Załącznik K – Korzystanie z AI, treści i procedura zgłaszania

1. Cel i role

1.1 Standardowe funkcje służą pomocniczemu przetwarzaniu zatwierdzonych informacji, odpowiadaniu na ogólne pytania dotyczące wiedzy i obsługi, tworzeniu treści wymagających kontroli redakcyjnej oraz przygotowywaniu dozwolonych procesów operacyjnych. W ramach oferty standardowej platforma nie jest przeznaczona do podejmowania decyzji o krytycznym znaczeniu dla bezpieczeństwa ani do samodzielnego świadczenia doradztwa wymagającego zezwolenia.

1.2 Role wynikające z rozporządzenia w sprawie sztucznej inteligencji, prawa ochrony danych i prawa umów należy ustalać oddzielnie. Brixovo pozostaje odpowiedzialne za własne obowiązki dostawcy wynikające z ustawy. Klient ponosi obowiązki wynikające z jego faktycznego zastosowania, własnego udostępniania i wprowadzanych zmian. Nazwa użyta w umowie nie zastępuje tej oceny.

1.3 Udostępnianie pod własną marką (whitelabel) może powodować, że Klient sam pełni rolę dostawcy; nie czyni jednak automatycznie każdego chatbota systemem wysokiego ryzyka. Zmiany celu, istotne zmiany i wykorzystanie w regulowanych kontekstach decyzyjnych wymagają ponownej oceny ról i ryzyka. Ustawowych obowiązków Brixovo nie można przenieść na Klienta za pomocą ogólnego oświadczenia.

2. Dopuszczalny zakres standardowy i odrębne zatwierdzenia

2.1 Dopuszczalne są wyłącznie zgodne z prawem zastosowania w granicach zamówionego zakresu i udokumentowanego przeznaczenia. Przykładami są asystenci FAQ, ogólne informacje o produktach, wewnętrzne wyszukiwanie wiedzy, projekty redakcyjne oraz ogólne informacje o terminach lub kontaktach bez zautomatyzowanej decyzji istotnej pod względem merytorycznym.

2.2 [D-01] Oferta standardowa nie obejmuje zastosowań wysokiego ryzyka w rozumieniu rozporządzenia w sprawie sztucznej inteligencji ani zastosowań służących ocenie osób fizycznych mającej istotne znaczenie w obszarach zatrudnienia, edukacji, decyzji kredytowych lub ubezpieczeniowych, podstawowych usług publicznych, ścigania przestępstw, migracji, wymiaru sprawiedliwości lub infrastruktury krytycznej dla bezpieczeństwa. Również wynik określony jako wyłącznie doradczy może w takich kontekstach wywierać istotny wpływ. Samo końcowe potwierdzenie przez człowieka nie uchyla klasyfikacji jako wysokiego ryzyka.

2.3 Wykorzystanie do wyłączonego celu wymaga nowej, wyraźnie zweryfikowanej oferty zawierającej wymagane uregulowania dotyczące zgodności, eksploatacji, odpowiedzialności i ubezpieczenia. Klient nie może zatwierdzić takiego wykorzystania wyłącznie przez własne oświadczenie, ocenę skutków dla ochrony danych (DSFA) lub aktywację w panelu administracyjnym. Praktyki zakazane prawem w ogóle nie mogą zostać zatwierdzone.

2.4 Wprowadzanie danych dotyczących zdrowia, innych szczególnych kategorii danych, danych dotyczących wyroków skazujących, tajemnic chronionych przepisami dotyczącymi wykonywania zawodu lub porównywalnie wrażliwych treści nie jest przewidziane w ofercie standardowej. Zgodny z prawem przypadek szczególny wymaga uprzedniego wyraźnego uzgodnienia celu, rodzajów danych, podstaw prawnych, środków ochrony, odbiorców i wymaganych obowiązków zachowania tajemnicy. Ogólne informacje o gabinecie lekarskim, takie jak godziny otwarcia, nie są danymi dotyczącymi zdrowia wyłącznie ze względu na branżę.

2.5 Usługi kierowane w sposób zamierzony do małoletnich wymagają odrębnej oceny informacji, ochrony danych, zawarcia umowy i środków ochronnych. Wersja standardowa nie stanowi dowodu zatwierdzenia takich ofert.

3. Zakazane sposoby korzystania

3.1 Zakazane są wszystkie praktyki AI zabronione przez prawo, w szczególności szkodliwe zastosowania manipulacyjne lub wprowadzające w błąd, szkodliwe wykorzystywanie podatności na zagrożenia, niedozwolona ocena społeczna, niedozwolona kategoryzacja i identyfikacja biometryczna, niedozwolone rozpoznawanie emocji w miejscu pracy lub placówkach edukacyjnych, nieukierunkowane pozyskiwanie danych metodą scrapingu w celu budowania baz rozpoznawania twarzy oraz niedozwolone prognozowanie popełnienia przestępstwa dotyczące poszczególnych osób.

3.2 Niezależnie od ustawowych okresów przejściowych zabronione jest tworzenie lub rozpowszechnianie przedstawień o charakterze seksualnym bez wymaganej zgody, przedstawień seksualnego wykorzystywania małoletnich oraz innych bezprawnych treści. Dotyczy to również prób obchodzenia mechanizmów bezpieczeństwa w takim celu.

3.3 Zabronione są również w szczególności:

• bezprawna dyskryminacja, podszywanie się pod inną osobę, oszustwo, phishing i niedozwolone kierowanie przekazów reklamowych;
• bezprawne publikowanie danych osobowych, tajemnic lub chronionych treści;
• nieuprawniony dostęp do obszarów innych Klientów, cudzych kont, infrastruktury lub kluczy;
• złośliwe oprogramowanie, umyślne zakłócanie działania, obciążanie systemu stanowiące użycie niezgodne z przeznaczeniem i obchodzenie uzgodnionych ograniczeń technicznych;
• usuwanie lub zasłanianie obowiązkowych informacji o AI, dostawcy lub bezpieczeństwie;
• wykorzystywanie zmyślonych referencji, opinii, znaków kontroli lub dowodów zgodności;
• twierdzenie, że wynik AI jest zweryfikowaną decyzją specjalisty będącego człowiekiem, jeżeli nie jest to prawdą.

3.4 Dozwolone zgłoszenia dotyczące bezpieczeństwa i uzgodnione testy nie stanowią nadużycia. Testy mogące wpływać na dostępność, dane lub innych Klientów należy wcześniej uzgodnić z Brixovo. Nie wyłącza się w sposób ogólny działań dozwolonych ustawowo.

4. Przejrzystość i weryfikacja treści

4.1 Przy bezpośredniej interakcji z AI Użytkownicy muszą zostać jasno, w sposób wyróżniający się i dostępny poinformowani o tym, że korzystają z AI, najpóźniej na początku interakcji. Identyfikacja wizualna, osadzenie i indywidualne teksty nie mogą usuwać wymaganej informacji ani czynić jej niewidoczną. Brixovo zapewnia wymagane środki techniczne we własnym zakresie odpowiedzialności; Klient sprawdza konkretne wdrożenie w swoich interfejsach.

4.2 Nie wolno usuwać ani fałszować wymaganych oznaczeń maszynowo czytelnych i informacji o pochodzeniu wygenerowanych treści. Brixovo musi sprawdzić i spełnić obowiązki dotyczące oznaczeń technicznych mające zastosowanie do własnego systemu. Widoczna informacja „AI” nie jest automatycznie dowodem spełnienia obowiązków dotyczących oznaczeń maszynowo czytelnych.

4.3 Klient sprawdza dalej idące obowiązki ujawniania informacji, w szczególności przy sztucznie wygenerowanych realistycznych obrazach, treściach audio lub wideo oraz przy określonych tekstach publikowanych w celu informowania opinii publicznej. Zatwierdzenia o charakterze jedynie formalnym nie wolno przedstawiać jako kontroli merytorycznej lub redakcyjnej.

4.4 Przed publikacją należy sprawdzić w szczególności fakty, cechy produktów, ceny, prawa osób trzecich i stwierdzenia istotne prawnie. Również wskazania źródeł podawane przez system mogą być błędne. Brixovo jest zobowiązane do zapewnienia uzgodnionego działania systemu, a nie do merytorycznego zatwierdzania treści Klienta bez ich sprawdzenia.

4.5 Klient korzysta przy konfiguracji, nadzorze i zatwierdzaniu z osób odpowiednio przeszkolonych. Przekazuje im wiedzę o możliwościach, ograniczeniach, możliwych błędach, ochronie danych i sposobach zgłaszania odpowiednio do zakresu ich zadań. Brixovo udostępnia uzgodnione informacje o systemie i wypełnia własne właściwe obowiązki.

5. Ograniczenia wykorzystywania wyników AI

5.1 Standardowa zasada projektu: Zwroty, zmiany umów, prawnie wiążące oświadczenia, decyzje wywierające istotny wpływ na osoby fizyczne, zezwolenia na udostępnienie danych wrażliwych i porównywalne działania nie mogą być realizowane wyłącznie na podstawie wyniku AI. Przed wykonaniem wymagane jest konkretne potwierdzenie przez osobę uprawnioną. Automatyzm w już zgodnie z prawem ustanowionej zwykłej subskrypcji Stripe należy odróżnić od takich działań jako deterministyczne wykonanie umowy.

6. Ochrona danych, źródła i ograniczenia rozpoznawania

6.1 Klient ogranicza wprowadzane dane do treści dozwolonych i niezbędnych. Kontrole dokumentów i danych umożliwiających identyfikację osób (PII) stanowią wyłącznie uzupełniające narzędzia techniczne. Nie gwarantują pełnej anonimizacji i nie zastępują ani kontroli treści, ani podstawy prawnej. W szczególności nie należy zakładać, że wszystkie imiona i nazwiska, adresy, daty urodzenia lub dowolnie sformułowane wpisy na czacie są automatycznie rozpoznawane i usuwane.

6.2 Podłączone strony internetowe, sklepy i systemy zgłoszeń muszą być zintegrowane zgodnie z prawem. Należy uwzględnić prawa, uwierzytelnianie i ewentualnie ograniczone zakresy udostępnienia danych. Synchronizacja nie może bez weryfikacji przenosić poufnych danych zamówień, klientów lub pomocy technicznej do publicznie dostępnych zasobów wiedzy.

6.3 Usunięcie pierwotnego źródła nie oznacza automatycznie usunięcia wszystkich kopii, reprezentacji wyszukiwawczych, historii czatów ani treści przesłanych na zewnątrz. Wymagane w danym przypadku etapy usuwania wynikają z AVV i koncepcji usuwania danych. Brixovo nie może potwierdzać całościowego usunięcia, dopóki nie zostaną sprawdzone zależne miejsca przechowywania.

7. Zgłaszanie bezprawnych treści i incydentów bezpieczeństwa

7.1 Zgłoszenia można przesyłać za pośrednictwem [DO ZATWIERDZENIA: publicznie dostępny kanał zgłoszeń i monitorowany adres e-mail]. Kontakt ten jest dostępny bez konta klienta i jest oznaczony również jako kanał zgłoszeń dotyczących bezpieczeństwa. Zgłoszenie powinno zawierać:

• dokładne miejsce występowania, w miarę możliwości pełny URL lub jednoznaczny identyfikator obiektu;
• zrozumiałe wyjaśnienie kwestionowanej treści lub ryzyka;
• imię i nazwisko oraz adres e-mail do pytań uzupełniających, o ile ich zbieranie jest w danym przypadku dozwolone i niezbędne;
• oświadczenie, że informacje są według najlepszej wiedzy prawdziwe i kompletne.

7.2 W przypadku zgłoszeń dotyczących określonych przestępstw seksualnych przeciwko dzieciom dane identyfikacyjne niewymagane ustawowo nie mogą stanowić warunku zgłoszenia. Wrażliwe dowody należy przekazywać wyłącznie odpowiednim bezpiecznym kanałem; nie należy ich niepotrzebnie powielać.

7.3 Brixovo, jeżeli istnieje możliwość kontaktu, potwierdza otrzymanie zgłoszenia bez zawinionej zwłoki, w odpowiednim czasie rozpatruje wystarczająco konkretne zgłoszenia i informuje o decyzji oraz możliwych środkach zaskarżenia w zakresie przewidzianym prawem. Nakazy sądowe i administracyjne są obsługiwane zgodnie z wymogami ustawowymi.

8. Weryfikacja, środki i skargi

8.1 Proponowany model operacyjny D-08: Merytoryczne decyzje moderacyjne podejmuje właściwa osoba. Systemy automatyczne mogą dostarczyć sygnały dotyczące bezpieczeństwa, formatu, limitów i nadużyć lub tymczasowo blokować niebezpieczne operacje. Przed zatwierdzeniem należy ujawnić, jakie procedury są rzeczywiście stosowane; dodatkowej moderacji treści opartej na AI nie wolno w sposób dorozumiany opisywać jako istniejącego procesu.

8.2 Brixovo uwzględnia wagę naruszenia, powtarzalność, rozpoznawalny zamiar, skutki, możliwość zaradzenia i interesy uczestników. Środki obejmują informacje i wezwania do korekty, blokowanie poszczególnych treści lub funkcji, aż po proporcjonalną blokadę konta lub wypowiedzenie na podstawie ustawy. Nie uzgadnia się ogólnego usuwania na podstawie samego niezweryfikowanego podejrzenia.

8.3 Osoby objęte środkiem otrzymują, o ile wymaga tego prawo, konkretne uzasadnienie wskazujące fakty stanowiące jego podstawę, podstawę umowną lub ustawową, wykorzystanie środków zautomatyzowanych, zakres środka i możliwe sposoby zaradzenia. Bezwzględnie obowiązujące wyjątki służące ochronie postępowań, osób lub bezpieczeństwa pozostają nienaruszone.

8.4 Za pośrednictwem wskazanego kontaktu można zażądać bezpłatnej weryfikacji środka przez człowieka. Weryfikacja nie może odbywać się wyłącznie automatycznie. W zakresie, w jakim obowiązują dalej idące ustawowe prawa do skargi, są one udostępniane bez ograniczeń. Sądowa ochrona prawna i właściwe organy pozostają dostępne niezależnie od skargi wewnętrznej.

8.5 Dokumentowanie zgodne z ochroną danych służy możliwości prześledzenia działań, a nie nieograniczonemu przechowywaniu wszystkich treści. Terminy weryfikacji i przechowywania należy ustalić według przyczyny i podstawy prawnej. Nie istnieje ogólne przyrzeczenie powszechnej uprzedniej kontroli wszystkich treści Klientów.