Najwięcej czasu dostały firmy korzystające z systemów AI uznawanych za systemy wysokiego ryzyka. Chodzi m.in. o niektóre rozwiązania wykorzystywane przy rekrutacji i zarządzaniu pracownikami, w edukacji, przy ocenie dostępu do określonych usług czy w innych obszarach, w których decyzje podejmowane z udziałem AI mogą istotnie wpływać na sytuację człowieka.
W przypadku tej grupy systemów część najdalej idących obowiązków zacznie być stosowana dopiero od 2 grudnia 2027 r. Jeszcze późniejszy termin 2 sierpnia 2028 r. przewidziano dla określonych systemów AI będących elementem produktów podlegających już unijnym regulacjom bezpieczeństwa, np. niektórych wyrobów medycznych.
To właśnie te przesunięcia stały się źródłem informacji o „odroczeniu AI Act”. Są one istotne, ale dotyczą konkretnych kategorii systemów i konkretnych obowiązków. Nie oznaczają przesunięcia całego rozporządzenia. Wiele innych przepisów już znajduje zastosowanie albo zaczęło być stosowanych 2 sierpnia 2026 r.
Czytaj też w LEX: Obowiązki w zakresie przejrzystości dla dostawców i podmioty stosujące AI >
Art. 50 AI Act obowiązuje od 2 sierpnia
Dobrym przykładem są obowiązki przejrzystości z art. 50 AI Act. Komisja Europejska w wytycznych opublikowanych 20 lipca 2026 r. potwierdziła, że przepisy te stosuje się od 2 sierpnia 2026 r. Ich zakres jest przy tym bardziej zróżnicowany, niż sugeruje hasło o „obowiązku oznaczania treści AI”.
Art. 50 ust. 1 adresowany jest do dostawców systemów przeznaczonych do bezpośredniej interakcji z osobami fizycznymi. System powinien być zaprojektowany tak, aby osoba została poinformowana, że prowadzi interakcję z AI, chyba że z uwagi na okoliczności i kontekst jest to dla niej oczywiste.
Art. 50 ust. 2 nakłada natomiast na dostawców systemów generujących syntetyczne dźwięki, obrazy, wideo lub tekst obowiązek zapewnienia, aby wyniki były oznakowane w formacie nadającym się do odczytu maszynowego i wykrywalne jako sztucznie wygenerowane lub zmanipulowane. Wyjątek dotyczy m.in. systemów pełniących funkcję wspomagającą w zakresie standardowej edycji lub takich, które nie zmieniają w istotny sposób danych wejściowych ani ich semantyki.
Obowiązki nałożono także na podmioty stosujące systemy AI. Chodzi m.in. o poinformowanie osób o stosowaniu wobec nich systemów rozpoznawania emocji lub kategoryzacji biometrycznej. W przypadku deepfake’ów podmiot stosujący powinien ujawnić, że obraz, nagranie dźwiękowe lub wideo zostało sztucznie wygenerowane albo zmanipulowane.
Szczególnej ostrożności wymaga art. 50 ust. 4 dotyczący tekstów. Nie wprowadza on generalnego nakazu oznaczania każdego tekstu przygotowanego z wykorzystaniem generatywnej AI. Obowiązek dotyczy tekstu wygenerowanego lub zmanipulowanego przez AI, publikowanego w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Rozporządzenie przewiduje przy tym wyjątek, jeżeli treść została poddana weryfikacji przez człowieka lub kontroli redakcyjnej, a odpowiedzialność redakcyjną za publikację ponosi osoba fizyczna lub prawna.
Komisja doprecyzowała, że „weryfikacja przez człowieka” powinna oznaczać rzeczywiste zbadanie merytorycznej warstwy treści przez osobę dysponującą odpowiednią wiedzą i profesjonalnym osądem. Sama korekta językowa czy formalne zaakceptowanie tekstu nie powinny być utożsamiane z kontrolą z art. 50 ust. 4.
Czytaj też w LEX: Informowanie przez prasę o udziale sztucznej inteligencji w tworzeniu materiałów prasowych jako obowiązek etyczny >
Dostawca i podmiot stosujący to nie to samo
Podstawowym błędem może być wcześniejsze błędne określenie własnej roli. AI Act odmiennie rozkłada obowiązki pomiędzy dostawcę i podmiot stosujący. Przedsiębiorstwo korzystające zawodowo z systemu AI znajdującego się pod jego kontrolą może występować jako podmiot stosujący, mimo że samo systemu nie stworzyło. Pracownik posługujący się takim narzędziem w ramach obowiązków wykonywanych na rzecz organizacji co do zasady nie staje się natomiast odrębnym podmiotem stosującym.
Ma to znaczenie przy treściach generatywnych. Techniczny obowiązek zapewnienia maszynowego oznaczenia wyniku z art. 50 ust. 2 ciąży na dostawcy. Obowiązek ujawnienia deepfake’u lub określonego tekstu dotyczącego sprawy interesu publicznego może natomiast ciążyć na podmiocie stosującym. Nie można więc przyjąć ani że cały ciężar przejrzystości spoczywa na producencie narzędzia, ani że każdy użytkownik musi oznaczać każdą treść powstałą z udziałem AI.
Czytaj też w LEX: Aspekty prawne dotyczące pojęcia deepfake w AI Act – uwagi de lege ferenda wobec wyzwań współczesności >
Wąski okres przejściowy do 2 grudnia
Digital Omnibus wprowadził przepis przejściowy dotyczący art. 50 ust. 2. Dostawcy systemów generujących treści syntetyczne, które zostały wprowadzone do obrotu przed 2 sierpnia 2026 r., otrzymali czas do 2 grudnia 2026 r. na dostosowanie się do obowiązku technicznego oznaczania i wykrywalności treści.
Zakres tej regulacji trzeba czytać ściśle. Nie jest to czteromiesięczne odroczenie całego art. 50 i nie obejmuje przykładowo obowiązków podmiotów stosujących odnoszących się do deepfake’ów lub określonych publikacji tekstowych.
Przesunięcie przepisów dotyczących systemów wysokiego ryzyka nie zmienia faktu, że art. 4 AI Act dotyczący kompetencji w zakresie AI jest stosowany od 2 lutego 2025 r. Po zmianach wprowadzonych przez Digital Omnibus dostawcy i podmioty stosujące mają podejmować środki wspierające rozwój kompetencji personelu i innych osób korzystających z systemów AI w ich imieniu, z uwzględnieniem m.in. ich wiedzy, doświadczenia oraz kontekstu wykorzystania systemu.
Zobacz też w LEX: AI w kancelarii prawnej – jak korzystać bezpiecznie i zgodnie z prawem? >
Nie każda firma musi mieć rozbudowaną „politykę AI”
Z powyższych regulacji nie wynika uniwersalny obowiązek prowadzenia przez każdego przedsiębiorcę formalnego rejestru wszystkich narzędzi AI, powołania „AI officera” czy przyjęcia wielostronicowej polityki korzystania z AI. Przedstawianie takich rozwiązań jako obowiązkowych dla każdej organizacji byłoby skrótem myślowym.
Z perspektywy compliance trudno jednak prawidłowo zastosować AI Act bez ustalenia, jakie systemy są w organizacji rzeczywiście wykorzystywane, w jakich procesach i w jakiej roli występuje wobec nich przedsiębiorca. Takie działania nie zawsze są obowiązkami nazwanymi wprost w rozporządzeniu, ale mogą być racjonalnym sposobem ustalenia i wykonania obowiązków, które z AI Act już wynikają.
Naruszenie obowiązków przejrzystości z art. 50 zostało wprost objęte art. 99 ust. 4 AI Act. W przypadku przedsiębiorstw górna granica administracyjnej kary pieniężnej wynosi 15 mln euro albo 3 proc. całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym wobec MŚP rozporządzenie przewiduje odrębne ograniczenie maksymalnej wysokości kary. Są to maksymalne poziomy sankcji, a nie automatyczny taryfikator za każde uchybienie.
Zobacz też w LEX: Prawnik in‑house: tajemnica przedsiębiorstwa w erze AI >
AI Act po 2 sierpnia: co trzeba zrobić
Po 2 sierpnia nietrafnym punktem wyjścia jest założenie, że skoro część reżimu high-risk została przesunięta, do AI Act można wrócić za rok. Równie nieprawidłowe byłoby przyjęcie, że od tej daty każda organizacja powinna wdrożyć jednakowy, rozbudowany system AI compliance.
Pierwszym krokiem powinna być kwalifikacja: czy wykorzystywane rozwiązanie jest systemem AI w rozumieniu rozporządzenia, jaką rolę pełni wobec niego organizacja i czy konkretny sposób jego użycia uruchamia obowiązek, który już znajduje zastosowanie. Dopiero odpowiedź na te pytania pozwala ustalić, czy potrzebne jest oznaczenie treści, informacja dla użytkownika, działania dotyczące kompetencji personelu albo przygotowanie do przyszłego reżimu systemów wysokiego ryzyka.
Czytaj też w LEX: Audyt aplikacji mobilnych pod kątem cyberbezpieczeństwa i prywatności - przewodnik po wymogach wynikających z RODO, NIS 2, AI Act, wytycznych OWASP i norm ISO >
Digital Omnibus dał części rynku więcej czasu. Nie zwolnił jednak przedsiębiorców z konieczności ustalenia, które przepisy AI Act dotyczą ich już dzisiaj.
Autor: Dominik Ropela, prawnik i praktyk marketingu
Czytaj też w LEX:
----------------------------------------------------------------------------------------------------------------------------------------------
Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów LEX jest zależny od posiadanych licencji.
