EU AI Act według sektora — branżowy przewodnik zgodności

Branżowe przewodniki zgodności z EU AI Act dla sektora ochrony zdrowia, HR, sektora publicznego, transportu, ubezpieczeń, handlu detalicznego, MŚP i edukacji.

Jak sektor kształtuje ekspozycję na EU AI Act

EU AI Act to horyzontalne prawodawstwo — stosuje się do systemów AI wprowadzanych na rynek lub oddawanych do użytku we wszystkich sektorach gospodarki w Unii Europejskiej. Jednak praktyczne obciążenie wynikające ze zgodności nie jest jednolite. Sektor determinuje, które kategorie wysokiego ryzyka z Annex III są istotne, które istniejące ramy regulacyjne tworzą nakładające się obowiązki oraz które krajowe lub unijne organy nadzorcze będą miały jurysdykcję nad wdrożeniami AI.

Akt ustanawia wielopoziomową architekturę ryzyka: zakazane praktyki na mocy Art. 5, AI wysokiego ryzyka na mocy Art. 6 i Annex III, obowiązki dotyczące AI ogólnego przeznaczenia (GPAI) na mocy Art. 51 do Art. 55 oraz obowiązki w zakresie przejrzystości na mocy Art. 50. Wszystkie sektory podlegają zakazowi zakazanych praktyk oraz warstwie przejrzystości wynikającej z Art. 50. Obowiązki dotyczące AI wysokiego ryzyka z Annex III mają zastosowanie selektywne — w zależności od tego, jakie systemy AI organizacja wdraża i w jakim celu.

Zrozumienie ekspozycji sektorowej zaczyna się od mapowania operacyjnych przypadków użycia AI na kategorie z Annex III. Organizacje muszą również ocenić, czy wdrożona AI stanowi model GPAI w rozumieniu Art. 3(63), oraz czy relacje z dostawcami generują obowiązki jako podmiotu stosującego lub dostawcy GPAI.

Zrozumienie Annex III według sektora

Annex III EU AI Act definiuje 8 kategorii samodzielnych systemów AI wysokiego ryzyka. Każda kategoria jest przypisana do konkretnych branż i przypadków użycia AI.

Kategoria 1 — Biometria (wielosektorowa)

Art. 6 w związku z punktem 1 Annex III obejmuje systemy AI służące do biometrycznej identyfikacji i biometrycznej kategoryzacji osób fizycznych. Biometryczna identyfikacja w czasie rzeczywistym w miejscach publicznie dostępnych przez organy ścigania jest zakazana na mocy Art. 5(1)(h) — nie jest jedynie wysokiego ryzyka. Systemy biometrycznej identyfikacji post-hoc i biometrycznej kategoryzacji stosowane w zatrudnieniu, kontroli granicznej, organach ścigania (w dopuszczalnych granicach) oraz kontroli dostępu pozostają w kategorii wysokiego ryzyka. Każda organizacja stosująca rozpoznawanie twarzy, dopasowywanie odcisków palców, rozpoznawanie głosu lub podobne systemy do podejmowania decyzji o istotnych skutkach podlega zakresowi stosowania Aktu.

Kategoria 2 — Infrastruktura krytyczna (transport, energetyka, gospodarka wodna)

Punkt 2 Annex III obejmuje AI stosowaną jako element bezpieczeństwa w zarządzaniu i eksploatacji krytycznej infrastruktury cyfrowej, ruchu drogowego, zaopatrzenia w wodę, gazu, ogrzewania i elektryczności. Operatorzy transportowi, zarządcy sieci energetycznych, przedsiębiorstwa wodociągowe i dostawcy infrastruktury cyfrowej muszą ocenić, czy ich systemy AI kwalifikują się do tej kategorii. Annex I EU AI Act ma tu również zastosowanie: elementy bezpieczeństwa AI wbudowane w produkty regulowane Annex I (maszyny, pojazdy, sprzęt lotnictwa cywilnego, systemy kolejowe) są wysokiego ryzyka na mocy Art. 6(1), a nie Annex III.

Kategoria 3 — Edukacja i szkolenia zawodowe

Punkt 3 Annex III obejmuje AI determinującą dostęp do placówek edukacyjnych, przydzielającą uczniów do ścieżek edukacyjnych, oceniającą wyniki egzaminów lub testów, ewaluującą osiągnięcia w nauce mające istotny wpływ na przyszłe szanse oraz monitorującą zachowanie uczniów podczas oceniania. Platformy EdTech, uczelnie wyższe, podmioty prowadzące szkolenia zawodowe i organy egzaminacyjne muszą ocenić swoje narzędzia oparte na AI względem tych kryteriów.

Kategoria 4 — Zatrudnienie i HR

Punkt 4 Annex III obejmuje AI stosowaną w rekrutacji i selekcji (skanowanie CV, ranking kandydatów, zautomatyzowana analiza rozmów kwalifikacyjnych), decyzjach o awansie, rozwiązaniu stosunku pracy, alokacji zadań dla pracowników platform, monitorowaniu zachowania pracowników oraz ocenie wyników. Ta kategoria należy do najszerszych zakresem — praktycznie każda organizacja stosująca wspomagane przez AI procesy HR musi ocenić zgodność. Obowiązek dotyczy AI stosowanej przez pracodawców, agencje pracy oraz platformy gig economy.

Kategoria 5 — Podstawowe usługi prywatne i publiczne (finanse, ubezpieczenia, obszar zbliżony do ochrony zdrowia, świadczenia)

Punkt 5 Annex III to najszersza kategoria, obejmująca AI stosowaną w ocenie zdolności kredytowej i scoringu kredytowym osób fizycznych, ocenie ryzyka ubezpieczeniowego i ustalaniu składek, ocenie uprawnienia do świadczeń publicznych i usług społecznych oraz decyzjach o wysyłaniu służb ratunkowych. Ta kategoria bezpośrednio dotyczy banków, ubezpieczycieli, administracji publicznej i podmiotów świadczących usługi społeczne. AI związana ze zdrowiem, oceniająca osoby pod kątem uprawnień ubezpieczeniowych, również podlega tej kategorii, tworząc nakładanie się obowiązków sektora finansowego i ochrony zdrowia.

Kategorie 6, 7 i 8 — Organy ścigania, migracja, wymiar sprawiedliwości

Punkty 6, 7 i 8 Annex III dotyczą organów sektora publicznego i ich dostawców technologii. AI w organach ścigania (scoring ryzyka, przewidywanie recydywy, przewidywanie przestępczości, ocena dowodów), AI w obszarze migracji i kontroli granicznej (ocena ryzyka azylowego, weryfikacja dokumentów, przetwarzanie wniosków) oraz AI w wymiarze sprawiedliwości i procesach demokratycznych (narzędzia do badań prawnych, AI związana z wyborami) — wszystkie są wysokiego ryzyka. Kategorie te dotyczą przede wszystkim organów policji, agencji granicznych, trybunałów imigracyjnych, sądów i ich kontrahentów będących dostawcami AI.

Przewodniki sektorowe

Każdy z poniższych dedykowanych przewodników mapuje obowiązki wynikające z EU AI Act na specyficzny kontekst regulacyjny, typowe przypadki użycia AI oraz architekturę egzekwowania przepisów w danym sektorze.

Ochrona zdrowia i nauki o życiu

AI w ochronie zdrowia funkcjonuje na styku EU AI Act, rozporządzenia o wyrobach medycznych (MDR) i rozporządzenia o diagnostyce in vitro (IVDR). Systemy AI kwalifikujące się jako wyroby medyczne podlegają regulacji przede wszystkim na mocy MDR/IVDR, lecz pozostają objęte obowiązkami EU AI Act w zakresie praw podstawowych i przejrzystości. Punkt 5 Annex III obejmuje AI stosowaną do scoringu ryzyka zdrowotnego w ubezpieczeniach i oceny uprawnień do świadczeń publicznych. Systemy wspomagania decyzji klinicznych, AI diagnostyczna, narzędzia do triażu pacjentów oraz AI w odkrywaniu leków — każde z nich niesie szczególne obowiązki zależne od klasyfikacji regulacyjnej.

HR i rekrutacja

Punkt 4 Annex III zalicza praktycznie wszystkie wspomagane przez AI procesy HR do kategorii wysokiego ryzyka. Narzędzia do skanowania CV, platformy do ocen psychometrycznych, zautomatyzowana analiza wideo z rozmów kwalifikacyjnych, systemy zarządzania wynikami oraz AI planowania zasobów ludzkich muszą spełniać obowiązki dostawców i podmiotów stosujących. Przewodnik omawia obowiązki pracodawców jako podmiotów stosujących na mocy Art. 26, wymagania dotyczące zarządzania danymi na mocy Art. 10 oraz interakcję z ograniczeniami profilowania wynikającymi z GDPR.

Sektor publiczny i wymiar sprawiedliwości

Organy publiczne są jednocześnie podmiotami stosującymi AI wysokiego ryzyka i podmiotami, którym krajowe organy właściwe będą poświęcać szczególną uwagę. Punkty 5–8 Annex III łącznie obejmują znaczną część AI sektora publicznego: ustalanie uprawnień do świadczeń, AI służb ratunkowych, narzędzia organów ścigania, systemy zarządzania granicami i AI wymiaru sprawiedliwości. Przewodnik omawia szczególne obowiązki podmiotów stosujących z sektora publicznego, wymogi przejrzystości w zakresie zautomatyzowanych decyzji dotyczących obywateli oraz interakcję z GDPR i dyrektywą o organach ścigania.

Transport i infrastruktura krytyczna

Operatorzy transportowi muszą poruszać się zarówno w obszarze punktu 2 Annex III (elementy bezpieczeństwa w infrastrukturze krytycznej), jak i regulacji bezpieczeństwa produktów z Annex I. AI w systemach pojazdów autonomicznych, zarządzaniu ruchem kolejowym, zarządzaniu ruchem lotniczym, operacjach portowych i trasowaniu logistycznym może podlegać klasyfikacji wysokiego ryzyka na kilku ścieżkach. Przewodnik omawia interakcję z regulacjami EASA, dyrektywą o bezpieczeństwie kolei oraz rolę jednostek notyfikowanych w ocenie zgodności.

MŚP

Małe i średnie przedsiębiorstwa podlegają tym samym obowiązkom wynikającym z EU AI Act co duże organizacje, gdy są dostawcami AI wysokiego ryzyka lub podmiotami stosującymi AI wysokiego ryzyka. Akt przewiduje jednak mechanizmy proporcjonalności. Przewodnik wyjaśnia opcje uproszczonej dokumentacji technicznej, dostęp do regulacyjnych piaskownic na mocy Art. 57 do Art. 63 oraz sposób strukturyzacji minimalnego, lecz prawnie wystarczającego programu zgodności. Omawia również ekspozycję MŚP jako podmiotów stosujących narzędzia AI stron trzecich.

Ubezpieczenia

AI w ubezpieczeniach podlega punktowi 5(b) Annex III (ocena ryzyka i ustalanie składek w ubezpieczeniach na życie i zdrowotnych osób fizycznych) i jest powiązana z wymogami Solvency II dotyczącymi zarządzania modelami i stosowania modeli wewnętrznych. AI ustalająca ceny ubezpieczeń komunikacyjnych, zdrowotnych, majątkowych i na życie, narzędzia do podejmowania decyzji underwritingowych oraz systemy automatycznego rozliczania roszczeń wymagają oceny. Przewodnik omawia role EIOPA i krajowych nadzorców ubezpieczeniowych obok ram KOW wynikających z EU AI Act.

Handel detaliczny i call center

Handel detaliczny i obsługa klienta są dotknięte przede wszystkim obowiązkami w zakresie przejrzystości wynikającymi z Art. 50 — ujawnianiem treści generowanych przez AI, identyfikacją chatbotów i oznaczaniem deepfake'ów — oraz AI związaną z zatrudnieniem na mocy punktu 4 Annex III. Systemy rozpoznawania emocji stosowane w kontaktach z klientami podlegają wyraźnej regulacji. Przewodnik omawia AI w handlu internetowym, silniki rekomendacji, zautomatyzowaną obsługę klienta oraz zarządzanie pracownikami w centrach kontaktowych.

Edukacja i EdTech

Punkt 3 Annex III zalicza AI edukacyjną do kategorii wysokiego ryzyka w przypadkach, gdy determinuje lub w istotny sposób wpływa na dostęp do ścieżek edukacyjnych lub ocenia osiągnięcia. Przewodnik omawia obowiązki dostawców EdTech, uczelni wyższych, podmiotów prowadzących szkolenia zawodowe i organów egzaminacyjnych. Obejmuje adaptacyjne platformy edukacyjne, oprogramowanie do monitorowania egzaminów, zautomatyzowane ocenianie esejów oraz narzędzia do przewidywania ryzyka uczniów.

Sektor finansowy (bankowość)

Przewodnik dla sektora bankowego omawia scoring kredytowy i ocenę zdolności kredytowej na mocy punktu 5(b) Annex III, AI do wykrywania oszustw, systemy handlu algorytmicznego, narzędzia AML/KYC oraz platformy robo-advisory. Analizuje nakładanie się obowiązków EU AI Act na DORA, MiFID II, CRR/CRD i wytyczne EBA. Priorytetowym zagadnieniem jest interakcja między wymogami EU AI Act dotyczącymi zarządzania modelami a istniejącymi ramami zarządzania ryzykiem modeli wynikającymi z wytycznych EBA.

Obowiązki przekrojowe

Kilka obowiązków wynikających z EU AI Act stosuje się niezależnie od sektora. Każda organizacja działająca w UE musi rozumieć te podstawowe wymagania.

Zakazane praktyki — Art. 5

Art. 5 ustanawia bezwzględne zakazy obowiązujące od 2 lutego 2025 r. Stosują się one do każdego sektora bez wyjątku: techniki manipulacji podprogowej powodującej szkodę, wykorzystywanie podatności osób fizycznych, scoring społeczny przez organy publiczne, biometryczna identyfikacja w czasie rzeczywistym przez organy ścigania w przestrzeni publicznej (z zastrzeżeniem wąskich wyjątków), rozpoznawanie emocji w miejscach pracy i placówkach edukacyjnych (poza określonymi zastosowaniami), biometryczna kategoryzacja na podstawie cech wrażliwych oraz predykcyjne działania policyjne oparte wyłącznie na profilowaniu. Żadne zwolnienie sektorowe nie uchyla tych zakazów.

Obowiązki w zakresie przejrzystości — Art. 50

Art. 50 zobowiązuje dostawców i podmioty stosujące systemy AI wchodzące w interakcję z osobami fizycznymi do ujawniania sztucznej natury tej interakcji. Dotyczy to chatbotów, wirtualnych asystentów, zautomatyzowanych systemów call center i każdego systemu AI zaprojektowanego tak, by sprawiał wrażenie ludzkiego. Treści generowane przez AI — media syntetyczne, deepfake'i, teksty — muszą być oznaczane w sposób odczytywalny maszynowo. Obowiązki te dotyczą handlu detalicznego, usług finansowych, narzędzi AI skierowanych do pacjentów w ochronie zdrowia, usług obywatelskich w sektorze publicznym oraz każdego innego sektora wdrażającego konwersacyjną lub generatywną AI.

Obowiązki dotyczące modeli GPAI — Art. 51 do Art. 55

Organizacje wdrażające modele GPAI — duże modele językowe, modele fundamentalne, wielomodalna AI — muszą ocenić, czy są podmiotami stosującymi model GPAI strony trzeciej, czy też dostawcami systemu integrującego GPAI. Dostawcy GPAI ponoszą obowiązki wynikające z Art. 53 (przejrzystość wobec dostawców niższego szczebla, polityka praw autorskich, podsumowanie danych treningowych). Modele GPAI o ryzyku systemowym ponoszą dodatkowe obowiązki na mocy Art. 55. Każdy sektor korzystający z komercyjnych API modeli fundamentalnych lub hostowanych samodzielnie modeli fundamentalnych musi ocenić te obowiązki.

MŚP i obowiązki proporcjonalne

MŚP stanowią większość przedsiębiorstw w UE i rosnącą część dostawców oraz podmiotów stosujących systemy AI. EU AI Act nie tworzy ogólnego zwolnienia dla MŚP, jednak Art. 9(5), Art. 11 i Art. 16 wymagają, aby obowiązki dostawców były proporcjonalne do wielkości i możliwości organizacji.

Ramy regulacyjnych piaskownic (Art. 57 do Art. 63) są specjalnie zaprojektowane, aby zapewnić MŚP i startupom nadzorowane środowiska rozwoju, zmniejszenie niepewności regulacyjnej oraz bezpośredni dostęp do wskazówek krajowych organów właściwych. Uczestnictwo nie gwarantuje potwierdzenia zgodności, lecz zapewnia ustrukturyzowaną ścieżkę wejścia na rynek dla innowacyjnych produktów AI.

W przypadku MŚP działających jako podmioty stosujące AI wysokiego ryzyka dostarczonej przez stronę trzecią obowiązują wymogi Art. 26 — ocena przypadku użycia, wdrożenie nadzoru człowieka, ocena wpływu na prawa podstawowe. Wymagany zakres dokumentacji i monitorowania jest proporcjonalny, lecz obowiązki prawne nie są uchylone.

Dedykowany przewodnik dla MŚP zawiera plan zgodności dostosowany do mniejszych organizacji, obejmując priorytyzację, minimalną wystarczającą dokumentację, należytą staranność wobec dostawców oraz procedury dostępu do piaskownic.

Egzekwowanie przepisów

EU AI Act tworzy wielopoziomową architekturę egzekwowania przepisów o istotnym wymiarze sektorowym.

Krajowe organy właściwe

Każde państwo członkowskie UE wyznacza jeden lub więcej krajowych organów właściwych (KOW) na mocy Art. 70. KOW są odpowiedzialne za wydawanie zezwoleń na regulacyjne piaskownice, prowadzenie nadzoru rynku, odbieranie danych z monitorowania poeksploatacyjnego od dostawców, badanie podejrzanych naruszeń oraz nakładanie administracyjnych kar pieniężnych na mocy Art. 99 do Art. 101. Maksymalne kary sięgają 35 mln EUR lub 7% globalnego rocznego obrotu za naruszenia zakazanych praktyk z Art. 5.

Regulatorzy sektorowi jako organy nadzoru rynku

Art. 74(8) i Art. 74(9) przewidują, że regulatorzy sektorowi mogą pełnić funkcję organów nadzoru rynku w zakresie AI w swoich dziedzinach. Europejski Urząd Nadzoru Bankowego (EBA), Europejski Urząd Nadzoru Ubezpieczeń i Pracowniczych Programów Emerytalnych (EIOPA), Europejski Urząd Nadzoru Giełd i Papierów Wartościowych (ESMA), Europejska Agencja Leków (EMA) i Agencja Unii Europejskiej ds. Bezpieczeństwa Lotniczego (EASA) mają role w nadzorowaniu AI w swoich obszarach regulacyjnych. Tworzy to podwójną ekspozycję na egzekwowanie przepisów: AI do scoringu kredytowego banku może być badana zarówno przez krajowego regulatora finansowego stosującego obowiązki z Annex III, jak i przez KOW prowadzący nadzór rynku w ramach EU AI Act.

Europejski Urząd ds. AI

Europejski Urząd ds. AI, ustanowiony na mocy Art. 64 do Art. 70, posiada bezpośrednie uprawnienia egzekwowania przepisów wobec dostawców modeli GPAI. Dla organizacji wdrażających modele GPAI o ryzyku systemowym Urząd ds. AI jest głównym odpowiednikiem regulacyjnym — nie krajowy KOW. Regulatorzy sektorowi nie mają bezpośredniej jurysdykcji nad modelami GPAI jako takimi, choć systemy AI niższego szczebla integrujące GPAI pozostają objęte nadzorem krajowym i sektorowym.

Harmonogram egzekwowania przepisów

Zakaz praktyk na mocy Art. 5 obowiązuje od 2 lutego 2025 r. Obowiązki dotyczące GPAI wynikające z Art. 51 do Art. 55 weszły w życie 2 sierpnia 2025 r. Pełne obowiązki dla systemów AI wysokiego ryzyka z Annex III — obejmujące wszystkie osiem kategorii oraz wszystkie obowiązki dostawców i podmiotów stosujących — stosują się od 2 grudnia 2027 r. (termin przedłużony z pierwotnego 2 sierpnia 2026 r. przez zmianę Digital Omnibus z 2025 r.). Organizacje we wszystkich sektorach powinny traktować okres do grudnia 2027 r. jako aktywne okno zgodności, a nie okres przejściowy.