Sztuczna inteligencja przestała być technologiczną ciekawostką. Systemy oparte na AI pomagają już wybierać kandydatów do pracy, oceniać zdolność kredytową, wykrywać oszustwa, analizować obrazy medyczne, zarządzać infrastrukturą, tworzyć treści i wspierać decyzje administracji publicznej.
Im więcej decyzji powierzamy algorytmom, tym bardziej zasadne staje się pytanie: kto odpowiada, gdy sztuczna inteligencja się myli, dyskryminuje albo podejmuje decyzję, której człowiek nie potrafi wyjaśnić?
Odpowiedzią Unii Europejskiej jest AI Act — pierwsze tak szerokie rozporządzenie regulujące rozwój, sprzedaż i wykorzystywanie systemów sztucznej inteligencji. Akt został przyjęty w 2024 roku, ale jego przepisy są wdrażane etapami. Część obowiązków już obowiązuje, kolejne zaczną być stosowane w sierpniu 2026 roku, a najbardziej rozbudowane wymagania dotyczące systemów wysokiego ryzyka przesunięto na lata 2027–2028.
AI Act przedstawiany jest jako próba ochrony obywateli przed manipulacją, dyskryminacją, masowym nadzorem i niekontrolowanym automatyzowaniem ważnych decyzji. Jednocześnie budzi obawy przedsiębiorców, twórców technologii i części ekspertów. Ich zdaniem Europa może stworzyć system tak skomplikowany, że największe firmy poradzą sobie z nim bez problemu, natomiast mniejsze przedsiębiorstwa i start-upy zostaną obciążone kosztami dokumentacji, prawników, audytów i procedur zgodności.
Spór o AI Act nie sprowadza się więc do prostego wyboru między bezpieczeństwem a technologiczną wolnością. Dotyczy tego, jak regulować technologię, która rozwija się szybciej niż prawo i może wpływać na niemal każdy obszar życia.
Czym właściwie jest AI Act?
AI Act to potoczna nazwa rozporządzenia Parlamentu Europejskiego i Rady Unii Europejskiej 2024/1689 ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji.
Rozporządzenie weszło w życie 1 sierpnia 2024 roku. Nie oznaczało to jednak natychmiastowego zastosowania wszystkich jego przepisów. Unia zdecydowała się na okres przejściowy, w którym kolejne obowiązki zaczynają działać stopniowo.
AI Act jest rozporządzeniem, a nie dyrektywą. Oznacza to, że jego podstawowe reguły obowiązują bezpośrednio w państwach członkowskich, bez konieczności przepisywania całego aktu do prawa krajowego. Poszczególne państwa muszą jednak wyznaczyć organy nadzoru, ustalić procedury egzekwowania prawa i przygotować krajowy system kar oraz kontroli.
Podstawową zasadą AI Act jest regulacja oparta na ryzyku. Unia nie próbuje zakazać całej sztucznej inteligencji ani kontrolować każdego programu wykorzystującego algorytmy. Zakres obowiązków zależy od tego, do czego system służy i jakie skutki może wywołać.
Inaczej traktowany będzie filtr antyspamowy, inaczej generator obrazów, a jeszcze inaczej system decydujący o przyjęciu człowieka do pracy, udzieleniu mu kredytu albo zakwalifikowaniu go do świadczenia publicznego.
Nie technologia, lecz sposób jej wykorzystania
Ta sama technologia może mieć zupełnie różne znaczenie w zależności od miejsca zastosowania. Algorytm analizujący twarz człowieka może służyć do odblokowania telefonu, ale może również być wykorzystywany do masowej identyfikacji uczestników demonstracji.
Model językowy może pomagać w poprawianiu tekstu, ale może też wspierać urzędnika przy podejmowaniu decyzji wpływającej na prawa obywatela. System analizujący zachowanie może usprawniać działanie gry komputerowej, ale może również oceniać pracownika, ucznia albo osobę ubiegającą się o ubezpieczenie.
AI Act próbuje więc regulować przede wszystkim kontekst użycia. Im większy możliwy wpływ systemu na zdrowie, bezpieczeństwo, wolność albo prawa człowieka, tym większe obowiązki nakładane są na jego twórcę i użytkownika.
To rozsądne założenie, ale jego praktyczne zastosowanie jest trudne. Firmy muszą ustalić, czy ich produkt w ogóle jest systemem AI w rozumieniu rozporządzenia, do jakiej kategorii ryzyka należy i jaką rolę pełni dana firma: dostawcy, użytkownika profesjonalnego, importera, dystrybutora czy producenta produktu zawierającego AI.
Cztery poziomy ryzyka
AI Act dzieli systemy sztucznej inteligencji na kilka podstawowych kategorii.
Ryzyko niedopuszczalne obejmuje zastosowania uznane za sprzeczne z prawami podstawowymi i wartościami Unii Europejskiej. Takie praktyki są zakazane.
Wysokie ryzyko dotyczy systemów, których działanie może istotnie wpływać na życie, bezpieczeństwo i prawa człowieka. Nie są one zabronione, ale muszą spełniać rozbudowane wymagania.
Ograniczone ryzyko obejmuje m.in. systemy generujące treści oraz rozwiązania, w których człowiek powinien wiedzieć, że komunikuje się z maszyną. Głównym narzędziem regulacji jest tutaj przejrzystość.
Ryzyko minimalne obejmuje ogromną część codziennych zastosowań AI. Takie systemy mogą być używane bez szczególnych obowiązków wynikających z AI Act, choć nadal podlegają innym przepisom, np. dotyczącym ochrony danych, konsumentów, prawa pracy czy własności intelektualnej.
Jakich zastosowań AI Unia zakazuje?
Od 2 lutego 2025 roku obowiązują zakazy dotyczące praktyk uznanych za niedopuszczalne. Lista nie oznacza całkowitego zakazu określonych technologii, lecz zakazuje konkretnych sposobów ich wykorzystywania.
Zakazane są m.in. systemy stosujące techniki manipulacyjne lub podprogowe, jeśli mogą istotnie zniekształcić zachowanie człowieka i doprowadzić do poważnej szkody. Obejmuje to również wykorzystywanie słabości związanych z wiekiem, niepełnosprawnością albo trudną sytuacją społeczną i ekonomiczną.
AI Act zabrania też określonych form społecznego punktowania ludzi. Chodzi o sytuacje, w których obywatel jest oceniany na podstawie zachowania lub cech osobistych, a wynik prowadzi do nieuzasadnionego albo nieproporcjonalnego traktowania w innych obszarach życia.
Zakazane jest tworzenie baz rozpoznawania twarzy przez nieukierunkowane pobieranie zdjęć z internetu albo nagrań monitoringu. Rozporządzenie ogranicza również systemy przewidujące popełnienie przestępstwa wyłącznie na podstawie profilowania osoby lub oceny jej cech i osobowości.
Co do zasady nie wolno używać rozpoznawania emocji w miejscu pracy i placówkach edukacyjnych. Przewidziano jednak ograniczone wyjątki, np. związane z bezpieczeństwem albo określonymi zastosowaniami medycznymi.
AI Act ogranicza również biometryczne kategoryzowanie ludzi według szczególnie wrażliwych cech, takich jak poglądy polityczne, religia, orientacja seksualna czy pochodzenie rasowe.
Jednym z najbardziej kontrowersyjnych tematów jest zdalna identyfikacja biometryczna w przestrzeni publicznej. Jej wykorzystanie przez organy ścigania w czasie rzeczywistym jest co do zasady zakazane, ale rozporządzenie przewiduje wąskie wyjątki, związane m.in. z poszukiwaniem ofiar, poważnym zagrożeniem terrorystycznym i ściganiem najcięższych przestępstw.
Krytycy tych wyjątków obawiają się, że otwierają one drogę do rozszerzania masowego nadzoru. Zwolennicy wskazują, że całkowity zakaz mógłby utrudnić działania w sytuacjach bezpośredniego zagrożenia.
Systemy wysokiego ryzyka
Najbardziej rozbudowana część AI Act dotyczy systemów wysokiego ryzyka. Są to rozwiązania, które mogą wpływać na bezpieczeństwo produktów albo na ważne decyzje dotyczące człowieka.
Do pierwszej grupy należą systemy AI będące elementami produktów podlegających unijnym regulacjom bezpieczeństwa. Może to być np. sztuczna inteligencja wbudowana w urządzenie medyczne, maszynę przemysłową, pojazd, robota, windę albo inny produkt wymagający oceny zgodności.
Druga grupa obejmuje konkretne zastosowania wymienione w załączniku do AI Act. Dotyczą one m.in.:
- biometrii i identyfikacji osób,
- zarządzania infrastrukturą krytyczną,
- edukacji i egzaminowania,
- rekrutacji, awansowania i oceniania pracowników,
- dostępu do podstawowych usług prywatnych i publicznych,
- oceny zdolności kredytowej,
- ubezpieczeń na życie i zdrowie,
- działań organów ścigania,
- migracji, azylu i kontroli granic,
- wymiaru sprawiedliwości i procesów demokratycznych.
Sam fakt użycia AI w danej branży nie zawsze oznacza automatyczne zakwalifikowanie systemu jako wysokiego ryzyka. Znaczenie ma jego przeznaczenie i realny wpływ na decyzję. Program porządkujący kalendarz pracowników nie będzie traktowany tak samo jak system automatycznie odrzucający kandydatów do pracy.
Co musi zrobić twórca systemu wysokiego ryzyka?
Dostawca systemu wysokiego ryzyka będzie musiał wykazać, że jego rozwiązanie zostało zaprojektowane i przetestowane zgodnie z wymaganiami AI Act.
Podstawą ma być system zarządzania ryzykiem. Firma powinna rozpoznawać możliwe zagrożenia na każdym etapie działania produktu: od projektowania i trenowania modelu, przez testowanie, aż po obserwowanie jego działania po wejściu na rynek.
Ważną rolę odgrywa jakość danych. Dane treningowe, walidacyjne i testowe powinny być odpowiednie dla przeznaczenia systemu, możliwie reprezentatywne i wolne od błędów, które mogłyby prowadzić do systematycznej dyskryminacji.
System ma posiadać dokumentację techniczną pozwalającą odtworzyć sposób jego działania i ocenić zgodność z prawem. Powinien także zapisywać odpowiednie zdarzenia w dziennikach systemowych, czyli logach.
Użytkownik profesjonalny musi otrzymać informacje o możliwościach i ograniczeniach rozwiązania. AI nie może być przedstawiana jako nieomylna maszyna, jeśli w określonych warunkach jej skuteczność spada albo wyniki wymagają dodatkowej weryfikacji.
Konieczny ma być również nadzór człowieka. Osoba odpowiedzialna za system powinna rozumieć jego ograniczenia, umieć zakwestionować wynik, odrzucić rekomendację algorytmu, a w razie potrzeby zatrzymać działanie systemu.
Rozporządzenie zwraca uwagę na zjawisko automatycznego zaufania do maszyny. Człowiek może formalnie podejmować ostateczną decyzję, ale w praktyce bezrefleksyjnie akceptować wynik wyświetlony przez algorytm. Samo umieszczenie pracownika między systemem a decyzją nie gwarantuje więc realnej kontroli.
Ocena zgodności i oznaczenie CE
Przed wprowadzeniem systemu wysokiego ryzyka na rynek dostawca będzie musiał przeprowadzić odpowiednią ocenę zgodności. W zależności od rodzaju produktu może to być kontrola wewnętrzna albo procedura wymagająca udziału zewnętrznej jednostki oceniającej.
Po spełnieniu wymagań system otrzyma deklarację zgodności i oznaczenie CE. Podobnie jak w przypadku wielu innych produktów dostępnych na rynku europejskim, oznaczenie ma informować, że produkt spełnia zasadnicze wymagania unijnego prawa.
Wybrane systemy wysokiego ryzyka będą również rejestrowane w europejskiej bazie danych. Ma to zwiększyć przejrzystość i ułatwić organom nadzoru kontrolowanie rynku.
Dla firm oznacza to, że rozwój niektórych narzędzi AI zacznie bardziej przypominać wprowadzanie na rynek regulowanego produktu niż publikowanie zwykłego programu komputerowego.
Pracodawca będzie musiał poinformować pracowników
Szczególne znaczenie AI Act może mieć dla rynku pracy. Systemy wykorzystywane do rekrutowania, oceniania kandydatów, przydzielania zadań, monitorowania wydajności, decydowania o awansach albo rozwiązywaniu umów mogą zostać zakwalifikowane jako systemy wysokiego ryzyka.
Przed zastosowaniem takiego systemu w miejscu pracy pracodawca będzie musiał poinformować przedstawicieli pracowników oraz osoby, których działanie AI będzie dotyczyć.
Nie oznacza to automatycznego zakazu algorytmicznego wspierania rekrutacji. Firma będzie jednak musiała wiedzieć, jakie dane analizuje system, jakie mogą być jego błędy i czy nie dyskryminuje określonych grup kandydatów.
To istotne, ponieważ algorytm może powielać uprzedzenia zawarte w danych historycznych. Jeśli przez wiele lat określone stanowiska zajmowali głównie mężczyźni, system uczony na dawnych decyzjach może uznać płeć albo cechy pośrednio z nią powiązane za sygnał przydatności zawodowej.
AI Act nie rozwiąże automatycznie problemu dyskryminacji, ale ma wymusić jego wcześniejsze wykrywanie, dokumentowanie i ograniczanie.
Prawo do wyjaśnienia decyzji
Osoba, której sytuacja została istotnie zmieniona przez decyzję podjętą na podstawie systemu wysokiego ryzyka, będzie mogła domagać się jasnego i zrozumiałego wyjaśnienia roli AI w procesie decyzyjnym oraz głównych elementów decyzji.
Może to dotyczyć np. odmowy dostępu do określonej usługi, negatywnej decyzji kredytowej, wyniku rekrutacji albo decyzji administracyjnej.
Prawo to ma znaczenie, ponieważ jednym z największych problemów automatyzacji jest nieprzejrzystość. Człowiek otrzymuje odmowę, ale nie wie, czy zdecydował o niej urzędnik, wewnętrzny regulamin, błędne dane czy model statystyczny.
Wyjaśnienie nie zawsze będzie oznaczało ujawnienie kodu źródłowego albo wszystkich tajemnic handlowych. Powinno jednak pozwolić zrozumieć, jaką rolę odegrał system i jakie główne elementy miały wpływ na wynik.
AI w administracji publicznej
AI Act może szczególnie mocno wpłynąć na administrację, instytucje publiczne oraz firmy świadczące usługi o charakterze publicznym.
Jeżeli system wysokiego ryzyka będzie wykorzystywany do podejmowania decyzji wpływających na prawa obywateli, konieczne może być przeprowadzenie oceny wpływu na prawa podstawowe.
Taka ocena powinna określać, kto zostanie objęty działaniem systemu, jakie ryzyka mogą wystąpić, jak długo system będzie używany i jakie środki zostaną zastosowane, jeśli dojdzie do naruszenia praw obywateli.
Może to dotyczyć np. AI stosowanej w edukacji, ochronie zdrowia, pomocy społecznej, mieszkalnictwie, bankowości, ubezpieczeniach albo wymiarze sprawiedliwości.
Z jednej strony takie obowiązki mogą ograniczyć przypadki bezmyślnego kupowania przez administrację niedojrzałych systemów. Z drugiej strony zwiększą liczbę analiz, dokumentów i procedur poprzedzających wdrożenie technologii.
ChatGPT, modele językowe i AI ogólnego przeznaczenia
AI Act powstawał w okresie gwałtownego rozwoju dużych modeli językowych i generatywnej sztucznej inteligencji. Dlatego w końcowej wersji rozporządzenia znalazły się odrębne przepisy dotyczące modeli AI ogólnego przeznaczenia, określanych skrótem GPAI.
Są to modele zdolne do wykonywania wielu różnych zadań i możliwe do wykorzystania w kolejnych aplikacjach. Jeden model może generować tekst, analizować dokumenty, tworzyć kod, tłumaczyć języki, odpowiadać na pytania i stanowić podstawę systemów opracowywanych przez inne firmy.
Dostawcy takich modeli mają obowiązek przygotowywania dokumentacji technicznej i przekazywania odpowiednich informacji podmiotom, które integrują model z własnymi produktami.
Muszą również przyjąć politykę przestrzegania unijnego prawa autorskiego oraz publikować wystarczająco szczegółowe podsumowania treści wykorzystanych do trenowania modelu.
Nie oznacza to obowiązku ujawnienia każdego pojedynczego dokumentu znajdującego się w zbiorze treningowym. Ma jednak zwiększyć przejrzystość wobec twórców, wydawców i innych właścicieli praw, którzy chcą wiedzieć, czy ich treści mogły być wykorzystywane do trenowania AI.
Modele o ryzyku systemowym
AI Act wyodrębnia najbardziej zaawansowane modele ogólnego przeznaczenia, które ze względu na swoje możliwości i skalę mogą powodować ryzyko systemowe.
Nie chodzi wyłącznie o ryzyko błędnej odpowiedzi udzielonej pojedynczemu użytkownikowi. Bardzo silny model może zostać wykorzystany na ogromną skalę, wbudowany w setki produktów albo użyty do cyberataków, tworzenia dezinformacji, projektowania szkodliwych narzędzi i automatyzowania działań mających wpływ na całe społeczeństwo.
Dostawcy takich modeli mają podlegać dodatkowym obowiązkom. Obejmują one ocenę działania modelu, testowanie jego odporności, analizowanie ryzyk systemowych, zgłaszanie poważnych incydentów i zapewnienie odpowiedniego poziomu cyberbezpieczeństwa.
Unijny Urząd ds. Sztucznej Inteligencji może bezpośrednio nadzorować dostawców modeli ogólnego przeznaczenia. Ma to zapobiegać sytuacji, w której każdy kraj interpretuje obowiązki największych globalnych producentów AI w zupełnie inny sposób.
Kodeks postępowania dla modeli ogólnego przeznaczenia
W 2025 roku Komisja Europejska opublikowała kodeks postępowania dla modeli AI ogólnego przeznaczenia. Jest on dobrowolnym narzędziem pomagającym firmom wykazać zgodność z AI Act.
Kodeks obejmuje trzy główne obszary: przejrzystość, prawo autorskie oraz bezpieczeństwo modeli stwarzających ryzyko systemowe.
Firma nie musi korzystać z kodeksu, jeśli potrafi w inny sposób wykazać zgodność z prawem. W praktyce jednak przyjęcie wspólnych procedur może być prostsze i bezpieczniejsze niż budowanie własnej interpretacji przepisów.
Takie kodeksy pokazują, że AI Act nie będzie działał wyłącznie na podstawie samego rozporządzenia. Równie ważne będą wytyczne Komisji, standardy techniczne, decyzje organów nadzoru, praktyka rynkowa i przyszłe orzeczenia sądów.
Oznaczanie treści wygenerowanych przez AI
Od 2 sierpnia 2026 roku zaczynają być stosowane ważne obowiązki dotyczące przejrzystości treści generowanych przez sztuczną inteligencję.
Dostawcy systemów generujących obrazy, dźwięk, wideo lub tekst mają stosować rozwiązania umożliwiające wykrywanie, że treść została wygenerowana albo zmodyfikowana przez AI. Informacja powinna być możliwa do odczytania maszynowego i technicznie niezawodna w rozsądnym zakresie.
Osoby i instytucje publikujące deepfake’i mają informować odbiorców, że materiał został sztucznie wygenerowany lub zmanipulowany.
Obowiązek może również dotyczyć tekstów wygenerowanych przez AI i publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Przewidziano jednak wyjątki, m.in. dla treści poddanych ludzkiej kontroli redakcyjnej, za które odpowiedzialność ponosi konkretny wydawca.
W praktyce egzekwowanie takich obowiązków nie będzie łatwe. Metadane mogą być usuwane, treści wielokrotnie przetwarzane, a narzędzia wykrywające materiały AI pozostają niedoskonałe.
Mimo to kierunek regulacji jest jasny: człowiek powinien wiedzieć, kiedy ogląda materiał przedstawiający wydarzenie, wypowiedź albo osobę, które zostały sztucznie wygenerowane.
Czy chatbot musi powiedzieć, że jest maszyną?
AI Act nakłada obowiązki również na systemy komunikujące się bezpośrednio z ludźmi. Użytkownik powinien zostać poinformowany, że rozmawia z systemem AI, chyba że jest to oczywiste dla rozsądnej i odpowiednio poinformowanej osoby.
Ma to szczególne znaczenie w obsłudze klienta, usługach publicznych, sprzedaży i systemach, które mogą naśladować człowieka.
Obowiązek nie oznacza, że każdy komunikat musi być nieustannie opatrzony wielkim ostrzeżeniem. Informacja powinna być jednak przekazana najpóźniej przy pierwszej interakcji w sposób jasny i zrozumiały.
Obowiązek zapewnienia kompetencji w zakresie AI
Od 2 lutego 2025 roku dostawcy i profesjonalni użytkownicy systemów AI mają obowiązek podejmowania działań zapewniających odpowiedni poziom wiedzy o sztucznej inteligencji wśród personelu.
Nie oznacza to, że każdy pracownik musi ukończyć formalny kurs albo zdobyć certyfikat programisty. Zakres wiedzy powinien zależeć od roli pracownika, jego doświadczenia, rodzaju systemu i możliwych skutków jego używania.
Osoba wykorzystująca AI do porządkowania notatek potrzebuje innych kompetencji niż lekarz wspierający diagnozę, rekruter oceniający kandydatów albo urzędnik podejmujący decyzję na podstawie rekomendacji algorytmu.
Dla firm oznacza to konieczność tworzenia polityk korzystania z AI, prowadzenia szkoleń i dokumentowania, że personel rozumie możliwości oraz ograniczenia wykorzystywanych narzędzi.
AI Act obejmuje także firmy spoza Europy
Rozporządzenie nie dotyczy wyłącznie przedsiębiorstw mających siedzibę w Unii Europejskiej.
Może obejmować zagranicznych dostawców oferujących systemy AI na rynku unijnym, a także sytuacje, w których wynik działania systemu wykorzystywany jest na terytorium Unii.
To mechanizm podobny do znanego z RODO. Globalna firma nie może uniknąć obowiązków tylko dlatego, że jej centrala i serwery znajdują się poza Europą, jeśli sprzedaje usługę europejskim klientom albo jej system wywołuje skutki w Unii.
Takie oddziaływanie regulacji bywa określane jako „efekt brukselski”. Duże przedsiębiorstwa mogą uznać, że łatwiej jest stworzyć jeden produkt zgodny z europejskimi standardami niż utrzymywać osobną wersję dla rynku UE.
W ten sposób AI Act może wpływać na globalne praktyki nawet poza formalnymi granicami europejskiego prawa.
Kiedy poszczególne przepisy zaczynają obowiązywać?
AI Act jest wdrażany etapami.
- 1 sierpnia 2024 roku — rozporządzenie weszło w życie.
- 2 lutego 2025 roku — zaczęły obowiązywać zakazane praktyki oraz obowiązek rozwijania kompetencji personelu w zakresie AI.
- 2 sierpnia 2025 roku — zaczęły obowiązywać zasady dotyczące zarządzania systemem regulacyjnym oraz obowiązki dla nowych modeli AI ogólnego przeznaczenia.
- 2 sierpnia 2026 roku — zacznie być stosowana większość pozostałych przepisów, w tym obowiązki przejrzystości dotyczące generowanych treści oraz uprawnienia Komisji do nakładania kar na dostawców modeli ogólnego przeznaczenia.
- 2 sierpnia 2027 roku — modele ogólnego przeznaczenia wprowadzone na rynek przed 2 sierpnia 2025 roku będą musiały zostać dostosowane do nowych wymagań.
- 2 grudnia 2027 roku — zaczną być stosowane reguły dla samodzielnych systemów wysokiego ryzyka wykorzystywanych m.in. w edukacji, rekrutacji, bankowości, migracji i organach ścigania.
- 2 sierpnia 2028 roku — zaczną być stosowane obowiązki dla systemów wysokiego ryzyka wbudowanych w produkty objęte innymi regulacjami bezpieczeństwa.
Pierwotnie duża część przepisów dotyczących wysokiego ryzyka miała być stosowana wcześniej. W 2026 roku Unia zdecydowała jednak o przesunięciu terminów. Powodem były m.in. opóźnienia w opracowywaniu standardów technicznych, wytycznych i infrastruktury potrzebnej do oceny zgodności.
Dlaczego Unia opóźniła część przepisów?
Przyjęcie prawa jest znacznie łatwiejsze niż stworzenie całego systemu pozwalającego je stosować.
Firmy potrzebują standardów technicznych wyjaśniających, jak w praktyce mierzyć odporność systemu, jakość danych, skuteczność nadzoru człowieka, poziom cyberbezpieczeństwa i zgodność dokumentacji.
Potrzebne są również jednostki uprawnione do przeprowadzania ocen, krajowe organy nadzoru, europejskie bazy danych oraz jasne wytyczne określające, które systemy rzeczywiście należą do kategorii wysokiego ryzyka.
Brak takich narzędzi mógłby doprowadzić do sytuacji, w której przepisy formalnie obowiązują, ale przedsiębiorca nie wie, jak wykazać ich spełnienie. Poszczególne państwa mogłyby też stosować różne interpretacje, niszcząc założenie wspólnego rynku.
Przesunięcie terminów można więc uznać za próbę uporządkowania wdrożenia. Krytycy wskazują jednak, że opóźnienie przedłuża okres, w którym ryzykowne systemy mogą być stosowane bez pełnego zestawu zabezpieczeń przewidzianych w rozporządzeniu.
Konsekwencje dla dużych firm
Największe przedsiębiorstwa technologiczne będą musiały stworzyć rozbudowane zespoły ds. zgodności z AI Act. Potrzebni będą prawnicy, specjaliści od cyberbezpieczeństwa, zarządzania ryzykiem, dokumentacji, praw autorskich, ochrony danych oraz testowania modeli.
Dla globalnych korporacji będą to znaczące, ale możliwe do poniesienia koszty. Największe firmy już dziś dysponują zespołami odpowiedzialnymi za regulacje na wielu rynkach.
AI Act może nawet umocnić ich pozycję. Jeśli wejście na rynek wymaga kosztownej dokumentacji i procedur, duży podmiot łatwiej spełni wymagania niż mała firma rozwijająca konkurencyjny produkt.
Regulacja może więc paradoksalnie ograniczać dominację największych przedsiębiorstw w jednym obszarze, a jednocześnie tworzyć barierę chroniącą je przed mniejszymi konkurentami.
Konsekwencje dla małych firm i start-upów
Największe obawy dotyczą europejskich start-upów oraz małych i średnich firm.
Niewielki zespół może stworzyć dobry produkt technologiczny, ale nie mieć pieniędzy na wielomiesięczne analizy prawne, testy, certyfikację i rozbudowane systemy zarządzania jakością.
Niepewność może być równie kosztowna jak same obowiązki. Jeśli przedsiębiorca nie wie, czy jego system zostanie zakwalifikowany jako wysokiego ryzyka, może zrezygnować z projektu albo przenieść działalność poza Europę.
AI Act przewiduje jednak rozwiązania wspierające mniejsze podmioty. Państwa mają tworzyć piaskownice regulacyjne, w których przedsiębiorstwa mogą testować systemy pod nadzorem właściwych organów. Dla małych firm przewidziano również pewne uproszczenia i bardziej proporcjonalne podejście do kar.
W przypadku MŚP maksymalna kara ma być ograniczona do niższej z dwóch wartości wskazanych w rozporządzeniu: konkretnej kwoty albo procentu światowego obrotu.
Skuteczność tych zabezpieczeń będzie zależeć od praktyki. Piaskownica regulacyjna dostępna tylko na papierze nie pomoże firmie, jeśli organ będzie odpowiadał miesiącami, a procedury okażą się równie skomplikowane jak zwykła ścieżka.
Konsekwencje dla zwykłego użytkownika
Dla większości osób AI Act nie będzie oznaczał konieczności czytania regulaminów liczących setki stron ani zdobywania specjalnych zezwoleń na korzystanie z generatora tekstu.
Zmiany mogą być widoczne przede wszystkim w postaci informacji, że użytkownik rozmawia z AI, oznaczeń treści generowanych, wyjaśnień dotyczących decyzji algorytmicznych i większej kontroli nad systemami stosowanymi przez pracodawców, banki oraz administrację.
Obywatel nie otrzyma jednak gwarancji, że AI nigdy się nie pomyli. Rozporządzenie nie likwiduje błędów modeli, halucynacji, uprzedzeń w danych ani ryzyka wykorzystania technologii przez przestępców.
Prawo ma przede wszystkim wskazać, kto odpowiada za system, jakie procedury powinien stosować i jakie środki może podjąć organ nadzoru.
Kary za naruszenie AI Act
Najwyższe kary przewidziano za stosowanie zakazanych praktyk. Mogą one sięgać 35 mln euro albo 7 procent całkowitego światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku — zastosowanie ma wyższa z tych wartości.
Za naruszenie innych podstawowych obowiązków, w tym wymagań dotyczących dostawców, użytkowników profesjonalnych i przejrzystości, możliwa jest kara do 15 mln euro albo 3 procent światowego obrotu.
Za przekazywanie organom nieprawidłowych, niepełnych albo wprowadzających w błąd informacji kara może wynieść do 7,5 mln euro albo 1 procent światowego obrotu.
Komisja Europejska może nakładać na dostawców modeli ogólnego przeznaczenia kary sięgające 15 mln euro albo 3 procent światowego obrotu.
Same maksymalne kwoty nie przesądzają jednak o surowości egzekwowania prawa. Kluczowe będzie to, czy organy nadzoru będą miały wystarczające kadry, wiedzę techniczną i wolę prowadzenia postępowań przeciwko największym przedsiębiorstwom.
AI Act a RODO i inne unijne przepisy
AI Act nie zastępuje dotychczasowego prawa. System sztucznej inteligencji może jednocześnie podlegać przepisom dotyczącym ochrony danych, prawa pracy, odpowiedzialności za produkt, praw konsumenta, usług cyfrowych, cyberbezpieczeństwa i regulacji sektorowych.
Jeśli system przetwarza dane osobowe, nadal obowiązuje RODO. AI Act nie tworzy automatycznie podstawy pozwalającej zbierać dowolne informacje o obywatelach.
Firma może więc spełnić wymagania dotyczące dokumentacji AI, a mimo to naruszyć prawo ochrony danych. Może również działać zgodnie z RODO, ale nie zapewnić wymaganego nadzoru człowieka albo oceny zgodności systemu wysokiego ryzyka.
To nakładanie się regulacji jest jednym z głównych źródeł obaw przedsiębiorców. Z jednej strony różne przepisy chronią inne wartości. Z drugiej — powstaje skomplikowana sieć obowiązków, w której nawet uczciwa firma może mieć problem z ustaleniem właściwej procedury.
Czy AI Act zatrzyma innowacje w Europie?
To najważniejszy argument krytyków rozporządzenia. Stany Zjednoczone rozwijają sztuczną inteligencję głównie dzięki prywatnym inwestycjom i dużym firmom technologicznym. Chiny łączą rozwój technologii z aktywną rolą państwa i znacznie mniejszym naciskiem na ochronę prywatności.
Europa próbuje stworzyć trzeci model: rozwijać AI, ale jednocześnie podporządkować ją zasadom ochrony praw człowieka, bezpieczeństwa i odpowiedzialności.
Problem polega na tym, że samo prawo nie stworzy konkurencyjnej technologii. Europejskie firmy potrzebują także kapitału, centrów danych, energii, dostępu do układów obliczeniowych, specjalistów i klientów gotowych wdrażać nowe rozwiązania.
Jeśli Europa będzie skuteczna głównie w tworzeniu zasad, ale nie zbuduje własnych modeli i infrastruktury, może zostać regulatorem technologii produkowanych w innych częściach świata.
Zwolennicy AI Act odpowiadają, że przewidywalne prawo może stać się przewagą. Firmy i instytucje chętniej wdrożą system, jeśli będą wiedziały, że przeszedł odpowiednie testy, posiada dokumentację i nie narusza podstawowych praw użytkowników.
Ostateczny bilans będzie zależał od tego, czy regulacja stanie się praktycznym standardem bezpieczeństwa, czy labiryntem dokumentów i niejasnych interpretacji.
Czy AI Act ochroni obywateli przed algorytmiczną władzą?
Rozporządzenie może ograniczyć najbardziej skrajne zastosowania AI i zmusić instytucje do większej przejrzystości. Nie rozwiązuje jednak wszystkich problemów związanych z automatyzacją decyzji.
System może formalnie posiadać dokumentację, nadzór człowieka i oznaczenie zgodności, a mimo to działać w sposób niesprawiedliwy albo trudny do zakwestionowania.
Człowiek nadzorujący algorytm może nie mieć czasu, wiedzy albo odwagi, by sprzeciwić się jego rekomendacji. Organ kontrolny może otrzymać tysiące stron dokumentacji, ale nie mieć odpowiednich specjalistów do jej zweryfikowania.
Problemem pozostaje również uzależnienie instytucji od prywatnych dostawców. Urząd, szpital albo bank może korzystać z modelu, którego nie stworzył i którego wewnętrznego działania nie zna w pełni.
AI Act buduje więc ramy odpowiedzialności, ale ich skuteczność zależy od ludzi i instytucji. Regulacja sama nie zastąpi kompetentnych urzędników, niezależnych sądów, odpowiedzialnych firm i obywateli świadomych swoich praw.
Prawo, które będzie stale nadrabiać zaległości
Największą słabością każdej regulacji technologicznej jest czas. AI Act był przygotowywany przez kilka lat. W tym okresie sztuczna inteligencja zdążyła przejść od wyspecjalizowanych systemów do powszechnie dostępnych modeli generujących tekst, obrazy, filmy, muzykę i kod.
W kolejnych latach mogą pojawić się autonomiczne systemy wykonujące rozbudowane zadania, narzędzia sterujące komputerami i urządzeniami oraz modele projektujące inne systemy AI.
Unijne prawo będzie więc stale wymagało interpretacji, aktualizacji załączników, nowych standardów i wytycznych. Zbyt częste zmiany mogą zwiększać niepewność. Zbyt wolne — pozostawiać nowe zagrożenia poza skuteczną kontrolą.
AI Act nie jest końcem regulowania sztucznej inteligencji. Jest początkiem wieloletniego procesu, w którym ustawodawcy będą próbowali nadążyć za technologią rozwijającą się w tempie nieznanym wcześniejszym gałęziom przemysłu.
Między ochroną człowieka a regulacyjną przewagą największych
AI Act wyrasta z rzeczywistego problemu. Sztuczna inteligencja może wspierać lekarzy, przedsiębiorców, nauczycieli i obywateli, ale może też automatyzować dyskryminację, nadzór, manipulację i decyzje, od których trudno się odwołać.
Brak jakichkolwiek reguł oznaczałby przekazanie ogromnej władzy firmom technologicznym, służbom, pracodawcom i instytucjom wykorzystującym algorytmy. Sama regulacja również nie jest jednak neutralna. Koszty zgodności mogą umacniać największych graczy, spowalniać małe przedsiębiorstwa i przenosić innowacje do innych części świata.
Najważniejsze pytanie nie brzmi więc, czy sztuczną inteligencję należy regulować. Przy jej obecnym wpływie na społeczeństwo jakaś forma regulacji jest nieunikniona.
Ważniejsze jest, czy Europa stworzy system, który rzeczywiście chroni człowieka, czy przede wszystkim produkuje dokumentację.
Jeśli AI Act zapewni przejrzystość, prawo do wyjaśnienia decyzji, realny nadzór człowieka i odpowiedzialność za szkody, może stać się ważnym standardem dla całego świata.
Jeśli jednak jego wdrażanie będzie niejasne, kosztowne i uzależnione od niekończących się procedur, Europa może osiągnąć odwrotny skutek: ograniczyć własne firmy, pozostając jednocześnie zależna od technologii tworzonych w Stanach Zjednoczonych i Chinach.
O wyniku nie zdecyduje sam tekst rozporządzenia. Zdecyduje praktyka: jakość standardów, kompetencje organów nadzoru, dostępność procedur dla małych firm oraz gotowość instytucji do przeciwstawienia się największym graczom technologicznym.
Źródła i materiały pomocnicze
- EUR-Lex, Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 — pełny tekst AI Act ustanawiającego zharmonizowane przepisy dotyczące sztucznej inteligencji w Unii Europejskiej.
Link: https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng - Komisja Europejska, AI Act — regulatory framework for artificial intelligence — oficjalne omówienie AI Act, jego podstawowych założeń, poziomów ryzyka i harmonogramu stosowania przepisów.
Link: https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai - Komisja Europejska, Navigating the AI Act — oficjalne pytania i odpowiedzi dotyczące zakresu rozporządzenia, systemów wysokiego ryzyka, obowiązków przedsiębiorstw oraz etapów wdrażania.
Link: https://digital-strategy.ec.europa.eu/en/faqs/navigating-ai-act - Komisja Europejska, Guidelines on prohibited AI practices — wytyczne dotyczące praktyk zakazanych przez AI Act, w tym manipulacji, społecznego punktowania, biometrii i wykorzystywania słabości określonych grup.
Link: https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act - Komisja Europejska, Guidelines for providers and deployers of high-risk AI systems — materiały dotyczące klasyfikacji systemów wysokiego ryzyka oraz terminów stosowania odpowiednich obowiązków.
Link: https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-high-risk-systems - Rada Unii Europejskiej, Artificial Intelligence: final green light to simplify and streamline rules — komunikat z 29 czerwca 2026 roku dotyczący uproszczenia AI Act i nowych terminów dla systemów wysokiego ryzyka.
Link: https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/ - Komisja Europejska, The General-Purpose AI Code of Practice — kodeks postępowania pomagający dostawcom modeli ogólnego przeznaczenia spełnić wymagania dotyczące przejrzystości, prawa autorskiego, bezpieczeństwa i ryzyka systemowego.
Link: https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai - Komisja Europejska, Guidelines for providers of general-purpose AI models — oficjalne wytyczne dotyczące obowiązków dostawców modeli AI ogólnego przeznaczenia oraz uprawnień kontrolnych Komisji.
Link: https://digital-strategy.ec.europa.eu/en/policies/guidelines-gpai-providers - Komisja Europejska, Code of Practice on Transparency of AI-Generated Content — materiały dotyczące oznaczania treści wygenerowanych przez AI, deepfake’ów i obowiązków przejrzystości stosowanych od 2 sierpnia 2026 roku.
Link: https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content - Komisja Europejska, European AI Office — opis kompetencji europejskiego Urzędu ds. Sztucznej Inteligencji odpowiedzialnego m.in. za nadzór nad modelami ogólnego przeznaczenia i koordynację wdrażania AI Act.
Link: https://digital-strategy.ec.europa.eu/en/policies/ai-office
