Przyszłość regulacji AI w Europie

Unijny AI Act już obowiązuje, ale o tym, jak będzie działał w praktyce, przesądzą normy zharmonizowane, kodeksy praktyk, organy nadzoru, orzeczenia sądów i zmiany samego rozporządzenia, a nowelizacja z 2026 roku już przesunęła przepisy dotyczące systemów wysokiego ryzyka na lata 2027 i 2028.

Start rozłożony na etapy

AI Act, czyli rozporządzenie (UE) 2024/1689, wszedł w życie 1 sierpnia 2024 roku i jest stosowany etapami. Zakazy praktyk takich jak scoring społeczny oraz rozpoznawanie emocji w miejscu pracy i w szkołach obowiązują od 2 lutego 2025 roku, a obowiązki dotyczące modeli AI ogólnego przeznaczenia od 2 sierpnia 2025 roku. Większość obowiązków dotyczących systemów wysokiego ryzyka miała pierwotnie zacząć obowiązywać 2 sierpnia 2026 roku, a w przypadku AI w produktach objętych odrębnymi przepisami w terminie późniejszym.

Od tego czasu terminy te przesunięto. W listopadzie 2025 roku Komisja Europejska zaproponowała zmiany, tak zwany omnibus cyfrowy; Parlament Europejski i Rada przyjęły je w połowie 2026 roku jako rozporządzenie (UE) 2026/1744, które weszło w życie 27 lipca 2026 roku. Obowiązki dotyczące zastosowań wysokiego ryzyka ujętych na liście stosuje się teraz od 2 grudnia 2027 roku, a w przypadku AI w produktach objętych odrębnymi przepisami od 2 sierpnia 2028 roku. Nowelizacja dodała też dwa zakazy dotyczące AI generującej materiały intymne bez zgody przedstawionej w nich osoby oraz AI generującej materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych; obowiązują one od 2 grudnia 2026 roku. Sama konstrukcja rozporządzenia pozostaje bez zmian.

Lista zastosowań wysokiego ryzyka obejmuje między innymi zatrudnienie, edukację, podstawowe usługi, ściganie przestępstw i migrację. Dostawcy muszą wdrożyć zarządzanie ryzykiem, zarządzanie danymi, dokumentację i nadzór ze strony człowieka oraz przeprowadzić ocenę zgodności, zwykle w formie samooceny. Podmioty publiczne, a także niektóre prywatne podmioty stosujące takie systemy, na przykład świadczące usługi publiczne lub oceniające zdolność kredytową, muszą najpierw ocenić ich wpływ na prawa podstawowe.

Normy i kodeksy: gdzie powstają szczegóły

AI Act formułuje wymogi w sposób ogólny; to, co oznacza odpowiednie zarządzanie danymi albo wystarczający nadzór ze strony człowieka, doprecyzowuje się głównie w normach zharmonizowanych, opracowywanych przez organizacje normalizacyjne CEN i CENELEC na wniosek Komisji. Stosowanie normy opublikowanej w Dzienniku Urzędowym UE daje domniemanie zgodności; inne drogi są dopuszczalne, ale dostawca musi wtedy wykazać, że jego podejście spełnia wymogi.

Normalizacja sprzyja tym, których stać na udział w pracach, czyli głównie dużym firmom. Opracowanie norm trwa lata, a gdy normy nie nadążają za terminami wynikającymi z przepisów, rośnie presja, by te terminy przesuwać: opóźnienie norm było jednym z głównych argumentów za odroczeniem z 2026 roku. AI Act pozwala wykorzystywać wrażliwe dane osobowe do wykrywania stronniczości tylko wtedy, gdy dane syntetyczne lub zanonimizowane nie wystarczą; nowelizacja z 2026 roku rozszerzyła to zezwolenie poza systemy wysokiego ryzyka. Raport techniczny Fundacji o wykrywaniu stronniczości na gruncie AI Act analizuje, kiedy takie dane wystarczają.

Dla modeli ogólnego przeznaczenia istnieje szybsza ścieżka: Kodeks praktyk w zakresie AI ogólnego przeznaczenia (General-Purpose AI Code of Practice), opublikowany w lipcu 2025 roku pod auspicjami Europejskiego Urzędu ds. AI, obejmuje przejrzystość, prawa autorskie oraz bezpieczeństwo i ochronę w przypadku modeli stwarzających ryzyko systemowe. Przystąpienie do kodeksu jest dobrowolne, ale uznaje się je za sposób wykazania zgodności, dopóki nie powstaną normy.

Egzekwowanie przepisów: instytucje i zasoby

Europejski Urząd ds. AI bezpośrednio nadzoruje modele AI ogólnego przeznaczenia. Krajowe organy nadzoru rynku nadzorują systemy AI na swoim terytorium. Kary za zakazane praktyki mogą sięgać 35 milionów euro lub 7 procent rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa, a za większość pozostałych naruszeń 15 milionów euro lub 3 procent.

Trudniejsza jest kwestia zasobów. Sprawdzenie, czy narzędzie rekrutacyjne przetestowano pod kątem stronniczości, wymaga ludzi, którzy rozumieją zarówno prawo, jak i uczenie maszynowe, a takich w administracji publicznej brakuje. Każde państwo członkowskie musi też do 2 sierpnia 2027 roku, czyli rok później niż pierwotnie planowano, uruchomić piaskownicę regulacyjną, w której dostawcy testują systemy pod nadzorem przed wprowadzeniem ich na rynek.

Rewizja: prawo, które ma się zmieniać

AI Act może zmieniać się od wewnątrz. Komisja może aktem delegowanym zmieniać listę zastosowań wysokiego ryzyka, w granicach obszarów wyznaczonych przez prawodawcę, oraz aktualizować próg mocy obliczeniowej, powyżej którego przyjmuje się, że model ogólnego przeznaczenia stwarza ryzyko systemowe.

Ostatnie słowo w sprawie takich pojęć jak „system AI” czy „istotna zmiana” należy do Trybunału Sprawiedliwości Unii Europejskiej. W wyroku w sprawie SCHUFA z grudnia 2023 roku Trybunał uznał, że już samo wyliczenie scoringu kredytowego może być zautomatyzowaną decyzją w rozumieniu RODO, jeżeli kredytodawca w dużej mierze się na nim opiera, co na nowo wyznaczyło praktyczne granice tego przepisu.

Kwestia odpowiedzialności pozostaje nierozstrzygnięta. W 2025 roku Komisja wycofała projekt dyrektywy w sprawie odpowiedzialności za sztuczną inteligencję, więc odszkodowania za szkody wyrządzone przez AI opierają się na prawie krajowym oraz na znowelizowanej dyrektywie o odpowiedzialności za produkty wadliwe z 2024 roku, która traktuje oprogramowanie, w tym systemy AI, jako produkt i ma zastosowanie od grudnia 2026 roku.

Europa w szerszym kontekście

Konwencja ramowa Rady Europy o sztucznej inteligencji, otwarta do podpisu we wrześniu 2024 roku, jest pierwszym wiążącym międzynarodowym traktatem dotyczącym AI; UE podpisała ją we wrześniu 2024 roku, ratyfikowała w maju 2026 roku i będzie ją wdrażać głównie poprzez AI Act. Zasady OECD dotyczące AI, ramy zarządzania ryzykiem AI opracowane przez NIST oraz norma ISO/IEC 42001 dostarczają wspólnego słownika i narzędzi zarządczych.

Twórca sprzedający na całym świecie albo dostosuje produkt do najsurowszego reżimu regulacyjnego (tak zwany efekt brukselski), albo będzie dostarczał różne produkty na różne rynki; a ponieważ Europa jest zależna od mocy obliczeniowej, modeli i usług chmurowych tworzonych gdzie indziej, polityka UE łączy dziś regulacje z publicznymi inwestycjami w moce obliczeniowe.

Czego mogą się spodziewać twórcy i obywatele

Dla twórców trwałą częścią AI Act jest dyscyplina, a nie kalendarz:

• Znajomość kategorii ryzyka każdego systemu, wraz z udokumentowanym uzasadnieniem.
• Rejestrowanie źródeł danych, decyzji projektowych i znanych ograniczeń.
• Testowanie pod kątem stronniczości, dokładności i odporności oraz zachowywanie dowodów.
• Obecność człowieka, który potrafi zrozumieć system, uchylić jego decyzję i go zatrzymać.

To wszystko przetrwa każde przesunięcie terminów; projekty norm i wytyczne Urzędu ds. AI już dziś pokazują, jakich dowodów będzie się oczekiwać, a inwentaryzacja systemów i ich przeznaczenia to najtańszy pierwszy krok.

Obywatelom AI Act daje nowe prawa: do informacji, że mają do czynienia z systemem AI lub że oglądają deepfake; do złożenia skargi do organu krajowego; a gdy zaczną obowiązywać przepisy o systemach wysokiego ryzyka, do jasnego wyjaśnienia, jaką rolę system odegrał w decyzji, która istotnie na nich wpływa, obok art. 22 RODO. Prawa te działają tylko wtedy, gdy ludzie z nich korzystają; pierwszym krokiem jest ustalenie, który organ krajowy jest za to odpowiedzialny. Fundacja bada, jak takie przepisy działają w praktyce i jakich dowodów wymagają, a wyniki publikuje w formie raportów technicznych.

W skrócie

AI Act już obowiązuje, ale o tym, jak będzie działał w praktyce, przesądzą normy zharmonizowane, kodeksy praktyk, organy nadzoru, orzeczenia sądów i zmiany samego rozporządzenia. Nowelizacja z 2026 roku, rozporządzenie (UE) 2026/1744, przesunęła już obowiązki dla zastosowań wysokiego ryzyka z listy na 2 grudnia 2027 roku, a dla AI w produktach objętych odrębnymi przepisami na 2 sierpnia 2028 roku.

Najczęściej zadawane pytania

Od kiedy obowiązują przepisy AI Act dotyczące systemów wysokiego ryzyka?

Obowiązki dotyczące zastosowań wysokiego ryzyka ujętych na liście stosuje się od 2 grudnia 2027 roku, a w przypadku AI w produktach objętych odrębnymi przepisami od 2 sierpnia 2028 roku. Pierwotnie większość z nich miała zacząć obowiązywać 2 sierpnia 2026 roku, ale rozporządzenie (UE) 2026/1744, w mocy od 27 lipca 2026 roku, przesunęło terminy.

Jak wysokie kary przewiduje AI Act?

Za zakazane praktyki kary mogą sięgać 35 milionów euro lub 7 procent rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa. Za większość pozostałych naruszeń limit wynosi 15 milionów euro lub 3 procent.

Kto egzekwuje przepisy AI Act?

Europejski Urząd ds. AI bezpośrednio nadzoruje modele AI ogólnego przeznaczenia, a krajowe organy nadzoru rynku nadzorują systemy AI na swoim terytorium. Trudniejsza jest kwestia zasobów, bo ludzi, którzy rozumieją zarówno prawo, jak i uczenie maszynowe, w administracji publicznej brakuje.

Czym są normy zharmonizowane w AI Act?

Normy zharmonizowane opracowują organizacje normalizacyjne CEN i CENELEC na wniosek Komisji, a one doprecyzowują, co w praktyce oznaczają ogólne wymogi rozporządzenia. Stosowanie normy opublikowanej w Dzienniku Urzędowym UE daje domniemanie zgodności, choć inne drogi są dopuszczalne.

Jakie prawa daje obywatelom AI Act?

AI Act daje prawo do informacji, że ma się do czynienia z systemem AI lub że ogląda się deepfake, oraz prawo do złożenia skargi do organu krajowego. Gdy zaczną obowiązywać przepisy o systemach wysokiego ryzyka, dojdzie prawo do jasnego wyjaśnienia, jaką rolę system odegrał w decyzji, która istotnie wpływa na daną osobę.

Jak cytować Fundacja LASTHUMAN. (2026, 3 listopada). Przyszłość regulacji AI w Europie. https://lasthuman.today/pl/insights/future-of-ai-regulation-in-europe.html