MŚP — Przewodnik po zgodności z rozporządzeniem EU AI Act

Zgodność MŚP z rozporządzeniem EU AI Act. Przepisy szczególne dla małych i średnich przedsiębiorstw, dostęp do piaskownicy regulacyjnej, obniżone opłaty oraz praktyczne wskazówki dla podmiotów wdrażających i tworzących systemy AI.

EU AI Act a MŚP — dobre wiadomości

Rozporządzenie EU AI Act (rozporządzenie (UE) 2024/1689) ma zastosowanie do wszystkich organizacji wprowadzających systemy AI na rynek UE lub z nich korzystających, niezależnie od ich wielkości. Jednakże realia regulacyjne dla większości małych i średnich przedsiębiorstw są znacznie mniej uciążliwe, niż sugerują nagłówki prasowe, z jednego zasadniczego powodu: zdecydowana większość MŚP korzysta z AI, a nie ją tworzy.

MŚP, które subskrybuje system CRM wspomagany przez AI, wdraża chatbota od dostawcy SaaS lub korzysta z chmurowego oprogramowania do prognozowania popytu, jest w rozumieniu EU AI Act podmiotem wdrażającym — nie dostawcą. Obowiązki podmiotu wdrażającego są systematycznie lżejsze od obowiązków dostawcy. Na dostawcach spoczywa główny ciężar oceny zgodności, dokumentacji technicznej, oznakowania CE i rejestracji. Podmioty wdrażające mają bardziej ukierunkowany zestaw obowiązków skupiający się na prawidłowym użytkowaniu, nadzorze ludzkim i zgłaszaniu incydentów.

Poza rozróżnieniem na podmiot wdrażający i dostawcę, EU AI Act zawiera odrębny pakiet przepisów szczególnych dla MŚP, zapewniający strukturalne wsparcie: priorytetowy dostęp do piaskownic regulacyjnych, obniżone opłaty za ocenę zgodności oraz dedykowany pojedynczy punkt kontaktowy na poziomie krajowym. Przepisy te odzwierciedlają wyraźną intencję ustawodawcy, aby AI Act nie stał się nieproporcjonalną barierą dla mniejszych uczestników rynku.

Niniejszy przewodnik przedstawia, co EU AI Act oznacza w praktyce dla MŚP — niezależnie od tego, czy korzystają Państwo z narzędzi AI innych podmiotów, wdrażają AI w kontekście kontaktu z klientami, czy sami budują i komercjalizują produkt AI.

Przepisy szczególne dla MŚP zawarte w rozporządzeniu

EU AI Act zawiera cztery przepisy mające zastosowanie szczególnie do MŚP (przedsiębiorstw spełniających próg określony w zaleceniu Komisji 2003/361/WE: mniej niż 250 pracowników i roczny obrót nieprzekraczający 50 mln EUR lub całkowita suma bilansowa nieprzekraczająca 43 mln EUR) oraz do startupów.

Art. 55 — Priorytetowy dostęp do piaskownic regulacyjnych

Art. 55 stanowi, że regulacyjne piaskownice AI — nadzorowane środowiska do tworzenia i testowania AI przed wprowadzeniem na rynek — są dostępne w pierwszej kolejności dla MŚP i startupów. Dostęp jest bezpłatny lub wiąże się z obniżonymi opłatami, a uczestniczące organizacje otrzymują bezpośrednie wsparcie ze strony właściwego organu. Dostęp do piaskownicy umożliwia identyfikację ryzyka przed wejściem na rynek i dialog regulacyjny w chronionym środowisku, bez konsekwencji wynikających z niespełniającego wymogów wprowadzenia na rynek. MŚP budujące systemy AI powinny traktować uczestnictwo w piaskownicy zarówno jako narzędzie zapewnienia zgodności, jak i mechanizm bezpośredniego kontaktu z organem nadzoru przed uruchomieniem produktu.

Art. 96 — Obniżone opłaty za ocenę zgodności

Jeżeli system AI wysokiego ryzyka wymaga oceny zgodności przez podmiot zewnętrzny — jednostkę notyfikowaną (ma to zastosowanie do systemów wymienionych w Annex III, pkt 1, 6 i 7 oraz urządzeń medycznych z AI zgodnie z art. 6 ust. 1) — art. 96 nakłada na państwa członkowskie obowiązek ustalenia obniżonych opłat dla małych przedsiębiorstw. Mikroprzedsiębiorstwa — zatrudniające mniej niż 10 pracowników i o rocznym obrocie lub sumie bilansowej nieprzekraczającej 2 mln EUR — mają prawo do jeszcze większych obniżek. Szczegółowe taryfy opłat są ustalane na poziomie państw członkowskich i różnią się w zależności od jurysdykcji; aktualne dane może podać właściwy krajowy organ ds. AI lub sieć Enterprise Europe Network.

Art. 85 — Pojedynczy punkt kontaktowy

Art. 85 zobowiązuje krajowe organy nadzoru ds. AI do ustanowienia dedykowanego pojedynczego punktu kontaktowego dla MŚP. Oznacza to, że MŚP poszukujące wskazówek w zakresie obowiązków wynikających z AI Act nie musi poruszać się po wielu departamentach regulacyjnych ani koordynować działań pomiędzy rozproszonymi organami. Pojedynczy punkt kontaktowy dostarcza informacji, kieruje zapytania do właściwej komórki oraz ułatwia składanie wniosków o dostęp do piaskownicy. Przepis ten istotnie obniża koszty administracyjne związane z rozumieniem obowiązków regulacyjnych.

Art. 9 ust. 5 — Proporcjonalne zarządzanie ryzykiem

Art. 9 ust. 5 stanowi, że system zarządzania ryzykiem wymagany od dostawców systemów AI wysokiego ryzyka może być wdrożony proporcjonalnie, z uwzględnieniem wielkości i struktury organizacji. Dla MŚP działającego jako dostawca systemu wysokiego ryzyka oznacza to, że choć wszystkie merytoryczne wymogi systemu zarządzania ryzykiem muszą być spełnione, format dokumentacji, złożoność procesów i struktura nadzoru mogą być dostosowane do rzeczywistych możliwości organizacji — pod warunkiem, że nie podważa to celów ochronnych ram regulacyjnych.

Czy jesteś dostawcą czy podmiotem wdrażającym? — Schemat decyzyjny dla MŚP

Najważniejszym wstępnym ustaleniem dla każdego MŚP wchodzącego w zakres stosowania EU AI Act jest to, czy działa ono jako dostawca czy podmiot wdrażający w odniesieniu do każdego systemu AI, z którego korzysta lub który oferuje.

Dostawca (art. 3 ust. 3): Organizacja, która opracowuje system AI lub zleca jego opracowanie, a następnie wprowadza go na rynek lub oddaje do użytku pod własną nazwą lub marką — odpłatnie lub nieodpłatnie. Obejmuje to MŚP, które:

• Tworzą produkt programistyczny zawierający AI (w tym modele AI dostępne przez API) i sprzedają lub licencjonują ten produkt klientom;
• Opracowują model AI lub aplikację wewnętrznie i udostępniają ją jako usługę użytkownikom końcowym spoza organizacji;
• Dokonują istotnej modyfikacji systemu AI innego podmiotu w sposób zmieniający jego zamierzone zastosowanie.

Podmiot wdrażający (art. 3 ust. 4): Organizacja, która korzysta z systemu AI we własnym imieniu w celach zawodowych. Obejmuje to MŚP, które:

• Subskrybują produkty SaaS z wbudowanymi funkcjami AI (systemy CRM, ERP, oprogramowanie księgowe wspomagane przez AI);
• Korzystają z chatbota innego podmiotu lub konwersacyjnego AI na swojej stronie internetowej;
• Uzyskują dostęp do chmurowych API AI (przetwarzanie języka naturalnego, klasyfikacja obrazów, silniki rekomendacji) wyłącznie w celu automatyzacji wewnętrznych procesów lub udoskonalenia własnych usług, nie oferując możliwości AI jako funkcji produktu osobom trzecim;
• Nabywają oprogramowanie do zarządzania zasobami ludzkimi, prognozowania stanów magazynowych lub analizy klientów od zewnętrznych dostawców.

Krytyczny przypadek graniczny: MŚP, które integruje zewnętrzne API AI z własnym produktem skierowanym do klientów i udostępnia tę funkcjonalność jako cechę swojego produktu, jest dostawcą w odniesieniu do tej funkcji AI — a nie jedynie podmiotem wdrażającym bazowe API. Podmiot prawny, który definiuje zamierzone zastosowanie, kontroluje doświadczenie użytkownika i wprowadza produkt na rynek, ponosi obowiązki dostawcy wynikające z art. 16, niezależnie od tego, skąd pochodzi model AI.

Kluczowe obowiązki podmiotu wdrażającego dla MŚP korzystających z AI innych podmiotów

Dla większości MŚP — tych wdrażających narzędzia AI innych podmiotów, a nie tworzących własne — następujące obowiązki mają zastosowanie na podstawie art. 26 i powiązanych przepisów.

Korzystanie z systemów AI zgodnie z instrukcjami dostawcy

Podmioty wdrażające mogą korzystać z systemów AI wysokiego ryzyka wyłącznie zgodnie z instrukcją użytkowania dostarczoną przez dostawcę na podstawie art. 13. Korzystanie z systemu AI w celach wykraczających poza udokumentowane zamierzone zastosowanie lub w konfiguracjach niewalidowanych przez dostawcę przenosi część odpowiedzialności za zgodność na podmiot wdrażający i może unieważnić ocenę zgodności systemu.

Wyznaczenie odpowiedzialnej osoby sprawującej nadzór ludzki

Art. 26 ust. 1 zobowiązuje podmioty wdrażające do przypisania odpowiedzialności za nadzór nad AI wyznaczonej osobie w organizacji. W przypadku większości MŚP będzie to imiennie wskazana osoba (niekoniecznie dedykowany specjalista ds. zgodności AI), która rozumie funkcję systemu, jego znane ograniczenia i okoliczności, w których wymagana jest interwencja człowieka. Takie wyznaczenie powinno być udokumentowane.

Przechowywanie logów operacyjnych

W przypadku gdy systemy AI wysokiego ryzyka automatycznie generują logi (art. 12), podmioty wdrażające muszą je przechowywać przez wymagany prawem okres — zasadniczo sześć miesięcy zgodnie z AI Act, chyba że przepisy sektorowe wymagają dłuższego okresu przechowywania. Podmioty wdrażające muszą zweryfikować, czy ich umowa z dostawcą przyznaje dostęp do logów i potwierdza ich format oraz kompletność.

Zgłaszanie poważnych incydentów dostawcy

Art. 26 ust. 5 zobowiązuje podmioty wdrażające do powiadamiania dostawcy o wszelkich poważnych incydentach lub awariach wykrytych podczas użytkowania. Jeżeli podmiot wdrażający jest organem publicznym, obowiązki powiadamiania rozszerzają się na krajowy organ nadzoru ds. AI. W przypadku MŚP będących podmiotami wdrażającymi z sektora prywatnego, podstawowym kanałem jest bezpośrednie powiadomienie dostawcy, który z kolei ma własne obowiązki powiadomienia organu wynikające z art. 73.

Przeprowadzenie oceny wpływu na prawa podstawowe tam, gdzie ma to zastosowanie

Art. 27 zobowiązuje organy publiczne wdrażające AI wysokiego ryzyka do przeprowadzenia oceny wpływu na prawa podstawowe przed wdrożeniem. MŚP z sektora prywatnego wdrażające AI wysokiego ryzyka — w szczególności w obszarze zasobów ludzkich, oceny zdolności kredytowej lub procesów decyzyjnych ukierunkowanych na klienta — są zdecydowanie zalecane do przeprowadzenia równoważnej oceny, gdyż świadczy ona o należytej staranności i istotnie obniża ryzyko egzekwowania przepisów.

Weryfikacja umów z dostawcami

Podmioty wdrażające będące MŚP muszą zadbać o to, by ich umowy z dostawcami AI obejmowały: dokumentację zgodności i instrukcje użytkowania; potwierdzenie rejestracji w unijnej bazie danych, o ile jest wymagana; określenie możliwości rejestrowania i praw dostępu; zobowiązanie dostawcy do zgłaszania incydentów i ich usuwania; oraz informacje o obowiązkach dotyczących aktualizacji lub modyfikacji, które mogą wpływać na status zgodności systemu.

Jeśli tworzysz AI — obowiązki MŚP-dostawcy i wsparcie regulacyjne

MŚP, które opracowują i komercjalizują systemy AI, są dostawcami i ponoszą pełne obowiązki dostawcy wynikające z rozdziału III w odniesieniu do każdego systemu, który jest systemem wysokiego ryzyka. Zakres tych obowiązków jest znaczący: system zarządzania jakością (art. 17), dokumentacja techniczna zgodnie z Annex IV, zarządzanie danymi zgodnie z art. 10, rejestrowanie zgodnie z art. 12), wymogi przejrzystości zgodnie z art. 13, projektowanie nadzoru ludzkiego zgodnie z art. 14 oraz standardy dokładności i niezawodności zgodnie z art. 15. W przypadku systemów z Annex III wymagających oceny przez jednostkę notyfikowaną, ścieżka zgodności przebiega zgodnie z art. 43.

Praktycznym punktem wejścia dla MŚP-dostawcy jest ustalenie klasyfikacji ryzyka:

• Czy system AI jest objęty art. 5 (zakazane praktyki)? Jeśli tak, przed podjęciem jakiejkolwiek działalności rynkowej konieczne jest zaprzestanie jego tworzenia lub fundamentalna restrukturyzacja.
• Czy system kwalifikuje się jako wysokiego ryzyka zgodnie z art. 6 ust. 1 (element bezpieczeństwa regulowanego produktu) lub Annex III (wymienione obszary zastosowania, w tym identyfikacja biometryczna, infrastruktura krytyczna, edukacja, zatrudnienie, usługi zasadnicze, egzekwowanie prawa, migracja, wymiar sprawiedliwości)?
• Czy system kwalifikuje się wyłącznie jako model AI ogólnego przeznaczenia regulowany przez art. 51–56, bez klasyfikacji wysokiego ryzyka?
• Czy system podlega wyłącznie obowiązkom przejrzystości wynikającym z art. 50 (rozpoznawanie emocji, deepfake, chatboty)?

W przypadku MŚP, których systemy nie wchodzą w kategorie wysokiego ryzyka i zakazane, wymogi zgodności są znacznie lżejsze: ujawnienia dotyczące przejrzystości z art. 50, zgodność z GDPR oraz obowiązki sektorowe wynikające z obowiązującego prawa krajowego lub unijnego.

Dla MŚP tworzących AI wysokiego ryzyka piaskownica regulacyjna z art. 55 jest najważniejszym dostępnym narzędziem. Uczestnictwo w piaskownicy umożliwia testowanie przed wejściem na rynek pod nadzorem regulacyjnym, dostarcza udokumentowanych dowodów działania w dobrej wierze na rzecz zgodności i pozwala zidentyfikować działania naprawcze, zanim staną się przedmiotem egzekwowania przepisów. Wnioski składa się do krajowego pojedynczego punktu kontaktowego (art. 85).

Praktyczne kroki dla MŚP w zakresie zapewnienia zgodności

Krok 1 — Sporządź inwentarz wszystkich systemów AI używanych lub tworzonych. Wypisz każde narzędzie AI, produkt SaaS, chmurowe API i wewnętrznie opracowany model. Odnotuj dostawcę, funkcję oraz to, czy MŚP działa jako dostawca czy podmiot wdrażający w odniesieniu do każdego z nich.

Krok 2 — Sklasyfikuj każdy system według kategorii ryzyka. Zastosuj do każdego systemu schemat art. 5 / art. 6 / Annex III / art. 50. W przypadku niepewności co do klasyfikacji skorzystaj z pojedynczego punktu kontaktowego z art. 85 w celu uzyskania wskazówek.

Krok 3 — W roli podmiotu wdrażającego: przeprowadź audyt umów z dostawcami. Zweryfikuj, czy każdy dostawca AI dostarczył dokumentację wymaganą na podstawie art. 13 i czy umowa reguluje kwestie rejestrowania, zgłaszania incydentów i obowiązków w zakresie aktualizacji. Oznacz luki do renegocjacji.

Krok 4 — W roli dostawcy: zainicjuj ścieżkę zgodności. Ustal, czy Państwa system AI wysokiego ryzyka wymaga samooceny (art. 43 ust. 2) czy oceny przez jednostkę notyfikowaną będącą podmiotem zewnętrznym (art. 43 ust. 1). Złóż wniosek o dostęp do piaskownicy na podstawie art. 55, jeśli system jest w fazie tworzenia. Skontaktuj się z jednostką notyfikowaną na wczesnym etapie, aby zapoznać się z harmonogramem i konsekwencjami finansowymi, mając na uwadze prawo do obniżonych opłat dla MŚP wynikające z art. 96.

Krok 5 — Wdróż obowiązki podmiotu wdrażającego z art. 26 w odniesieniu do wszystkich systemów wysokiego ryzyka. Wyznacz osoby odpowiedzialne za nadzór, udokumentuj ich obowiązki, zweryfikuj procedury przechowywania logów i potwierdź kanały zgłaszania incydentów.

Krok 6 — Ustal cykl przeglądów AI Act. EU AI Act jest żywym instrumentem regulacyjnym. Wyznacz osobę odpowiedzialną za monitorowanie wytycznych Urzędu ds. AI UE, aktualizacji ze strony organów krajowych oraz zmian w klasyfikacjach Annex III. Zaplanuj coroczny wewnętrzny przegląd inwentarza systemów i statusu zgodności.