnie, czy służbowo, za wiedzą przełożonych;
– czy i w jakim zakresie używane są chatboty;
– czy istnieją narzędzia do zaawansowanej analizy danych;
– czy wykorzystywane są funkcje generatywne.
3. Działania komórki IT
W ramach tego etapu osoby odpowiedzialne powinny przeanalizować licencje oprogramowania pod względem ich aktualności oraz dostosowania do obecnych warunków wykorzystywania i wymogów prawnych. Należy sprawdzić aktywne moduły oraz dokonać przeglądu integracji chmurowych. Na podstawie analizy potrzeb, sporządzonej w oparciu o aktualny raport z kontroli zarządczej lub inny dokument wewnętrzny, należy zidentyfikować nowe funkcjonalności AI.
4. Analiza umów z dostawcami i możliwość ich aktualizacji
Należy sprawdzić, czy w umowach zawarte są postanowienia dotyczące AI, w tym narzędzi, sposobów i warunków korzystania z rozwiązań sztucznej inteligencji, warunków transferu danych oraz zakresu odpowiedzialności dostawcy w przypadku wykorzystywania takich rozwiązań bez wiedzy zamawiającego. Warto również przeanalizować, czy umowa z dostawcą dopuszcza możliwość przeprowadzenia przez zamawiającego audytu obejmującego prawidłowość działań podejmowanych w ramach realizacji umowy.
5. Identyfikacja shadow AI
Po zebraniu i przeanalizowaniu danych uzyskanych w poprzednich etapach, a także po osiągnięciu wewnętrznego efektu informacyjnego w organizacji, polegającego na tym, że „ktoś pyta o AI”, należy przystąpić do identyfikacji faktycznego zakresu korzystania ze sztucznej inteligencji. W naszej ocenie jest to najtrudniejszy etap, ale dostarcza on istotnej wiedzy o tym, na jakim poziomie świadomości dotyczącej AI znajduje się organizacja, zespół oraz osoby odpowiedzialne za jej funkcjonowanie.
Aby uzyskać satysfakcjonujące efekty, realizację tej części należy oprzeć na zbudowaniu zaufania. Współpracownicy powinni mieć przekonanie, że jeżeli udzielą odpowiedzi prawdziwej, choć niekoniecznie wygodnej dla kierownictwa, nie poniosą z tego tytułu negatywnych konsekwencji.
Uzyskanie wartościowych danych dotyczących shadow AI wymaga włożenia znacznego wysiłku w przygotowanie wysokiej jakości ankiet, anonimowe przeprowadzenie badań oraz analizę wyników. Działania te powinny stanowić podstawę do przeprowadzenia szkoleń, ponieważ na tym etapie znane będą już braki i nieścisłości informacyjne oraz potencjalne ryzyka, którym będzie można przeciwdziałać. Niezbędne będzie również uświadomienie kadrze kierowniczej zarówno możliwości, jakie sztuczna inteligencja daje w funkcjonowaniu JST, jak i faktycznych oraz prawnych konsekwencji korzystania z niej. Warto uzupełnić ten etap o profesjonalną analizę ruchu sieciowego, która potwierdzi lub zweryfikuje wyniki badania ankietowego.
6. Ocena ryzyka
Po zgromadzeniu i przeanalizowaniu danych powinna nastąpić swoista subsumpcja ustalonego stanu faktycznego do wymagań prawnych wynikających z AI Act. Jednym z najważniejszych elementów jest przyporządkowanie systemów używanych w organizacji do jednej z czterech grup:
– minimalnego, czyli niskiego ryzyka;
– ograniczonego, czyli średniego ryzyka;
– wysokiego ryzyka, czyli high-risk;
– niedopuszczalnego, czyli zakazanego ryzyka.
Na podstawie tego przyporządkowania w kolejnym etapie należy przeprowadzić analizę całościowego ryzyka związanego z wykorzystywaniem systemów AI w organizacji.
7. Stworzenie rejestru
AI Act nie wprowadza obecnie jednego przepisu nakazującego wszystkim jednostkom samorządu terytorialnego prowadzenie „rejestru AI” wprost, analogicznie do rejestru czynności przetwarzania wymaganego przez RODO. Obowiązek identyfikowania i dokumentowania systemów sztucznej inteligencji wynika jednak pośrednio z całego systemu wymagań dotyczących zarządzania AI, rozliczalności oraz nadzoru nad ryzykiem.
W praktyce bez prowadzenia uporządkowanego rejestru organizacja nie jest w stanie wykazać zgodności z AI Act. Wynika to przede wszystkim z treści samego AI Act, czyli rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689, które nakłada na podmioty wykorzystujące systemy AI szereg obowiązków związanych z działaniami omówionymi wyżej w artykule. Realizacja tych obowiązków wymaga posiadania aktualnej wiedzy o wykorzystywanych systemach. Taką funkcję pełni właśnie rejestr AI, którego podstawą organizacyjną jest również zasada rozliczalności znana z RODO.
Zgodnie z art. 5 ust. 2 RODO, administrator odpowiada za przestrzeganie zasad przetwarzania danych osobowych i musi być w stanie wykazać ich przestrzeganie. Jeżeli zatem w wyniku działań audytowych stwierdzimy, że istniejące w organizacji systemy AI przetwarzają dane osobowe, wspierają podejmowanie decyzji, analizują obywateli lub wykorzystują profilowanie, powinniśmy być w stanie wykazać:
– legalność działania systemu;
– podstawę prawną;
– zakres przetwarzania;
– ocenę ryzyka;
– zastosowane środki bezpieczeństwa.
Bez ewidencji systemów AI realizacja tej zasady staje się w praktyce bardzo trudna. Opisane powyżej etapy działań pozwolą natomiast na stworzenie rejestru, który – jako element compliance, audytu, governance i cyberbezpieczeństwa – umożliwi efektywne oraz aktualne zarządzanie systemami.
Minimalne wymagania co do zawartości rejestru AI
Przygotowywany rejestr powinien zawierać podstawowe informacje dotyczące systemu lub narzędzia, które jest wykorzystywane, komórki organizacyjnej odpowiedzialnej za funkcjonowanie konkretnego systemu lub narzędzia, dostawcy, a także funkcji AI realizowanych przez dane rozwiązanie wraz z opisem ich działania.
Po przeprowadzeniu analizy należy przyporządkować konkretnemu rozwiązaniu kategorię ryzyka: niską, średnią, wysoką albo zakazaną, oraz wskazać, w jakim zakresie przetwarzane są dane osobowe. Niezbędne jest również określenie podstawy prawnej korzystania z narzędzia, sposobu jego integracji z innymi używanymi i powiązanymi systemami, a także statusu zgodności.
W rejestrze należy wskazać datę wdrożenia rozwiązania oraz osobę odpowiedzialną za jego obsługę. Jeżeli jest to konieczne, należy także zamieścić informację o zakresie tej odpowiedzialności.
Jak prowadzić rejestr?
Rejestr będzie miał wartość użytkową, a nie tylko formalną, związaną ze spełnieniem obowiązku, jeżeli w strukturze organizacyjnej zostanie wyznaczony świadomy „właściciel” procesu, dane będą regularnie aktualizowane, rejestr obejmie również shadow AI i zostanie powiązany z procesami umożliwiającymi realizację zadań, np. z procesem zakupowym.
Przy tworzeniu i prowadzeniu rejestru, niezależnie od stopnia rozwoju organizacyjnego, istnieje ryzyko popełnienia błędów przez kierownictwo organizacji, które w efekcie mogą powodować trudne do przewidzenia problemy w funkcjonowaniu urzędu. Do najczęściej spotykanych należą:
- brak świadomości używania AI;
- brak procedur;
- nieuwzględnianie usług SaaS;
- brak polityki AI;
- brak aktualizacji rejestru;
- brak kontroli nad shadow AI;
- traktowanie AI wyłącznie jako zagadnienia technologicznego.
W praktyce największym ryzykiem jest dziś nie sam system AI, lecz brak wiedzy o jego istnieniu albo specyficzny, spotykany w administracji syndrom wyparcia problemu związanego z koniecznością przystosowania organizacji do zmieniających się warunków prawnych.
Kto odpowiada za rejestr AI?
Najczęstszym błędem jest traktowanie AI wyłącznie jako problemu działu IT. Modele językowe, z których dziś korzystamy, aby wykorzystywać możliwości sztucznej inteligencji, umożliwiają dostęp do rozwoju technologicznego każdemu, kto potrafi sprawnie werbalnie opisywać rzeczywistość, otaczający nas świat oraz własne potrzeby. Nie jest to wiedza na tyle specjalistyczna i technologiczna, aby była zarezerwowana wyłącznie dla programistów i informatyków, choć z takim błędnym podejściem spotykamy się bardzo często.
Governance AI wymaga współpracy holistycznej, obejmującej całościowe podejście do zagadnienia zarówno w sferze materialnej, jak i niematerialnej. Konieczne jest zatem współdziałanie działu IT, IOD, działu prawnego, komórki audytu, sekretarza JST oraz kierowników komórek organizacyjnych.
***
AI Act rozpoczyna nowy etap zarządzania technologią w administracji publicznej. Dla organów władzy publicznej, w szczególności jednostek samorządu terytorialnego, które są najbliżej obywatela, oznacza to konieczność budowy podstawowego ładu AI, obejmującego identyfikację systemów, ocenę ryzyka, nadzór oraz dokumentowanie wykorzystania sztucznej inteligencji.
Pierwszym i najważniejszym krokiem jest identyfikacja obecności sztucznej inteligencji w organizacji oraz stworzenie rejestru AI jako narzędzia zarządzania. Nawet prosty rejestr pozwala uporządkować wiedzę o systemach, ograniczyć ryzyko prawne, zwiększyć transparentność i przygotować urząd na przyszłe obowiązki regulacyjne.
Największym ryzykiem nie jest bowiem „zła” sztuczna inteligencja, lecz nieświadomość, że urząd i osoby w nim zatrudnione już z niej korzystają.
*www.konceptai.pl
**Wydział Prawa, Akademii i Ekonomii, Akademia Mazowiecka w Płocku
