Czym jest akt o AI UE? Kompletny przewodnik dla firm

Akt o sztucznej inteligencji UE (rozporządzenie 2024/1689) to pierwsze na świecie kompleksowe ramy prawne regulujące sztuczną inteligencję. Wszedł w życie 1 sierpnia 2024 r. i ma zastosowanie do każdej firmy, która opracowuje, wdraża lub wykorzystuje systemy AI mające wpływ na osoby w Unii Europejskiej — niezależnie od tego, gdzie firma ma swoją siedzibę.

Ten przewodnik omawia wszystko, co musisz wiedzieć: czego wymaga rozporządzenie, kogo dotyczy, jak klasyfikowane są systemy AI, jakie są terminy oraz co dzieje się w przypadku ich niedotrzymania.

Czym jest akt o AI UE?

Akt o AI UE ustanawia ramy oparte na ryzyku dla sztucznej inteligencji. Zamiast traktować wszystkie systemy AI jednakowo, klasyfikuje je według poziomu ryzyka, jakie stwarzają dla ludzi — i przypisuje każdej kategorii inne obowiązki w zakresie zgodności.

Rozporządzenie ma zastosowanie do:

• Dostawców — firm, które opracowują i wprowadzają systemy AI na rynek UE
• Podmiotów stosujących (deployerów) — firm, które wykorzystują systemy AI w swojej działalności (w tym gotowe narzędzia, takie jak ChatGPT czy Copilot)
• Importerów i dystrybutorów — firm, które wprowadzają systemy AI spoza UE na rynek UE

Jeśli Twoja firma wykorzystuje narzędzia AI do interakcji z klientami, przetwarzania wniosków, selekcji kandydatów, oceny osób lub podejmowania decyzji mających wpływ na ludzi — jesteś podmiotem stosującym i akt o AI ma do Ciebie zastosowanie.

Cztery kategorie ryzyka

Kategoria 1: Zakazane systemy AI (art. 5)

Niektóre zastosowania AI są całkowicie zakazane. Obowiązują one już od 2 sierpnia 2025 r.:

• Punktacja społeczna (social scoring) — systemy oceniające ludzi na podstawie ich zachowań społecznych lub cech osobistych
• Zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeniach publicznie dostępnych (z wąskimi wyjątkami dla organów ścigania)
• Manipulacja podprogowa — AI wykorzystująca słabości psychiczne do zmiany zachowania
• Rozpoznawanie emocji w miejscu pracy i placówkach edukacyjnych
• Kategoryzacja biometryczna w celu wnioskowania o wrażliwych cechach (rasa, poglądy polityczne, religia, orientacja seksualna)
• Predykcyjne działania policji wobec osób na podstawie profilowania
• Nieukierunkowane pozyskiwanie (scraping) wizerunków twarzy z internetu lub nagrań CCTV

Wdrożenie zakazanego systemu AI grozi karą do 35 mln euro lub 7% globalnego obrotu.

Kategoria 2: AI wysokiego ryzyka (załącznik III)

Systemy AI wysokiego ryzyka podlegają najbardziej rygorystycznym wymogom. System jest uznawany za system wysokiego ryzyka, jeśli działa w jednym z ośmiu regulowanych sektorów oraz podejmuje lub istotnie wpływa na decyzje dotyczące osób fizycznych:

| Sektor | Przykłady | |--------|-----------| | Biometria | Zdalna identyfikacja, rozpoznawanie emocji | | Infrastruktura krytyczna | Elementy bezpieczeństwa w gospodarce wodnej, energetyce, transporcie | | Edukacja | Rekrutacja, ocenianie, nadzór nad egzaminami | | Zatrudnienie | Selekcja CV, ocena wyników, zwolnienia | | Usługi podstawowe | Ocena zdolności kredytowej, ryzyko ubezpieczeniowe, świadczenia socjalne | | Organy ścigania | Ocena ryzyka, ocena dowodów, profilowanie | | Migracja i azyl | Ocena ryzyka, weryfikacja dokumentów | | Procesy demokratyczne | Wpływanie na wybory, ukierunkowanie na wyborców |

Wymogi w zakresie zgodności dla systemów wysokiego ryzyka obejmują:

• System zarządzania ryzykiem utrzymywany przez cały cykl życia
• Procedury zarządzania danymi dla danych treningowych i walidacyjnych
• Dokumentację techniczną (załącznik IV)
• Automatyczne rejestrowanie aktywności systemu
• Przejrzystość — użytkownicy muszą zostać poinformowani, że wchodzą w interakcję z AI wysokiego ryzyka lub że ma ona na nich wpływ
• Nadzór ze strony człowieka — człowiek musi mieć możliwość interwencji, zastąpienia lub zatrzymania systemu
• Testowanie dokładności, solidności i cyberbezpieczeństwa
• Ocenę zgodności przed wdrożeniem (lub audyt zewnętrzny dla produktów z załącznika I)

Termin zgodności dla AI wysokiego ryzyka to 2 sierpnia 2026 r..

Kategoria 3: AI ograniczonego ryzyka (art. 50)

Systemy ograniczonego ryzyka mają wyłącznie obowiązki w zakresie przejrzystości:

• Chatboty i konwersacyjna AI muszą informować użytkowników, że wchodzą w interakcję z maszyną
• Treści generowane przez AI (obrazy, dźwięk, wideo, tekst) muszą być wyraźnie oznaczone jako syntetyczne
• Deepfake'i muszą być ujawniane jako sztucznie stworzone lub zmanipulowane
• Systemy rozpoznawania emocji muszą powiadamiać analizowane osoby

Większość komercyjnych narzędzi AI — boty obsługi klienta, generatory treści, silniki rekomendacji — należy do tej kategorii.

Kategoria 4: AI minimalnego ryzyka

Wszystkie pozostałe systemy AI. Brak obowiązkowych wymogów poza ogólnym wymogiem kompetencji w zakresie AI. Obowiązują dobrowolne kodeksy postępowania. Obejmuje to większość zastosowań AI: filtry antyspamowe, wyszukiwanie wspomagane AI, silniki rekomendacji, wykrywanie oszustw (poza sektorem finansowym) i podobne narzędzia.

Harmonogram

| Data | Co się wydarzyło lub wydarzy | |------|------------------------------| | 1 sierpnia 2024 | Rozporządzenie weszło w życie | | 2 lutego 2025 | Kompetencje w zakresie AI (art. 4) — już obowiązują. Wszystkie firmy wdrażające AI muszą zapewnić personelowi wystarczające kompetencje w zakresie AI | | 2 sierpnia 2025 | Praktyki zakazane oraz obowiązki dotyczące GPAI — już obowiązują. Osiem kategorii AI jest zakazanych. Dostawcy AI ogólnego przeznaczenia podlegają nowym wymogom dokumentacyjnym | | 2 sierpnia 2026 | Termin dla systemów AI wysokiego ryzyka. Wymagana pełna zgodność dla wszystkich systemów z załącznika III | | 2 sierpnia 2027 | Pełne egzekwowanie dla AI wbudowanej w produkty objęte zharmonizowanym prawodawstwem UE (wyroby medyczne, maszyny, zabawki) |

Czym są kompetencje w zakresie AI (art. 4)?

Od 2 lutego 2025 r. każda organizacja, która dostarcza lub wdraża systemy AI, musi zapewnić, że jej personel posiada wystarczające kompetencje w zakresie AI — definiowane jako umiejętności, wiedza i zrozumienie pozwalające na świadome korzystanie z systemów AI.

Dotyczy to pracowników, którzy wykorzystują AI w codziennej pracy. Nie wymaga to certyfikacji, ale wymaga udokumentowanego szkolenia. Kluczowe obszary obejmują:

• Zrozumienie, co robią systemy AI i jak podejmują decyzje
• Znajomość ograniczeń i ryzyka stosowanych narzędzi AI
• Rozpoznawanie sytuacji, w których wynik działania AI wymaga weryfikacji przez człowieka
• Zrozumienie obowiązków w zakresie ochrony danych przy korzystaniu z AI

UE nie narzuciła konkretnego formatu, więc ustrukturyzowane wdrożenie, moduły e-learningowe lub udokumentowane szkolenia spełniają ten wymóg.

Jakie są kary?

| Naruszenie | Maksymalna kara | |------------|-----------------| | Zakazane praktyki AI | 35 mln euro lub 7% globalnego rocznego obrotu | | Naruszenia dotyczące AI wysokiego ryzyka | 15 mln euro lub 3% globalnego rocznego obrotu | | Podanie nieprawdziwych informacji | 7,5 mln euro lub 1,5% globalnego rocznego obrotu |

Karę nakłada się w wysokości tej kwoty, która jest wyższa. Dla małej lub średniej firmy o obrocie 10 mln euro 7% oznacza 700 tys. euro — to wciąż istotne ryzyko.

Państwa członkowskie ustanawiają krajowe organy ds. AI odpowiedzialne za egzekwowanie przepisów. W Niemczech rolę tę pełni Bundesnetzagentur (dotyczy wyłącznie Niemiec). Francja ustanawia własny organ. Skoordynowane egzekwowanie na poziomie UE prowadzi Europejski Urząd ds. AI.

Co to oznacza dla MŚP?

Większość MŚP to podmioty stosujące, a nie dostawcy. Kupują i wykorzystują narzędzia AI, zamiast je budować. Obowiązki podmiotów stosujących są węższe niż obowiązki dostawców, ale są realne:

1. Kompetencje w zakresie AI — już wymagane
2. Ocena wpływu na prawa podstawowe — dla systemów wysokiego ryzyka w podmiotach publicznych lub regulowanych sektorach
3. Nadzór ze strony człowieka — dla każdej używanej AI wysokiego ryzyka
4. Przejrzystość wobec użytkowników — dla AI ograniczonego ryzyka
5. Zgłaszanie incydentów — poważne incydenty dotyczące AI wysokiego ryzyka muszą być zgłaszane organom krajowym

Praktycznym pierwszym krokiem dla każdego MŚP jest inwentaryzacja systemów AI: spisanie każdego używanego narzędzia AI, sklasyfikowanie go zgodnie z aktem i ustalenie, które (jeśli w ogóle) są systemami wysokiego ryzyka. Większość MŚP stwierdzi, że ich narzędzia należą do kategorii ograniczonego lub minimalnego ryzyka — ale należy to potwierdzić, a nie zakładać.

Jak zacząć

1. Zinwentaryzuj swoje narzędzia AI — spisz każdy system AI, który Twoja firma wykorzystuje lub wdraża
2. Sklasyfikuj każdy z nich — skorzystaj z listy z załącznika III, aby sprawdzić, czy dotyczy ich kategoria wysokiego ryzyka
3. Przeszkol personel — spełnij wymóg kompetencji w zakresie AI z art. 4
4. Udokumentuj systemy wysokiego ryzyka — jeśli takie występują, zacznij budować dokumentację zgodną z załącznikiem IV
5. Ustal plan działania w zakresie zgodności — 2 sierpnia 2026 r. to termin dla systemów wysokiego ryzyka; zacznij już teraz

Akt o AI nie ma na celu powstrzymania firm przed korzystaniem z AI. Ma zapewnić, że AI wpływająca na życie ludzi jest wykorzystywana odpowiedzialnie, przejrzyście i pod nadzorem człowieka. Dla większości MŚP zgodność jest osiągalna — wymaga dokumentacji i procesów, a nie zespołu ds. zgodności.

Podsumowanie

Akt o AI UE to najważniejsza regulacja technologiczna od czasu RODO. Ma zastosowanie do każdej firmy wykorzystującej AI w UE lub mającej wpływ na UE. Klasyfikacja ryzyka to pierwszy krok: ustal, czy Twoje systemy AI są zakazane, wysokiego ryzyka, ograniczonego ryzyka czy minimalnego ryzyka, a następnie odpowiednio zbuduj swój program zgodności. Termin dla systemów wysokiego ryzyka to 2 sierpnia 2026 r. — około 15 miesięcy od daty publikacji tego przewodnika.

---

Ostatnia aktualizacja: kwiecień 2026 r. Wyłącznie w celach informacyjnych — nie stanowi porady prawnej. W kwestiach związanych ze zgodnością należy skonsultować się z wykwalifikowanym doradcą prawnym.

Najczęściej zadawane pytania

Kogo dotyczy akt o AI UE?

Akt o AI UE ma zastosowanie do każdej firmy, która opracowuje, wdraża lub wykorzystuje systemy AI mające wpływ na osoby w Unii Europejskiej, niezależnie od tego, gdzie firma ma siedzibę. Zgodnie z art. 2 obejmuje to dostawców, którzy wprowadzają systemy AI na rynek UE, podmioty stosujące, które wykorzystują systemy AI w swojej działalności, oraz importerów lub dystrybutorów wprowadzających AI na teren UE. Firma z siedzibą w Stanach Zjednoczonych, która wykorzystuje narzędzie AI do selekcji kandydatów do pracy z UE, jest podmiotem stosującym podlegającym aktowi.

Czym jest system AI wysokiego ryzyka w rozumieniu aktu o AI UE?

Systemy AI wysokiego ryzyka są zdefiniowane w załączniku III rozporządzenia i obejmują osiem sektorów: biometrię, infrastrukturę krytyczną, edukację, zatrudnienie, podstawowe usługi prywatne i publiczne, organy ścigania, zarządzanie migracją i azylem oraz sprawowanie wymiaru sprawiedliwości i procesy demokratyczne. System jest systemem wysokiego ryzyka, jeśli działa w jednym z tych sektorów oraz podejmuje lub istotnie wpływa na decyzje dotyczące osób fizycznych. Narzędzia do selekcji CV i systemy oceny zdolności kredytowej to częste przykłady. Systemy wysokiego ryzyka muszą spełniać wymogi obejmujące system zarządzania ryzykiem, mechanizmy zarządzania danymi, dokumentację techniczną zgodną z załącznikiem IV, mechanizmy nadzoru ze strony człowieka oraz ocenę zgodności — wszystko przed wdrożeniem, przy czym termin zgodności wyznaczono na 2 sierpnia 2026 r. na mocy art. 6.

Jakie są kary za niezgodność z aktem o AI UE?

Struktura kar w akcie o AI ma trzy poziomy. Wdrożenie zakazanej praktyki AI na mocy art. 5 — takiej jak punktacja społeczna czy zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeniach publicznych — grozi karą do 35 mln euro lub 7% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Naruszenia obowiązków dotyczących AI wysokiego ryzyka grożą karą do 15 mln euro lub 3% globalnego rocznego obrotu. Przekazanie nieprawidłowych lub wprowadzających w błąd informacji organom grozi karą do 7,5 mln euro lub 1,5% globalnego obrotu. Dla mniejszych firm pułap procentowy często daje wyższe kwoty niż maksimum bezwzględne.

Źródła

• Rozporządzenie (UE) 2024/1689 — pełny tekst aktu o AI UE — Oficjalny tekst legislacyjny aktu o AI UE opublikowany w Dzienniku Urzędowym Unii Europejskiej.
• Europejski Urząd ds. AI — Organ Komisji Europejskiej odpowiedzialny za koordynację egzekwowania aktu o AI oraz nadzór nad modelami AI ogólnego przeznaczenia.
• ENISA AI Cybersecurity Threat Landscape — Raport ENISA dotyczący zagrożeń cyberbezpieczeństwa specyficznych dla systemów AI, istotny w kontekście wymogów bezpieczeństwa z załącznika I aktu o AI.
• Obserwatorium legislacyjne Parlamentu Europejskiego — akt o AI — Pełna historia legislacyjna i dokumentacja procedury aktu o AI UE z Parlamentu Europejskiego.