Unijny AI Act: co oznacza dla najbliższej dekady

Unijny akt w sprawie sztucznej inteligencji (AI Act), rozporządzenie (UE) 2024/1689, jest powszechnie określany jako pierwsze kompleksowe prawo regulujące sztuczną inteligencję według ryzyka, jakie dany system stwarza dla ludzi. Dzieli zastosowania AI na poziomy ryzyka, większość obowiązków nakłada na dostawców systemów wysokiego ryzyka, jest stosowany etapami od 2025 do 2028 roku i wiąże każdego dostawcę wprowadzającego system na rynek UE, niezależnie od tego, gdzie ma siedzibę.

Prawo zbudowane wokół ryzyka, nie technologii

Poza modelami ogólnego przeznaczenia (o nich niżej) AI Act nie reguluje technologii jako takiej, lecz to, do czego system jest używany i jaką szkodę takie użycie może wyrządzić. Systemy dzielą się na cztery poziomy:

• krótka lista praktyk zakazanych
• dłuższa lista zastosowań wysokiego ryzyka
• obowiązki w zakresie przejrzystości dla systemów, które wchodzą w interakcję z ludźmi lub generują treści
• liczna grupa pozostałych systemów, objętych jedynie obowiązkiem zapewnienia pracownikom kompetencji w zakresie AI

Ten sam model językowy stwarza minimalne ryzyko, gdy redaguje newsletter, a staje się częścią systemu wysokiego ryzyka, gdy szereguje kandydatów do pracy. Ryzyko wiąże się przede wszystkim z przeznaczeniem systemu, a nie z kodem.

Praktyki zakazane i zastosowania wysokiego ryzyka

Pierwotne zakazy obowiązują od 2 lutego 2025 r. Należą do nich scoring społeczny prowadzący do nieuzasadnionego niekorzystnego traktowania, techniki manipulacyjne wyrządzające poważną szkodę, nieukierunkowane pozyskiwanie (scraping) wizerunków twarzy w celu tworzenia baz danych do rozpoznawania twarzy oraz rozpoznawanie emocji w miejscach pracy i szkołach poza zastosowaniami medycznymi lub związanymi z bezpieczeństwem. Zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej, prowadzona przez organy ścigania, jest zakazana, z wąsko określonymi wyjątkami. Nowelizacja z 2026 r. dodała dwa kolejne zakazy, stosowane od 2 grudnia 2026 r.: dotyczą systemów AI, które bez wyraźnej zgody danej osoby generują realistyczne intymne lub jednoznacznie seksualne obrazy, nagrania wideo lub audio przedstawiające możliwą do zidentyfikowania osobę albo manipulują takimi materiałami, a także systemów AI, które generują materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych lub nimi manipulują. Za naruszenia grożą najwyższe kary przewidziane w AI Act: do 35 mln euro lub 7 proc. rocznego światowego obrotu, w zależności od tego, która z tych kwot jest wyższa.

Do kategorii wysokiego ryzyka system może trafić na dwa sposoby. Związany z bezpieczeństwem element produktu objętego wymienionymi w AI Act unijnymi przepisami dotyczącymi produktów, takiego jak wyrób medyczny lub dźwig, jest systemem wysokiego ryzyka, jeżeli przepisy te wymagają oceny zgodności przeprowadzanej przez stronę trzecią, i podlega wówczas ścieżce oceny zgodności właściwej dla tego produktu. Systemy samodzielne są domyślnie systemami wysokiego ryzyka, jeżeli służą celom wymienionym w ośmiu obszarach:

• biometria
• infrastruktura krytyczna
• edukacja
• zatrudnienie
• usługi podstawowe (w tym ocena zdolności kredytowej oraz ubezpieczenia na życie i zdrowotne)
• ściganie przestępstw
• migracja, azyl i kontrola graniczna
• sprawowanie wymiaru sprawiedliwości i procesy demokratyczne

Typowe przykłady to ocenianie egzaminów i decyzje o przyznaniu świadczeń.

Obowiązki dostawców i podmiotów stosujących

Dostawca opracowuje system i wprowadza go na rynek pod własną nazwą; podmiot stosujący używa go w działalności zawodowej. Większość obowiązków spoczywa na dostawcach systemów wysokiego ryzyka, którzy muszą:

• prowadzić udokumentowany proces zarządzania ryzykiem przez cały cykl życia systemu
• zarządzać danymi treningowymi, walidacyjnymi i testowymi, w tym badać je pod kątem stronniczości
• przygotować dokumentację techniczną i wbudować automatyczne rejestrowanie zdarzeń
• projektować system z myślą o nadzorze ze strony człowieka, dokładności, solidności i cyberbezpieczeństwie
• przeprowadzić ocenę zgodności (zwykle wewnętrzną), umieścić oznakowanie CE i zarejestrować systemy samodzielne w unijnej bazie danych

Podmioty stosujące muszą przestrzegać instrukcji obsługi, powierzyć nadzór kompetentnym osobom z uprawnieniami do interwencji, przechowywać rejestry zdarzeń, informować ludzi, gdy taki system jest wykorzystywany przy podejmowaniu decyzji w ich sprawie, oraz poinformować pracowników i ich przedstawicieli, zanim zaczną używać go w miejscu pracy. Podmioty publiczne, prywatni operatorzy usług publicznych oraz podmioty stosujące systemy wysokiego ryzyka do oceny zdolności kredytowej lub w ubezpieczeniach na życie i zdrowotnych muszą najpierw ocenić skutki dla praw podstawowych.

Badanie stronniczości często wymaga danych wrażliwych, takich jak pochodzenie etniczne lub stan zdrowia, których przetwarzanie ograniczają przepisy o ochronie danych. Od nowelizacji z 2026 r. art. 4a AI Act pozwala przetwarzać takie dane w celu wykrywania i korygowania stronniczości już nie tylko w systemach wysokiego ryzyka, z zachowaniem zabezpieczeń i tylko wtedy, gdy dane syntetyczne, zanonimizowane lub inne nie wystarczą. To, czy wystarczą, jest kwestią techniczną, którą analizuje raport techniczny Fundacji o danych syntetycznych, zanonimizowanych i różnicowo prywatnych do wykrywania stronniczości.

Harmonogram i ścieżka dla AI ogólnego przeznaczenia

AI Act jest stosowany etapami:

• 1 sierpnia 2024 r.: wejście w życie
• 2 lutego 2025 r.: pierwotne zakazy i obowiązek zapewnienia kompetencji w zakresie AI
• 2 sierpnia 2025 r.: obowiązki dotyczące modeli AI ogólnego przeznaczenia
• 2 sierpnia 2026 r.: większość pozostałych przepisów, w tym obowiązki w zakresie przejrzystości dla systemów, które wchodzą w interakcję z ludźmi lub generują treści
• 2 grudnia 2026 r.: dwa zakazy dodane w 2026 r. oraz obowiązek oznakowania treści generowanych przez systemy generatywnej AI wprowadzone do obrotu przed 2 sierpnia 2026 r.
• 2 grudnia 2027 r.: większość obowiązków dla systemów wysokiego ryzyka (pierwotnie 2 sierpnia 2026 r.)
• 2 sierpnia 2028 r.: obowiązki dla AI wysokiego ryzyka w produktach objętych unijnymi przepisami dotyczącymi produktów (pierwotnie 2 sierpnia 2027 r.)

W listopadzie 2025 r. Komisja Europejska zaproponowała zmiany, tzw. cyfrowy omnibus w sprawie AI; Parlament Europejski i Rada przyjęły je z poprawkami jako rozporządzenie (UE) 2026/1744, które weszło w życie 27 lipca 2026 r.

Dostawcy modeli ogólnego przeznaczenia, czyli takich, które można dostosować do wielu zadań, muszą prowadzić dokumentację techniczną, informować twórców budujących na ich podstawie własne rozwiązania, przyjąć politykę w zakresie praw autorskich i opublikować streszczenie treści użytych do trenowania. Modele z ryzykiem systemowym podlegają dodatkowo obowiązkom w zakresie ewaluacji, ograniczania ryzyka, zgłaszania incydentów i cyberbezpieczeństwa. Kodeks praktyk w zakresie AI ogólnego przeznaczenia (General-Purpose AI Code of Practice), opublikowany w 2025 r., stanowi dobrowolny sposób wykazania zgodności; przepisy te egzekwuje unijny Urząd ds. AI, działający w ramach Komisji.

Dlaczego skutki sięgają poza Europę

AI Act oddziałuje poza Unią za sprawą trzech mechanizmów. Zakres: wiąże każdego dostawcę wprowadzającego system na rynek UE, niezależnie od tego, gdzie ma siedzibę, a także dostawców i podmioty stosujące spoza Unii, jeżeli wyniki działania ich systemu są wykorzystywane w Unii. Ekonomia: wiele firm woli utrzymywać jedną globalną wersję produktu, więc rygorystyczna reguła na dużym rynku może stać się domyślnym rozwiązaniem także gdzie indziej; zjawisko to, znane jako efekt brukselski, było szeroko omawiane po przyjęciu RODO. Normalizacja: europejskie normy zharmonizowane, gdy odniesienia do nich zostaną opublikowane w Dzienniku Urzędowym Unii Europejskiej, będą stwarzać domniemanie zgodności z wymogami dla systemów wysokiego ryzyka, a skodyfikowane w nich praktyki mogą rozprzestrzeniać się wraz z produktami.

Obok AI Act funkcjonują Zasady OECD dotyczące AI, ramy zarządzania ryzykiem AI opracowane przez NIST (NIST AI Risk Management Framework), norma ISO/IEC 42001 oraz Konwencja ramowa Rady Europy o sztucznej inteligencji. Najbliższa dekada pokaże, czy te ramy spotkają się na gruncie wspólnych dowodów technicznych, czy też rozpadną się na niezgodne ze sobą wymogi dokumentacyjne.

Na co zwracać uwagę i co zrobić już teraz

Otwarte pozostają pytania: jak szybko pojawią się normy zharmonizowane, jak w praktyce będą interpretowane wyjątki od klasyfikacji do kategorii wysokiego ryzyka oraz jak przewidziane w AI Act prawo do wyjaśnienia ma się do art. 22 RODO.

Każda szkoła, gmina, organizacja pozarządowa czy mała firma może zacząć już teraz: spisać używane systemy AI, sprawdzić, które z nich dotyczą obszarów wysokiego ryzyka wymienionych w AI Act, poprosić dostawców o dokumentację, wskazać osobę odpowiedzialną za nadzór i przeszkolić pracowników (ten obowiązek już ma zastosowanie). Osoby fizyczne zyskują gwarancje prawne: informację o tym, że wchodzą w interakcję z systemem AI, wyjaśnienie istotnych decyzji podjętych na podstawie wyników systemu wysokiego ryzyka oraz możliwość złożenia skargi do organu nadzoru rynku. Fundacja bada dowody techniczne, jakich wymagają takie przepisy, i publikuje wyniki w formie raportów technicznych i analiz.

W skrócie

Unijny akt w sprawie sztucznej inteligencji (AI Act), rozporządzenie (UE) 2024/1689, jest powszechnie określany jako pierwsze kompleksowe prawo regulujące AI według ryzyka, jakie system stwarza dla ludzi. Dzieli zastosowania AI na poziomy ryzyka, większość obowiązków nakłada na dostawców systemów wysokiego ryzyka i jest stosowany etapami od 2025 do 2028 roku. Wiąże każdego dostawcę wprowadzającego system na rynek UE, niezależnie od siedziby.

Najczęściej zadawane pytania

Jakie poziomy ryzyka wyróżnia AI Act?

AI Act dzieli systemy na cztery poziomy: krótką listę praktyk zakazanych, dłuższą listę zastosowań wysokiego ryzyka, obowiązki w zakresie przejrzystości dla systemów, które wchodzą w interakcję z ludźmi lub generują treści, oraz liczną grupę pozostałych systemów, objętych jedynie obowiązkiem zapewnienia pracownikom kompetencji w zakresie AI. Ryzyko wiąże się przede wszystkim z przeznaczeniem systemu, a nie z kodem.

Jakie praktyki AI zakazuje AI Act?

Pierwotne zakazy, obowiązujące od 2 lutego 2025 r., obejmują scoring społeczny prowadzący do nieuzasadnionego niekorzystnego traktowania, techniki manipulacyjne wyrządzające poważną szkodę, nieukierunkowane pozyskiwanie wizerunków twarzy w celu tworzenia baz danych do rozpoznawania twarzy oraz rozpoznawanie emocji w miejscach pracy i szkołach poza zastosowaniami medycznymi lub związanymi z bezpieczeństwem. Dwa kolejne zakazy, dodane w 2026 r., stosuje się od 2 grudnia 2026 r.

Co AI Act uznaje za system AI wysokiego ryzyka?

Do kategorii wysokiego ryzyka system może trafić na dwa sposoby. Element bezpieczeństwa produktu objętego wymienionymi w AI Act przepisami, np. wyrobu medycznego lub dźwigu, jest wysokiego ryzyka, jeśli te przepisy wymagają oceny zgodności przez stronę trzecią. Systemy samodzielne są nim domyślnie, gdy służą celom z ośmiu obszarów, m.in. biometrii, edukacji, zatrudnienia, ścigania przestępstw i usług podstawowych, takich jak ocena zdolności kredytowej.

Kiedy stosuje się przepisy AI Act?

AI Act wszedł w życie 1 sierpnia 2024 r. Pierwotne zakazy i obowiązek zapewnienia kompetencji w zakresie AI stosuje się od 2 lutego 2025 r., obowiązki dla modeli AI ogólnego przeznaczenia od 2 sierpnia 2025 r., a większość pozostałych przepisów od 2 sierpnia 2026 r. Większość obowiązków dla systemów wysokiego ryzyka obowiązuje od 2 grudnia 2027 r., a dla AI w produktach objętych unijnymi przepisami o produktach od 2 sierpnia 2028 r.

Czy AI Act dotyczy firm spoza UE?

Tak. AI Act wiąże każdego dostawcę wprowadzającego system na rynek UE, niezależnie od siedziby, a także dostawców i podmioty stosujące spoza Unii, jeżeli wyniki działania ich systemu są wykorzystywane w Unii. Wiele firm woli też jedną globalną wersję produktu, więc rygorystyczna reguła na dużym rynku może stać się domyślna gdzie indziej. To zjawisko znane jest jako efekt brukselski.

Jak cytować Fundacja LASTHUMAN. (2026, 15 października). Unijny AI Act: co oznacza dla najbliższej dekady. https://lasthuman.today/pl/insights/eu-ai-act-next-decade.html