EU AI Act: Kompletny przewodnik po zgodności (2025–2028)

EU AI Act (Rozporządzenie 2024/1689) to pierwsze na świecie kompleksowe prawo dotyczące AI. Stosuje się etapami: zakazane praktyki od lutego 2025 r., przepisy dotyczące GPAI od sierpnia 2025 r. i obowiązki dla AI wysokiego ryzyka od grudnia 2027 r. (Annex III) i sierpnia 2028 r. (Annex I) po poprawkach omnibus 2026.

Co to jest EU AI Act?

EU AI Act (Rozporządzenie (UE) 2024/1689) to pierwsze na świecie kompleksowe poziome ramy prawne dotyczące sztucznej inteligencji. Weszło w życie 1 sierpnia 2024 r. i jest stosowane stopniowo w czterech poziomach ryzyka.

Rozporządzenie stosuje podejście oparte na ryzyku: im wyższe potencjalne szkody, tym surowsze obowiązki. Nie reguluje całego oprogramowania — tylko systemy kwalifikujące się jako AI na podstawie definicji z Art. 3 ust. 1 i Annex I, która obejmuje uczenie maszynowe, podejścia oparte na logice i wiedzy oraz modele statystyczne.

Kto musi przestrzegać przepisów?

EU AI Act ma zastosowanie do czterech kategorii podmiotów:

• Dostawcy — organizacje opracowujące systemy AI lub modele AI ogólnego przeznaczenia i wprowadzające je do obrotu lub oddające do użytku w UE
• Podmioty wdrażające — organizacje lub osoby fizyczne używające systemów AI pod własną odpowiedzialnością w kontekście zawodowym
• Importerzy — podmioty z siedzibą w UE importujące systemy AI z państw trzecich
• Dystrybutorzy — podmioty w łańcuchu dostaw inne niż dostawcy i importerzy

Zasięg geograficzny: Rozporządzenie stosuje się zawsze, gdy wynik działania systemu AI jest używany w UE, niezależnie od miejsca siedziby dostawcy. Dostawca z siedzibą w USA, którego AI jest używane przez europejskie firmy, jest w zakresie stosowania.

Cztery poziomy ryzyka

Harmonogram stosowania

Digital Omnibus 2026 dotyczący AI przedłużył dwa terminy dotyczące AI wysokiego ryzyka odpowiednio o 16 i 24 miesiące, bez zmiany samych obowiązków.

Systemy AI wysokiego ryzyka: co uruchamia pełne obowiązki?

System AI jest wysokiego ryzyka na podstawie Annex III, jeżeli należy do jednego z tych ośmiu obszarów:

1. Identyfikacja i kategoryzacja biometryczna
2. Zarządzanie infrastrukturą krytyczną (energia, woda, transport)
3. Edukacja i szkolenie zawodowe (decyzje o dostępie, ocenianie)
4. Zatrudnienie — rekrutacja, ocena wyników, decyzje awansowe
5. Niezbędne usługi prywatne i publiczne (scoring kredytowy, ubezpieczenia, służby ratunkowe)
6. Egzekwowanie prawa (ocena ryzyka, ocena dowodów)
7. Migracja, azyl, kontrola graniczna
8. Wymiar sprawiedliwości i procesy demokratyczne

Stosuje się dodatkowy filtr (Art. 6 ust. 3): systemy z Annex III muszą stwarzać znaczące ryzyko wyrządzenia szkody dla zdrowia, bezpieczeństwa lub praw podstawowych. Narzędzia AI niskiego ryzyka w tych sektorach mogą być wyłączone.

Kluczowe obowiązki zgodności dla dostawców AI wysokiego ryzyka

1. System zarządzania ryzykiem (Art. 9) — ciągły proces przez cały cykl życia
2. Zarządzanie danymi (Art. 10) — zestawy danych do trenowania, walidacji i testowania muszą być odpowiednie
3. Dokumentacja techniczna (Art. 11 + Annex IV) — przed wprowadzeniem do obrotu
4. Przejrzystość i rejestrowanie (Art. 12–13) — automatyczne rejestrowanie, instrukcje dla użytkowników
5. Nadzór człowieka (Art. 14) — środki umożliwiające ludziom monitorowanie i interwencję
6. Dokładność, odporność, cyberbezpieczeństwo (Art. 15)
7. System zarządzania jakością (Art. 17)
8. Ocena zgodności (Art. 43) — przez stronę trzecią dla niektórych kategorii
9. Rejestracja w unijnej bazie danych AI (Art. 71)
10. Oznakowanie CE (Art. 48) przed wprowadzeniem do obrotu

Konwergencja z DORA i NIS2

Instytucje finansowe muszą spełniać nakładające się obowiązki wynikające z EU AI Act, DORA i NIS2. System zarządzania ryzykiem EU AI Act (Art. 9) jest ściśle powiązany z ramami zarządzania ryzykiem ICT DORA (Art. 5–16). Dokumentacja z podwójnym mapowaniem zmniejsza obciążenie związane z przestrzeganiem przepisów. Zapoznaj się z naszą analizą konwergencji →.