AI Act od 2 sierpnia 2026 r. – nowe obowiązki wynikające z unijnych przepisów o sztucznej inteligencji

2 sierpnia 2026 r. wyznacza kolejny etap stosowania AI Act. Zgodnie z art. 113 rozporządzenia, od tego dnia zaczynają obowiązywać kolejne przepisy, co oznacza dla podmiotów objętych rozporządzeniem konieczność dostosowania się do nowych wymagań.

AI Act jest pierwszym kompleksowym aktem prawnym regulującym kwestie związane ze sztuczną inteligencją. Jego celem jest ustanowienie jednolitych ram prawnych dotyczących opracowywania, wprowadzania do obrotu, oddawania do użytku oraz wykorzystywania systemów AI na terenie Unii Europejskiej. Rozporządzenie weszło w życie w 2024 r., jednak stosowanie poszczególnych jego przepisów odbywa się zgodnie z harmonogramem określonym w AI Act.

Obowiązki w zakresie przejrzystości

Do przepisów AI Act, które znajdują zastosowanie na tym etapie, należą obowiązki w zakresie przejrzystości określone w art. 50 rozporządzenia. Ich celem jest zapewnienie, aby osoby korzystające z systemów sztucznej inteligencji lub mające styczność z treściami wygenerowanymi przez AI były odpowiednio informowane o tym, że wchodzą w interakcję z takim systemem lub materiałem. Dzięki temu użytkownicy mogą podejmować świadome decyzje oraz właściwie oceniać wiarygodność otrzymywanych informacji.

W praktyce obowiązki te obejmują m.in.:

• informowanie użytkowników, że wchodzą w interakcję z systemem AI (np. chatbotem), chyba że wynika to w sposób oczywisty z okoliczności,
• oznaczanie treści wygenerowanych lub zmanipulowanych przez sztuczną inteligencję, w szczególności obrazów, nagrań audio, materiałów wideo oraz tzw. deepfake, w przypadkach przewidzianych przez AI Act,
• ujawnianie wykorzystania systemów rozpoznawania emocji lub kategoryzacji biometrycznej, jeżeli są one stosowane wobec osób fizycznych,
• informowanie o wykorzystaniu AI do generowania lub modyfikowania treści publikowanych w interesie publicznym, chyba że treść została poddana weryfikacji przez człowieka lub kontroli redakcyjnej i gdy za publikację treści odpowiedzialność redakcyjną ponosi osoba fizyczna lub prawna.

Informacje przekazywane użytkownikom powinny być jasne, zrozumiałe i przekazane najpóźniej w momencie pierwszej interakcji z systemem AI, z uwzględnieniem wymogów dostępności dla wszystkich użytkowników.

Dokumentacja i zarządzanie AI w organizacji

Zapewnienie zgodności z AI Act wymaga odpowiedniego zorganizowania procesu zarządzania sztuczną inteligencją. W praktyce rekomendowane jest wdrożenie wewnętrznych zasad i procedur, określenie zakresu odpowiedzialności oraz prowadzenie dokumentacji potwierdzającej zgodność z wymaganiami rozporządzenia. Zarządzanie AI powinno stanowić element szerszego systemu compliance i zarządzania ryzykiem w organizacji, a nie ograniczać się wyłącznie do obszaru IT.

W praktyce warto zadbać w szczególności o:

• prowadzenie rejestru wykorzystywanych systemów AI,
• opracowanie polityki korzystania ze sztucznej inteligencji oraz wdrożenie odpowiednich procedur wewnętrznych,
• dokumentowanie ocen ryzyka oraz działań podejmowanych w celu zapewnienia zgodności z wymaganiami AI Act,
• wyznaczenie osób odpowiedzialnych za nadzór nad wykorzystywaniem AI,
• uwzględnienie zarządzania AI w procesach compliance, zarządzania ryzykiem, ochrony danych osobowych oraz cyberbezpieczeństwa,
• rozwijanie kompetencji pracowników poprzez szkolenia i działania podnoszące świadomość w zakresie bezpiecznego, odpowiedzialnego i zgodnego z prawem wykorzystywania sztucznej inteligencji.

Kogo dotyczą nowe przepisy?

AI Act ma zastosowanie do szerokiego grona podmiotów uczestniczących w opracowywaniu, wprowadzaniu do obrotu, oddawaniu do użytku oraz wykorzystywaniu systemów sztucznej inteligencji. Obowiązki wynikające z rozporządzenia obejmują w szczególności dostawców systemów AI oraz podmioty stosujące takie systemy, na których spoczywa obowiązek realizacji wymogów dotyczących przejrzystości. W zależności od pełnionej roli przepisy AI Act mogą mieć również zastosowanie do importerów, dystrybutorów, producentów oraz upoważnionych przedstawicieli dostawców spoza Unii Europejskiej.

Przepisy AI Act mają zastosowanie zarówno do podmiotów z sektora prywatnego, jak i publicznego, dlatego będą miały znaczenie dla organizacji działających w niemal każdej branży – od administracji publicznej, ochrony zdrowia i edukacji po finanse, przemysł, handel, transport i usługi.

Zakres obowiązków nie jest jednakowy dla wszystkich podmiotów. Zależy przede wszystkim od roli danego podmiotu w odniesieniu do systemu AI oraz od poziomu ryzyka przypisanego do tego systemu zgodnie z AI Act. Z tego względu każda organizacja powinna przeanalizować, czy i w jakim zakresie podlega przepisom rozporządzenia oraz jakie obowiązki będą miały do niej zastosowanie.

Kary za naruszenie AI Act

Naruszenie obowiązków wynikających z AI Act może wiązać się z nałożeniem dotkliwych administracyjnych kar pieniężnych. Ich wysokość zależy od rodzaju naruszenia oraz charakteru podmiotu, który dopuścił się naruszenia.

Zgodnie z AI Act kary mogą wynosić:

• do 35 000 000 euro lub – w przypadku przedsiębiorstwa – do 7% całkowitego rocznego światowego obrotu za stosowanie praktyk zakazanych w zakresie AI,
• do 15 000 000 euro lub – w przypadku przedsiębiorstwa – do 3% całkowitego rocznego światowego obrotu za naruszenie określonych obowiązków wynikających z rozporządzenia,
• do 7 500 000 euro lub – w przypadku przedsiębiorstwa – do 1% całkowitego rocznego światowego obrotu za przekazanie jednostkom notyfikowanym lub właściwym organom krajowym nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji w odpowiedzi na ich wniosek.

AI Act przewiduje, że nakładane kary powinny być skuteczne, proporcjonalne i odstraszające. Przy ustalaniu ich wysokości właściwy organ uwzględnia w szczególności charakter, wagę i czas trwania naruszenia oraz okoliczności danej sprawy.

Polska ustawa o systemach sztucznej inteligencji

Istotnym uzupełnieniem unijnego AI Act jest ustawa o systemach sztucznej inteligencji, która określa w szczególności organizację krajowego nadzoru nad stosowaniem AI Act oraz kompetencje właściwych organów odpowiedzialnych za egzekwowanie przepisów rozporządzenia. Ustawa została podpisana przez Prezydenta RP, co oznacza zakończenie krajowego procesu legislacyjnego.

Na etapie prac legislacyjnych do projektu ustawy wprowadzono szereg zmian mających na celu dopracowanie przyjętych rozwiązań oraz zwiększenie ich funkcjonalności. Do najważniejszych należą:

• korzystniejsze warunki dla uczestników piaskownic regulacyjnych, w tym możliwość korzystania ze wsparcia technologicznego,
• usprawnienie prac Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), m.in. poprzez przyspieszenie procedury wydawania opinii indywidualnych,
• rezygnacja z części uprawnień KRiBSI o charakterze nakazowym i zakazowym,
• zwiększenie transparentności działalności Przewodniczącego KRiBSI i jego Zastępców,
• wzmocnienie ochrony tajemnic prawnie chronionych, w szczególności tajemnicy przedsiębiorstwa, w postępowaniach prowadzonych przez KRiBSI.

Ustawa wchodzi w życie po upływie 14 dni od dnia ogłoszenia. Jednocześnie dla części przepisów przewidziano 3-miesięczny okres vacatio legis, aby umożliwić organom administracji oraz podmiotom objętym regulacją przygotowanie się do stosowania nowych przepisów.