Zarządzanie AI (AI governance) w pigułce

Zarządzanie AI (AI governance) to sieć przepisów, standardów, instytucji i norm, które decydują o tym, jak AI może być tworzona i wykorzystywana, oraz o tym, kto ponosi odpowiedzialność, gdy coś pójdzie nie tak. Ten artykuł porządkuje najważniejsze instrumenty i podmioty oraz pokazuje, co oznaczają one dla szkoły, szpitala czy urzędu miasta.

Cztery warstwy, a nie jeden zbiór przepisów

Zarządzanie AI bywa przedstawiane jako jeden akt prawny. W praktyce działa ono poprzez kilka warstw, które wzajemnie się wzmacniają, a lukę w jednej z nich zwykle wypełnia, lepiej lub gorzej, inna.

• Prawo wiążące: obowiązki, które można egzekwować, na przykład na mocy unijnego AI Act czy przepisów o ochronie danych.
• Standardy i ramy: wspólne metody, które przekładają obowiązki prawne na praktykę możliwą do sprawdzenia.
• Instytucje: regulatorzy, organy nadzoru i sądy, które interpretują, nadzorują i egzekwują.
• Normy: etyka zawodowa, wewnętrzne polityki i oczekiwania społeczne, które kształtują zachowania, zanim pojawi się jakikolwiek kontroler.

Prawo wiążące: unijny AI Act i jego otoczenie

Unijny AI Act, czyli rozporządzenie (UE) 2024/1689, które weszło w życie 1 sierpnia 2024 r., jest pierwszym kompleksowym wiążącym aktem prawnym dotyczącym AI, a jego przepisy zaczynają obowiązywać etapami, w zależności od poziomu ryzyka. Niewielka grupa praktyk jest zakazana od 2 lutego 2025 r., a dostawcy modeli AI ogólnego przeznaczenia mają własne obowiązki od 2 sierpnia 2025 r. Systemy wykorzystywane do celów wymienionych w rozporządzeniu, w obszarach takich jak zatrudnienie, edukacja, ocena zdolności kredytowej, świadczenia publiczne i ściganie przestępstw, są systemami wysokiego ryzyka i muszą spełniać wymogi dotyczące zarządzania ryzykiem, jakości danych, dokumentacji, nadzoru ze strony człowieka i odporności. Wymogi te miały obowiązywać od 2 sierpnia 2026 r., a w przypadku AI wysokiego ryzyka w produktach objętych już unijnymi przepisami produktowymi, takich jak wyroby medyczne, od 2 sierpnia 2027 r.; w lipcu 2026 r. rozporządzenie zmieniające, tzw. cyfrowy omnibus w sprawie AI (rozporządzenie (UE) 2026/1744), przesunęło te terminy odpowiednio na 2 grudnia 2027 r. i 2 sierpnia 2028 r.

Artykuł 22 RODO dodaje prawo do tego, by nie podlegać decyzjom opartym wyłącznie na zautomatyzowanym przetwarzaniu, które wywołują skutki prawne lub w podobny sposób istotnie wpływają na daną osobę, z wyjątkami i zabezpieczeniami, takimi jak możliwość interwencji człowieka. Poza Unią pierwszym prawnie wiążącym traktatem międzynarodowym dotyczącym AI jest Konwencja ramowa Rady Europy o sztucznej inteligencji, otwarta do podpisu we wrześniu 2024 r.; zobowiązuje ona państwa, które ją ratyfikują, do ochrony praw człowieka, demokracji i praworządności.

Standardy: od obowiązków do dowodów

Przepisy określają zazwyczaj oczekiwane rezultaty, a nie metody; standardy przekładają obowiązek, taki jak zarządzanie ryzykiem, na testy, zapisy i dowody. ISO/IEC 42001 (2023) to norma systemu zarządzania AI: organizacja określa polityki, przypisuje role, ocenia ryzyko i stale się doskonali. NIST AI Risk Management Framework 1.0 (styczeń 2023) to dobrowolne amerykańskie ramy zarządzania ryzykiem AI oparte na czterech funkcjach: kierowanie, mapowanie, pomiar i zarządzanie (govern, map, measure, manage). W UE normy zharmonizowane, opracowywane na wniosek Komisji, dają dostawcom domniemanie zgodności po ich opublikowaniu w Dzienniku Urzędowym UE, a Kodeks praktyk w zakresie AI ogólnego przeznaczenia (2025), przygotowany pod egidą unijnego Urzędu ds. AI, oferuje dostawcom modeli porównywalną drogę do wykazania zgodności.

Na przykład wykrycie stronniczości w modelu rekrutacyjnym lub kredytowym wymaga zwykle danych wrażliwych, takich jak pochodzenie etniczne czy stan zdrowia. Artykuł 4a AI Act, dodany w 2026 r., pozwala przetwarzać takie dane w celu wykrywania i korygowania stronniczości wyłącznie z zachowaniem zabezpieczeń i tylko wtedy, gdy dane syntetyczne lub zanonimizowane nie wystarczyłyby do tego celu. W raporcie technicznym o wykrywaniu stronniczości na podstawie art. 4a AI Act Fundacja analizuje, kiedy dane syntetyczne, zanonimizowane lub zabezpieczone prywatnością różnicową wystarczają, a gdzie okazują się niewystarczające.

Instytucje: kto interpretuje, nadzoruje i egzekwuje

W UE Urząd ds. AI, działający w ramach Komisji Europejskiej, nadzoruje modele AI ogólnego przeznaczenia i koordynuje wdrażanie przepisów; krajowe organy nadzoru rynku czuwają nad systemami wysokiego ryzyka; jednostki notyfikowane sprawdzają niektóre systemy wysokiego ryzyka przed wprowadzeniem ich na rynek; organy ochrony danych egzekwują RODO; sprawy sporne rozstrzygają sądy.

Instytucje międzynarodowe raczej koordynują, niż egzekwują. Zasady OECD dotyczące AI (2019, zaktualizowane w 2024 r.) były pierwszym międzyrządowym standardem w tej dziedzinie, a Zalecenie UNESCO w sprawie etyki sztucznej inteligencji (2021) poszerzyło ten konsensus. Międzynarodowe szczyty AI w Bletchley Park (2023) i Seulu (2024) zgromadziły rządy i firmy rozwijające AI wokół ryzyk związanych z najbardziej zaawansowanymi modelami, a kilka państw utworzyło instytuty bezpieczeństwa AI. Paryski szczyt AI Action Summit (2025) przesunął następnie akcent na inkluzywną i zrównoważoną AI. Żadna z tych instytucji nie może nałożyć na firmę kary finansowej; działają one poprzez zobowiązania, wzajemną presję i techniczne prace przygotowawcze, które mogą później znaleźć odzwierciedlenie w przepisach.

Kompromisy, których nie uniknie żaden model regulacji

Każdy model regulacji równoważy konkurujące ze sobą wartości. Szczegółowe przepisy dają pewność, ale szybko się starzeją; ogólne zasady łatwiej się adaptują, ale zostawiają organizacje w niepewności. Kontrole przed wprowadzeniem na rynek wychwytują problemy wcześnie, ale wymagają czasu i zwykle sprzyjają większym firmom; odpowiedzialność dochodzona dopiero po wyrządzeniu szkody jest na początku tańsza, ale naprawia ją późno. Na gruncie AI Act większość obowiązków spoczywa na dostawcach, lecz podmioty stosujące mimo to muszą korzystać z systemu zgodnie z instrukcją, powierzyć nadzór nad nim przeszkolonemu personelowi i monitorować jego działanie w trakcie użytkowania, często dysponując niewielkimi zespołami.

Urząd miasta używający narzędzia do oceny punktowej, by szeregować wnioski o świadczenia socjalne, działa w obszarze, który AI Act zalicza do wysokiego ryzyka; jeśli decyzje zapadają bez rzeczywistego udziału człowieka, już dziś ma zastosowanie art. 22 RODO. Szpital kupujący oprogramowanie diagnostyczne, które samo jest wyrobem medycznym lub jest w niego wbudowane, ma przed sobą dłuższy okres przejściowy, do 2028 r., ponieważ wyrób ten podlega już unijnym przepisom produktowym. Szkoła wdrażająca usługę korepetycji opartą na AI jest zwykle podmiotem stosującym, a nie dostawcą w rozumieniu AI Act, co zmienia zakres jej obowiązków i to, o co powinna pytać firmę, od której kupuje usługę.

Co warto zapamiętać

Dla każdego, kto kupuje, buduje lub nadzoruje system sztucznej inteligencji, zarządzanie AI sprowadza się w dużej mierze do trzech kwestii.

• Rola: czy organizacja jest dostawcą, podmiotem stosującym, czy jednym i drugim.
• Kategoria ryzyka: która ma zastosowanie i jakie obowiązki z niej wynikają.
• Dowody: co organizacja mogłaby jutro przedstawić, aby wykazać, że system działa tak, jak deklarowano.

Spisanie tych odpowiedzi i wracanie do nich w miarę zmian przepisów to nawyk, który każda organizacja może sobie wyrobić już teraz. Fundacja bada, jak unijny AI Act działa w praktyce i jakich dowodów technicznych wymaga od dostawców, a swoje ustalenia publikuje w dziale Research & Insights.

W skrócie

Zarządzanie AI to sieć przepisów, standardów, instytucji i norm, które decydują o tym, jak AI może być tworzona i wykorzystywana oraz kto ponosi odpowiedzialność, gdy coś pójdzie nie tak. Działa ono poprzez cztery warstwy: prawo wiążące, takie jak unijny AI Act, standardy i ramy, instytucje, takie jak regulatorzy i sądy, oraz normy, na przykład etykę zawodową i wewnętrzne polityki.

Najczęściej zadawane pytania

Czym jest unijny AI Act i od kiedy obowiązuje?

Unijny AI Act, czyli rozporządzenie (UE) 2024/1689, obowiązuje od 1 sierpnia 2024 r. i jest pierwszym kompleksowym wiążącym aktem prawnym dotyczącym AI. Jego przepisy zaczynają obowiązywać etapami, zależnie od poziomu ryzyka. Niewielka grupa praktyk jest zakazana od 2 lutego 2025 r., a dostawcy modeli ogólnego przeznaczenia mają własne obowiązki od 2 sierpnia 2025 r.

Czy UE przesunęła terminy dla systemów wysokiego ryzyka w AI Act?

Tak. Wymogi dla systemów wysokiego ryzyka miały obowiązywać od 2 sierpnia 2026 r., a dla AI wysokiego ryzyka w produktach objętych już unijnymi przepisami produktowymi, takich jak wyroby medyczne, od 2 sierpnia 2027 r. W lipcu 2026 r. cyfrowy omnibus w sprawie AI (rozporządzenie (UE) 2026/1744) przesunął te terminy na 2 grudnia 2027 r. i 2 sierpnia 2028 r.

Czym różni się ISO/IEC 42001 od NIST AI Risk Management Framework?

ISO/IEC 42001 (2023) to norma systemu zarządzania AI: organizacja określa polityki, przypisuje role, ocenia ryzyko i stale się doskonali. NIST AI Risk Management Framework 1.0 (styczeń 2023) to dobrowolne amerykańskie ramy zarządzania ryzykiem AI, oparte na czterech funkcjach: kierowanie, mapowanie, pomiar i zarządzanie.

Kto egzekwuje przepisy o AI w UE?

W UE Urząd ds. AI w ramach Komisji Europejskiej nadzoruje modele AI ogólnego przeznaczenia i koordynuje wdrażanie przepisów. Krajowe organy nadzoru rynku czuwają nad systemami wysokiego ryzyka, jednostki notyfikowane sprawdzają niektóre z nich przed wprowadzeniem na rynek, organy ochrony danych egzekwują RODO, a sprawy sporne rozstrzygają sądy.

Czy szkoła korzystająca z usługi korepetycji opartej na AI jest dostawcą, czy podmiotem stosującym?

Szkoła wdrażająca taką usługę jest zwykle podmiotem stosującym, a nie dostawcą, co zmienia zakres jej obowiązków i to, o co powinna pytać firmę, od której kupuje usługę. Choć większość obowiązków spoczywa na dostawcach, podmiot stosujący musi korzystać z systemu zgodnie z instrukcją, powierzyć nadzór przeszkolonemu personelowi i monitorować jego działanie.

Jak cytować Fundacja LASTHUMAN. (2026, 12 sierpnia). Zarządzanie AI (AI governance) w pigułce. https://lasthuman.today/pl/insights/ai-governance-explained.html