Rozpoczęcie obowiązywania przepisów rozporządzenia AI Act jest rozłożone w czasie, a polski regulator aktualnie przygotowuje się do jego implementacji do lokalnego prawa. AI Act i rekomendacje instytucji regulacyjnych opierają się na ocenie ryzyka według skali i zalecają zastosowanie adekwatnych mechanizmów zabezpieczających prawa pacjentów. Rozwiązania najbardziej ryzykowne obarczone są największymi obowiązkami związanymi z transparentnością, kontrolą wewnętrzną, weryfikacją wyniku i odpowiedzialnością za błędy. – Naszym klientom, którzy już teraz wdrażają technologie oparte na sztucznej inteligencji, zalecamy podobne podejście. Zamiar użycia technologii opartej na AI powinna poprzedzić ocena potencjalnych ryzyk zarówno od strony technologicznej, jak i prawnej. Przykładowo, chociażby korzystanie z popularnych chatbotów w ramach organizacji dysponującej danymi sensytywnymi powinno odbywać się z namysłem i zachowaniem zasad poufności – mówi Martyna Czapska, senior associate w zespole IP Tech w Baker McKenzie.

Światowa Organizacja Zdrowia (WHO) oraz Europejska Agencja Leków (EMA) wydały swoje zalecenia lub dokumenty kierunkowe dotyczące użycia AI w obszarze zdrowia i badań nad nowymi terapiami lekowymi. Wskazują one również na ryzyka związane z tymi technologiami i zalecają ostrożność w ich stosowaniu. Eksperci Baker McKenzie zwracają uwagę, że napędzana konkurencją branża IT z dominującą kulturą dążenia do jak najszybszej komercjalizacji rozwiązania nie przystaje do świata medycyny. – EMA w swoim oświadczeniu bardzo jasno podkreśla, że rozwojem i wdrażaniem sztucznej inteligencji w obszarze badań nad nowymi lekami powinno kierować podejście skoncentrowane na człowieku. O ile Dolina Krzemowa może funkcjonować zgodnie z filozofią „działaj szybko, nawet kosztem błędów”, na takie podejście nie mogą pozwolić sobie firmy biotechnologiczne i farmaceutyczne – dodaje Juliusz Krzyżanowski, kierujący zespołem ochrony zdrowia w warszawskim biurze Baker McKenzie.

Kluczową kwestią, której powinien być świadomy każdy badacz i przedsiębiorca korzystający z narzędzi opartych na sztucznej inteligencji, jest fakt, że odpowiedzialność za ewentualne naruszenia praw osób trzecich, poufności lub skutki błędów modelu AI może w wielu przypadkach spoczywać na użytkowniku. Dlatego też badanie due diligence poprzedzające użycie narzędzia AI powinno uwzględniać ocenę źródeł i jakości danych użytych do trenowania modelu. Dane niekompletne, niewiarygodne, stronnicze lub naruszające prawa osób trzecich mogą prowadzić do niewiarygodnych wyników i generować ryzyka prawne. Przedsiębiorca powinien zadbać o odpowiednie zapisy w umowie – gwarancje i zapewnienia ze strony dostawcy co do praw do użytkowania danych zastosowanych na etapie trenowania narzędzia, a także odpowiedzialności za jego działanie. W przypadku udostępnienia systemowi opartemu o AI wrażliwych informacji o pacjentach pojawia się ryzyko nieuprawnionego wykorzystania lub ujawnienia informacji poufnych, a niekiedy także danych osobowych. Konieczne jest rozstrzygnięcie, czy dostawca narzędzia będzie miał prawo przetwarzać te dane i zasilać nimi swój algorytm, a także czy przekazanie ich poza firmę jest niezbędne i zgodne z prawem. – Kwestie wynikające z RODO, takie jak podstawa prawna przetwarzania danych, spełnienie obowiązków informacyjnych, minimalizacja gromadzenia i przetwarzania danych do poziomu niezbędnego do realizacji celu przetwarzania, a także prawo do sprzeciwu obowiązują również w odniesieniu do narzędzi opartych o AI – podsumowuje Martyna Czapska.

W obszarze praw autorskich istotna jest również kwestia efektu pracy modelu. Zgodnie z dominującym obecnie podejściem dzieło wygenerowane przez sztuczną inteligencję nie jest objęte ochroną prawa autorskiego. Takie prawo może przysługiwać wyłącznie człowiekowi. Efekt pracy modelu AI nie powinien więc być traktowany jako skończony twór, ale inspiracja do dalszej pracy. Ogólna rekomendacja dotycząca zastosowania narzędzi AI przy tworzeniu nowych technologii i terapii medycznych to udział badaczy i kontrola na każdym etapie tworzenia modelu – od jego trenowania, przez zapewnienie jakości danych, po weryfikację wyniku.