AI Act ma znaczenie nie tylko dla producentów zaawansowanych systemów. Regulacja może dotyczyć również przedsiębiorców korzystających z gotowych narzędzi, takich jak ChatGPT, chatboty, systemy rekrutacyjne, rozwiązania analityczne czy automatyzacja marketingu. Zakres obowiązków zależy jednak od rodzaju systemu, sposobu jego wykorzystywania oraz roli, jaką firma pełni w odniesieniu do danego rozwiązania.
AI Act – co to jest?
AI Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, ustanawia jednolite zasady projektowania, wprowadzania do obrotu i wykorzystywania systemów sztucznej inteligencji w Unii Europejskiej.
Celem regulacji jest zapewnienie, aby systemy AI były rozwijane i stosowane w sposób bezpieczny, przejrzysty oraz respektujący prawa podstawowe. Jednocześnie przepisy mają stworzyć wspólne ramy prawne dla rozwoju sztucznej inteligencji na rynku unijnym.
AI Act opiera się na podejściu bazującym na ryzyku. Oznacza to, że zakres wymagań zależy od potencjalnych skutków działania danego systemu. Im większe ryzyko dla bezpieczeństwa, zdrowia lub praw osób fizycznych, tym bardziej rozbudowane są obowiązki związane z jego stosowaniem.
Nie każda aplikacja wykorzystująca sztuczną inteligencję podlega więc takim samym zasadom. Inne wymagania dotyczą narzędzia pomagającego redagować wiadomości, a inne systemu służącego do oceny kandydatów do pracy lub podejmowania decyzji wpływających na sytuację osób fizycznych.
AI Act jest rozporządzeniem unijnym, dlatego stosuje się je bezpośrednio również w Polsce. Nie wymaga przeniesienia jego treści do polskiej ustawy w taki sposób, jak ma to miejsce w przypadku dyrektyw.
Polskie przepisy są jednak potrzebne, aby określić krajowy system nadzoru, właściwe organy, zasady prowadzenia kontroli oraz procedury nakładania sankcji za naruszenie rozporządzenia.
AI Act – od kiedy obowiązuje?
W przypadku AI Act należy odróżnić formalne wejście rozporządzenia w życie od rozpoczęcia stosowania poszczególnych grup przepisów.
Rozporządzenie weszło w życie 1 sierpnia 2024 r. Nie oznacza to jednak, że wszystkie przewidziane w nim obowiązki zaczęły obowiązywać w tym samym momencie. Unijny prawodawca rozłożył ich stosowanie na kilka etapów.
Najważniejsze terminy przedstawiają się następująco:
- 2 lutego 2025 r. – rozpoczęto stosowanie przepisów dotyczących zakazanych praktyk AI oraz obowiązku zapewnienia odpowiedniego poziomu kompetencji w zakresie sztucznej inteligencji;
- 2 sierpnia 2025 r. – zaczęły być stosowane m.in. przepisy dotyczące modeli AI ogólnego przeznaczenia, unijnego systemu zarządzania oraz części regulacji dotyczących sankcji;
- 2 sierpnia 2026 r. – rozpoczyna się zasadniczy etap stosowania większości pozostałych przepisów, w tym wielu obowiązków dostawców i podmiotów stosujących systemy AI;
- 2 sierpnia 2027 r. – zgodnie z pierwotnym harmonogramem miał rozpocząć się kolejny etap stosowania regulacji dotyczących określonych systemów wysokiego ryzyka powiązanych z produktami objętymi unijnymi przepisami bezpieczeństwa.
Jednocześnie na szczeblu Unii Europejskiej prowadzone są prace nad zmianą części terminów odnoszących się do systemów wysokiego ryzyka. Rada Unii Europejskiej zatwierdziła rozwiązania przewidujące ich przesunięcie, jednak w chwili publikacji niniejszego artykułu zmiany nie zostały jeszcze ogłoszone w Dzienniku Urzędowym Unii Europejskiej.
Kogo dotyczy AI Act?
AI Act rozróżnia kilka podstawowych ról, które mogą pełnić przedsiębiorcy uczestniczący w tworzeniu, udostępnianiu lub wykorzystywaniu systemów sztucznej inteligencji.
Dostawca systemu AI to podmiot, który opracowuje system albo zleca jego opracowanie, a następnie wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym.
Podmiot stosujący system AI wykorzystuje natomiast system w ramach działalności zawodowej. To właśnie ta rola będzie miała największe znaczenie dla wielu przedsiębiorców korzystających z gotowych narzędzi oferowanych przez zewnętrznych dostawców.
Rozporządzenie reguluje także sytuację:
- importerów;
- dystrybutorów;
- upoważnionych przedstawicieli;
- dostawców modeli AI ogólnego przeznaczenia.
Podmiotem stosującym może być między innymi:
- pracodawca korzystający z narzędzia wspierającego rekrutację;
- firma używająca systemu do oceny pracowników;
- sklep internetowy wdrażający chatbota do obsługi klientów;
- dział marketingu korzystający z AI do przygotowywania treści lub prowadzenia kampanii;
- przedsiębiorca analizujący zachowania klientów i wyniki sprzedaży;
- firma wykorzystująca system rekomendacyjny;
- pracownik korzystający z ChatGPT podczas wykonywania obowiązków służbowych.
Samo wykupienie dostępu do gotowego narzędzia nie powoduje, że przedsiębiorca staje się jego dostawcą. Sytuacja może się jednak zmienić, jeżeli firma istotnie modyfikuje system, zmienia jego przeznaczenie albo oferuje go innym podmiotom pod własną nazwą.
Kategorie ryzyka w AI Act
Praktyki zakazane
Najbardziej restrykcyjna kategoria obejmuje praktyki uznane za niedopuszczalne ze względu na szczególnie poważne zagrożenia.
Chodzi między innymi o określone sposoby manipulowania zachowaniem człowieka, wykorzystywanie podatności wynikającej z wieku, niepełnosprawności lub szczególnej sytuacji społecznej, a także niektóre formy scoringu społecznego.
Zakazy nie dotyczą każdego narzędzia wykorzystującego AI, lecz konkretnych sposobów jego działania lub stosowania.
Systemy wysokiego ryzyka
Systemy wysokiego ryzyka to rozwiązania, których działanie może wywoływać poważne konsekwencje dla bezpieczeństwa lub praw osób fizycznych.
Do tej kategorii mogą należeć niektóre narzędzia wykorzystywane:
- w rekrutacji i selekcji kandydatów;
- przy podejmowaniu decyzji dotyczących zatrudnienia;
- do oceny pracowników;
- w dostępie do edukacji;
- przy ocenie dostępu do określonych usług;
- jako element produktów objętych przepisami bezpieczeństwa.
Z systemami wysokiego ryzyka wiążą się rozbudowane obowiązki dotyczące m.in. zarządzania ryzykiem, jakości danych, dokumentacji, rejestrowania zdarzeń, nadzoru człowieka i monitorowania działania systemu.
Systemy objęte obowiązkami przejrzystości
Szczególne obowiązki dotyczą również niektórych systemów komunikujących się bezpośrednio z człowiekiem oraz narzędzi generujących lub modyfikujących treści.
W zależności od rodzaju rozwiązania konieczne może być poinformowanie użytkownika, że kontaktuje się z systemem AI. W określonych sytuacjach wymagane może być również oznaczanie treści jako sztucznie wygenerowanych lub zmanipulowanych.
Praktyczne znaczenie może mieć to między innymi w przypadku chatbotów, syntetycznych nagrań audio i wideo oraz tzw. deepfake’ów.
Pozostałe systemy AI
Wiele narzędzi będzie zaliczanych do kategorii ograniczonego lub minimalnego ryzyka. Mogą to być przykładowo rozwiązania wspierające redakcję tekstów, tłumaczenie dokumentów, analizę danych lub organizację pracy.
Takie systemy co do zasady nie podlegają pełnemu reżimowi właściwemu dla systemów wysokiego ryzyka. Nie oznacza to jednak, że sposób ich używania pozostaje całkowicie poza prawem.
Nadal mogą mieć zastosowanie przepisy dotyczące ochrony danych osobowych, prawa pracy, ochrony konsumentów, prawa autorskiego oraz tajemnicy przedsiębiorstwa.
Czy AI Act dotyczy firmy korzystającej z ChatGPT?
Tak, AI Act może mieć znaczenie także dla firmy korzystającej z ChatGPT lub podobnego narzędzia. Samo używanie generatywnej AI nie oznacza jednak automatycznie podlegania wszystkim wymaganiom przewidzianym dla systemów wysokiego ryzyka.
Ocena powinna uwzględniać przede wszystkim:
- cel wykorzystywania narzędzia;
- rodzaj wprowadzanych informacji;
- sposób używania wygenerowanych odpowiedzi;
- wpływ wyników działania AI na klientów, kandydatów lub pracowników;
- zakres kontroli sprawowanej przez człowieka.
Firma powinna określić, jakie dane i dokumenty mogą być wprowadzane do zewnętrznych systemów AI. Szczególną ostrożność należy zachować w przypadku danych osobowych, informacji poufnych, tajemnicy przedsiębiorstwa oraz dokumentów objętych obowiązkiem zachowania poufności.
Konieczne jest również weryfikowanie treści generowanych przez AI. Odpowiedzi systemu mogą być nieprawidłowe, nieaktualne lub niepełne, dlatego nie powinny być automatycznie wykorzystywane do podejmowania istotnych decyzji.
Osoby korzystające z narzędzi powinny mieć odpowiednie kompetencje pozwalające rozumieć ich możliwości, ograniczenia oraz ryzyka.
Nie wszystkie związane z tym obowiązki wynikają bezpośrednio z AI Act. Równolegle mogą mieć zastosowanie RODO, prawo pracy, prawo konsumenckie, prawo autorskie oraz przepisy dotyczące ochrony tajemnicy przedsiębiorstwa.
Polska ustawa o systemach sztucznej inteligencji
Polska ustawa o systemach sztucznej inteligencji nie weszła jeszcze w życie.
Projekt ustawy został przedstawiony w druku sejmowym nr 2443. Sejm uchwalił ustawę 11 czerwca 2026 r., a Senat 25 czerwca 2026 r. przyjął do niej poprawki. Prace parlamentarne zakończyły się przyjęciem tekstu ustawy z 3 lipca 2026 r.
W chwili publikacji niniejszego artykułu ustawa nie została jednak podpisana przez Prezydenta ani ogłoszona w Dzienniku Ustaw. Oznacza to, że przewidziane w niej organy, procedury kontrolne i mechanizmy postępowania nie funkcjonują jeszcze na podstawie tej regulacji.
Polska ustawa nie ma zastąpić AI Act ani powtarzać jego przepisów. Jej zasadniczym celem jest stworzenie krajowego systemu nadzoru nad stosowaniem rozporządzenia.
Przyjęty przez parlament tekst przewiduje między innymi:
- powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji;
- wyznaczenie organu nadzoru rynku;
- utworzenie pojedynczego punktu kontaktowego;
- określenie zasad prowadzenia kontroli;
- uregulowanie postępowań administracyjnych;
- ustalenie zasad nakładania administracyjnych kar pieniężnych;
- określenie współpracy z organami unijnymi;
- wprowadzenie mechanizmów wspierania innowacji.
Dopóki ustawa nie zostanie podpisana, ogłoszona i nie wejdzie w życie, rozwiązania te należy przedstawiać jako element przyjętej regulacji oczekującej na zakończenie procesu ustawodawczego, a nie jako działający już system nadzoru.
Co AI Act oznacza dla przedsiębiorców?
Pierwszym krokiem nie powinno być przygotowywanie rozbudowanej dokumentacji, lecz ustalenie, w jaki sposób firma rzeczywiście korzysta ze sztucznej inteligencji.
Przedsiębiorca powinien w szczególności:
- zinwentaryzować narzędzia używane przez pracowników i współpracowników;
- określić cele ich wykorzystywania;
- ustalić, jakie informacje są wprowadzane do poszczególnych systemów;
- określić rolę firmy na gruncie AI Act;
- przeprowadzić wstępną klasyfikację ryzyka;
- sprawdzić zasady przetwarzania danych osobowych;
- określić reguły wprowadzania informacji poufnych;
- zapewnić odpowiednie kompetencje personelu;
- ustalić zasady weryfikowania wyników generowanych przez AI;
- określić przypadki wymagające zatwierdzenia wyniku przez człowieka;
- przygotować podstawową politykę lub procedurę korzystania z AI.
Jednym z podstawowych źródeł ryzyka może być brak wiedzy o narzędziach używanych samodzielnie przez pracowników. Zjawisko to bywa określane jako shadow AI i może prowadzić do niekontrolowanego przekazywania danych, korzystania z niesprawdzonych aplikacji oraz podejmowania decyzji na podstawie niewiarygodnych wyników.
Dopiero rzetelna inwentaryzacja pozwala ocenić, czy potrzebne są dodatkowe szkolenia, zmiany umów z dostawcami, ograniczenia w korzystaniu z określonych funkcji albo procedury właściwe dla systemów wysokiego ryzyka.
AI Act – podsumowanie
AI Act jest już częścią obowiązującego porządku prawnego, jednak jego przepisy są stosowane etapami. Nie każda firma podlega takim samym obowiązkom. Ich zakres zależy od roli przedsiębiorcy, rodzaju systemu, sposobu jego wykorzystywania oraz potencjalnego wpływu działania AI na pracowników, klientów i inne osoby.
Pierwszym zadaniem przedsiębiorcy powinno być ustalenie, gdzie i w jakim celu w organizacji wykorzystywana jest sztuczna inteligencja. Dopiero na tej podstawie można prawidłowo ocenić ryzyko oraz zaplanować adekwatne działania.
Przepisów dotyczących AI nie należy ograniczać wyłącznie do firm technologicznych. AI Act może mieć znaczenie również dla przedsiębiorcy korzystającego z gotowego chatbota, narzędzia marketingowego, systemu rekrutacyjnego lub generatywnej sztucznej inteligencji.
Wsparcie prawne w zakresie AI Act
Kancelaria Prawna Krysztoforski wspiera firmy w ocenie, czy i w jakim zakresie wykorzystywane przez nie narzędzia podlegają przepisom AI Act. W ramach bieżącej obsługi przedsiębiorców pomagamy na bieżąco identyfikować zmiany prawne, oceniać ryzyka związane z wykorzystaniem sztucznej inteligencji oraz dostosowywać sposób działania firmy do nowych obowiązków.
Przygotowujemy również umowy i dokumenty gospodarcze, w tym polityki korzystania z AI, procedury wewnętrzne, zasady wprowadzania danych do systemów oraz dokumentację określającą odpowiedzialność pracowników i współpracowników za korzystanie z narzędzi sztucznej inteligencji.
Szczególne znaczenie AI Act może mieć w branży e-commerce, gdzie sztuczna inteligencja jest wykorzystywana m.in. w chatbotach, systemach rekomendacyjnych, personalizacji ofert, automatyzacji marketingu oraz analizie zachowań klientów.
Zapraszamy do kontaktu w celu ustalenia, jakie działania będą odpowiednie dla Państwa firmy.