Sztuczna inteligencja pod kontrolą. Jakie obowiązki mają firmy?

AI przestaje być wyłącznie technologią, a staje się obszarem regulowanym przez twarde prawo. Firmy korzystające ze sztucznej inteligencji muszą przygotować się na nowe obowiązki, kontrole i wysokie kary.

Sztuczna inteligencja („AI”) zdominowała debatę publiczną, a wokół obowiązków przedsiębiorców narosło wiele mitów. Tymczasem ramy prawne AI są już w dużej mierze określone. Kluczowe znaczenie mają unijne rozporządzenie (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące AI („AI Akt”) oraz polska ustawa o systemach sztucznej inteligencji („Ustawa o SI”), która zapewnia jego stosowanie i egzekwowanie w Polsce. Na firmy korzystające z AI wpływają też inne przepisy, m.in. dotyczące odpowiedzialności za produkty niebezpieczne czy prawo autorskie.

AI Akt - podział na ryzyka, modele i systemy AI

AI Akt, czyli pierwsza kompleksowa unijna regulacja dotycząca sztucznej inteligencji, uzależnia obowiązki od roli podmiotu, sposobu wykorzystania AI i poziomu ryzyka związanego z danym rozwiązaniem. Istotne jest tu rozróżnienie pomiędzy modelem AI a systemem AI. Model AI, zwłaszcza ogólnego przeznaczenia, to w dużym uproszczeniu oprogramowanie wraz z parametrami (wagami) wypracowanymi w toku uczenia. Natomiast system AI to system maszynowy, który został zaprojektowany do działania z różnym poziomem autonomii po jego wdrożeniu. Może on wykazywać zdolność adaptacji, a także generować na podstawie otrzymanych danych wejściowych wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne. Jeden model AI może więc zasilać wiele systemów AI o różnych profilach ryzyka. AI Akt definiuje również model AI ogólnego przeznaczenia, który jest modelem AI zdolnym do wykonywania szerokiego zakresu różnych zadań. Jako przykład modeli AI ogólnego przeznaczenia wskazuje się duże generatywne modele AI (np. ChatGPT, Claude lub Gemini).

AI Akt opiera się na ocenie ryzyk, jakie systemy AI mogą stwarzać dla użytkowników AI. Zamiast stosować jednolite zasady dla wszystkich systemów AI, model ten uznaje, że poziom ryzyka zależy od kontekstu, celu oraz stopnia autonomii systemu. Dzięki temu wymogi regulacyjne są proporcjonalne do potencjalnych zagrożeń, a jednocześnie umożliwiają rozwój innowacji o niskim poziomie ryzyka. Z tego względu AI Akt klasyfikuje systemy AI według poziomu ryzyka na: niedopuszczalne, wysokiego ryzyka, ograniczonego ryzyka oraz minimalnego ryzyka. Najbardziej rygorystyczne wymogi dotyczą praktyk zakazanych oraz systemów wysokiego ryzyka.

Praktyki zakazane to systemy stwarzające skrajne ryzyko i są całkowicie zakazane. Przykłady obejmują AI, m.in. ocenę społeczną, masowe zbieranie danych z internetu lub materiałów z kamer monitoringu w celu tworzenia lub rozbudowywania baz danych do rozpoznawania twarzy oraz rozpoznawanie emocji w miejscach pracy.

Druga kategoria, czyli systemy AI wysokiego ryzyka, charakteryzuje się znaczącym wpływem na bezpieczeństwo lub prawa osób (np. w infrastrukturze krytycznej, edukacji, zatrudnieniu, ocenie zdolności kredytowej czy egzekwowaniu prawa). Systemy te są dozwolone tylko pod ścisłymi warunkami. Przykłady systemów AI wysokiego ryzyka obejmują np. AI wykorzystywaną w procesach zatrudniania i zarządzania pracownikami, algorytmy rekrutacyjne na uczelnie wyższe, urządzenia medyczne z funkcjami AI oraz niektóre narzędzia stosowane w egzekwowaniu prawa lub kontroli granicznej. Systemy te muszą spełniać rozbudowane wymogi regulacyjne.

Niektóre systemy AI są klasyfikowane jako systemy ograniczonego ryzyka i wymagają zastosowania odpowiednich środków ostrożności. Przykładowo chatboty lub deepfake’i przeznaczone do interakcji z człowiekiem muszą być wyraźnie oznaczone, aby użytkownicy mieli świadomość, że mają do czynienia z AI.

Większość zastosowań AI (takich jak AI w filtrach antyspamowych lub grach wideo) to systemy o minimalnym ryzyku i w dużej mierze nie są regulowane przez AI Akt. Choć nadal obowiązują ogólne przepisy, takie jak regulacje dotyczące ochrony konsumentów, AI Akt nie nakłada nowych wymogów na tego typu systemy poza ograniczonymi obowiązkami w zakresie przejrzystości.

Terminy wejścia w życie AI Akt

Obowiązki wynikające z AI Akt będą stosowane stopniowo:

• od 2 lutego 2025 r. stosuje się przepisy ogólne i dotyczące praktyk zakazanych,
• od 2 sierpnia 2025 r. stosuje się obowiązki dotyczące modeli ogólnego przeznaczenia,
• od 27 lipca 2026 r. – obowiązuje zmieniony art. 4 AI Aktu, zgodnie z którym organizacje mają nadal wspierać rozwój kompetencji personelu w zakresie AI, ale nie muszą gwarantować osiągnięcia określonego poziomu kompetencji poszczególnych osób.

Większość pozostałych przepisów AI Aktu stosuje się od 2 sierpnia 2026 r., w tym obowiązki przejrzystości: dostawcy odpowiadają m.in. za umożliwienie technicznego wykrywania treści syntetycznych [tj. że dana treść została wygenerowana lub zmodyfikowana przez AI], a podmioty stosujące za ujawnianie deepfake’ów w przypadkach określonych w AI Akcie. Dostawcy systemów generujących treści syntetyczne, które wprowadzono do obrotu przed 2 sierpnia 2026 r., mają czas do 2 grudnia 2026 r. na spełnienie obowiązku oznaczania treści w formacie nadającym się do odczytu maszynowego (np. watermarking). Wymogi dla systemów wysokiego ryzyka z załącznika III stosuje się od 2 grudnia 2027 r., a dla produktów regulowanych z załącznika I – od 2 sierpnia 2028 r.

AI Akt przewiduje też kary administracyjne, które mogą być nakładane od 2 sierpnia 2026 r. Co do zasady ich wysokość jest ustalana w oparciu o wyższą z dwóch wartości: określoną kwotę lub procent światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku:

• do 35 mln euro lub 7 proc. całkowitego światowego rocznego obrotu za naruszenie zakazów dotyczących niedozwolonych praktyk AI;
• do 15 mln euro lub 3 proc. całkowitego światowego rocznego obrotu za naruszenie wskazanych obowiązków dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów, podmiotów stosujących lub jednostek notyfikowanych oraz obowiązków przejrzystości;
• do 7,5 mln euro lub 1 proc. całkowitego światowego rocznego obrotu za przekazanie jednostkom notyfikowanym lub właściwym organom nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji.

W przypadku MŚP stosuje się korzystniejsze zasady.

Polska Ustawa o SI

Ustawa o SI tworzy krajowe ramy organizacyjne i proceduralne dla stosowania oraz egzekwowania AI Aktu w Polsce, ustanawiając Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji („KRiBSI”). Jest to organ właściwy m.in. do kontroli, postępowań, wydawania opinii indywidualnych i nakładania administracyjnych kar pieniężnych. Pierwszą przewodniczącą KRiBSI została Pamela Krzypkowska, wicedyrektor departamentu GovTech w Ministerstwie Cyfryzacji.

Ustawa o SI zasadniczo obowiązuje od 11 sierpnia 2026 r., natomiast przepisy o opiniach indywidualnych, kontrolach, postępowaniach i sankcjach zaczną obowiązywać już niedługo, bo od 28 października 2026 r. Co ważne, postępowanie przed KRiBSI może zostać wszczęte z urzędu, m.in. po kontroli lub w toku rozpatrywania skargi, a także na wniosek podmiotów wskazanych w ustawie. KRiBSI może zmniejszyć wymiar kary o 10-50 proc. w przypadkach określonych w Ustawie o SI. Akt ten przewiduje też ciekawy instrument w postaci układu, w ramach którego KRiBSI może obniżyć karę o 20–70 proc. W przypadku działania strony z własnej inicjatywy, o którym mowa w Ustawie o SI, układ może przewidywać obniżkę o 30–90 proc. Zawarcie układu wymaga m.in. zaprzestania naruszenia lub usunięcia niezgodności oraz ujawnienia istotnych okoliczności i dowodów. Znaczenie mają więc szybkie wykrycie problemu, dokumentacja, działania naprawcze i współpraca z organem.

Już dziś firmy powinny wyznaczyć osobę do kontaktu z KRiBSI, uporządkować dokumentację i przygotować procedurę reakcji na kontrolę lub skargę.

AI to nie tylko AI Act. Odpowiedzialność za szkody, RODO i copyright

Obok AI Aktu i Ustawy o SI do rozwiązań AI stosują się także przepisy „horyzontalne”, które nie są co prawda specyficzne dla AI, ale w praktyce mają dla niej kluczowe znaczenie. Mowa tu przede wszystkim o nowej dyrektywie (UE) 2024/2853 w sprawie odpowiedzialności za produkty wadliwe, którą państwa członkowskie muszą wdrożyć do 9 grudnia 2026 r. Dyrektywa ta wprost obejmuje pojęciem produktu oprogramowanie, w tym systemy AI. Producent czy dostawca może więc odpowiadać na zasadzie ryzyka za szkody wyrządzone przez wadliwy system AI, także wskutek braku aktualizacji bezpieczeństwa lub zmian w działaniu systemu po wprowadzeniu go do obrotu. Z drugiej strony poszkodowani będą mieli możliwość korzystania z domniemania wadliwości produktu. Co istotne, straty finansowe firm (np. utracony zysk, awarie biznesowe) nie są objęte tym reżimem, gdyż dyrektywa dotyczy roszczeń konsumentów.

Istotne znaczenie odgrywa też prawo autorskie, które ma znaczenie zarówno na etapie trenowania modeli (korzystanie z cudzych utworów w ramach eksploracji tekstów i danych oraz możliwość zastrzeżenia tego przez uprawnionych), jak i na etapie korzystania z wyników, gdyż treści wygenerowane wyłącznie przez AI co do zasady nie są utworami, a ich wykorzystanie może naruszać prawa osób trzecich.

Warto w tym kontekście zwrócić uwagę na wyrok z 11 listopada 2025 r. w sprawie GEMA przeciwko OpenAI (sygn. 42 O 14139/24), w którym sąd krajowy w Monachium (Landgericht München I) uznał, że modele GPT-4 i GPT-4o naruszyły prawa autorskie, zapamiętując (tzw. memoryzacja) i odtwarzając teksty piosenek niemieckich autorów, a samo „utrwalenie” utworu w modelu potraktował jako zwielokrotnienie, którego nie obejmuje wyjątek eksploracji tekstów i danych. Wyrok nie jest jednak prawomocny. Z kolei przed TSUE toczy się pierwsza sprawa dotycząca generatywnej AI i prawa autorskiego, tj. Like Company przeciwko Google Ireland (C-250/25), w której węgierski wydawca prasowy kwestionuje odtwarzanie jego publikacji przez chatbota Gemini. Trybunał ma rozstrzygnąć m.in., czy trenowanie dużego modelu językowego stanowi zwielokrotnienie i czy mieści się ono w wyjątku eksploracji tekstów i danych (art. 4 dyrektywy 2019/790), a także czy odpowiedzi chatbota mogą naruszać prawa wydawców prasy. Rozstrzygnięcie TSUE wyznaczy standard dla całej UE.

Wreszcie, gdy system AI przetwarza dane osobowe, w pełni stosuje się RODO, w tym zasady podstawy prawnej przetwarzania, minimalizacji danych, przejrzystości oraz ograniczenia dotyczące zautomatyzowanego podejmowania decyzji. Dla firm oznacza to, że ocena zgodności rozwiązania AI powinna zawsze obejmować także te obszary, a umowy z dostawcami AI powinny jasno regulować kwestie odpowiedzialności, praw do wyników i ochrony danych.

Na zakończenie warto przypomnieć, że AI Akt nie funkcjonuje w próżni, a kary z AI Aktu mogą się kumulować. Firma wdrażająca system AI, który przetwarza dane osobowe, może więc stanąć jednocześnie przed kilkoma postępowaniami i zsumowanymi karami pieniężnymi z różnych podstaw prawnych. W takich warunkach analiza ryzyka regulacyjnego przestaje być opcją, a staje się koniecznością.

*****

Artykuł otwiera cykl, którego celem będzie przedstawienie najistotniejszych zagadnień z punktu widzenia biznesu. Pierwszy artykuł przedstawia otoczenie prawne AI w Polsce. Kolejne teksty będą dotyczyć odpowiedzialności za błędy AI, ról uczestników rynku, agentów AI, zastosowań w HR, wewnętrznego nadzoru i Shadow AI oraz projektów R&D.

Podstawa prawna:

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji
• Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji DzU z 2026 r., poz. 1003