AI ACT to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt w sprawie sztucznej inteligencji).
Od 2 sierpnia 2026 r. obowiązuje art. 50 AI Act dotyczący przejrzystości korzystania ze sztucznej inteligencji. Jest to przepis o najszerszym zasięgu w całym rozporządzeniu, ponieważ jest niezależny od klasy ryzyka systemu. Przepis ten nakłada, zarówno na dostawców systemów AI, jak i podmioty stosujące te systemy, określone obowiązki związane z interakcją z systemami AI, generowaniem treści syntetycznych, deepfake’ami oraz wykorzystaniem niektórych systemów biometrycznych.
Co to oznacza w praktyce?
Z art. 50 wynikają cztery obowiązki, a mianowicie:
- Obowiązek poinfomowania o interakcji z systemem AI (art. 50 ust. 1) – (obowiązek dostawcy). Jest to jedna z najważniejszych zmian.
Osoba wchodząca w interakcję z systemem AI musi zostać o tym poinformowana i być świadoma, że prowadzi interakcję z systemem.
Chatboty, voiceboty, wirtualni asystenci, agenci AI i automatyczne systemy obsługi użytkowników muszą być zaprojektowane w taki sposób, aby osoba fizyczna przy pierwszym kontakcie uzyskała przekazaną w sposób jasny i zrozumiały informację, że wchodzi w interakcję z systemem AI.
Informacja ta musi zostać przekazana w odpowiednim czasie, czyli przed rozpoczęciem interakcji lub w jej trakcie. Jedynym wyjątkiem jest sytuacja, w której jest to oczywiste z punktu widzenia osoby fizycznej, która jest dostatecznie poinformowana, uważna i ostrożna, z uwzględnieniem okoliczności i kontekstu wykorzystywania systemu.
- Obowiązek oznaczania treści generowanych przez systemy (art. 50 ust. 2) — obowiązek dostawcy.
Dostawcy systemów sztucznej inteligencji generujących treści w postaci syntetycznych dźwięków, obrazów, wideo lub tekstu muszą oznaczać te treści w formacie czytelnym dla maszyn, umożliwiającym wykrycie, że zostały one wygenerowane sztucznie lub poddane manipulacji.
Maszynowo odczytywalne oznakowanie treści syntetycznych generowanych przez systemy wykorzystujące modele AI ogólnego przeznaczenia (modele GPAI ang. general-purpose AI) — stosuje się od 2 grudnia 2026 – w odniesieniu do systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. Oznacza to, że systemy już funkcjonujące na rynku przed tą datą otrzymują dodatkowy czas na dostosowanie.
Oznaczenie to musi być skuteczne, niezawodne, odporne i interoperacyjne. Obowiązek ten dotyczy więc przede wszystkim dostawców systemów generatywnych i odnosi się do technicznych mechanizmów oznaczania wyników działania systemu. Nie oznacza on automatycznego obowiązku oznaczania każdej treści stworzonej z wykorzystaniem narzędzia AI przez użytkownika końcowego.
- Obowiązek poinformowania o wykorzystywaniu systemów rozpoznawania emocji i systemów kategoryzacji biometrycznej (art. 50 ust. 3) — obowiązek podmiotu stosującego.
Podmioty stosujące systemy rozpoznawania emocji lub systemy kategoryzacji biometrycznej muszą dopełnić obowiązku informacyjnego – osoby fizyczne, wobec których systemy te są stosowane muszą zostać poinformowane o fakcie ich stosowania. Ponadto, podmioty te są zobowiązane do zapewnienia przetwarzania danych osobowych zgodnie z przepisami o ochronie danych. Warto podkrećlić, iż AI Act nie zastępuje ogólnego rozporządzenia o ochronie danych ani innych regulacji chroniących prywatność. Przepisy te należy stosować równolegle.
- Obowiązek ujawnienia, że materiał i teksty dotyczące interesu publicznego został wygenerowany albo zmodyfikowany przez sztuczną inteligencję (art. 50 ust. 4) — obowiązek podmiotu stosującego.
Podmioty publikujące deepfake’i lub teksty wygenerowane przez AI dotyczące spraw interesu publicznego muszą ujawnić, że treść została wygenerowana sztucznie lub poddana manipulacji.
W rozumieniu AI ACT „deepfake” wygenerowane lub zmanipulowane przez AI obrazy, treści dźwiękowe lub treści wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia, które odbiorca mógłby niesłusznie uznać za autentyczne lub prawdziwe;
Wyjątki mają zastosowanie w przypadku gdy treść stanowi część pracy lub programu o wyraźnie artystycznym, twórczym, satyrycznym, fikcyjnym lub analogicznym charakterze obowiązki w zakresie przejrzystości określone w niniejszym ustępie ograniczają się do ujawnienia istnienia takich wygenerowanych lub zmanipulowanych treści w odpowiedni sposób, który nie utrudnia wyświetlania lub korzystania z utworu — pod warunkiem proporcjonalnego ujawnienia informacji, które nie zmieni charakteru dzieła.
Ww. obowiązek nie ma zastosowania gdy system AI pełni wyłącznie funkcję wspierającą, przykładowo w procesie korekty i edycji, nie zmienia w istotny sposób tekstu (nie powstają nowe treści syntetyczne), a odpowiedzialność redakcyjną za publikację tekstu ponosi osoba fizyczna lub prawna.
Obowiązki wynikające z wejścia w życie art. 50 dotyczą zarówno dostawców systemów AI, jak i podmioty stosujące te systemy – a więc w praktyce, m.in. przedsiębiorców korzystających z gotowych narzędzi AI w działalności gospodarczej.
I tak, „dostawca” w rozumieniu AI ACT oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które rozwijają system AI lub model AI ogólnego przeznaczenia lub zlecają rozwój systemu AI lub modelu AI ogólnego przeznaczenia oraz które – odpłatnie lub nieodpłatnie – pod własną nazwą lub własnym znakiem towarowym wprowadzają do obrotu lub oddają do użytku system AI;
Z kolei „podmiot stosujący” oznacza osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, które wykorzystują system AI, nad którym sprawują kontrolę, z wyjątkiem sytuacji, gdy system AI jest wykorzystywany w ramach osobistej działalności pozazawodowej;
AI Act rozdziela obowiązki pomiędzy dostawców systemów AI oraz podmioty stosujące te systemy. Dostawcy odpowiadają, m.in. za odpowiednie projektowanie systemów i mechanizmy oznaczania syntetycznych treści. Natomiast podmioty stosujące systemy AI odpowiadają m.in. za ujawnienie wykorzystania deepfake’ów czy poinformowanie osób o zastosowaniu systemów rozpoznawania emocji.
Sankcje – kary pieniężne
Za tworzenie i wykorzystywanie systemów AI niezgodnie z AI Act organ nadzoru wyposażony jest w szereg kompetencji, w tym nakładanie wysokich kar pieniężnychjako sankcji administracyjnych.
Naruszenie obowiązków przejrzystości określonych w art. 50 AI Act podlega administracyjnej karze pieniężnej na podstawie art. 99 ust. 4 lit. g) AI Act.
Maksymalny wymiar kary wynosi:
- do 15 000 000 EURO, albo
- do 3% całkowitego światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego
– w zależności od tego, która z kwot jest wyższa.
Są to górne granice ustawowe. Na wysokość kary w konkretnej sprawie wpływ ma, m.in. charakter, waga i czas trwania naruszenia oraz podjęte działania naprawcze.
Także Europejski Inspektor Ochrony Danych może nakładać administracyjne kary pieniężne na instytucje, organy i jednostki organizacyjne Unii objęte zakresem stosowania AI Act.
Niezależnie od sankcji przewidzianych w AI Act nieprawidłowe informowanie odbiorców o wykorzystaniu AI może podlegać również ocenie na podstawie innych regulacji, w szczególności dotyczących ochrony konsumentów i nieuczciwych praktyk rynkowych.
Od 2 sierpnia 2026 r. zaczynają mieć zastosowanie również kompetencje Komisji Europejskiej dotyczące nakładania kar na dostawców modeli AI ogólnego przeznaczenia przewidziane w art. 101 AI Act.
AI Omnibus – zmiana harmonogramu części obowiązków wynikajacych z AI Act
Dnia 27 lipca 2026 r. weszło w życie Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8 lipca 2026 (zwane: AI Omnibus/Digital Omnibus on AI), które zmieniło harmonogram stosowania części najbardziej wymagających obowiązków wynikających z AI Act.
Przesunięcie terminów dotyczy przede wszystkim systemów sztucznej inteligencji wysokiego ryzyka (rozdział III sekcje 1–3). Pierwotny harmonogram przewidywał rozpoczęcie stosowania części przepisów dotyczących tych systemów 2 sierpnia 2026 r., a w przypadku systemów związanych z produktami regulowanymi 2 sierpnia 2027 r.
Przesunięcie terminu nie jest zwolnieniem. Zakazy z art. 5, obowiązek z art. 4, obowiązki przejrzystości z art. 50 oraz cały reżim modeli GPAI obowiązują dziś.
Digital Omnibus zmienia art. 113 AI Act i przesuwa terminy stosowania części przepisów dotyczących systemów wysokiego ryzyka.
Nowy harmonogram wygląda następująco:
- 2 grudnia 2027 r. – rozpoczęcie stosowania obowiązków dotyczących samodzielnych systemów wysokiego ryzyka kwalifikowanych na podstawie art. 6 ust. 2 w związku z załącznikiem III AI Act (m.in. systemy wykorzystywane w obszarze zatrudnienia, edukacji, infrastruktury krytycznej, dostępu do usług podstawowych, migracji, ścigania przestępstw czy wymiaru sprawiedliwości);
- 2 sierpnia 2028 r. – rozpoczęcie stosowania obowiązków dotyczących systemów AI stanowiących element produktów objętych unijnymi przepisami dotyczącymi bezpieczeństwa (wskazanym w załączniku I AI Act, m.in. wyroby medyczne, zabawki czy urządzenia lotnicze);
- 2 sierpnia 2027 r. – termin utworzenia przez państwa członkowskie co najmniej jednej piaskownicy regulacyjnej AI.
Przesunięcie terminów uzasadniono przede wszystkim potrzebą zapewnienia odpowiedniego czasu na przygotowanie norm, narzędzi i procedur potrzebnych do jednolitego stosowania wymagań w całej Unii.
Jakie działania warto podjąć?
Mając na uwadze, że obowiązki z art. 50 AI Act dotyczą także podmiotów stosujących AI, a więc dotyczą nie tylko firm technologicznych, ale również podmiotów wykorzystujących gotowe narzędzia AI – każda firma powinna ocenić własne obowiązki wynikające z AI Act i zweryfikować czy wykorzystuje AI w sposób powodujący obowiązki przejrzystości wynikające z art. 50 AI Act.
Dotyczy to takich obaszarów jak:
- wykorzystywanie chatbotów i voicebotów stosowanych w firmie,
- systemów wykorzystywanych przez działy marketingu wykorzystujące generatywną AI,
- materiałów tworzonych przy pomocy AI publikowanych na stronach internetowych, w mediach społecznościowych lub komunikacji zewnętrznej (np. wykorzystujących chatboty na stronach internetowych lub publikujących realistyczne grafiki i nagrania wygenerowane przez AI w materiałach marketingowych)
- zweryfikować treści pod kątem treści syntetycznych, deepfake’ów lub materiałów mogących wprowadzać odbiorców w błąd co do ich pochodzenia;
- zweryfikować umowy z dostawcami narzędzi AI pod kątem odpowiedzialności za zgodność z AI Act;
- przygotować wewnętrzne zasady korzystania z generatywnej AI;
- rozpocząć klasyfikację wykorzystywanych systemów pod kątem przyszłych obowiązków dotyczących systemów wysokiego ryzyka.
Polska – proces wdrożenia AI Act
W Polsce weszła w życie ustawa z dnia 3 lipca 2026r. o systemach sztucznej inteligencji.
Najważniejsze cele nowych przepisów to zapewnienie:
- Bezpieczeństwa użytkowników systemów AI – dzięki temu, że nadzór nad stosowaniem przepisów AI Act oraz ustawy o systemach sztucznej inteligencji będzie sprawować specjalnie powołany organ – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Obywatele, przedsiębiorcy i instytucje będą mogli zgłaszać do niej skargi dotyczące działania systemów AI. Rozpoczęcie działalności Komisji zapowiadane jest na listopad 2026 r.
- Korzystnych warunków rozwoju nowoczesnych technologii – dzięki temu, że przepisy ustawy tworzą ramy prawne funkcjonowania piaskownic regulacyjnych. Ponadto możliwe będzie Polsce wspieranie finansowo przez Ministra Cyfryzacji badań naukowych i prac rozwojowych dotyczących sztucznej inteligencji, a KRiBSI będzie prowadzić działania edukacyjne i informacyjne.
Czym są piaskownice regulacyjne?
Zgodnie z AI Act, państwa członkowskie mają zapewnić funkcjonowanie co najmniej jednej krajowej piaskownicy regulacyjnej do 2 sierpnia 2026 r.
Piaskownice regulacyjne AI, to kontrolowane środowiska tworzone przez organy publiczne, w których przedsiębiorcy mogą rozwijać, trenować i testować systemy sztucznej inteligencji przed ich wprowadzeniem na rynek, pod nadzorem regulatora i przez ograniczony czas. Projekt umożliwia tworzenie sandboxów, a w komunikatach rządowych pojawiają się zapowiedzi wsparcia finansowego dla badań i prac rozwojowych.
Piaskownice umożliwiają bezpieczne testowanie nowych technologii AI w warunkach zbliżonych do rzeczywistych, identyfikację ryzyk związanych z wykorzystaniem AI (np. dla praw podstawowych, zdrowia lub bezpieczeństwa), zwiększenie pewności prawnej dla przedsiębiorców poprzez możliwość sprawdzenia zgodności systemu z AI Act przed jego wdrożeniem, wspieranie innowacji i konkurencyjności rynku AI czy rozwój współpracy między firmami, regulatorami i innymi interesariuszami.
W ramach piaskownicy regulator zapewnia nadzór, wskazówki regulacyjne oraz wsparcie w spełnianiu wymogów prawnych, a wyniki testów mogą zostać wykorzystane w procesie oceny zgodności systemu AI i przyspieszyć dopuszczenie produktu do rynku.
Harmonogram organizacji krajowego organu nadzoru nie wpływa jednak na obowiązki przedsiębiorców. AI Act jest rozporządzeniem unijnym i stosuje się bezpośrednio – obowiązki wynikające z art. 50 powstają 2 sierpnia 2026 r. niezależnie od stanu prawa krajowego.
Zadaniem ustawy krajowej jest w szczególności wyznaczenie właściwych organów odpowiedzialnych za stosowanie AI Act, określenie procedur nadzoru i postępowań oraz ustanowienie zasad nakładania kar przewidzianych w tym rozporządzeniu.
Podsumowanie
Digital Omnibus zmienił harmonogram wdrażania AI Act, ale nie oznacza to odroczenia wszystkich obowiązków.
Od 2 sierpnia 2026 r. stosuje się wymogi przejrzystości wynikające z art. 50 AI Act.
Nie jest to równoznaczne z powszechnym obowiązkiem oznaczania każdej treści przygotowanej z pomocą AI – obowiązki powstają w sytuacjach określonych w tym przepisie i wymagają każdorazowej oceny sposobu wykorzystania systemu.
W praktyce warto tę ocenę przeprowadzić już teraz oraz przygotować odpowiednie procedury wewnętrzne.
Alicja Kicińska – Fujawa, radczyni prawna, krajowa i europejska rzeczniczka patentowa
