AI Act najważniejsze obowiązki i terminy

AI Act wprowadza obowiązki zależne od ryzyka systemu AI oraz roli, jaką Twoja organizacja pełni w jego tworzeniu lub wykorzystywaniu. Jeśli prowadzisz firmę, warto ustalić, z jakich narzędzi AI korzysta zespół, ponieważ wpływa to na wymagania dotyczące przejrzystości, nadzoru i bezpieczeństwa.

Najważniejsze obowiązki i terminy w skrócie

• Ustal, jakie systemy AI są używane w organizacji oraz jaką rolę firma pełni w ich tworzeniu lub wykorzystywaniu.
• Określ kategorię ryzyka systemów, bo od niej zależy zakres wymagań.
• Sprawdź, czy w danym przypadku trzeba zadbać o przejrzystość, nadzór człowieka i bezpieczeństwo.
• Zweryfikuj terminy wdrożenia obowiązków właściwych dla danego systemu i roli firmy. Nie są one jednakowe dla wszystkich przypadków.

Poniżej znajdziesz omówienie kategorii ryzyka, obowiązków firm i przygotowania stron oraz aplikacji do nowych przepisów. Idztech pomaga w tworzeniu i optymalizacji stron internetowych oraz aplikacji webowych.

AI Act — najważniejsze przepisy i obowiązki

AI Act ustanawia wspólne unijne zasady projektowania, oferowania i używania systemów AI. Określa obowiązki zależnie od rodzaju zastosowania i związanego z nim ryzyka.

Przepisy AI obejmują między innymi jakość danych, przejrzystość treści generowanych przez AI oraz ograniczenia dotyczące niektórych praktyk. Ważne są zarówno obowiązki dostawców technologii, jak i firm, które wdrażają systemy.

• Dane i jakość – Dane treningowe i testowe powinny być odpowiedniej jakości oraz reprezentatywne dla zamierzonego zastosowania. Wymóg ten określono w rozporządzeniu 2024/1689.
• Modele ogólnego przeznaczenia – Ich dostawcy muszą przekazywać informacje firmom integrującym modele, przestrzegać unijnego prawa autorskiego, przygotowywać dokumentację techniczną i publikować podsumowanie danych treningowych.
• Oznaczanie treści – Deepfake’i oraz syntetyczne obrazy, nagrania i filmy mogą wymagać oznaczenia. Oznaczanie treści generowanych przez AI pomaga odbiorcom rozpoznać, że materiał został stworzony lub zmieniony przez system.
• Zakazane praktyki – Ograniczenia obejmują niektóre formy manipulacji, wykorzystywanie podatności i social scoring, a także masową kategoryzację biometryczną. Zakazana jest również identyfikacja biometryczna w czasie rzeczywistym w miejscach publicznych, z wąskimi wyjątkami dla organów ścigania.
• Zastosowania wysokiego ryzyka – Systemy używane w infrastrukturze krytycznej mogą należeć do tej kategorii. Przykładowo AI wspierająca zarządzanie siecią energetyczną może wpływać na bezpieczeństwo dostaw, dlatego związane z nią obowiązki zależą od ryzyka zastosowania.

Kategorie ryzyka w AI Act — od systemów minimalnego do wysokiego ryzyka

AI Act dzieli systemy według poziomu ryzyka, a obowiązki rosną wraz z możliwym wpływem na zdrowie, życie i prawa człowieka. W praktyce klasyfikacja pokazuje firmie, jakie wymogi musi spełnić jako dostawca lub podmiot wdrażający — od obowiązku informowania o użyciu AI po zarządzanie ryzykiem, dokumentację, nadzór i bezpieczeństwo.

• Niedopuszczalne — zakazane: niektóre formy manipulacji, wykorzystywania podatności i social scoringu; masowa kategoryzacja biometryczna; rozpoznawanie emocji w szkołach i miejscach pracy; identyfikacja biometryczna w czasie rzeczywistym w miejscach publicznych. Zakazane jest oferowanie i używanie takich systemów; dla identyfikacji biometrycznej przewidziano wąskie wyjątki dla organów ścigania.
• Wysokie: systemy stosowane w infrastrukturze krytycznej, wybrane systemy rekrutacyjne, kadrowe i edukacyjne, a także niektóre systemy oceny zdolności kredytowej, medyczne i wyroby medyczne. Wymogi obejmują zarządzanie ryzykiem, dokumentację, nadzór i bezpieczeństwo.
• Ograniczone — przejrzystość: chatboty i systemy generujące treści. Firma musi informować o kontakcie z AI, a treści generowane przez systemy muszą być rozpoznawalne maszynowo.
• Minimalne: filtry antyspamowe, gry wykorzystujące AI, korekta tekstu i tłumaczenie. Zwykle wiąże się to z niewielką liczbą dodatkowych obowiązków, choć mogą mieć zastosowanie inne przepisy.

Dostawcy systemów wysokiego ryzyka muszą aktualizować dokumentację techniczną i zarządzać ryzykiem przez cały cykl życia systemu, zgodnie z rozporządzeniem AI Act; kwestie te wyjaśniają też FAQ Komisji Europejskiej. Dostawcy modeli systemowych mają raportować poważne incydenty i zapewniać cyberbezpieczeństwo. Dla firm wdrażających takie rozwiązania oznacza to konieczność sprawdzenia ich klasyfikacji, dokumentacji oraz tego, czy dostawca spełnia właściwe wymogi. Jedna firma może przy tym pełnić kilka ról, na przykład dostawcy, importera lub dystrybutora.

Przykładowo system oceniający uczniów może należeć do systemów wysokiego ryzyka, podczas gdy gra wykorzystująca AI zwykle ma ryzyko minimalne. Klasyfikacja decyduje o obowiązkach dostawców systemów AI i organizacji wdrażającej; nawet zastosowania niskiego ryzyka mogą podlegać innym przepisom.

Wyłączenia i ograniczone obowiązki w AI Act

Systemy minimalnego ryzyka podlegają ograniczonym wymogom AI Act, ale nie są całkowicie wyłączone spod prawa. Przykładami są filtry antyspamowe i gry wykorzystujące AI; do tej kategorii mogą należeć także korekta tekstu i tłumaczenie. Przykłady kategorii określa rozporządzenie 2024/1689. Zastosowania niskiego ryzyka nadal mogą podlegać innym przepisom.

Firma powinna zinwentaryzować używane systemy AI, określić ich cele i ustalić swoją rolę wobec każdego z nich, na przykład dostawcy, importera lub dystrybutora. Osoby korzystające z AI w pracy powinny rozwijać umiejętności potrzebne do odpowiedzialnego używania tych narzędzi, zgodnie z wytycznymi Komisji Europejskiej dotyczącymi AI Act.

Wyłączenia nie obejmują zakazu identyfikacji biometrycznej w czasie rzeczywistym w miejscach publicznych. Informacja o użyciu AI przy dziełach artystycznych, satyrycznych lub fikcyjnych nie może utrudniać ich odbioru.

Systemy wysokiego ryzyka mogą wymagać oceny zgodności, dokumentacji technicznej, zarządzania ryzykiem, monitorowania i przechowywania logów. Obowiązki mogą obejmować także skuteczny nadzór człowieka, w tym możliwość przerwania lub zignorowania działania systemu, ocenę wpływu na prawa podstawowe, rejestrację i oznakowanie CE. Dane treningowe i testowe powinny być odpowiedniej jakości i reprezentatywne.

Modele ogólnego przeznaczenia wiążą się z odrębnymi obowiązkami dostawców dotyczącymi dokumentacji, podsumowań danych treningowych, praw autorskich i informacji dla integratorów. Modele stwarzające ryzyko systemowe podlegają dodatkowym testom, ocenie ryzyka, raportowaniu poważnych incydentów i wymogom cyberbezpieczeństwa.

AI Act: harmonogram, zakazy, systemy wysokiego ryzyka i role firm

AI Act przekłada kategorie ryzyka na konkretne zadania organizacyjne i obowiązki podmiotów. Firma powinna ustalić, jakie systemy AI wykorzystuje, do jakich celów i w jakiej roli występuje.

Harmonogram stosowania AI Act

Rozporządzenie 2024/1689 weszło w życie 1 sierpnia 2024 roku, a jego wymogi są stosowane etapami. Zakazy praktyk i obowiązki kompetencyjne obowiązują od 2 lutego 2025 roku, przepisy dotyczące modeli ogólnego przeznaczenia od 2 sierpnia 2025 roku, a większość regulacji i wymogów przejrzystości od 2 sierpnia 2026 roku.

Zakazane praktyki

AI Act zakazuje masowej kategoryzacji biometrycznej i niektórych form social scoringu. Zakaz obejmuje również identyfikację biometryczną w czasie rzeczywistym w miejscach publicznych, z wyjątkami określonymi w rozporządzeniu. Za naruszenie zakazów mogą grozić kary do 35 milionów euro lub siedmiu procent obrotu.

Systemy wysokiego ryzyka

Niektóre systemy wykorzystywane w rekrutacji, zarządzaniu pracownikami i edukacji zaliczają się do kategorii wysokiego ryzyka. Zgodnie z art. 6 ust. 2 i załącznikiem III rozporządzenia wymagają oceny zgodności przed wprowadzeniem na rynek. Zależnie od zastosowania mogą również wymagać oceny wpływu na prawa podstawowe, rejestracji i oznakowania CE. Data 2 grudnia 2027 r. nie jest zasadniczym terminem stosowania tych wymogów: dla systemów z załącznika III jest nim 2 sierpnia 2026 r.

Dane treningowe i testowe powinny być odpowiedniej jakości i reprezentatywne. Nadzór człowieka musi umożliwiać przerwanie działania systemu lub zignorowanie jego wyniku. Na przykład osoba oceniająca wyniki narzędzia AI stosowanego w rekrutacji powinna móc odrzucić jego rekomendację.

Role i dokumentacja

AI Act rozróżnia role podmiotów w łańcuchu dostaw systemu. Dostawca opracowuje system AI lub zleca jego opracowanie i wprowadza go do obrotu albo oddaje do użytku pod własną nazwą lub znakiem towarowym. Importer wprowadza na rynek UE system oznaczony nazwą lub znakiem towarowym dostawcy spoza UE. Dystrybutor udostępnia system na rynku, ale nie jest jego dostawcą ani importerem. Podmiot wdrażający wykorzystuje system pod swoją kontrolą, na przykład w działalności firmy. Obowiązki zależą od roli, a w niektórych przypadkach firma może przejąć obowiązki dostawcy, na przykład gdy zmieni przeznaczenie systemu wysokiego ryzyka.

Dostawca systemu wysokiego ryzyka musi prowadzić aktualną dokumentację techniczną. Modele stwarzające ryzyko systemowe podlegają dodatkowym testom i ocenie ryzyka.

Egzekwowanie AI Act — obowiązki firm i nadzór nad systemami

AI Act, czyli rozporządzenie UE 2024/1689, stosuje się bezpośrednio w państwach członkowskich. Może obejmować także podmioty spoza Unii, które oferują systemy AI na rynku unijnym. Regulacja ma chronić zdrowie, bezpieczeństwo i prawa podstawowe, a zarazem wspierać innowacje oraz rozwój godnej zaufania sztucznej inteligencji.

Zakres obowiązków zależy od systemu, jego zastosowania i roli podmiotu, na przykład dostawcy, importera lub podmiotu wdrażającego. Podmioty wdrażające systemy wysokiego ryzyka powinny monitorować ich działanie i reagować na wykryte problemy, przechowywać logi oraz — w niektórych zastosowaniach — przeprowadzić ocenę wpływu na prawa podstawowe.

Przepisy dotyczące modeli ogólnego przeznaczenia stosuje się od 2 sierpnia 2025 roku. Zgodnie z tekstem rozporządzenia w EUR-Lex obowiązki dostawców obejmują przygotowanie dokumentacji technicznej, przestrzeganie unijnego prawa autorskiego i publikowanie podsumowania danych treningowych, jak wskazuje także Instytut Łączności.

W praktyce firma powinna zinwentaryzować systemy AI, ustalić ich cele i role organizacyjne, a następnie przypisać im właściwe obowiązki. Ułatwia to egzekwowanie AI Act i nadzór nad systemami.

Piaskownice regulacyjne AI Act — testowanie systemów w kontrolowanych warunkach

Piaskownice regulacyjne pozwalają testować rozwiązania AI w kontrolowanych warunkach, ale nie zastępują oceny zgodności ani nie zwalniają z obowiązków prawnych. Testowanie polega na sprawdzaniu systemu w uzgodnionym zakresie i dokumentowaniu wyników; ocena zgodności służy natomiast ustaleniu, czy system spełnia właściwe wymagania AI Act. Wyniki testów mogą pomóc w tej ocenie, lecz sam udział w piaskownicy nie przesądza o zgodności.

• Cel – testowanie innowacyjnych systemów i identyfikowanie ryzyk przed ich szerszym wdrożeniem.
• Udział – odbywa się na uzgodnionych warunkach, z określeniem zakresu testów i odpowiedzialności uczestników.
• Nadzór – właściwy organ krajowy monitoruje przebieg testów i może udzielać wskazówek dotyczących zgodności.
• Granice – testy nie uchylają wymogów AI Act ani innych przepisów; systemów objętych zakazem nie wolno oferować ani używać.
• Proporcjonalność – wymagania są surowsze wobec systemów stwarzających większe zagrożenie dla ludzi; AI Act wyróżnia ryzyko niedopuszczalne, wysokie, ograniczone i minimalne.

Zgodnie z art. 57 rozporządzenia 2024/1689 właściwy organ krajowy zapewnia kontrolowane środowisko testowe, uzgadnia z uczestnikiem plan i zabezpieczenia, a następnie nadzoruje działania oraz dokumentowanie ich wyników. Takie testowanie może wspierać ocenę zgodności, ale nie jest z nią tożsame i nie zwalnia z obowiązków prawnych.

AI Act, czyli rozporządzenie 2024/1689, stosuje się bezpośrednio w państwach członkowskich UE. Za zakazane praktyki przewidziano kary do 35 mln euro lub odpowiedniej części obrotu, zgodnie z tekstem rozporządzenia.

Granice testów są istotne: rozpoznawanie emocji w szkołach i miejscach pracy jest zakazane, a systemów objętych zakazem nie można testować w celu ich oferowania ani używania. Systemy wysokiego ryzyka podlegają surowszym wymaganiom.

Przykładowo test systemu wysokiego ryzyka można rozważyć w nadzorowanym środowisku po uzgodnieniu planu i zabezpieczeń. Wyniki takiego testu mogą być przydatne przy ocenie zgodności, ale nie zastępują jej. Niedozwolone rozpoznawanie emocji w miejscu pracy nie staje się dopuszczalne przez samo umieszczenie go w piaskownicy.

Procedura oceny systemów AI wysokiego ryzyka

Po omówieniu obowiązków dotyczących systemów wysokiego ryzyka kolejnym krokiem jest ocena, czy system spełnia wymagania przed udostępnieniem go na rynku. Procedura obejmuje kwalifikację zastosowania i sprawdzenie zgodności:

1. Ustal kategorię ryzyka – Sprawdź, do czego system będzie używany i kogo może dotyczyć. Systemy medyczne, wyroby medyczne oraz narzędzia oceniające zdolność kredytową mogą należeć do kategorii wysokiego ryzyka, zależnie od zastosowania.
2. Oceń możliwe skutki i zaplanuj nadzór – Systemy wysokiego ryzyka mogą wpływać na zdrowie, życie lub prawa człowieka, dlatego wymagają szczególnej kontroli. Określ, kto i w jaki sposób będzie sprawował skuteczny nadzór człowieka. Kompetencje osób korzystających z AI mogą wspierać szkolenia i jasne instrukcje.
3. Przeprowadź ocenę zgodności – Przed wprowadzeniem systemu wysokiego ryzyka na rynek należy przeprowadzić ocenę zgodności. Jej zakres zależy od rodzaju systemu i jego zastosowania, dlatego warto ustalić, jakie wymagania mają do niego zastosowanie.
4. Zapewnij działania dostawcy – Zarządzaj ryzykiem przez cały cykl życia systemu i utrzymuj aktualną dokumentację techniczną. Komisja Europejska wyjaśnia wymogi dotyczące dokumentacji w AI Act. Art. 4 AI Act dotyczy kompetencji w zakresie AI, a nie obowiązków związanych z nadzorem nad systemem.

W odrębnym kontekście przejrzystości treści materiały dotyczące interesu publicznego mogą być zwolnione z ujawnienia, jeśli zostały poddane kontroli człowieka lub redakcji.

Przejrzystość w AI Act: oznaczanie treści, chatboty i wyjątki

AI Act wpływa na sposób projektowania systemów AI oraz informowania o ich działaniu i treściach. Zmiany obejmują obowiązki przejrzystości, zakazane praktyki i terminy stosowania przepisów.

Oznaczanie treści generowanych przez AI

Odbiorców trzeba informować o sztucznym pochodzeniu określonych treści. Deepfake’i oraz syntetyczne obrazy, nagrania lub filmy mogą wymagać oznaczenia. Dostawcy systemów generujących treści mają zapewniać ich maszynową rozpoznawalność.

Informowanie o chatbotach

Chatbot musi poinformować użytkownika, że rozmawia z systemem AI.

Wyjątki od obowiązków przejrzystości

Informacja o sztucznym pochodzeniu treści nie powinna utrudniać odbioru dzieł artystycznych, satyrycznych ani fikcyjnych. Treści dotyczące interesu publicznego mogą być zwolnione z ujawnienia po kontroli człowieka lub redakcji. Zasady opisuje tekst rozporządzenia AI Act.

Zakazane praktyki i terminy

Zakazane praktyki obejmują niektóre formy manipulacji i wykorzystywania podatności. Zakazana jest również identyfikacja biometryczna w czasie rzeczywistym w miejscach publicznych, z wąskimi wyjątkami przewidzianymi dla organów ścigania. Zakazy praktyk oraz obowiązki rozwijania kompetencji AI osób korzystających z systemów w pracy stosuje się od 2 lutego 2025 roku; szkolenia i instrukcje mogą wspierać te kompetencje.

Większość przepisów, w tym wymogi przejrzystości, stosuje się od 2 sierpnia 2026 roku. Wskazane systemy wysokiego ryzyka z załącznika III podlegają wymogom w późniejszym terminie, zgodnie z odrębnym harmonogramem. Zastosowania minimalnego ryzyka zwykle wiążą się z niewielką liczbą dodatkowych obowiązków.

AI Act a strony internetowe i aplikacje — jak przygotować firmę

AI Act to rozporządzenie UE 2024/1689, które reguluje rozwój, wdrażanie i używanie systemów AI. Firmy tworzące strony, sklepy internetowe i aplikacje mogą zacząć przygotowania od kilku praktycznych działań:

• Zrób inwentaryzację narzędzi AI i ustal, do czego są wykorzystywane.
• Określ rolę organizacji przy każdym rozwiązaniu: możesz być dostawcą, importerem lub dystrybutorem.
• Sprawdź ryzyko wynikające z zastosowania systemu, zamiast oceniać go wyłącznie po nazwie technologii.
• Zweryfikuj zasady użycia narzędzi przez pracowników i zadbaj o ich kompetencje w zakresie AI.

Obowiązki zależą od roli firmy i zastosowania systemu. AI Act nie zakazuje całej sztucznej inteligencji: zakazuje określonych praktyk i nakłada obowiązki proporcjonalne do ryzyka.

Wysokie ryzyko obejmuje między innymi zastosowania AI w infrastrukturze krytycznej. Przykładowo firma może zapisać w wykazie narzędzie wspierające zarządzanie taką infrastrukturą, jego cel oraz rolę organizacji w dostarczaniu lub używaniu systemu. Zakres zastosowań wysokiego ryzyka określa tekst rozporządzenia.

Przepisy stosuje się etapami: zakazy praktyk i obowiązki kompetencyjne od 2 lutego 2025 roku, wymogi dotyczące modeli ogólnego przeznaczenia od 2 sierpnia 2025 roku, a większość przepisów od 2 sierpnia 2026 roku.

W przypadku stron, sklepów i aplikacji webowych analiza celów biznesowych oraz architektury serwisu może pomóc ustalić, gdzie AI wpływa na procesy i jakie obowiązki firm korzystających z AI mogą mieć zastosowanie. Idztech może przeanalizować te kwestie w ramach projektów cyfrowych i SEO.

Studium przypadku: przykładowe projekty stron i e-commerce a AI Act

Same realizacje internetowe nie pokazują, jak AI Act zmienia konkretne projekty, jeśli nie wiadomo, czy wykorzystują systemy sztucznej inteligencji. Przykładowe projekty e-commerce obejmują sklep internetowy z własnymi nadrukami, opisany jako szybko ładujący się i nowocześnie zaprojektowany; stronę firmy sprzątającej wspólnoty, której celem jest wzrost sprzedaży i lepsza konwersja; oraz serwis letnich obozów na Mazurach, przygotowany z myślą o skalowalności i rozwoju. Same te cechy nie przesądzają o zastosowaniu AI ani o obowiązkach wynikających z AI Act.

AI Act, czyli rozporządzenie Unii Europejskiej 2024/1689, wszedł w życie 1 sierpnia 2024 roku. Obejmuje rozwój, wdrażanie i wykorzystywanie systemów sztucznej inteligencji, a obowiązki uzależnia od poziomu ryzyka. Jego cele obejmują między innymi ochronę demokracji i praworządności. Jeśli strona korzysta z chatbota AI, użytkownicy muszą zostać poinformowani, że rozmawiają ze sztuczną inteligencją.

Planując stronę, e-commerce lub aplikację, firma powinna więc osobno ocenić, czy projekt obejmuje system AI i jakie obowiązki mogą z tego wynikać. Idztech oferuje bezpłatną konsultację i zwykle odpowiada w ciągu jednego dnia roboczego.