Wpływ regulacji Artificial Intelligence Act na rozwiązania funkcjonujące w obszarze przemysłu

Krystian Bień
Ekspert FPPP

Gospodarka cyfrowa to jeden z priorytetów Komisji Europejskiej, którego jednym z istotnych filarów jest regulacja Artificial Intelligence Act[1]. Związana jest ona z zapewnieniem bezpieczeństwa dla obywateli i przedsiębiorstw oraz jednocześnie wsparciem rozwoju tej innowacyjnej gałęzi gospodarki poprzez zwiększenie innowacyjności i inwestycji w dziedzinie sztucznej inteligencji w całej Unii Europejskiej. Zgodnie z jego założeniami ustanowione mają zostać zakazy dotyczące określonych praktyk związanych z aspektami sztucznej inteligencji, wymogi dotyczące systemów sztucznej inteligencji określonej jako wysokiego ryzyka, jak również wymogi w zakresie przejrzystości. Przy czym należy zwrócić szczególną uwagę na systemy sztucznej inteligencji przeznaczone do wchodzenia w interakcję z osobami fizycznymi. Rozporządzenie obejmuje również kwestie monitorowania rozwiązań sztucznej inteligenci po ich wdrożeniu do realnego środowiska.

W obszarze przemysłu jesteśmy świadkami transformacji technologicznej i organizacyjnej przedsiębiorstwa wyrażonej poprzez integrację inteligentnych maszyn, systemów i sposobu wprowadzania zmian w procesach produkcyjnych, aby osiągnąć jeszcze lepszą wydajność.

Z badania przeprowadzonego na zlecenie Autodesk wiosną 2021 roku^[2] wynika, że prawie 28% firm przemysłowych w Polsce wdrożyło już rozwiązania sztucznej inteligencji w swoich przedsiębiorstwach oraz jedna trzecia respondentów zadeklarowała, że w ich firmie planuje się wdrożenie AI w najbliższych latach. Zwiększenie wydajności produkcji nie jest prostym wyzwaniem, z którym uporać starają się przedsiębiorstwa. Zmiennych wpływających na jej docelowy poziom jest bardzo dużo a tępo pojawiania się nowych jak i zmiany istniejących są coraz częstsze. Dzięki AI otwierają się nowe możliwości do osiągania coraz to lepszych rezultatów w procesach produkcyjnych. Obecnie Sztuczna Inteligencja pojawia się już w takich obszarach produkcyjnych jak: prognozowanie jakości i wydajności procesów (np. analiza predykcyjna), przewidywanie awarii poszczególnych podzespołów linii produkcyjnej, zarządzanie zasobami, zarządzanie zadaniami i wiele innych. Różnorodność zastosowania sztucznej inteligencji w obszarach produkcyjnych, wymaga od zainteresowanych stron współpracy w celu dotarcia do niestandardowych rozwiązań, które mogą przyczynić się do wzrostów efektywności procesów wcześniej nie osiągalnych tradycyjnymi metodami.

Dobra Praktyka Wytwarzania[3] (ang. Good Manufacturing Practice, GMP) to zestaw standardów stosowanych w produkcji przemysłowej, zwłaszcza w branży farmaceutycznej, spożywczej oraz innych obszarach działalności gospodarczej. Ma ona na celu zapewnienie powtarzalności i jednorodności wyrobów poprzez ścisły nadzór nad całym procesem produkcji – od zaopatrzenia w surowce, poprzez magazynowanie, produkcję, pakowanie, znakowanie, aż do składowania i dystrybucji wyrobów gotowych. Pozwala więc na eliminowanie wszelkich sytuacji grożących zanieczyszczeniem wyrobu obcymi substancjami i ciałami chemicznymi, fizycznymi oraz szkodliwą mikroflorą.
Tym samy „Dobra Praktyka Wytwarzania” w większości branż, w których jej stosowanie jest obowiązkowe, ma na celu zapewnienie odpowiedniego bezpieczeństwa użytkownikom końcowym wyrobu gotowego.

Obecnie, ze względu na potencjalne skutki dla użytkowników, wymagania GMP stosowane są w:

Branży farmaceutycznej: Rozporządzenie Ministra Zdrowia z dnia 1.10.2008 r. w sprawie wymagań Dobrej Praktyki Wytwarzania (Dz. U. 2008 nr 184 poz. 1143, z późn. zm.)[4],
Branży spożywczej: Rozporządzenia (WE) nr 2023/2006 z dnia 22 grudnia 2006 r. w odniesieniu do materiałów i wyrobów przeznaczonych do kontaktu z żywnością (Dz. Urz. UE L 384 z 29.12.2006, str. 75 z późn. zm.)[5],
Branży kosmetycznej: norma ISO 22716[6].

W innych sektorach rynku również wprowadzane są tego typu rozwiązania. Każda zmiana związana z otoczeniem produkcji jest poddawana walidacji i kwalifikacji zanim stanie się jej pełnoprawną częścią.

Walidacja to tak zwany „udokumentowany program dający wysoki stopień pewności, że określony proces, metoda lub system będzie w sposób powtarzalny prowadzić do otrzymania wyników spełniających określone kryteria akceptacji”[7]. Tym samym walidacji poddawane są: procedury, procesy, urządzenia, materiały, czynności i systemy, zmiany w procesie lub w urządzeniach, walidacja procesu wytwarzania produktu, produktów leczniczych, systemy elektroniczne, techniki fotograficzne, systemy przetwarzania danych. Natomiast kwalifikacja jest częścią walidacji, lecz poszczególne, pojedyncze etapy kwalifikacji nie stanowią procesu walidacji. Kwalifikacja to „działanie mające na celu wykazanie i udokumentowanie, że urządzenia lub instalacje pomocnicze są odpowiednio zainstalowane, pracują właściwie, a ich działanie rzeczywiście prowadzi do uzyskania oczekiwanych wyników”[8]. Kwalifikacja dzieli się na kilka etapów:

Kwalifikacja projektu – udokumentowana weryfikacja stwierdzająca, że proponowany projekt obiektów, systemów i urządzeń jest odpowiedni do zamierzonego celu,
Kwalifikacja instalacyjna – udokumentowana weryfikacja stwierdzająca, że obiekty, systemy i urządzenia, zainstalowane lub zmodyfikowane, są zgodne z zatwierdzonym projektem i zaleceniami producenta,
Kwalifikacja operacyjna – udokumentowana weryfikacja stwierdzająca, że obiekty, systemy i urządzenia, zainstalowane lub zainstalowane lub zmodyfikowane, funkcjonują tak, jak zamierzono w przewidywanych zakresach operacyjnych,
Kwalifikacja procesowa – udokumentowana weryfikacja stwierdzająca, że obiekty, systemy i urządzenia, jako całość, działają skutecznie i w sposób powtarzalny w odniesieniu do zatwierdzonego procesu i specyfikacji produktu.

Mając na uwadze powyższe założenia oraz rekomendacje zamieszczone w AI Act, to na dostawcy rozwiązania wprowadzonego do obszaru produkcji ciąży obowiązek stworzenia mechanizmu zarządzania ryzykiem jego rozwiązania i stosowania go przez cały cykl życia sztucznej inteligencji. To również on zobowiązany jest do tego, aby zapewnić, iż zbiory danych przeznaczone do trenowania AI spełniają określone wymagania co do ich jakości, były reprezentatywne oraz testowane pod kątem ryzyka przechyłu algorytmicznego (ang. „algorithmic bias[9]” – to znaczy, że sztuczna inteligencja, „nakarmiona” określonymi danymi, może dyskryminować określone działania produkcyjne czy po prostu źle je diagnozować).

Sztuczna inteligencja to odpowiedź na wyzwania, jakie dla biznesu prezentuje efektywne wykorzystanie coraz większego strumienia danych generowanych przez rozwiązania produkcyjne każdego dnia. Zadanie to jest trudne nie tylko z uwagi na ilość danych, ale także ze względu na fakt, iż informacja wejściowa może mieć różny format. Natomiast ostateczny wynik musi brać pod uwagę każdy jej typ. To nie tylko informacje napływające z linii produkcyjnych, procesów produkcyjnych w postaci sygnałów, danych, tekstu, dźwięku i obrazu ale również coraz więcej danych z urządzeń typu Internetu Rzeczy (ang. Internt of Things, IoT) . Według prognoz, ilość danych generowanych przez systemy AI w 2025 roku przekroczy 160 zetabajtów, z czego 80% będą to dane nieustrukturyzowane (surowe)[10].

Technologie sztucznej inteligencji pozwalają doposażyć systemy elektroniczne w procesy poznawcze, które umożliwiają im podejmować prawidłowe decyzje nawet w warunkach niepewności. Faza uczenia się obejmuje analizę dużych zbiorów danych i poznawanie zasad i zależności opisujących studiowany model. Dzięki temu aplikacja nabiera zdolności do podejmowania decyzji i rozwiązywania problemów bez ingerencji człowieka. W większości przypadków jest to jedna określona funkcja, jak rozpoznawanie mowy czy autonomiczne prowadzenie samochodu. Właśnie ze względu na tą cechę AI powinniśmy mieć na uwadze sporo wyzwań jakie należy odpowiednio wcześnie zidentyfikować i zaadresować.

Rozporządzenie AI Act wyróżnia 4 rodzaje ryzyka:

Niedopuszczalne (są to systemy sztucznej inteligencji, które ze względu na ich sprzeczność z wartościami UE, zostały zakazane),
Wysokie (są to systemy sztucznej inteligencji, które niosą za sobą znaczne ryzyko, dla bezpieczeństwa, a tym samym powinny podlegać ścisłym regulacjom i wymogom),
Niskie (są to systemy sztucznej inteligencji, których to wykorzystanie, nie wiąże się ze znaczącym ryzykiem),
Minimalne (są to pozostałe systemy sztucznej inteligencji, których to wykorzystywanie wiąże się z minimalnym lub zerowym ryzykiem dla bezpieczeństwa)

Tak więc rozwiązania produkcyjne w których wykazano, że korzystają one w części lub całości z technologii AI należy dla nich przeprowadzić proces analizy i oceny ryzyka i w zależności od jej klasyfikacji przyjąć odpowiednie środki zarządzania ryzykiem, z uwzględnieniem stopnia zaawansowania użytkownika i zastosowaniem regularnych testów. W rzeczywistości oznacza to ustanowienie kompleksowego podejścia do prowadzenia dokumentacji dla systemów, których to dotyczy. AI Act zwraca również uwagę na aspekty jakościowe zbiorów danych. Tym samym w obszarze produkcji rozwiązania, które wykorzystują techniki obejmujące trenowanie modeli z wykorzystaniem danych, opracowuje się na podstawie zbiorów danych treningowych, walidacyjnych i testowych spełniających kryteria jakości. W trakcie prac nad dostarczeniem rozwiązania spełniającego określone potrzeby biznesowe należy ze szczególną uwagą podejść do decyzji projektowych związanych z operacjami przetwarzania ekonometrycznego (czyszczenie, wzbogacanie, agregacja, itp.) na potrzeby przygotowania danych, które posłużą do dalszego przetwarzania przez AI. Dlatego zbiory sygnałów i danych zbieranych z obszaru produkcyjnego muszą być kompletne, adekwatne do danego przypadku, reprezentatywne oraz wolne od błędów.

Z punktu widzenia AI Act równie ważnym produktem każdego projektu, w którym mówimy o AI lub komponencie AI jest dokumentacja techniczna. Obowiązkowo musi podlegać ona aktualizacji w przypadku zmian związanych z produktem, którego dotyczy[11]. Jest to swego rodzaju dodatkowe wyzwanie dla rozwiązań produkcyjnych, które i tak zgodnie z GMP równoległe podlegają kwalifikacji i walidacji. Docelowe rozwiązanie powinno być zaprojektowane w taki sposób, aby jego działanie było transparentne i zrozumiałe dla procesów audytowych (zarówno realizowanych na potrzeby wewnętrzne jak i te zewnętrzne np. audyt GIF[12], FDA[13], itp.)

Stosunkowo trudnym zagadnieniem jest kwestia nadzoru człowieka nad rozwiązaniem AI. W jego ramach należy skupić się nad zapobieganiem lub minimalizowaniem zagrożeń dla zdrowia, bezpieczeństwa lub praw podstawowych, które mogą powstać podczas korzystania z AI zgodnie z jej przeznaczeniem lub w warunkach dającego się racjonalnie przewidzieć niewłaściwego jej wykorzystania. Rozwiązania produkcyjne powinny być tak zaprojektowane, by umożliwiały ich nadzór np. poprzez wbudowanie odpowiednich punktów pomiarowych w system AI (jeśli jest to technicznie wykonalne).

Ze względu na specyfikę obszarów produkcyjnych zazwyczaj powierzchnia na jakiej znajdują się różnego rodzaju urządzenia jest podzielona na strefy. Taki podział pozwala lepiej zarządzić określonymi wymaganiami związanymi z danym etapem procesu produkcyjnego. Np. niektóre strefy mogą posiadać podwyższony poziom wymagań bezpieczeństwa przez co utrudniony jest przesyła danych do chmury. Tym samym architektura rozwiązań AI powinna uwzględniać specyfikę danej branży być odporna na błędy, usterki lub niespójności, które mogą wystąpić w systemie lub w środowisku w szczególności w interakcji z osobami fizycznymi lub innymi systemami. Dodatkowo z punktu widzenia bezpieczeństwa należy skutecznie eliminować wszystkie podatności rozwiązań AI, które mogłyby doprowadzić do nieupoważnionych dostępów przez osoby trzecie. Jest to szczególnie ważne, ponieważ ingerując w AI można zmienić jej zastosowanie lub skuteczność działania. Dlatego obszary produkcji szczególnie wrażliwe na tego typu próby ingerencji powinny być objęte dodatkowymi mechanizmami zabezpieczeń.

Aspekt przejrzystości to równie ważne zagadnienie podkreślone w AI Act. Regulator zwrócił uwagę, że możemy mieć do czynienia z sytuacjami, które nie zostały jednoznacznie określone jako „zakazane praktyki AI”[14] a możemy mieć z nimi do czynienia na co dzień w obszarach produkcyjnych. Np. w obszarach przemysłowych mogą znajdować się rozwiązania wykorzystujące technologię „Computer Vision” działające na potrzeby procesów BHP (zapobieganie wypadkom przy pracy). W takim przypadku użytkownicy poddani analizie przez system rozpoznawania emocji lub kategoryzacji biometrycznej muszą, być o tym fakcie wcześniej poinformowani. Systemy AI przeznaczone do interakcji z osobami fizycznymi muszą być zaprojektowane w taki sposób, aby osoby fizyczne były poinformowane, że wchodzą w interakcję z systemem AI.

Nowe Rozporządzenie AI wprowadza podejście oparte na ryzyku (risk based approach, analogia do RODO). Inaczej mówiąc stanowi proces ciągły, wymagający stałej identyfikacji i szacowania poziomu ryzyka. Przeprowadzenie analizy jest obowiązkowe, gdy przetwarzanie może powodować wysokie ryzyko naruszenia prawa.

Incydenty związane z AI będą musiały zostać zgłoszone organowi nadzorującemu zasady AI. Tym samym rekomendowane jest by zestandaryzować tego typu działanie po stronie organizacji i np. rozbudować funkcjonalność ServiceDesku, który już i tak wspiera określone działania organizacji oraz co najważniejsze bazuje na jednolitym katalogu usług wraz z ich pełną konfiguracją. W obszarze produkcji rozwiązania AI mogą być zaimplementowane na różnym poziomie zarządczym (strategiczny, taktyczny, operacyjny). Co oznacza, że konsekwencje ich działania mogą również mieć różny wpływ na otoczenie. Dlatego regulator podkreślił kategorię incydentu – „poważny incydent”, który oznacza jakikolwiek incydent bezpośrednio lub pośrednio prowadzący do któregokolwiek z poniższych:

Śmierci osoby lub poważnego uszczerbku dla zdrowia, mienia lub środowiska,
Poważne i nieodwracalne zakłócenie zarządzania infrastrukturą krytyczną i jej funkcjonowania.

W świetle przepisów odnośnie AI należy mieć na uwadze, że konsekwencje nie zastosowania się do wymagań zapisanych w AI Act mogą być dotkliwe z perspektywy przedsiębiorcy. Mianowicie regulator przewidział trzy poziomy karania i egzekwowania przepisów:

30 000 000 EUR lub do 6% całkowitego światowego rocznego obrotu za poprzedni rok finansowy, w zależności od tego, która z tych wartości jest wyższa. Za „nieprzestrzeganie zakazu praktyk dla sztucznej inteligencji, o którym mowa w art. 5” („zabroniona sztuczna inteligencja”) lub art. 10, „zarządzanie danymi”[15],
20 000 000 EUR lub 4% za nieprzestrzeganie jakiegokolwiek innego punktu regulacji,
10 000 000 EUR lub 2% za okłamanie (podanie niepełnych lub wprowadzających w błąd informacji) właściwym organom krajowym

Zgodnie z pkt 3.5 ppkt 1 Rozporządzenia Ministra Zdrowia z dnia 13 marca 2015 r. w sprawie wymagań Dobrej Praktyki Dystrybucyjnej (Dz. U. z 2015 r. poz. 381 z późn. zm.) „przed rozpoczęciem korzystania ze skomputeryzowanego systemu należy wykazać, w formie odpowiednich badań walidacyjnych lub weryfikujących, że system ten jest w stanie osiągać pożądane wyniki w sposób dokładny, niezmienny i powtarzalny”[16].

Zasady i wytyczne dotyczące walidacji systemów skomputeryzowanych zawarte są w dokumentach GAMP[17] 5 (Good Automated Manufacturing Practice) i Aneksie 11[18] do przewodnika GMP (Good Manufacturing Practice). Jeżeli system komputerowy wspomaga proces mający istotne znaczenie dla jakości produktów leczniczych, konieczne jest zarówno zwalidowanie samego systemu komputerowego, jak i zwalidowanie wdrożenia tego systemu. Jest to spójne założenie z podejściem jakie proponuje AI Act z tym, że GAMP na ten moment nie wyodrębnia oddzielnej kategorii dla rozwiązań związanych z AI. Dlatego organizacje powinny mieć na uwadze te dwa podejścia sygnalizujące kluczowe zagadnienia jakie należy zaadresować na etapie walidacji.

Przed zwolnieniem systemu komputerowego do użytkowania należy wykazać, w formie odpowiednich badań walidacyjnych, że system ten jest w stanie osiągnąć pożądane wyniki w sposób dokładny, niezmienny i powtarzalny. Fakt ten powinien być potwierdzony zakończeniem walidacji z wynikiem pozytywnym. Zadanie znacząco się komplikuje dla rozwiązań, które korzystają z AI. AI Act jest w tym wątku bardziej rygorystyczne i uwzględnia większy zakres zagadnień jakie należy sprawdzić prze wdrożeniem rozwiązania do obszaru produkcji.

Przemysł produkcyjny stale zmaga się z coraz to większymi oczekiwaniami odnośnie wydajności a tym samym potrzebą nieustannego rozwoju. We współczesnych zakładach produkcyjnych wykorzystywanych jest wiele kluczowych wskaźników wydajności KPI (Key Performance Indicators), które na co dzień dostarczają niezbędnych informacji na temat kondycji procesów. Oczywistym jest, że zwiększanie zdolności produkcyjnej a tym samym wydajności, możliwe jest w dużej mierze za sprawą technologii. To właśnie miarą sukcesu organizacji produkcyjnej jest właśnie poziom jej dojrzałości w tym zakresie – automatyzacja i robotyzacja procesów produkcyjnych. Trzeba mieć jednak świadomość, że nowoczesny park maszynowy i kompetentny zespół ludzi mogą nie wystarczyć do tego, aby znacząco została zwiększona wydajność produkcji. Panaceum w tym wypadku jest technologia AI, która dzięki swym właściwością otwiera nowe możliwości. Coraz więcej firm z powodzeniem wykorzystuje ją w różnych miejscach organizacji przez co osiąga coraz to lepsze rezultaty. Należy mieć na uwadze, że AI to również sporo wyzwań regulacyjnych, których z dnia na dzień przybywa coraz więcej. Obecnie w różnych miejscach na świecie np. National Artificial Intelligence Initiative Office – „The Blueprint for an AI Bill of Rights[19]”, Organisation for Economic Cooperation and Development – „Recommendation of the Council on Artificial Intelligence[20]”, European Commission – „Artificial Intelligence Act[21]”, itp. coraz konkretniej mówi się o takich aspektach z nią związanych jak np. zaufanie, bezpieczeństwo, ryzyka, itp. Ponadto z punktu widzenia modus operandii zestawiamy z sobą AI i obszar przemysłowy. Tym samym semantyka i syntaktyka w obliczu zmian prawnych dotyczących AI determinuje konieczność szerszego patrzenia kwalifikacji i walidacji rozwiązań produkcyjnych. Np. dobra praktyka produkcyjna to tak zwane kodeksy GMP dedykowane różnym gałęziom i branżom przemysłowym, które są opracowywane i wydawane przez instytucje rządowe, gwarantują, że wytworzone produkty spełniają niezbędne wymagania jakościowe. Natomiast po przyjęci aktu o sztucznej inteligencji (AI Act) przez Komisję Europejską spełnienie wytycznych specyficznych dla danej branży przemysłu jak np. zgodność z GMP, może być nie wystarczająca i wymagać przez przedsiębiorstwo dodatkowych procedur jak i dodatkowej organizacji dla rozwiązań w których zadeklarowano, że procesy funkcjonujące w organizacji wspiera AI. Ponadto złożoność niniejszego zagadania będzie rosła w przypadku deklaracji związanej z wykorzystanie AI dla której zastosowano uczenia nienadzorowane czyli takie w którym wykorzystuje się algorytmy uczenia maszynowego do analizowania i grupowania zbiorów danych bez etykiet. Algorytmy te wykrywają ukryte wzorce lub zgrupowania danych bez konieczności interwencji człowieka. Tym samym pewne zjawiska mogą być traktowane jako swego rodzaju „black box” dla obserwatorów z zewnątrz i stosunkowo trudne do kwalifikacji i walidacji np. zgodności w ramach GMP. Spora lista wyzwań z jakimi przyjdzie się zmierzyć w niedalekiej przyszłości już teraz angażuje zasoby organizacji do tego by w ramach prac nad budowanie doskonałości operacyjnej adresowały potrzeby wynikające z AI Act.

[1] https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:52021PC0206&from=EN

[2] https://polskiprzemysl.com.pl/technologie/przemysl-40-w-produkcji/

[3] https://en.wikipedia.org/wiki/Good_manufacturing_practice

[4] https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20081841143

[5] https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20061711225/U/D20061225Lj.pdf

[6] https://sklep.pkn.pl/pn-en-iso-22716-2009p.html

[7] https://www.kierunekfarmacja.pl/artykul,69547,na-dwoch-nogach-dokumentacja-w-kwalifikacji-i-walidacji.html

[8] https://sip.lex.pl/akty-prawne/dzu-dziennik-ustaw/wymagania-dobrej-praktyki-wytwarzania-17492722/par-2

[9] https://www.pwc.com/us/en/tech-effect/ai-analytics/algorithmic-bias-and-trust-in-ai.html

[10] https://elektronikab2b.pl/biznes/53371-wyscig-po-sztuczna-inteligencje-obejmuje-tez-branze-polprzewodnikow

[11] https://eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=CELEX:52021PC0206&from=EN

[12] https://www.gov.pl/web/gif/glowny-inspektorat-farmaceutyczny

[13] https://www.fda.gov/

[14] https://finregtech.pl/2021/04/26/czego-sztucznej-inteligencji-nie-wolno-czyli-kolejne-starcie-z-projektem-rozporzadzenia-w-sprawie-ai/

[15] https://eur-lex.europa.eu/legal-content/PL/TXT/HTML/?uri=CELEX:52021PC0206&from=IT

[16] https://sip.lex.pl/akty-prawne/dzu-dziennik-ustaw/wymagania-dobrej-praktyki-dystrybucyjnej-18176644

[17] https://ispe.org/publications/guidance-documents/gamp-5-guide-2nd-edition

[18] https://isap.sejm.gov.pl/isap.nsf/download.xsp/WDU20120000380/O/D20120380.pdf

[19] https://www.whitehouse.gov/wp-content/uploads/2022/10/Blueprint-for-an-AI-Bill-of-Rights.pdf

[20] https://legalinstruments.oecd.org/en/instruments/OECD-LEGAL-0449

[21] https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A52021PC0206

Sprawdź też:

Podobne artykuły