AI Act: co musi zrobić firma i kiedy?

AI Act (rozporządzenie UE 2024/1689) obowiązuje bezpośrednio w całej UE, także firmy, które tylko korzystają z AI. Od 2 lutego 2025 r. zakazane są niektóre praktyki, np. rozpoznawanie emocji pracowników w miejscu pracy. Firma ma wspierać kompetencje w zakresie AI osób, które z niej korzystają. Od 2 sierpnia 2026 r. ludzie muszą wiedzieć, że rozmawiają z chatbotem, a deepfake'i trzeba oznaczać. Obowiązki dla AI wysokiego ryzyka, np. w rekrutacji lub ocenie zdolności kredytowej, przesunięto w 2026 r. na 2 grudnia 2027 r. Kary sięgają 35 mln euro lub 7% światowego obrotu.

Czy AI Act dotyczy firmy, która tylko korzysta z AI?

Tak. AI Act odróżnia dostawców, czyli tych, którzy system AI tworzą lub wprowadzają do obrotu pod własną nazwą, od podmiotów stosujących, czyli firm używających AI w swojej działalności. Firma, która korzysta z ChatGPT, Copilota, chatbota na stronie albo narzędzia AI w rekrutacji, jest zwykle podmiotem stosującym, a obowiązki ma także on.

Firma, która istotnie zmienia system AI albo oferuje go pod własną nazwą, może stać się dostawcą, a wtedy obowiązków ma znacznie więcej. To, jaka rola ma zastosowanie, zależy od konkretnego użycia.

Co obowiązuje już dziś

Od 2 lutego 2025 r. zakazane są praktyki z art. 5. Należą do nich techniki manipulacyjne wyrządzające ludziom szkodę, scoring społeczny, rozpoznawanie emocji w miejscu pracy i w szkole (poza względami medycznymi lub bezpieczeństwa) oraz nieukierunkowane pozyskiwanie wizerunków twarzy z internetu do baz danych.

Art. 4 o kompetencjach w zakresie AI obowiązuje od lutego 2025 r. Od 27 lipca 2026 r. obowiązuje w nowym brzmieniu: firma ma podejmować działania wspierające kompetencje osób pracujących z AI, ale nie musi gwarantować każdej z nich określonego poziomu wiedzy.

Od 2 sierpnia 2026 r. obowiązują wymogi przejrzystości z art. 50. Ludzie muszą wiedzieć, że mają do czynienia z AI, a deepfake'i i teksty AI na tematy interesu publicznego trzeba oznaczać. Szczegóły opisuje artykuł o oznaczaniu treści tworzonych przez AI.

Co zmienił Digital Omnibus i co nas czeka

Rozporządzenie (UE) 2026/1744 (Digital Omnibus w sprawie AI) obowiązuje od 27 lipca 2026 r. i przesunęło kilka terminów. Obowiązki dla samodzielnych systemów wysokiego ryzyka z załącznika III (rekrutacja i ocena pracowników, zdolność kredytowa, edukacja, dostęp do usług podstawowych) mają zastosowanie od 2 grudnia 2027 r. Dla AI wbudowanej w produkty regulowane z załącznika I obowiązują od 2 sierpnia 2028 r.

Od 2 grudnia 2026 r. obowiązują dwa nowe zakazy: systemy AI przeznaczone do tworzenia materiałów przedstawiających seksualne wykorzystywanie dzieci oraz do tworzenia intymnych obrazów osoby bez jej zgody. Do tego samego dnia dostawcy generatywnej AI wprowadzonej do obrotu przed 2 sierpnia 2026 r. muszą oznaczać jej wyniki w sposób nadający się do odczytu maszynowego.

Mniejsze firmy (do 750 pracowników i 150 mln euro obrotu) mogą według Omnibusu korzystać z uproszczonych procedur. Ich obowiązki nie znikają.

Kto sprawuje nadzór i jakie są kary

Każde państwo członkowskie wyznacza własne organy. W Czechach głównym organem nadzoru rynku ma być Czeski Urząd Telekomunikacyjny (ČTÚ), w sektorze finansowym Czeski Bank Narodowy, a w zakresie danych osobowych urząd ochrony danych (ÚOOÚ). Czeska ustawa wdrażająca AI Act nie została przyjęta do 28 października 2026 r., ale rozporządzenie obowiązuje bezpośrednio.

Za zakazane praktyki grozi kara do 35 mln euro lub 7% światowego rocznego obrotu. Za naruszenie innych obowiązków, w tym przejrzystości, do 15 mln euro lub 3%. W przypadku małych i średnich przedsiębiorstw stosuje się niższą z tych kwot.

Prawnik może ocenić, jaką rolę ma Twoja firma według AI Act, które obowiązki jej dotyczą i jak ująć je w umowach i zasadach wewnętrznych. Usługi prawnika są płatne, bezpłatne jest tylko złożenie standardowego zapytania przez LawBridge.

Najczęściej zadawane pytania