AI Act – jakie obowiązki ma firma korzystająca ze sztucznej inteligencji?

Sztuczna inteligencja jest już wykorzystywana nie tylko przez przedsiębiorstwa technologiczne. Z narzędzi AI korzystają dziś kancelarie prawne, biura rachunkowe, sklepy internetowe, agencje marketingowe, działy HR, firmy produkcyjne, banki, ubezpieczyciele, podmioty medyczne, szkoły oraz przedsiębiorcy prowadzący jednoosobową działalność gospodarczą. Systemy AI pomagają tworzyć treści, analizować dokumenty, obsługiwać klientów, wybierać kandydatów do pracy, prognozować sprzedaż, wykrywać nadużycia i automatyzować procesy wewnętrzne.

Rozpowszechnienie takich narzędzi oznacza jednak, że coraz większa liczba przedsiębiorców podlega unijnemu rozporządzeniu w sprawie sztucznej inteligencji, określanemu jako AI Act. Nie jest to regulacja skierowana wyłącznie do twórców dużych modeli językowych albo producentów zaawansowanego oprogramowania. Obowiązki mogą dotyczyć również zwykłej firmy, która korzysta z gotowego systemu AI udostępnionego przez zewnętrznego dostawcę.

Zakres odpowiedzialności zależy przede wszystkim od tego, jaką rolę firma pełni w łańcuchu dostaw AI, do czego wykorzystuje system oraz jakie ryzyko wiąże się z jego zastosowaniem. Inne obowiązki będzie miał przedsiębiorca używający generatora tekstu do przygotowania szkicu wpisu na blog, inne firma wdrażająca chatbota do kontaktu z klientami, a jeszcze inne pracodawca korzystający z algorytmu do oceny kandydatów.

AI Act opiera się bowiem na podejściu opartym na ryzyku. Im większy potencjalny wpływ systemu na bezpieczeństwo, prawa człowieka, zatrudnienie, dostęp do usług lub sytuację życiową danej osoby, tym bardziej rygorystyczne są wymagania. Rozporządzenie ustanawia zakazane praktyki, obowiązki przejrzystości, szczególne wymagania wobec systemów wysokiego ryzyka oraz odrębne zasady dotyczące modeli AI ogólnego przeznaczenia. (EUR-Lex)

Czym jest AI Act?

AI Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji. Rozporządzenie weszło w życie 1 sierpnia 2024 r., ale jego przepisy są stosowane etapami.

Celem regulacji jest wspieranie rozwoju i wykorzystywania bezpiecznych oraz godnych zaufania systemów AI, przy jednoczesnym zapewnieniu ochrony zdrowia, bezpieczeństwa i praw podstawowych. Jednocześnie przepisy mają stworzyć jednolite zasady dla przedsiębiorstw działających na rynku Unii Europejskiej. (EUR-Lex)

AI Act jest rozporządzeniem unijnym, a więc co do zasady nie wymaga wdrożenia do polskiego prawa w taki sposób jak dyrektywa. Jego przepisy obowiązują bezpośrednio, choć państwa członkowskie muszą między innymi wskazać właściwe organy nadzoru oraz ustanowić krajowe zasady egzekwowania niektórych obowiązków.

W lipcu 2026 r. opublikowane zostało dodatkowo rozporządzenie (UE) 2026/1744, nazywane Digital Omnibus on AI. Zmieniło ono między innymi harmonogram stosowania części przepisów, niektóre zasady dotyczące systemów wysokiego ryzyka, obowiązki przejrzystości oraz regulacje związane z kompetencjami w zakresie AI. Nowelizacja weszła w życie 27 lipca 2026 r. (EUR-Lex)

Czy AI Act dotyczy każdej firmy korzystającej z AI?

Nie każda firma korzystająca ze sztucznej inteligencji będzie miała taki sam zakres obowiązków. Nie oznacza to jednak, że małe przedsiębiorstwo może z góry uznać, że AI Act go nie dotyczy.

Rozporządzenie obejmuje kilka kategorii podmiotów. Najważniejsze z punktu widzenia przedsiębiorców są:

Dostawca systemu AI – podmiot, który opracowuje system AI lub zleca jego opracowanie, a następnie wprowadza go do obrotu albo oddaje do użytku pod własną nazwą lub znakiem towarowym.

Podmiot stosujący system AI, określany także jako deployer – osoba fizyczna lub prawna korzystająca z systemu AI w ramach działalności zawodowej lub gospodarczej.

Importer – podmiot mający siedzibę w Unii Europejskiej, który wprowadza na rynek unijny system AI oznaczony nazwą albo znakiem towarowym podmiotu spoza Unii.

Dystrybutor – podmiot uczestniczący w łańcuchu dostaw, inny niż dostawca lub importer, który udostępnia system AI na rynku unijnym.

Producent produktu – przedsiębiorca, który wprowadza system AI na rynek wraz ze swoim produktem albo pod własną nazwą lub marką.

W praktyce zdecydowana większość zwykłych firm będzie występować w charakterze podmiotów stosujących AI. Będzie tak przykładowo wtedy, gdy przedsiębiorca kupi dostęp do programu analizującego dokumenty, uruchomi chatbota na stronie internetowej, wykorzysta narzędzie AI do oceny CV albo wdroży automatyczny system do segmentacji klientów.

Rola firmy może się jednak zmienić. Przedsiębiorca, który istotnie zmodyfikuje gotowy system, zmieni jego przeznaczenie lub będzie oferować go klientom pod własną marką, może zostać uznany za dostawcę. W takim przypadku przejmie znacznie szerszy zakres obowiązków.

Dlatego pierwszym krokiem do zgodności z AI Act powinno być ustalenie nie tylko, z jakich narzędzi korzysta firma, ale również w jakiej roli prawnej występuje wobec każdego z nich.

Jak rozpoznać system sztucznej inteligencji?

Nie każdy program komputerowy jest systemem AI w rozumieniu rozporządzenia. AI Act definiuje system AI jako system maszynowy zaprojektowany do działania z różnym poziomem autonomii, który może wykazywać zdolność adaptacji po wdrożeniu i który na podstawie otrzymanych danych wejściowych wnioskuje, jak generować wyniki, takie jak prognozy, treści, zalecenia lub decyzje wpływające na środowisko fizyczne albo wirtualne. (EUR-Lex)

Do systemów AI mogą należeć między innymi:

1. generatory tekstu, obrazów, nagrań i filmów,
2. chatboty i voiceboty,
3. systemy rekomendacyjne,
4. oprogramowanie oceniające kandydatów do pracy,
5. systemy scoringowe,
6. narzędzia do rozpoznawania obrazu i głosu,
7. rozwiązania służące do wykrywania oszustw,
8. systemy prognozujące zachowanie klientów,
9. autonomiczne systemy podejmujące albo rekomendujące decyzje,
10. narzędzia analizujące dokumentację medyczną lub finansową.

Prosty kalkulator, klasyczny arkusz kalkulacyjny, system oparty wyłącznie na sztywnych regułach albo zwykły formularz internetowy nie muszą być systemami AI. Granica nie zawsze jest jednak oczywista. W razie wątpliwości należy przeanalizować dokumentację techniczną dostawcy, opis działania programu oraz sposób, w jaki system tworzy swoje wyniki.

Kategorie ryzyka w AI Act

AI Act jest często przedstawiany jako regulacja dzieląca systemy AI na cztery poziomy ryzyka: niedopuszczalne, wysokie, ograniczone i minimalne. Jest to użyteczne uproszczenie, choć rzeczywista konstrukcja rozporządzenia jest bardziej złożona.

Z perspektywy firmy najważniejsze jest ustalenie, czy:

1. sposób korzystania z AI stanowi praktykę zakazaną,
2. system należy do kategorii wysokiego ryzyka,
3. wobec systemu mają zastosowanie szczególne obowiązki przejrzystości,
4. firma jest dostawcą modelu AI ogólnego przeznaczenia,
5. system nie należy do powyższych kategorii, ale nadal podlega innym przepisom, takim jak RODO, prawo pracy, prawo konsumenckie lub przepisy dotyczące poufności.

Zakwalifikowanie systemu do kategorii niższego ryzyka nie oznacza zatem całkowitego braku odpowiedzialności.

Zakazane praktyki AI

Od 2 lutego 2025 r. obowiązują przepisy dotyczące zakazanych praktyk AI. Obejmują one zastosowania uznane za szczególnie niebezpieczne dla praw i wolności człowieka.

Zakazane może być między innymi stosowanie technik podprogowych, manipulacyjnych lub wprowadzających w błąd, jeżeli mają one istotnie zniekształcać zachowanie człowieka i powodować lub z dużym prawdopodobieństwem mogą powodować poważną szkodę.

Zakaz obejmuje również wykorzystywanie podatności osób wynikającej na przykład z wieku, niepełnosprawności albo szczególnej sytuacji społecznej lub ekonomicznej, jeżeli system ma wpływać na zachowanie takich osób w sposób mogący prowadzić do poważnej szkody.

Co do zasady niedopuszczalne jest także stosowanie systemów służących do tworzenia ocen społecznych osób, gdy ocena prowadzi do niekorzystnego lub nieproporcjonalnego traktowania w niezwiązanym kontekście.

Szczególne ograniczenia dotyczą systemów przewidujących ryzyko popełnienia przestępstwa wyłącznie na podstawie profilowania lub cech osobowości, tworzenia baz danych rozpoznawania twarzy przez nieukierunkowane pobieranie zdjęć z internetu lub monitoringu, wnioskowania o emocjach w miejscu pracy i placówkach edukacyjnych oraz kategoryzacji biometrycznej według określonych cech wrażliwych.

Digital Omnibus on AI rozszerzył ponadto katalog zakazanych praktyk o określone zastosowania służące generowaniu lub manipulowaniu niekonsensualnymi materiałami intymnymi oraz materiałami przedstawiającymi seksualne wykorzystywanie dzieci. (EUR-Lex)

Dla przeciętnego przedsiębiorcy szczególnie istotny jest zakaz rozpoznawania emocji pracowników. Firma nie powinna wdrażać systemu, który na podstawie obrazu twarzy, tonu głosu albo zachowania próbuje określać emocje pracownika, na przykład podczas rekrutacji, rozmowy oceniającej lub wykonywania obowiązków. Wyjątki mogą dotyczyć zastosowań uzasadnionych względami medycznymi lub bezpieczeństwa, ale powinny być interpretowane ostrożnie.

Kompetencje pracowników w zakresie AI

Jednym z najbardziej powszechnych obowiązków jest obowiązek podejmowania działań dotyczących kompetencji w zakresie AI, określanych w rozporządzeniu jako AI literacy.

Obowiązek ten dotyczy zarówno dostawców, jak i podmiotów stosujących systemy AI. Firma powinna podjąć odpowiednie działania wobec pracowników oraz innych osób, które w jej imieniu obsługują lub wykorzystują systemy AI.

Po zmianach wprowadzonych w lipcu 2026 r. obowiązek nadal istnieje, ale regulacja nie wymaga zagwarantowania każdemu pracownikowi konkretnego, jednolitego poziomu wiedzy. Zakres działań powinien być dostosowany do roli danej osoby, rodzaju systemu, kontekstu jego używania oraz ryzyka dla osób, których system dotyczy. (EUR-Lex)

Nie musi to oznaczać konieczności organizowania wielodniowego szkolenia dla całej załogi. Firma powinna jednak być w stanie wykazać, że osoby korzystające z AI rozumieją przynajmniej:

1. do czego wolno używać danego narzędzia,
2. jakich informacji nie należy do niego wprowadzać,
3. że wynik AI może być błędny lub niepełny,
4. kiedy konieczna jest kontrola człowieka,
5. jakie ryzyko wiąże się z automatycznym podejmowaniem decyzji,
6. jak reagować na incydenty,
7. komu zgłaszać nieprawidłowości,
8. jakie ograniczenia wynikają z RODO, tajemnicy przedsiębiorstwa oraz poufności.

Szkolenie osoby korzystającej z generatora tekstu w marketingu może mieć inny zakres niż szkolenie rekrutera używającego systemu do preselekcji kandydatów. W drugim przypadku pracownik powinien rozumieć również ryzyko dyskryminacji, znaczenie jakości danych oraz konieczność realnego nadzoru nad rekomendacją systemu.

Dobrą praktyką jest dokumentowanie przeprowadzonych działań. Firma może zachować program szkolenia, listę uczestników, materiały wewnętrzne, potwierdzenia zapoznania się z polityką AI oraz informacje o dodatkowych instrukcjach przekazywanych osobom pełniącym szczególne funkcje.

Czy firma powinna prowadzić rejestr systemów AI?

AI Act nie nakłada na każdą firmę ogólnego obowiązku prowadzenia wewnętrznego rejestru wszystkich narzędzi AI. W praktyce stworzenie takiego rejestru jest jednak jednym z najważniejszych elementów przygotowania przedsiębiorstwa do zgodności.

Bez inwentaryzacji firma często nie wie, że pracownicy korzystają z zewnętrznych narzędzi, instalują dodatki do przeglądarki, przesyłają dokumenty do publicznych chatbotów albo wykorzystują niezatwierdzone generatory obrazów. Zjawisko to określa się niekiedy jako shadow AI.

Wewnętrzny rejestr powinien obejmować co najmniej:

1. nazwę systemu i jego dostawcę,
2. dział lub osoby korzystające z narzędzia,
3. cel używania,
4. rodzaje wprowadzanych danych,
5. kategorie osób, których system dotyczy,
6. informację o przetwarzaniu danych osobowych,
7. ocenę kategorii ryzyka,
8. rolę firmy w rozumieniu AI Act,
9. sposób nadzoru człowieka,
10. okres przechowywania danych,
11. zastosowane zabezpieczenia,
12. osobę odpowiedzialną za system,
13. datę ostatniego przeglądu.

Rejestr pozwala wykryć zastosowania zabronione, systemy wysokiego ryzyka, przypadki wymagające poinformowania użytkownika oraz narzędzia używane bez odpowiedniej podstawy umownej.

Wewnętrzna polityka korzystania z AI

W wielu firmach niezbędne będzie opracowanie polityki korzystania z AI. Dokument powinien odpowiadać rzeczywistym procesom przedsiębiorstwa, a nie stanowić jedynie ogólnej deklaracji, że firma używa sztucznej inteligencji odpowiedzialnie.

Polityka może określać:

1. które narzędzia są zatwierdzone,
2. kto może wdrożyć nowe rozwiązanie,
3. jakie dane można wprowadzać do systemów,
4. kiedy konieczna jest anonimizacja lub pseudonimizacja,
5. kto odpowiada za weryfikację wyniku,
6. w jakich procesach nie wolno korzystać z AI,
7. jakie treści muszą być oznaczane,
8. jak zgłaszać błędy i incydenty,
9. jak dokumentować decyzje wspierane przez AI,
10. jakie zasady obowiązują przy zakupie systemu,
11. jak często przeprowadza się przegląd narzędzi.

Szczególnej ochrony wymagają dane osobowe, informacje objęte tajemnicą zawodową, dane klientów, dokumentacja medyczna, informacje finansowe, hasła, klucze API, kod źródłowy oraz tajemnice przedsiębiorstwa.

Pracownik nie powinien przesyłać takich informacji do publicznego systemu AI tylko dlatego, że narzędzie jest łatwo dostępne. Przedsiębiorca powinien ustalić, czy dostawca wykorzystuje dane do trenowania modelu, gdzie dane są przechowywane, czy można wyłączyć ich dalsze używanie oraz jakie warunki wynikają z umowy i polityki prywatności.

AI Act a RODO

AI Act nie zastępuje RODO. Jeżeli system AI przetwarza dane osobowe, firma musi przestrzegać obu regulacji.

W praktyce zgodność z AI Act nie oznacza automatycznie zgodności z przepisami o ochronie danych. Szczególnie istotny jest art. 22 RODO, który przyznaje osobie prawo do tego, by co do zasady nie podlegała decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli decyzja wywołuje wobec niej skutki prawne lub w podobny sposób istotnie na nią wpływa.

Nie wystarczy zatem formalne wskazanie, że ostateczną decyzję podejmuje pracownik. Nadzór człowieka powinien być rzeczywisty. Osoba podejmująca decyzję musi mieć możliwość zrozumienia rekomendacji, jej zakwestionowania i podjęcia rozstrzygnięcia odmiennego od wyniku systemu.

Systemy AI wysokiego ryzyka

Najbardziej rozbudowane obowiązki dotyczą systemów wysokiego ryzyka. Do tej kategorii mogą należeć systemy będące elementami bezpieczeństwa produktów objętych określonymi przepisami unijnymi oraz systemy używane w szczególnie wrażliwych obszarach wymienionych w załączniku III do AI Act.

W działalności przedsiębiorstw szczególne znaczenie mają systemy wykorzystywane w zatrudnieniu i zarządzaniu pracownikami. System wysokiego ryzyka może służyć między innymi do: rekrutacji i wyboru kandydatów, filtrowania podań o pracę, oceny kandydatów, podejmowania decyzji o warunkach zatrudnienia, przydzielania zadań na podstawie zachowania lub cech pracownika, monitorowania i oceny wyników pracy lub podejmowania decyzji o awansie lub rozwiązaniu stosunku pracy.

Systemami wysokiego ryzyka mogą być również określone rozwiązania używane w edukacji, usługach finansowych, ubezpieczeniach, dostępie do podstawowych usług, biometrii, infrastrukturze krytycznej, ochronie zdrowia lub wymiarze sprawiedliwości.

Nie każdy system wykorzystywany w jednym z tych obszarów automatycznie będzie systemem wysokiego ryzyka. Znaczenie ma jego funkcja, przeznaczenie i wpływ na proces decyzyjny. System wykonujący wąskie zadanie proceduralne albo przygotowawcze może w niektórych przypadkach nie zostać zakwalifikowany jako wysokiego ryzyka, jeżeli nie wpływa istotnie na wynik podejmowanej decyzji. Ocena wymaga jednak analizy konkretnego zastosowania.

Po zmianach przyjętych w 2026 r. termin rozpoczęcia stosowania zasad dotyczących samodzielnych systemów wysokiego ryzyka wymienionych w załączniku III został przesunięty najpóźniej do 2 grudnia 2027 r. Dla systemów wysokiego ryzyka stanowiących element produktów objętych załącznikiem I termin przypada najpóźniej na 2 sierpnia 2028 r. (EUR-Lex)

Przesunięcie terminów nie powinno być jednak traktowane jako uzasadnienie dla odłożenia przygotowań. Wdrożenie wymaganych procesów, uzyskanie dokumentacji od dostawców i uporządkowanie danych może wymagać wielu miesięcy.

Obowiązki dostawcy systemu wysokiego ryzyka

Firma będąca dostawcą systemu wysokiego ryzyka ma znacznie szersze obowiązki niż zwykły użytkownik. Powinna między innymi zapewnić:

1. system zarządzania ryzykiem,
2. właściwe zarządzanie danymi i jakością zbiorów danych,
3. dokumentację techniczną,
4. automatyczne rejestrowanie zdarzeń,
5. instrukcje i informacje dla podmiotu stosującego,
6. odpowiedni nadzór człowieka,
7. dokładność, odporność i cyberbezpieczeństwo,
8. system zarządzania jakością,
9. ocenę zgodności,
10. rejestrację systemu, jeśli jest wymagana,
11. monitorowanie po wprowadzeniu do obrotu,
12. zgłaszanie poważnych incydentów.

Dostawca powinien wykazać zgodność systemu przed wprowadzeniem go na rynek lub oddaniem do użytku. W zależności od rodzaju rozwiązania ocena zgodności może mieć charakter wewnętrzny albo wymagać udziału jednostki notyfikowanej.

Firma, która kupiła gotowy system, może jednak sama zostać uznana za dostawcę, jeżeli umieści na nim własną nazwę lub znak towarowy, dokona istotnej modyfikacji albo zmieni jego przeznaczenie w taki sposób, że stanie się on systemem wysokiego ryzyka.

Obowiązki firmy stosującej system wysokiego ryzyka

Podmiot stosujący system wysokiego ryzyka również ma własne, niezależne obowiązki. Nie może ograniczyć się do założenia, że za zgodność odpowiada producent oprogramowania.

Firma powinna używać systemu zgodnie z instrukcjami dostawcy, zapewnić odpowiedni nadzór człowieka oraz kontrolować dane wejściowe, jeżeli pozostają pod jej kontrolą. Osoby nadzorujące system powinny posiadać odpowiednie kompetencje, uprawnienia i możliwość skutecznego reagowania.

Podmiot stosujący powinien również monitorować działanie systemu. Jeżeli stwierdzi, że używanie systemu może prowadzić do ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych, powinien poinformować dostawcę albo dystrybutora i zawiesić korzystanie z narzędzia, gdy jest to konieczne.

W określonych przypadkach należy przechowywać automatycznie generowane logi. Firma może być też zobowiązana do informowania pracowników i ich przedstawicieli o planowanym użyciu systemu wysokiego ryzyka w miejscu pracy.

Niektóre podmioty publiczne oraz prywatne świadczące usługi publiczne mogą być dodatkowo zobowiązane do przeprowadzenia oceny wpływu systemu na prawa podstawowe. Obowiązek może dotyczyć również podmiotów stosujących określone systemy wykorzystywane między innymi do oceny zdolności kredytowej lub ustalania ryzyka i cen w ubezpieczeniach na życie i ubezpieczeniach zdrowotnych.

Nadzór człowieka nad AI

Nadzór człowieka nie powinien być fikcją. Sam fakt, że pracownik może teoretycznie nacisnąć przycisk zatrzymania systemu, nie oznacza jeszcze, że firma prawidłowo realizuje obowiązek.

Osoba nadzorująca powinna w szczególności rozumieć możliwości i ograniczenia systemu, znać ryzyko automatycznego polegania na jego wynikach, prawidłowo interpretować rezultat, mieć dostęp do potrzebnych informacji, móc pominąć lub zmienić rekomendację, móc zatrzymać działanie systemu lub wiedzieć, kiedy przekazać sprawę do dodatkowej kontroli.

Problemem jest tak zwany automation bias, czyli skłonność do bezkrytycznego uznawania wyniku systemu za prawidłowy tylko dlatego, że został wygenerowany automatycznie. Pracownik może wówczas formalnie zatwierdzać kolejne decyzje bez rzeczywistej analizy.

Firma powinna zatem zaprojektować proces w taki sposób, aby człowiek posiadał odpowiedni czas, informacje oraz kompetencje do weryfikacji wyniku.

Chatboty i obowiązek informowania użytkownika

AI Act ustanawia szczególne obowiązki przejrzystości wobec systemów wchodzących w bezpośrednią interakcję z człowiekiem.

Osoba korzystająca z chatbota lub voicebota powinna zostać poinformowana, że ma kontakt z systemem AI, chyba że z okoliczności jest to oczywiste dla przeciętnej, dostatecznie poinformowanej i uważnej osoby.

Informacja powinna być przekazana najpóźniej przy pierwszej interakcji. Powinna być jasna, łatwo dostępna i zrozumiała.

W praktyce firma wdrażająca chatbota na stronie internetowej może zastosować komunikat, na przykład:

„Rozmawiasz z asystentem wykorzystującym sztuczną inteligencję. Odpowiedzi mogą wymagać weryfikacji przez pracownika.”

Sam komunikat nie rozwiązuje jednak wszystkich problemów. Firma powinna również ustalić:

1. czy chatbot zbiera dane osobowe,
2. jak długo przechowuje historię rozmowy,
3. czy rozmowy są używane do trenowania systemu,
4. kiedy sprawa jest przekazywana człowiekowi,
5. jak zapobiegać udzielaniu błędnych lub niedozwolonych informacji,
6. czy system może składać wiążące oświadczenia w imieniu przedsiębiorcy.

Obowiązki przejrzystości wynikające z art. 50 AI Act co do zasady zaczynają być stosowane od 2 sierpnia 2026 r. (Strategia cyfrowa Europy)

Oznaczanie treści wygenerowanych przez AI

Dostawcy systemów generujących syntetyczne treści audio, obrazy, filmy lub tekst powinni zapewnić, aby wyniki były oznaczane w formacie nadającym się do odczytu maszynowego i możliwe do wykrycia jako sztucznie wygenerowane lub zmanipulowane.

W przypadku systemów wprowadzonych na rynek przed 2 sierpnia 2026 r. Digital Omnibus przewidział okres przejściowy do 2 grudnia 2026 r. na dostosowanie się do obowiązku technicznego oznaczania treści. (EUR-Lex)

Odrębne obowiązki dotyczą firmy publikującej lub rozpowszechniającej określone materiały.

Jeżeli przedsiębiorca wykorzystuje deepfake, czyli treść audio, obraz lub wideo przypominające istniejące osoby, obiekty, miejsca lub zdarzenia i mogące błędnie sugerować autentyczność materiału, powinien ujawnić, że treść została sztucznie wygenerowana lub zmanipulowana.

Obowiązek może dotyczyć również tekstów wygenerowanych lub zmanipulowanych przez AI, publikowanych w celu informowania społeczeństwa o sprawach interesu publicznego. Rozporządzenie przewiduje jednak wyjątek, gdy tekst został poddany kontroli człowieka lub redakcji, a odpowiedzialność redakcyjną za publikację ponosi osoba fizyczna albo prawna.

Nie oznacza to, że każda treść marketingowa przygotowana przy pomocy AI musi być zawsze oznaczana widocznym dopiskiem. Konieczna jest ocena charakteru materiału, sposobu jego wykorzystania i tego, czy może on wprowadzać odbiorcę w błąd co do autentyczności.

AI w rekrutacji i zarządzaniu pracownikami

Zastosowania HR należą do najbardziej ryzykownych obszarów wykorzystywania sztucznej inteligencji.

System może automatycznie analizować CV, oceniać nagrania rozmów, klasyfikować kandydatów, przewidywać rotację pracowników, oceniać efektywność albo rekomendować zwolnienia. Takie narzędzia mogą utrwalać uprzedzenia wynikające z danych historycznych i prowadzić do dyskryminacji.

Szczególnie problematyczne mogą być systemy analizujące mimikę twarzy, głos lub rzekome cechy osobowości. Rozpoznawanie emocji w miejscu pracy jest co do zasady zakazane, poza ograniczonymi przypadkami związanymi z bezpieczeństwem lub względami medycznymi.

Wdrożenie systemu HR może również wymagać konsultacji z przedstawicielami pracowników, aktualizacji obowiązków informacyjnych oraz przeprowadzenia oceny skutków dla ochrony danych.

Korzystanie z generatywnej AI przez pracowników

Samo korzystanie przez pracowników z narzędzi takich jak generatory tekstu, obrazów lub kodu zwykle nie oznacza, że firma używa systemu wysokiego ryzyka. Nie oznacza to jednak braku zagrożeń prawnych.

Firma powinna określić, w jakich zadaniach generatywna AI może być stosowana oraz jakie wyniki wymagają dodatkowej weryfikacji.Przykładowo szkic wewnętrznej wiadomości może wymagać jedynie sprawdzenia treści przez autora. Projekt opinii prawnej, analiza medyczna, rekomendacja finansowa, dokumentacja techniczna albo odpowiedź składana klientowi powinny podlegać bardziej rygorystycznej kontroli specjalisty.

Modele AI ogólnego przeznaczenia

Odrębną kategorią są modele AI ogólnego przeznaczenia, czyli modele zdolne do wykonywania szerokiego zakresu różnych zadań i mogące stanowić podstawę wielu systemów.

Obowiązki dotyczą przede wszystkim dostawców takich modeli. Powinni oni między innymi przygotowywać dokumentację techniczną, przekazywać informacje dostawcom integrującym model z własnymi systemami, wdrożyć politykę przestrzegania prawa autorskiego oraz publikować odpowiednio szczegółowe podsumowanie treści wykorzystanych do trenowania modelu.

Wobec modeli o ryzyku systemowym obowiązują dodatkowe wymagania dotyczące oceny ryzyka, testowania, zgłaszania poważnych incydentów oraz cyberbezpieczeństwa. Zasady dotyczące modeli ogólnego przeznaczenia zaczęły być stosowane 2 sierpnia 2025 r. (EUR-Lex)

Firma korzystająca z gotowego modelu za pośrednictwem zewnętrznej usługi zwykle nie staje się przez to jego dostawcą. Sytuacja może się jednak zmienić, jeżeli przedsiębiorca rozwija model, wprowadza go pod własną marką albo integruje go z własnym produktem i oferuje klientom jako odrębny system AI.

Kary za naruszenie AI Act

AI Act przewiduje wysokie administracyjne kary pieniężne.

Najwyższe kary mogą dotyczyć naruszenia zakazu określonych praktyk AI. Górna granica wynosi co do zasady 35 mln euro albo 7% całkowitego światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego, w zależności od tego, która wartość jest wyższa.

Za naruszenie innych obowiązków rozporządzenia kara może wynosić do 15 mln euro albo 3% całkowitego światowego rocznego obrotu.

Za przekazanie nieprawidłowych, niepełnych lub wprowadzających w błąd informacji właściwym organom kara może wynosić do 7,5 mln euro albo 1% obrotu.

Wobec MŚP, w tym start-upów, stosuje się co do zasady niższą z odpowiednich wartości procentowych i kwotowych. Przy ustalaniu kary organ powinien uwzględnić między innymi charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, działania naprawcze, współpracę z organem oraz sytuację przedsiębiorstwa. (AI Act Service Desk)

Sankcja finansowa nie jest jedynym ryzykiem. Firma może również ponosić odpowiedzialność na podstawie RODO, prawa pracy, prawa cywilnego, prawa konsumenckiego, przepisów o zwalczaniu nieuczciwej konkurencji oraz regulacji sektorowych.

Naruszenie może prowadzić do zakazu używania systemu, konieczności wycofania produktu, sporów z klientami, roszczeń pracowników, utraty kontraktu albo szkody reputacyjnej.

Harmonogram stosowania AI Act po zmianach z 2026 r.

Najważniejsze daty przedstawiają się następująco:

1 sierpnia 2024 r. – wejście AI Act w życie.

2 lutego 2025 r. – rozpoczęcie stosowania przepisów dotyczących zakazanych praktyk oraz kompetencji w zakresie AI.

2 sierpnia 2025 r. – rozpoczęcie stosowania regulacji dotyczących między innymi modeli AI ogólnego przeznaczenia i części przepisów dotyczących zarządzania.

2 sierpnia 2026 r. – rozpoczęcie stosowania zasadniczej części pozostałych przepisów, w tym wielu obowiązków przejrzystości.

2 grudnia 2026 r. – termin dostosowania określonych systemów generatywnych wprowadzonych na rynek przed 2 sierpnia 2026 r. do technicznych obowiązków oznaczania treści.

2 grudnia 2027 r. – najpóźniejszy termin stosowania wymagań wobec samodzielnych systemów wysokiego ryzyka wymienionych w załączniku III.

2 sierpnia 2028 r. – najpóźniejszy termin stosowania wymagań wobec systemów wysokiego ryzyka związanych z produktami objętymi załącznikiem I.

Harmonogram został częściowo zmieniony przez Digital Omnibus on AI. Dlatego starsze opracowania wskazujące, że wszystkie zasady dotyczące systemów wysokiego ryzyka zaczynają obowiązywać 2 sierpnia 2026 r., mogą być już nieaktualne. (EUR-Lex)

Podsumowanie

AI Act nie wprowadza jednego zestawu obowiązków identycznego dla wszystkich przedsiębiorców. Zakres wymagań zależy od roli firmy, rodzaju systemu, sposobu używania i potencjalnego ryzyka.

Szczególnej uwagi wymagają systemy stosowane w rekrutacji, zarządzaniu pracownikami, ochronie zdrowia, finansach, ubezpieczeniach, edukacji, biometrii i dostępie do podstawowych usług.

Przedsiębiorca nie powinien zakładać, że odpowiedzialność spoczywa wyłącznie na producencie oprogramowania. Podmiot wykorzystujący system we własnej działalności ma własne obowiązki i odpowiada za sposób, w jaki używa wyników AI.

Ze względu na zmianę harmonogramu i części przepisów dokonaną w lipcu 2026 r. warto również zweryfikować wcześniejsze analizy oraz dokumenty wdrożeniowe. Materiały przygotowane przed wejściem w życie Digital Omnibus on AI mogą zawierać nieaktualne terminy stosowania regulacji.