AI Act – wszystko co musisz wiedzieć (kary, obowiązki, terminy)

Información clave

• AI Act obejmuje nie tylko twórców technologii, ale także importerów, dystrybutorów i firmy korzystające z gotowych narzędzi.
• Wymagania zależą od zastosowania systemu i roli firmy. Inaczej traktuje się pisanie e-maili z pomocą AI, a inaczej ocenianie kandydatów do pracy.
• Systemy wysokiego ryzyka są dopuszczalne po spełnieniu wymagań. Nie są tym samym co praktyki zakazane, takie jak szkodliwa manipulacja czy scoring społeczny.
• Obowiązki przejrzystości obowiązują od 2 sierpnia 2026 r. Wymagania dla systemów wysokiego ryzyka z załącznika III będą stosowane od 2 grudnia 2027 r., a dla systemów związanych z produktami regulowanymi od 2 sierpnia 2028 r.
• Za naruszenie zakazów grozi kara do 35 mln EUR lub 7% światowego rocznego obrotu. Dla MŚP obowiązują korzystniejsze zasady ustalania maksymalnych kar.

Más detalles a continuación.

Dostosowanie firmy warto rozpocząć od sprawdzenia, gdzie AI jest wykorzystywana i na jakie decyzje wpływa. Nie każde narzędzie wymaga rozbudowanej dokumentacji, ale każde powinno mieć określone zastosowanie i osobę odpowiedzialną za jego użycie. Rejestr systemów AI pomaga powiązać systemy i ich zastosowania z odpowiedzialnością poszczególnych zespołów.

Sztuczna inteligencja może przygotować ofertę albo porównać kandydatów do pracy. Oba te zastosowania oszczędzają czas, lecz konsekwencje ich błędów są różne. Źle sformułowany e-mail zwykle można poprawić. Niesłuszne odrzucenie kandydata może już naruszać jego prawa. Dlatego systemy i ich ryzyko należy analizować łącznie.

AI Act opiera wymagania właśnie na tych różnicach. Wyjaśniamy, jak przełożyć europejskie prawo i regulacje na decyzje dotyczące wdrażania i rozwijania AI w przedsiębiorstwie. Bezpieczeństwo narzędzia i jego wartość biznesowa powinny być oceniane równolegle.

EU AI Act: dlaczego sztuczna inteligencja w Twojej firmie podlega regulacji?

AI Act, nazywany także aktem o sztucznej inteligencji, to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689. Akt ten ustanawia zharmonizowane przepisy dotyczące sztucznej inteligencji, a jego stosowanie nie wymaga przepisania wszystkich obowiązków do polskiej ustawy.

Krajowe przepisy dotyczące implementacji są potrzebne do organizacji nadzoru i egzekwowania prawa. Prace nad rozwiązaniami krajowymi nie oznaczają automatycznego odroczenia obowiązków wynikających z rozporządzenia. Przedsiębiorstwo musi uwzględniać zarówno unijne przepisy dotyczące rynku, jak i krajowe rozwiązania organizacyjne. 

Regulacja obejmuje przede wszystkim dostawców systemów AI i modeli ogólnego przeznaczenia oraz podmioty stosujące systemy w działalności zawodowej. Znaczenie mają też obowiązki dystrybutorów i producentów określonych produktów. Przepisy obejmują też dostawców spoza UE, ale tylko w przypadkach wskazanych w rozporządzeniu, np. gdy ich systemy trafiają na rynek unijny.

Przykładowo firma kupująca narzędzie do oceny pracowników może być podmiotem stosującym system wysokiego ryzyka, mimo że nie tworzy oprogramowania. Przedsiębiorstwo udostępniające aplikację pod własną marką może natomiast pełnić rolę dostawcy. Zakup gotowej licencji nie przenosi całej odpowiedzialności na producenta. Każde narzędzie warto przypisać do konkretnego procesu, bo obowiązki dostawcy nie zastępują obowiązków firmy, która z niego korzysta.

AI Act nie przewiduje ogólnego wyłączenia dla małych firm. Wielkość przedsiębiorstwa wpływa tylko na niektóre uproszczenia. Również używanie AI w jednoosobowej działalności gospodarczej nie jest tożsame z korzystaniem osobistym i pozazawodowym. Obowiązki zależą przede wszystkim od roli firmy wobec systemu (dostawca, importer, dystrybutor lub firma korzystająca) oraz od jego przeznaczenia.

HRAI, czyli systemy AI wysokiego ryzyka

HRAI (High-Risk AI) to w rozumieniu AI Act systemy sztucznej inteligencji, które ze względu na swoje przeznaczenie mogą stwarzać poważne zagrożenie dla zdrowia, bezpieczeństwa lub praw podstawowych człowieka, np. w rekrutacji, edukacji, ocenie zdolności kredytowej czy infrastrukturze krytycznej, i dlatego podlegają szczególnie rygorystycznym wymogom. AI Act przewiduje dwie ścieżki takiej kwalifikacji.

Pierwsza ścieżka obejmuje AI będącą produktem lub elementem bezpieczeństwa produktu. Dodatkowym warunkiem jest wymagana przez odpowiednie przepisy produktowe ocena zgodności z udziałem strony trzeciej. Samo zastosowanie AI w urządzeniu nie wystarcza.

Druga ścieżka dotyczy zastosowań z załącznika III. Dla przedsiębiorców szczególnie istotne są:

• rekrutacja, filtrowanie aplikacji i ocenianie kandydatów,
• określone decyzje dotyczące zatrudnienia, awansu, przydzielania zadań i oceny pracowników,
• ocena zdolności kredytowej osób fizycznych, z wyjątkiem wykrywania oszustw finansowych,
• ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych,
• określone zastosowania w edukacji, biometrii i infrastrukturze krytycznej.

Katalog obejmuje także m.in. wymiar sprawiedliwości, migrację i zadania organów ścigania. Jak pokazuje omówienie podejścia opartego na ryzyku przygotowane przez Comisión Europea, ryzyko systemów sztucznej inteligencji ocenia się przez możliwy wpływ na zdrowie, bezpieczeństwo i prawa ludzi.

Asystent poprawiający język ogłoszenia rekrutacyjnego nie staje się automatycznie HRAI. Narzędzie tworząceranking kandydatów wymaga już innej kwalifikacji. Istnieją wyjątki dla wybranych zadań proceduralnych lub przygotowawczych, ale muszą spełniać warunki rozporządzenia. Systemy objęte załącznikiem III, które profilują osoby fizyczne, pozostają systemami wysokiego ryzyka. Narzędzie należy ocenić przed uruchomieniem procesu, także pod kątem ryzyka dyskryminacji.

Osobną grupę stanowią praktyki zakazane. Należą do nich m.in. określone formy szkodliwej manipulacji oraz scoring społeczny, polegający na ocenie ludzi według ich zachowania lub cech i niesprawiedliwym traktowaniu na tej podstawie. Niedozwolone jest także rozpoznawanie emocji w miejscu pracy i w placówkach edukacyjnych, a więc stosowanie systemów AI, które na podstawie mimiki lub głosu określają, czy ktoś jest np. zestresowany lub znudzony. Wyjątek stanowią zastosowania medyczne i związane z bezpieczeństwem.

Artificial Intelligence Act: jakie pojęcia warto znać?

Przepisy ogólne rozporządzenia rozdzielają pojęcia, które w ofertach technologicznych bywają używane zamiennie. Ich zrozumienie ułatwia ustalenie, jakie wymogi dotyczące zgodności rzeczywiście odnoszą się do firmy.

Modele AI ogólnego przeznaczenia (general-purpose AI, GPAI) to modele zdolne do wykonywania szerokiego zakresu zadań. Model nie jest tym samym co aplikacja. Systemy ogólnego przeznaczenia wykorzystują modele, ale zawierają też elementy pozwalające używać ich w praktyce. Rozróżnienie modelu i gotowego systemu jest istotne, ponieważ wymagania dotyczące sztucznej inteligencji nie są jednakowe dla obu tych poziomów.

Korzystanie z ChatGPT nie oznacza samo w sobie, że firma staje się dostawcą modelu GPAI. Zbudowanie własnej aplikacji na cudzym modelu może natomiast oznaczać obowiązki dostawcy systemu. Model GPAI może stanowić podstawę różnych systemów AI, których zastosowania wymagają odrębnej oceny.

AI Office to Europejski Urząd ds. Sztucznej Inteligencji działający w Komisji Europejskiej. Szczególnie istotny jest jego nadzór nad modelami GPAI. Z kolei Europejska Rada ds. Sztucznej Inteligencji (European Artificial Intelligence Board) wspiera współpracę państw członkowskich.

Europejski system regulacji chroni również prawa podstawowe. Bezpieczeństwo systemów sztucznej inteligencji obejmuje także ograniczanie dyskryminacji i nieuzasadnionego wpływu na sytuację ludzi. W zastosowaniach biometrycznych trzeba dodatkowo rozróżniać identyfikację, czyli biometric identification, oraz kategoryzację: biometric categorisation. Te pojęcia nie są zamienne. Przykładowo biometric identification dotyczy ustalania tożsamości, a nie wyłącznie przypisywania osoby do kategorii.

Jakie nowe terminy wprowadza Digital Omnibus on AI?

AI Act obowiązuje od 1 sierpnia 2024 r., ale jego przepisy stosuje się etapami. Harmonogram jest już ostateczny, bo zmiana wprowadzona rozporządzeniem Digital Omnibus on AI weszła w życie 27 lipca 2026 r. Konkretny termin zależy od kategorii rozwiązania oraz od przepisów przejściowych.

Część przepisów już obowiązuje. Od 2 lutego 2025 r. stosuje się pierwsze zakazy i przepisy o kompetencjach w zakresie AI, a od 2 sierpnia 2025 r. przepisy o zarządzaniu regulacją i obowiązki dla modeli ogólnego przeznaczenia (z wyjątkami przejściowymi). Od 2 sierpnia 2026 r. obowiązuje ogólna data stosowania rozporządzenia, w tym obowiązki przejrzystości, a Komisja ma uprawnienia egzekucyjne wobec modeli ogólnego przeznaczenia.

Przed firmami są jeszcze 4 terminy:

• 2 grudnia 2026 r. Zakazane stają się systemy AI generujące intymne treści bez zgody oraz materiały przedstawiające seksualne wykorzystywanie dzieci. Kończy się też okres przejściowy na techniczne oznaczanie treści przez wybrane starsze systemy generatywne.
• 2 sierpnia 2027 r. Modele ogólnego przeznaczenia wprowadzone na rynek przed 2 sierpnia 2025 r. muszą spełnić wymagania dla takich modeli. Obowiązek spoczywa na ich dostawcach, ale firmy budujące rozwiązania na cudzym modelu powinny sprawdzić, czy dostawca jest na to gotowy.
• 2 grudnia 2027 r. Zaczynają obowiązywać wymagania dla systemów wysokiego ryzyka z załącznika III, m.in. w rekrutacji, edukacji i ocenie zdolności kredytowej. Dotyczą dostawców i firm korzystających z takich systemów.
• 2 sierpnia 2028 r. Wymagania obejmują systemy wysokiego ryzyka w produktach regulowanych, czyli AI będącą produktem lub elementem bezpieczeństwa produktu, który podlega odrębnym przepisom i ocenie zgodności.

Odroczenie wymagań dla HRAI nie zawiesza zakazów ani obowiązków przejrzystości. Oddzielnie trzeba sprawdzić przepisy przejściowe dla wcześniej wprowadzonych systemów oraz skutki późniejszych zmian ich konstrukcji lub przeznaczenia. Praktyczne znaczenie nowych terminów wyjaśnia również Krajowa Izba Radców Prawnych.

Dostosowanie firmy wymaga czasu na testy, uzgodnienia z dostawcą i przygotowanie pracowników. W planie należy wskazać systemy i ich regulacje, osoby odpowiedzialne y dowody wykonania obowiązków. Implementacja aktu powinna obejmować również aktualizacje: zmieniać mogą się przepisy i regulacje określające warunki ich używania.

Jakie obowiązki ma dostawca, a jakie podmiot stosujący?

Obowiązki zależą od tego, czy firma dostarcza system AI, czy z niego korzysta. AI Act traktuje te role osobno.

Dostawca systemu AI

Dostawca systemu wysokiego ryzyka odpowiada za jego zgodność z przepisami: zarządza ryzykiem, dba o jakość danych, prowadzi dokumentację techniczną i przeprowadza ocenę zgodności. Obowiązki trwają także po wprowadzeniu systemu na rynek, bo dostawca monitoruje jego działanie i reaguje na poważne incydenty. Nie każde wdrożenie wymaga zewnętrznego „certyfikatu AI Act”, a właściwa procedura zależy od rodzaju systemu.

Firma korzystająca z systemu AI

Firma korzystająca z systemu wysokiego ryzyka odpowiada m.in. za używanie go zgodnie z instrukcją, zapewnienie nadzoru człowieka, monitorowanie działania i kontrolę danych, które sama wprowadza. W wybranych przypadkach musi też przeprowadzić ocenę wpływu na prawa podstawowe. Nadzór człowieka musi być realny: samo zatwierdzanie wyniku nie wystarczy, jeśli pracownik nie rozumie ograniczeń narzędzia lub nie może odrzucić rekomendacji.

Obowiązki przejrzystości

Dla wielu firm to najważniejszy obowiązek. Artykuł 50 AI Act obejmuje m.in. następujące sytuacje:

• system przeznaczony do bezpośredniej interakcji z ludźmi (np. chatbot) – użytkownik musi wiedzieć, że rozmawia z AI, chyba że wynika to jasno z okoliczności,
• system generatywny – dostawca zapewnia techniczne oznaczanie wyników w formacie odczytywalnym maszynowo,
• deepfake – firma korzystająca z systemu ujawnia jego sztuczny charakter,
• opublikowany tekst o sprawach interesu publicznego – ujawnienie, że wygenerowała go AI, chyba że przeszedł kontrolę redakcyjną i odpowiada za niego redakcja,
• rozpoznawanie emocji i kategoryzacja biometryczna (tam, gdzie są dopuszczalne) – informowanie osób, których te systemy dotyczą.

Nie oznacza to obowiązku podpisywania każdego poprawionego e-maila etykietą „AI”, a nie każda wygenerowana grafika jest deepfake’iem. Zasady sprawdzania i oznaczania treści warto uwzględnić w estrategia de marketing y ventas.

Modele ogólnego przeznaczenia

Dostawcy modeli ogólnego przeznaczenia (GPAI) mają osobne obowiązki, m.in. dotyczące dokumentacji i praw autorskich. Firma budująca własne rozwiązanie na cudzym modelu powinna uzyskać od jego dostawcy informacje potrzebne do spełnienia własnych obowiązków.

Pracownicy i inne przepisy

Niezależnie od kategorii narzędzia pracownicy powinni wiedzieć, jak chronić informacje poufne, sprawdzać odpowiedzi AI i zgłaszać błędy. AI Act nie zastępuje RODO, prawa autorskiego ani przepisów chroniących konsumentów i pracowników, więc stosuje się je równolegle.

Jak wygląda nadzór nad dostawcami AI i co grozi za naruszenie przepisów?

Najwyższe kary dotyczą zakazanych praktyk. Podstawowe progi przewidziane w art. 99 przedstawiają się następująco:

• Naruszenie zakazów z art. 5: 35 mln EUR lub 7% światowego rocznego obrotu.
• Naruszenie określonych obowiązków operatorów, w tym przejrzystości: 15 mln EUR lub 3% światowego rocznego obrotu.
• Nieprawidłowe, niepełne lub wprowadzające w błąd informacje przekazane na żądanie właściwych organów lub jednostek notyfikowanych: 7,5 mln EUR lub 1% światowego rocznego obrotu.

Obrót odnosi się do poprzedniego roku obrotowego. Zasadą dla przedsiębiorstw jest wyższy z odpowiednich limitów, natomiast dla MŚP, w tym start-upów, maksymalną karę ogranicza niższa wartość: kwotowa lub procentowa. Podstawową konstrukcję sankcji opisuje także analiza prawna DLA Piper. Firma powinna sprawdzać właściwy akt i jego aktualność.

Nie są to automatyczne stawki za każde naruszenie. Przy ustalaniu kary uwzględnia się m.in. jego charakter, wagę, czas trwania, skutki, stopień odpowiedzialności oraz współpracę z organami. Dostawcy modeli GPAI podlegają odrębnemu mechanizmowi nadzoru i sankcji Komisji, w którym istotną rolę odgrywa AI Office.

Konsekwencją może być również ograniczenie stosowania systemu, wycofanie go lub konieczność przebudowy procesu. Jeśli AI obsługuje kluczową usługę, przerwa w działaniu może być równie dotkliwa jak kara. Koszty zgodności i rozwiązanie awaryjne warto uwzględnić już podczas przygotowywania biznesplanu przedsięwzięcia. Europejskie regulacje dotyczące bezpieczeństwa powinny znaleźć odzwierciedlenie w planie reagowania na awarie i nieprawidłowe wyniki.

Od czego należy zacząć przygotowanie firmy do aktu AI?

Nie od zakupu uniwersalnego pakietu dokumentów. Pierwszym krokiem powinien być rejestr narzędzi zawierający dostawcę, właściciela procesu, cel użycia, rodzaj danych oraz osoby, których dotyczą wyniki. Warto uwzględnić takżeaplikacje używane samodzielnie przez pracowników, poza oficjalnymi zakupami firmy. Rejestr systemów AI pozwala uporządkować narzędzia i wskazać te, które wymagają dokładniejszej analizy.

Następnie należy przeprowadzić uporządkowany przegląd:

1. Sprawdź, czy rozwiązanie jest systemem AI. Marketingowa nazwa produktu nie zastępuje analizy jego funkcji.
2. Ustal rolę przedsiębiorstwa. Firma może stosować jedno narzędzie i jednocześnie dostarczać inne. Wymogi dla dostawców systemów nie są automatycznie obowiązkami każdego użytkownika.
3. Zweryfikuj zakazy i kategorię ryzyka. Oceń zastosowanie oraz potencjalny wpływ na ludzi.
4. Przypisz obowiązki i terminy. Rozdziel wymagania dla HRAI, przejrzystości i modeli ogólnego przeznaczenia.Uwzględnij także krajowe przepisy dotyczące implementacji.
5. Zbierz dowody i przypisz odpowiedzialność. Ustal potrzebne instrukcje, testy, dokumenty i sposób reagowania na incydenty.

Efektem powinien być plan dopasowany do rzeczywistego ryzyka.

Współpraca z dostawcami systemów powinna obejmować pytania o przeznaczenie, ograniczenia, dokumentację, aktualizacje, dostęp do rejestrów zdarzeń i obsługę incydentów. Ogólna deklaracja „zgodności z AI Act” nie wyjaśnia, czy rozwiązanie można bezpiecznie zastosować w konkretnym procesie. Przepisy dotyczące bezpieczeństwa systemów warto przełożyć na wymagania umowne i odbiorowe. Współpraca z dostawcami systemów powinna zapewniać również informację o zmianach, które mogą wpływać na kwalifikację rozwiązania lub odpowiedzialność firmy.

Wdrażaj AI z planem, nie tylko z licencją

AI Act nie oznacza jednakowych formalności dla wszystkich firm. Punktem wyjścia jest ustalenie, jakie systemy firma dostarcza lub stosuje, jakie decyzje wspierają i komu mogą zaszkodzić. Dopiero na tej podstawie można dobrać wymagania, dokumentację i harmonogram.

Samo spełnienie przepisów nie przesądza jednak, czy narzędzie rozwiązuje problem firmy, dlatego decyzje technologiczne warto łączyć z oceną ich sensu biznesowego. W ramach consultoría estratégica można uporządkować cele wdrożenia, potrzeby klientów i wpływ na procesy, a kwalifikację prawną konkretnego systemu powinien ocenić prawnik. Dobrze zacząć od świadomej decyzji, gdzie AI przynosi firmie wartość. Pomoże w tym wewnętrzna polityka korzystania z systemów AI, która przełoży wymagania prawa na codzienną pracę.

Firmom planującym wdrożenie sztucznej inteligencji pomagamy dopasować technologię do potrzeb biznesu i uniknąć kosztownych błędów. Zapraszamy do bezpłatnej konsultacji!