Wprowadzenie rozporządzenia Unii Europejskiej dotyczącego sztucznej inteligencji (tzw. AI Act) stanowi przełom w regulacji nowoczesnych technologii na poziomie europejskim. Od 2 lutego 2025 r. zaczynają w Polsce obowiązywać pierwsze przepisy, których głównym celem jest zwiększenie bezpieczeństwa oraz podniesienie kompetencji pracowników w zakresie korzystania z systemów sztucznej inteligencji. Nowe regulacje koncentrują się na ochronie użytkowników, ograniczeniu ryzyk technologicznych oraz ochronie praw podstawowych, w tym danych osobowych i majątku osobistego. Wdrożenie AI Act nakłada na przedsiębiorców nowe obowiązki odpowiedzialności za wykorzystywane systemy AI.
Czym jest AI Act i kogo dotyczy w Polsce?
Rozporządzenie UE przyjęte w 2024 r. jest stopniowo wdrażane od połowy 2025 r., dlatego przedsiębiorcy powinni rozpocząć przygotowania już teraz. Przepisy opierają się na podejściu opartym na ryzyku, klasyfikując systemy AI w cztery główne kategorie. Ta klasyfikacja jest kluczowa dla zrozumienia nowych wymagań prawnych.
Kategorie systemów AI według AI Act
Zakazane systemy AI – obejmują m.in. manipulację zachowaniem czy tzw. social scoring; ich stosowanie jest surowo zabronione.
Systemy wysokiego ryzyka – używane m.in. w rekrutacji, ochronie zdrowia czy infrastrukturze krytycznej; podlegają restrykcyjnym wymogom.
Systemy o ograniczonym ryzyku – np. chatboty czy systemy rekomendacyjne; wymagają spełnienia wymogów dotyczących przejrzystości.
Systemy o minimalnym ryzyku – np. inteligentne filtry w handlu elektronicznym; podlegają najmniejszym regulacjom.
Konsekwencje dla przedsiębiorców stosujących systemy zakazane i wysokiego ryzyka
Przedsiębiorcy muszą dokładnie sklasyfikować wykorzystywane systemy AI i spełniać związane z tym wymogi. W przypadku systemów wysokiego ryzyka konieczne jest prowadzenie szczegółowej dokumentacji technicznej, zarządzanie ryzykiem, zapewnienie stałego nadzoru człowieka nad systemem oraz regularne audyty AI. Ponadto, takie systemy muszą być zgłaszane do publicznego rejestru prowadzonego przez Komisję Europejską.
Obowiązki informacyjne i transparentność
Kluczowym wymogiem jest zapewnienie przejrzystości wobec użytkowników. Przedsiębiorcy muszą informować użytkowników o korzystaniu z systemów AI, zwłaszcza w przypadku chatbotów lub generatorów treści. Niezastosowanie się do tych obowiązków może skutkować odpowiedzialnością cywilną lub administracyjną.
AI Act a RODO – przetwarzanie danych osobowych
Systemy AI często przetwarzają dane osobowe, w tym dane wrażliwe (np. zdrowotne czy biometryczne). Przedsiębiorcy muszą jednocześnie spełniać wymogi RODO oraz AI Act. Konieczne jest ustalenie prawidłowej podstawy prawnej przetwarzania, ograniczenie zbierania danych do niezbędnego minimum oraz stosowanie anonimizacji lub pseudonimizacji. W przypadku wysokiego ryzyka naruszenia praw osób fizycznych wymagane jest przeprowadzenie oceny skutków dla ochrony danych (DPIA) oraz wdrożenie procedur reagowania na incydenty.
Ochrona dóbr osobistych w dobie AI – wyzwania i odpowiedzialność
Przedsiębiorcy powinni analizować wpływ AI na prywatność, godność oraz dobre imię użytkowników i osób trzecich. Ryzyko generowania deepfake’ów czy dyskryminacji np. w procesach rekrutacyjnych wymaga szczególnej uwagi. Nawet subtelne algorytmiczne uprzedzenia mogą prowadzić do poważnych konsekwencji prawnych, zwłaszcza w zakresie niedyskryminacji.
Wysokie sankcje za naruszenia
Naruszenia przepisów AI Act mogą skutkować karami finansowymi do 35 mln euro lub 7% rocznego obrotu przedsiębiorstwa. W przypadku systemów wysokiego ryzyka lub naruszeń obowiązków informacyjnych sankcje mogą sięgać 15 mln euro lub 3% obrotu. Odpowiedzialność może dotyczyć również członków zarządu, co podkreśla wagę przestrzegania nowych regulacji.
Jak przygotować przedsiębiorstwo na AI Act?
Przedsiębiorcy powinni podjąć konkretne działania, w tym:
- przeprowadzić audyt wykorzystywanych systemów AI,
- dokonać klasyfikacji ryzyka systemów AI,
- dostosować polityki ochrony danych,
- przeprowadzić szkolenia z zakresu AI Act i RODO dla kluczowych pracowników,
- wdrożyć procedury zgłaszania incydentów oraz nadzoru nad AI.
Nadzór i dokumentacja – klucz do zgodności z przepisami
Ważne jest także monitorowanie rozwoju technologii i zmian regulacyjnych, aby efektywnie reagować na nowe wyzwania. Przedsiębiorstwa powinny prowadzić szczegółową dokumentację i regularnie kontrolować zgodność systemów AI z obowiązującymi przepisami, co pozwoli uniknąć kar i utraty reputacji.
Wsparcie prawne w zakresie AI Act
W obliczu licznych zmian prawnych rekomendujemy skonsultowanie się z ekspertami prawnymi, którzy pomogą dostosować działalność firmy do nowych wymogów oraz odpowiedzą na pytania dotyczące obowiązków wynikających z AI Act.