AI Act i regulacje unijne dla firm

Na czym polega AI Act

AI Act dzieli systemy sztucznej inteligencji według ryzyka. Część praktyk jest zakazana, na przykład ocenianie ludzi w sposób prowadzący do nieuzasadnionego gorszego traktowania. Systemy wysokiego ryzyka, wykorzystywane między innymi w rekrutacji, ocenie zdolności kredytowej czy dostępie do usług, objęto rozbudowanymi obowiązkami. Dla większości firm najważniejsza jest kategoria ograniczonego ryzyka, czyli obowiązki przejrzystości. Systemy o minimalnym ryzyku nie podlegają szczególnym wymogom.

Obowiązki przejrzystości sprowadzają się do informowania: że użytkownik kontaktuje się z systemem AI, a nie z człowiekiem, oraz że dana treść, obraz czy nagranie zostały wygenerowane lub zmienione przez sztuczną inteligencję.

Harmonogram i termin 2 sierpnia 2026

Rozporządzenie weszło w życie w 2024 roku, a jego przepisy stosuje się etapami. Pełny, na bieżąco aktualny harmonogram - z podziałem na etapy, które już obowiązują, i te, które dopiero nadchodzą - prezentuję w interaktywnym narzędziu kancelarii.

Zobacz pełną oś czasu AI Act →

Polska ustawa o systemach AI ma dodatkowo utworzyć krajowy organ nadzoru nad sztuczną inteligencją; podobnie jak w przypadku terminów AI Act, jej stan warto sprawdzić na bieżąco przed podjęciem decyzji.

Zobacz też pełny kalendarz zgodności e-commerce (Omnibus, GPSR, AI Act i inne terminy) w narzędziu kancelarii.

Kto odpowiada: dostawca czy podmiot stosujący

AI Act rozróżnia dostawcę systemu, który go tworzy lub wprowadza na rynek, oraz podmiot stosujący, który z niego korzysta w swojej działalności. Większość firm należy do tej drugiej grupy. Nie zwalnia to jej z obowiązków, ponieważ to podmiot stosujący odpowiada za sposób korzystania z systemu i za dane, które do niego wprowadza.

Dostawca a podmiot stosujący

	Dostawca	Podmiot stosujący
Kim jest	tworzy lub wprowadza system na rynek	korzysta z systemu w działalności
Główne obowiązki	dokumentacja, ocena zgodności, nadzór nad systemem	zgodne używanie, przejrzystość, kompetencje personelu
Typowy przykład	producent narzędzia AI	firma używająca chatbota lub generatora treści

Dwa obowiązki dotyczą praktycznie każdej firmy używającej AI. Pierwszy to wspomniana przejrzystość. Drugi to kompetencje: rozporządzenie wymaga, aby osoby korzystające z systemów AI miały odpowiedni poziom wiedzy o ich działaniu i ryzykach. Regulacja ma też zasięg wykraczający poza Unię, ponieważ obejmuje również podmioty spoza niej, jeśli efekty działania systemu są wykorzystywane w Unii. Za naruszenie najpoważniejszych zakazów grozi kara do 35 milionów euro lub 7 procent światowego obrotu, a za pozostałe naruszenia kary są odpowiednio niższe.

Od czego zacząć w firmie

Wdrożenie zaczynam od inwentaryzacji: gdzie i do czego firma faktycznie używa AI, jakie dane przy tym przetwarza i czy któreś z zastosowań nie wchodzi w obszar wysokiego ryzyka. Na tej podstawie klasyfikuję zastosowania według AI Act i przygotowuję politykę używania AI, która określa dozwolone narzędzia, dane, których nie wolno do nich wprowadzać, oraz zakres odpowiedzialności.

Zagadnienie łączy się z RODO, ponieważ wprowadzanie danych osobowych do narzędzi AI podlega dodatkowym zasadom. Uzupełnieniem jest zaplanowanie kompetencji personelu, wymaganych od 2025 roku. Celem nie jest rezygnacja z AI, lecz korzystanie z niego w sposób, który nie tworzy ryzyka prawnego ani wycieku informacji.

Inne regulacje unijne: EUDR i GPSR

AI Act nie jest jedyną nową regulacją unijną. EUDR nakłada obowiązki związane z produktami, których łańcuch dostaw ma nie przyczyniać się do wylesiania, wraz z dokumentowaniem pochodzenia surowców. GPSR to ogólne rozporządzenie o bezpieczeństwie produktów, istotne zwłaszcza w sprzedaży, w tym internetowej, wraz z obowiązkami informacyjnymi i identyfikowalnością produktu.

Pomagam ustalić, które z tych obowiązków dotyczą konkretnej firmy, i przełożyć je na dokumenty oraz procesy, zamiast pozostawiać jako abstrakcyjny wymóg.