EU AI Act

czym jest EU AI Act i co reguluje

EU AI Act to rozporządzenie, które ustanawia ramy prawne dla systemów AI wprowadzanych na rynek UE lub w nim wykorzystywanych. Dotyczy dostawców (tych, którzy rozwijają lub wprowadzają systemy AI na rynek) oraz podmiotów stosujących, czyli deployerów (organizacji, które używają systemów AI w kontekście zawodowym pod własną odpowiedzialnością).

Rozporządzenie przypisuje systemy AI do kategorii ryzyka: ryzyko nieakceptowalne (zakazane), wysokie ryzyko (podlegające istotnym wymaganiom), ograniczone ryzyko (obowiązki dotyczące transparentności) i minimalne ryzyko (brak obowiązkowych wymagań, ale obowiązują wskazówki dobrych praktyk).

Większość ogólnego przeznaczenia narzędzi AI używanych przez firmy, jak asystenci pisania AI, narzędzia do streszczania czy oprogramowanie do produktywności AI, mieści się w kategoriach ograniczonego lub minimalnego ryzyka na gruncie ustawy. Systemy AI wysokiego ryzyka obejmują te używane do konkretnych regulowanych celów: decyzji zatrudnieniowych, oceny zdolności kredytowej, zarządzania infrastrukturą krytyczną i identyfikacji biometrycznej, między innymi.

Przepisy rozporządzenia wchodzą w życie stopniowo. Zakaz praktyk o nieakceptowalnym ryzyku, poparty karami do 35 mln euro lub 7% globalnego rocznego obrotu, zaczął obowiązywać od lutego 2025. Obowiązki dla modeli AI ogólnego przeznaczenia zaczęły obowiązywać od sierpnia 2025. Bazową datą dla obowiązków dotyczących systemów wysokiego ryzyka jest 2 sierpnia 2026 i na razie ta data pozostaje w mocy. Poprawka Digital Omnibus, przyjęta przez Parlament Europejski 16 czerwca 2026 i przez Radę 29 czerwca 2026, oczekująca na publikację w Dzienniku Urzędowym, przesuwa obowiązki wysokiego ryzyka z Załącznika III na 2 grudnia 2027, a obowiązki z Załącznika I na 2 sierpnia 2028. Organizacje-deployerzy muszą śledzić, które przepisy dotyczą ich konkretnych przypadków użycia systemów AI i od kiedy.

dlaczego organizacje-deployerzy nie doceniają zgodności z EU AI Act

EU AI Act był omawiany głównie jako rozporządzenie dla twórców AI i firm technologicznych. Obowiązki deployerów otrzymały mniej uwagi we wczesnych relacjach, a wiele organizacji mid-market wciąż nie oceniło, jak ustawa dotyczy ich użycia narzędzi AI.

Dwie luki tłumaczą większość tego niedoszacowania. Po pierwsze, organizacje nie mają kompletnej inwentaryzacji systemów AI, których używają. Bez inwentaryzacji nie da się sklasyfikować narzędzi względem ram ryzyka ustawy. Na pytanie o klasyfikację nie da się odpowiedzieć, nie wiedząc, co jest w użyciu.

Po drugie, pojęcie „deployera" na gruncie ustawy jest szerokie. Każde zawodowe użycie systemu AI, niezależnie od tego, czy system zbudowano wewnętrznie, czy przyjęto jako usługę zewnętrzną, może się kwalifikować jako wdrożenie w rozumieniu rozporządzenia. Organizacje, które zakładały, że ustawa dotyczy tylko twórców AI, mogą musieć zweryfikować to założenie dla konkretnych przypadków użycia.

obowiązki deployera dotyczące organizacji mid-market

Większość organizacji mid-market zetknie się z EU AI Act przede wszystkim przez obowiązki deployera dla systemów wysokiego ryzyka i przez wymagania transparentności dla systemów ograniczonego ryzyka.

Obowiązki deployera dla systemów wysokiego ryzyka. Jeśli Twoja organizacja używa systemu AI zaklasyfikowanego przez ustawę jako wysokiego ryzyka, na przykład rekrutacji wspieranej przez AI, AI używanego w decyzjach kredytowych czy AI w niektórych kontekstach zarządzania infrastrukturą krytyczną, masz obowiązki jako deployer. Obejmują one przeprowadzenie oceny wpływu na prawa podstawowe, zapewnienie nadzoru ludzkiego, prowadzenie dzienników użycia i informowanie osób, na które to wpływa, gdy jest to wymagane.

Obowiązki transparentności. Systemy AI wchodzące w interakcję z ludźmi (chatboty, treści generowane przez AI dostarczane osobom fizycznym) muszą być oznaczone jako wygenerowane przez AI, chyba że kontekst czyni to oczywistym. To obowiązek dla ograniczonego ryzyka, ale ma praktyczne konsekwencje dla wdrożeń AI zwróconych do klienta.

Interakcja z RODO. EU AI Act nie zastępuje RODO. Dla systemów AI przetwarzających dane osobowe obowiązują oba zestawy przepisów. Ocena skutków dla ochrony danych, która już była wymagana na gruncie RODO dla określonych przetwarzań, może teraz wymagać dodatkowo oceny wpływu na prawa podstawowe specyficznej dla AI.

Wymagania dokumentacyjne. Deployerzy systemów wysokiego ryzyka muszą prowadzić dokumentację tego, jak używają tych systemów. To obowiązek dotyczący prowadzenia rejestrów i rozliczalności, który wymaga wiedzy, z pewną szczegółowością, jakich systemów AI używasz, jakie zadania wykonują i jak sprawowany jest nadzór.

co działa

Każdy obowiązek w ustawie przypisany jest do konkretnego systemu AI, więc praca nad zgodnością zaczyna się od inwentaryzacji: narzędzi wdrożonych przez IT, funkcji AI wbudowanych w oprogramowanie, którego organizacja już używa, oraz narzędzi przyjętych nieformalnie przez zespoły bez przeglądu. Lista grantów OAuth w katalogu obejmuje dużą część tej trzeciej kategorii, a faktyczna inwentaryzacja jest lepsza niż zgadywanie, czego używają zespoły. Potem następuje klasyfikacja. Większość narzędzi AI ogólnego przeznaczenia trafia do kategorii ograniczonego lub minimalnego ryzyka, podczas gdy AI używane w decyzjach zatrudnieniowych, ocenach finansowych czy innych regulowanych kontekstach może kwalifikować się jako wysokie ryzyko i wymaga głębszego przeglądu. Wszystko, co zbliża się do kategorii zakazanych, punktacja społeczna prowadzona przez władze publiczne, nadzór biometryczny w czasie rzeczywistym w przestrzeni publicznej, techniki manipulacyjne wykorzystujące podatności psychologiczne, wymaga konkretnego przeglądu prawnego, a nie wewnętrznej oceny.

Dla systemów, które kwalifikują się jako wysokiego ryzyka, pozycja deployera opiera się na dokumentacji: wdrożonych procesach nadzoru, ocenach wpływu na prawa podstawowe i procedurach retencji dzienników wymaganych przez ustawę, opracowanych wspólnie z prawnikiem, a nie improwizowanych przez IT. Organizacje, które utrzymują zgodność w czasie, wplatają ustawę w swój standardowy proces weryfikacji narzędzi AI, dodając jedno pytanie do checklisty: czy użycie tego narzędzia, w tym konkretnym kontekście, mogłoby stanowić wdrożenie wysokiego ryzyka. Zadane w momencie adopcji, to pytanie kosztuje minutę. Zadane po zapytaniu regulatora, kosztuje znacznie więcej.