Akt o AI w UE – poziomy ryzyka, terminy i kary

Akt o AI (AI Act) to rozporządzenie Unii Europejskiej, które klasyfikuje systemy sztucznej inteligencji według poziomu ryzyka, jakie stwarzają, i ustala dopasowane do tego zasady. Wszedł w życie 1 sierpnia 2024 roku, a jego przepisy obowiązują stopniowo przez kilka lat. Zakazy, obowiązek zapewnienia znajomości AI (AI literacy) oraz zasady dla modeli AI ogólnego przeznaczenia (GPAI) już obowiązują. Przepisy dotyczące systemów wysokiego ryzyka przesunięto na grudzień 2027 i sierpień 2028 roku za sprawą nowelizacji znanej jako Digital Omnibus, przyjętej w 2026 roku.

Niniejszy przewodnik odzwierciedla stan na październik 2026 roku. Kilka szczegółów zmienionego harmonogramu wciąż jest wyjaśnianych. Przed podjęciem decyzji dotyczących zgodności sprawdź tekst opublikowany w Dzienniku Urzędowym oraz strony Komisji Europejskiej poświęcone aktowi o AI.

Czym jest akt o AI w UE?

Akt o AI jest rozporządzeniem, a nie dyrektywą. Oznacza to, że obowiązuje bezpośrednio we wszystkich państwach członkowskich, a rządy krajowe nie muszą wprowadzać go do własnego prawa. Jego oficjalne oznaczenie to rozporządzenie (UE) 2024/1689, a opublikowano je w lipcu 2024 roku. Służba badawcza Parlamentu Europejskiego zauważyła, że zaprojektowano je tak, aby w pełni zaczęło obowiązywać po co najmniej trzech latach.

Powszechnie określa się go jako pierwsze kompleksowe, horyzontalne ramy prawne dotyczące AI, co oznacza, że obejmuje wiele sektorów zamiast jednej branży. Systemy AI regulowane są według ryzyka, a modele ogólnego przeznaczenia według ich możliwości. Szczegóły techniczne zapewniają wytyczne, zharmonizowane normy i dobrowolne kodeksy postępowania.

Jakie są kategorie ryzyka w akcie o AI?

Tekst aktu wyznacza cztery poziomy ryzyka dla systemów AI oraz odrębną ścieżkę dla modeli ogólnego przeznaczenia. Poniższe podsumowanie odpowiada strukturze aktu. Dokładne granice określają art. 5, art. 6, załączniki I i III oraz art. 50.

Ryzyko niedopuszczalne (zakazane): obejmuje scoring społeczny oraz AI manipulującą ludźmi lub wykorzystującą ich słabości. Zakazane jest nieukierunkowane pozyskiwanie wizerunków twarzy z internetu, a także rozpoznawanie emocji w miejscu pracy i w szkołach, z wyjątkami. Zakazana jest też część kategoryzacji biometrycznej, predykcyjne działania policyjne oparte wyłącznie na profilowaniu oraz zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej przez organy ścigania (z wąskimi wyjątkami).

Wysokie ryzyko: wyróżniono dwa typy. Załącznik I obejmuje AI pełniącą funkcję elementu bezpieczeństwa w produktach już regulowanych unijnym prawem produktowym, takich jak maszyny, wyroby medyczne czy zabawki. Załącznik III obejmuje samodzielne systemy używane w wrażliwych obszarach. Są to m.in. biometria, infrastruktura krytyczna, edukacja, zatrudnienie, usługi podstawowe i kredyty, egzekwowanie prawa, migracja i kontrola granic oraz wymiar sprawiedliwości i procesy demokratyczne.

Dostawcy systemów wysokiego ryzyka muszą wdrożyć zarządzanie ryzykiem, zarządzanie danymi i dokumentację techniczną. Potrzebują również rejestrowania zdarzeń, nadzoru człowieka oraz odpowiedniej dokładności i odporności. Do tego dochodzi ocena zgodności, oznakowanie CE i rejestracja w unijnej bazie danych.

Ryzyko ograniczone (przejrzystość, art. 50): użytkownicy muszą być informowani, gdy rozmawiają z chatbotem, a deepfake'i muszą być oznaczone. Treści wygenerowane przez AI muszą także mieć oznaczenie czytelne maszynowo. Ryzyko minimalne: codzienne narzędzia, takie jak filtry antyspamowe czy gry wideo, nie podlegają nowym obowiązkom.

Modele AI ogólnego przeznaczenia: każdy dostawca GPAI musi prowadzić dokumentację i mieć politykę dotyczącą praw autorskich. Modele uznane za nieść "ryzyko systemowe" podlegają dodatkowym obowiązkom. Akt zakłada istnienie ryzyka systemowego powyżej progu mocy obliczeniowej treningu wynoszącego 10^25 FLOPs.

Kiedy obowiązuje akt o AI? Aktualny harmonogram

Zgodnie z pierwotnym harmonogramem zakazy oraz obowiązki w zakresie znajomości AI weszły w życie 2 lutego 2025 roku. Przepisy dotyczące GPAI, postanowienia o zarządzaniu oraz kary weszły w życie 2 sierpnia 2025 roku. Większość pozostałych przepisów, w tym zasady dla systemów wysokiego ryzyka z załącznika III, miała obowiązywać od 2 sierpnia 2026 roku. Zasady dla systemów wysokiego ryzyka z załącznika I miały zacząć obowiązywać 2 sierpnia 2027 roku.

Plan się zmienił. 19 listopada 2025 roku Komisja przedstawiła propozycję "Digital Omnibus on AI", częściowo w odpowiedzi na obawy dotyczące złożoności regulacji zgłaszane w raporcie Draghiego z 2024 roku. Parlament i Rada osiągnęły wstępne porozumienie 7 maja 2026 roku. Parlament dał ostateczną zgodę 16 czerwca, a Rada przyjęła tekst 29 czerwca. Podpisano go 8 lipca, a wszedł w życie w dniu publikacji w Dzienniku Urzędowym, 27 lipca 2026 roku.

Zgodnie ze zmienionymi terminami samodzielne przepisy dotyczące systemów wysokiego ryzyka z załącznika III obowiązują od 2 grudnia 2027 roku. Przepisy z załącznika I dotyczące AI wbudowanej w produkty regulowane zaczynają obowiązywać w sierpniu 2028 roku. Według analizy Formalize ogólne zakazy oraz przepisy GPAI nie zostały przesunięte.

Część kwestii pozostaje otwarta. Dotyczy to dokładnej daty po nowelizacji dla obowiązków przejrzystości i znakowania wodnego z art. 50, tego, czy dodano nowe zakazy, oraz dokładnego zakresu ulg dla mniejszych firm. Zharmonizowane normy mają podobno również opóźnienia. Sprawdź te punkty w oficjalnym tekście.

Do kogo odnosi się akt o AI?

Zgodnie z artykułem o zakresie stosowania akt obejmuje dostawców, którzy wprowadzają systemy AI na rynek UE, niezależnie od miejsca siedziby. Obejmuje także podmioty stosujące AI (organizacje wykorzystujące AI) mające siedzibę w UE, a także importerów, dystrybutorów i producentów produktów. Dostawcy i podmioty stosujące spoza UE również podlegają przepisom, jeśli wyniki ich systemu są wykorzystywane w Unii.

Ten zasięg pozaterytorialny działa podobnie jak RODO. Firma z Turcji, ze Stanów Zjednoczonych lub z innego kraju, która sprzedaje AI w UE lub której wyniki AI są tam wykorzystywane, może podlegać przepisom. Dostawcy spoza UE systemów wysokiego ryzyka oraz modeli GPAI muszą wyznaczyć upoważnionego przedstawiciela w UE.

Wyłączone są niektóre zastosowania: wojskowe, obronne i związane z bezpieczeństwem narodowym; AI używana wyłącznie do badań naukowych; oraz czysto osobiste, niezawodowe użytkowanie. Większość bezpłatnego i otwartego oprogramowania również znajduje się poza zakresem, z pewnymi wyjątkami.

Jakie kary przewiduje akt o AI?

Art. 99 ustanawia trzy poziomy kar. Naruszenie zakazów może kosztować do 35 mln euro lub 7% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Większość pozostałych obowiązków operatorów wiąże się z karami do 15 mln euro lub 3%. Podanie nieprawidłowych lub wprowadzających w błąd informacji organom może skutkować karami do 7,5 mln euro lub 1%.

Dla MŚP i startupów obowiązuje niższa z dwóch kwot (art. 99 ust. 6). Omnibus podobno rozszerza to podejście na "small mid-caps". Państwa członkowskie ustalają szczegółowe krajowe zasady kar, a art. 99 obowiązuje od 2 sierpnia 2025 roku. Dostawcy GPAI mogą zostać ukarani przez Komisję karą do 15 mln euro lub 3%.

Poziomy kar związane z odroczonymi obowiązkami zaczną działać dopiero wtedy, gdy te obowiązki zaczną obowiązywać. Niektóre starsze artykuły nadal podają, że kary za systemy wysokiego ryzyka zaczynają obowiązywać 2 sierpnia 2026 roku. Nie jest to już zgodne z prawdą.

Co organizacje powinny zrobić już teraz?

Opóźnienie nie jest powodem do wstrzymania przygotowań, ponieważ zakazy, znajomość AI oraz zasady GPAI już obowiązują. Praktycznym pierwszym krokiem jest spis systemów AI, które tworzysz, kupujesz lub sprzedajesz, oraz przypisanie każdego z nich do poziomu ryzyka.

Dostawcy systemów wysokiego ryzyka potrzebują czasu na przygotowanie dokumentacji oraz procesów zarządzania danymi i nadzoru człowieka, więc grudzień 2027 roku jest bliżej, niż się wydaje. Szczegółowych informacji szukaj w EUR-Lex, na stronach Komisji poświęconych aktowi o AI oraz u Biura ds. AI, a nie w zestawieniach wtórnych.