Dziś w Polsce zaczynają realnie obowiązywać przepisy unijnego rozporządzenia o sztucznej inteligencji, znanego jako AI Act. To moment, na który firmy, prawnicy i instytucje czekały od dobrych dwóch lat, i choć część obowiązków została w ostatniej chwili przesunięta w czasie, to nie oznacza, że dziś nic się nie dzieje. Wręcz przeciwnie, część przepisów zaczyna działać już teraz, pełną parą.
Czym w ogóle jest AI Act
AI Act to unijne rozporządzenie regulujące sztuczną inteligencję, przyjęte formalnie w 2024 roku. To pierwsza tak kompleksowa regulacja tego typu na świecie, obejmująca praktycznie wszystkich, którzy tworzą, sprzedają lub wykorzystują systemy AI na terenie Unii Europejskiej, niezależnie od tego, czy dana firma ma siedzibę w Warszawie, Berlinie czy poza granicami UE, ale oferuje swoje produkty europejskim klientom.
Fundamentem regulacji jest podział systemów sztucznej inteligencji na poziomy ryzyka, od niedopuszczalnego, przez wysokie i ograniczone, aż po minimalne. Systemy uznane za niedopuszczalne, jak choćby scoring społeczny czy niektóre formy manipulacji, są po prostu zakazane, i ten zakaz obowiązuje już od dłuższego czasu. Systemy wysokiego ryzyka, czyli te używane między innymi w rekrutacji, edukacji, infrastrukturze krytycznej czy wymiarze sprawiedliwości, mogą działać, ale podlegają szeregowi obowiązków dotyczących dokumentacji, oceny zgodności, nadzoru człowieka i rejestracji w unijnej bazie danych.
Co konkretnie zaczyna obowiązywać dziś
Pierwotnie pełne obowiązki dla systemów wysokiego ryzyka miały wejść w życie właśnie teraz, ale w ostatnich tygodniach instytucje unijne zdecydowały się część terminów przesunąć. Porozumienie znane jako Digital Omnibus zostało zatwierdzone przez Parlament Europejski w czerwcu i weszło w życie 27 lipca, tuż przed pierwotnym terminem.
W efekcie obowiązki dotyczące samodzielnych systemów wysokiego ryzyka, wymienionych w załączniku III, ruszą dopiero 2 grudnia 2027 roku, czyli o ponad rok później niż pierwotnie planowano. Systemy AI będące elementem produktów objętych innym unijnym prawodawstwem harmonizacyjnym, na przykład niektórymi urządzeniami medycznymi czy maszynami, dostały czas do 2 sierpnia 2028 roku.
Ale nie wszystko poszło w odstawkę. Dziś, mimo tych przesunięć, realnie zaczynają obowiązywać przepisy dotyczące przejrzystości, czyli między innymi obowiązek informowania, że rozmawia się z systemem AI, oraz oznaczania treści syntetycznych. Unia zdecydowała też, że nie ma zgody na czekanie z przepisami uderzającymi w aplikacje typu nudify, wykorzystywane do tworzenia fałszywych, poniżających wizerunków bez zgody osób przedstawionych, choć pełne obowiązki watermarkingu ruszą ostatecznie 2 grudnia. Widać tu wyraźnie logikę, z jaką podeszły do sprawy unijne instytucje. Tam, gdzie chodzi o realną krzywdę konkretnych osób, tempo pozostaje wysokie. Tam, gdzie chodzi głównie o skomplikowaną dokumentację i procedury dla biznesu, dano więcej czasu na przygotowanie.
Deepfake, satyra i ludzka kontrola
Warto rozjaśnić, co dokładnie kryje się pod obowiązkiem oznaczania treści syntetycznych, bo to właśnie ten przepis dotknie najwięcej osób i firm już od dziś. Chodzi nie tylko o materiały wygenerowane od zera przez sztuczną inteligencję, ale też o wszelkie przeróbki, czyli treści zmodyfikowane tak, żeby wyglądały na autentyczne. Prawnicy zajmujący się tematem zwracają uwagę, że jeden wyjątek jest tu jasno określony, mianowicie materiały o charakterze oczywiście satyrycznym nie muszą być oznaczane, bo ich żartobliwy charakter jest widoczny na pierwszy rzut oka.
Ciekawiej wygląda sprawa tekstów. Obowiązek oznaczania obejmuje też treści pisane wygenerowane przez AI, ale przewidziano od niego furtkę. Jeśli taki tekst przejdzie gruntowną weryfikację przez człowieka, czyli tak zwany human review, i konkretna osoba weźmie za niego pełną odpowiedzialność redakcyjną, oznaczenie nie jest konieczne. W praktyce oznacza to, że redakcje, agencje i firmy publikujące treści wspomagane sztuczną inteligencją powinny już teraz mieć jasno opisaną procedurę takiej weryfikacji, bo to właśnie ona decyduje, czy dany materiał wymaga etykiety, czy nie.
Osobny obowiązek dotyczy sytuacji, w których ktoś jest poddawany działaniu konkretnych narzędzi AI. Podmioty wdrażające takie systemy muszą informować osoby fizyczne, gdy są one narażone na rozpoznawanie emocji, kategoryzację biometryczną albo gdy stykają się z tekstami dotyczącymi spraw publicznych, które zostały opublikowane bez żadnej kontroli redakcyjnej człowieka. To ostatnie ma szczególne znaczenie dla portali i twórców treści newsowych korzystających z automatyzacji.
Co dzieje się w Polsce
Równolegle do prac na poziomie unijnym trwał krajowy proces wdrożeniowy. Sejm uchwalił ustawę o systemach sztucznej inteligencji 3 lipca, a Prezydent podpisał ją 24 lipca. Ustawa wchodzi w życie po czternastu dniach od ogłoszenia, więc formalnie zaczyna działać właśnie teraz, choć dla części przepisów przewidziano dodatkowy, trzymiesięczny okres na przygotowanie się.
Kluczowym elementem polskiej ustawy jest powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI, która ma pełnić funkcję krajowego organu nadzoru rynku. Jej zadania to nie tylko kontrola i karanie, ale też prowadzenie postępowań w sprawie naruszeń, rozpatrywanie skarg oraz wspieranie rozwoju polskiego ekosystemu AI, między innymi przez piaskownice regulacyjne i działania edukacyjne. Sama Komisja ma jednak realnie zacząć działać dopiero w listopadzie, co oznacza, że przez najbliższe miesiące przepisy obowiązują, a organ, który ma nad nimi czuwać w Polsce, dopiero się organizuje. To nie zwalnia jednak nikogo z obowiązków, bo unijne rozporządzenie obowiązuje niezależnie od tempa prac krajowych instytucji.
Systemy wysokiego ryzyka, czyli termin przesunięty, ale zegar już tyka
Choć obowiązki dla systemów wysokiego ryzyka, stosowanych między innymi w rekrutacji i bankowości, zostały przesunięte przez Digital Omnibus na 2 grudnia 2027 roku, eksperci zgodnie odradzają czekanie z przygotowaniami do ostatniej chwili. Firmy korzystające z takich systemów będą musiały stosować je wyłącznie zgodnie z instrukcjami przekazanymi przez dostawcę, a odejście od tych instrukcji może oznaczać przejęcie odpowiedzialności na zasadach zbliżonych do tych, jakie ponosi sam dostawca systemu.
Od 2027 roku firmy będą musiały mierzyć się między innymi z audytami wykorzystywanych systemów AI, weryfikacją posiadanych certyfikatów, sprawdzaniem, czy dany system nie figuruje na listach ostrzegawczych unijnych organów nadzoru, a także z odpowiednimi zapisami w umowach wdrożeniowych dotyczącymi podatności na błędy i obowiązkowych aktualizacji.
Szczególnie mocno odczuje to branża HR. Z danych Polskiego Forum HR wynika, że ponad połowa specjalistów do spraw kadr, bo aż 53 procent, regularnie korzysta z rozwiązań opartych na sztucznej inteligencji, głównie właśnie przy rekrutacji i selekcji kandydatów. Podobne wyzwania czekają sektor finansowy i ubezpieczeniowy, bo systemy przetwarzające wnioski kredytowe czy ubezpieczeniowe już dziś kwalifikują się jako systemy wysokiego ryzyka.
Skala zjawiska w Polsce nie jest mała. Według Barometru rynku pracy 2026 przygotowanego przez Gi Group Holding, automatyzację i sztuczną inteligencję deklaruje wykorzystywać 42,2 procent polskich firm. Najczęściej sięgają po nią duże przedsiębiorstwa, wśród których szerokie stosowanie tych technologii deklaruje 14,1 procent podmiotów, podczas gdy wśród firm średnich odsetek ten wynosi 11,8 procent, a wśród małych 10,6 procent. To pokazuje, że choć AI Act kojarzy się głównie z wielkimi koncernami technologicznymi, w praktyce dotknie firm każdej wielkości.
Ile można dziś zapłacić za złamanie przepisów
System sankcji w AI Act jest trójstopniowy i zależy od charakteru naruszenia.
Najwyższe kary, sięgające do 35 milionów euro albo do 7 procent całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która wartość jest wyższa, grożą za stosowanie zakazanych praktyk, czyli tych systemów uznanych za niedopuszczalne. To próg wyższy niż maksymalna kara przewidziana w RODO.
Drugi poziom, do 15 milionów euro lub 3 procent globalnego obrotu, dotyczy naruszeń obowiązków nałożonych na dostawców, importerów, dystrybutorów i użytkowników systemów AI, takich jak braki w dokumentacji technicznej czy niewłaściwie przeprowadzona ocena zgodności. Trzeci, najniższy próg, do 7,5 miliona euro albo 1 procenta obrotu, obejmuje między innymi naruszenia obowiązków przejrzystości, na przykład brak informacji, że użytkownik rozmawia z systemem AI, albo brak oznaczenia treści typu deepfake, czyli dokładnie te przepisy, które zaczynają obowiązywać już dziś.
Co istotne, ustawodawca unijny wprost uwzględnił wielkość i sytuację ekonomiczną przedsiębiorstwa, w tym startupów oraz małych i średnich firm, co ma zapobiec sytuacji, w której kara finansowa staje się wyrokiem śmierci dla mniejszego podmiotu.
Jakie to ma znaczenie od dziś w praktyce
Dla dużych firm technologicznych i dostawców systemów wysokiego ryzyka konsekwencje wciąż są poważne, choć rozłożone na dłuższy czas. Trzeba budować dokumentację techniczną, systemy zarządzania ryzykiem, procedury nadzoru ludzkiego i przygotowywać się do rejestracji w unijnej bazie danych, ale nowy harmonogram daje na to więcej oddechu niż pierwotnie zakładano.
Dla mniejszych firm i instytucji, które korzystają z gotowych narzędzi AI, na przykład w rekrutacji, obsłudze klienta czy analizie danych, kluczowe jest zrozumienie, że AI Act nie działa w próżni. Jedno wdrożenie systemu sztucznej inteligencji może jednocześnie naruszać kilka reżimów prawnych naraz, na przykład przepisy o ochronie danych osobowych, prawo pracy czy prawo autorskie. System oceniający kandydatów do pracy to dobry przykład sytuacji, w której trzeba myśleć o zgodności na kilku frontach jednocześnie, a nie tylko o samym AI Act.
Prawnicy zajmujący się tematem podkreślają, że po wejściu w życie kolejnych wymogów AI Act sztuczna inteligencja przestaje być wyłącznie sprawą działu IT, a staje się zagadnieniem o charakterze strategicznym dla całej organizacji. W praktyce oznacza to konieczność przeszkolenia pracowników, ale też przygotowania przez firmy konkretnej listy narzędzi AI, z których można korzystać w pracy, oraz tych, które są zabronione. Do tego dochodzi wdrożenie procedur uwzględniających jednocześnie ochronę danych osobowych, poufność informacji firmowych oraz ochronę własności intelektualnej, bo te trzy obszary bardzo często przecinają się z wykorzystaniem AI w codziennej pracy.
Dla zwykłych użytkowników najbardziej odczuwalne od dziś będą właśnie te przepisy, które nie zostały przesunięte, czyli obowiązek informowania o kontakcie z AI i oznaczania treści wygenerowanych przez sztuczną inteligencję. W praktyce oznacza to, że coraz więcej obrazów, filmów czy tekstów publikowanych w sieci powinno nosić wyraźną informację o swoim pochodzeniu, co ma pomóc w walce z dezinformacją i fałszywymi materiałami, w tym z coraz popularniejszymi i coraz bardziej szkodliwymi aplikacjami do generowania fałszywych, intymnych wizerunków.
.
Dzień, w którym AI Act zaczyna realnie obowiązywać w Polsce, nie jest jednym wielkim przełomem, tylko raczej startem długiego procesu rozłożonego na kilka najbliższych lat. Wielka część obowiązków dla systemów wysokiego ryzyka została w ostatniej chwili przesunięta na 2027 i 2028 rok, więc firmy dostały dodatkowy czas na przygotowanie. Jednocześnie od dziś realnie działają przepisy o przejrzystości i oznaczaniu treści AI, czyli te obszary, w których Unia nie zgodziła się na żadne opóźnienia.
Dla firm oznacza to konieczność śledzenia nie tylko unijnego rozporządzenia, ale i krajowej ustawy oraz działań dopiero powoływanej Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Dla wszystkich pozostałych, czyli praktycznie każdego, kto korzysta z internetu, AI Act od dziś będzie coraz bardziej widoczny w codziennym kontakcie z treściami generowanymi przez maszyny, nawet jeśli sam proces legislacyjny pozostanie gdzieś w tle.