AI Act
AI Act to rozporządzenie Unii Europejskiej (2024/1689) - pierwsze na świecie kompleksowe prawo regulujące sztuczną inteligencję. Wprowadza podejście oparte na ryzyku - im wyższe ryzyko systemu, tym ostrzejsze wymagania.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie sztucznej inteligencji (potocznie AI Act) weszło w życie 1 sierpnia 2024 r. No i fajnie, ale właściwie czy ono mnie dotyczy i czy muszę się tym jakoś martwić?
Dostęp do aktu: https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R1689
Fundamenty Czym jest AI Act, kogo dotyczy, kiedy się przejmować?
No dobra, wiemy że AI Act reguluje jakieś tam kwestie związane z AI. Ale z jaką znowu AI? To dobre pytanie i fundamentalne dla zrozumienia "mechaniki" rozporządzenia. Najważniejsze - ma zastosowanie nie do wszystkich rozwiązań, które określamy mianem AI, ale wyłącznie do sytemów AI i to też nie wszystkich.
Według AI Act:
„system AI” oznacza system maszynowy, który został zaprojektowany do działania z różnym poziomem autonomii po jego wdrożeniu oraz który może wykazywać zdolność adaptacji po jego wdrożeniu, a także który – na potrzeby wyraźnych lub dorozumianych celów – wnioskuje, jak generować na podstawie otrzymanych danych wejściowych wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne
Wszystkie elementy tej definicji muszą być spełnione, aby w ogóle mówić o systemie AI. W sekcji poświęconej otoczeniu regulacyjnemu znajdziecie też link do wytycznych, które Komisja (UE) przygotowała, aby pomóc zrozumieć czym jest a czym nie jest taki system.
Jeżeli mamy taki system AI, to jeszcze nie tragedia. Zabawnie robi się, gdy wejdziemy w klasyfikację...
Od ryzyka do obowiązków Co decyduje o tym czy stosujemy AI Act?
AI Act dzieli systemy AI na cztery kategorie ryzyka i przypisuje im proporcjonalne obowiązki. No, z tą proporcjalnością to różnie się to interpretuje... Powiedźmy jednak, że tak rzeczywiście jest.
1. Ryzyko niedopuszczalne, czyli tzw. praktyki zakazane
To coś czego robić nie możesz, a jeżeli Ciebie pokusiło, to licz się z konsekwencjami. Obowiązują od 2 lutego 2025 r. i zostały opisane zarówno w art. 5, jak i wyjaśnieniach do tego przepisu - link do wytycznych,. Zaliczamy do nich m.in. takie wykorzystanie systemu AI, które wiąże się z:
- social scoringiem, ale takim "nieodpowiednim",
- techniki podprogowe i manipulacyjne wykorzystujące podatności, ale przy "odpowiednim poziomie szkody,
- masowe scrapowanie zdjęć twarzy z internetu w celu budowy baz rozpoznawania,
- rozpoznawanie emocji w miejscu pracy i w szkołach (z wyjątkami medycznymi/bezpieczeństwa),
- biometryczna kategoryzacja po cechach wrażliwych,
- real-time zdalna identyfikacja biometryczna w przestrzeni publicznej (z wąskimi wyjątkami dla ścigania).
2. Ryzyko wysokie — pełne wymagania zgodności z AI Act
Stan na maj 2026 r. Komisja opublikowała projekt wytycznych - link do wytycznych,
Załącznik III wymienia obszary "high-risk", m.in.:
- biometria, krytyczna infrastruktura, edukacja, zatrudnienie i HR (rekrutacja, ocena pracowników),
- dostęp do usług publicznych i prywatnych (kredyty, ubezpieczenia, świadczenia),
- ściganie, zarządzanie migracją, wymiar sprawiedliwości i procesy demokratyczne.
Tyle, że sposób ustalania czy mamy taki system nie jest tak prosty i wymaga wyjaśnienia. Wróćimy jeszcze do tego.
Plus systemy AI będące komponentami bezpieczeństwa produktów regulowanych (zał. I — wyroby medyczne, zabawki, maszyny itp.).
Obowiązki dostawcy obejmują m.in.: system zarządzania ryzykiem, data governance (jakość danych treningowych, walidacyjnych i testowych), dokumentację techniczną, rejestrację zdarzeń, transparentność wobec użytkownika, nadzór człowieka, dokładność/odporność/cyberbezpieczeństwo, ocenę zgodności i znak CE, rejestrację w bazie UE.
3. Ryzyko ograniczone — obowiązki transparentności
Systemy wchodzące w interakcję z ludźmi (chatboty), generujące deepfake'i lub generatywną treść muszą informować użytkownika, że ma do czynienia z AI / treścią syntetyczną (art. 50). W maju 2026 r. pojawił się projekt rekomendacji w zakresie "oznaczania", tzw. watermarking.
4. Ryzyko minimalne — bez obowiązków
Większość obecnych zastosowań AI (filtry spamu, AI w grach). Brak nowych obowiązków — zachęta do dobrowolnych kodeksów postępowania.
Modele ogólnego przeznaczenia (GPAI)
Osobny rozdział regulujący general-purpose AI models (np. GPT, Claude, Gemini). Każdy dostawca GPAI musi prowadzić dokumentację techniczną, opublikować streszczenie danych treningowych i przestrzegać prawa autorskiego. Modele "z ryzykiem systemowym" (próg obliczeniowy ≥ 10²⁵ FLOP) mają dodatkowe obowiązki: ocena modelu, zgłaszanie poważnych incydentów, testy adwersaryjne, zabezpieczenia cyber.
To nie koniec ; ) Są jeszcze role, które możemy pełnić...
Zasadniczo możemy pełnić dwie role:
- dostawcy systemu AI oraz
- podmiotu stosującego system AI.
W AI Act ról jest więcej i dodatkowo w art. 25 pojawiają się podmioty, które są trochę "obok", bo np. dostarczają dane czy podsystemy. Zgodnie z AI Act mamy następujące role, które - niestety - musimy czytać z niektórymi innymi definicjami:
„dostawca” oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które rozwijają system AI lub model AI ogólnego przeznaczenia lub zlecają rozwój systemu AI lub modelu AI ogólnego przeznaczenia oraz które – odpłatnie lub nieodpłatnie – pod własną nazwą lub własnym znakiem towarowym wprowadzają do obrotu lub oddają do użytku system AI,
„podmiot stosujący” oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które wykorzystują system AI, nad którym sprawują kontrolę, z wyjątkiem sytuacji, gdy system AI jest wykorzystywany w ramach osobistej działalności pozazawodowej.
Dopiero po ustaleniu naszej roli możemy przejść do kolejnej części, czyli harmonogramu, który da nam znać czy jesteśmy po czasie.
Harmonogram Od kiedy i czy w ogóle?
Harmonogram stosowania
| Data | Co zaczyna obowiązywać |
|---|---|
| 2 lutego 2025 | Zakazy z art. 5 + wymóg AI literacy (art. 4) |
| 2 sierpnia 2025 | Obowiązki dla GPAI, organy nadzoru, system kar |
| 2 sierpnia 2026 / 2 grudnia 2027 (digital omnibus) | Większość pozostałych przepisów (w tym wymagania dla high-risk z zał. III) |
| 2 sierpnia 2027 / 2 sierpnia 2028 (digital omnibus) | High-risk będący komponentami produktów z zał. I |
Ale ważna uwaga - wiele z przepisów nie będzie możliwa do wyegzekwowania bez odpowiednich przepisów krajowych, w tym w zakresie organów nadzorczych i kar.
W Polsce mamy projekt ustawy o systemach AI, który tę lukę ma wypełnić. Poświęcimy temu odrębną sekcję!
Kary Surowe, ale bez przepisów krajowych "gołe".
- Do 35 mln EUR lub 7% rocznego światowego obrotu (zakazane praktyki).
- Do 15 mln EUR lub 3% obrotu (naruszenie obowiązków high-risk i GPAI).
- Do 7,5 mln EUR lub 1% obrotu (podanie nieprawdziwych informacji).
Kogo dotyczy
Rozporządzenie ma zasięg eksterytorialny - obejmuje także dostawców i podmioty stosujące spoza UE, jeśli wynik systemu AI jest wykorzystywany w UE lub wobec obywateli UE.
Pierwszym praktycznym krokiem jest inwentaryzacja systemów AI w organizacji i klasyfikacja ich wg kategorii ryzyka. Bez tego nie da się zaplanować zgodności.
AI Act - przewodnik po unijnym rozporządzeniu o AI
Najważniejsze obowiązki z AI Act. O co właściwie chodzi i kiedy musimy się dostosować?
Aktualizacja: