AI Act – co się zmieni od sierpnia 2026?

Akt w sprawie sztucznej inteligencji (dalej: „AI Act”), czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 został przyjęty w sierpniu 2024 r. Jest to pierwszy kompleksowy akt prawny regulujący wykorzystywanie sztucznej inteligencji. Regulacja będzie miała bezpośredni wpływ na wiele branż – od przedsiębiorstw zajmujących się tworzeniem nowych technologii po podmioty świadczące różnego rodzaju usługi.

Data 2 sierpnia 2026 r. miała stanowić punkt zwrotny w zakresie zasad stosowania AI w obrocie gospodarczym. Pierwotnie zakładano, że tego dnia zaczną być stosowane kluczowe przepisy AI Act. Ostatecznie jednak rozpoczęcie stosowania części regulacji przesunięto na późniejsze terminy.

Od 2 sierpnia 2026 r. zaczną obowiązywać m.in. przepisy dotyczące obowiązków w zakresie przejrzystości, obowiązki dla dostawców modeli AI ogólnego przeznaczenia, obowiązek dotyczący zapewnienia odpowiedniego poziomu kompetencji w zakresie korzystania z AI oraz przepisy dotyczące funkcjonowania systemu nadzoru nad stosowaniem AI Act w państwach członkowskich.

Znakowanie treści wygenerowanych lub zmanipulowanych w AI

Z dniem 2 sierpnia 2026 r. zacznie obowiązywać wymóg ujawniania, że określona grafika, film lub materiał audio zostały wygenerowane lub zmanipulowane przy użyciu systemów sztucznej inteligencji.

Regulacja ta dotyczy przede wszystkim treści spełniających definicję tzw. deepfake’ów. Treści te nie zostaną wyeliminowane z przestrzeni publicznej, ale będą musiały być oznaczane w taki sposób, aby ich odbiorca wiedział, że zostały wygenerowane lub zmodyfikowane przez system sztucznej inteligencji.

Obowiązek ten będzie dotyczył tzw. podmiotów stosujących. Zgodnie z motywem 13 preambuły AI Act podmiotem stosującym jest osoba fizyczna lub prawna, w tym organ publiczny, agencja lub inny podmiot, który wykorzystuje system AI, nad którym sprawuje kontrolę, z wyjątkiem sytuacji, gdy system AI jest wykorzystywany w ramach osobistej działalności pozazawodowej.

Przygotowane przez Komisję Europejską wytyczne wskazują, że za działalność zawodową należy uznać „wszelką działalność, w ramach której osoba fizyczna regularnie uzyskuje korzyść ekonomiczną lub jest w inny sposób zaangażowana w działalność specjalistyczną, gospodarczą, handlową, zawodową lub niezależną”.

Jako przykład osób fizycznych wykorzystujących AI w działalności zawodowej Komisja Europejska wskazuje, m.in. freelancerów, dziennikarzy lub lekarzy.

Art. 2 ust. 10 AI Act wyłącza z zakresu stosowania  Rozporządzenia osoby fizyczne które korzystają z systemów AI w ramach czysto osobistej działalności pozazawodowej. AI Act nie nakłada na takie osoby obowiązków.

Aby skorzystać z takiego wyjątku, działalność osoby fizycznej musi spełniać oba wskazane warunki – musi mieć zarówno charakter osobisty, jak i pozazawodowy.

Jakie treści należy oznaczać?

Zgodnie z art. 50 ust. 4 AI Act, podmioty stosujące systemy AI, które generują obrazy, materiały wideo lub treści audio stanowiące deepfake albo manipulują takimi treściami, będą zobowiązane do ujawnienia, że zostały one sztucznie wygenerowane lub zmanipulowane. Wyjątek dotyczy sytuacji, w których wykorzystywanie systemu AI jest dozwolone na podstawie prawa w celu wykrywania przestępstw, zapobiegania im, prowadzenia postępowań przygotowawczych lub ścigania ich sprawców.

Szczególne rozwiązania przewidziano również w odniesieniu do treści stanowiących część utworu lub programu o charakterze artystycznym, twórczym, satyrycznym lub fikcyjnym. W takim przypadku obowiązek ujawnienia, że treści zostały wygenerowane lub zmanipulowane, należy wykonać w sposób, który nie utrudnia prezentowania utworu ani korzystania z niego.

Obowiązek ujawnienia wykorzystania AI dotyczy również podmiotów, które wykorzystały taki system do wygenerowania lub zmanipulowania treści tekstowych publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Także w tym przypadku przewidziano wyjątek dotyczący wykorzystywania systemów AI na potrzeby działań związanych ze zwalczaniem przestępczości. Ponadto, obowiązek ten nie będzie miał zastosowania, jeśli treść wygenerowana przy użyciu AI została poddana weryfikacji przez człowieka lub kontroli redakcyjnej, a za jej publikację odpowiada osoba fizyczna lub prawna ponosząca odpowiedzialność redakcyjną.

Czym jest deepfake?

Dla zrozumienia zakresu stosowania AI Act, należy przytoczyć motyw 60 preambuły AI Act, który definiuje pojęcie deepfake’a. Zgodnie z nim, deepfake oznacza wygenerowane lub zmanipulowane przez AI obrazy, treści audio lub materiały wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i które mogą zostać błędnie uznane przez odbiorcę za autentyczne lub prawdziwe.

Przykładem deepfake’a może być zdjęcie wygenerowane w systemie AI przedstawiające nadmorską plażę, które następnie zostanie wykorzystane przez biuro podróży w celach reklamowych. Jeżeli odbiorca mógłby uznać takie zdjęcie za rzeczywistą fotografię miejsca, materiał powinien zostać oznaczony jako wygenerowany przy użyciu systemu AI.

W jaki sposób oznaczać treści wygenerowane przez AI?

Zgodnie z art. 50 ust. 5 AI Act informację o tym, że treść jest wygenerowana lub zmanipulowana przez AI,  należy przekazać w sposób wyraźny i jasny, najpóźniej w momencie pierwszej interakcji odbiorcy z taką treścią lub pierwszego zastosowania.

Poniższa tabela przedstawia, przygotowane przez Komisję Europejską przykładowe oznaczenia, które mogą zostać wykorzystane do oznaczenia takich treści wraz z instrukcjami dotyczącymi ich stosowania.

Inne zmiany wchodzące od 2 sierpnia 2026 r.

Od 2 sierpnia 2026 r. zaczną obowiązywać również przepisy dotyczące modeli AI ogólnego przeznaczenia.

Zgodnie z art. 3 pkt 63 AI Act model AI ogólnego przeznaczenia „oznacza model AI, w tym model AI trenowany przy wykorzystaniu dużej ilości danych z zastosowaniem nadzoru własnego na dużą skalę, który wykazuje znaczną ogólność i jest zdolny do wykonywania szerokiego zakresu różnych zadań, niezależnie od sposobu, w jaki został wprowadzony do obrotu, oraz który może zostać zintegrowany z różnymi systemami lub aplikacjami niższego szczebla”.

W praktyce są to modele, które mogą być wykorzystywane do wielu różnych celów, a nie rozwiązania zaprojektowane wyłącznie do jednego konkretnego zastosowania.

Obowiązki dostawców modeli AI ogólnego przeznaczenia mają polegać m.in. na przygotowaniu i udostępnieniu dokumentacji technicznej dotyczącej modelu, przekazywaniu informacji podmiotom integrującym takie modele w swoich systemach oraz zapewnieniu zgodności z przepisami dotyczącymi prawa własności intelektualnej, praw autorskich i ochrony poufnych informacji handlowych lub tajemnic przedsiębiorstwa.

Ponadto, szczególne wymagania dotyczą dostawców modeli AI ogólnego przeznaczenia zakwalifikowanych jako modele stwarzające ryzyko systemowe. Zgodnie z art. 3 pkt 65 AI Act, ryzyko systemowe „oznacza ryzyko, które jest charakterystyczne dla modeli AI ogólnego przeznaczenia posiadających zdolności dużego oddziaływania i ma znaczący wpływ na rynek Unii ze względu na zasięg tych modeli lub rzeczywiste lub dające się racjonalnie przewidzieć negatywne skutki dla zdrowia publicznego, porządku publicznego, bezpieczeństwa publicznego, praw podstawowych lub całego społeczeństwa, mogące rozprzestrzenić się na dużą skalę w całym łańcuchu wartości”.

W takim przypadku obowiązki dostawców są bardziej rozbudowane i obejmują m.in. przeprowadzanie ocen modeli, identyfikację i ograniczanie ryzyka systemowego, prowadzenie testów modeli oraz zapewnienie odpowiedniego poziomu cyberbezpieczeństwa.

Obowiązek zapewnienia kompetencji w zakresie korzystania z systemów AI

Zgodnie z art. 4 AI Act dostawcy oraz podmioty stosujące systemy AI mają obowiązek podejmowania działań w celu zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI wśród swojego personelu oraz innych osób zajmujących się obsługą i wykorzystywaniem systemów AI w ich imieniu.

Wymagany poziom kompetencji powinien być ustalany z uwzględnieniem m.in. wiedzy technicznej, doświadczenia, wykształcenia i wyszkolenia osób korzystających z systemów AI, a także zakresu w jakim systemy te są wykorzystywane.

W praktyce, dostawcy oraz podmioty stosujące systemy AI powinni zapewnić odpowiednie przeszkolenie pracowników, określić zasady korzystania z narzędzi AI oraz kształtować świadomość co do istnienia ryzyk związanych z wykorzystywaniem systemów sztucznej inteligencji.

Obowiązek państw członkowskich w zakresie zapewnienia systemu nadzoru

Od 2 sierpnia 2026 r. każde państwo członkowskie będzie zobowiązane do zapewnienia odpowiedniej struktury organizacyjnej umożliwiającej skuteczne nadzorowanie rynku systemów AI oraz egzekwowanie obowiązków wynikających z AI Act.

Zgodnie z ustawą o systemach sztucznej inteligencji, która aktualnie oczekuje na podpis Prezydenta, w Polsce, organem nadzoru nad systemami sztucznej inteligencji będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.

Warto mieć jednak na uwadze, że jeżeli organ ten zostanie powołany później niż 2 sierpnia 2026 r., czyli już po terminie wejścia w życie niektórych obowiązków wynikających z AI Act, nie oznacza, że potencjalne naruszenia pozostaną bez konsekwencji.

Sankcje za naruszenie przepisów

Zgodnie z art. 99 AI Act państwa członkowskie ustanawiają przepisy dotyczące kar oraz innych środków egzekwowania prawa, które mogą obejmować zarówno kary pieniężne, jak i ostrzeżenia lub środki niepieniężne.

Sankcje te powinny być skuteczne, proporcjonalne i odstraszające, a przy ich określaniu należy  uwzględniać interesy mikroprzedsiębiorstw, małych i średnich przedsiębiorstw, w tym przedsiębiorstw typu startup.

Naruszenie obowiązków wynikających z AI Act może skutkować nałożeniem administracyjnej kary pieniężnej w wysokości do 15 mln euro lub w przypadku przedsiębiorstwa, do 3% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa.

Dominika Woszczyk – adwokat

Źródła:

1. Rozporządzenie 2024/1689 w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji);
2. Wytyczne Komisji w sprawie zakazanych praktyk w zakresie sztucznej inteligencji określonych w rozporządzeniu (UE) 2024/1689 (akt w sprawie sztucznej inteligencji).