Sztuczna inteligencja przestała być technologiczną ciekawostką. Firmy wykorzystują ją do tworzenia tekstów i grafik, obsługi klientów, analizy dokumentów, rekrutacji, oceny ryzyka, automatyzacji procesów czy podejmowania decyzji. Wraz z gwałtownym rozwojem tych narzędzi Unia Europejska wprowadziła pierwsze tak szerokie ramy prawne regulujące sztuczną inteligencję – AI Act, czyli rozporządzenie (UE) 2024/1689 w sprawie sztucznej inteligencji.
AI Act nie zakazuje korzystania ze sztucznej inteligencji. Jego podstawowa zasada jest inna: im większe potencjalne zagrożenie związane z zastosowaniem AI, tym większe obowiązki spoczywają na podmiotach, które takie rozwiązanie tworzą, sprzedają albo wykorzystują.
W praktyce oznacza to, że zupełnie inaczej traktowane jest narzędzie pomagające napisać firmowego e-maila, inaczej system analizujący kandydatów do pracy, jeszcze inaczej system biometryczny rozpoznający ludzi, a osobne przepisy dotyczą największych modeli ogólnego przeznaczenia, na których mogą powstawać tysiące innych aplikacji.
Co istotne, AI Act nie wszedł w życie jednego dnia w całości. Poszczególne obowiązki zaczęły lub zaczną obowiązywać w różnych terminach, a część z nich została dodatkowo przesunięta w wyniku zmian przyjętych w 2026 roku.
Czym właściwie jest „system AI” według przepisów?
Rozporządzenie obejmuje systemy działające maszynowo, posiadające pewien poziom autonomii, które na podstawie otrzymanych danych potrafią wnioskować, w jaki sposób wygenerować określony rezultat. Może nim być między innymi prognoza, treść, rekomendacja albo decyzja wpływająca na świat fizyczny lub cyfrowy.
Nie oznacza to więc, że każdy tradycyjny program komputerowy automatycznie staje się systemem AI. Kluczowe jest to, że system na podstawie otrzymanych informacji dokonuje pewnego rodzaju wnioskowania prowadzącego do wygenerowania wyniku.
AI Act wprowadza też kilka bardzo ważnych pojęć.
Dostawca to podmiot, który tworzy system AI lub model AI albo zleca jego stworzenie i następnie udostępnia go pod własną nazwą lub marką.
Podmiot stosujący, określany w angielskiej wersji jako „deployer”, to firma, urząd albo inna organizacja, która wykorzystuje system AI pod swoją kontrolą. Nie obejmuje to osoby używającej AI wyłącznie prywatnie i poza działalnością zawodową.
Importer wprowadza na rynek UE system pochodzący od dostawcy spoza Unii, natomiast dystrybutor udostępnia system dalej w łańcuchu dostaw.
To rozróżnienie jest niezwykle ważne, ponieważ obowiązki zależą nie tylko od rodzaju AI, ale również od roli konkretnej firmy.
AI Act może obejmować również firmy spoza Unii Europejskiej
Przepisy mają szeroki zasięg terytorialny. Obejmują między innymi dostawców wprowadzających systemy AI lub modele ogólnego przeznaczenia na rynek Unii, nawet jeżeli sami znajdują się poza UE.
Rozporządzenie może również znaleźć zastosowanie do dostawcy lub podmiotu stosującego znajdującego się poza Unią, jeżeli rezultat działania systemu AI jest wykorzystywany na terenie UE.
W praktyce samo ulokowanie firmy czy infrastruktury poza Europą nie oznacza więc automatycznie możliwości pominięcia AI Act.
Czego AI Act nie obejmuje?
Rozporządzenie przewiduje również wyłączenia.
Nie stosuje się go między innymi do systemów wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego. Wyłączone mogą być również systemy i modele stworzone i uruchomione wyłącznie w celu badań naukowych oraz określone działania badawcze, testowe i rozwojowe prowadzone przed wprowadzeniem rozwiązania na rynek.
Obowiązki podmiotu stosującego nie dotyczą również osoby fizycznej korzystającej z AI wyłącznie prywatnie i niezawodowo.
Osobne zasady dotyczą rozwiązań udostępnianych na wolnych i otwartych licencjach. Sam fakt wykorzystania open source nie oznacza jednak automatycznego zwolnienia z AI Act – wyjątek nie obejmuje między innymi określonych systemów wysokiego ryzyka, zakazanych praktyk oraz przypadków objętych obowiązkami przejrzystości.
Bardzo ważne jest też to, że AI Act nie zastępuje RODO ani pozostałych przepisów o ochronie danych osobowych, prywatności, prawach konsumenta czy bezpieczeństwie produktów. Przepisy te nadal mogą obowiązywać równolegle.
Najważniejsza zasada AI Act: liczy się ryzyko i sposób wykorzystania AI
AI Act nie traktuje wszystkich systemów jednakowo. W praktyce można wyróżnić kilka podstawowych grup regulacji:
- praktyki AI, które są całkowicie zakazane,
- systemy AI wysokiego ryzyka,
- systemy objęte szczególnymi obowiązkami przejrzystości,
- modele AI ogólnego przeznaczenia,
- pozostałe zastosowania AI, dla których AI Act nie ustanawia tak rozbudowanego zestawu obowiązków.
Nie oznacza to jednak, że „zwykłe” zastosowanie AI jest poza prawem. Nadal zastosowanie mogą mieć między innymi przepisy dotyczące danych osobowych, prawa autorskiego, konsumentów, reklamy, dyskryminacji czy odpowiedzialności za produkt.
Jakich zastosowań AI Unia Europejska zakazuje?
Najostrzejsze przepisy dotyczą praktyk uznanych za niedopuszczalne.
Manipulowanie człowiekiem przy pomocy AI
Zakazane są systemy wykorzystujące techniki podprogowe albo celowo manipulacyjne lub wprowadzające w błąd, jeżeli w istotny sposób ograniczają zdolność człowieka do podjęcia świadomej decyzji i prowadzą albo mogą prowadzić do poważnej szkody.
Nie chodzi więc o każdą reklamę wykorzystującą algorytm. Przepis jest skierowany przeciwko sytuacjom, w których technologia realnie przejmuje kontrolę nad procesem podejmowania decyzji poprzez szczególnie szkodliwą manipulację.
Wykorzystywanie słabości konkretnych osób
AI nie może być wykorzystywana do szkodliwej manipulacji osobami szczególnie podatnymi na wpływ ze względu między innymi na wiek, niepełnosprawność albo określoną sytuację społeczną lub ekonomiczną.
Social scoring
Zakazane zostały określone systemy służące do oceniania ludzi na podstawie ich zachowania społecznego lub przewidywanych cech osobistych, jeżeli uzyskana „ocena społeczna” prowadzi do nieuzasadnionego, nieproporcjonalnego albo niezwiązanego z pierwotnym kontekstem niekorzystnego traktowania człowieka.
Mówiąc prościej: AI nie ma tworzyć uniwersalnej punktacji człowieka, która następnie decyduje, jak będzie traktowany w innych dziedzinach życia.
Przewidywanie przestępczości wyłącznie na podstawie profilu człowieka
Zakazane jest wykorzystanie AI do oceny, czy konkretna osoba może popełnić przestępstwo, jeżeli ocena opiera się wyłącznie na profilowaniu tej osoby albo analizie jej cech i osobowości.
Nie wyklucza to określonych systemów wspomagających człowieka w analizie sytuacji, jeżeli istnieją już obiektywne i możliwe do zweryfikowania fakty powiązane z działalnością przestępczą.
Masowe pobieranie zdjęć twarzy z internetu
Nie można tworzyć ani rozbudowywać baz rozpoznawania twarzy poprzez nieukierunkowane pobieranie zdjęć twarzy z internetu lub nagrań monitoringu.
To jeden z najbardziej jednoznacznych przykładów praktyk, które europejski prawodawca uznał za zbyt daleko ingerujące w prywatność.
Rozpoznawanie emocji w pracy i szkole
Co do zasady zakazane jest wykorzystywanie AI do wnioskowania o emocjach człowieka w miejscu pracy oraz w placówkach edukacyjnych.
Przewidziano wyjątek dla zastosowań związanych z powodami medycznymi lub bezpieczeństwem.
Oznacza to, że system analizujący na przykład twarz pracownika po to, aby próbować określić jego nastrój, zaangażowanie czy emocje, może wchodzić w obszar zakazany.
Wnioskowanie o szczególnie wrażliwych cechach na podstawie biometrii
Zakazane są również określone systemy biometrycznej kategoryzacji ludzi, które na podstawie danych biometrycznych próbują wnioskować między innymi o rasie, poglądach politycznych, przynależności związkowej, religii, przekonaniach filozoficznych, życiu seksualnym lub orientacji seksualnej.
Biometryczna identyfikacja w czasie rzeczywistym
AI Act bardzo mocno ogranicza możliwość wykorzystywania przez organy ścigania zdalnej identyfikacji biometrycznej „w czasie rzeczywistym” w przestrzeni publicznej.
Rozporządzenie pozostawia jednak bardzo wąskie wyjątki związane między innymi z poszukiwaniem określonych ofiar lub osób zaginionych, zapobieganiem konkretnemu i poważnemu zagrożeniu czy identyfikacją podejrzanych o określone poważne przestępstwa. Takie zastosowanie podlega dodatkowym warunkom i zabezpieczeniom.
Nowe zakazy dotyczące intymnych deepfake’ów
Nowelizacja z 2026 roku dodała dodatkowe przepisy dotyczące generowania lub manipulowania realistycznymi materiałami przedstawiającymi rozpoznawalną osobę w sposób seksualny lub intymny bez jej odpowiedniej zgody oraz określonych materiałów związanych z seksualnym wykorzystywaniem dzieci.
Te nowe przepisy zaczynają być stosowane 2 grudnia 2026 roku.
Systemy AI wysokiego ryzyka – tutaj pojawia się najwięcej obowiązków
Najbardziej rozbudowana część AI Act dotyczy systemów AI wysokiego ryzyka.
Nie oznacza to, że wszystkie profesjonalne systemy AI automatycznie otrzymują taką klasyfikację. Znaczenie ma ich przeznaczenie i to, jak duży wpływ mogą mieć na zdrowie, bezpieczeństwo lub podstawowe prawa człowieka.
AI Act przewiduje przede wszystkim dwie drogi zakwalifikowania systemu do tej kategorii.
Pierwsza dotyczy systemów AI związanych z określonymi produktami podlegającymi unijnym regulacjom bezpieczeństwa, jeżeli AI stanowi ich komponent bezpieczeństwa albo sama jest takim produktem i wymagana jest ocena zgodności przez stronę trzecią.
Druga grupa to konkretne zastosowania wymienione w załączniku III.
1. Biometria
Do wysokiego ryzyka mogą należeć między innymi określone systemy zdalnej identyfikacji biometrycznej, biometrycznej kategoryzacji oraz rozpoznawania emocji – o ile ich stosowanie jest w ogóle dozwolone przez inne przepisy.
2. Infrastruktura krytyczna
Chodzi między innymi o AI stosowaną jako element bezpieczeństwa przy zarządzaniu infrastrukturą cyfrową, ruchem drogowym oraz dostawami wody, gazu, ciepła lub energii elektrycznej.
3. Edukacja
System wysokiego ryzyka może pojawić się wtedy, gdy AI decyduje lub pomaga decydować o dostępie do edukacji, przyjęciu do placówki, ocenie wyników nauki, odpowiednim poziomie kształcenia albo monitorowaniu niedozwolonych zachowań podczas egzaminów.
4. Rekrutacja i zarządzanie pracownikami
To obszar szczególnie ważny dla przedsiębiorców.
Do kategorii wysokiego ryzyka mogą należeć systemy służące między innymi do:
rekrutowania i wybierania kandydatów, analizowania i filtrowania aplikacji, oceniania kandydatów, podejmowania decyzji dotyczących warunków zatrudnienia, awansu lub zakończenia stosunku pracy, przydzielania zadań na podstawie zachowania albo cech pracownika oraz monitorowania i oceniania pracowników.
Dlatego automatyzacja HR przy pomocy AI wymaga znacznie większej ostrożności niż używanie tego samego modelu wyłącznie do redagowania e-maili.
5. Dostęp do ważnych usług
Wysokiego ryzyka mogą być między innymi systemy wykorzystywane do decydowania o dostępie do istotnych świadczeń publicznych, oceny zdolności kredytowej, ustalania ryzyka i cen w ubezpieczeniach na życie i zdrowotnych czy klasyfikowania zgłoszeń alarmowych.
6. Organy ścigania
Załącznik obejmuje określone zastosowania AI związane między innymi z oceną ryzyka, analizowaniem dowodów, profilowaniem czy wspomaganiem działań organów ścigania.
7. Migracja, azyl i kontrola granic
Do tej kategorii trafiają określone systemy wspierające ocenę ryzyka, rozpatrywanie wniosków wizowych, azylowych i pobytowych czy identyfikowanie osób podczas kontroli granicznych.
8. Wymiar sprawiedliwości i procesy demokratyczne
AI wysokiego ryzyka może obejmować systemy wspomagające organy wymiaru sprawiedliwości w badaniu i interpretowaniu faktów oraz prawa i stosowaniu prawa do konkretnego przypadku.
Do tej grupy zaliczono również określone systemy mające wpływać na wynik wyborów lub referendum albo zachowanie wyborców.
Nie każdy system używany w tych branżach automatycznie jest wysokiego ryzyka
To ważne zastrzeżenie.
System wymieniony w załączniku III może nie zostać uznany za wysokiego ryzyka, jeżeli nie stwarza znaczącego zagrożenia dla zdrowia, bezpieczeństwa lub praw podstawowych i nie wpływa w istotny sposób na wynik podejmowania decyzji.
Rozporządzenie wskazuje przykładowo systemy wykonujące wąskie zadania proceduralne, przygotowawcze albo jedynie poprawiające rezultat działalności wcześniej wykonanej przez człowieka.
Jeżeli jednak system wykonuje profilowanie osób fizycznych w zastosowaniu z załącznika III, jest traktowany jako system wysokiego ryzyka.
Dostawca, który uzna rozwiązanie z załącznika III za niewysokiego ryzyka, musi odpowiednio udokumentować swoją ocenę.
Jakie wymagania musi spełniać system wysokiego ryzyka?
Właśnie tutaj AI Act staje się najbardziej techniczny.
Dostawcy takich systemów muszą zbudować wokół nich cały system zapewniania zgodności.
Zarządzanie ryzykiem
System powinien być objęty procesem identyfikowania, analizowania, oceniania i ograniczania ryzyka w całym cyklu życia.
Nie wystarczy więc jednorazowo przetestować aplikacji przed premierą.
Odpowiednia jakość danych
W systemach wysokiego ryzyka ogromne znaczenie mają dane używane do trenowania, walidacji i testowania systemu. AI Act wprowadza wymagania związane z zarządzaniem danymi oraz ograniczaniem błędów i stronniczości.
Dokumentacja techniczna
Dostawca musi być w stanie wykazać, jak system został zbudowany, do czego służy, jakie ma ograniczenia i w jaki sposób spełnia wymagania rozporządzenia.
Rejestrowanie działania systemu
Systemy wysokiego ryzyka powinny posiadać możliwość automatycznego zapisywania określonych zdarzeń, czyli prowadzenia logów umożliwiających późniejszą kontrolę działania.
Przejrzystość
Osoba lub firma korzystająca z systemu musi otrzymać informacje pozwalające prawidłowo interpretować jego wyniki i wykorzystywać go zgodnie z przeznaczeniem.
Instrukcja powinna między innymi opisywać możliwości, ograniczenia i przewidywany poziom dokładności systemu.
Nadzór człowieka
Jednym z fundamentów AI Act jest możliwość rzeczywistego nadzorowania AI przez człowieka.
Osoba odpowiedzialna za nadzór powinna móc zrozumieć możliwości i ograniczenia systemu, prawidłowo interpretować jego wynik, zauważyć nieprawidłowości i – kiedy jest to potrzebne – zignorować rekomendację AI, odwrócić jej wynik albo zatrzymać działanie systemu.
Rozporządzenie wprost zwraca też uwagę na ryzyko nadmiernego polegania na automatycznej rekomendacji tylko dlatego, że wygenerował ją komputer.
Dokładność, odporność i cyberbezpieczeństwo
System musi osiągać odpowiedni poziom dokładności, odporności oraz cyberbezpieczeństwa przez cały okres działania.
Przepisy wskazują również na zagrożenia charakterystyczne dla AI, takie jak manipulowanie danymi treningowymi albo celowe przygotowywanie danych wejściowych mających doprowadzić model do błędu.
Obowiązki dostawcy systemu wysokiego ryzyka
Poza samymi wymaganiami technicznymi dostawca musi między innymi stworzyć odpowiedni system zarządzania jakością, przechowywać wymaganą dokumentację i logi, przeprowadzić właściwą procedurę oceny zgodności oraz – gdy wymagają tego przepisy – przygotować deklarację zgodności UE, oznakowanie CE i rejestrację systemu.
System musi być również monitorowany po wprowadzeniu na rynek. Jeżeli okaże się niezgodny albo pojawią się określone poważne incydenty, uruchamiane są obowiązki dotyczące działań naprawczych i raportowania.
Firma korzystająca z AI również może mieć obowiązki
AI Act nie dotyczy wyłącznie producentów oprogramowania.
Podmiot stosujący system wysokiego ryzyka powinien między innymi używać go zgodnie z instrukcjami, zapewnić odpowiedni nadzór człowieka i wyznaczyć do niego osoby posiadające odpowiednie kompetencje, szkolenie oraz uprawnienia.
Jeżeli logi systemu znajdują się pod kontrolą podmiotu stosującego, zasadniczo powinny być przechowywane przez okres odpowiedni do zastosowania, przy czym rozporządzenie przewiduje co najmniej sześć miesięcy, jeżeli inne przepisy nie stanowią inaczej.
Bardzo istotny obowiązek dotyczy pracodawców. Przed wykorzystaniem systemu AI wysokiego ryzyka w miejscu pracy pracownicy i ich przedstawiciele powinni zostać poinformowani, że będą podlegać działaniu takiego systemu.
W określonych przypadkach podmiot stosujący musi również przeprowadzić ocenę wpływu systemu na prawa podstawowe. Dotyczy to między innymi określonych organów publicznych, podmiotów świadczących usługi publiczne oraz wskazanych zastosowań dotyczących zdolności kredytowej czy ubezpieczeń na życie i zdrowotnych.
AI literacy – firmy powinny rozwijać kompetencje pracowników dotyczące AI
To jeden z przepisów mających znaczenie również dla przedsiębiorstw, które nie tworzą własnych modeli.
Dostawcy i podmioty stosujące systemy AI mają podejmować działania wspierające rozwijanie odpowiednich kompetencji w zakresie sztucznej inteligencji u osób korzystających z takich systemów w ich imieniu.
Zakres powinien uwzględniać między innymi:
wiedzę techniczną pracowników, ich doświadczenie, wykształcenie i przeszkolenie, kontekst wykorzystania AI oraz osoby, na które działanie systemu może wpływać.
Po zmianach z 2026 roku przepis dodatkowo wyjaśnia, że obowiązek ten nie oznacza konieczności zagwarantowania konkretnego poziomu wiedzy każdej pojedynczej osoby.
AI Act nie wprowadza zatem jednego obowiązkowego „certyfikatu AI” dla każdego pracownika ani jednego narzuconego programu szkoleniowego.
Firma wykorzystująca AI powinna jednak potrafić wykazać, że nie daje pracownikom potężnych narzędzi bez żadnych zasad, wiedzy i świadomości ich ograniczeń.
Chatbot musi poinformować człowieka, że jest AI
Jednym z najbardziej widocznych dla zwykłego użytkownika elementów AI Act są obowiązki przejrzystości.
Dostawca systemu przeznaczonego do bezpośredniej interakcji z człowiekiem powinien zapewnić, aby osoba została poinformowana, że rozmawia z systemem AI – chyba że z okoliczności jest to oczywiste dla rozsądnie poinformowanej i uważnej osoby.
Dlatego w wielu chatbotach i wirtualnych asystentach informacja, że użytkownik komunikuje się z AI, nie będzie wyłącznie elementem dobrej praktyki projektowej.
Treści stworzone przez AI i techniczne oznaczanie materiałów
AI Act nakłada też obowiązki na dostawców systemów generujących syntetyczny obraz, dźwięk, wideo lub tekst.
Systemy takie powinny umożliwiać oznaczanie swoich rezultatów w formacie możliwym do odczytu maszynowego, tak aby treść mogła zostać wykryta jako sztucznie wygenerowana lub zmanipulowana.
Rozporządzenie wymaga, aby rozwiązania techniczne były możliwie skuteczne, interoperacyjne, odporne i wiarygodne, z uwzględnieniem aktualnego stanu techniki oraz technicznych ograniczeń.
Nie oznacza to natomiast, że każdy użytkownik ChatGPT musi własnoręcznie dopisywać do każdego wygenerowanego zdania wielki komunikat „TEN TEKST STWORZYŁA AI”. Obowiązki są znacznie bardziej precyzyjne i zależą od rodzaju treści oraz roli konkretnego podmiotu.
Deepfake trzeba oznaczać
Jeżeli podmiot wykorzystuje AI do stworzenia albo zmanipulowania obrazu, dźwięku lub wideo stanowiącego deepfake, powinien ujawnić, że materiał został wygenerowany lub zmanipulowany sztucznie.
Dla utworów ewidentnie artystycznych, twórczych, satyrycznych lub fikcyjnych obowiązek został złagodzony tak, aby informacja o wykorzystaniu AI nie niszczyła sposobu prezentowania dzieła.
To istotne rozróżnienie: inne ryzyko niesie realistyczny film przedstawiający polityka mówiącego coś, czego nigdy nie powiedział, a inne jawnie fikcyjna animacja czy satyra.
A co z artykułami tworzonymi przy pomocy AI?
AI Act przewiduje osobną zasadę dla tekstu generowanego lub manipulowanego przez AI, jeżeli jest publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym.
Co do zasady należy wówczas ujawnić, że tekst został wygenerowany lub zmanipulowany przez AI.
Jest jednak bardzo ważny wyjątek.
Obowiązek ten nie ma zastosowania, gdy treść wygenerowana przez AI przeszła proces ludzkiej weryfikacji lub kontroli redakcyjnej i za publikację odpowiada osoba fizyczna lub prawna.
W praktyce oznacza to, że AI Act wyraźnie rozróżnia automatyczne publikowanie treści generowanych przez maszynę od sytuacji, w której AI jest jedynie narzędziem wspomagającym redakcję, a za finalny materiał bierze odpowiedzialność człowiek lub wydawca.
Rozpoznawanie emocji i kategoryzacja biometryczna – obowiązek poinformowania człowieka
Jeżeli dozwolony system rozpoznawania emocji albo kategoryzacji biometrycznej jest stosowany wobec człowieka, osoba ta powinna zostać poinformowana o działaniu systemu.
Jednocześnie przetwarzanie danych osobowych nadal musi być zgodne z odpowiednimi przepisami dotyczącymi ochrony danych.
Modele AI ogólnego przeznaczenia – osobne zasady dla twórców największych modeli
AI Act reguluje nie tylko konkretne aplikacje.
Osobny rozdział poświęcono modelom AI ogólnego przeznaczenia, czyli modelom posiadającym znaczną ogólność i zdolnym wykonywać szeroki zakres różnych zadań oraz stanowić bazę dla innych systemów i aplikacji.
To właśnie do tej kategorii należą technologie, na których można budować generatory tekstu, asystentów, narzędzia programistyczne, aplikacje analizujące dane i wiele innych produktów.
Dostawca takiego modelu musi między innymi:
prowadzić i aktualizować dokumentację techniczną modelu, przekazywać odpowiednią dokumentację podmiotom integrującym model z własnymi systemami, posiadać politykę przestrzegania unijnego prawa autorskiego oraz publikować odpowiednio szczegółowe podsumowanie treści wykorzystanych do trenowania modelu.
Nie są to więc obowiązki nakładane na każdą małą firmę korzystającą z gotowego generatora tekstu. Są skierowane przede wszystkim do dostawcy modelu.
Najpotężniejsze modele mają jeszcze większe obowiązki
AI Act wyróżnia modele ogólnego przeznaczenia stwarzające ryzyko systemowe.
Jedną z przesłanek pozwalających domniemywać posiadanie zdolności o dużym wpływie jest wykorzystanie podczas treningu łącznej mocy obliczeniowej przekraczającej 10²⁵ operacji zmiennoprzecinkowych, choć Komisja może również dokonać klasyfikacji na podstawie innych kryteriów i możliwości modelu.
Dostawcy modeli z ryzykiem systemowym muszą dodatkowo między innymi:
prowadzić zaawansowane oceny modelu i testy adversarialne, identyfikować i ograniczać ryzyka systemowe, dokumentować i zgłaszać poważne incydenty oraz zapewniać odpowiedni poziom cyberbezpieczeństwa modelu i jego infrastruktury.
Prawo do złożenia skargi
AI Act daje osobom fizycznym i prawnym możliwość zgłoszenia naruszenia właściwemu organowi nadzoru rynku, jeżeli mają podstawy sądzić, że przepisy rozporządzenia zostały naruszone.
Oznacza to, że system nadzoru nie ma opierać się wyłącznie na kontrolach urzędowych. Naruszenia mogą być również zgłaszane przez osoby i organizacje, których dotyczą.
Prawo do wyjaśnienia decyzji podjętej z pomocą AI
Szczególnie ważne prawo dotyczy określonych systemów wysokiego ryzyka.
Jeżeli decyzja została podjęta na podstawie rezultatu systemu wysokiego ryzyka wymienionego w załączniku III i wywołuje skutki prawne albo w podobnie istotny sposób wpływa na daną osobę, może ona – przy spełnieniu warunków przewidzianych w rozporządzeniu – mieć prawo do uzyskania jasnego i zrozumiałego wyjaśnienia roli systemu AI w procesie decyzyjnym oraz głównych elementów podjętej decyzji.
To szczególnie istotne w takich obszarach jak zatrudnienie, dostęp do określonych usług czy oceny wpływające bezpośrednio na sytuację człowieka.
AI Act a RODO – jedno nie zastępuje drugiego
To jeden z najczęściej popełnianych błędów.
Spełnienie wymogów AI Act nie oznacza automatycznie zgodności z RODO.
Jeżeli system AI przetwarza dane osobowe, trzeba nadal odpowiedzieć między innymi na pytania dotyczące podstawy prawnej przetwarzania, celu, zakresu danych, czasu przechowywania czy praw osób, których dane dotyczą.
AI Act wprost potwierdza dalsze stosowanie unijnych regulacji dotyczących danych osobowych, prywatności i poufności komunikacji.
Jak wysokie mogą być kary za naruszenie AI Act?
Kary przewidziane przez rozporządzenie są bardzo wysokie, choć ich wysokość zależy od rodzaju naruszenia oraz okoliczności konkretnej sprawy.
Za naruszenie zakazanych praktyk z art. 5 przewidziano administracyjną karę do 35 milionów euro, a w przypadku przedsiębiorstwa – do 7 proc. całkowitego światowego rocznego obrotu z poprzedniego roku finansowego, jeżeli ta wartość jest wyższa.
Za naruszenia określonych obowiązków dotyczących między innymi dostawców, importerów, dystrybutorów, podmiotów stosujących systemy wysokiego ryzyka czy obowiązków przejrzystości z art. 50 przewidziano do 15 milionów euro albo 3 proc. światowego obrotu, jeżeli procentowa wartość jest wyższa.
Za przekazywanie organom lub jednostkom notyfikowanym nieprawidłowych, niekompletnych albo wprowadzających w błąd informacji może grozić do 7,5 miliona euro albo 1 proc. światowego obrotu.
W przypadku MŚP, w tym startupów, rozporządzenie przewiduje korzystniejszą zasadę – przy wskazanych karach stosuje się odpowiednio niższą z wartości procentowej i kwotowej, a nie wyższą.
Oddzielne sankcje przewidziano dla dostawców modeli AI ogólnego przeznaczenia. Komisja może nałożyć na nich karę sięgającą 3 proc. światowego rocznego obrotu albo 15 milionów euro, zależnie od przesłanek określonych w rozporządzeniu.
Są to maksymalne poziomy kar. Przy ustalaniu sankcji uwzględnia się między innymi charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, rozmiar szkody oraz działania podjęte w celu ograniczenia skutków.
Od kiedy AI Act obowiązuje? Terminy po zmianach z 2026 roku
To obecnie jedna z najważniejszych części całego rozporządzenia, ponieważ w internecie można znaleźć wiele nieaktualnych terminów.
AI Act został opublikowany w Dzienniku Urzędowym UE 12 lipca 2024 roku i wszedł w życie dwadzieścia dni później.
Przepisy są jednak stosowane etapami.
2 lutego 2025 r. zaczęły być stosowane rozdziały I i II, obejmujące między innymi podstawowe przepisy, obowiązek dotyczący kompetencji w zakresie AI oraz większość zakazanych praktyk.
2 sierpnia 2025 r. rozpoczęło się stosowanie między innymi przepisów dotyczących modeli AI ogólnego przeznaczenia, części systemu instytucjonalnego i części przepisów o sankcjach.
2 sierpnia 2026 r. nastąpił zasadniczy termin rozpoczęcia stosowania rozporządzenia, obejmujący między innymi obowiązki przejrzystości z art. 50.
2 grudnia 2026 r. zaczną być stosowane nowe zakazy dotyczące określonych intymnych materiałów generowanych lub manipulowanych przy użyciu AI, wprowadzone w nowelizacji z 2026 roku.
Dodatkowo dostawcy systemów generujących syntetyczny dźwięk, obraz, wideo lub tekst, które zostały wprowadzone na rynek przed 2 sierpnia 2026 r., otrzymali do 2 grudnia 2026 r. czas na dostosowanie się do technicznego obowiązku wynikającego z art. 50 ust. 2.
Największa zmiana dotyczy jednak systemów wysokiego ryzyka.
Po nowelizacji obowiązki przewidziane w kluczowych sekcjach rozdziału III dotyczące systemów zakwalifikowanych jako wysokiego ryzyka na podstawie załącznika III mają być stosowane od 2 grudnia 2027 r.
W przypadku odpowiednich systemów wysokiego ryzyka związanych z produktami objętymi załącznikiem I termin wynosi 2 sierpnia 2028 r.
To bardzo istotna zmiana względem pierwotnego harmonogramu AI Act i powód, dla którego przy analizowaniu przepisów należy korzystać z aktualnej wersji aktu, a nie wyłącznie z poradników powstałych w 2024 lub 2025 roku.
Co AI Act oznacza dla zwykłej firmy korzystającej z ChatGPT lub podobnego narzędzia?
Najważniejsze jest ustalenie do czego AI jest używana.
Jeżeli pracownik wykorzystuje gotowe narzędzie do przygotowania roboczej wersji e-maila, streszczenia dokumentu, pomysłu na reklamę czy uporządkowania informacji, nie oznacza to automatycznie, że firma korzysta z systemu wysokiego ryzyka.
Znacznie poważniejsza sytuacja powstaje wtedy, gdy AI zaczyna wpływać na decyzje dotyczące ludzi – przykładowo wybiera kandydatów do pracy, analizuje zachowanie pracowników, ocenia zdolność kredytową, decyduje o dostępie do określonej usługi albo wykonuje inne zadanie objęte załącznikiem III.
Dlatego prawidłowe przygotowanie firmy do AI Act powinno zacząć się nie od zakazu używania sztucznej inteligencji, lecz od zidentyfikowania wszystkich przypadków jej wykorzystania i przypisania im właściwego poziomu ryzyka oraz roli przedsiębiorstwa.
Co powinna zrobić firma przygotowująca się do AI Act?
Pierwszym krokiem powinno być stworzenie rejestru wykorzystywanych narzędzi AI. Firma powinna wiedzieć, jakie systemy są używane, przez jakie działy, do jakich zadań oraz jakie dane są do nich przekazywane.
Następnie należy ustalić swoją rolę. Inne obowiązki ma przedsiębiorca korzystający z gotowej usługi, inne firma integrująca cudzy model z własnym produktem, a jeszcze inne podmiot tworzący i sprzedający własny system AI.
Kolejny etap to ocena zastosowania. Trzeba sprawdzić, czy rozwiązanie może należeć do praktyk zakazanych, systemów wysokiego ryzyka albo przypadków objętych obowiązkami przejrzystości.
Firma powinna również wprowadzić odpowiednie zasady korzystania z AI przez pracowników. Szczególnie istotne jest określenie, jakich danych nie wolno przekazywać do zewnętrznych narzędzi, które rezultaty wymagają kontroli człowieka, w jakich procesach AI nie może samodzielnie podejmować decyzji oraz kto odpowiada za korzystanie z poszczególnych systemów.
Niezbędnym elementem jest również rozwijanie kompetencji osób korzystających z AI. Pracownik powinien rozumieć nie tylko sposób obsługi narzędzia, lecz także jego ograniczenia – możliwość generowania nieprawdziwych informacji, błędnej interpretacji danych, powstawania uprzedzeń czy ujawnienia informacji, które nie powinny zostać przekazane zewnętrznemu usługodawcy.
W przypadku systemów wysokiego ryzyka przygotowanie będzie znacznie bardziej rozbudowane i będzie obejmowało wymagania techniczne, organizacyjne, dokumentacyjne, nadzorcze oraz proces oceny zgodności.
AI Act nie jest zakazem sztucznej inteligencji. Jest próbą ustalenia granic jej wykorzystania
Najważniejszym przesłaniem rozporządzenia nie jest zakaz korzystania z nowych technologii.
Unia Europejska przyjęła model, w którym ryzyko ma rosnąć razem z odpowiedzialnością.
Generator pomagający stworzyć roboczy opis produktu nie jest traktowany tak samo jak system decydujący o przyjęciu człowieka do pracy. Chatbot informacyjny nie jest regulowany w taki sam sposób jak system identyfikacji biometrycznej. Model ogólnego przeznaczenia stanowiący podstawę tysięcy innych aplikacji podlega z kolei innym obowiązkom niż firma korzystająca z gotowego narzędzia.
Dla przedsiębiorców oznacza to przede wszystkim konieczność uporządkowania sposobu korzystania ze sztucznej inteligencji.
Największym błędem będzie zarówno całkowite zignorowanie AI Act, jak i założenie, że każda firma korzystająca z generatora tekstu musi nagle przejść skomplikowaną certyfikację.
Przepisy trzeba odczytywać poprzez trzy pytania:
Jakiego systemu AI używamy? Do czego dokładnie go używamy? Jaką rolę pełnimy wobec tego systemu?
Dopiero odpowiedzi na te pytania pozwalają ustalić rzeczywiste obowiązki.
AI Act sprawia więc, że wdrażanie sztucznej inteligencji coraz mniej będzie przypominało instalację kolejnego programu komputerowego. W zastosowaniach mogących istotnie wpływać na bezpieczeństwo, prawa człowieka, zatrudnienie, edukację czy dostęp do ważnych usług AI staje się elementem procesu, za który ktoś musi jednoznacznie odpowiadać, który trzeba kontrolować i którego działania trzeba umieć wyjaśnić.
Stan prawny artykułu: 3 września 2026 r.