Artykuł 12: prowadzenie rejestrów w AI organów ścigania
Jak wymogi prowadzenia rejestrów z artykułu 12 EU AI Act stosują się do AI organów ścigania — ścieżki audytu dla sądów, łańcuch dowodowy, standardy dowodowe.
Artykuł 12 EU AI Act wymaga, aby systemy AI wysokiego ryzyka automatycznie rejestrowały zdarzenia istotne dla identyfikacji ryzyk i zapewnienia identyfikowalności. AI w organach ścigania — zaklasyfikowana jako wysokiego ryzyka na mocy Załącznika III, sekcje 6–8, gdy jest wykorzystywana do oceny ryzyka osób fizycznych, narzędzi typu poligraf, oceny wiarygodności dowodów lub analizy przestępczości — musi prowadzić ścieżki audytu dopuszczalne przed sądem, zdolne wytrzymać kontrolę prawną, ustanawiać łańcuch dowodowy dla dowodów cyfrowych oraz wspierać audyty niezależnych organów nadzorczych.
Rejestrowanie AI w organach ścigania wiąże się z najwyższą stawką prawną spośród wszystkich sektorów: rejestry te mogą przesądzić, czy dowody są dopuszczalne w postępowaniu karnym, czy prawa podejrzanego zostały uszanowane oraz czy decyzje wspomagane przez AI wytrzymają kontrolę sądową. W przeciwieństwie do innych sektorów rejestry AI w organach ścigania nie są publicznie dostępne, ale muszą podlegać audytowi przez niezależne organy nadzorcze i organy ochrony danych. Ta strona wyjaśnia szczegółowe obowiązki w zakresie prowadzenia rejestrów, standardy dowodowe oraz naruszenia na poziomie kodu, które wykrywa Scanara.
Co należy rejestrować w systemach AI dla organów ścigania?
Wyniki decyzji AI i ich uzasadnienie
Każda wygenerowana przez AI ocena ryzyka, ocena dowodów lub wynik predykcyjny musi być zarejestrowana z: znacznikiem czasu, wersją modelu, wynikiem decyzji, wskaźnikiem pewności oraz kluczowymi czynnikami, które wpłynęły na wynik. Rejestry te muszą być na tyle szczegółowe, aby wyjaśnić rolę AI w każdym późniejszym działaniu organów ścigania.
Odniesienia do danych wejściowych i ich pochodzenie
Rejestruj odniesienia do wszystkich danych wejściowych wykorzystanych przy każdej decyzji: zapytania do baz danych, źródła wywiadowcze, źródła danych z czujników oraz wszelkie zastosowane wstępne przetwarzanie. Łańcuch dowodowy rozpoczyna się w momencie pozyskania danych — rejestr musi ustalić, skąd pochodziły dane i jak zostały przekształcone, zanim dotarły do systemu AI.
Rejestry decyzji i działań funkcjonariuszy
Rejestruj, który funkcjonariusz przeanalizował wynik AI, jakie działanie podjął (śledztwo, eskalacja, umorzenie) oraz czy odstąpił od rekomendacji AI. Artykuł 14 wymaga rzeczywistego nadzoru ze strony człowieka — rejestry muszą wykazać, że funkcjonariusze podejmowali niezależne decyzje, a nie ślepo podążali za wynikami AI.
Zapytania do referencyjnych baz danych i list obserwacyjnych
Artykuł 12(1) wymaga rejestrowania referencyjnej bazy danych, względem której sprawdzano dane wejściowe. W przypadku organów ścigania rejestruj każde zapytanie do bazy danych: które bazy przeszukano, parametry zapytania, zwrócone wyniki oraz wersję bazy danych. Zapytania do list obserwacyjnych są szczególnie wrażliwe i wymagają rozszerzonego rejestrowania.
Rejestry dostępu do systemu i zapytań
Rejestruj każdego użytkownika, który uzyskał dostęp do systemu AI, jakie zapytania wykonał oraz jakie wyniki otrzymał. Rejestrowanie dostępu jest niezbędne do wykrywania nadużyć (nieuprawniony nadzór, poszukiwania na oślep) oraz do odpowiadania na wnioski o dostęp do informacji i przejrzystość dotyczące wzorców korzystania z systemu.
Metadane łańcucha dowodowego
W przypadku wyników AI, które mogą stać się dowodami w postępowaniu karnym, rejestruj metadane łańcucha dowodowego: kto wygenerował wynik, kiedy, jak został przechowany, kto następnie uzyskał do niego dostęp oraz czy wynik został zmodyfikowany. Do dopuszczalności dowodów wymagany jest nieprzerwany łańcuch od systemu AI aż po salę sądową.
Kluczowe obowiązki w zakresie prowadzenia rejestrów dla organów ścigania
Rejestrowanie AI w organach ścigania musi spełniać najwyższe standardy dowodowe spośród wszystkich sektorów. Rejestry to nie tylko dokumentacja zgodności — są potencjalnymi dowodami w postępowaniach karnych i sądowej kontroli działań organów ścigania. Architektura rejestrowania musi być zaprojektowana z dopuszczalnością przed sądem jako podstawowym wymogiem.
Ścieżki audytu dopuszczalne przed sądem
Rejestry decyzji AI wykorzystywane w postępowaniach karnych muszą spełniać standardy dopuszczalności dowodów: przechowywanie odporne na manipulacje (haszowanie kryptograficzne lub nośniki jednokrotnego zapisu), precyzyjne znaczniki czasu z zsynchronizowanych zegarów, nieprzerwany łańcuch dowodowy od wygenerowania do przedstawienia w sądzie oraz wystarczający kontekst techniczny dla zeznań biegłych.
Niepubliczne, ale podlegające audytowi
Rejestry AI w organach ścigania nie są publicznie dostępne — ale artykuł 26(5) wymaga, aby były dostępne do audytu przez organ nadzoru rynku. Niezależne organy nadzorcze, organy ochrony danych i sądy muszą mieć możliwość dostępu do rejestrów decyzji AI i ich badania. Zaprojektuj kontrolę dostępu z myślą o warstwowej możliwości audytu, a nie o publicznej przejrzystości.
Wnioski o dostęp do informacji i przejrzystość
Przepisy o rejestrach publicznych mogą wymagać ujawnienia zagregowanych statystyk wykorzystania systemów AI, z zastrzeżeniem wyłączeń dla organów ścigania dotyczących toczących się dochodzeń. Rejestry muszą być tak skonstruowane, aby wspierać generowanie zagregowanych raportów (liczba zapytań, rozkład decyzji, wzorce demograficzne) bez ujawniania szczegółów poszczególnych spraw.
Przechowywanie: terminy postępowań karnych
AI Act wymaga minimum 6 miesięcy. Rejestry organów ścigania muszą być zwykle przechowywane przez cały czas trwania powiązanego dochodzenia, postępowania karnego i okresu odwoławczego. W przypadku poważnych przestępstw może to sięgać dziesięcioleci. Polityki przechowywania muszą uwzględniać możliwość, że rejestry decyzji AI staną się istotnymi dowodami lata po pierwotnej decyzji.
Nakładanie się regulacji
Prowadzenie rejestrów AI w organach ścigania podlega odrębnym ramom regulacyjnym, które obejmują dyrektywę o ochronie danych w sprawach karnych (zastępującą GDPR w odniesieniu do przetwarzania policyjnego), krajowe kodeksy postępowania karnego oraz wymogi współpracy międzynarodowej. Zgodność z artykułem 12 musi uwzględniać te obowiązki sektorowe.
Dyrektywa o ochronie danych w sprawach karnych (LED)
Dyrektywa (UE) 2016/680 reguluje przetwarzanie danych osobowych przez organy ścigania. LED wymaga rejestrowania gromadzenia, zmiany, przeglądania, ujawniania, łączenia i usuwania danych osobowych. Rejestry systemów AI na mocy artykułu 12 muszą być zintegrowane z wymogami rejestrowania z artykułu 25 LED, tworząc jednolitą ścieżkę audytu dla operacji przetwarzania danych.
Krajowe kodeksy postępowania karnego
Kodeks postępowania karnego każdego państwa członkowskiego UE określa standardy dopuszczalności dowodów. Rejestry decyzji AI, które mogą być wykorzystane w postępowaniach karnych, muszą spełniać te krajowe standardy, które różnią się wymogami dotyczącymi uwierzytelniania, dokumentacji łańcucha dowodowego i prezentacji przez biegłych.
System ochrony danych Europolu
W przypadku systemów AI wykorzystywanych w transgranicznej współpracy organów ścigania rozporządzenie o Europolu nakłada szczególne wymogi dotyczące przetwarzania danych i rejestrowania. Rejestry decyzji AI udostępniane za pośrednictwem kanałów Europolu muszą — oprócz artykułu 12 — spełniać standardy jakości danych i wymogi rejestrowania dostępu obowiązujące w Europolu.
Zasady dowodowe sądów
Standardy dotyczące dowodów cyfrowych różnią się między państwami członkowskimi UE, ale zazwyczaj wymagają: autentyczności (rejestr jest tym, za co się podaje), integralności (rejestr nie został zmieniony), wiarygodności (system, który go wygenerował, jest godny zaufania) oraz istotności (rejestr odnosi się do rozpatrywanej sprawy). Infrastruktura rejestrowania systemów AI musi wspierać wszystkie cztery elementy.
Typowe naruszenia wykrywane przez Scanara
Rejestrowanie za pomocą print() zamiast ustrukturyzowanego JSON
Kod decyzyjny AI dla organów ścigania używający instrukcji print lub nieustrukturyzowanego rejestrowania tekstowego. Ścieżki audytu dopuszczalne przed sądem wymagają ustrukturyzowanych, przetwarzalnych maszynowo rejestrów, które można niezawodnie odpytywać, weryfikować i przedstawiać jako dowody. Nieustrukturyzowany tekst nie spełnia standardów dopuszczalności.
Brak wersji modelu w zdarzeniach decyzyjnych
Punkty końcowe oceny ryzyka lub oceny dowodów AI, które rejestrują wyniki bez odnotowania wersji modelu, konfiguracji lub wersji danych treningowych. Obrona zakwestionuje dowody AI, jeśli dokładnego stanu systemu w chwili podjęcia decyzji nie da się ustalić z rejestrów.
Rejestry zapisywane na dysku lokalnym bez przechowywania
Zapisywanie rejestrów decyzji AI w pamięci ulotnej bez trwałego, odpornego na manipulacje przechowywania. Rejestry AI w organach ścigania mogą być potrzebne lata lub dziesięciolecia po pierwotnej decyzji na potrzeby postępowań odwoławczych lub przeglądu spraw niewyjaśnionych. Pamięć ulotna jest zasadniczo niezgodna z terminami wymiaru sprawiedliwości w sprawach karnych.
Brak metadanych łańcucha dowodowego
Wyniki AI przechowywane bez rejestrowania łańcucha dowodowego: kto wygenerował wynik, kto uzyskał do niego dostęp, czy został zmodyfikowany lub skopiowany oraz jak został przekazany. Bez nieprzerwanego łańcucha dowodowego dowody wygenerowane przez AI mogą zostać uznane za niedopuszczalne w postępowaniu karnym.
Lista kontrolna zgodności z artykułem 12 dla organów ścigania
Rejestruj każdą decyzję organów ścigania wspomaganą przez AI
Generuj ustrukturyzowane zdarzenia rejestru dla każdej oceny ryzyka, oceny dowodów, wyniku analizy przestępczości i zapytania do bazy danych. Uwzględnij znacznik czasu, wersję modelu, odniesienia do danych wejściowych, wynik oraz czynniki wpływające.
Rejestruj decyzje i działania funkcjonariuszy
Rejestruj tożsamość funkcjonariuszy, którzy przeanalizowali wyniki AI, ich decyzję oraz to, czy odstąpili od rekomendacji AI. Wykaż rzeczywisty nadzór ze strony człowieka w każdym działaniu organów ścigania wspomaganym przez AI.
Utrzymuj łańcuch dowodowy dopuszczalny przed sądem
Stosuj przechowywanie odporne na manipulacje z haszowaniem kryptograficznym. Utrzymuj nieprzerwany łańcuch dowodowy od wygenerowania wyniku AI przez przechowywanie, dostęp i prezentację w sądzie. Rejestruj każdy dostęp do zapisów decyzji AI.
Zintegruj z rejestrowaniem z artykułu 25 LED
Zapewnij, aby rejestry systemów AI spełniały wymogi rejestrowania dyrektywy o ochronie danych w sprawach karnych w zakresie przetwarzania danych osobowych. Utwórz jednolitą ścieżkę audytu obejmującą zarówno rejestrowanie decyzji AI, jak i zapisy przetwarzania danych z LED.
Umożliw dostęp niezależnemu nadzorowi
Zaprojektuj warstwową kontrolę dostępu umożliwiającą organom nadzoru rynku, organom ochrony danych i niezależnym organom nadzorczym audyt rejestrów decyzji AI bez narażania toczących się dochodzeń.
Najczęściej zadawane pytania
Powiązane zasoby
Artykuł 12: prowadzenie rejestrów
Pełne wymogi artykułu 12 we wszystkich branżach.
AI w organach ścigania — Centrum branżowe
Kompletny przewodnik po zgodności z EU AI Act dla AI w organach ścigania.
Artykuł 13: przejrzystość dla organów ścigania
Wymogi przejrzystości dla systemów AI w organach ścigania.
Artykuł 12: prowadzenie rejestrów dla biometrii
Rejestrowanie dopasowań biometrycznych i ścieżki audytu list obserwacyjnych.
Jak pomaga Scanara
Scanara automatyzuje zgodność z EU AI Act od kodu do dossier. Połącz swoje repozytoria GitHub i otrzymaj raporty zgodności w kilka minut.