Zgodność z DSA dla małych i średnich platform: praktyczny poradnik

Unijny akt o usługach cyfrowych (Digital Services Act, DSA) obejmuje niemal każdą platformę działającą w Europie, a giganci stanowią tylko niewielką ich część. Jeśli platforma udostępnia treści tworzone przez użytkowników i ma użytkowników w UE, musi spełniać wymogi DSA.

Dla małych i średnich platform zgodność z DSA może wydawać się przytłaczająca. Przepisy są obszerne, kary dotkliwe (do 6% światowego obrotu), a dedykowanego zespołu ds. compliance zwykle brak. Ten poradnik wyjaśnia krok po kroku, co trzeba zrobić i jak to osiągnąć bez rozsadzania budżetu.

Czy DSA dotyczy Twojej platformy?

DSA obejmuje usługi pośrednie, które przekazują lub przechowują treści użytkowników. Dotyczy to forów, systemów komentarzy, serwisów społecznościowych, marketplace'ów, platform z opiniami i każdej strony, na której użytkownicy mogą publikować treści widoczne dla innych.

Obowiązki nakładają się na trzech poziomach:

• Bardzo duże platformy internetowe (VLOP): ponad 45 milionów aktywnych użytkowników miesięcznie w UE. Pełen zakres wymogów DSA, w tym ocena ryzyka systemowego.
• Platformy internetowe: usługi publikujące treści użytkowników, takie jak fora, sekcje komentarzy i marketplace'y. Obowiązują: mechanizm zgłaszania i działania, uzasadnienia decyzji, rozpatrywanie skarg i raporty przejrzystości.
• Mikro i małe przedsiębiorstwa: poniżej 50 pracowników i roczny obrót nieprzekraczający 10 mln euro. Są zwolnione z większości obowiązków specyficznych dla platform, ale obowiązki dostawców usług hostingu, takie jak mechanizm zgłaszania i działania oraz uzasadnienia decyzji, nadal ich dotyczą.

Jeśli platforma należy do trzeciej kategorii, ten poradnik jest dla niej. DSA zaprojektowano z myślą o proporcjonalności: mniejsze platformy mają lżejsze wymogi.

Czego DSA faktycznie wymaga od MŚP

Oto konkretne wymogi dla małych i średnich platform:

1. Mechanizm zgłaszania i działania (art. 16): użytkownicy muszą mieć możliwość zgłaszania nielegalnych treści lub naruszeń regulaminu. Na zgłoszenia trzeba reagować niezwłocznie i informować użytkownika o podjętej decyzji.

2. Raporty przejrzystości (art. 15): należy publikować coroczny raport z działań moderacyjnych: ile treści zmoderowano, ile zgłoszeń od użytkowników wpłynęło i jak je rozpatrzono.

3. Uzasadnienie decyzji (art. 17): przy usunięciu lub ograniczeniu treści trzeba wyjaśnić powód. Obejmuje to wskazanie konkretnego naruszonego postanowienia oraz informację, czy użyto narzędzi automatycznych.

4. Wewnętrzny system rozpatrywania skarg (art. 20): użytkownicy muszą móc odwołać się od decyzji moderacyjnych. Potrzebny jest system rozpatrywania odwołań i informowania użytkowników o wyniku.

5. Pojedynczy punkt kontaktowy (art. 11-12): należy wyznaczyć punkt kontaktowy dla organów UE i użytkowników. W przypadku MŚP wystarczy zwykły adres e-mail.

Krok 1: wdrożenie automatycznej moderacji treści

DSA nie nakazuje moderacji z użyciem AI, ale ręczna weryfikacja się nie skaluje. Przy każdej platformie z istotną liczbą treści użytkowników automatyczna moderacja to jedyne praktyczne rozwiązanie.

W OpenModeration nasz zespół konfiguruje to razem z Tobą:

1. Opisz naszemu zespołowi swoje zasady i przypadki użycia
2. Pozwól, by stosowała je nasza AI do moderacji, a trudne przypadki weryfikowały inne modele AI
3. Skonfiguruj progi w panelu: ustaw poziomy akceptacji i odrzucenia dla każdej kategorii
4. Pozwól, by treściami granicznymi zajmował się nasz zespół, a Ty widzisz każdą decyzję w czasie rzeczywistym

W efekcie powstaje system zgodny z art. 17: każda decyzja zawiera wyniki, regułę, która zadziałała, i podjęte działanie.

Krok 2: zbudowanie ścieżki audytu

Ścieżka audytu to fundament zgodności z DSA. Gdy regulator zapyta: „pokażcie, jak postępujecie z nielegalnymi treściami”, odpowiedzią jest właśnie ścieżka audytu.

OpenModeration rejestruje każde zdarzenie moderacyjne wraz z:

• identyfikatorem i tekstem treści (zahaszowanym lub przechowywanym zgodnie z Twoją polityką retencji)
• czasem odpowiedzi
• wynikami dla każdej kategorii (mowa nienawiści, nękanie, przemoc itd.)
• dopasowaną regułą i podjętym działaniem (zezwól, ukryj, usuń, oznacz)
• znacznikiem czasu w strefie UTC
• oznaczeniem, jeśli moderację zainicjowało zgłoszenie użytkownika
• osobą weryfikującą i jej decyzją w przypadku weryfikacji ręcznej

Logi są przechowywane w PostgreSQL i można je eksportować przez API. Na potrzeby audytu DSA pełny raport można wygenerować jednym wywołaniem API.

Krok 3: wdrożenie zgłoszeń i odwołań użytkowników

Art. 16 (zgłoszenia) i art. 20 (odwołania) wymagają funkcji dostępnych dla użytkowników. Platforma moderacyjna musi je obsługiwać, ale większość logiki leży po Twojej stronie:

• Endpoint zgłoszeń: udostępnij API lub interfejs, w którym użytkownicy mogą zgłaszać treści. Uwzględnij identyfikator treści, kategorię powodu i opcjonalne wyjaśnienie.
• Ponowna ocena moderacyjna: po wpłynięciu zgłoszenia ponownie zmoderuj treść i zapisz wynik powiązany ze zgłoszeniem.
• Endpoint odwołań: pozwól użytkownikom zażądać weryfikacji decyzji automatycznej przez człowieka. Kieruj takie prośby do kolejki ręcznej weryfikacji.
• Powiadomienia: informuj użytkowników o decyzjach w terminach przewidzianych przez DSA (zwykle niezwłocznie; dla MŚP nie ma sztywnego terminu, ale standardem jest „bez zbędnej zwłoki”).

OpenModeration obsługuje ten proces natywnie. Gdy wpływa zgłoszenie lub odwołanie, rozpatruje je nasz zespół, Ty widzisz każdą decyzję w czasie rzeczywistym, a ścieżka audytu śledzi cały cykl od zgłoszenia do decyzji.

Krok 4: generowanie raportów przejrzystości

Art. 15 wymaga corocznego raportu przejrzystości obejmującego:

• liczbę nakazów otrzymanych od organów UE
• liczbę rozpatrzonych zgłoszeń użytkowników
• liczbę usunięć lub ograniczeń treści
• liczbę złożonych odwołań i ich wyniki
• wykorzystanie zautomatyzowanych narzędzi moderacji

Dzięki API analitycznemu OpenModeration te liczby można wygenerować w dowolnej chwili. Panel pokazuje zestawienia według okresu, kategorii treści i podjętego działania.

Najczęstsze błędy MŚP w zgodności z DSA

Brak ścieżki audytu: najczęstsza luka. Bez rejestru decyzji moderacyjnych nie da się wykazać zgodności. To trzeba naprawić w pierwszej kolejności.

Brak weryfikacji przez człowieka: automatyczna moderacja jest w porządku, ale użytkownicy muszą mieć możliwość odwołania się do człowieka. Nawet prosta kolejka ręcznej weryfikacji spełnia ten wymóg.

Brak polityki retencji danych: DSA nie określa konkretnych okresów przechowywania, ale RODO tak. Przygotuj politykę, udokumentuj ją i egzekwuj.

Zgodność reaktywna: nie czekaj na zapytanie regulatora. Wdróż systemy z wyprzedzeniem i dokumentuj wszystko. Zgodność proaktywna kosztuje mniej niż poprawki wprowadzane po fakcie.

Lista kontrolna zgodności z DSA dla MŚP

Skorzystaj z tej listy, aby śledzić postępy:

• ☐ Wyznaczony punkt kontaktowy (adres e-mail dla organów UE)
• ☐ Regulamin wyjaśniający zasady moderacji treści
• ☐ Mechanizm zgłaszania treści przez użytkowników
• ☐ Skonfigurowany proces automatycznej moderacji
• ☐ Ścieżka audytu rejestrująca wszystkie decyzje moderacyjne
• ☐ Uzasadnienie generowane przy każdym ograniczeniu treści
• ☐ Mechanizm odwołań (możliwość weryfikacji przez człowieka)
• ☐ Gotowy szablon rocznego raportu przejrzystości

DSA to najważniejsza regulacja platform w historii UE, ale nie powstała po to, by zmiażdżyć małe platformy. Wymogi są proporcjonalne, a narzędzia pozwalające je spełnić są dziś łatwiej dostępne niż kiedyś. Z OpenModeration wymogi techniczne można spełnić w kilka dni, a nie miesięcy.