Artykuł 17 w ściganiu przestępstw: system zarządzania jakością

Rozporządzenie nie przewiduje ogólnosektorowego reżimu dla ścigania przestępstw; pkt 6 załącznika III to obszar wysokiego ryzyka zatytułowany „Ściganie przestępstw”. Definiuje ściganie przestępstw jako działania prowadzone przez organy ścigania lub w ich imieniu w celu zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania lub ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (art. 3 pkt 46). Organ ścigania to organ publiczny właściwy w tych sprawach albo inny organ lub podmiot, któremu prawo państwa członkowskiego powierzyło w tym celu sprawowanie władzy publicznej (art. 3 pkt 45).

załącznik III pkt 6 wymienia jako systemy wysokiego ryzyka pięć zastosowań przez organy ścigania lub w ich imieniu albo przez instytucje, organy i jednostki organizacyjne Unii we wsparciu tych organów, o ile ich wykorzystanie jest dozwolone na mocy odpowiednich przepisów prawa Unii lub prawa krajowego: ocena ryzyka stania się ofiarą przestępstwa (a); wykrywacze kłamstw i podobne narzędzia (b); ocena wiarygodności dowodów (c); ocena ryzyka popełnienia lub ponownego popełnienia przestępstwa przez osobę, nie wyłącznie na podstawie profilowania, albo ocena cech osobowości lub wcześniejszych zachowań przestępczych (d); oraz profilowanie w trakcie wykrywania, ścigania lub prowadzenia postępowań w sprawie przestępstw (e). Rozporządzenie nie zawiera osobnej pozycji dla analizy przestępczości ani predykcyjnej pracy policji jako takich.

Praca policji może podlegać również załącznik III pkt 1 (zdalna identyfikacja biometryczna, kategoryzacja biometryczna według cech wrażliwych lub chronionych, rozpoznawanie emocji) oraz załącznik III pkt 7 (migracja, azyl i zarządzanie kontrolą graniczną). Oba punkty mają ten sam warunek: ich wykorzystanie musi być dozwolone na mocy odpowiednich przepisów prawa Unii lub prawa krajowego. załącznik III pkt 8 lit. a) dotyczy systemów wykorzystywanych przez organ wymiaru sprawiedliwości lub w jego imieniu.

Rozporządzenie nie ma zastosowania do systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub dotyczących bezpieczeństwa narodowego (art. 2 ust. 3). Niektóre zastosowania w ściganiu przestępstw są od 2 lutego 2025 zakazane, a nie wysokiego ryzyka (art. 113 lit. a)): ocena ryzyka popełnienia przestępstwa przez osobę, oparta wyłącznie na profilowaniu lub ocenie jej cech osobowości, chyba że jedynie wspiera ona dokonywaną przez człowieka ocenę opartą już na obiektywnych i weryfikowalnych faktach bezpośrednio związanych z działalnością przestępczą (art. 5 ust. 1 lit. d)); bazy danych rozpoznawania twarzy tworzone przez nieukierunkowane pozyskiwanie wizerunków twarzy z internetu lub z nagrań z kamer monitoringu (art. 5 ust. 1 lit. e)); oraz zdalna identyfikacja biometryczna „w czasie rzeczywistym” w przestrzeni publicznie dostępnej, chyba że jest bezwzględnie konieczna do osiągnięcia celu wymienionego w art. 5 ust. 1 lit. h) i spełnia warunki z art. 5 ust. 2–7. Rozporządzenie nie ma też zastosowania do obszarów wykraczających poza zakres prawa Unii (art. 2 ust. 3); do organów publicznych państw trzecich ani do organizacji międzynarodowych, które wykorzystują systemy AI w ramach współpracy międzynarodowej lub umów o współpracy organów ścigania i organów wymiaru sprawiedliwości z Unią lub państwami członkowskimi, pod warunkiem że zapewnione są odpowiednie zabezpieczenia ochrony praw podstawowych i wolności jednostek (art. 2 ust. 4); ani do systemów AI udostępnianych na podstawie wolnych licencji otwartego oprogramowania, chyba że zostaną wprowadzone do obrotu lub oddane do użytku jako systemy wysokiego ryzyka albo podlegają art. 5 lub 50 (art. 2 ust. 12). Osoby fizyczne korzystające z systemu w ramach czysto osobistej działalności o charakterze nieprofesjonalnym nie podlegają obowiązkom podmiotów wdrażających (art. 2 ust. 10).

Art. 17 nie zawiera przepisu szczególnego dla ścigania przestępstw. Dostawcy systemów wysokiego ryzyka muszą wdrożyć system zarządzania jakością. Jest on udokumentowany w systematyczny i uporządkowany sposób w formie pisemnych zasad, procedur i instrukcji (art. 17 ust. 1).

Rozporządzenie wymienia 13 elementów, czyli lit. a)–m), które system obejmuje co najmniej: strategię zgodności z przepisami, w tym procedury oceny zgodności i zarządzania zmianami; procedury projektowania, rozwoju, kontroli jakości, badania, testowania i walidacji; specyfikacje techniczne, w tym normy; zarządzanie danymi; system zarządzania ryzykiem, o którym mowa w art. 9; system monitorowania po wprowadzeniu do obrotu, o którym mowa w art. 72; zgłaszanie poważnych incydentów zgodnie z art. 73; komunikację z organami, jednostkami notyfikowanymi, innymi operatorami i klientami; prowadzenie dokumentacji; zarządzanie zasobami, w tym środki dotyczące bezpieczeństwa dostaw; oraz ramy odpowiedzialności (art. 17 ust. 1).

Wdrożenie jest proporcjonalne do wielkości organizacji dostawcy, w szczególności jeśli jest on MŚP, w tym przedsiębiorstwem typu start-up, lub małą spółką o średniej kapitalizacji (art. 3 pkt 14b). Dostawcy muszą w każdym przypadku zachować stopień rygoru i poziom ochrony niezbędne do zapewnienia zgodności ich systemów wysokiego ryzyka z rozporządzeniem (art. 17 ust. 2).

art. 16 ust. c nakłada obowiązek posiadania systemu zarządzania jakością na dostawców. Policyjny podmiot wdrażający nie ma obowiązku na podstawie art. 17. Organ ścigania, który zleca opracowanie systemu i oddaje go do użytku pod własną nazwą, jest dostawcą (art. 3 pkt 3). Dostawcą jest też podmiot wdrażający uznany za dostawcę na podstawie art. 25 ust. 1.

System zarządzania jakością obejmuje system monitorowania po wprowadzeniu do obrotu (art. 17 ust. 1 lit. h)). System ten zbiera dane o działaniu systemów wysokiego ryzyka przez cały okres ich życia, ale obowiązek ten nie obejmuje wrażliwych danych operacyjnych podmiotów wdrażających, które są organami ścigania (art. 72 ust. 2).

W przypadku pkt 2–8 załącznika III, w tym pkt 6, dostawca stosuje kontrolę wewnętrzną zgodnie z załącznikiem VI, w ramach której weryfikuje, czy jego system zarządzania jakością jest zgodny z art. 17 (art. 43 ust. 2, załącznik VI pkt 2). W przypadku pkt 1 kontrola wewnętrzna jest dostępna tylko wtedy, gdy zastosowano normy zharmonizowane lub wspólne specyfikacje; w przeciwnym razie stosuje się załącznik VII, który obejmuje badanie systemu zarządzania jakością (art. 43 ust. 1). W trybie załącznika VII, gdy system ma być oddany do użytku przez organy ścigania, organy imigracyjne lub azylowe albo przez instytucje, organy i jednostki organizacyjne Unii, jednostką notyfikowaną jest organ nadzoru rynku, o którym mowa w art. 74 ust. 8 lub art. 74 ust. 9. W drodze odstępstwa od art. 43 organ nadzoru rynku może zezwolić na konkretne systemy AI wysokiego ryzyka z wyjątkowych powodów, w tym bezpieczeństwa publicznego (art. 46 ust. 1); organy ścigania mają tryb pilny w art. 46 ust. 2.

Rozdział III sekcje 1–3 mają zastosowanie do systemów AI zaklasyfikowanych jako systemy wysokiego ryzyka na podstawie art. 6 ust. 2 i załącznika III od 2 grudnia 2027 (art. 113 lit. c) ppkt i)). Systemy wysokiego ryzyka wprowadzone do obrotu lub oddane do użytku przed tą datą są objęte rozporządzeniem tylko wtedy, gdy od tej daty zostaną w nich dokonane istotne zmiany konstrukcji. W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030 (art. 111 ust. 2). Systemy AI będące elementami wielkoskalowych systemów informatycznych ustanowionych aktami prawnymi wymienionymi w załączniku X, wprowadzone do obrotu lub oddane do użytku przed 2 sierpnia 2027, należy dostosować do rozporządzenia do 31 grudnia 2030 (art. 111 ust. 1).

Dostawcy muszą mieć system zarządzania jakością (art. 16 ust. c), a art. 99 ust. 4 lit. a) obejmuje obowiązki dostawców zgodnie z art. 16. Kary na podstawie art. 99 ust. 4 wynoszą do 15 mln EUR lub – jeżeli sprawcą naruszenia jest przedsiębiorstwo – do 3 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa. W przypadku MŚP, w tym przedsiębiorstw typu start-up (art. 99 ust. 6), oraz małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a) każda kara wynosi do niższej z tych dwóch kwot.

Każde państwo członkowskie ustanawia przepisy określające, w jakim zakresie administracyjne kary pieniężne mogą być nakładane na organy i podmioty publiczne mające siedzibę w tym państwie (art. 99 ust. 8). Wobec instytucji, organów i jednostek organizacyjnych Unii Europejski Inspektor Ochrony Danych może nakładać kary do 750 000 EUR za naruszenia inne niż naruszenia art. 5 (art. 100 ust. 3).