Aktualności: prawo i regulacje wokół sztucznej inteligencji w Polsce i UE

Sztuczna inteligencja przestała być odległą wizją przyszłości – dziś korzysta z niej praktycznie każda rozwijająca się firma. Generowanie opisów produktów, chatboty obsługujące klientów, systemy scoringowe w HR czy finansach – to już codzienność biznesu. Ale wraz z masowym wejściem AI pojawia się fundamentalne pytanie: kto kontroluje sposób, w jaki te technologie wpływają na nasze prawa, prywatność i bezpieczeństwo?

Odpowiedź Unii Europejskiej przyszła w czerwcu 2024 roku. AI Act (Rozporządzenie 2024/1689) to pierwsze na świecie tak kompleksowe prawo regulujące sztuczną inteligencję. Dla polskich przedsiębiorców to koniec ery eksperymentowania bez ograniczeń – czas dostosować systemy do nowych wymogów prawnych.

Co skłoniło UE do regulacji AI?

AI Act powstał z konkretnych powodów, które bezpośrednio dotyczą Twojej firmy:

• bezpieczeństwo i ochrona praw podstawowych – chodzi o ograniczenie zastosowań prowadzących do dyskryminacji, manipulacji czy masowej inwigilacji,
• budowanie zaufania – wprowadzenie przejrzystości, jakości danych i nadzoru człowieka nad systemami,
• jednolity rynek UE – zamiast 27 różnych zestawów krajowych przepisów powstaje jeden framework dla całej Unii,
• wsparcie innowacji – przewidziano piaskownice regulacyjne i ułatwienia dla MŚP oraz start-upów.

Dla polskich firm to prosta rzeczywistość: każda organizacja wykorzystująca automatyzację, scoring, personalizację czy generatywną AI będzie musiała ustalić, czy wchodzi w zakres nowych przepisów. Brak przygotowania oznacza kosztowne modyfikacje systemów – albo rezygnację z funkcji zahaczających o obszary ryzykowne.

Cztery poziomy ryzyka – fundament regulacji

AI Act opiera się na podejściu opartym na ryzyku, rozróżniając cztery kategorie systemów. Od nich zależą wszystkie obowiązki prawne spadające na Twoją firmę.

Pierwsze zadanie? Zmapuj swoje narzędzia i funkcje AI do tych kategorii – od tego zależą obowiązki prawne i zakres wymaganych zmian.

Protip: Zamiast pytać „czy używamy AI?”, sporządź listę konkretnych funkcji: scoring klientów, automatyczne decyzje kredytowe, profilowanie w marketingu, analiza CV, monitoring pracowników, analiza obrazu w wideo-monitoringu. Przypisanie ich do poziomów ryzyka jest dużo łatwiejsze niż próba oceny całych systemów.

Kalendarz wdrażania – kluczowe terminy

AI Act wszedł w życie 1 sierpnia 2024 r., ale przepisy zaczynają obowiązywać stopniowo. Najważniejsze daty:

Już obowiązuje (od 2 lutego 2025):

• zakaz systemów stwarzających niedopuszczalne ryzyko,
• obowiązki w zakresie umiejętności korzystania z AI (AI literacy).

2 sierpnia 2025:

• zasady zarządzania modelami SI ogólnego przeznaczenia (GPAI), w tym generatywnymi.

2 sierpnia 2026:

• koniec 24-miesięcznego okresu przejściowego: AI Act ma pełne zastosowanie.

2 grudnia 2026:

• obowiązki dotyczące znakowania treści generowanych przez AI (watermarking).

2 grudnia 2027:

• przepisy dla systemów wysokiego ryzyka (dane biometryczne, infrastruktura krytyczna, edukacja, zatrudnienie).

2 sierpnia 2028:

• przepisy dla systemów AI będących komponentami bezpieczeństwa produktów regulowanych.

Masz kilka lat na dostosowanie, ale pierwsze obowiązki już działają – szczególnie dla dostawców i użytkowników systemów mogących wejść w kategorie zakazane lub wysokiego ryzyka.

Zakazane systemy – czerwona linia w biznesie

AI Act wprowadza katalog zastosowań całkowicie zakazanych na rynku UE. Także prywatne firmy muszą upewnić się, że nie rozwijają ani nie używają narzędzi w tych kategoriach:

• systemy kategoryzacji biometrycznej wykorzystujące cechy wrażliwe (pochodzenie etniczne, poglądy polityczne, orientacja seksualna),
• nieukierunkowane pobieranie wizerunków twarzy z internetu lub nagrań monitoringu do tworzenia baz danych,
• masowa inwigilacja, np. ciągłe rozpoznawanie twarzy „na żywo” w przestrzeni publicznej,
• rozpoznawanie emocji w miejscu pracy i instytucjach edukacyjnych,
• social scoring obywateli – klasyfikacja przez władze publiczne na podstawie zachowań,
• prognozowanie przestępczości wyłącznie na podstawie profilowania osoby,
• systemy manipulujące zachowaniem w sposób zniekształcający wolną wolę,
• systemy generujące treści seksualne bez zgody osób przedstawionych.

Praktyczne konsekwencje

• narzędzia HR i edukacyjne nie mogą analizować emocji pracowników czy studentów,
• marketing nie może wykorzystywać AI do celowej eksploatacji słabości określonych grup,
• firmy technologiczne nie mogą oferować baz danych do rozpoznawania twarzy zbudowanych na „scrapingu” internetu.

Protip: Jeśli korzystasz z gotowych rozwiązań chmurowych lub SaaS, poproś dostawców o pisemne oświadczenie, że ich systemy nie obejmują funkcji zakazanych. To szczególnie ważne w obszarach monitoringu, HR, marketingu behawioralnego oraz analizy emocji.

Gotowy prompt: Audyt zgodności AI Act

Chcesz szybko sprawdzić, jak Twoja firma ma się do wymogów? Skopiuj poniższy prompt i wklej go do ChatGPT, Gemini, Perplexity lub skorzystaj z autorskich generatorów biznesowych dostępnych na ebiu.pl/narzedzia:

Jesteś ekspertem ds. zgodności z AI Act. Pomóż mi przeprowadzić wstępny audyt wykorzystania AI w mojej firmie.

BRANŻA: [Twoja branża, np. e-commerce, finanse, HR]
SYSTEMY AI, KTÓRYCH UŻYWAMY: [Lista narzędzi/funkcji, np. chatbot obsługi klienta, generator treści, scoring kredytowy]
GŁÓWNE OBSZARY WYKORZYSTANIA: [np. marketing, rekrutacja, obsługa klienta]
SPECYFICZNE OBAWY: [opcjonalnie - konkretne pytania lub wątpliwości]

Na podstawie tych informacji:
1. Sklasyfikuj każdy system według poziomów ryzyka AI Act (niedopuszczalne, wysokie, ograniczone, minimalne)
2. Wskaż główne obowiązki prawne dla każdego systemu
3. Zaproponuj 3-5 konkretnych kroków do podjęcia w ciągu najbliższych 3 miesięcy
4. Wskaż potencjalne obszary wysokiego ryzyka prawnego wymagające konsultacji z prawnikiem

Ten prompt dostarczy spersonalizowaną analizę sytuacji Twojej firmy w kontekście nowych regulacji.

Systemy wysokiego ryzyka – gdzie wymogi są największe

Druga kluczowa kategoria to systemy wysokiego ryzyka, które nie są zakazane, ale podlegają rozbudowanym wymogom.

Gdzie w biznesie pojawia się „wysokie ryzyko”?

Systemy AI stosowane w:

• infrastrukturze krytycznej (energetyka, transport),
• edukacji i szkolnictwie (automatyczna ocena egzaminów),
• zatrudnieniu, zarządzaniu pracownikami (selekcja CV, scoring kandydatów, planowanie grafików),
• dostępie do usług finansowych (kredyty, ubezpieczenia),
• egzekwowaniu prawa, migracji, wymiarze sprawiedliwości,
• niektórych systemach biometrycznych.

Główne obowiązki

Dostawcy (twórcy) muszą:

• wdrożyć system zarządzania ryzykiem przez cały cykl życia,
• zapewnić jakość i reprezentatywność danych treningowych,
• przygotować szczegółową dokumentację techniczną oraz prowadzić rejestrowanie działań (logging),
• zaprojektować system odporny na ataki i awarie,
• zapewnić odpowiedni nadzór człowieka,
• przeprowadzić ocenę zgodności i zarejestrować system w unijnej bazie.

Użytkownicy (np. bank, uczelnia, firma rekrutacyjna) muszą:

• używać wyłącznie systemów zgodnych z AI Act,
• przeszkolić personel oraz zapewnić realny nadzór człowieka,
• prowadzić monitorowanie działania i zgłaszać incydenty,
• przechowywać logi i dane przez wymagany okres,
• informować osoby o ich prawie do skargi i wyjaśnienia decyzji.

Modele generatywne i oznaczanie treści

AI Act wprowadza osobną kategorię „systemów sztucznej inteligencji ogólnego przeznaczenia” (GPAI). Obejmuje to duże modele językowe, multimodalne i generatywne (ChatGPT, Gemini, DALL-E).

Obowiązki dostawców modeli GPAI

Dostawcy muszą:

• publikować dokładne zestawienia materiałów użytych podczas trenowania,
• zapewnić zgodność z prawem autorskim UE,
• opracować dokumentację techniczną dla twórców aplikacji,
• w przypadku modeli stwarzających systemowe ryzyko – przeprowadzać oceny i zarządzać ryzykiem.

Oznaczanie treści generowanych przez AI

Ważna nowość dla marketingu, mediów i e-commerce:

Od 2 grudnia 2026 r. zaczynają obowiązywać wymogi dotyczące znakowania treści:

• treści generowane lub istotnie modyfikowane przez AI mają być jasno oznaczane,
• systemy AI generujące deepfake’i muszą oferować mechanizmy wykrycia i oznaczenia,
• konieczne będzie wbudowanie technicznych oznaczeń w treści syntetyczne (watermarking).

Protip: Już teraz warto przyjąć wewnętrzną politykę oznaczania treści generowanych przez AI (np. w stopce, metadanych, opisie). Kiedy przyjdzie termin grudnia 2026, Twojemu zespołowi łatwiej będzie się dostosować, bo kultura „oznaczania AI” będzie już częścią procesów.

Polska perspektywa – krajowa ustawa i struktury nadzorcze

Choć AI Act jest rozporządzeniem stosowanym bezpośrednio, Polska musi dostosować krajowy porządek prawny.

Krajowa ustawa o AI

W Polsce przygotowywana jest krajowa ustawa dotycząca sztucznej inteligencji, która ma:

• określić, jak AI Act stosuje się w praktyce w Polsce,
• wdrożyć rozwiązania potrzebne do funkcjonowania systemu nadzoru, kontroli i sankcji,
• zapewnić spójność z przepisami sektorowymi.

Ważne: AI Act nie ma zastosowania do systemów wykorzystywanych wyłącznie do celów wojskowych, obronnych lub bezpieczeństwa narodowego – ten obszar będzie uregulowany odrębnie.

Instytucje i wsparcie dla przedsiębiorców

Polska:

• tworzy infrastrukturę do wdrożenia AI Act, w tym struktury odpowiedzialne za nadzór,
• rozwija portal poświęcony sztucznej inteligencji z praktycznymi poradami,
• uczestniczy w unijnych pracach nad uproszczeniem przepisów,
• przewiduje programy wsparcia: piaskownice regulacyjne, granty, konsultacje dla MŚP.

Praktyczna mapa działań

8 kroków przygotowania do AI Act

1. Inwentaryzacja systemów i funkcji AI

Spisz wszystkie narzędzia z automatycznym podejmowaniem decyzji, profilowaniem, scoringiem, analizą danych klientów/pracowników czy generatywną AI (także w rozwiązaniach chmurowych i SaaS).

2. Klasyfikacja ryzyka

Dla każdego systemu określ kategorię: zakazany, wysokiego, ograniczonego czy minimalnego ryzyka.

3. Ocena dostawców i umów

Sprawdź, czy dostawcy narzędzi AI deklarują zgodność z AI Act. Zaktualizuj umowy (SLA, DPA, licencje) o zapisy dot. przejrzystości, dokumentacji i odpowiedzialności.

4. Polityki i procedury AI (governance)

Przygotuj politykę korzystania z AI: jakie narzędzia są dopuszczalne, jakie zakazane, jak wygląda proces wdrażania nowych rozwiązań. Wprowadź procedury nadzoru człowieka i obsługi skarg.

5. Zarządzanie danymi i prywatnością

Dostosuj procesy zbierania, anotacji i przechowywania danych wykorzystywanych przez AI, z uwzględnieniem RODO oraz wymogów jakości danych.

6. Oznaczanie treści generowanych przez AI

Zaprojektuj sposób informowania użytkowników o interakcji z AI oraz oznaczania treści syntetycznych, aby do grudnia 2026 r. spełnić wymogi watermarkingu.

7. Szkolenia i AI literacy

Przeszkol kluczowe zespoły (IT, marketing, HR, prawo, zarząd) w zakresie podstaw AI Act, ryzyk AI oraz wewnętrznych zasad.

8. Monitoring zmian i współpraca z doradcami

Śledź rozwój krajowej ustawy o AI, wytycznych polskich organów oraz aktualizacji unijnych wyjaśnień.

Przykładowy scenariusz

Polska firma e-commerce używa generatywnej AI do opisów produktów, chatbota do obsługi klienta oraz scoringu klientów pod kątem płatności ratalnych.

• Generator opisów: prawdopodobnie ograniczone ryzyko (obowiązki przejrzystości i oznaczania treści),
• Chatbot: ograniczone ryzyko, konieczne jasne informowanie klienta, że rozmawia z AI,
• Scoring klientów: jeśli decyduje o dostępie do finansowania – może być wysokim ryzykiem, wymagającym spełnienia wszystkich wymogów dla tej kategorii.

Protip: Potraktuj zgodność z AI Act jako element przewagi konkurencyjnej, a nie tylko koszt. W wielu branżach (finanse, HR, medycyna, B2B) klienci będą wprost pytać o compliance i etyczne wykorzystanie AI – możliwość pokazania „mapy zgodności” i jasno opisanych procesów nadzoru może stać się realnym argumentem sprzedażowym.

Co dalej? Czas na proaktywne działanie

Regulacje wokół sztucznej inteligencji przestały być abstrakcją – AI Act już obowiązuje, a pierwsze realne wymogi weszły w życie 2 lutego 2025 r. Dla polskich przedsiębiorców to koniec spontanicznego eksperymentowania – czas na świadome, zgodne z prawem zarządzanie tymi technologiami.

Najważniejsze wnioski:

• Każda firma korzystająca z AI musi sklasyfikować swoje systemy według poziomów ryzyka,
• Zakazy już obowiązują – sprawdź, czy Twoje narzędzia nie wchodzą w obszary zakazane (np. analiza emocji w pracy),
• Systemy wysokiego ryzyka (HR, finanse, edukacja) wymagają rozbudowanej dokumentacji, zarządzania ryzykiem i nadzoru człowieka,
• Od grudnia 2026 r. obowiązuje znakowanie treści AI – przygotuj procesy już teraz,
• Polska przygotowuje krajową ustawę – śledź wytyczne i programy wsparcia.

Najbliższe lata to okres intensywnego dostosowywania – ale także szansa na zbudowanie przewagi przez transparentne, odpowiedzialne wykorzystanie AI. Firmy, które już dziś wdrożą dobre praktyki governance AI, będą nie tylko zgodne z prawem, ale też bardziej zaufane przez klientów i partnerów biznesowych.