Art. 50 w biometrii: obowiązek informacyjny i zakazy z art. 5

Każdy z ustępów 1–4 wskazuje, kto musi informować. Każdy ma też wyjątek dla zastosowań dozwolonych lub zezwolonych prawem w celu wykrywania, zapobiegania, prowadzenia postępowań i ścigania przestępstw; ustępy 1 i 3 wiążą z tym warunki.

• art. 50(3)
  Rozpoznawanie emocji i kategoryzacja biometryczna (podmiot wdrażający)

  Podmioty wdrażające system rozpoznawania emocji lub system kategoryzacji biometrycznej muszą informować osoby fizyczne narażone na ich działanie o funkcjonowaniu systemu oraz przetwarzać dane osobowe zgodnie z rozporządzeniami (UE) 2016/679 i (UE) 2018/1725 oraz dyrektywą (UE) 2016/680, stosownie do przypadku. Obowiązek nie dotyczy systemów AI wykorzystywanych do kategoryzacji biometrycznej i rozpoznawania emocji, które są dozwolone prawem w celu wykrywania, zapobiegania lub prowadzenia postępowań w sprawie przestępstw, z zastrzeżeniem odpowiednich zabezpieczeń praw i wolności osób trzecich oraz zgodnie z prawem Unii.

• art. 50(1)
  Systemy wchodzące w interakcję z ludźmi (dostawca)

  Dostawcy muszą projektować systemy przeznaczone do bezpośredniej interakcji z osobami fizycznymi tak, aby te osoby były informowane, że wchodzą w interakcję z systemem AI, chyba że jest to oczywiste z punktu widzenia osoby fizycznej dostatecznie poinformowanej, uważnej i ostrożnej, z uwzględnieniem okoliczności i kontekstu wykorzystywania.

• art. 50(2)
  Oznaczanie syntetycznych wyników (dostawca)

  Dostawcy systemów generujących syntetyczne treści dźwiękowe, obrazowe, wideo lub tekstowe muszą zapewnić, aby wyniki były oznakowane w formacie nadającym się do odczytu maszynowego i wykrywalne jako sztucznie wygenerowane lub zmanipulowane. Obowiązek nie ma zastosowania w zakresie, w jakim system pełni funkcję wspomagającą w zakresie standardowej edycji lub nie zmienia w istotny sposób danych wejściowych ani ich semantyki.

• art. 50(4)
  Deepfake i opublikowane teksty (podmiot wdrażający)

  Podmioty wdrażające system generujący lub przetwarzający obrazy, treści dźwiękowe lub wideo stanowiące deepfake muszą ujawnić, że treści te zostały sztucznie wygenerowane lub zmanipulowane. To samo dotyczy tekstu publikowanego w celu informowania społeczeństwa o sprawach leżących w interesie publicznym, chyba że tekst został poddany weryfikacji przez człowieka lub kontroli redakcyjnej, a odpowiedzialność redakcyjną ponosi osoba. W przypadku utworu o wyraźnie artystycznym, twórczym, satyrycznym lub fikcyjnym charakterze obowiązek ogranicza się do ujawnienia istnienia wygenerowanych treści w odpowiedni sposób, który nie utrudnia wyświetlania ani korzystania z utworu.

• art. 50(5)
  Jak i kiedy informować

  Informacje podaje się w jasny i wyraźny sposób najpóźniej przy pierwszym kontakcie lub pierwszym narażeniu, a muszą być zgodne z mającymi zastosowanie wymogami dostępności (art. 50 ust. 5).

Art. 50 dotyczy wymienionych systemów AI niezależnie od klasy ryzyka. Najpierw stosuje się zakazy z art. 5 dotyczące wnioskowania o emocjach w pracy i w edukacji oraz niektórej kategoryzacji biometrycznej.

• Biometria jest ograniczonym obszarem załącznika III

  Załącznik III ma obszar „Biometria”, ograniczony do lit. a)–c) i do zastosowań dozwolonych na mocy odpowiednich przepisów prawa Unii lub prawa krajowego (załącznik III pkt 1). Rozporządzenie nie zawiera szerszego reżimu dla biometrii. Ta strona zalicza do biometrii także zakazy z art. 5 ust. 1 lit. e)–h).

• Co rozporządzenie rozumie przez rozpoznawanie emocji i kategoryzację biometryczną

  System rozpoznawania emocji to system AI służący do identyfikacji lub wywnioskowania emocji lub zamiarów osób fizycznych na podstawie ich danych biometrycznych (art. 3 pkt 39). System kategoryzacji biometrycznej to system AI służący do przypisywania osób fizycznych do określonych kategorii na podstawie ich danych biometrycznych, chyba że ma on charakter pomocniczy wobec innej usługi komercyjnej i jest bezwzględnie konieczny z obiektywnych względów technicznych (art. 3 pkt 40). Dane biometryczne to dane osobowe wynikające ze specjalnego przetwarzania technicznego, które dotyczą cech fizycznych, fizjologicznych lub behawioralnych osoby fizycznej, takich jak wizerunek twarzy lub dane daktyloskopijne (art. 3 pkt 34).

• Wnioskowanie o emocjach w pracy i w edukacji: art. 5 ust. 1 lit. f)

  Art. 5 ust. 1 lit. f) zakazuje wprowadzania do obrotu, oddawania do użytku w tym konkretnym celu i wykorzystywania systemów AI do wywnioskowania emocji osoby fizycznej w miejscu pracy i w instytucjach edukacyjnych, z wyjątkiem przypadków, gdy system ma zostać wdrożony lub wprowadzony do obrotu ze względów medycznych lub bezpieczeństwa. Wyjątek nie tworzy żadnego obowiązku. System rozpoznawania emocji, który nie jest zakazany, w tym system objęty wyjątkiem, jest systemem wysokiego ryzyka na podstawie załącznika III pkt 1 lit. c), o ile jego stosowanie jest dozwolone na mocy odpowiednich przepisów prawa Unii lub prawa krajowego, i ma zastosowanie art. 50 ust. 3. Poinformowanie osób narażonych nie czyni zakazanego użycia zgodnym z prawem.

• Kategoryzacja biometryczna: art. 5 ust. 1 lit. g) i załącznik III pkt 1 lit. b)

  Art. 5 ust. 1 lit. g) zakazuje wprowadzania do obrotu, oddawania do użytku w tym konkretnym celu i wykorzystywania systemów kategoryzacji biometrycznej, które indywidualnie kategoryzują osoby fizyczne na podstawie ich danych biometrycznych, aby wywnioskować lub wydedukować ich rasę, poglądy polityczne, przynależność do związków zawodowych, przekonania religijne lub światopoglądowe, życie seksualne lub orientację seksualną. Zakaz nie obejmuje etykietowania ani filtrowania zgodnie z prawem pozyskanych zbiorów danych biometrycznych, takich jak obrazy, na podstawie danych biometrycznych ani kategoryzacji danych biometrycznych w obszarze ścigania przestępstw. Kategoryzacja biometryczna według wrażliwych lub chronionych atrybutów lub cech bądź na podstawie wnioskowania o tych atrybutach lub cechach jest systemem wysokiego ryzyka na podstawie załącznika III pkt 1 lit. b). Artykuły rozporządzenia nie wymieniają tych atrybutów; zapytaj prawnika, czy dany atrybut się zalicza. Art. 50 ust. 3 dotyczy systemów kategoryzacji biometrycznej niezależnie od klasy ryzyka, z zastrzeżeniem wyjątku dotyczącego przestępstw.

• Identyfikacja nie jest objęta art. 50 ust. 3

  Art. 50 ust. 3 obejmuje systemy rozpoznawania emocji i kategoryzacji biometrycznej, a nie identyfikację biometryczną. Systemy zdalnej identyfikacji biometrycznej są systemami wysokiego ryzyka na podstawie załącznika III pkt 1 lit. a), o ile ich stosowanie jest dozwolone na mocy odpowiednich przepisów prawa Unii lub prawa krajowego. Ich wykorzystywanie w czasie rzeczywistym w przestrzeni publicznie dostępnej do celów ścigania przestępstw jest zakazane przez art. 5 ust. 1 lit. h), chyba że jest bezwzględnie konieczne do jednego z trzech wymienionych tam celów. Lit. e) art. 5 ust. 1 zakazuje systemów AI, które tworzą lub rozbudowują bazy danych służące rozpoznawaniu twarzy poprzez nieukierunkowane pozyskiwanie wizerunków twarzy z internetu lub nagrań z monitoringu wizyjnego; dotyczy takich systemów i nie wspomina o zbiorach danych treningowych.

• Załącznik III pkt 1: biometria

  Załącznik III pkt 1 wymienia trzy rodzaje systemów AI, o ile ich stosowanie jest dozwolone na mocy odpowiednich przepisów prawa Unii lub prawa krajowego: a) systemy zdalnej identyfikacji biometrycznej, z wyłączeniem systemów AI przeznaczonych do weryfikacji biometrycznej, których jedynym celem jest potwierdzenie, że dana osoba fizyczna jest osobą, za którą się podaje; b) systemy AI przeznaczone do kategoryzacji biometrycznej według wrażliwych lub chronionych atrybutów lub cech bądź na podstawie wnioskowania o tych atrybutach lub cechach; c) systemy AI przeznaczone do rozpoznawania emocji. Systemy weryfikacji biometrycznej, o których mowa w lit. a), nie są wymienione w pkt 1. Inne systemy z załącznika III nie są systemami wysokiego ryzyka, gdy ma zastosowanie art. 6 ust. 3; zapytaj prawnika, jak łączą się jego warunki. System, który dokonuje profilowania osób fizycznych, jest zawsze systemem wysokiego ryzyka. Dostawca, który uważa system z załącznika III za niebędący systemem wysokiego ryzyka, musi udokumentować tę ocenę przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku oraz zarejestrować go zgodnie z art. 49 ust. 2 (art. 6 ust. 4).

• Dostawca i podmiot wdrażający

  Dostawca, na przykład producent oprogramowania do rozpoznawania twarzy, opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą (art. 3 pkt 3). Przedsiębiorstwo, organ publiczny lub inny podmiot, który wykorzystuje system pod własnym nadzorem, jest podmiotem wdrażającym (w rozporządzeniu: podmiotem stosującym; art. 3 pkt 4). Podmiot wdrażający staje się dostawcą, jeżeli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już wprowadzonym do obrotu, wprowadzi istotną zmianę, po której system pozostaje systemem wysokiego ryzyka, albo zmieni przeznaczenie systemu niebędącego systemem wysokiego ryzyka tak, że staje się nim (art. 25 ust. 1); w pierwszym przypadku ustalenia umowne mogą rozdzielić obowiązki inaczej. Rozporządzenie nie ma zastosowania do obowiązków podmiotów wdrażających będących osobami fizycznymi, które korzystają z systemów AI w ramach czysto osobistej działalności o charakterze niezawodowym (art. 2 ust. 10).

• Terminy

  Art. 50 obowiązuje od 2 sierpnia 2026. Dostawcy systemów generujących treści syntetyczne, wprowadzonych do obrotu przed tą datą, muszą podjąć niezbędne kroki w celu zapewnienia zgodności z art. 50 ust. 2 do 2 grudnia 2026 (art. 111 ust. 4). Dla obowiązków z art. 50 ust. 1, 3 i 4 nie ma okresu przejściowego.

• Kary

  Naruszenie obowiązków w zakresie przejrzystości dostawców i podmiotów wdrażających z art. 50 może skutkować karą pieniężną do 15 mln EUR lub, jeżeli sprawca jest przedsiębiorstwem, do 3 % jego całkowitego światowego obrotu rocznego z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa (art. 99 ust. 4 lit. g)). Naruszenie art. 5 może skutkować karą do 35 mln EUR lub, jeżeli sprawca jest przedsiębiorstwem, do 7 % tego obrotu, zależnie od tego, która kwota jest wyższa (art. 99 ust. 3). Dla MŚP, w tym przedsiębiorstw typu start-up, każda kara może sięgać najwyżej niższej z tych kwot (art. 99 ust. 6); dla małych spółek o średniej kapitalizacji dotyczy to poziomu z art. 50, a nie art. 5 (art. 3 pkt 14b, art. 99 ust. 6a). Każde państwo członkowskie decyduje, w jakim zakresie kary pieniężne mogą być nakładane na organy publiczne (art. 99 ust. 8).

• Granice zakresu stosowania

  Rozporządzenie nie ma zastosowania do obszarów wykraczających poza zakres prawa Unii (art. 2 ust. 3, zdanie pierwsze). Nie ma zastosowania do systemów AI w zakresie, w jakim są wprowadzane do obrotu, oddawane do użytku lub wykorzystywane, ze zmianami lub bez zmian, wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego (art. 2 ust. 3, zdanie drugie). Nie ma zastosowania do organów publicznych państw trzecich ani organizacji międzynarodowych, które wykorzystują systemy AI w ramach współpracy międzynarodowej lub umów w zakresie ścigania przestępstw i współpracy sądowej z Unią lub z jednym państwem członkowskim bądź większą ich liczbą, pod warunkiem że zapewniają odpowiednie zabezpieczenia w zakresie ochrony praw podstawowych i wolności osób fizycznych (art. 2 ust. 4). Nie ma zastosowania do systemów AI ani modeli AI, w tym ich wyników, opracowanych i oddanych do użytku wyłącznie w celu badań naukowych i prac rozwojowych (art. 2 ust. 6), ani do działalności badawczej, testowej i rozwojowej prowadzonej przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku; testowanie w warunkach rzeczywistych nie jest objęte tym wyłączeniem (art. 2 ust. 8). Nie ma zastosowania do systemów AI udostępnianych na podstawie wolnych licencji otwartego oprogramowania, chyba że są wprowadzane do obrotu lub oddawane do użytku jako systemy AI wysokiego ryzyka albo podlegają art. 5 lub 50 (art. 2 ust. 12).

• Brak formatu informacji i brak reguły dotyczącej wykrywania żywotności

  Art. 50 ust. 3 nie wskazuje brzmienia, ikony, kanału ani normy dla informacji. Art. 50 ust. 5 wymaga jasnego i wyraźnego sposobu, najpóźniej przy pierwszym kontakcie lub pierwszym narażeniu, zgodnie z mającymi zastosowanie wymogami dostępności. Rozporządzenie nie wskazuje dla systemów biometrycznych wymogu wykrywania żywotności ani wykrywania ataków prezentacyjnych.

• Wytyczne i kodeksy praktyk

  Komisja opracowuje wytyczne dotyczące praktycznego wdrażania art. 50 (art. 96 ust. 1 lit. d)) oraz zakazanych praktyk z art. 5 (lit. b)). Zachęca też do kodeksów praktyk dotyczących wykrywania, oznaczania i etykietowania treści wygenerowanych lub zmanipulowanych w sposób sztuczny (art. 50 ust. 7); dotyczą one obowiązków z ust. 2 i 4, nie z ust. 3.

• Jak dotrzeć do osób narażonych

  Art. 50 ust. 3 nie mówi, jakim kanałem podmiot wdrażający informuje osoby narażone na działanie systemu, na przykład na odległość. Informacja musi spełniać art. 50 ust. 5. Czy tablica przy wejściu robi to w przypadku danego systemu, rozporządzenie nie rozstrzyga; skonsultuj się z prawnikiem.

• Inne prawo o przejrzystości i ochronie danych

  Art. 50 ust. 3 sam wymaga przetwarzania danych osobowych zgodnie z rozporządzeniami (UE) 2016/679 i (UE) 2018/1725 oraz dyrektywą (UE) 2016/680, stosownie do przypadku. Art. 50 nie wpływa na inne obowiązki w zakresie przejrzystości dla podmiotów wdrażających ustanowione w prawie Unii lub prawie krajowym (art. 50 ust. 6). To, czego te przepisy wymagają poza rozporządzeniem, wykracza poza tę stronę.

• Artykuł 50: obowiązki przejrzystości i ujawniania

  Art. 50 dla wszystkich sektorów: cztery obowiązki, wyjątki, terminy i kary.

• Rozporządzenie AI biometria: zgodność

  Przegląd biometrii: jak rozporządzenie obejmuje zdalną identyfikację biometryczną, kategoryzację biometryczną i rozpoznawanie emocji.

• Art. 26 w biometrii: obowiązki podmiotów wdrażających

  AI biometryczna i art. 26: zezwolenie na identyfikację post factum, art. 27, rejestracja i rejestry zdarzeń.

• Zakazane praktyki AI: artykuł 5 rozporządzenia AI

  Zakazane praktyki, w tym wnioskowanie o emocjach w pracy i w edukacji.