AI Act – co to jest i dlaczego zmienia wszystko?

Nowe ramy prawne dla sztucznej inteligencji w UE

AI Act to rozporządzenie (UE) 2024/1689 ustanawiające pierwsze na świecie kompleksowe, horyzontalne zasady dla systemów sztucznej inteligencji na rynku unijnym. W przeciwieństwie do sektorowych regulacji, obejmuje ono cały cykl życia systemu AI – od projektowania i trenowania modeli, przez ich wprowadzanie do obrotu, aż po eksploatację. W świetle najnowszych zmian wprowadzonych w maju 2026 roku przez tzw. akt zbiorczy prawa cyfrowego (Cyfrowy Omnibus), nacisk legislacyjny w obecnej fazie został mocno przesunięty na kwestie natychmiastowej transparentności (art. 50), oznaczania treści syntetycznych (deepfake) i uświadamiania użytkowników, dając jednocześnie więcej czasu na dostosowanie się twórcom systemów wysokiego ryzyka.

Rozporządzenie przyjmuje podejście oparte na ryzyku: im wyższy potencjalny wpływ systemu AI na ludzi i społeczeństwo, tym ostrzejsze wymagania organizacyjne i techniczne dla podmiotów, które go tworzą i wykorzystują. Jednocześnie wciąż ma ono na celu ograniczanie obciążeń dla mniej ryzykownych zastosowań, aby nie blokować innowacji europejskich firm w erze dynamicznego rozwoju modeli fundamentowych.

Geneza AI Act: od propozycji do obowiązującego prawa

Komisja Europejska zaproponowała AI Act w kwietniu 2021 r. jako element szerszej strategii cyfrowej UE i odpowiedź na rosnące wykorzystanie AI w obszarach wrażliwych. Celem od początku było stworzenie „kodeksu bezpieczeństwa” dla sztucznej inteligencji. Zgodnie z pierwotnymi założeniami tekst opublikowano w lipcu 2024 r., a wszedł on w życie 1 sierpnia 2024 r.

Jednakże zderzenie ambitnych przepisów z rzeczywistością rynkową i technologiczną spowodowało, że w maju 2026 r. Parlament Europejski i Rada przyjęły tzw. akt zbiorczy prawa cyfrowego. Złagodził on i odsunął w czasie (na przełom 2027/2028 r.) najbardziej restrykcyjne wymogi dla systemów wysokiego ryzyka z uwagi na niedobór jednostek notyfikowanych. Z drugiej strony, w trosce o ochronę praw wyborczych i walkę z dezinformacją, od 2 sierpnia 2026 r. w całej Unii bezwzględnie egzekwowane są przepisy nakazujące oznaczanie wygenerowanych treści i ujawnianie faktu korzystania z AI.

Wejście w życie i zaktualizowany harmonogram stosowania

Z uwagi na niedawne zmiany prawne harmonogram wdrażania uległ zasadniczym modyfikacjom. Najwięcej rygorystycznych wymogów, które miały wejść w życie latem 2026 r., zostało przełożonych na lata kolejne, ale w zamian zaktywizowano tryb sankcyjny dla naruszeń transparentności. Najważniejsze, aktualne daty kształtują się następująco:

Klasy ryzyka w AI Act

AI Act konsekwentnie dzieli systemy AI na cztery główne kategorie ryzyka, co przekłada się bezpośrednio na surowość wymagań stawianych twórcom i wdrożeniowcom algorytmów.

Systemy o niedopuszczalnym ryzyku – np. manipulacyjne podprogowe, scrapowanie wizerunków twarzy do masowych baz danych bez zgody (Clearview AI) czy systemy biometrycznej kategoryzacji – są obecnie zakazane. Systemy wysokiego ryzyka (np. rekrutacja, edukacja, egzekwowanie prawa) muszą od 2027 roku posiadać certyfikację CE, ocenę wpływu na prawa podstawowe oraz logowanie aktywności. Kategoria ograniczonego ryzyka to systemy interaktywne (np. boty obsługi klienta i generatory tekstów/obrazów), od których wymaga się teraz bezwzględnej przejrzystości, aby użytkownik miał pewność, czy obcuje z maszyną czy z człowiekiem. Systemy o minimalnym ryzyku (np. filtry poczty) pozostają bez szczególnych wymogów.

Kogo obejmuje AI Act: dostawcy, użytkownicy i inni uczestnicy rynku

Rozporządzenie stosuje się do szerokiego łańcucha wartości AI: obejmuje dostawców (tworzących kod i modele), podmioty wdrażające (tzw. deployerów, którzy używają AI do prowadzenia biznesu), importerów i dystrybutorów, a od 2028 r. w pełni obejmie również producentów wyrobów, w które wbudowano AI.

AI Act ma również wysoce eksterytorialny charakter: dotyczy nie tylko firm europejskich, ale wszystkich globalnych graczy, jeśli oferują oni systemy na rynek unijny lub gdy wynik działania zagranicznego systemu AI jest wykorzystywany przez podmioty w Unii. W ten sposób UE narzuca swój standard technologiczny firmom z Doliny Krzemowej czy Azji.

RODO vs AI Act: różny zakres i przedmiot regulacji

Często utożsamia się AI Act z „RODO dla algorytmów”, choć cel obu regulacji jest odmienny. RODO jest ukierunkowane wyłącznie na zabezpieczenie danych osobowych, z kolei AI Act skupia się na bezpieczeństwie działania samego systemu (nawet jeśli ten operuje na w pełni zanonimizowanych liczbach). Gdy aplikacja HR używa AI do oceny CV kandydatów, musi obecnie spełniać obie te legislacje naraz.

Adresaci i role: administrator vs provider/deployer

W RODO kluczowe pytanie to: „Kto kontroluje cele i sposoby przetwarzania?”. W AI Act pytanie brzmi: „Kto wytworzył model pod własną marką (Dostawca) a kto wdraża ten model do profesjonalnego obiegu, by z niego korzystać (Deployer)?”. Te role często nakładają się w praktyce IT. Na przykład firma kupująca SaaS od OpenAI, by zintegrować go na własnej stronie, staje się Deployerem na gruncie AI Act, a jako podmiot powierzający dane logowania klientów — nadal Administratorem na gruncie RODO.

Dlaczego AI Act „zmienia wszystko”

Po pierwsze, AI Act zdejmuje parasol „technologicznego eksperymentu” ze sztucznej inteligencji. Tworzy dla systemów informatycznych proces certyfikacji (CE), analogiczny do zabawek czy dźwigów budowlanych. Po drugie, kumulacja ryzyka compliance drastycznie rośnie. Kara za błąd w algorytmie rekrutacyjnym potrafi obecnie uruchomić dwa postępowania: jedno na szczeblu Urzędu Ochrony Danych Osobowych za błędy profilowania (RODO), i drugie (nadzór rynkowy AI) za brak należytego nadzoru i oceny modelu (AI Act).

Praktyczne konsekwencje – jak wykorzystać te informacje obecnie

Dla organizacji korzystających z AI obecny czas to wejście w tryb gotowości. Od 2 sierpnia 2026 r. działy marketingu, e-commerce oraz obsługi klienta podlegają pod ścisły reżim kar (do 15 mln euro), dlatego procesy wydawnicze trzeba zrewidować z dnia na dzień.

Kluczowe działania do podjęcia i wdrożenia to m.in.:

• Bezwzględne znakowanie wygenerowanych lub zmanipulowanych treści, w tym zdjęć reklamowych, filmów wideo, nagrań (tzw. watermarking i metadane deepfake) na stronach i w materiałach PR.
• Dodanie czytelnych komunikatów we wszystkich botach infolinii i czatach o treści „Rozmawiasz ze zautomatyzowanym asystentem AI”. Brak takiej klauzuli stanowi teraz poważne naruszenie art. 50.
• Wdrożenie programów z zakresu „AI literacy” (rozumienia ryzyka generatywnego przez pracowników) dla zabezpieczenia przed „halucynacjami” botów, co stanowi obecnie wymóg prawny, a nie tylko dobrą praktykę.
• Przeprowadzenie remanentu wykorzystywanych systemów w firmie: oddzielenie modeli prostych oraz tych do oznaczania od systemów, które od 2027 r. wpadną w surowy reżim wysokiego ryzyka (np. systemy automatycznie przydzielające premie, weryfikujące tożsamość biometrycznie czy wstępnie diagnozujące ubezpieczonych pacjentów).

Co zrobić już teraz wobec przesuniętych terminów?

Choć większość wymogów wysokiego ryzyka odroczono do końca 2027 r., złudzeniem jest przekonanie, że firmy mają ogrom czasu. Praktyka uczy, że zintegrowanie audytu algorytmicznego z architekturą IT trwa od kilkunastu do kilkudziesięciu miesięcy.

Praktyczne minimum na najbliższe kwartały to:

• Wyznaczenie interdyscyplinarnego oficera ds. sztucznej inteligencji, łączącego wiedzę z zakresu prawa, etyki technologii i cybersecurity.
• Synchronizacja ocen ryzyka – połączenie formularzy DPIA (z obszaru ochrony danych) z formularzami FRIA (wpływ na prawa podstawowe w AI), by działy prawne uniknęły podwójnej dokumentacji.
• Rewizja umów B2B ze starymi dostawcami usług cloud computingowych z żądaniem transparentnych logów o trenowaniu modeli na danych klientów.
• Audyt treści syntetycznych u zewnętrznych agencji marketingowych obsługujących profil firmy, gwarantujący ich odpowiednie, bieżące metatagowanie zgodne z wytycznymi z sierpnia 2026 r.

Źródła

• Komisja Europejska – Akt w sprawie sztucznej inteligencji
• Parlament Europejski – Akt zbiorczy prawa cyfrowego dotyczący AI z maja 2026 r. (Przesunięcie terminów i wymogi transparentności)
• Bezprawnik – Od 2 sierpnia 2026 zaczyna obowiązywać oznaczanie tekstów AI
• Express Kaszubski – Cyfrowy Omnibus a AI Act, zmiany w harmonogramie z 2026 roku
• wGospodarce – AI jawne albo 15 mln euro kary
• European Commission – AI Act enters into force
• White & Case – Long awaited EU AI Act becomes law
• A&O Shearman – EU AI Act published: Key rules ahead of August 2024 start
• Glocert – EU AI Act Timeline & Key Dates
• AiActo – AI Act vs GDPR: Key Differences and Complementarity
• activeMind – GDPR and AI Act: similarities and differences
• artificial-intelligence-act.com – EU Artificial Intelligence Act overview
• IBM – What is the EU AI Act?
• GDPR Advisor – GDPR fines and penalties