AI Act wchodzi w życie. Nowe obowiązki dla firm korzystających ze sztucznej inteligencji

Od 2 sierpnia 2026 roku obowiązuje główny trzon przepisów unijnego AI Act, w tym obowiązki dotyczące przejrzystości stosowania sztucznej inteligencji i oznaczania treści przez nią wygenerowanych. Jak wynika z informacji przekazanych agencji Newseria przez ekspertów kancelarii LEGALLY.SMART, nowe regulacje w połączeniu z wymogami, które wejdą w życie w kolejnych latach, wymuszą na przedsiębiorcach zmianę podejścia do AI i uporządkowanie zasad korzystania z tej technologii przez pracowników.

Oznaczanie treści wygenerowanych przez AI

Nowe obowiązki wynikają przede wszystkim z artykułu 50 rozporządzenia, który określa wymogi przejrzystości dla dostawców i podmiotów wdrażających m.in. generatywne i interaktywne systemy sztucznej inteligencji oraz deepfake’i.

2 sierpnia wchodzi w życie główny trzon obowiązków wynikających z unijnego AI Act. Przede wszystkim są to obowiązki dotyczące przejrzystości, które będą dotyczyć najprawdopodobniej największej liczby przedsiębiorców, ponieważ chodzi głównie o odpowiednie oznaczanie materiałów interakcji ze sztuczną inteligencją

— wyjaśnia Michał Jeleń z kancelarii LEGALLY.SMART.

Obowiązek oznaczania obejmuje treści takie jak obraz, dźwięk czy wideo — muszą być one opisane w sposób jednoznaczny bezpośrednio na materiale albo za pomocą metadanych umożliwiających maszynową identyfikację.

Na przykład nagrywamy wideo, ale dodajemy wygenerowany przez AI dźwięk. Taka treść już musi zostać oznaczona

— tłumaczy ekspert.

Podmioty wdrażające systemy AI muszą ponadto informować osoby fizyczne, kiedy są narażone na działanie narzędzi do rozpoznawania emocji i kategoryzacji biometrycznej, deepfake’ów, a także publikacji tekstowych w sprawach leżących w interesie publicznym, które nie przeszły przeglądu przez człowieka lub kontroli redakcyjnej. Wyłączenie z obowiązku oznaczania dotyczy treści w oczywisty sposób satyrycznych. Teksty wygenerowane przez AI nie muszą być oznaczane, jeśli przeszły gruntowną analizę człowieka, tzw. human review, i to człowiek bierze za nie odpowiedzialność.

Systemy wysokiego ryzyka z przesuniętym terminem

2 sierpnia miały również zacząć obowiązywać przepisy dotyczące systemów AI wysokiego ryzyka, jednak przyjęty przez instytucje unijne Cyfrowy Omnibus przesunął ten termin na 2 grudnia 2027 roku. Chodzi o wymogi dotyczące wybranych systemów wykorzystywanych m.in. w rekrutacji czy sektorze bankowym.

Systemy wysokiego ryzyka to będą wysoko wyspecjalizowane systemy wykorzystywane w konkretnych obszarach, czyli na przykład HR i opiece zdrowotnej. Krąg dostawców, do których będzie się to stosować, będzie mały. W głównej mierze będzie dotyczył albo AI-owych gigantów, albo podmiotów, które same budują lub bardzo mocno modyfikują istniejące systemy

— zaznacza Jeleń.

Obowiązki nałożone na użytkowników tych systemów, tzw. deployerów, obejmą jednak znacznie szerszy krąg podmiotów. Aby nie odpowiadać za naruszenia, będą oni musieli korzystać z systemów wysokiego ryzyka wyłącznie zgodnie z instrukcjami dostawcy. Ekspert porównuje tę sytuację do stosowania przez lekarzy leków niezgodnie z zaleceniami — w takim przypadku odpowiedzialność za użycie off-label ponosi lekarz, analogicznie firma używająca systemu AI niezgodnie z instrukcją może odpowiadać na zasadach zbliżonych do dostawcy.

Od 2 grudnia 2027 roku systemy wysokiego ryzyka będą podlegać rygorystycznym wymogom jeszcze przed wprowadzeniem do obrotu. Mowa m.in. o systemach oceny i ograniczania ryzyka, wysokiej jakości zbiorach danych, jasnych informacjach dla podmiotu wdrażającego oraz odpowiednim nadzorze człowieka. Firmy korzystające z takich rozwiązań powinny przeprowadzić ich audyt — zweryfikować certyfikację, bezpieczeństwo i wpis na unijne listy, a także zabezpieczyć w umowach, np. SLA czy umowie wdrożeniowej, kwestie podatności i aktualizacji.

HR i finanse pod szczególnym nadzorem

Nowe wymogi w dużym stopniu dotkną branżę HR, która w ostatnich latach dynamicznie się automatyzowała. Z raportu HR Tech Changer 2025, przygotowanego przez Polskie Forum HR, wynika, że 53 proc. badanych specjalistów HR regularnie korzysta z rozwiązań opartych na AI — najczęściej przy pozyskiwaniu i rekrutacji kandydatów, ich selekcji i ocenie kompetencji oraz zarządzaniu bazą kandydatów.

Decyzje podejmowane przez AI w tym zakresie nie tylko kwalifikują takie systemy AI jako wysokiego ryzyka, ale również nakładają dodatkowe warunki dotyczące staranności. Tak samo może mieć to wpływ na branżę finansową czy ubezpieczeniową. Jeśli wykorzystujemy system AI do tego, aby przetwarzać wnioski ubezpieczeniowe czy kredytowe, to już jest to system wysokiego ryzyka

— podkreśla przedstawiciel kancelarii LEGALLY.SMART.

Jak dodaje, w przypadku diagnozowania chorób systemy te często będą musiały działać pod silną kuratelą lekarza lub osoby uprawnionej, a w niektórych przypadkach wręcz nie powinny być wykorzystywane.

Skala wyzwania jest znaczna. Według raportu „Barometr rynku pracy 2026″ Gi Group Holding 42,2 proc. polskich firm deklaruje korzystanie z automatyzacji i rozwiązań AI. Najczęściej są to wdrożenia częściowe — 12,2 proc. pracodawców używa tych technologii na szeroką skalę, a 30 proc. jedynie w wybranych obszarach. Szerokie wykorzystanie AI najczęściej deklarują duże firmy (14,1 proc.), podczas gdy wśród średnich podmiotów odsetek ten wynosi 11,8 proc., a wśród małych — 10,6 proc.

Firmy muszą zinwentaryzować sztuczną inteligencję

Zdaniem ekspertów nowy etap AI Act sprawi, że sztuczna inteligencja przestanie być wyłącznie zagadnieniem technologicznym, a stanie się strategicznym. Wyzwaniem dla biznesu będzie ustalenie, gdzie AI już działa w organizacji — w wielu firmach pracownicy zaczęli korzystać z tych narzędzi oddolnie i dziś nikt nie ma pełnego obrazu ich wykorzystania.

Po wejściu w życie kolejnej partii wymogów nakładanych przez AI Act firmy będą musiały mocno zmienić swoje podejście do narzędzi wykorzystujących sztuczną inteligencję. Konieczne będzie przeszkolenie pracowników. Dodatkowo każda z takich firm będzie musiała przeprowadzić analizę wykorzystywanych narzędzi i przygotować listę dopuszczanych narzędzi oraz tych, z których pracownicy nie mogą korzystać

— wylicza Jeleń.

Niezbędne będzie także wprowadzenie procedur stosowania AI uwzględniających ochronę danych osobowych, poufność informacji oraz ochronę własności intelektualnej.

Kary do 35 mln euro lub 7 proc. obrotu

Odpowiedzialność za naruszenie przepisów AI Act spada na przedsiębiorcę, a ostatecznie — jak wskazuje ekspert — na członków zarządów, w szczególności gdy w grę wchodzi odpowiedzialność karna. Za najpoważniejsze naruszenia, przede wszystkim stosowanie zakazanych praktyk wykorzystania sztucznej inteligencji, rozporządzenie przewiduje administracyjne kary finansowe sięgające 35 mln euro lub 7 proc. globalnego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego.

Za naruszenia dotyczące zasad przejrzystości czy systemów wysokiego ryzyka te kary są odrobinę niższe, bo kształtują się na poziomie 3 proc. obrotu albo 15 mln euro. Tutaj ustawodawca zapewnił pewną ulgę małym przedsiębiorcom, ponieważ podmioty z obszaru MŚP powinny być karane nie w górnych widełkach, czyli nie do wyższych kwot, tylko do niższych, czyli w większości przypadków najprawdopodobniej do procentowego udziału w obrocie

— mówi ekspert kancelarii LEGALLY.SMART.

Źródło: Newseria