AI Act to unijne rozporządzenie o sztucznej inteligencji – Rozporządzenie (UE) 2024/1689 – które jako pierwsze na świecie kompleksowo reguluje tworzenie i używanie systemów AI. Dzieli je według poziomu ryzyka: najgroźniejsze praktyki zakazuje, od systemów wysokiego ryzyka wymaga rygorystycznych zabezpieczeń, a od chatbotów i generatorów treści – przejrzystości. Przepisy wchodzą w życie etapami, a część terminów została w 2026 r. przesunięta.
AI Act – co to jest i kogo dotyczy
AI Act jest rozporządzeniem, a nie dyrektywą. To ważna różnica: obowiązuje bezpośrednio we wszystkich państwach Unii, bez konieczności przepisywania go do prawa krajowego. Państwa członkowskie muszą jedynie wskazać organy nadzoru i ustalić szczegóły egzekwowania.
Regulacja dotyczy przede wszystkim firm i instytucji, a nie zwykłych użytkowników. Obowiązki spoczywają głównie na:
- dostawcach – tych, którzy tworzą system AI i wprowadzają go na rynek UE, także jeśli mają siedzibę poza Unią,
- podmiotach stosujących – firmach i urzędach, które używają AI w swojej działalności, np. przy rekrutacji,
- importerach i dystrybutorach systemów AI.
Jeśli prywatnie rozmawiasz z chatbotem albo generujesz obrazki dla zabawy, AI Act nie nakłada na Ciebie obowiązków. Zyskujesz za to prawa – np. do informacji, że rozmawiasz z maszyną. Jeśli chcesz najpierw uporządkować podstawy, przeczytaj, czym jest sztuczna inteligencja i jakie są jej rodzaje.
Cztery poziomy ryzyka w AI Act
Serce rozporządzenia to podejście oparte na ryzyku. Im większe zagrożenie dla zdrowia, bezpieczeństwa lub praw podstawowych, tym surowsze reguły.
| Poziom ryzyka | Przykłady | Co mówi AI Act |
|---|---|---|
| Niedopuszczalne | Scoring społeczny, rozpoznawanie emocji w pracy i szkole, manipulacja wykorzystująca słabości ludzi | Całkowity zakaz |
| Wysokie | AI w rekrutacji, ocenie zdolności kredytowej, edukacji, infrastrukturze krytycznej, wyrobach medycznych | Rygorystyczne wymogi: zarządzanie ryzykiem, jakość danych, dokumentacja, nadzór człowieka |
| Ograniczone (przejrzystość) | Chatboty, generatory obrazów, deepfake | Obowiązek informowania i oznaczania treści |
| Minimalne | Filtry antyspamowe, AI w grach | Brak dodatkowych obowiązków |
Osobną kategorią są modele AI ogólnego przeznaczenia (GPAI), czyli duże modele, na których budowane są czatboty i asystenci. Ich dostawcy muszą m.in. przygotować dokumentację techniczną, udostępnić streszczenie danych użytych do trenowania i mieć politykę przestrzegania praw autorskich. Najpotężniejsze modele, które mogą nieść ryzyko systemowe, mają dodatkowe obowiązki, np. testowanie odporności i zgłaszanie poważnych incydentów.
Zakazane praktyki – czego AI robić nie może
Najbardziej odczuwalna dla obywateli część AI Act to lista zakazów. Wśród praktyk niedozwolonych są m.in.:
- systemy oceny obywateli na podstawie ich zachowania (scoring społeczny),
- techniki podprogowe i manipulacyjne, które istotnie zniekształcają decyzje i mogą wyrządzić szkodę,
- wykorzystywanie słabości osób ze względu na wiek, niepełnosprawność lub sytuację ekonomiczną,
- rozpoznawanie emocji w miejscu pracy i w placówkach edukacyjnych (z wyjątkami medycznymi i bezpieczeństwa),
- masowe pozyskiwanie zdjęć twarzy z internetu lub nagrań monitoringu w celu budowy baz rozpoznawania twarzy,
- kategoryzacja biometryczna, która ma ustalać np. poglądy polityczne czy orientację seksualną,
- przewidywanie, że ktoś popełni przestępstwo, wyłącznie na podstawie profilowania,
- zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej przez organy ścigania – z wąskimi, ściśle określonymi wyjątkami.
Harmonogram – od kiedy obowiązuje AI Act
Rozporządzenie weszło w życie 1 sierpnia 2024 r., ale jego przepisy stosuje się stopniowo. W lipcu 2026 r. Unia przyjęła tzw. pakiet Digital Omnibus, który wszedł w życie 27 lipca 2026 r. i przesunął terminy dla systemów wysokiego ryzyka.
Najważniejsze daty
- 2 lutego 2025 r. – zaczęły obowiązywać zakazy praktyk niedopuszczalnych oraz przepisy ogólne, w tym obowiązek dbania o kompetencje w zakresie AI wśród pracowników.
- 2 sierpnia 2025 r. – zaczęły obowiązywać przepisy dotyczące modeli ogólnego przeznaczenia oraz zasady dotyczące organów nadzoru i kar.
- 2 sierpnia 2026 r. – zaczęła się stosować większość pozostałych przepisów, w tym obowiązki przejrzystości z art. 50 (informowanie o kontakcie z AI, oznaczanie deepfake’ów).
- 2 grudnia 2027 r. – po zmianie Digital Omnibus: termin dla samodzielnych systemów wysokiego ryzyka, np. w rekrutacji, edukacji czy ocenie kredytowej (pierwotnie 2 sierpnia 2026 r.).
- 2 sierpnia 2028 r. – po zmianie: termin dla AI wbudowanej w produkty objęte unijnymi przepisami o bezpieczeństwie, np. w wyroby medyczne czy maszyny (pierwotnie 2 sierpnia 2027 r.).
Przesunięcie nie dotyczy zakazów – te obowiązują nieprzerwanie od lutego 2025 r.
Kary i nadzór nad AI Act w Polsce
Wysokość kar
Kary są wysokie i liczone podobnie jak w RODO – jako kwota albo procent światowego rocznego obrotu, w zależności od tego, co jest wyższe:
- do 35 mln euro lub 7% obrotu – za stosowanie zakazanych praktyk,
- do 15 mln euro lub 3% obrotu – za naruszenie większości innych obowiązków, np. dotyczących systemów wysokiego ryzyka czy przejrzystości,
- do 7,5 mln euro lub 1% obrotu – za podawanie organom nieprawdziwych lub niepełnych informacji.
Dla małych i średnich firm oraz start-upów przewidziano łagodniejsze podejście – w ich przypadku stosuje się niższą z tych dwóch wartości.
Polska ustawa o systemach sztucznej inteligencji
Ponieważ rozporządzenie obowiązuje bezpośrednio, polska ustawa o systemach sztucznej inteligencji służy głównie do zorganizowania nadzoru. Weszła w życie w sierpniu 2026 r. i powołała Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organ nadzoru rynku. Komisja ma prowadzić kontrole, rozpatrywać skargi, nakładać kary i tworzyć piaskownice regulacyjne, w których firmy mogą testować rozwiązania pod okiem nadzorcy. Część przepisów o kontrolach i sankcjach zaczyna działać z opóźnieniem względem samej ustawy, aby urząd zdążył się zorganizować.
Co AI Act zmienia dla zwykłego użytkownika
Dla Ciebie najważniejsza jest przejrzystość. Gdy rozmawiasz z chatbotem obsługi klienta, powinieneś wiedzieć, że to nie człowiek. Treści typu deepfake – realistyczne obrazy, nagrania czy dźwięki przedstawiające prawdziwe osoby lub zdarzenia – mają być oznaczane jako wygenerowane lub zmanipulowane. To nie usunie fałszywek z sieci, bo oszuści nie przestrzegają prawa, ale ułatwi odróżnienie legalnych treści od podróbek. Jak samodzielnie rozpoznać sfałszowane nagranie, wyjaśniamy w tekście deepfake – co to jest i jak go rozpoznać.
Drugą korzyścią jest ochrona w sytuacjach, w których AI decyduje o ważnych sprawach – o zatrudnieniu, kredycie czy dostępie do edukacji. Systemy wysokiego ryzyka mają działać pod nadzorem człowieka i na danych o odpowiedniej jakości, a Ty zyskujesz prawo do wyjaśnienia roli AI w decyzji, która Cię dotyczy.
Najczęściej zadawane pytania
Czy AI Act zakazuje korzystania z ChatGPT i podobnych narzędzi?
Nie. Chatboty i duże modele językowe są dozwolone. AI Act nakłada na ich dostawców obowiązki dotyczące dokumentacji i przejrzystości, a użytkownik ma prawo wiedzieć, że rozmawia z AI.
Czy AI Act dotyczy firm spoza Unii Europejskiej?
Tak, jeśli oferują systemy AI na rynku unijnym lub wyniki działania ich systemów są wykorzystywane w UE. To podobne podejście jak w przypadku RODO.
Czy mała firma używająca AI musi coś zrobić?
Zależy to od zastosowania. Użycie AI do drobnych zadań biurowych zwykle nie rodzi szczególnych obowiązków poza dbaniem o kompetencje pracowników, ale wykorzystanie jej np. w rekrutacji to już obszar wysokiego ryzyka.
Kto pilnuje przestrzegania AI Act w Polsce?
Krajowym organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Nad modelami ogólnego przeznaczenia czuwa na poziomie unijnym Komisja Europejska poprzez Urząd ds. AI.
Podsumowanie
AI Act to unijne rozporządzenie, które porządkuje rynek sztucznej inteligencji według poziomu ryzyka: zakazuje najbardziej szkodliwych praktyk, stawia wysokie wymagania systemom decydującym o ważnych sprawach i wymaga przejrzystości od chatbotów oraz generatorów treści. Zakazy obowiązują od lutego 2025 r., przejrzystość od sierpnia 2026 r., a obowiązki dla systemów wysokiego ryzyka – po zmianach z 2026 r. – od grudnia 2027 i sierpnia 2028 r. W Polsce nad przestrzeganiem przepisów czuwa KRiBSI.