Powszechne przekonanie głosi, że przepisy dotyczące AI to odległa przyszłość – coś, o czym można pomyśleć za kilka lat, gdy technologia „naprawdę dojrzeje”. Tymczasem akt w sprawie sztucznej inteligencji wszedł w życie 1 sierpnia 2024 roku, pierwsze jego przepisy zaczęły obowiązywać 2 lutego 2025 roku, a kolejne etapy wdrożenia przypadają na 2026 i 2027 rok. Akt w sprawie sztucznej inteligencji to rozporządzenie UE 2024/1689 – pierwsza na świecie regulacja prawna obejmująca zarówno systemy, jak i modele AI. Dla każdego, kto korzysta z narzędzi opartych na uczeniu maszynowym lub śledzi rynek technologiczny, znajomość tej regulacji przestała być opcją.
Jak działa wdrożenie etapowe AI Act?
Jednym z częstszych nieporozumień wokół AI Act jest przekonanie, że regulacja „wejdzie w życie” w jednym konkretnym momencie. W rzeczywistości rozporządzenie 2024/1689 przyjęło model wdrożenia etapowego, rozłożonego na cztery główne horyzonty czasowe liczone od daty publikacji w Dzienniku Urzędowym UE.
Pierwsze przepisy: luty 2025
Sześć miesięcy po wejściu rozporządzenia w życie, czyli 2 lutego 2025 roku, zaczął obowiązywać pierwszy pakiet przepisów. Objął on dwie grupy zagadnień: zakaz określonych praktyk AI oraz wymóg podnoszenia kompetencji pracowników przez organizacje wdrażające systemy oparte na algorytmach. Od tej daty firmy działające na rynku unijnym muszą upewnić się, że żaden z ich systemów nie narusza listy zakazanych praktyk AI – obejmuje ona m.in. systemy manipulujące zachowaniem użytkowników w sposób podprogowy czy narzędzia do masowego punktowania obywateli przez władze publiczne.
Rok 2026 i modele ogólnego przeznaczenia
Sierpień 2026 roku przyniesie kolejny, znacznie szerszy pakiet obowiązków. Do gry wchodzą zasady dotyczące modeli ogólnego przeznaczenia – czyli dużych modeli językowych i innych systemów trenowanych na szerokich zbiorach danych, które można zastosować w wielu różnych kontekstach. Dostawcy takich modeli będą musieli spełniać wymagania dotyczące dokumentacji technicznej, przejrzystości danych treningowych oraz zarządzania ryzykiem.
W Polsce ten etap ma szczególne znaczenie. 27 lipca 2026 roku ogłoszono ustawę o systemach sztucznej inteligencji, której zasadnicza część wchodzi w życie 11 sierpnia 2026 roku. Projekt przyjęła Rada Ministrów 31 marca 2026 roku, a Ministerstwo Cyfryzacji wprost wskazało, że celem ustawy jest zapewnienie stosowania przepisów unijnego AI Act w polskim porządku prawnym. Część przepisów krajowych zacznie obowiązywać od 28 października 2026 roku.
Pełne zastosowanie regulacji w 2027 roku
Sierpień 2027 roku to horyzont, w którym pełne zastosowanie znajdą przepisy dotyczące systemów wysokiego ryzyka – tej kategorii, która budzi największe pytania wśród firm technologicznych. Przy tym warto pamiętać, że „wysokie ryzyko” w rozumieniu AI Act to precyzyjnie zdefiniowana kategoria prawna, a nie intuicyjne poczucie, że dany system jest „niebezpieczny”.
Czym są systemy wysokiego ryzyka i kogo dotyczą przepisy?
Klasyfikacja ryzyka to serce całej regulacji. AI Act dzieli systemy na cztery poziomy: zakazane, wysokiego ryzyka, wymagające ograniczonej przejrzystości oraz minimalnego ryzyka. Zdecydowana większość codziennych narzędzi – filtry spamu, rekomendacje treści, asystenci głosowi w smartfonach – mieści się w kategorii minimalnego ryzyka i nie podlega szczególnym obowiązkom.
Systemy wysokiego ryzyka to te, które mogą istotnie wpłynąć na bezpieczeństwo lub prawa podstawowe ludzi. Lista jest konkretna: obejmuje systemy stosowane w infrastrukturze krytycznej, narzędzia do rekrutacji i oceny pracowników, systemy wspomagające decyzje kredytowe, rozwiązania używane w edukacji do oceniania uczniów, a także systemy wspierające wymiar sprawiedliwości. Jeśli korzystasz z oprogramowania kadrowego, które ocenia kandydatów do pracy, albo z systemu bankowego analizującego zdolność kredytową – te rozwiązania z dużym prawdopodobieństwem mieszczą się w tej kategorii.
Obowiązki dostawców systemów wysokiego ryzyka są rozbudowane. Muszą oni przeprowadzić ocenę zgodności przed wprowadzeniem systemu na rynek, prowadzić szczegółową dokumentację techniczną, zapewnić możliwość nadzoru przez człowieka oraz wdrożyć mechanizmy zarządzania ryzykiem przez cały cykl życia produktu. Obowiązki spoczywają nie tylko na firmach tworzących systemy, lecz także na podmiotach stosujących – organizacjach, które te systemy kupują i wdrażają u siebie.
Kogo konkretnie dotyczą te przepisy? Każdej firmy, która dostarcza systemy AI na rynek unijny lub korzysta z nich w działalności prowadzonej na terenie UE – niezależnie od tego, gdzie ma siedzibę. Producent z USA sprzedający narzędzie polskiemu pracodawcy podlega tym samym regułom co europejski startup.
Osobną kategorię tworzą modele ogólnego przeznaczenia o szczególnie dużej skali – te, które trenowano przy użyciu ponad 10^25 operacji zmiennoprzecinkowych (FLOP). Dla nich przewidziano dodatkowe wymagania dotyczące oceny ryzyka systemowego, zgłaszania incydentów oraz współpracy z organami nadzoru. Regulacja przewiduje też mechanizm piaskownic regulacyjnych – kontrolowanych środowisk, w których firmy mogą testować nowe systemy pod nadzorem organów regulacyjnych, zanim trafią one na rynek. To rozwiązanie ma szczególne znaczenie dla startupów, które nie dysponują zasobami potrzebnymi do pełnej procedury certyfikacyjnej na wczesnym etapie rozwoju produktu.
Co Akt w sprawie sztucznej inteligencji oznacza w praktyce dla firm w Polsce?
Pytanie, które naprawdę interesuje przedsiębiorców, brzmi: co konkretnie trzeba zrobić, żeby nie narazić się na karę sięgającą 35 milionów euro lub 7% globalnego obrotu rocznego? Pierwszym krokiem jest inwentaryzacja systemów AI używanych w organizacji. Wiele firm korzysta z dziesiątek narzędzi opartych na uczeniu maszynowym, często nie wiedząc, że podlegają one regulacji. Każde z nich wymaga osobnej oceny pod kątem kategorii ryzyka. Obowiązki, które należy zweryfikować, obejmują:
- prowadzenie dokumentacji technicznej przez cały cykl życia systemu;
- zapewnienie nadzoru ludzkiego nad decyzjami w obszarach wysokiego ryzyka;
- informowanie użytkowników o interakcji z systemem AI (np. chatbotem obsługi klienta);
- oznaczanie syntetycznych treści generowanych przez algorytmy: deepfake’ów, wygenerowanych obrazów czy tekstów publikowanych jako informacje;
- rejestrowanie danych treningowych i wyników testów w sposób umożliwiający audyt.
Wymóg nadzoru ludzkiego oznacza w praktyce, że decyzje podejmowane przez system w obszarach wysokiego ryzyka muszą być weryfikowalne i odwracalne. Jeśli algorytm odrzuca wniosek kredytowy, klient ma prawo żądać wyjaśnienia i ponownej oceny przez pracownika. Dla platform cyfrowych i firm e-commerce działających w Polsce oznacza to konieczność przeglądu interfejsów użytkownika i polityk informacyjnych – chatbot bez wyraźnego oznaczenia jako narzędzie AI stanowi naruszenie przepisów.
System sankcji jest trójstopniowy. Najpoważniejsze konsekwencje – do 35 milionów euro lub 7% globalnego rocznego obrotu – grożą za stosowanie zakazanych praktyk. Za naruszenia obowiązków dotyczących systemów wysokiego ryzyka grozi kara do 15 milionów euro lub 3% obrotu. Podanie organom nadzoru nieprawdziwych informacji może skutkować sankcją do 7,5 miliona euro lub 1% obrotu. Nadzór w Polsce sprawuje wyznaczony krajowy organ nadzoru rynku, a Europejska Rada ds. Sztucznej Inteligencji koordynuje działania na poziomie unijnym i wydaje wytyczne interpretacyjne.
Jeśli twoja firma używa jakiegokolwiek narzędzia opartego na algorytmach w procesach kadrowych, sprzedażowych lub obsłudze klienta, zacznij od jednego konkretnego działania: sporządź listę tych systemów i przy każdym zapisz, kto podjął decyzję o jego wdrożeniu oraz czy istnieje procedura odwołania od jego decyzji. To punkt wyjścia do oceny zgodności, który można wykonać bez zewnętrznego doradcy – i który pokaże, gdzie faktycznie leżą największe luki.
Źródła: gov.pl, digital-strategy.ec.europa.eu, zpp.pl, trade.gov.pl
