EU AI Act w skrócie
Rozporządzenie UE w sprawie AI (rozporządzenie (UE) 2024/1689) to pierwsze na świecie kompleksowe prawo dotyczące sztucznej inteligencji. Nie reguluje AI jednolicie, lecz według ryzyka jej zastosowania, i dotyczy niemal każdej firmy korzystającej z AI.
O co chodzi w EU AI Act?
EU AI Act wszedł w życie 1 sierpnia 2024 r. i jako rozporządzenie UE obowiązuje bezpośrednio we wszystkich państwach członkowskich, bez konieczności uchwalania krajowych ustaw wdrażających. Celem jest godne zaufania, bezpieczne i zgodne z prawami podstawowymi korzystanie z AI na jednolitym rynku europejskim. Rozporządzenie opiera się na podejściu opartym na ryzyku: im wyższe ryzyko danego systemu AI dla ludzi i społeczeństwa, tym surowsze wymagania.
Ważne: EU AI Act działa eksterytorialnie. Obejmuje także dostawców spoza UE, gdy ich systemy AI trafiają na rynek unijny lub gdy ich wyniki są wykorzystywane w UE. Obowiązki wchodzą w życie etapami, pełny harmonogram znajdziesz na naszej stronie terminów.
Podejście oparte na ryzyku: cztery klasy
Sercem EU AI Act jest podział systemów AI na cztery klasy ryzyka. Klasa ryzyka determinuje konkretne obowiązki:
Ryzyko niedopuszczalne
Praktyki zakazane, np. scoring społeczny przez organy lub systemy manipulacyjne. Zakazane od 2 lutego 2025 r.
Wysokie ryzyko
AI w obszarach wrażliwych (np. rekrutacja, udzielanie kredytów, infrastruktura krytyczna). Surowe wymogi zarządzania ryzykiem, jakości danych i nadzoru ludzkiego.
Ograniczone ryzyko
Obowiązki przejrzystości, użytkownik musi np. wiedzieć, że rozmawia z chatbotem lub że treść jest generowana przez AI.
Minimalne ryzyko
Większość dzisiejszych zastosowań (np. filtry spamu, AI w grach wideo). Brak szczególnych obowiązków.
Większość firm korzysta z AI w obszarze minimalnego lub ograniczonego ryzyka. Nawet wtedy obowiązuje jednak jeden fundamentalny wymóg, niezależny od klasy ryzyka, obowiązek zapewnienia kompetencji pracowników w zakresie AI.
GPAI: modele ogólnego przeznaczenia
Szczególną rolę odgrywają modele GPAI (General Purpose AI), duże, wszechstronne modele AI, jakie stoją za nowoczesnymi chatbotami oraz generatorami tekstu i obrazów. Od 2 sierpnia 2025 r. obowiązują ich własne wymogi: m.in. dokumentacja techniczna, przejrzystość wobec dostawców niższego szczebla i przestrzeganie prawa autorskiego. Dla szczególnie wydajnych modeli niosących ryzyko systemowe przewidziano dodatkowe wymagania.
Kogo to dotyczy? Dostawcy, podmioty stosujące i inni
EU AI Act rozróżnia kilka ról — z różnie daleko idącymi obowiązkami:
- Dostawcy (providers): opracowują systemy AI lub wprowadzają je na rynek pod własną nazwą. Ponoszą najszersze obowiązki wynikające z rozporządzenia.
- Podmioty stosujące (deployers): korzystają z AI w ramach swojej działalności zawodowej, dotyczy to większości firm.
- Importerzy i dystrybutorzy: importują lub dystrybuują systemy AI na rynku UE i muszą weryfikować ich zgodność z przepisami.
Kluczowe: nawet ten, kto AI „jedynie" używa — czyli działa jako podmiot stosujący — ma obowiązki, w szczególności dotyczące kompetencji pracowników w zakresie AI. Przekonanie „nie rozwijamy AI, nas to nie dotyczy" jest jednym z najczęstszych błędów.
Jakie obowiązki obowiązują i od kiedy?
EU AI Act wchodzi w życie etapami. Najważniejsze terminy w skrócie:
- 1 sierpnia 2024 r.: rozporządzenie wchodzi w życie.
- 2 lutego 2025 r.: zakazane praktyki (art. 5) oraz obowiązek kompetencji w AI (art. 4) zaczynają obowiązywać.
- 2 sierpnia 2025 r.: obowiązki dla modeli GPAI, struktura zarządzania i przepisy sankcyjne stają się skuteczne.
- 2 sierpnia 2026 r.: większość przepisów dotyczących systemów AI wysokiego ryzyka wchodzi w życie.
- 2 sierpnia 2027 r.: ostatnie okresy przejściowe dla wybranych systemów wysokiego ryzyka wygasają.
Wszystkie szczegóły i wyjątki wyjaśniamy na stronie terminów.
EU AI Act i RODO: nie jedno lub drugie
EU AI Act nie zastępuje ogólnego rozporządzenia o ochronie danych, oba obowiązują równolegle. Podczas gdy RODO reguluje przetwarzanie danych osobowych, EU AI Act skupia się na samym systemie AI i jego ryzykach. Jeśli aplikacja AI przetwarza dane osobowe, firma musi jednocześnie przestrzegać obu aktów prawnych. Solidne kompetencje w zakresie AI pomagają pracownikom dostrzegać te punkty styku w codziennej pracy.
Sankcje za naruszenia
Naruszenia EU AI Act mogą skutkować dotkliwymi karami. Rozporządzenie przewiduje trzy poziomy w zależności od wagi naruszenia:
- Do 35 mln € lub 7 % światowego rocznego obrotu, wyłącznie za zakazane praktyki według artykułu 5.
- Do 15 mln € lub 3 %, za naruszenia innych obowiązków, w tym obowiązku kompetencji w AI według art. 4.
- Do 7,5 mln € lub 1,5 %, za fałszywe lub wprowadzające w błąd informacje przekazywane organom.
Dla małych i średnich przedsiębiorstw (MŚP) oraz startupów jako górny pułap obowiązuje niższa z obu kwot. Więcej na stronie Kary.
Co to oznacza w praktyce dla Twojej firmy?
- Zrób przegląd tego, gdzie w Twojej firmie wykorzystywana jest AI.
- Zadbaj, aby pracownicy posiadali wystarczające kompetencje w AI zgodnie z artykułem 4.
- Ukończ szkolenie z EU AI Act i dokumentuj szkolenia w sposób weryfikowalny, jako dowód dla organów nadzoru.
- Miej na uwadze terminy EU AI Act, w szczególności 2 sierpnia 2026 r., od kiedy przepisy dotyczą wielu systemów AI wysokiego ryzyka.
Często zadawane pytania o EU AI Act
Czy EU AI Act dotyczy małych firm?
Tak. Obowiązek kompetencji w AI wynikający z artykułu 4 dotyczy niezależnie od wielkości firmy wszystkich, którzy korzystają z AI zawodowo. Przy ustalaniu kar MŚP korzystają jednak z niższego górnego pułapu.
Czy muszę gdzieś rejestrować swoje systemy AI?
Obowiązek rejestracji dotyczy przede wszystkim wybranych systemów wysokiego ryzyka. Jeśli korzystasz z AI wyłącznie w obszarze minimalnego lub ograniczonego ryzyka, w centrum uwagi pozostają kompetencje Twoich pracowników. Więcej odpowiedzi znajdziesz na naszej stronie FAQ.
Uwaga: ten przegląd ma charakter informacyjny i nie stanowi porady prawnej.