AI Act już obowiązuje. Za niektóre zastosowania sztucznej inteligencji grożą milionowe kary

AI Act jest pierwszą na świecie kompleksową regulacją dotyczącą sztucznej inteligencji. Komisja Europejska przyjęła model oparty na ocenie ryzyka, uznając, że nie wszystkie systemy AI stwarzają takie samo zagrożenie dla obywateli i gospodarki.

Z perspektywy prawa kluczowe znaczenie ma podział systemów na cztery grupy: systemy niedopuszczalne, systemy wysokiego ryzyka, systemy objęte obowiązkami przejrzystości oraz rozwiązania minimalnego ryzyka.

Od klasyfikacji konkretnego rozwiązania zależy zakres obowiązków, które musi spełnić dostawca, producent lub użytkownik systemu AI.

Niektóre zastosowania sztucznej inteligencji są już zakazane

Od 2 lutego 2025 r. obowiązują przepisy zakazujące stosowania określonych praktyk uznanych przez Unię Europejską za szczególnie niebezpieczne.

Zakazane zostały między innymi:

• społeczny scoring obywateli,
• manipulowanie zachowaniem użytkowników przy wykorzystaniu AI,
• wykorzystywanie szczególnej podatności określonych grup osób,
• masowe tworzenie baz danych twarzy poprzez pobieranie zdjęć z internetu lub monitoringu,
• rozpoznawanie emocji w szkołach i miejscach pracy,
• niektóre formy zdalnej identyfikacji biometrycznej w przestrzeni publicznej,
• systemy przewidujące prawdopodobieństwo popełnienia przestępstwa wyłącznie na podstawie profilowania osoby.

Przedsiębiorcy wykorzystujący technologie biometryczne lub zaawansowane systemy analityczne powinni więc zweryfikować, czy stosowane rozwiązania nie wchodzą obecnie w zakres zakazanych praktyk.

Największe obowiązki dotyczą systemów wysokiego ryzyka

Najbardziej rozbudowane wymogi prawne dotyczą systemów wysokiego ryzyka.

Do tej grupy zaliczono między innymi rozwiązania wykorzystywane przy:

• rekrutacji pracowników,
• selekcji kandydatów na stanowiska pracy,
• ocenie zdolności kredytowej,
• podejmowaniu decyzji dotyczących dostępu do edukacji,
• funkcjonowaniu infrastruktury krytycznej,
• procedurach migracyjnych i azylowych,
• części zastosowań medycznych,
• działaniach wymiaru sprawiedliwości.

Dostawcy takich systemów będą zobowiązani do wdrożenia procedur zarządzania ryzykiem, prowadzenia dokumentacji technicznej, monitorowania działania systemów, zapewnienia wysokiej jakości danych treningowych oraz zagwarantowania skutecznego nadzoru człowieka nad funkcjonowaniem algorytmów.

W praktyce oznacza to konieczność przygotowania nowych procedur compliance, audytów technologicznych oraz wewnętrznych mechanizmów kontroli.

Chatboty i generatywna AI także pod nadzorem

Przepisy obejmują również popularne chatboty oraz modele AI ogólnego przeznaczenia (GPAI), które stanowią podstawę współczesnych systemów generatywnych.

W wielu przypadkach użytkownik musi zostać poinformowany, że komunikuje się z systemem sztucznej inteligencji. Obowiązki dotyczą również oznaczania deepfake'ów oraz części treści generowanych przez AI.

Dostawcy zaawansowanych modeli muszą ponadto spełniać wymagania związane z przejrzystością działania, dokumentacją techniczną oraz przestrzeganiem praw autorskich.

Kary mogą być wyższe niż w RODO

Jednym z najważniejszych elementów AI Act jest rozbudowany system sankcji administracyjnych.

Najwyższe kary przewidziano za stosowanie zakazanych praktyk AI. W takim przypadku organ nadzorczy może nałożyć sankcję wynoszącą do 35 mln euro lub do 7 proc. całkowitego światowego rocznego obrotu przedsiębiorstwa.

Za naruszenie obowiązków dotyczących systemów wysokiego ryzyka grozi kara do 15 mln euro lub do 3 proc. globalnego rocznego obrotu.

Z kolei przekazywanie nieprawdziwych informacji organom nadzoru może skutkować sankcją do 7,5 mln euro lub do 1 proc. rocznego światowego obrotu.

Dla dużych podmiotów technologicznych oraz międzynarodowych grup kapitałowych mogą to być kary liczone w setkach milionów euro.

Sierpień 2026 r. będzie kluczowy dla przedsiębiorców

Choć część regulacji już obowiązuje, najważniejsze zmiany dopiero nadchodzą.

2 sierpnia 2026 r. zacznie obowiązywać większość przepisów AI Act, w tym regulacje dotyczące systemów wysokiego ryzyka wymienionych w Załączniku III rozporządzenia oraz obowiązki przejrzystości.

To właśnie ten termin powinien być obecnie najważniejszym punktem odniesienia dla przedsiębiorców wykorzystujących sztuczną inteligencję w działalności biznesowej.

Pełne wdrożenie AI Act nastąpi w 2027 roku

Proces implementacji zakończy się 2 sierpnia 2027 r.

W tym terminie zaczną obowiązywać przepisy dotyczące systemów wysokiego ryzyka stanowiących część produktów objętych odrębnymi regulacjami sektorowymi Unii Europejskiej.

Dotyczy to między innymi:

• urządzeń medycznych,
• maszyn przemysłowych,
• pojazdów,
• innych produktów podlegających procedurom certyfikacyjnym UE.

Oznacza to, że od sierpnia 2027 r. AI Act będzie stosowany w pełnym zakresie na terenie całej Unii Europejskiej.

Q&A – AI Act w praktyce

Czy AI Act już obowiązuje?

Tak. Pierwsze przepisy obowiązują od 2 lutego 2025 r. Kolejne etapy wdrażania są realizowane sukcesywnie do sierpnia 2027 r.

Kogo dotyczą nowe regulacje?

Przede wszystkim dostawców systemów AI, producentów oprogramowania, firmy wykorzystujące sztuczną inteligencję, instytucje publiczne oraz podmioty wdrażające rozwiązania wysokiego ryzyka.

Czy każda firma korzystająca z AI podlega AI Act?

Nie. Zakres obowiązków zależy od rodzaju wykorzystywanego systemu oraz poziomu ryzyka przypisanego do konkretnego zastosowania.

Jakie są najwyższe kary przewidziane przez AI Act?

Do 35 mln euro lub do 7 proc. całkowitego światowego rocznego obrotu przedsiębiorstwa za stosowanie zakazanych praktyk AI.

Czy chatboty są legalne?

Tak. AI Act nie zakazuje chatbotów, ale nakłada obowiązki informacyjne oraz wymogi przejrzystości wobec części systemów.

Czy AI Act obejmuje ChatGPT i podobne modele?

Tak. Modele AI ogólnego przeznaczenia (GPAI) zostały objęte odrębnymi obowiązkami dotyczącymi przejrzystości, dokumentacji oraz zarządzania ryzykiem.

Kiedy firmy powinny przygotować się do nowych obowiązków?

Najpóźniej przed 2 sierpnia 2026 r., kiedy zacznie obowiązywać większość przepisów mających bezpośredni wpływ na działalność przedsiębiorców.

Czy AI Act jest podobny do RODO?

Pod pewnymi względami tak. Oba akty prawne wprowadzają system wysokich kar administracyjnych, obowiązki dokumentacyjne oraz wymogi dotyczące zarządzania ryzykiem. AI Act koncentruje się jednak na sztucznej inteligencji, a nie na ochronie danych osobowych.

Źródła: Komisja Europejska, AI Act Service Desk, European Digital Strategy, Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689.