AI Act w praktyce. Co zmieni dla firm w Polsce?

AI Act – co warto wiedzieć?

• AI Act to nowoczesne ramy prawne, których głównym celem jest skuteczna ochrona praw przed ryzykiem związanym z rozwojem technologii.
• Przyjęte podejście oparte na ryzyku oznacza, że zakres Twoich obowiązków zależy bezpośrednio od stopnia zagrożenia, jakie generuje dany system sztucznej inteligencji.
• Rozporządzenie stosuje się od 2 sierpnia 2026 r., ale część jego przepisów – w tym zakazy praktyk niedozwolonych i obowiązek AI literacy – obowiązuje już wcześniej.
• Nowe przepisy obejmują szerokie grono odbiorców – od dostawców tworzących innowacyjne rozwiązania, po firmy, które na co dzień stosują te narzędzia w swojej działalności.
• Najpoważniejsze naruszenia – w szczególności stosowanie praktyk zakazanych przez art. 5 – wiążą się z karami do 7% światowego obrotu rocznego. Zakres sankcji zależy od rodzaju i wagi przewinienia.

AI Act – co to jest i dlaczego Unia Europejska wprowadza nowe regulacje?

AI Act to Rozporządzenie Parlamentu Europejskiego i Rady, które obowiązuje bezpośrednio w całej Unii Europejskiej. Przepisy te mają podobny charakter do unijnego rozporządzenia o ochronie danych osobowych (RODO). Dokument ten definiuje systemy AI bardzo szeroko. Obejmuje on oprogramowanie wykazujące pewien stopień autonomii, które na podstawie danych wejściowych generuje treści, predykcje, rekomendacje lub decyzje wpływające na środowisko fizyczne lub wirtualne. Proste skrypty decyzyjne bez elementu uczenia maszynowego nie są systemami AI w rozumieniu rozporządzenia.

Celem rozporządzenia jest zapewnienie wysokiego poziomu ochrony zdrowia, bezpieczeństwa i praw podstawowych, przy jednoczesnym wspieraniu wdrożenia godnej zaufania sztucznej inteligencji na rynku wewnętrznym.

AI Act w Polsce – kogo obejmą nowe przepisy?

AI Act obejmuje podmioty wskazane w rozporządzeniu, w szczególności dostawców, podmioty stosujące, importerów, dystrybutorów i – w określonych sytuacjach – producentów produktów wykorzystujących AI. Nie dotyczy każdego programu ani każdego algorytmu. Rozporządzenie wprowadza precyzyjny podział na cztery kluczowe role rynkowe:

1. Dostawcy (providers) – firmy, które tworzą systemy AI i wprowadzają je na rynek pod własną marką (np. software house piszący algorytm dla klienta).
2. Podmioty stosujące (deployers) – firmy, które używają systemów AI w swojej działalności (np. bank używający systemu do oceny zdolności kredytowej, firma HR używająca AI do selekcji CV). To dotyczy większości polskich firm.
3. Importerzy – firmy, które sprowadzają system AI opracowany poza UE i wprowadzają go na rynek unijny pod nazwą lub znakiem towarowym podmiotu spoza UE. Odpowiadają za weryfikację zgodności systemu z AI Act przed jego udostępnieniem.
4. Dystrybutorzy – firmy, które udostępniają system AI na rynku unijnym bez jego modyfikowania. Mają węższy zakres obowiązków niż importerzy, lecz muszą weryfikować, czy system posiada oznakowanie CE i deklarację zgodności.

Twoja rola jako podmiotu stosującego (deployer) wiąże się z innymi obowiązkami niż te, które spoczywają na dostawcy. Nadal jednak musisz je wypełniać, czego przykładem jest zapewnienie stałego nadzoru człowieka nad działaniem maszyny.

Cztery kategorie ryzyka w AI Act – gdzie jest Twoja firma?

AI Act opiera się na podejściu opartym na ryzyku — zakres obowiązków zależy bezpośrednio od stopnia zagrożenia, jakie dany system stwarza dla zdrowia, bezpieczeństwa lub praw podstawowych. W praktyce często przedstawia się go jako model czterech poziomów ryzyka, choć jest to uproszczenie dydaktyczne:

• Poziom 1: ryzyko nieakceptowalne. Obejmuje systemy, które są całkowicie zakazane na terenie Unii Europejskiej.
• Poziom 2: wysokie ryzyko (High Risk). Systemy te są dozwolone, lecz podlegają surowym regulacjom i wymagają oznakowania CE.
• Poziom 3: ograniczone ryzyko. Wiąże się ono głównie z obowiązkami informacyjnymi, czyli zapewnieniem odpowiedniej przejrzystości wobec użytkownika.
• Poziom 4: minimalne ryzyko. Brak obowiązków właściwych dla systemów high-risk, ale nadal trzeba uwzględnić obowiązki horyzontalne, w szczególności działania na rzecz odpowiedniego poziomu AI literacy (kodeksy dobrych praktyk).

Większość systemów dostępnych na rynku, takich jak filtry antyspamowe, gry wideo czy proste chatboty obsługowe, zostanie zakwalifikowana do kategorii minimalnego lub ograniczonego ryzyka.

Systemy zakazane – czego nie wolno robić?

Od 2 lutego 2025 r. zakazane jest wprowadzanie do obrotu, oddawanie do użytku i używanie praktyk AI zakazanych przez art. 5 AI Act. Podmioty, które nadal je stosują, narażają się na najwyższe sankcje – do 35 mln EUR lub 7% obrotu globalnego. Są to następujące praktyki:

• Punktacja społeczna (social scoring): ocena lub klasyfikacja osób fizycznych albo grup osób na podstawie ich zachowań społecznych oraz znanych, wywnioskowanych lub przewidywanych cech osobistych lub osobowościowych, jeżeli prowadzi to do niekorzystnego traktowania w rozumieniu art. 5 AI Act.
• Manipulacja podprogowa: systemy wpływające na zachowanie ludzi w sposób, którego nie są świadomi, a który wyrządza im szkodę (np. zabawki namawiające dzieci do niebezpiecznych zachowań).
• Biometria w czasie rzeczywistym: rozpoznawanie twarzy w miejscach publicznych przez policję. Wyjątek stanowią sytuacje krytyczne, takie jak przeciwdziałanie terroryzmowi lub poszukiwanie zaginionych dzieci.
• Rozpoznawanie emocji (emotion recognition): rozpoznawanie emocji w miejscu pracy i szkołach (np. kamera sprawdzająca, czy pracownik jest „znudzony”). Wyjątkiem są systemy wdrożone ze względów medycznych lub bezpieczeństwa – np. monitoring zmęczenia kierowcy (Art. 5(1)(f) AI Act).
• Prognozowanie przestępczości (policing predykcyjny): profilowanie kryminalne oparte wyłącznie na cechach osobowych.
• Wykorzystywanie słabości (exploitation of vulnerabilities): systemy AI, które wykorzystują podatność osób ze względu na wiek, niepełnosprawność bądź trudną sytuację społeczną lub ekonomiczną w sposób wyrządzający lub mogący wyrządzić poważną szkodę (Art. 5(1)(b) AI Act).
• Masowe pozyskiwanie wizerunków twarzy (facial scraping): tworzenie lub rozbudowywanie baz danych do rozpoznawania twarzy przez nieukierunkowane pobieranie wizerunków z internetu lub nagrań z kamer bez zgody osób (Art. 5(1)(e) AI Act).
• Kategoria biometryczna (biometric categorisation): systemy AI kategoryzujące osoby na podstawie danych biometrycznych w celu wnioskowania o ich rasie, poglądach politycznych, przynależności do związków zawodowych, przekonaniach religijnych lub orientacji seksualnej (Art. 5(1)(g) AI Act).

Systemy wysokiego ryzyka – rekrutacja, banki, edukacja

W tej kategorii znajduje się największy ciężar regulacyjny nowych przepisów. System uznaje się za rozwiązanie wysokiego ryzyka, gdy wpływa on znacząco na zdrowie, bezpieczeństwo lub dostęp do usług. Do przykładów takich systemów należą:

• Infrastruktura krytyczna: AI sterująca ruchem drogowym, dostawami prądu, wody.
• Edukacja: systemy oceniające egzaminy lub przydzielające dzieci do szkół.
• Zatrudnienie: algorytmy sortujące CV (ATS), oceniające kandydatów.
• Usługi publiczne oraz prywatne: scoring kredytowy, ocena ryzyka ubezpieczeniowego, systemy przyznawania zasiłków.
• Wymiar sprawiedliwości: systemy pomagające sędziom w ocenie materiału dowodowego (ryzyko stronniczości).

Jeżeli Twoja firma działa jako dostawca systemu high-risk, musi przejść właściwą procedurę oceny zgodności (Conformity Assessment). Jeżeli korzysta z takiego systemu jako podmiot stosujący (deployer), ciążą na niej odrębne obowiązki eksploatacyjne i organizacyjne.

Obowiązki dla systemów wysokiego ryzyka – ocena zgodności i oznakowanie CE

Jeżeli Twoja firma ma do czynienia z technologią wysokiego ryzyka, musisz przygotować się na konkretne wymagania prawne. Zakres tych zadań zależy od Twojej roli – inne obowiązki ma twórca oprogramowania, a inne przedsiębiorca, który z niego korzysta.

Dostawca systemu wysokiego ryzyka musi:

1. Wdrożyć system zarządzania ryzykiem (Risk Management System).
2. Zapewnić jakość danych trenujących (aby uniknąć stronniczości lub dyskryminacji, np. rasowej).
3. Sporządzić dokumentację techniczną.
4. Zapewnić nadzór człowieka. Musi istnieć realna możliwość skutecznego nadzoru człowieka nad działaniem systemu.
5. Zarejestrować system w unijnej bazie danych.
6. Uzyskać oznakowanie CE. Udział jednostki notyfikowanej zależy od kategorii systemu i przesłanek z art. 43 AI Act. Dla części systemów high-risk przewidziano procedurę z udziałem jednostki notyfikowanej, ale dla systemów z pkt 2–8 załącznika III zasadą jest procedura oparta na kontroli wewnętrznej.

Podmiot stosujący (deployer), czyli firma, która stosuje taki system, musi:

1. Używać systemu zgodnie z instrukcją.
2. Zapewnić nadzór człowieka (przeszkolić pracownika).
3. Monitorować działanie systemu i zgłaszać awarie dostawcy.
4. Przeprowadzić ocenę skutków dla praw podstawowych (FRIA – Fundamental Rights Impact Assessment), jeżeli taki obowiązek wynika z art. 27 AI Act – w szczególności gdy deployer jest podmiotem prawa publicznego, podmiotem prywatnym świadczącym usługi publiczne albo stosuje niektóre systemy high-risk z obszaru usług podstawowych, zwłaszcza oceny zdolności kredytowej lub ryzyka w ubezpieczeniach na życie i zdrowotnych. FRIA jest nowym, odrębnym obowiązkiem podmiotów stosujących, którego nie zastępuje ocena skutków dla ochrony danych (DPIA) z Art. 35 RODO.
5. Przechowywać automatycznie generowane logi systemu przez co najmniej 6 miesięcy lub dłużej, jeśli wymagają tego przepisy sektorowe (Art. 12 i Art. 26(5) AI Act).

Systemy ograniczonego ryzyka – chatboty i deepfake

W przypadku tej kategorii nadrzędną zasadą jest transparentność. Jako przedsiębiorca musisz zadbać o to, aby użytkownik otrzymał jasną i wyraźną informację, że wchodzi w interakcję z systemem AI, a nie z człowiekiem. Obowiązki te obejmują w szczególności:

• Chatboty: muszą informować: „Jestem wirtualnym asystentem”. Niedopuszczalne jest udawanie człowieka.
• Deepfakes: treści wygenerowane lub zmanipulowane przez AI powinny być wyraźnie oznaczone jako sztucznie wygenerowane bądź przetworzone. Jeżeli treść stanowi ewidentnie utwór artystyczny, twórczy, satyryczny, fikcyjny lub analogiczny, obowiązek transparentności nie znika, lecz może być spełniony w sposób odpowiedni do kontekstu, który nie utrudnia odbioru utworu.

Systemy minimalnego ryzyka – większość rynku

Większość technologii wykorzystywanych w Twojej firmie prawdopodobnie należy do tej grupy. Systemy o minimalnym ryzyku nie są objęte nowymi, sztywnymi obowiązkami prawnymi na mocy rozporządzenia.

Do tej kategorii zaliczamy powszechnie stosowane narzędzia, takie jak:

• Filtry antyspamowe w Twojej poczcie elektronicznej.
• Systemy rekomendacji, z których korzystasz np. w serwisach streamingowych lub e-commerce.
• Sztuczna inteligencja w grach wideo.
• Optymalizacja procesów logistycznych, o ile nie dotyczą one infrastruktury krytycznej.

Zaleca się, abyś dobrowolnie stosował kodeks postępowania (Code of Conduct). Są to zbiory dobrych praktyk, które mogą dotyczyć na przykład aspektów ekologicznych, takich jak ograniczanie zużycia energii elektrycznej przez Twoje systemy.

Sztuczna inteligencja ogólnego przeznaczenia (GPAI) – co z ChatGPT i Gemini?

Modele o szerokim zastosowaniu, do których należą m.in. GPT-4 oraz Gemini, posiadają w rozporządzeniu osobną kategorię prawną.

• Dostawcy modeli GPAI mają obowiązki dokumentacyjne i informacyjne, w tym dotyczące dokumentacji technicznej, polityki zgodności z prawem autorskim i publicznego podsumowania treści wykorzystanych do trenowania modelu.
• Modele GPAI o „ryzyku systemowym” (najpotężniejsze modele, zużywające ogromne zasoby obliczeniowe FLOPs) będą podlegać dodatkowym rygorom, audytom bezpieczeństwa i testom „czerwonej drużyny” pod nadzorem nowego Urzędu ds. AI (AI Office), czyli procesom testowania systemów sztucznej inteligencji, mającym na celu wykrycie ich słabych punktów, podatności na ataki oraz błędów w działaniu, zanim zostaną wykorzystane przez cyberprzestępców

Inne istotne przepisy krajowe i unijne dla firm wdrażających AI:

1. Kodeks pracy: zakazuje dyskryminacji pośredniej w zatrudnieniu – algorytm selekcji CV uczony na historycznie dyskryminujących danych może naruszać KP niezależnie od AI Act. Kodeks pracy reguluje monitoring pracowników – systemy AI analizujące aktywność, zachowanie lub wizerunek wymagają spełnienia przesłanek z KP (cel, proporcjonalność, informowanie).
2. Dyrektywa NIS2 (Dyrektywa (UE) 2022/2555): podmioty kluczowe i ważne (energia, transport, bankowość, zdrowie, dostawcy usług cyfrowych) mają obowiązek zgłoszenia poważnego incydentu cyberbezpieczeństwa w ciągu 24 godzin (wczesne ostrzeżenie) i 72 godzin (pełne zgłoszenie) do właściwego CSIRT. Atak na system AI może być jednocześnie incydentem NIS2. W Polsce obowiązki te będą wynikały z nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa, która wchodzi w życie 3 kwietnia 2026 r.
3. Dyrektywa o odpowiedzialności za produkty (PLD, Dyrektywa (UE) 2024/2853): stosowana od 9 grudnia 2026 r. Poszkodowany nie musi wykazywać winy producenta, ale nadal zasadniczo musi wykazać wadę produktu, szkodę i związek przyczynowy; dyrektywa przewiduje natomiast istotne ułatwienia dowodowe i domniemania w określonych sytuacjach.
4. Rozporządzenie DSA (Rozporządzenie (UE) 2022/2065): dla platform cyfrowych o bardzo dużym zasięgu (VLOP) – obowiązek zarządzania ryzykiem systemowym, w tym ryzykiem wynikającym ze stosowania rekomendacji algorytmicznych.
5. Projekt AI Liability Directive (AILD, COM(2022) 496) nie został uchwalony i został wpisany przez Komisję Europejską do planu wycofań w programie prac na 2025 r. W praktyce należy dziś śledzić przede wszystkim AI Act, RODO oraz nową dyrektywę o odpowiedzialności za produkt wadliwy.

AI Act a RODO – jak te przepisy się uzupełniają?

Nowe rozporządzenie nie zastępuje dotychczasowych przepisów o ochronie danych osobowych, lecz oba akty prawne działają równolegle.

• RODO chroni dane osobowe.
• AI Act chroni bezpieczeństwo i prawa podstawowe. Jeśli Twój system AI przetwarza dane osobowe (a zazwyczaj przetwarza), musi być zgodny zarówno z RODO (DPIA z Art. 35 RODO, minimalizacja danych), jak i z AI Act (jakość danych, nadzór człowieka). Naruszenie jednego aktu prawnego często oznacza jednoczesne naruszenie drugiego.

Szczególne znaczenie ma Art. 22 RODO: pracownik lub klient ma prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu – np. automatycznemu odrzuceniu CV lub odmowie kredytu. AI Act i RODO nakładają się tutaj bezpośrednio, a oba przepisy muszą być spełnione łącznie.

Jak przygotować firmę na AI Act?

Warto już teraz przeprowadzić audyt wykorzystania AI w Twojej firmie. Rekomendujemy wdrożenie następujących kroków, które pozwolą uzyskać zgodność z nowymi przepisami:

1. Inwentaryzacja – spisz wszystkie systemy AI i narzędzia wykorzystujące AI, w tym tzw. Shadow AI (nieautoryzowane oprogramowanie AI używane przez pracowników bez wiedzy działu IT).
2. Przypisz każdy system do kategorii ryzyka (Zakazany/Wysokie/Ograniczone/ Minimalne).
3. Weryfikacja dostawców – czy Twój dostawca (np. systemu HR) wie o AI Act? Czy dostarczy Ci dokumentację techniczną i instrukcję nadzoru?
4. Polityka AI – stwórz wewnętrzny regulamin używania AI przez pracowników (np. „Nie wrzucamy danych klientów do publicznego ChatGPT”).
5. Szkolenia – naucz zespół, czym są halucynacje AI i stronniczość algorytmów.
6. Kompetencje AI (AI literacy) – zapewnij pracownikom korzystającym z systemów AI odpowiedni poziom wiedzy na temat ich działania, ograniczeń oraz ryzyk. Obowiązek wynika z art. 4 AI Act i obowiązuje od 2 lutego 2025 r. – niezależnie od kategorii ryzyka systemu. Dotyczy zarówno dostawców, jak i podmiotów stosujących.
7. Nadzór człowieka – wyznacz ludzi odpowiedzialnych za stałą kontrolę nad kluczowymi systemami.
8. Dane – zweryfikuj legalność danych, na jakich uczył się model.
9. Cyberbezpieczeństwo – zabezpiecz modele przed atakiem (tzw. prompt injection, czyli manipulowanie instrukcjami lub danymi wejściowymi kierowanymi do modelu).
10. Dokumentacja: zbieraj logi (dzienniki zdarzeń) systemów wysokiego ryzyka (obowiązek ich przechowywania przez 6 miesięcy).
11. Rejestracja: przygotuj się do rejestracji w unijnej bazie systemów wysokiego ryzyka.

Skorzystaj z narzędzia Compliance Checker dostępnego bezpłatnie na stronie artificialintelligenceact.eu – interaktywne pytania w ok. 10 minut pomagają określić, czy Twój system AI podlega obowiązkom z AI Act i w jakim zakresie. Narzędzie ma charakter pomocniczy i nie zastępuje porady prawnej.

Sankcje za naruszenie AI Act – jakie ryzyka ponoszą przedsiębiorcy?

System sankcyjny AI Act jest bardzo surowy. Jego najwyższy próg przewiduje kary wyższe niż maksymalny poziom sankcji znany z RODO. Wysokość grzywny zależy od rodzaju przewinienia oraz wielkości Twojej firmy. Organ bierze pod uwagę także charakter, wagę i czas trwania naruszenia, jego skutki, liczbę osób dotkniętych, wcześniejsze kary, stopień współpracy oraz umyślność lub niedbalstwo. W odniesieniu do organów i podmiotów publicznych AI Act pozostawia państwom członkowskim ustalenie, w jakim zakresie administracyjne kary pieniężne w ogóle mogą być na nie nakładane. Sankcje za naruszenie AI Act są podzielone na trzy główne progi:

• Do 35 mln EUR lub 7% obrotu za stosowanie systemów zakazanych (np. manipulacja podprogowa).
• Do 15 mln EUR lub 3% obrotu, m.in. za naruszenie obowiązków dla systemów wysokiego ryzyka (brak danych treningowych, brak nadzoru).
• Do 7,5 mln EUR lub 1% obrotu za podanie nieprawdziwych informacji organom nadzoru. Dla MŚP przewidziano, że kara będzie „niższą z dwóch wartości” (procentowo lub kwotowo), dla dużych firm – „wyższą”.

AI Act, kiedy wchodzi w życie i od kiedy obowiązuje firmy?

AI Act wszedł w życie 1 sierpnia 2024 r.

• Od 2 lutego 2025 r. – zakazy bezwzględne weszły w życie: nie wolno stosować systemów punktacji społecznej, rozpoznawania twarzy w czasie rzeczywistym w miejscach publicznych ani innych praktyk zakazanych przez AI Act. Od tej samej daty każda firma używająca AI musi zadbać o odpowiedni poziom wiedzy pracowników o stosowanych systemach (AI literacy).
• Od 2 sierpnia 2025 r. – obowiązki dla dostawców dużych modeli AI ogólnego przeznaczenia (GPAI), takich jak modele językowe czy multimodalne udostępniane na rynku. Równolegle musiały zostać wyznaczone krajowe organy nadzoru.
• Od 2 sierpnia 2026 r. – główny termin compliance. Pełne obowiązki dla systemów wysokiego ryzyka: rekrutacja, scoring kredytowy, biometria, infrastruktura krytyczna i inne obszary z załącznika III. Dostawcy muszą mieć ocenę zgodności i oznakowanie CE; podmioty stosujące –wdrożone procedury nadzoru i dokumentację.
• Od 2 sierpnia 2027 r. – przedłużony termin wyłącznie dla systemów AI wbudowanych jako komponenty bezpieczeństwa w produkty regulowane innymi przepisami UE (urządzenia medyczne, maszyny, pojazdy, windy). Jeśli Twój system AI jest częścią takiego produktu, masz dodatkowy rok.

AI Act w praktyce – przykłady zastosowania w firmach

Nowe obowiązki najlepiej zrozumieć na konkretnych sytuacjach biznesowych. Poniżej przedstawiamy przykład z branży HR, gdzie wykorzystanie AI może z jednej strony zwiększać efektywność rekrutacji, ale z drugiej także generować istotne ryzyka prawne.

1. System analizy emocji w miejscu pracy (rekrutacja) jest z reguły zakazany.
2. Jeżeli system służy do selekcji lub rankingowania kandydatów, wchodzi w obszar zastosowań wysokiego ryzyka.

Decyzję o odrzuceniu kandydata powinien podjąć człowiek, a nie automat. Jeśli automat odrzuci kandydata z powodu błędu AI, agencja naraża się na pozew o dyskryminację i karę z AI Act za brak nadzoru.

Praktyczne kroki compliance dla firm z branży HR i agencji pracy (termin: 2 sierpnia 2026 r.):

1. Sporządź inwentarz wszystkich systemów AI dotykających decyzji kadrowych: screening CV, ranking kandydatów, chatboty rekrutacyjne, monitoring wydajności, harmonogramowanie. Uwzględnij narzędzia wbudowane w platformy ATS i HR.
2. Określ swoją rolę prawną: czy jesteś dostawcą (provider) czy podmiotem stosującym (deployer)? Obowiązki są różne – deployer odpowiada m.in. za FRIA, nadzór i informowanie pracowników.
3. Skontaktuj się z dostawcą systemu i zapytaj o: dokumentację techniczną, wyniki testów na stronniczość (bias testing), logi zdarzeń oraz gotowość do wsparcia Twoich obowiązków jako wdrażającego.
4. Wyznacz w organizacji osobę odpowiedzialną za nadzór nad systemem (oversight) – musi mieć kompetencje i uprawnienia do uchylenia decyzji AI.
5. Opracuj szablony informacyjne dla kandydatów (zgoda, cel, logika systemu, prawa do sprzeciwu i wyjaśnienia decyzji).

AI Office – rola Komisji Europejskiej w nadzorze nad modelami GPAI

AI Office działa już w strukturze Komisji Europejskiej i odgrywa kluczową rolę we wdrażaniu AI Act, zwłaszcza w odniesieniu do modeli GPAI. Do kluczowych zadań tej instytucji należy:

• Nadzór nad modelami ogólnego przeznaczenia (GPAI) – takimi jak duże modele językowe (LLM) czy modele multimodalne – które są udostępniane na szeroką skalę.
• Współpraca z organami krajowymi.
• W określonych sytuacjach Komisja może żądać informacji i dostępu technicznego niezbędnego do oceny zgodności. W przypadku systemów high-risk dostęp do kodu źródłowego przez organ nadzoru jest możliwy na uzasadniony wniosek i dopiero wtedy, gdy inne środki weryfikacji okazały się niewystarczające. Jednocześnie AI Act przewiduje ochronę poufnych informacji i tajemnicy przedsiębiorstwa (art. 78 AI Act).

Co dalej – pierwsze kroki dla firmy

Celem EU AI Act jest budowa zaufania do nowoczesnych technologii. Twoim zadaniem jest zweryfikowanie, czy stosowane w organizacji rozwiązania są zgodne z nowymi regulacjami. Proces ten powinieneś zacząć od rzetelnej inwentaryzacji wszystkich systemów w Twojej firmie. Szacuje się, że większość narzędzi zostanie zakwalifikowana do kategorii minimalnego ryzyka. Pamiętaj jednak, że systemy wysokiego ryzyka, np. w obszarze kadr czy scoringu, mogą znacząco wpłynąć na przyszłość Twojej firmy.

Źródła:

1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji (akt o sztucznej inteligencji) i zmieniające niektóre akty ustawodawcze Unii, Dz.Urz. UE L, 12.07.2024.
2. Komisja Europejska, materiały dotyczące AI Office i wdrożenia AI Act.
3. Projekt ustawy o wykonywaniu rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act).
4. ISO/IEC 42001 (Artificial Intelligence Management System).

Często zadawane pytania (FAQ)

01 Czy muszę oznaczać treści z ChatGPT?

Samo użycie ChatGPT nie zawsze oznacza obowiązek oznaczania treści. Jednak AI Act przewiduje obowiązek ujawnienia w odniesieniu do tekstu wygenerowanego lub zmanipulowanego przez AI, jeżeli jest on publikowany w celu informowania społeczeństwa o sprawach interesu publicznego – chyba że materiał przeszedł rzeczywistą kontrolę redakcyjną człowieka i ktoś ponosi odpowiedzialność redakcyjną za publikację. Obrazy, audio i wideo typu deepfake również podlegają obowiązkom transparentności z art. 50 AI Act.

02 Czy AI Act dotyczy darmowych systemów open-source?

Open source nie oznacza pełnego wyłączenia spod AI Act. Zakres obowiązków zależy od tego, czy chodzi o system AI, model GPAI czy rozwiązanie high-risk. Samo użycie modelu open-source nie zawsze automatycznie czyni użytkownika dostawcą; może się tak stać np. wtedy, gdy tworzy on własny system high-risk albo dokonuje istotnej modyfikacji modelu. Dla części otwartych modeli GPAI pozostają też obowiązki dotyczące polityki copyright i publicznego podsumowania treści użytych do trenowania.

03 Kto będzie kontrolował AI w Polsce?

W Polsce trwają prace nad ustawą służącą wykonywaniu AI Act. W projekcie opublikowanym w lutym 2026 r. przewidziano nowy organ nadzoru rynku i punkt kontaktowy pod nazwą Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji oraz rolę Ministra Cyfryzacji jako organu notyfikującego. Do czasu uchwalenia ustawy zastosowanie pozostają właściwe kompetencje istniejących organów, w szczególności UODO w obszarze ochrony danych osobowych i UOKiK w obszarze ochrony konsumentów. Ostateczny model może się jeszcze zmienić, dopóki ustawa nie zostanie uchwalona.

04 Czy oprogramowanie antywirusowe oparte na AI to system wysokiego ryzyka?

W większości przypadków nie, chyba że dany system stanowi komponent bezpieczeństwa produktu objętego unijną harmonizacją sektorową albo jest wykorzystywany w zastosowaniu kwalifikowanym jako high-risk na podstawie AI Act (np. jako element infrastruktury krytycznej). Każdy przypadek wymaga indywidualnej oceny.

05 Co z systemami autorskimi (In-house)?

Jeżeli Twoja firma sama tworzy system high-risk i oddaje go do użytku pod własną nazwą, może być jednocześnie dostawcą i podmiotem stosującym (deployer). W takim przypadku należy uwzględnić obowiązki właściwe dla obu ról, w tym ocenę zgodności, dokumentację techniczną i – po spełnieniu wymogów – oznakowanie CE. Dotyczy to także sytuacji, gdy firma nie sprzedaje systemu na zewnątrz, lecz używa go wyłącznie wewnętrznie.