Już od 2 sierpnia 2026 r. zacznie obowiązywać akt w sprawie sztucznej inteligencji (rozporządzenie (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji, potocznie zwany AI Act [1]). Są to pierwsze kroki w legislacji dotyczącej sztucznej inteligencji w odpowiedzi na wciąż rozwijającą się technologię, która wpływa nie tylko wpływa na korzyści ekonomiczne, ale również środowiskowe i społeczne. Mimo, że zasadnicza część przepisów AI Act zacznie obowiązywać od 2 sierpnia 2026 r., unijny prawodawca stopniowo wdrażał regulacje – część przepisów stosowało się już od 2 lutego 2025 r. i 2 sierpnia 2025 r., a wybrane obowiązki dotyczące systemów AI wysokiego ryzyka będą obowiązywać od 2 sierpnia 2027 r.
To pierwsza na świecie tak kompleksowa regulacja odpowiadająca na gwałtowny rozwój tej technologii. Prawo jak zawsze goni technologie, pytanie jednak, na ile sprawnie skutecznie i ze zrozumieniem specyfiki tej technologii.
Dla biznesu nie jest to jednak tylko kolejny dokument prawny. To fundamentalna zmiana reguł gry, która wpłynie na to, jak firmy optymalizują koszty, tworzą innowacje i budują przewagę konkurencyjną, balansując między korzyściami ekonomicznymi a bezpieczeństwem i prawami konsumentów, czy innych wrażliwych grup, jak np. dzieci.
O jakiej technologii mowa?
Z perspektywy przedsiębiorcy kluczowe jest zrozumienie, że AI Act nie traktuje każdej technologii tak samo. Ustawa dzieli systemy sztucznej inteligencji na cztery kategorie ryzyka, od których zależą obowiązki firmy:
- Ryzyko niedopuszczalne – systemy surowo zakazane (np. manipulujące ludzkim zachowaniem lub służące do tzw. social scoringu). W art. 5 AI Act ustawodawca w szczególności wyróżnia, że zabronione są systemy, które manipulują ludzkim zachowaniem, wyzyskują słabości osób, generują deepfake’i o charakterze seksualnym bez zgody, przedstawiają seksualne wykorzystywanie dzieci, służą do tzw. social scoringu oraz budują bazy rozpoznawania twarzy poprzez masowe pozyskiwanie zdjęć z internetu.
- Wysokie ryzyko – systemy podlegające ścisłym rygorom, audytom i certyfikacji (m.in. systemy używane w HR do rekrutacji, w ocenie zdolności kredytowej czy w infrastrukturze krytycznej). Za system wysokiego ryzyka w rozumieniu rozporządzenia (UE) 2024/1689 (art. 6) rozumiemy przede wszystkim system, który zarówno:
a. Stanowi element bezpieczeństwa produktów objętych unijnym prawodawstwem harmonizacyjnym (np. wyroby medyczne do diagnostyki in vitro) lub sam w sobie system AI jest takim produktem;
oraz
b. Podlega na podstawie unijnego prawodawstwa harmonizacyjnego ocenie zgodności przez stronę trzecią w związku z wprowadzeniem tego produktu do obrotu/ oddaniem do użytku. - Ograniczone ryzyko – systemy podlegające głównie obowiązkom przejrzystości (np. chatboty, deepfake’i – użytkownik musi wiedzieć, że ma do czynienia z AI).
- Minimalne ryzyko – większość narzędzi używanych w biznesie (np. filtry spam, systemy rekomendacyjne), które można stosować bez dodatkowych obostrzeń prawnych. Mowa tu przede wszystkim o systemach, które prezentują już istniejące treści, a ryzyko dezinformacji jest znikomo niskie.
Dla każdego z tychże poziomów należałoby przygotować osobna procedurę opartą o identyfikację ryzyka, jego określenie, a następnie dostosowanie wewnętrznych działań do tych ryzyk, z uwzględnieniem zasad naprawczych.
Kogo będzie obowiązywać AI Act?
Wchodzący w życie obowiązek odpowiedniego oznakowania dla dostawców i podmiotów stosujących systemy AI będzie obowiązywał dla tych, którzy w swojej działalności korzystają z systemów AI.
Co więcej, zakres odpowiedzialności zależy od pełnionej roli. Inne obowiązki ustawa przewiduje dla dostawców (tworzących i sprzedających systemy AI), a inne dla podmiotów stosujących (wdrażających gotowe rozwiązania w przedsiębiorstwach). AI Act określa, że dostawca to osoba fizyczna lub prawna, jak i również organ publiczny, agencja lub inny podmiot, który:
a. Rozwija system AI lub model AI ogólnego przeznaczenia;
b. Zleca rozwój systemu AI lub modelu AI ogólnego przeznaczenia;
c. Wprowadza do obrotu lub oddaje do użytku system AI – zarówno odpłatnie, jak i nieodpłatnie, pod własną nazwą lub własnym znakiem towarowym.
Podmiot stosujący to osoba fizyczna lub prawna, organ publiczny, agencja lub inny podmiot, który wykorzystuje system AI, nad którym sprawują kontrolę. Prawo wyłącza spod tej definicji sytuację, gdzie system AI jest używany w działalności osobistej/pozazawodowej.
Komisja Europejska w projekcie wytycznych z 8 maj 2026 r.[2] zaznaczyła również, że działalność zawodowa, to każda aktywność, z której osoba fizyczna regularnie czerpie korzyści ekonomiczne lub która w inny sposób wiąże się z prowadzeniem działalności profesjonalnej, biznesowej, handlowej, wykonywaniem pracy albo świadczeniem usług jako freelancer, a wytyczne charakteru osobistego i niezawodowego nie należy traktować w sposób wybiórczy.
Na jakie obowiązki w zakresie oznaczania treści należy się przygotować?
Szczególną uwagę należy zwrócić na art. 50 rozporządzenia (UE) 2024/1689, który wprowadza obowiązki w zakresie przejrzystości dla dostawców i podmiotów stosujących niektóre systemy AI.
- Obowiązek poinformowania osoby fizycznej o wejściu w bezpośrednią interakcję z systemem AI (chyba, że jest to oczywiste z punktu widzenia osoby fizycznej)
Co oznacza oczywiste z punktu widzenia osoby fizycznej?
Komisja Europejska[3] w projekcie wytycznych do AI Act określa, że zwrot „oczywiste z punktu widzenia osoby fizycznej” należy interpretować w ten sam sposób, w jaki od ponad 25 lat interpretujemy zwrot „przeciętny konsument”. Można więc wysnuć pytanie, czy przeciętny przedstawiciel wchodzący w bezpośrednią interakcję z systemem AI jest w stanie stwierdzić, że z takim system rozmawia. Przeciętnym odbiorcą systemów AI nie są tylko osoby posiadające podstawowy poziom wiedzy cyfrowej, ale również osoby starsze, które mogą być ofiarami wykluczenia cyfrowego. Komisja Europejska w pkt 42 projektu wytycznych jako nieoczywiste wymienia m.in. realistyczne roboty zwierzęce, realistyczne avatary czy chatboty na stronach internetowych lub helpdeski.
- Obowiązek oznakowania treści wygenerowanych przez system AI (syntetyczne dźwięki, obrazy, wideo, tekst) – rozporządzenie określa, że oznakowanie musi nadawać się do odczytu maszynowego i być wykrywalne jako sztucznie wygenerowane lub zmanipulowane.
Zatem jak to robić w praktyce?
Komisja Europejska zaleca stosowanie wielomodalnych sposób informowania odbiorców treści stworzonych przez systemy AI, mając na uwadze zarówno grupę docelową (dzieci, osoby wykwalifikowane), jak i potencjalnych odbiorców – przykłady:
- Informacja tekstowa – wyraźne, sformułowane prostym językiem stwierdzenie, że użytkownik wchodzi w interakcję z systemem AI („Wchodzisz w interakcję z systemem AI”);
- Informacja dźwiękowa – zalecana przy stosowaniu systemu AI w formie interakcji głosowej, komisja UE jako przykład wskazuje: „To jest asystent oparty na sztucznej inteligencji”;
- Informacja graficzna – trwałe znaki wodne, rozpoznawalny symbol AI. Serwisy społecznościowe coraz częściej wprowadzają domyślne oznaczenia – np. serwis społecznościowy TikTok w ustawieniach przy dodawaniu materiału pozwala na wybranie trwałej etykiety „Treść wygenerowana przez AI”.
Ustawodawca przewidział wyjątki od obowiązku oznakowania – mowa tu o użyciu systemu AI do standardowej edycji treści, która nie zmienia istotnie znaczenia i nie ingeruje w istotny sposób w dane wejściowe lub ich semantykę. Przykładem standardowej edycji może być automatyczna korekta pisowni i gramatyki w tekstach lub poprawa jakości zdjęcia.
- Obowiązek informowania o fakcie stosowania i przetwarzania danych osobowych przy systemach wykorzystujących rozpoznawanie emocji lub kategoryzujących biometryczne informacje (zgodnie z rozporządzeniami (UE) 2016/679 i (UE) 2018/1725 oraz dyrektywą (UE) 2016/680)
- Obowiązek ujawnienia informacji, że obraz, treść audio lub wideo stanowi treść deepfake lub została w inny sposób zmanipulowana.
- Obowiązek informowania o tym, że tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym został wygenerowany lub zmanipulowany.
Należy podkreślić, że od powyższych obowiązków w zakresie przejrzystości dla dostawców i podmiotów stosujących systemy AI, ustawodawca przewidział szereg wyjątków, w szczególności dla systemów AI, których celem jest wykorzystywanie zgodnie z prawem przez właściwe organy do celów wykrywania, zapobiegania i ścigania przestępstw. Wyłączenia te mają jednak zastosowanie przy zachowaniu odpowiednich zabezpieczeń praw i wolności osób trzecich oraz zgodności z prawem UE.
Rozporządzenie wskazuje również, że podmiot stosujący system AI ma obowiązek przekazać informację zainteresowanym w sposób jasny i wyraźny, najpóźniej w momencie pierwszej interakcji lub pierwszego stosowania. Przekazywane informacje muszą jednocześnie spełniać obowiązujące wymogi dostępności. Oznacza to, że sposób ich prezentacji powinien umożliwiać skuteczne zapoznanie się z nimi wszystkim użytkownikom.
Skuteczne, czyli jakie? W praktyce „skuteczne” zapoznanie się z informacją oznacza, że komunikat nie może być jedynie formalnością ukrytą w wielostronicowych regulaminach, czy pustych deklaracjach. Musi on realnie docierać do odbiorcy i być dla niego w pełni zrozumiały, co obejmuje w szczególności:
- Komunikat ma być zrozumiały dla odbiorczyni/-cy. Chodzi o stosowanie prostego, przystępnego języka (tzw. plain language), wolnego od nadmiernego żargonu technologicznego czy prawniczego, aby cel i charakter systemu AI był jasny dla przeciętnego odbiorcy, czyli tego, do którego ten komunikat kierujemy.
- Konieczny jest brak barier architektonicznych i cyfrowych, co zaś wynika z innych przepisów. Dostosowanie formatu do potrzeb osób z różnymi niepełnosprawnościami, zgodnie z wymogami Europejskiego Aktu o Dostępności (EAA). Wymaga to m.in. kompatybilności z czytnikami ekranu, zapewnienia odpowiedniego kontrastu czy możliwości powiększenia tekstu. To także powinno już od dawna znaleźć się z Państwa regulaminach.
- Należy pamiętać o właściwej ekspozycji i czasie. Prezentowanie informacji w miejscu łatwo zauważalnym (np. wyraźny komunikat pop-up, widoczna etykieta), dokładnie w tym momencie, w którym użytkownik ma podjąć decyzję o interakcji z systemem, a nie po fakcie.
- Warto pamiętać o wielomodalności przekazu. Chodzi o zapewnienie, w miarę możliwości technicznych, dostępu do informacji w różnych formach (tekstowej, wizualnej czy dźwiękowej), co gwarantuje, że różnorodne grupy społeczne będą mogły w pełni zinterpretować komunikat. To wymóg, który łączy się z ww. zrozumiałością.
A co grozi za brak przestrzegania przepisów?
Brak zgodności z nowymi przepisami niesie za sobą ogromne ryzyko finansowe. W zależności od wagi naruszenia oraz wielkości firmy, kary mogą wynieść od 7,5 mln do nawet 35 mln euro lub od 1% do 7% całkowitego rocznego światowego obrotu przedsiębiorstwa za poprzedni rok obrotowy (w zależności od tego, która kwota jest wyższa).
Co ustawodawca uznaje za deepfake?
AI Act uznaje za deepfake treści dźwiękowe, obrazy lub materiały wideo, które zostały wygenerowane lub zmanipulowane z wykorzystaniem systemu AI, przy czym łudząco przypominają istniejące już osoby, przedmioty, miejsca lub wydarzenia. Istotne jest zwrócenie uwagi na to, ze treści mogą być niesłusznie uznane przez odbiorcę materiału za autentyczne. Nie zwracamy tutaj uwagi na intencję twórcy, lecz na potencjalny odbiór przez społeczeństwo. Obejmuje to również treści autentyczne, które zostały zmodyfikowane przy wykorzystaniu sztucznej inteligencji. Komisja Europejska w projekcie wytycznych wyszczególniła, że treści nie muszą się opierać wyłącznie na realnych wydarzeniach lub osobach, wystarczy, że są realistyczne i mogłyby zaistnieć w rzeczywistości.
Za deepfake natomiast nie uznamy treści, która przedstawia postać lub zjawisko nierealistyczne, np. przeczące prawom natury lub biologii – nie podlegają one obowiązku oznakowania z art. 50 rozporządzenia AI Act. W przypadku treści artystycznych lub satyrycznych, obowiązek oznakowania podlega łagodniejszemu reżimowi – należy podać informację w sposób, który nie zakłóci odbiory czerpania przyjemności z utworu.
Zatem co zrobić dalej?
Mimo że kluczowa data to sierpień 2026 r., unijny prawodawca rozłożył wdrażanie przepisów na etapy, aby dać rynkowi czas na adaptację. Warto jednak zauważyć, że część z nich już obowiązuje:
- 2 lutego 2025 r. – Wszedł w życie bezwzględny zakaz stosowania systemów sztucznej inteligencji o niedopuszczalnym ryzyku.
- 2 sierpnia 2025 r. – Zaczną obowiązywać zasady dotyczące systemów sztucznej inteligencji ogólnego przeznaczenia (tzw. modele GPAI – np. duże modele językowe) oraz przepisy powołujące organy nadzorcze.
- 2 sierpnia 2026 r. – Data rozpoczęcia obowiązywania zasadniczej części przepisów AI Act. Od tego momentu pełnym wymogom będą podlegać m.in. systemy wysokiego ryzyka (te wymienione w załączniku III rozporządzenia).
- 2 sierpnia 2027 r. – Zacznie obowiązywać ostatni pakiet regulacji, obejmujący systemy AI wysokiego ryzyka będące elementami produktów podlegających już innej unijnej certyfikacji (np. wyroby medyczne, maszyny).
- 2 grudnia 2027 r. – data rozpoczęcia obowiązywania obowiązków i wymogów dotyczących systemów AI wysokiego ryzyka sklasyfikowanych z art. 6 ust. 2 i załącznika III (tzw. standalone high-risk AI), w szczególności systemów stosowanych w obszarach infrastruktury krytycznej, biometrii czy edukacji i szkolenia zawodowego.
Dla przedsiębiorców oznacza to, że przygotowania do compliance (zgodności z AI Act) powinny rozpocząć się od zaraz – od inwentaryzacji używanych w organizacjach narzędzi po wdrożenie wewnętrznych polityk korzystania ze sztucznej inteligencji.
Wraz z rozpoczęciem stosowania przepisów AI Act wchodzących od 2 sierpnia 2026 r. podmioty wykorzystujące sztuczną inteligencję powinny zweryfikować, czy sposób korzystania z tych systemów odpowiada nowym wymogom w zakresie transparentności oraz czy wdrożone zostały odpowiednie procedury zapewniające zgodność z rozporządzeniem.
Masz pytania – napisz do nas: office@ajlaw.pl
[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji (https://sip.lex.pl/#/act/72359064/447635748?directHit=true&directHitQuery=ai%20act&searchPit=2026-07-28 (dostęp: 2026-07-28 13:23))
[2] Komisja Europejska, Guidelines on the implementation of the transparency obligations for certain AI systems under Article 50 of the AI Act , pkt 16 (link: https://digital-strategy.ec.europa.eu/en/library/draft-guidelines-implementation-transparency-obligations-certain-ai-systems-under-article-50-ai-act, dostęp: 2026-07-28 13:56)
[3] Komisja Europejska, Guidelines on the implementation of the transparency obligations […], pkt 40-42