Kogo to w ogóle dotyczy.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, nazywane AI Act, obejmuje szeroki krąg podmiotów: tych, którzy modele budują, i tych, którzy ich używają zawodowo.
Obejmuje też firmy spoza Unii, jeżeli wynik działania ich systemu jest wykorzystywany w Unii. Rejestracja poza UE nie jest więc drogą ucieczki, podobnie jak nie była przy RODO.
Nie obejmuje użycia czysto osobistego, poza działalnością zawodową. Jeżeli wieczorem prosicie model o przepis na obiad, rozporządzenie Was w tym momencie nie dotyczy.
Większość tekstów o AI Act zaczyna od kar, bo kary robią wrażenie. To zła kolejność. Kara jest konsekwencją tego, że nie ustaliliście, w jakiej występujecie roli i do której kategorii należy Wasz system. Bez tych odpowiedzi cała reszta jest nieczytelna.
Od kiedy obowiązuje AI Act.
Rozporządzenie (UE) 2026/1744, nazywane Digital Omnibus, weszło w życie 27 lipca 2026 i przesunęło część terminów. Obowiązują takie:
- 1 sierpnia 2024. Rozporządzenie weszło w życie, a obowiązki stosuje się etapami.
- 2 lutego 2025. Zakaz praktyk wymienionych w art. 5 i obowiązek z art. 4: wspieranie kompetencji w zakresie AI (AI literacy) u pracowników.
- 2 sierpnia 2025. Obowiązki dostawców modeli ogólnego przeznaczenia, organy nadzoru i przepisy o karach.
- 2 sierpnia 2026. Obowiązki przejrzystości z art. 50: oznaczanie treści wygenerowanych przez AI i informowanie ludzi, że rozmawiają z systemem AI. Tego terminu nie przesunięto.
- 2 grudnia 2026. Koniec okresu przejściowego na oznaczanie treści w systemach wprowadzonych do obrotu przed 2 sierpnia 2026 i na zabezpieczenia wobec dwóch praktyk dopisanych do listy zakazanych.
- 2 grudnia 2027. Wymogi dla systemów wysokiego ryzyka z załącznika III, między innymi w zatrudnieniu i w dostępie do usług. Wcześniej ten termin wypadał 2 sierpnia 2026.
- 2 sierpnia 2028. Wymogi dla systemów wysokiego ryzyka wbudowanych w produkty z załącznika I. Wcześniej 2 sierpnia 2027.
AI Act w Polsce i kary.
W Polsce AI Act uzupełnia ustawa z 3 lipca 2026 o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Organem nadzoru jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Ustawa daje jej kontrole, postępowania i wydawanie opinii dla firm. Tworzy też piaskownicę regulacyjną, w której firma może testować system AI pod nadzorem komisji.
Kary wyznacza art. 99 AI Act. Za zakazane praktyki grozi do 35 mln euro albo do 7 proc. światowego rocznego obrotu. Za większość pozostałych naruszeń do 15 mln euro albo 3 proc. obrotu.
Najpierw ustal rolę.
Rozporządzenie przypisuje obowiązki do ról, nie do firm. Ta sama organizacja może występować w dwóch rolach jednocześnie, dla dwóch różnych systemów.
Podmiot stosujący
Używacie systemu AI, który zbudował ktoś inny, w ramach swojej działalności zawodowej. Kupujecie narzędzie i z niego korzystacie. W tej roli jest większość firm i wiąże się ona ze znacznie mniejszą liczbą obowiązków niż rola dostawcy.
Dostawca
Budujecie system AI albo zlecacie jego zbudowanie i wprowadzacie go do obrotu lub oddajecie do użytku pod własną nazwą albo znakiem towarowym. Tu obowiązków jest dużo więcej.
Jeżeli weźmiecie cudzy model, zbudujecie na nim narzędzie, nazwiecie je własną marką i udostępnicie klientom, możecie wejść w rolę dostawcy, mimo że nie napisaliście ani linijki modelu. Podobnie, jeżeli istotnie zmienicie przeznaczenie systemu wysokiego ryzyka.
Od odpowiedzi zależy, czy czeka Was porządkowanie dokumentów, czy budowa systemu zarządzania ryzykiem.
Potem kategoria ryzyka.
Rozporządzenie porządkuje systemy według tego, co mogą zepsuć.
- Praktyki zakazane. Wąska lista zastosowań wykluczonych całkowicie, niezależnie od zabezpieczeń.
- Systemy wysokiego ryzyka. Zastosowania wymienione w załącznikach, między innymi w obszarze zatrudnienia, dostępu do usług, edukacji i wymiaru sprawiedliwości. Tu jest większość obowiązków.
- Obowiązki przejrzystości. Dotyczą sytuacji, w których człowiek musi wiedzieć, że ma do czynienia z maszyną albo z treścią wygenerowaną.
- Pozostałe. Bez szczególnych obowiązków wynikających z rozporządzenia.
Osobny reżim dotyczy modeli ogólnego przeznaczenia, czyli tych, na których opiera się większość dzisiejszych narzędzi.
Wysokie ryzyko i obowiązek przejrzystości nie wykluczają się. System może podlegać obu jednocześnie. A branża, w której działacie, nie przesądza kategorii. Przesądza cel systemu i to, kogo dotyczy jego wynik.
Na oswojenie tego zrobiłem ćwiczenie z ośmioma sytuacjami, w których zmiana jednego szczegółu zmienia kwalifikację. Zajmuje sześć minut i pokazuje ten mechanizm lepiej niż tabela.
Co z tego dotyczy zwykłego pracodawcy.
Firma, która kupuje narzędzia dla zespołu i nie buduje modeli, ma do zrobienia mniej, niż sugeruje większość artykułów. Zostaje jej:
Kompetencje ludzi. Art. 4 wymaga działań, które wspierają kompetencje w zakresie AI u osób zajmujących się systemami AI, z uwzględnieniem ich roli i kontekstu użycia. Po Digital Omnibus przepis nie wymaga gwarantowania konkretnego poziomu wiedzy. To nie jest obowiązek kupienia kursu. Chodzi o to, żeby ludzie rozumieli, z czym pracują. Bez tego reszta obowiązków jest niewykonalna. Prowadzę takie szkolenia z AI Act i AI literacy dla zespołów.
Wiedza o tym, czego używacie. Nie da się wykonać żadnego obowiązku wobec systemu, o którym nie wiecie, że działa w firmie. Rejestr jest warunkiem wstępnym.
Uwaga na zastosowania kadrowe. Jeżeli używacie AI do selekcji kandydatów, oceny pracowników albo decyzji o awansach, jesteście w obszarze, który rozporządzenie traktuje poważnie. To najczęstsze miejsce, w którym zwykła firma niespodziewanie dotyka wysokiego ryzyka.
AI Act w banku i w firmie finansowej.
Załącznik III zalicza do wysokiego ryzyka ocenę zdolności kredytowej osób fizycznych i ustalanie ich scoringu kredytowego. Na tej samej liście jest ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych. Systemy do wykrywania oszustw finansowych są z tej kategorii wyłączone.
Bank, który używa takiego systemu, przed pierwszym użyciem przeprowadza ocenę skutków dla praw podstawowych (art. 27). Jeśli zrobił już ocenę skutków dla ochrony danych z RODO, ocena z AI Act ją uzupełnia.
Instytucje finansowe monitorują system i przechowują jego logi w ramach zasad zarządzania wewnętrznego, które narzuca im już prawo usług finansowych (art. 26 ust. 5 i 6).
Chatbot obsługi klienta, asystent pracownika i analiza dokumentów do tej listy nie należą, dopóki nie oceniają zdolności kredytowej klienta. Przy nich obowiązują kompetencje z art. 4 i obowiązki przejrzystości z art. 50: klient ma wiedzieć, że rozmawia z AI, a deepfake trzeba oznaczyć. W banku AI Act nakłada się na DORA. Rejestr systemów AI prowadźcie razem z rejestrem dostawców ICT. Wymogi dla systemów wysokiego ryzyka z załącznika III obowiązują od 2 grudnia 2027.
Prowadzę szkolenia i przeglądy zgodności z AI Act dla banków i ubezpieczycieli.
Pytania o AI Act.
Czym jest AI Act?
To rozporządzenie (UE) 2024/1689. Reguluje systemy sztucznej inteligencji według ryzyka, jakie tworzą dla ludzi, i obowiązuje bezpośrednio w każdym państwie Unii. Polska ustawa o systemach sztucznej inteligencji dodaje do niego organ nadzoru i procedury kontroli.
Czy korzystanie z ChatGPT albo Claude w firmie podlega AI Act?
Tak. Firma, która daje pracownikom takie narzędzie, jest podmiotem stosującym. Przy pisaniu maili, streszczeniach i pracy na dokumentach obowiązuje art. 4: ludzie mają rozumieć, z czym pracują. Kategoria zmienia się, gdy ten sam model zaczyna oceniać kandydatów do pracy albo decydować o dostępie klienta do usługi.
Czy AI Act dotyczy małych firm?
Tak. Rozporządzenie nie ma progu wielkości firmy. Mikro, małe i średnie przedsiębiorstwa płacą niższe kary: z dwóch kwot z art. 99 stosuje się niższą. Mają też pierwszeństwo w dostępie do piaskownicy regulacyjnej.
Czym AI Act różni się od RODO?
RODO chroni dane osobowe. AI Act reguluje system AI także wtedy, gdy ten nie przetwarza żadnych danych osobowych. System, który przetwarza dane klientów albo pracowników, podlega obu rozporządzeniom. Przegląd zgodności róbcie wtedy raz, dla obu.
Czy pracownicy muszą mieć certyfikat z AI Act?
Nie. Art. 4 nie wymaga certyfikatu ani egzaminu. Wymaga działań dopasowanych do roli człowieka i do tego, do czego firma używa AI. Zapiszcie, kto, kiedy i z jakiego zakresu został przeszkolony.
Co zrobić w tym tygodniu.
Każdy z tych kroków jest tańszy niż audyt i żadnego nie da się pominąć.
- Spiszcie, czego używacie. Narzędzia, cel, kto odpowiada. Jedna tabela.
- Przy każdej pozycji ustalcie rolę. Podmiot stosujący czy dostawca. Przy większości wyjdzie podmiot stosujący.
- Zaznaczcie te, które dotyczą ludzi. Rekrutacja, ocena, dostęp do usług, zdrowie, bezpieczeństwo. Tym zajmijcie się najpierw.
Dopiero potem ma sens pisanie polityki AI, bo będzie opisywała stan faktyczny.
Do sprawdzenia wiedzy: 36 pytań z wyjaśnieniem po każdej odpowiedzi, z terminami po Digital Omnibus. Do policzenia, ile błędów przechodzi przez nadzór człowieka: symulacja z trzema suwakami. Do oceny własnego projektu: inspektor AI Act i matryca wartości.
Zastrzeżenie. To jest tekst orientacyjny, napisany po to, żeby uporządkować myślenie, a nie porada prawna i nie kwalifikacja Waszych systemów. Przed jakąkolwiek decyzją sprawdźcie tekst skonsolidowany w EUR-Lex oraz materiały Komisji Europejskiej, i skonsultujcie się z prawnikiem. Piszę prywatnie, poza rolą bankową.