AI Act – co to jest i jakie zasady wprowadza dla sztucznej inteligencji?

Sztuczna inteligencja rozwija się w bezprecedensowym tempie, transformując gospodarkę, rynek pracy i nasze codzienne życie. W odpowiedzi na wyzwania z tym związane, Unia Europejska wprowadziła AI Act (Akt o sztucznej inteligencji) – pierwsze na świecie tak kompleksowe przepisy regulujące tę technologię. Rozporządzenie to ma na celu ochronę praw obywateli przed zagrożeniami, takimi jak manipulacja czy masowa inwigilacja, przy jednoczesnym wspieraniu innowacyjności europejskiego sektora IT. W niniejszym artykule szczegółowo analizujemy, jakie obowiązki nakłada nowe prawo, kto musi się do niego dostosować, jak wygląda harmonogram wdrożeń w 2026 roku oraz jakie sankcje finansowe grożą za nieprzestrzeganie europejskich norm.

Co to jest? (Definicja)

Podejście oparte na ryzyku – 4 kategorie systemów AI

Cała filozofia AI Act opiera się na proporcjonalności obowiązków do poziomu zagrożenia. Im wyższe ryzyko, że dany algorytm wyrządzi szkodę człowiekowi lub złamie jego prawa podstawowe, tym większe obostrzenia prawne na niego spadają. Dokument dzieli systemy sztucznej inteligencji na cztery kategorie:

• Niedopuszczalne ryzyko (Unacceptable risk): Obejmuje systemy stwarzające bezpośrednie zagrożenie. Zalicza się do nich m.in. social scoring (państwową ocenę zachowań obywateli), manipulację podprogową, rozpoznawanie emocji w miejscu pracy i szkołach oraz masowe pobieranie wizerunków twarzy z internetu. Stosowanie takich systemów na terenie UE jest całkowicie zakazane od 2 lutego 2025 r.
• Wysokie ryzyko (High risk): Narzędzia mające ogromny wpływ na karierę i życie jednostek (np. algorytmy HR w rekrutacji, ocena zdolności kredytowej, zarządzanie infrastrukturą krytyczną). Ich działanie jest legalne, ale podlega obowiązkowej certyfikacji CE, ścisłemu nadzorowi człowieka (human oversight), badaniom dokumentacji oraz rygorystycznemu zarządzaniu jakością danych.
• Ograniczone ryzyko (Limited risk): Systemy wchodzące w interakcje z użytkownikami, jak chatboty, asystenci głosowi oraz narzędzia do generowania obrazów, audio i wideo (w tym deepfake). Najważniejszym obowiązkiem jest tutaj transparentność – użytkownik musi wiedzieć, że ma do czynienia z AI (wymóg obowiązujący od 2 sierpnia 2026 r.).
• Minimalne ryzyko (Minimal risk): Rozwiązania takie jak inteligentne filtry antyspamowe, systemy rekomendacji zakupowych w e-commerce czy AI w grach wideo. Uznaje się je za bezpieczne i nie nakłada się na nie dodatkowych obowiązków prawnych, poza zachęcaniem do wdrażania dobrowolnych kodeksów dobrych praktyk.

Harmonogram wdrożeń AI Act (Stan na rok 2026)

Akt zaczął wchodzić w życie kaskadowo, aby dać rynkowi czas na adaptację. Najważniejsze poprawki przyniósł unijny dokument 2026/1744 (Digital Omnibus on AI), urealniając terminy dla biznesu. Kalendarz kluczowych zmian:

• 2 lutego 2025 r.: Zakaz stosowania systemów niedopuszczalnego ryzyka oraz wymóg kompetencji AI (tzw. AI Literacy) dla pracowników obsługujących technologię.
• 2 sierpnia 2025 r.: Nowe reguły dla wielkich modeli językowych (tzw. GPAI).
• 2 sierpnia 2026 r. (Kluczowy etap!): Wdrożenie bezwzględnych obowiązków informacyjnych (Art. 50). Każda firma musi jasno znakować, że wdrożyła system ograniczego ryzyka (np. na infolinii czy na blogu przy grafikach AI).
• 2 grudnia 2027 r.: Rozpoczęcie audytów i obowiązków dla systemów wysokiego ryzyka wymienionych w Załączniku III (bankowość, prawo, zatrudnienie). Termin ten został wydłużony przez Digital Omnibus z sierpnia 2026 r.
• 2 sierpnia 2028 r.: Ostatni etap dla systemów wysokiego ryzyka osadzonych w ściśle regulowanych produktach (np. wyroby medyczne).

Kary za nieprzestrzeganie AI Act i polskie ramy prawne

Kary za łamanie przepisów są surowe, jednak prawodawca przewidział pewne ulgi dla mniejszych podmiotów. Standardowo dla wielkich korporacji, złamanie zakazów dla systemów niedopuszczalnego ryzyka może kosztować do 35 mln EUR lub 7% globalnego rocznego obrotu – wybiera się tę kwotę, która jest wyższa. Co ważne, dla MŚP oraz startupów zastosowano odwróconą zasadę „whichever is lower” (kwota niższa), co ma zablokować falę bankructw małych firm inwestujących w AI. Analogicznie kary wynoszą do 15 mln EUR / 3% za uchybienia w innych obowiązkach technicznych.

Od sierpnia 2026 roku w Polsce obowiązuje krajowa „Ustawa o systemach sztucznej inteligencji”. Choć samo rozporządzenie UE ma moc wiążącą, ustawa wyznaczyła w Polsce niezależny organ kontrolny: Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Instytucja rozpoczyna kontrole od listopada 2026 roku, do tego czasu zastępowana przez Ministerstwo Cyfryzacji i UODO. Według badań (GUS i KPMG), już ponad 34% polskich firm korzysta na co dzień z AI, ale mniej niż połowa dysponuje niezbędnymi politykami wewnętrznymi, co stawia ich w strefie dużego ryzyka audytowego.

Szanse i zagrożenia nowej regulacji

AI Act to narzędzie dwusieczne. Z jednej strony przynosi wyraźne korzyści w zakresie praw obywatelskich i walki z dezinformacją (np. wyraźne znakowanie nagrań typu deepfake), ujednolicając system dla całego kontynentu w myśl „efektu Brukseli”. Z drugiej strony, spotyka się z silną krytyką deweloperów. Wady regulacji to koszty biurokratyczne przy certyfikacji systemów (mogące sięgać dziesiątek tysięcy euro rocznie) oraz ryzyko exodusu kapitału innowacyjnego do USA czy Azji. Dodatkowo niektóre definicje, chociażby klasyfikujące „powagę szkody”, budzą wątpliwości u prawników i pozostawiają niebezpieczne pole do interpretacji.

Podsumowanie: AI Act to fundament nowego rynku cyfrowego

Europejski AI Act (Akt o sztucznej inteligencji) ustanawia nowy, globalny standard traktowania zaawansowanych algorytmów. Opierając się na czterostopniowej skali ryzyka, kategorycznie eliminuje on z terytorium UE najbardziej szkodliwe mechanizmy inwigilacji, nakładając równocześnie ścisłe wymogi transparentności na twórców chatbotów oraz narzędzia generujące syntetyczne treści (obowiązkowe od 2026 r.). W Polsce rygoru prawnego oraz skarg pilnuje nowo powołana Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Należy pamiętać, że regulacja wprowadzana jest kaskadowo aż do 2028 r. Ze względu na kary wzorowane na standardach RODO – mogące sięgnąć 35 mln EUR w przypadku największych przewinień – każda polska firma inwestująca dziś w algorytmy powinna bezzwłocznie rozpocząć audyt swoich systemów i zadbać o wymagane oznaczenia informacyjne dla klientów.

FAQ – Najczęściej zadawane pytania