Artykuł 50 w ściganiu przestępstw: obowiązki przejrzystości

Rozporządzenie nie przewiduje ogólnosektorowego reżimu dla ścigania przestępstw; pkt 6 załącznika III to obszar wysokiego ryzyka zatytułowany „Ściganie przestępstw”. Definiuje ściganie przestępstw jako działania prowadzone przez organy ścigania lub w ich imieniu w celu zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania lub ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (art. 3 pkt 46). Organ ścigania to organ publiczny właściwy w tych sprawach albo inny organ lub podmiot, któremu prawo państwa członkowskiego powierzyło w tym celu sprawowanie władzy publicznej (art. 3 pkt 45).

załącznik III pkt 6 wymienia jako systemy wysokiego ryzyka pięć zastosowań przez organy ścigania lub w ich imieniu albo przez instytucje, organy i jednostki organizacyjne Unii we wsparciu tych organów, o ile ich wykorzystanie jest dozwolone na mocy odpowiednich przepisów prawa Unii lub prawa krajowego: ocena ryzyka stania się ofiarą przestępstwa (a); wykrywacze kłamstw i podobne narzędzia (b); ocena wiarygodności dowodów (c); ocena ryzyka popełnienia lub ponownego popełnienia przestępstwa przez osobę, nie wyłącznie na podstawie profilowania, albo ocena cech osobowości lub wcześniejszych zachowań przestępczych (d); oraz profilowanie w trakcie wykrywania, ścigania lub prowadzenia postępowań w sprawie przestępstw (e). Rozporządzenie nie zawiera osobnej pozycji dla analizy przestępczości ani predykcyjnej pracy policji jako takich.

Praca policji może podlegać również załącznik III pkt 1 (zdalna identyfikacja biometryczna, kategoryzacja biometryczna według cech wrażliwych lub chronionych, rozpoznawanie emocji) oraz załącznik III pkt 7 (migracja, azyl i zarządzanie kontrolą graniczną). Oba punkty mają ten sam warunek: ich wykorzystanie musi być dozwolone na mocy odpowiednich przepisów prawa Unii lub prawa krajowego. załącznik III pkt 8 lit. a) dotyczy systemów wykorzystywanych przez organ wymiaru sprawiedliwości lub w jego imieniu.

Rozporządzenie nie ma zastosowania do systemów AI wykorzystywanych wyłącznie do celów wojskowych, obronnych lub dotyczących bezpieczeństwa narodowego (art. 2 ust. 3). Niektóre zastosowania w ściganiu przestępstw są od 2 lutego 2025 zakazane, a nie wysokiego ryzyka (art. 113 lit. a)): ocena ryzyka popełnienia przestępstwa przez osobę, oparta wyłącznie na profilowaniu lub ocenie jej cech osobowości, chyba że jedynie wspiera ona dokonywaną przez człowieka ocenę opartą już na obiektywnych i weryfikowalnych faktach bezpośrednio związanych z działalnością przestępczą (art. 5 ust. 1 lit. d)); bazy danych rozpoznawania twarzy tworzone przez nieukierunkowane pozyskiwanie wizerunków twarzy z internetu lub z nagrań z kamer monitoringu (art. 5 ust. 1 lit. e)); oraz zdalna identyfikacja biometryczna „w czasie rzeczywistym” w przestrzeni publicznie dostępnej, chyba że jest bezwzględnie konieczna do osiągnięcia celu wymienionego w art. 5 ust. 1 lit. h) i spełnia warunki z art. 5 ust. 2–7. Rozporządzenie nie ma też zastosowania do obszarów wykraczających poza zakres prawa Unii (art. 2 ust. 3); do organów publicznych państw trzecich ani do organizacji międzynarodowych, które wykorzystują systemy AI w ramach współpracy międzynarodowej lub umów o współpracy organów ścigania i organów wymiaru sprawiedliwości z Unią lub państwami członkowskimi, pod warunkiem że zapewnione są odpowiednie zabezpieczenia ochrony praw podstawowych i wolności jednostek (art. 2 ust. 4); ani do systemów AI udostępnianych na podstawie wolnych licencji otwartego oprogramowania, chyba że zostaną wprowadzone do obrotu lub oddane do użytku jako systemy wysokiego ryzyka albo podlegają art. 5 lub 50 (art. 2 ust. 12). Osoby fizyczne korzystające z systemu w ramach czysto osobistej działalności o charakterze nieprofesjonalnym nie podlegają obowiązkom podmiotów wdrażających (art. 2 ust. 10).

Dostawcy muszą projektować systemy AI przeznaczone do bezpośredniej interakcji z osobami fizycznymi tak, aby osoby te były informowane o tym, że prowadzą interakcję z systemem AI, chyba że jest to oczywiste dla osoby rozsądnie poinformowanej, spostrzegawczej i ostrożnej. Obowiązek nie dotyczy systemów AI, których wykorzystywanie jest dozwolone przez prawo w celu wykrywania, zapobiegania, prowadzenia postępowań przygotowawczych lub ścigania czynów zabronionych, z zastrzeżeniem odpowiednich zabezpieczeń praw i wolności osób trzecich, chyba że systemy te są udostępnione publicznie w celu zgłaszania przestępstw. System, za pomocą którego publiczność zgłasza przestępstwa, nie jest więc wyłączony (art. 50 ust. 1).

Dostawcy systemów AI, w tym systemów AI ogólnego przeznaczenia, generujących syntetyczne treści dźwiękowe, graficzne, wideo lub tekstowe muszą zapewnić, aby wyniki systemu AI zostały oznaczone w formacie nadającym się do odczytu maszynowego i możliwe do wykrycia jako wygenerowane lub zmanipulowane przez AI. Obowiązek nie ma zastosowania w zakresie, w jakim systemy pełnią funkcję wspomagającą standardową edycję lub nie zmieniają istotnie danych wejściowych ani ich semantyki, ani gdy jest to dozwolone przez prawo w celu wykrywania, zapobiegania, prowadzenia postępowań przygotowawczych lub ścigania czynów zabronionych (art. 50 ust. 2).

Podmioty wdrażające system rozpoznawania emocji lub system kategoryzacji biometrycznej muszą informować osoby fizyczne, wobec których system jest stosowany, o jego działaniu oraz przetwarzać dane osobowe zgodnie z rozporządzeniami (UE) 2016/679 i (UE) 2018/1725 oraz dyrektywą (UE) 2016/680, w stosownych przypadkach. Obowiązek nie dotyczy systemów AI wykorzystywanych do kategoryzacji biometrycznej i rozpoznawania emocji, które są dozwolone przez prawo w celu wykrywania, zapobiegania lub prowadzenia postępowań przygotowawczych w sprawie czynów zabronionych, z zastrzeżeniem odpowiednich zabezpieczeń praw i wolności osób trzecich oraz zgodnie z prawem Unii (art. 50 ust. 3).

Podmioty wdrażające system AI, który generuje lub manipuluje treściami obrazowymi, dźwiękowymi lub wideo stanowiącymi deepfake, muszą ujawnić, że treści te zostały sztucznie wygenerowane lub zmanipulowane. Podmioty wdrażające system, który generuje lub manipuluje tekstem publikowanym w celu informowania społeczeństwa o sprawach leżących w interesie publicznym, muszą to również ujawnić. Żaden z tych obowiązków nie ma zastosowania, gdy wykorzystanie jest dozwolone przez prawo w celu wykrywania, zapobiegania, prowadzenia postępowań przygotowawczych lub ścigania czynów zabronionych. Obowiązek dotyczący tekstu nie ma też zastosowania, gdy treść została poddana weryfikacji przez człowieka lub kontroli redakcyjnej, a odpowiedzialność redakcyjną za publikację ponosi osoba fizyczna lub prawna (art. 50 ust. 4). Jeżeli treść stanowi część ewidentnie artystycznego, twórczego, satyrycznego, fikcyjnego lub analogicznego utworu lub programu, obowiązek dotyczący deepfake’ów ogranicza się do ujawnienia istnienia takich wygenerowanych lub zmanipulowanych treści w odpowiedni sposób, który nie utrudnia wyświetlania ani korzystania z utworu (art. 50 ust. 4).

Art. 50 nie zawiera przepisu o materiale wygenerowanym lub zmanipulowanym przez AI wykorzystywanym jako dowód w postępowaniach karnych, a rozporządzenie nie zawiera przepisów o dopuszczalności dowodów.

Art. 50 nie nakłada na organy obowiązku wykrywania deepfake’ów. Dostawcy systemów generujących muszą zapewnić, aby wyniki były oznaczone i możliwe do wykrycia jako wygenerowane lub zmanipulowane przez AI (art. 50 ust. 2), a podmioty wdrażające ujawniają deepfake’i (art. 50 ust. 4). Komisja zachęca do opracowywania kodeksów postępowania dotyczących wykrywania, oznaczania i etykietowania takich treści (art. 50 ust. 7).

Ust. 1–4 nie mają wpływu na wymogi rozdziału III i pozostają bez uszczerbku dla innych obowiązków w zakresie przejrzystości wynikających z prawa Unii lub prawa krajowego (art. 50 ust. 6). Rozpoznawanie emocji i kategoryzacja biometryczna są ponadto wymienione w załącznik III pkt 1, a wykrywacze kłamstw i podobne narzędzia w załącznik III pkt 6 lit. b). Poza wyjątkami informacje należy przekazać w jasny i wyraźny sposób najpóźniej podczas pierwszej interakcji lub pierwszego kontaktu z systemem oraz muszą one spełniać mające zastosowanie wymogi dostępności (art. 50 ust. 5).

art. 5 ust. 1 lit. f) zakazuje systemów AI do wnioskowania o emocjach osoby fizycznej w miejscu pracy i instytucjach edukacyjnych, z wyjątkiem systemów wdrażanych lub wprowadzanych do obrotu ze względów medycznych lub bezpieczeństwa. Nie wspomina o ściganiu przestępstw.

Komisja zachęca do opracowywania kodeksów postępowania na poziomie Unii dotyczących wykrywania, oznaczania i etykietowania treści sztucznie wygenerowanych lub zmanipulowanych oraz ułatwia ich opracowywanie, a także ocenia, czy ich przestrzeganie jest odpowiednie w odniesieniu do obowiązków z ust. 2 i 4. Jeżeli uzna kodeks za nieodpowiedni, może przyjąć akt wykonawczy określający wspólne zasady (art. 50 ust. 7). Komisja opracowuje też wytyczne dotyczące praktycznego wdrażania obowiązków przejrzystości z art. 50 (art. 96 ust. 1 lit. d)).

Art. 50 nie należy do żadnego z wyjątków w art. 113 lit. a)–d), więc obowiązuje od daty ogólnej, czyli od 2 sierpnia 2026 (art. 113). Dostawcy systemów generujących syntetyczne treści dźwiękowe, graficzne, wideo lub tekstowe, wprowadzonych do obrotu przed tą datą, muszą podjąć niezbędne kroki w celu zapewnienia zgodności z art. 50 ust. 2 do 2 grudnia 2026 (art. 111 ust. 4). Większość zakazów z art. 5 obowiązuje od 2 lutego 2025; art. 5 ust. 1 lit. ba), art. 5 ust. 1 lit. bb), art. 5 ust. 1a i art. 5 ust. 1b obowiązują od 2 grudnia 2026 (art. 113 lit. a)).

art. 99 ust. 4 lit. g) obejmuje obowiązki przejrzystości dostawców i podmiotów wdrażających zgodnie z art. 50. Kary na podstawie art. 99 ust. 4 wynoszą do 15 mln EUR lub – jeżeli sprawcą naruszenia jest przedsiębiorstwo – do 3 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa. W przypadku MŚP, w tym przedsiębiorstw typu start-up (art. 99 ust. 6), oraz małych spółek o średniej kapitalizacji (art. 3 pkt 14b, art. 99 ust. 6a) każda kara wynosi do niższej z tych dwóch kwot.

Każde państwo członkowskie ustanawia przepisy określające, w jakim zakresie administracyjne kary pieniężne mogą być nakładane na organy i podmioty publiczne mające siedzibę w tym państwie (art. 99 ust. 8). Wobec instytucji, organów i jednostek organizacyjnych Unii Europejski Inspektor Ochrony Danych może nakładać kary do 750 000 EUR za naruszenia inne niż naruszenia art. 5 (art. 100 ust. 3).