Tytuł: AI Legal landscape – jak Unia Europejska reguluje sztuczną inteligencję?

 

Rosnąca skala zastosowań sztucznej inteligencji i pojawienie się nowych wyzwań prawnych oraz społecznych doprowadziły do przyjęcia przez UE pierwszych kompleksowych przepisów regulujących AI. Zawarto je w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji, znanym szerzej jako AI Act. Zdecydowana większość tych przepisów zacznie obowiązywać już 2 sierpnia 2026 roku. Dla większości podmiotów profesjonalnych oznacza to konieczność dostosowania sposobu wykorzystywania systemów AI do nowych wymogów prawnych, zwłaszcza że AI Act przewiduje również wysokie sankcje za naruszenie jego postanowień.

W niniejszym artykule ogólnie omówione zostaną rozwiązania przyjęte w AI Act, w tym podstawowe definicje, zakres stosowania Rozporządzenia, obowiązki nakładane na dostawców i użytkowników systemów AI oraz system nadzoru nad przestrzeganiem nowych przepisów.

Jaką rolę pełni AI Act?

Unijne organy dostrzegły potrzebę regulacji AI jako jedne z pierwszych instytucji publicznych na świecie. Kierunek przyszłych ram prawnych zarysowano już w 2020 r. w ramach Białej Księgi KE w sprawie sztucznej inteligencji. Wskazano w niej kierunek regulacji, który znalazł odzwierciedlenie w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji. Rozporządzenie to określa m.in. podział narzędzi AI ze względu na stopień zagrożenia, zakazane praktyki oraz obowiązki nakładane na twórców i użytkowników modeli i systemów AI. AI Act ujednolica również procedurę zarządzania technologią AI na szczeblu unijnym oraz krajowym, a także określa kary, które grożą podmiotom niestosującym się do przepisów.

AI Act stosuje się etapowo. Od lutego 2025 r. obowiązują przepisy wstępne oraz dotyczące zakazanych praktyk (rozdziały I i II), a od sierpnia 2025 r. część regulacji dotyczących modeli AI ogólnego przeznaczenia i nadzoru instytucjonalnego (art. 78 oraz rozdziały III sekcja 4, V, VII i XII z wyłączeniem art. 101). Zdecydowana większość przepisów zacznie obowiązywać od 2 sierpnia 2026 roku, jednak niedawno uchwalone poprawki do AI Act odraczają wejście w życie przepisów dotyczących systemów wysokiego ryzyka (do 2 grudnia 2027 r. oraz 2 sierpnia 2028 r., w zależności od specyfiki systemu).

 

Bardzo istotny pozostaje również tzw. unijny soft law, czyli dokumenty wyjaśniające sposoby stosowania AI Act. W wypadku tak nowej i dynamicznie rozwijającej się dziedziny jak sztuczna inteligencja, znajomość unijnych kodeksów i wytycznych nabiera szczególnego znaczenia. Dla przykładu, Wytyczne KE dotyczące definicji systemu AI pozwalają lepiej zrozumieć, które narzędzia reguluje AI Act. Dla obowiązku oznaczania treści Komisja przewidziała nie tylko Wytyczne, ale również Kodeks postępowania, który ma ułatwić dostawcom i korzystającym z AI zapewnienie zgodności z przepisami. W praktyce większość obowiązków przewidzianych w Akcie została uzupełniona wytycznymi bądź Kodeksami postępowania. Dokumenty te, choć nie mają charakteru wiążącego, w praktyce pomagają w interpretacji przepisów AI Act.

Należy jednak pamiętać, że do wielu sytuacji związanych z wykorzystaniem AI równolegle znajdą zastosowanie inne akty prawne. W szczególności dotyczy to przepisów z zakresu prawa autorskiego i ochrony danych osobowych. Dobrym przykładem jest też art. 4 dyrektywy DSM 2019/790 ustanawiający wyjątek „text and data mining”, z którego dostawcy modeli AI korzystają w celu trenowania modeli na utworach chronionych prawem autorskim.

Kogo i czego dotyczy AI Act?

AI Act określa zarówno zakres przedmiotowy, czyli jakie technologie obejmuje regulacja, jak i zakres podmiotowy, czyli kto jest zobowiązany do przestrzegania jej przepisów. Rozporządzenie (UE) 2024/1689 zawiera aż 68 definicji ze względu na szeroki zakres pojęcia sztucznej inteligencji.

Jednym z kluczowych pojęć jest definicja systemu AI zawarta w art. 3 pkt 1 AI Act. Zgodnie z nią system AI to system maszynowy, posiadający pewien stopień autonomii oraz zdolność adaptacji, który na podstawie danych wejściowych generuje wyniki, takie jak predykcje, treści, zalecenia lub decyzje mogące wpływać na środowisko fizyczne lub wirtualne. Definicja ta ma fundamentalne znaczenie dla stosowania AI Act, dlatego Komisja Europejska opublikowała Wytyczne dotyczące jej interpretacji.

W akcie nie znajdzie się jednak definicji modelu AI. Na potrzeby zrozumienia narzędzi AI, model AI należy postrzegać jako komponent techniczny wytrenowany na danych, który może zostać wykorzystany w jednym lub wielu systemach AI. Zdefiniowane jest natomiast pojęcie modelu AI ogólnego przeznaczenia – są to modele zdolne do wykonywania szerokiego zakresu zadań i możliwe do zintegrowania z wieloma różnymi systemami lub aplikacjami.

Krąg podmiotów objętych przepisami został określony w zbiorczym pojęciu operatorów (art. 3 pkt 8 AI Act), do których zalicza się dostawców, podmioty stosujące, producentów produktu, upoważnionych przedstawicieli, importerów oraz dystrybutorów. Niektóre obowiązki AI Act dotyczą wszystkich operatorów, inne zaś są skierowane bezpośrednio do niektórych z wymienionych podmiotów.

Z perspektywy większości przedsiębiorców najważniejsze będą przepisy odnoszące się pośrednio lub bezpośrednio do podmiotów stosujących. Są to osoby fizyczne lub prawne, organy publiczne, agencje lub inne podmioty wykorzystujące system AI, nad którym sprawują kontrolę. W wypadku podmiotów odpowiedzialnych za udostępnianie systemów AI na rynku, AI Act wyodrębnia rolę pełnioną przez dostawcę (który rozwija lub zleca rozwój systemu AI i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym), importera (który wprowadza na rynek Unii system pochodzący z państwa trzeciego) i dystrybutora (który udostępnia taki system na rynku Unii).

Zakres podmiotowy AI Act jest więc bardzo szeroki i obejmuje większość podmiotów wykorzystujących lub udostępniających systemy AI. Równie szeroki jest zakres przedmiotowy AI Act, który obejmuje praktycznie wszystkie najnowsze systemy AI – od chatbotów obsługujących klientów, przez narzędzia analizujące dane biznesowe, aż po systemy generatywnej AI tworzące teksty, obrazy, materiały audio i wideo.

 

Zakres obowiązków – podział według stopnia zagrożenia

Największą nowością AI Act jest podział systemów sztucznej inteligencji według poziomu ryzyka. Od kategorii ryzyka zależeć będzie zakres obowiązków, jakie Rozporządzenie (UE) 2024/1689 nakłada na dostawców i podmioty stosujące systemy AI. AI Act wyróżnia cztery podstawowe kategorie: modele AI ogólnego przeznaczenia (Rozdział V), modele AI ogólnego przeznaczenia z ryzykiem systemowym (Rozdział V), systemy AI wysokiego ryzyka (Rozdział III) oraz zakazane praktyki w zakresie AI (Rozdział II).

Najmniej rygorystyczne obowiązki dotyczą modeli AI ogólnego przeznaczenia. Ich dostawcy są zobowiązani przede wszystkim do prowadzenia dokumentacji technicznej, zapewnienia zgodności z przepisami prawa autorskiego oraz współpracy z Komisją Europejską i właściwymi organami. W przypadku modeli stwarzających ryzyko systemowe katalog obowiązków rozszerzono o zarządzanie ryzykiem systemowym, zgłaszanie poważnych incydentów oraz zapewnienie odpowiedniego poziomu cyberbezpieczeństwa.

Systemom AI wysokiego ryzyka poświęcono odrębny rozdział AI Act. Systemy AI wysokiego ryzyka można podzielić na systemy zintegrowane z konkretnymi produktami wymienionymi w załączniku I AI Act (m.in. radio, niebezpieczne zabawki, dźwigi) oraz samodzielne systemy wskazane w Załączniku III AI Act, czyli używane m.in. w biometrii, infrastrukturze krytycznej, edukacji, zatrudnieniu, wymiarze sprawiedliwości.

Na systemy AI wysokiego ryzyka nałożono rozbudowane obowiązki dotyczące nadzoru człowieka nad systemem, monitorowania działania systemu, zgłaszania nieprawidłowości, przechowywania rejestrów oraz przeprowadzania oceny skutków systemu AI dla praw podstawowych.

Od lutego 2025 r. obowiązują najbardziej restrykcyjne przepisy dotyczące zakazanych praktyk w zakresie AI. Obejmują one m.in. systemy stosujące techniki podprogowe lub manipulacyjne, wykorzystujące psychologiczne słabości osób (np. ze względu na wiek, szczególną sytuację społeczną) oraz te analizujące cechy osobiste lub osobowości, prowadząc do niekorzystnego traktowania (tzw. social scoring). Naruszenie tych przepisów może prowadzić do nałożenia wyjątkowo wysokiej kary, bo aż 35 000 000 EUR lub 7% rocznego obrotu przedsiębiorstwa.

Jakie inne obowiązki nakłada AI Act?

Poza obowiązkami uzależnionymi od poziomu ryzyka AI Act przewiduje również szereg ogólnych wymogów. Z perspektywy większości podmiotów korzystających z AI szczególne znaczenie mają dwa z nich: obowiązek rozwijania kompetencji w zakresie AI wśród personelu (art. 4 AI Act) oraz obowiązki dotyczące przejrzystości, w tym oznaczania treści wygenerowanych przez AI (art. 50 AI Act)

Art. 4 AI Act formalnie obowiązuje od 2 lutego 2025 roku, jednak jego brzmienie i sens zostały zmienione przez poprawki przewidziane w Rozporządzeniu PE i Rady zmieniającym rozporządzenia (UE) 2024/1689 i (UE) 2018/1139 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji, znanym jako Digital Omnibus on AI. Znowelizowany przepis nakładać będzie na dostawców i podmioty stosujące obowiązek podjęcia środków mających na celu wspieranie rozwoju kompetencji w zakresie AI swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu. Obowiązek ten jest mniej restrykcyjny niż poprzedni, wymagający zapewnienia wspomnianych kompetencji wśród pracowników. Zakres tych środków powinien być przy tym dostosowany do doświadczenia, wykształcenia i wiedzy pracowników – w praktyce obowiązek ten może być realizowany m.in. poprzez szkolenia, ale również platformy e-learningowe lub programy edukacyjne.

Przechodząc do obowiązków dotyczących przejrzystości, największej uwagi wymagają przepisy dotyczące oznaczania treści wygenerowanych lub zmanipulowanych przez AI, w tym treści o charakterze „deepfake”. Mowa o wygenerowanych lub zmanipulowanych przez AI obrazach, treściach audio lub wideo, które przypominają istniejące osoby, miejsca, przedmioty lub zdarzenia w sposób autentyczny lub prawdziwy.

W projekcie Wytycznych Komisji Europejskiej w sprawie wdrożenia obowiązków w zakresie przejrzystości w odniesieniu do niektórych systemów AI na podstawie art. 50 Aktu w sprawie AI doprecyzowano dokładne znaczenie tej definicji. Komisja wskazuje, że dla uznania danej treści za deepfake nie ma znaczenia, czy rzeczywiście wprowadza ona odbiorców w błąd. W konsekwencji obowiązek oznaczenia może dotyczyć również materiałów, które wiernie odwzorowują rzeczywistość. Przykładowo realistyczny obraz puszki napoju wygenerowany przez AI stanowić będzie deepfake, nawet jeśli jest nieodróżnialny od rzeczywistego produktu. Dla podmiotów zobowiązanych do przestrzegania art. 50 AI Act znaczenie będzie mieć również Kodeks postępowania w zakresie przejrzystości treści generowanych przez sztuczną inteligencję. Określa on metody, jakie podmiot może stosować w celu zapewnienia zgodności z przepisami, w tym prawidłowy sposób oznaczania treści AI.

 

Które organy nadzorują wykonywanie AI Act?

AI Act tworzy mechanizmy kontroli zarówno na szczeblu unijnym, jak i krajowym. Art. 64 AI Act powołuje unijny Urząd ds. AI, który m.in. monitoruje skuteczne wdrażanie i wykonywanie obowiązków wynikających z AI Act, wspiera opracowywanie kodeksów praktyk oraz współpracuje z właściwymi organami krajowymi. Na poziomie krajowym, AI Act nakłada w art. 70 obowiązek wyznaczenia co najmniej jednego organu notyfikującego i co najmniej jednego organu nadzoru rynku w każdym państwie członkowskim.

W Polsce wdrożeniem art. 70 zajmuje się uchwalona przez Sejm i czekająca na podpis Prezydenta Ustawa o systemach sztucznej inteligencji. Według przepisów Ustawy, kompetencje organu notyfikującego przysługiwać będą Ministrowi właściwemu do spraw informatyzacji. Będzie on odpowiedzialny za opracowanie i stosowanie procedur koniecznych do oceny, wyznaczania i notyfikowania jednostek oceniających zgodność oraz za ich monitorowanie. Oceną zgodności będzie proces wykazania, czy spełniono wymogi ustanowione w rozdziale III sekcja 2 w odniesieniu do systemu AI wysokiego ryzyka

Organem nadzoru rynku w Polsce będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Sprawuje ona w szczególności nadzór nad systemami wysokiego ryzyka (art. 74 pkt 3 AI Act), wspiera i monitoruje rozwój w obszarze badań i stosowania AI, a także wydaje postanowienia i decyzje w sprawach dotyczących naruszenia AI Act. Ustawa doprecyzowuje, że Komisja ma też uprawnienia do nakładania kar administracyjnych na zasadach rozdziału XII AI Act.

 

Jakie kary przewiduje AI Act?

AI Act przewiduje bardzo wysokie administracyjne kary pieniężne za naruszenie jego przepisów. Ich wysokość zależy od rodzaju naruszenia i może zostać określona jako stała kwota lub procent całkowitego rocznego światowego obrotu przedsiębiorstwa.

Najwyższe sankcje, sięgające 35 mln euro lub 7% obrotu, grożą za stosowanie zakazanych praktyk w zakresie AI. Z kolei za naruszenie obowiązków związanych z wykorzystywaniem systemów AI wysokiego ryzyka lub oznaczania treści wygenerowanej przez AI podmioty mogą zostać nałożone kary do 15 mln lub 3% obrotu.

Z perspektywy przedsiębiorców szczególne znaczenie mają przepisy dotyczące systemów AI wykorzystywanych w zatrudnieniu. Do takich należą m.in. rozwiązania stosowane przy rekrutacji i selekcji kandydatów, a także systemy AI wspierające podejmowanie decyzji wpływających na warunki stosunku pracy, takich jak awanse, rozwiązanie umowy lub ocena wydajności pracowników.

Poza wskazanymi karami należy pamiętać, że Ustawa o systemach sztucznej inteligencji nadaje krajowemu organowi nadzoru rynku (KRiBSI) kompetencje do nakładania kar administracyjnych za nieprzestrzeganie również pozostałych przepisów AI Act. Dotyczy to m.in. naruszeń obowiązku podjęcia środków w celu zapewnienia odpowiedniego poziomu kompetencji w zakresie AI określonych w art. 4 AI Act.

Praktyka w państwach członkowskich

AI Act stanowi podstawę unijnych regulacji dotyczących AI, państwa członkowskie jednak coraz chętniej decydują się regulować niektóre kwestie prawne we własnym zakresie. Dobrym przykładem jest Dania, która pracuje nad wzmocnieniem ochrony przed deepfake’ami poprzez objęcie cyfrowego wykorzystania wizerunku i głosu ochroną zbliżoną do prawa autorskiego. Celem tych zmian jest zapewnienie osobom fizycznym skuteczniejszych narzędzi przeciwdziałania nieuprawnionemu wykorzystywaniu ich twarzy lub głosu.

We Włoszech przyjęto natomiast ramową Ustawę dotyczącą AI, która przewiduje m.in. odrębną penalizację nielegalnego rozpowszechniania deepfake’ów, zagrożoną karą pozbawienia wolności od roku do pięciu lat. Odmienny kierunek został obrany we Francji, gdzie w kwietniu 2026 r. Senat przyjął projekt Ustawy wprowadzający domniemanie wykorzystania chronionych utworów przez dostawców modeli i systemów AI, jeśli okoliczności czynią takie wykorzystanie prawdopodobnym. Choć projekt nie został jeszcze uchwalony, może on w przyszłości wpłynąć na spory dotyczące prawa autorskiego przez częściowe odwrócenie ciężaru dowodu.

Wkrótce do państw regulujących AI we własnym systemie prawnym dołączy również Polska. Czekająca na podpis Prezydenta Ustawa o systemach sztucznej inteligencji w pierwszej kolejności czyni zadość wymaganiom przewidzianym przez AI Act, ustanawiając organ notyfikujący (Minister właściwy ds. informatyzacji) i organ nadzoru rynku (KRiBSI). Najważniejsze zadania związane z wydawaniem decyzji i nakładaniem kar pieniężnych należą do tego drugiego organu. Interesującym rozwiązaniem przewidzianym w Ustawie jest również instytucja tzw. układu, umożliwiająca obniżenie kary w zamian za współpracę z KRiBSI i ujawnienie okoliczności naruszenia.

Podsumowanie

AI Act stanowi pierwszy kompleksowy system regulacji sztucznej inteligencji na świecie, jednak nie funkcjonuje w oderwaniu od pozostałych przepisów prawa. Jego stosowanie będzie wymagało uwzględniania nie tylko samego AI Act, lecz także orzecznictwa, wytycznych i kodeksów Komisji Europejskiej oraz krajowych regulacji przyjmowanych przez państwa członkowskie. Oznacza to, że przedsiębiorcy wykorzystujący systemy AI powinni monitorować nie tylko zmiany w AI Act, ale również rozwój praktyki organów nadzorczych i sądów, która w najbliższych latach będzie odgrywać kluczową rolę w interpretacji nowych obowiązków.

 

Najważniejsze akty prawne:

1. Akty i dokumenty na poziomie unijnym:

1) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 – AI Act, https://eur-lex.europa.eu/eli/reg/2024/1689/oj/eng

 

2) Rozporządzenie Parlamentu Europejskiego i Rady zmieniające rozporządzenia (UE) 2024/1689 i (UE) 2018/1139 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt zbiorczy prawa cyfrowego dotyczący AI) – Digital Omnibus on AI – https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:52025PC0836

 

3) Biała Księga Komisji Europejskiej z 2020 r. – „White Paper on Artificial Intelligence: A European approach to excellence and trust”, https://commission.europa.eu/system/files/2020-02/commission-white-paper-artificial-intelligence-feb2020_en.pdf

 

4) General-Purpose AI Code of Practice – Kodeks postępowania dla modeli AI ogólnego przeznaczenia, https://digital-strategy.ec.europa.eu/en/policies/contents-code-gpai

 

5) Wytyczne Komisji Europejskiej dotyczące definicji systemu AI, https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-ai-system-definition-facilitate-first-ai-acts-rules-application

 

6) Wytyczne Komisji Europejskiej dotyczące zakazanych praktyk AI, https://digital-strategy.ec.europa.eu/en/library/commission-publishes-guidelines-prohibited-artificial-intelligence-ai-practices-defined-ai-act

 

7) Wytyczne Komisji Europejskiej dla dostawców modeli AI ogólnego przeznaczenia, https://digital-strategy.ec.europa.eu/en/library/explanatory-notice-and-template-public-summary-training-content-general-purpose-ai-models

 

8) Kodeks postępowania Komisji Europejskiej w zakresie przejrzystości treści generowanych przez sztuczną inteligencję, https://digital-strategy.ec.europa.eu/en/policies/code-practice-ai-generated-content

9) Projekt Wytycznych Komisji Europejskiej w sprawie wdrożenia obowiązków w zakresie przejrzystości w odniesieniu do niektórych systemów sztucznej inteligencji na podstawie art. 50 aktu w sprawie sztucznej inteligencji, https://digital-strategy.ec.europa.eu/pl/library/draft-guidelines-implementation-transparency-obligations-certain-ai-systems-under-article-50-ai-act

 

1. Akty i inicjatywy krajowe państw członkowskich

10) Dania – plany projektu ochrony przed deepfake’ami poprzez prawo do głosu i wizerunku, https://kum.dk/aktuelt/nyheder/bred-aftale-om-deepfakes-giver-alle-ret-til-egen-krop-og-egen-stemme

 

11) Włochy – Ustawa nr 132/2025 dotycząca sztucznej inteligencji, https://www.gazzettaufficiale.it/atto/serie_generale/caricaDettaglioAtto/originario?atto.codiceRedazionale=25G00143&atto.dataPubblicazioneGazzetta=2025-09-25

 

12) Francja – projekt Ustawy o domniemaniu wykorzystania treści kultury przez dostawców AI, https://www.senat.fr/leg/ppl25-220.html

 

13) Polska – projekt Ustawy o systemach sztucznej inteligencji, https://legislacja.rcl.gov.pl/projekt/12390551