Część przepisów AI Act obowiązuje już od ponad roku. Jeśli Twój SaaS wykorzystuje sztuczną inteligencję i jeszcze tego nie zaopiekowałeś prawnie, istnieje całkiem spora szansa, że już teraz nie spełniasz wymogów. Przeprowadzimy Cię przez cały proces: od quick-checku zakazanych praktyk, przez klasyfikację ryzyka, aż po konkretne kroki wdrożeniowe. Pokażemy też, jak nowe ramy prawne AI Act łączą się z DORA i NIS2, bo jeśli działasz w fintech lub insurtech, czeka Cię więcej niż jedna regulacja.
Podsumowanie na start
- AI Act obowiązuje bezpośrednio w całej UE. Nie musisz czekać na polską ustawę, żeby podlegać przepisom dotyczącym sztucznej inteligencji.
- Pierwsze przepisy już działają – od 2 lutego 2025 r. obowiązuje zakaz ośmiu praktyk w zakresie sztucznej inteligencji oraz wymóg AI literacy dla pracowników.
- Od 2 sierpnia 2025 r. działają kary, organy nadzorcze i przepisy dotyczące dużych modeli ogólnego przeznaczenia (GPAI).
- Od 2 sierpnia 2026 r. obowiązuje wymóg transparentnej komunikacji z użytkownikami w zakresie wykorzystania AI.
- Od 2 grudnia 2027 r. pełne wymagania dotyczące zgodności będą dotyczyć operatorów systemów AI wysokiego ryzyka – dokumentacja techniczna, zarządzanie ryzykiem, nadzór ludzki.
- Klasyfikacja ryzyka decyduje o Twoich obowiązkach – od minimalnego ryzyka po zakazane systemy AI.
- Kary przewyższają RODO – do 35 mln EUR lub 7% globalnego obrotu. Komisja Europejska może nakazać wycofanie systemu z rynku. Software house’y też odpowiadają za zgodność.
- AI Act to nie jedyna regulacja – DORA i NIS2 nakładają dodatkowe obowiązki na dostawców usług w sektorze finansowym.
- Piaskownice regulacyjne i opinie indywidualne – nowe przepisy w Polsce przewidują narzędzia wsparcia dla firm odpowiedzialnie wdrażających AI.
Czym jest AI Act i dlaczego dotyczy Twojego SaaS-a?
Unijne rozporządzenie o sztucznej inteligencji, potocznie nazywane AI Act lub Artificial Intelligence Act, to pierwsza na świecie kompleksowa regulacja prawna systemów sztucznej inteligencji. Dotyczy każdego dostawcy oprogramowania, który wykorzystuje algorytmy uczenia maszynowego, modele językowe czy systemy rekomendacji.
Dostawcy systemów wysokiego ryzyka będą zobowiązani do prowadzenia szczegółowej dokumentacji technicznej, zapewniającej audytowalność i wyjaśnialność działania algorytmów.
Jeśli Twój SaaS zawiera chatbota, narzędzia AI do obsługi klienta, generatory treści, moduły scoringowe – podlegasz przepisom dotyczącym sztucznej inteligencji.
Regulacja opiera się na podejściu opartym na ryzyku. Twoje obowiązki zależą od tego, jakie ryzyka związane z produktem może wyrządzić obywatelom i społeczeństwu. Im wyższe ryzyko, tym surowsze wymogi dla przedsiębiorstwa stosującego AI.
Jakie są terminy wejścia w życie AI Actu?
Czy Twój SaaS robi coś z listy zakazanej? Quick-check
| Zakazana praktyka | Pytanie kontrolne |
|---|---|
| Manipulacja podprogowa | Czy system wpływa na decyzje użytkowników technikami poniżej progu świadomości? |
| Wykorzystywanie podatności | Czy targetujesz osoby ze względu na wiek, niepełnosprawność lub sytuację ekonomiczną? |
| Scoring społeczny | Czy oceniasz osoby na podstawie zachowań społecznych i przyznajesz „punkty”? |
| Predykcja przestępczości | Czy przewidujesz ryzyko przestępstwa na podstawie profilowania? |
| Tworzenie baz danych służących rozpoznawaniu twarzy | Czy pozyskujesz wizerunki twarzy z internetu bez zgody? |
| Rozpoznawanie emocji w miejscu pracy lub środowisku edukacyjnym | Czy analizujesz emocje pracowników lub uczniów w miejscu pracy i edukacji? |
| Kategoryzacja biometryczna | Czy klasyfikujesz osoby według cech wrażliwych (rasa, orientacja)? |
| Identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej | Czy identyfikujesz osoby biometrycznie w przestrzeni publicznej przy kontroli granicznej? |
Systemy uznane za jasne zagrożenie dla ludzi, takie jak scoring społeczny, są całkowicie zakazane.
Kary za stosowanie zakazanych systemów sztucznej inteligencji: do 35 mln EUR lub 7% obrotu. To najsurowsze sankcje w europejskim prawie technologicznym. Dla porównania – na gruncie RODO maksimum to 20 mln EUR lub 4%.
Kary za zakazane praktyki są egzekwowalne już od lutego 2025 roku, a pełne kary za systemy wysokiego ryzyka zaczną obowiązywać od 2 grudnia 2027 roku.
Jak działa klasyfikacja ryzyka systemów sztucznej inteligencji?
| Poziom | Przykłady w SaaS | Obowiązki |
|---|---|---|
| Zakazane | Scoring społeczny, rozpoznawanie emocji pracowników | Natychmiastowe zaprzestanie |
| Systemy wysokiego ryzyka | Rekrutacja AI, scoring kredytowy, zarządzanie pracownikami, analityka w infrastrukturze krytycznej | Pełna dokumentacja, zarządzanie ryzykiem, nadzór ludzki, rejestracja w unijnej bazie danych |
| Ograniczone ryzyko | Chatboty, generatory treści, systemy rekomendacji | Informowanie użytkowników o interakcji z AI |
| Minimalne ryzyko | Filtry spamu, autouzupełnianie, analizy wewnętrzne | Brak dodatkowych wymogów (AI literacy nadal obowiązuje) |
Pułapka: Klasyfikacja nie jest stała. Zmiana przeznaczenia systemu sztucznej inteligencji – np. z analizy wewnętrznych danych na ocenę zdolności kredytowej – automatycznie zmienia Twoje obowiązki. W praktyce oznacza to, że każda istotna modyfikacja systemu AI po grudniu 2027 r. wymaga ponownej oceny ryzyka i dostosowania do wymogów AI Act.
Jakie obowiązki mają dostawcy systemów AI wysokiego ryzyka?
- System zarządzania ryzykiem – ciągła identyfikacja, analiza i mitygacja ryzyka związanego z systemem AI w praktyce. Obowiązek identyfikacji zagrożeń obejmuje cały cykl życia produktu.
- Dokumentacja techniczna – cel systemu, dane treningowe, metodologia walidacji. To ją urzędnicy będą chcieli zobaczyć w razie kontroli.
- Logowanie zdarzeń – automatyczna rejestracja umożliwiająca odtworzenie procesu decyzyjnego sztucznej inteligencji.
- Nadzór ludzki – człowiek może w każdym momencie nadpisać lub wyłączyć decyzje systemu. Wysoki poziom automatyzacji bez „hamulca ręcznego” nie przejdzie.
- Przejrzystość – zapewnienia dotyczące jasnej informacji o interakcji z AI i przetwarzanych danych użytkowników.
- Rejestracja w unijnej bazie dostawców – przed wprowadzeniem systemu na rynek.
- Zgłaszanie poważnych incydentów – jeśli system spowoduje szkodę dla praw podstawowych obywateli. Wymóg zapewnienia szybkiego raportowania do organu nadzoru.
Co musisz zmienić? Przewodnik wdrożeniowy
Wdrażanie AI Act w firmie to w praktyce proces na 12–18 miesięcy. Oto ścieżka dostosowania systemów sztucznej inteligencji do nowych zasad:
- Inwentaryzacja systemów AI – zmapuj wszystkie narzędzia AI: chatboty, moduły analityczne, narzędzia do obsługi klienta, generatory treści, mechanizmy scoringowe. Sprawdź też narzędzia sztucznej inteligencji u dostawców i podwykonawców.
- Klasyfikacja ryzyka – sprawdź Załącznik III rozporządzenia o sztucznej inteligencji: rekrutacja, edukacja, infrastruktura krytyczna, identyfikacja biometryczna.
- Quick-check zakazanych praktyk – przejdź tabelę z art. 5 AI Act (patrz wyżej).
- Dokumentacja i zarządzanie – dokumentacja techniczna, odpowiednie środki nadzoru, procedury bezpieczeństwa sztucznej inteligencji, zgłaszanie poważnych incydentów.
- AI literacy i szkolenia – wewnętrzne zasady korzystania z AI, szkolenia budujące świadomość i kompetencje w zakresie sztucznej inteligencji wśród pracowników.
- Aktualizacja dokumentów prawnych – regulamin, polityka prywatności, kodeksy postępowania, umowy z klientami.
- Audyt zgodności – gap analysis (analiza luk) porównujący stan obecny z wymogami AI Act.
Potrzebujesz wsparcia w procesie wdrażania? Nasz zespół przeprowadzi audyt zgodności Twojego SaaS-a i przygotuje dokumentację – zacznij od skorzystania z OpenFounders.
Pro tip: Firmy, które wdrożą wymogi wcześniej, zyskają przewagę konkurencyjną. Certyfikowany system AI to argument sprzedażowy w rozmowach z korporacjami wymagającymi przejrzystości i zgodności od dostawców.
Nie tylko AI Act – jak DORA i NIS2 wpływają na Twój SaaS?
- AI Act a DORA. DORA wymaga zarządzania ryzykiem ICT, testowania odporności i raportowania incydentów. Ten sam system sztucznej inteligencji podlega jednocześnie wymogom AI Act i wymogom DORA – pułapka podwójnej regulacji.
- AI Act a NIS2. Systemy AI w infrastrukturze krytycznej (energetyka, transport, ochrona zdrowia) podlegają przepisom dotyczącym obu regulacji. Wymogi bezpieczeństwa nakładają się.
- Wątek praw autorskich. Dostawcy modeli sztucznej inteligencji ogólnego przeznaczenia muszą dokumentować politykę w zakresie praw autorskich – sposób pozyskania danych treningowych. Odpowiedzialność może kaskadować w łańcuchu dostaw.
Jak wygląda regulacja prawna AI Act w Polsce?
Rada Ministrów przyjęła projekt ustawy wdrażającej AI Act 31 marca 2026 r. Ustawa uzupełnia rozporządzenie o sztucznej inteligencji o krajowe mechanizmy nadzoru.
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – krajowy organ nadzoru. Może nakładać kary, nakazywać wycofanie systemu z rynku i wszczynać postępowania administracyjne.
Opinie indywidualne – możliwość uzyskania wiążącej interpretacji, jak stosować wymogi AI Act w praktyce. Mechanizm działa podobnie do interpretacji w prawie podatkowym.
Piaskownice regulacyjne – kontrolowane środowiska testowe pod nadzorem regulatora. Firmy mogą testować rozwiązania sztucznej inteligencji z częściowymi odstępstwami od wymogów. Instrument skierowany szczególnie do startupów i software house’ów rozwijających nowe systemy AI.
FAQ
Czy AI Act obowiązuje w Polsce?
Tak. AI Act to rozporządzenie UE – obowiązuje bezpośrednio we wszystkich państwach członkowskich od momentu wejścia w życie 1 sierpnia 2024 r. Nie wymaga krajowej transpozycji.
Na jakim podejściu opiera się klasyfikacja systemów sztucznej inteligencji w AI Act?
Na tzw. risk-based approach. Klasyfikacja ryzyka uzależnia obowiązki od poziomu zagrożenia dla praw podstawowych i bezpieczeństwa obywateli. Cztery poziomy: nieakceptowalne ryzyko (zakazane systemy AI), wysokiego ryzyka, ograniczone ryzyko, minimalne ryzyko.
Które zastosowania sztucznej inteligencji są zakazane przez AI Act?
Art. 5 Rozporządzenia wymienia osiem zakazanych systemów AI: manipulacja podprogowa, wykorzystywanie podatności, scoring społeczny, predykcja przestępczości, scraping biometryczny, rozpoznawanie emocji w miejscu pracy, kategoryzacja biometryczna, identyfikacja biometryczna w czasie rzeczywistym.
Czy korzystanie z narzędzi AI jak ChatGPT w firmie wymaga jakichś konkretnych działań prawnych?
Jeśli pracownicy używają narzędzi AI jako pomocy w pracy – obowiązuje zasada AI literacy. Jeśli integrujesz API modelu w systemie podejmującym decyzje o ludziach (rekrutacja, scoring) – stajesz się podmiotem stosującym systemy AI wysokiego ryzyka z pełnym zestawem obowiązków.
Czy software house budujący SaaS z AI jest dostawcą w rozumieniu AI Act?
W praktyce w wielu przypadkach tak. Software house’y odpowiadają za techniczne wdrożenie wymogów zgodności systemów sztucznej inteligencji – nawet jeśli klient formalnie jest dostawcą usługi. Przepisy dotyczące odpowiedzialności kaskadują w łańcuchu dostaw.
Jakie są zasady odpowiedzialnego stosowania AI według AI Actu?
Odpowiedzialne stosowanie AI w rozumieniu prawa unijnego opiera się na zapewnieniu bezpieczeństwa, przejrzystości, niedyskryminacji i nadzoru ludzkiego. W praktyce oznacza to wdrożenie systemów zarządzania ryzykiem, dokumentacji technicznej i mechanizmów umożliwiających użytkownikom zrozumienie, jak działa system sztucznej inteligencji.
Następne kroki – co zrobić w pierwszej kolejności?
Przepisy dotyczące sztucznej inteligencji nie będą czekać na Twoją gotowość. Oto trzy rzeczy, które możesz zrobić od razu:
- Zrób inwentaryzację – spisz wszystkie systemy AI w firmie. W praktyce zajmuje to 2–3 dni robocze.
- Przeprowadź quick-check – przejdź tabelę zakazanych praktyk z tego artykułu. Jeśli odpowiedziałeś „TAK” na którekolwiek pytanie – potrzebujesz analizy prawnej natychmiast.
- Zaplanuj budżet i czas – wdrażanie wymogów AI Act to 12–18 miesięcy pracy. Uwzględnij szkolenia z zakresu AI literacy, dokumentację techniczną i audyt zgodności systemów sztucznej inteligencji.
Zdjęcie dodane przez Kindel Media.
