AI Act – jak i od kiedy wprowadzać regulacje AI?

Sztuczna inteligencja doczekała się pierwszych regulacji prawnych

Jeszcze do niedawna można było korzystać ze sztucznej inteligencji bez jednego, wyraźnego zestawu zasad, który by to regulował. Firmy budowały systemy, testowały je na klientach i publikowały treści, ucząc się na własnych błędach, a prawo za tym nie nadążało. AI Act to pierwsza tak obszerna próba uregulowania tego obszaru na poziomie całej Unii Europejskiej.

Aby podlegać AI Act, wystarczy, że generujesz opisy produktów przez AI, korzystasz z chatbota na stronie albo automatyzujesz obieg dokumentów systemem, który sam podejmuje część decyzji. To rozporządzenie unijne, więc obowiązuje wprost, bez potrzeby wdrażania go do polskiego prawa osobną ustawą. Dotyczy zarówno firm, które tworzą systemy AI, jak i osób, które po prostu korzystają z gotowych narzędzi w codziennej pracy. Druga grupa jest znacznie liczniejsza i to właśnie ona najczęściej nie zdaje sobie sprawy, że nowe obowiązki już jej dotyczą.

W tym artykule skupiamy się na tym, co AI Act oznacza w praktyce: jakie są terminy, jakie kary grożą za brak zgodności i jak wygląda przygotowanie do tych zmian krok po kroku.

Czym właściwie jest AI Act?

AI Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, przyjęte w czerwcu 2024 roku. Jego celem jest uregulowanie tego, jak systemy sztucznej inteligencji są budowane, wprowadzane do obrotu i wykorzystywane na terenie Unii Europejskiej.

Przepisy wchodzą w życie etapami, a nie jednorazowo – to ważne, bo oznacza, że część obowiązków już dziś obowiązuje, a część zacznie obowiązywać dopiero za kilkanaście miesięcy albo nawet lat. Firmy, które czekają na jeden konkretny moment wejścia w życie całej regulacji, mogą się rozczarować, bo takiego momentu po prostu nie ma.

Rozporządzenie przypisuje obowiązki nie do branży, w której działa firma, tylko do roli, jaką pełni w konkretnym projekcie. Ta sama firma może być w jednym przypadku dostawcą systemu AI, a w innym podmiotem, który z takiego systemu korzysta. Rolę trzeba oceniać osobno dla każdego zastosowania.

Dostawca a Podmiot stosujący

Dostawca

To podmiot, który opracowuje system AI i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą albo znakiem, niezależnie od tego, czy robi to odpłatnie, czy nieodpłatnie. Najczęściej są to firmy IT lub startupy. Jeśli firma buduje autorski chatbot, generator treści albo moduł AI i udostępnia go pod własną marką jako produkt, staje się jego dostawcą i ponosi związane z tym obowiązki.

Podmiot stosujący

To z kolei każdy, kto używa gotowego systemu AI we własnej działalności. Jeśli firma generuje i publikuje treści marketingowe za pomocą narzędzia AI, korzysta z chatbota na stronie albo wykorzystuje AI do automatycznej kategoryzacji zgłoszeń, działa właśnie w tej roli.

Większość firm, które nie zajmują się tworzeniem oprogramowania, znajdzie się w drugiej kategorii. To jednak nie znaczy, że mają mniej obowiązków niż dostawcy – tylko że są to inne obowiązki, skupione przede wszystkim na przejrzystości wobec użytkowników i klientów.

Jest jeszcze trzecia sytuacja: budowanie rozwiązania na cudzym modelu ogólnego przeznaczenia, na przykład takim jak duże modele językowe dostępne komercyjnie. To tej kategorii wpadają np. startupy tworzące własne rozwiązania na gotowym LLMie, np. Claude czy ChatGPT. W takim przypadku firma zwykle staje się dostawcą systemu zbudowanego na tym modelu, a dostawca samego modelu ma swoje odrębne obowiązki i powinien przekazać informacje potrzebne do zachowania zgodności.

Kluczowe terminy, które warto znać

AI Act wprowadza obowiązki stopniowo, w kilku etapach rozłożonych na kilka lat.

• 2 lutego 2025 roku weszły w życie regulacje o zakazanych praktykach. To najostrzejszy element regulacji, który mówi, że pewnych zastosowań AI po prostu nie wolno wdrażać, niezależnie od zgody użytkownika czy zabezpieczeń technicznych. Przykłady obejmują nieukierunkowane pozyskiwanie wizerunków twarzy do baz danych, ocenę obywateli znaną jako social scoring oraz rozpoznawanie emocji w miejscu pracy i w placówkach edukacyjnych.
   
• 2 sierpnia 2026 roku weszły w życie obowiązki przejrzystości. To one dotyczą największej liczby firm, bo obejmują między innymi obowiązek informowania użytkownika, że rozmawia z botem, oraz obowiązek oznaczania treści wygenerowanych lub zmodyfikowanych przez AI. Ten etap już obowiązuje.
   
• 2 grudnia 2026 roku zacznie obowiązywać wymóg maszynowego znakowania treści dla systemów, które były obecne na rynku przed 2 sierpnia 2026 roku. Chodzi o techniczne, odczytywalne przez maszyny oznaczenia, takie jak metadane czy znaki wodne, w odróżnieniu od widocznych dla człowieka etykiet. Nie oznacza to, że trzeba retroaktywnie wprowadzać oznaczenia – należy to rozumieć tak, że od 2.12.2026 narzędzia AI, z których korzystasz, powinny już same automatycznie dopisywać takie oznaczenia do nowo generowanych treści. Nie trzeba nic robić z materiałami, które zostały wcześniej opublikowane.
   
• 2 grudnia 2027 roku i 2 sierpnia 2028 roku to terminy dla systemów wysokiego ryzyka, a więc rozwiązań stosowanych między innymi w rekrutacji, ocenie pracowników, scoringu kredytowym czy identyfikacji biometrycznej.

Terminy te zostały odroczone względem pierwotnego harmonogramu przez pakiet upraszczający Digital Omnibus, uzgodniony politycznie w maju 2026 roku. Mimo odroczenia warto projektować takie systemy z wyprzedzeniem, bo reżim wysokiego ryzyka jest znacznie bardziej wymagający niż sama przejrzystość.

Ile można stracić, nie dopełniając obowiązków AI Act?

AI Act przewiduje kary finansowe, które mogą być odczuwalne nawet dla dużych organizacji. Za naruszenie obowiązków przejrzystości grozi kara do 15 milionów euro albo 3% całkowitego rocznego światowego obrotu firmy, w zależności od tego, która kwota jest wyższa. Za naruszenie zakazanych praktyk kara jest jeszcze wyższa: do 35 milionów euro albo 7% rocznego obrotu firmy. Dostawcy modeli ogólnego przeznaczenia odpowiadają na odrębnej podstawie prawnej.

Do tego dochodzi ryzyko wynikające z polskiego prawa konsumenckiego, które w naszym kraju wdraża dyrektywę Omnibus. Prezes UOKiK może nałożyć karę do 10% obrotu za praktyki naruszające zbiorowe interesy konsumentów, na przykład za publikowanie nieautentycznych opinii generowanych przez AI albo ukrywanie komercyjnego charakteru treści.

Poza karami finansowymi nakładanymi bezpośrednio przez organy, pojawia się też ryzyko kontraktowe. Jeśli firma korzysta z systemu AI dostarczonego przez zewnętrznego dostawcę, to zwykle ona sama odpowiada przed organami jako podmiot stosujący. Oznacza to, że będzie się oczekiwać od swojego dostawcy technologii mechanizmów zgodności wbudowanych w produkt od samego początku, a nie doklejonych na końcu projektu.

Co w praktyce oznacza obowiązek przejrzystości

Obowiązki przejrzystości z artykułu 50 AI Act dotyczą kilku konkretnych sytuacji, a nie każdego kontaktu z AI w ogóle.

Chatboty i voiceboty

Jeśli system prowadzi bezpośrednią interakcję z człowiekiem, użytkownik musi zostać jasno poinformowany, że rozmawia z AI, najpóźniej w chwili pierwszej interakcji. Informacja musi być dostępna również dla osób z niepełnosprawnościami. Podszywanie bota pod prawdziwego pracownika, na przykład fałszywym imieniem czy awatarem, jest niedopuszczalne.

Treści całkowicie wygenerowane za pomocą AI

Systemy generujące obraz, dźwięk, wideo lub tekst powinny zapewniać oznaczenie treści w formacie odczytywalnym maszynowo, tzn. przez przeglądarkę, aplikację lub system operacyjny. W praktyce chodzi o rozwiązania takie jak metadane czy niewidoczne znaki wodne, które pozwalają wykryć, że dana treść powstała z użyciem AI, nawet jeśli człowiek patrzący na nią gołym okiem tego nie zauważy.

Widoczne oznaczenia dla odbiorcy

Niezależnie od technicznego znakowania, w wielu sytuacjach potrzebne jest też oznaczenie widoczne dla człowieka, na przykład ikona czy podpis na grafice lub w opisie. Dotyczy to zwłaszcza treści, które mogłyby zostać pomylone z autentycznym zdjęciem, nagraniem albo materiałem dokumentującym rzeczywiste wydarzenie – tzw. deep fake.

Sam obowiązek oznaczania tekstu jest w praktyce dość wąski – dotyczy przede wszystkim treści informujących opinię publiczną o sprawach interesu publicznego, przygotowanych bez udziału redakcji człowieka. Typowe treści marketingowe, takie jak opisy produktów czy artykuły blogowe, zwykle nie wymagają oznaczania, jeśli przeszły ludzką weryfikację i wskazano osobę za nią odpowiedzialną.

Rozpoznawanie emocji i social scoring

Część zastosowań AI jest zakazana wprost, niezależnie od zgody użytkownika czy zastosowanych zabezpieczeń. Dotyczy to między innymi rozpoznawania emocji w miejscu pracy i w placówkach edukacyjnych, nieukierunkowanego pozyskiwania wizerunków twarzy do baz danych oraz oceny obywateli znanej jako social scoring. Jeśli firma projektuje na przykład narzędzie do oceny pracowników albo system rekrutacyjny wykorzystujący AI, warto zweryfikować to zastosowanie pod kątem zakazów jeszcze przed rozpoczęciem prac, a nie dopiero po wdrożeniu.

Jak się przygotować: pięć kroków

Wdrożenie zgodności z AI Act nie musi oznaczać rewolucji w firmie. W większości przypadków będzie to kilka konkretnych, powtarzalnych działań.

1. Sprawdź, gdzie w firmie faktycznie działa AI

Zanim zaczniesz wdrażać oznaczenia i procedury, ustal, które procesy, treści i narzędzia w Twojej firmie faktycznie korzystają ze sztucznej inteligencji. Często okazuje się, że jest ich więcej niż początkowo się wydawało, bo AI bywa wbudowane w narzędzia, z których firma korzysta od dawna (ale niekoniecznie z modułów AI).

2. Ustal swoją rolę dla każdego zastosowania osobno

Dla jednego projektu firma może być podmiotem stosującym, a dla innego dostawcą. Każde zastosowanie AI warto ocenić osobno, zamiast zakładać jedną rolę dla całej organizacji.

3. Wprowadź zasadę „człowiek w pętli” dla treści tekstowych

Skoro obowiązek oznaczania tekstu jest wąski i zależy od tego, czy treść przeszła redakcję człowieka, warto formalnie ustalić prosty proces: kto weryfikuje treści wygenerowane przez AI przed publikacją i kto za tę weryfikację oraz treść odpowiada.

4. Zadbaj o widoczne oznaczenia tam, gdzie są wymagane

Dotyczy to przede wszystkim grafik i materiałów wideo, które mogłyby zostać pomylone z autentycznymi, oraz każdej sytuacji, w której użytkownik wchodzi w interakcję z botem.

5. Zweryfikuj umowy z dostawcami technologii

Jeśli korzystasz z systemów AI dostarczonych przez zewnętrzne firmy, sprawdź, czy umowy jasno określają, kto odpowiada za obowiązki dostawcy wynikające z AI Act. Zgodność wbudowana w produkt od początku projektu jest zawsze prostsza i tańsza niż dokładanie jej na końcu.

Jak Ideo może Ci w tym pomóc

Budujemy oprogramowanie z wykorzystaniem AI już od dłuższego czasu i sami na co dzień korzystamy z niego podczas wielu czynności, więc znamy te przepisy z obu stron: jako twórca systemów i jako podmiot, który z nich korzysta.

Możemy pomóc sprawdzić, gdzie w Twoich systemach i procesach AI już działa i czy wymaga dodatkowych oznaczeń, wdrożyć mechanizmy przejrzystości w platformach, które dla Ciebie budujemy lub rozwijamy, oraz zaprojektować nowe rozwiązania tak, żeby zgodność z przepisami była w nich obecna od pierwszego dnia, a nie dokładana na końcu.

Jeśli zastanawiasz się, jak AI Act wpływa na Twoją firmę, porozmawiajmy. Przejrzymy Twoje procesy i powiemy wprost, co wymaga uwagi, a co już działa poprawnie.

Powyższy tekst nie zastępuje porady prawnej – w razie wątpliwości warto skonsultować konkretne zastosowanie z prawnikiem specjalizującym się w tym temacie. Mówi jednak o tym, jak w praktyce zastosować ogólne zasady, które warto wprowadzić i przestrzegać nawet przed indywidualnymi rozstrzygnięciami i poradami prawnymi.