W samym środku kalendarzowego lata, 2 sierpnia 2026 r., wchodzą w życie kolejne przepisy AI Act, które wprowadzają istotne zmiany dla wielu branży. Nie wiadomo czy Krajowa ustawa implementacyjna również zacznie obowiązywać w tym terminie, jednak przypomnę, że AI Act jest unijnym rozporządzeniem, a zatem funkcjonuje w krajach członkowskich niezależnie od wprowadzenia krajowych ustaw.
Przepisy AI Act, które zaczynają działać od sierpnia, dotyczą stosowania systemów wysokiego ryzyka i obowiązków transparentności, co wbrew pozorom dotyczy bardzo wielu branży. Zmiany odczują przedsiębiorcy w działalności HR, e-commerce, agencji pracy, outsourcingu, fintech czy medtech. O czym zatem powinno się wiedzieć przed 2 sierpnia 2026 r.? Podpowiada Kancelaria prawna Pałucki & Szkutnik
Kogo dotyczą systemy wysokiego ryzyka AI Act?
Systemy wysokiego ryzyka, które opisane są w AI Act w art. 6 oraz Załącznikach I i III, w przeciwieństwie do systemów zakazanych, są dopuszczalne, jednak pod warunkiem spełnienia rygorystycznych obowiązków. Spina je zastosowanie mechanizmu samooceny. Zgodnie z nim system AI nie musi być kwalifikowany jako high-risk, jeżeli nie stwarza znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych. Kluczowy będzie tu brak istotnego wpływu na wynik procesu decyzyjnego.
Szczególnie związane z systemami wysokiego ryzyka będą branże usługowe związane z HR, marketingiem, fintechem czy SaaS. Opisane w Załączniku III AI Act obszary to np.:
- kształcenie i szkolenie zawodowe;
- zatrudnianie, zarządzanie pracownikami i dostępem do samozatrudnienia;
- zarządzanie migracją, azylem i kontrolą graniczną;
- identyfikacja i kategoryzacja biometryczną osób fizycznych.
Czym są obowiązki przejrzystości z art. 50 AI Act i kogo obowiązują?
Obowiązki przejrzystości są opisane w art. 50 AI Act i co kluczowe działają one równolegle do m.in. RODO, o czym nie można zapominać. Przestrzeganie przepisów przetwarzania ochrony danych osobowych stanowi zupełnie osobny akt prawny, który pomimo pokrywania się z obszarami AI Act funkcjonuje w sposób w pełni samodzielny.
Wśród najważniejszych obowiązków, wynikających z art. 50 AI Act, należy wymienić:
- informowanie użytkownika o interakcji z AI;
- oznaczanie treści, które są generowane przez AI;
- informowanie o rozpoznawaniu emocji i biometrii;
- moment i forma przekazania informacji.
Wszystkie te obowiązki informacyjne będą od 2 sierpnia obowiązywać dostawców systemów AI, wdrażających systemy AI oraz operatorów systemów AI ogólnego przeznaczenia (GPAI).
Dlaczego musisz zaktualizować dokumentację w swojej firmie?
Nie ma najmniejszego znaczenia czy Twoja firma dostarcza system wysokiego ryzyka czy też go używa – musisz wypełnić określone obowiązki, aby robić to legalnie. Należy do nich między innymi prowadzenie stosowanej dokumentacji. Co można do niej zaliczyć?
- wprowadzenie i aktualizowanie stosownej dokumentacji technicznej;
- przeprowadzenie i udokumentowanie analizy ryzyka;
- prowadzenie i przechowywanie rejestru zdarzeń;
- wprowadzenie stosownych zmian do regulaminu pracy;
- wprowadzenie stosownych zmian do regulaminów i polityk prywatności.
Jakie są założenia Krajowej ustawy implementacyjnej Ministerstwa Cyfryzacji?
Chociaż formalnie AI Act został przyjęty przez Parlament Europejski już chwilę temu (1 sierpnia 2024 r.) to Polska wciąż nie przyjęła jeszcze ustawy implementującej. Kolejne opóźnienie spotka się z następnymi karami, gdyż do 2 sierpnia Polska powinna uruchomić przynajmniej jedną piaskownicę regulacyjną, w której uczestnictwo dla MŚP oraz startupów ma być bezpłatne.
Na chwilę obecną prace nad ustawą wciąż trwają, a projekt ustawy o systemach sztucznej inteligencji został przyjęty przez Radę Ministrów z końcem marca 2026 r. Jej najważniejsze założenia, jakie znamy na tę chwilę, to:
- ustanowienie nowego, niezależnego od rządu organu nadzorczego – Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji;
- możliwość wydania przez Komisję wiążących opinii indywidualnych dla przedsiębiorców;
- ustanowienie zadań Komisji w postaci m.in. – wydawania wyjaśnień ogólnych, nakładania kar za nieprzestrzeganie AI Act, tworzenia piaskownic regulacyjnych, współpracy z Komisją Europejską i Europejską Radą ds. AI.
Jakie kary czekają za nieprzestrzeganie AI Act?
Kary, jakie mają być nakładane przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji będą bezpośrednio wynikać z AI Act, a zatem są już doskonale znane. Łamanie przepisów Aktu o sztucznej inteligencji spotyka się z bardzo wysokimi sankcjami, które przewyższają już i tak spore kary nakładane prze RODO. Wynoszą nawet do 35 mln euro lub jeśli sprawcą jest przedsiębiorstwo – do 7% globalnego rocznego obrotu (za złamanie art. 5, czyli stosowanie systemów zakazanych). Natomiast za naruszenie obowiązków dla systemów wysokiego ryzyka przez podmioty stosujące (art. 26) czy naruszenie obowiązków przejrzystości (art. 50) obowiązuje kara w wysokości do 15 mln euro lub 3 % obrotu.
Źródło: https://paluckiszkutnik.pl/systemy-wysokiego-ryzyka-ai-act-czy-twoj-biznes-jest-zagrozony/
