AI Act w praktyce: co musi zrobić polska firma

Rozporządzenie (UE) 2024/1689, czyli AI Act, weszło w życie 1 sierpnia 2024 r. i jest stosowane etapami. Część obowiązków dotyczy polskich firm już od lutego 2025 r., kolejne wchodzą w następnych latach. Poniżej zebraliśmy to, co trzeba wiedzieć i zrobić teraz.

Najważniejsze terminy

Od kiedy	Co obowiązuje
2 lutego 2025 r.	Zakazane praktyki (art. 5) oraz obowiązek zapewnienia kompetencji w zakresie AI, tzw. AI literacy (art. 4).
2 sierpnia 2025 r.	Obowiązki dostawców modeli AI ogólnego przeznaczenia, przepisy o nadzorze i karach.
2 sierpnia 2026 r.	Większość pozostałych przepisów, w tym obowiązki przejrzystości (art. 50) i co do zasady wymogi dla systemów wysokiego ryzyka z załącznika III.
2 sierpnia 2027 r.	Systemy wysokiego ryzyka będące elementami bezpieczeństwa produktów regulowanych (załącznik I).

Komisja Europejska zaproponowała w pakiecie upraszczającym (Digital Omnibus) powiązanie części terminów dla systemów wysokiego ryzyka z dostępnością norm i wytycznych. Zanim zaplanujesz budżet na zgodność, sprawdź aktualny stan prac legislacyjnych. Obowiązki z art. 4 i art. 5 już obowiązują i nie zależą od tych zmian.

Jaką rolę pełni Twoja firma?

AI Act przypisuje obowiązki do ról. Najczęściej spotykane to:

• Dostawca: tworzy system AI lub wprowadza go na rynek pod własną nazwą.
• Podmiot stosujący: używa systemu AI w ramach swojej działalności. To rola większości firm, które korzystają z asystentów AI, chatbotów czy narzędzi do analizy CV.
• Importer i dystrybutor: wprowadzają na rynek UE lub udostępniają systemy AI innych podmiotów.

Ta sama firma może mieć kilka ról. Jeśli na bazie modelu językowego budujesz własnego asystenta dla klientów, zwykle jesteś jednocześnie podmiotem stosującym model i dostawcą swojego systemu.

Cztery poziomy ryzyka

• Niedopuszczalne: np. manipulacja wykorzystująca słabości osób, social scoring, rozpoznawanie emocji w miejscu pracy i edukacji (z wyjątkami). Takie praktyki są zakazane.
• Wysokie: m.in. systemy używane w rekrutacji, ocenie zdolności kredytowej, edukacji czy dostępie do usług publicznych. Wymagają zarządzania ryzykiem, dokumentacji, nadzoru człowieka i rejestrowania zdarzeń.
• Ograniczone: chatboty, generowanie treści, deepfake. Kluczowa jest przejrzystość: użytkownik musi wiedzieć, że rozmawia z AI lub ogląda treść wygenerowaną przez AI.
• Minimalne: filtry spamu, rekomendacje produktów, narzędzia wewnętrzne. Brak szczególnych wymogów poza art. 4.

Kary

Za stosowanie zakazanych praktyk grozi do 35 mln euro lub 7% całkowitego rocznego obrotu. Za naruszenie innych obowiązków grozi do 15 mln euro lub 3% obrotu, a za podanie nieprawdziwych informacji organom do 7,5 mln euro lub 1% obrotu. W przypadku MŚP stosuje się niższą z tych kwot.

Lista kontrolna: od czego zacząć

1. Inwentaryzacja. Spisz wszystkie systemy AI używane w firmie, także te, z których pracownicy korzystają na własną rękę.
2. Role i klasyfikacja. Dla każdego systemu określ swoją rolę i poziom ryzyka.
3. Kompetencje AI. Przeszkol zespół zgodnie z art. 4 i udokumentuj to. Więcej w artykule o obowiązku AI literacy.
4. Polityka AI. Ustal, jakich narzędzi wolno używać, jakich danych nie wolno do nich wprowadzać i kto zatwierdza nowe zastosowania.
5. Przejrzystość. Oznacz chatboty i treści generowane przez AI tam, gdzie wymagają tego przepisy.
6. Nadzór człowieka. Zaprojektuj procesy tak, by ważne decyzje zatwierdzał człowiek, a działania systemu były rejestrowane.
7. Umowy i RODO. Sprawdź umowy z dostawcami AI i powiąż analizę AI z oceną skutków dla ochrony danych.

Zgodność z AI Act to sposób zarządzania technologią, a nie jednorazowy projekt prawny. Firma, która zna granice, wdraża AI szybciej.

Jak pomagamy

Zespół Datadev AI (dawniej aiact.waw.pl) prowadzi firmy przez cały proces: inwentaryzację i klasyfikację, szkolenia i polityki, a potem techniczne wdrożenie nadzoru i rejestrowania zdarzeń w systemach, które budujemy. Zobacz, jak prowadzimy wdrożenie zgodności z AI Act.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej.