Akt w sprawie sztucznej inteligencji

Podejście oparte na analizie ryzyka

W akcie w sprawie sztucznej inteligencji określono cztery poziomy ryzyka dla systemów sztucznej inteligencji:

Niedopuszczalne ryzyko

Wszystkie systemy sztucznej inteligencji uważane za wyraźne zagrożenie dla bezpieczeństwa, źródeł utrzymania i praw ludzi są zakazane. Akt w sprawie sztucznej inteligencji zakazuje dziewięciu praktyk, a mianowicie:

1. szkodliwe manipulacje i oszustwa oparte na sztucznej inteligencji
2. szkodliwe wykorzystywanie słabych punktów w oparciu o sztuczną inteligencję
3. punktacja społeczna
4. Ocena lub przewidywanie ryzyka związanego z indywidualnym przestępstwem
5. nieukierunkowane skrobanie materiałów internetowych lub CCTV w celu utworzenia lub rozszerzenia baz danych rozpoznawania twarzy
6. rozpoznawanie emocji w miejscach pracy i instytucjach edukacyjnych
7. kategoryzacja biometryczna w celu wydedukowania niektórych chronionych cech
8. zdalna identyfikacja biometryczna w czasie rzeczywistym do celów egzekwowania prawa w przestrzeni publicznej
9. systemy sztucznej inteligencji, które generują treści o charakterze seksualnym i intymnym niewymagające zgody lub materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych (CSAM), takie jak aplikacje AI służące do „unieważniania” 

Zakazy 1–8 weszły w życie w lutym 2025 r. Komisja opublikowała dwa kluczowe dokumenty na poparcie praktycznego stosowania zakazanych praktyk:

• Wytyczne dotyczące zakazanych praktyk w zakresie sztucznej inteligencji na podstawie aktu w sprawie sztucznej inteligencji, które zawierają wyjaśnienia prawne i praktyczne przykłady, aby pomóc zainteresowanym stronom w zrozumieniu i przestrzeganiu zakazów.
• Wytyczne dotyczące definicji systemu sztucznej inteligencji w akcie w sprawie sztucznej inteligencji, aby pomóc zainteresowanym stronom w określeniu zakresu aktu w sprawie sztucznej inteligencji

Zakaz 9 wchodzi w życie w grudniu 2026 r. i został wprowadzony w ramach dyrektywy zbiorczej w sprawie sztucznej inteligencji.

Wysokie ryzyko

Przypadki użycia sztucznej inteligencji, które mogą stanowić poważne zagrożenie dla zdrowia, bezpieczeństwa lub praw podstawowych, klasyfikuje się jako przypadki wysokiego ryzyka. Te przypadki użycia wysokiego ryzyka obejmują:

• Elementy bezpieczeństwa sztucznej inteligencji w infrastrukturze krytycznej (np. w transporcie), których awaria mogłaby zagrozić życiu i zdrowiu obywateli
• rozwiązania w zakresie sztucznej inteligencji stosowane w placówkach oświatowych, które mogą decydować o dostępie do edukacji i przebiegu życia zawodowego (np. punktacja egzaminów)
• Elementy bezpieczeństwa produktów oparte na sztucznej inteligencji (np. zastosowanie sztucznej inteligencji w chirurgii wspomaganej przez roboty)
• Narzędzia sztucznej inteligencji na potrzeby zatrudnienia, zarządzania pracownikami i dostępu do samozatrudnienia (np. oprogramowanie do sortowania CV na potrzeby rekrutacji)
• Niektóre przypadki użycia sztucznej inteligencji wykorzystywane do zapewnienia dostępu do podstawowych usług prywatnych i publicznych (np. punktowa ocena kredytowa pozbawiająca obywateli możliwości uzyskania pożyczki)
• systemy sztucznej inteligencji wykorzystywane do zdalnej identyfikacji biometrycznej, rozpoznawania emocji i kategoryzacji biometrycznej (np. system sztucznej inteligencji do identyfikacji z mocą wsteczną osoby dokonującej kradzieży w sklepie);
• Przypadki użycia sztucznej inteligencji w egzekwowaniu prawa, które mogą kolidować z prawami podstawowymi ludzi (np. ocena wiarygodności dowodów)
• Przypadki wykorzystania sztucznej inteligencji w zarządzaniu migracją, azylem i kontrolą graniczną (np. automatyczne rozpatrywanie wniosków wizowych)
• Rozwiązania w zakresie sztucznej inteligencji wykorzystywane w wymiarze sprawiedliwości i procesach demokratycznych (np. rozwiązania w zakresie sztucznej inteligencji służące przygotowywaniu orzeczeń sądowych)

Od 2 grudnia 2027 r. systemy sztucznej inteligencji wysokiego ryzyka będą podlegać rygorystycznym obowiązkom, zanim będą mogły zostać wprowadzone do obrotu:

• odpowiednie systemy oceny i ograniczania ryzyka
• wysoka jakość zbiorów danych zasilających system w celu zminimalizowania ryzyka dyskryminacyjnych wyników
• rejestrowanie działalności w celu zapewnienia identyfikowalności wyników
• szczegółową dokumentację zawierającą wszystkie niezbędne informacje na temat systemu i jego celu, w jakim organy mogą ocenić jego zgodność z przepisami;
• jasne i odpowiednie informacje dla podmiotu wdrażającego
• odpowiednie środki nadzoru ze strony człowieka
• wysoki poziom solidności, cyberbezpieczeństwa i dokładności

Ryzyko związane z przejrzystością

Odnosi się to do ryzyka związanego z potrzebą przejrzystości w zakresie stosowania sztucznej inteligencji. Akt w sprawie sztucznej inteligencji wprowadza szczegółowe obowiązki w zakresie ujawniania informacji w celu zapewnienia, aby ludzie byli informowani, gdy jest to konieczne do zachowania zaufania. Na przykład podczas korzystania z systemów sztucznej inteligencji, takich jak chatboty, należy uświadomić ludziom, że wchodzą w interakcję z maszyną, aby mogli podjąć świadomą decyzję.

Ponadto dostawcy generatywnej sztucznej inteligencji muszą zapewnić identyfikowalność treści generowanych przez sztuczną inteligencję. Ponadto niektóre treści generowane przez sztuczną inteligencję powinny być wyraźnie i widocznie oznakowane, a mianowicie treści typu deepfake i teksty publikowane w celu informowania opinii publicznej o sprawach leżących w interesie publicznym.

Przepisy dotyczące przejrzystości zawarte w akcie w sprawie sztucznej inteligencji wejdą w życie w sierpniu 2026 r.

Minimalne ryzyko lub brak ryzyka

Akt w sprawie sztucznej inteligencji nie wprowadza przepisów dotyczących sztucznej inteligencji, którą uznaje się za obarczoną minimalnym ryzykiem lub nieobciążoną żadnym ryzykiem. Zdecydowana większość systemów sztucznej inteligencji obecnie wykorzystywanych w UE należy do tej kategorii. Obejmuje to aplikacje takie jak gry wideo wykorzystujące sztuczną inteligencję lub filtry spamu.

Jak to wszystko działa w praktyce w przypadku dostawców systemów sztucznej inteligencji wysokiego ryzyka?

Po wprowadzeniu systemu sztucznej inteligencji do obrotu organy są odpowiedzialne za nadzór rynku, podmioty wdrażające zapewniają nadzór i monitorowanie przez człowieka, a dostawcy dysponują systemem monitorowania po wprowadzeniu do obrotu. Dostawcy i podmioty wdrażające będą również zgłaszać poważne incydenty i nieprawidłowe działanie.

Jakie są zasady dotyczące modeli AI ogólnego przeznaczenia?

Modele sztucznej inteligencji ogólnego przeznaczenia (GPAI) mogą wykonywać szeroki zakres zadań i stają się podstawą wielu systemów sztucznej inteligencji w UE. Niektóre z tych modeli mogą wiązać się z ryzykiem systemowym, jeśli są bardzo zdolne lub szeroko stosowane. Aby zapewnić bezpieczną i wiarygodną sztuczną inteligencję, w akcie w sprawie sztucznej inteligencji wprowadzono przepisy – np. dotyczące przejrzystości i praw autorskich – dla dostawców modeli sztucznej inteligencji ogólnego przeznaczenia. W przypadku modeli sztucznej inteligencji ogólnego przeznaczenia, które mogą stwarzać ryzyko systemowe, dostawcy powinni oceniać i ograniczać to ryzyko. Przepisy aktu w sprawie sztucznej inteligencji dotyczące sztucznej inteligencji ogólnego przeznaczenia weszły w życie w sierpniu 2025 r.

Wspieranie zgodności

W lipcu 2025 r. Komisja opublikowała trzy instrumenty wspierające odpowiedzialne opracowywanie i wdrażanie modeli sztucznej inteligencji ogólnej:

• W wytycznych w sprawie zakresu obowiązków dostawców modeli sztucznej inteligencji ogólnego przeznaczenia wyjaśniono zakres obowiązków w zakresie sztucznej inteligencji ogólnego przeznaczenia wynikających z aktu w sprawie sztucznej inteligencji, pomagając podmiotom w całym łańcuchu wartości sztucznej inteligencji zrozumieć, kto musi wywiązywać się z tych obowiązków.
• Kodeks postępowania w zakresie sztucznej inteligencji ogólnego przeznaczenia jest dobrowolnym narzędziem zapewniania zgodności przedłożonym Komisji przez niezależnych ekspertów, które oferuje praktyczne wskazówki, aby pomóc dostawcom w wypełnianiu ich obowiązków wynikających z aktu w sprawie sztucznej inteligencji w odniesieniu do przejrzystości, praw autorskich i bezpieczeństwa & security.
• W szablonie publicznego podsumowania treści szkoleniowych modeli GPAI wymaga się od dostawców przedstawienia przeglądu danych wykorzystywanych do szkolenia ich modeli. Obejmuje to źródła, z których pozyskano dane (obejmujące duże zbiory danych i najważniejsze nazwy domen).W szablonie zwrócono się również o informacje na temat aspektów przetwarzania danych, aby umożliwić stronom mającym uzasadniony interes korzystanie z praw przysługujących im na mocy prawa UE.

Narzędzia te są przeznaczone do pracy ręka w rękę. Wspólnie zapewniają one jasne i wykonalne ramy dla dostawców modeli sztucznej inteligencji ogólnego przeznaczenia w celu zapewnienia zgodności z aktem w sprawie sztucznej inteligencji, zmniejszenia obciążeń administracyjnych i wspierania innowacji przy jednoczesnej ochronie praw podstawowych i zaufania publicznego.

Komisja opracowała również inne wytyczne w celu wsparcia zgodności z zasadami przejrzystości określonymi w akcie w sprawie sztucznej inteligencji:

• Kodeks postępowania w zakresie znakowania i etykietowania treści generowanych przez sztuczną inteligencję jest dobrowolnym narzędziem pomagającym dostawcom i podmiotom wdrażającym generatywne systemy sztucznej inteligencji w wypełnianiu obowiązków w zakresie przejrzystości. Obejmują one zestaw ikon, które twórcy, wydawcy i inni użytkownicy generatywnych systemów sztucznej inteligencji mogą wykorzystywać do ujawniania sztucznego charakteru niektórych obrazów, dźwięku – w tym deepfake’ów – i tekstu.
• W wytycznych w sprawie obowiązków dostawców i podmiotów stosujących niektóre systemy sztucznej inteligencji w zakresie przejrzystości wyjaśniono zakres stosowania, odpowiednie definicje prawne, obowiązki w zakresie przejrzystości i wyjątki.

Więcej informacji na temat innych wytycznych wspierających wdrażanie aktu w sprawie sztucznej inteligencji.

Zarządzanie i egzekwowanie

Od 2 sierpnia 2026 r. Urząd ds. Sztucznej Inteligencji i organy państw członkowskich są odpowiedzialne za wdrażanie, nadzorowanie i egzekwowanie aktu w sprawie sztucznej inteligencji. Urząd ds. Sztucznej Inteligencji posiada uprawnienia wykonawcze w odniesieniu do modeli GPAI. Może zażądać dokumentacji technicznej, ocenić modele, zażądać środków naprawczych i nałożyć grzywny za niezgodność.

Wspierając egzekwowanie przepisów, Rada ds. Sztucznej Inteligencji, panel naukowy i forum doradcze kierują zarządzaniem aktem w sprawie sztucznej inteligencji i doradzają w tym zakresie.

W planie działania na rzecz cyberbezpieczeństwa i sztucznej inteligencji z lipca 2026 r. określono skoordynowane podejście, które ma pomóc państwom członkowskim, przedsiębiorstwom i organom publicznym w sprostaniu wyzwaniom w zakresie cyberbezpieczeństwa i odporności związanym z najbardziej zaawansowanymi modelami sztucznej inteligencji. Komisja ogłosi zaproszenie do składania wniosków w celu zwiększenia zdolności UE w zakresie oceny modeli sztucznej inteligencji przed ich wprowadzeniem na rynek UE. Oczekuje się, że stanie się on operacyjny do 2027 r., co wzmocni ocenę zdolności i zagrożeń związanych ze sztuczną inteligencją przez stronę trzecią oraz przyczyni się do realizacji funkcji regulacyjnej Urzędu ds. Sztucznej Inteligencji.

Komisja i Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) opracują również plan zapewnienia dostępu do zaawansowanych systemów sztucznej inteligencji do celów cyberbezpieczeństwa oraz ustanowią bezpieczną platformę testową, aby pomóc organizacjom w sektorach krytycznych – takich jak energetyka, transport, zdrowie, finanse i administracja publiczna – w bezpiecznym testowaniu i wdrażaniu rozwiązań w zakresie sztucznej inteligencji.

Harmonogram składania wniosków

Akt w sprawie sztucznej inteligencji wszedł w życie 1 sierpnia 2024 r. i zaczął obowiązywać 2 sierpnia 2026 r., z pewnymi wyjątkami:

• zakazanych praktyk związanych ze sztuczną inteligencją i obowiązków w zakresie umiejętności korzystania ze sztucznej inteligencji, które weszły w życie 2 lutego 2025 r.
• zasady zarządzania i obowiązki dotyczące modeli GPAI zaczęły obowiązywać 2 sierpnia 2025 r.
• w przepisach dotyczących systemów sztucznej inteligencji wysokiego ryzyka wbudowanych w produkty regulowane (załącznik I) przedłużono okres przejściowy do dnia 2 sierpnia 2028 r., a przepisy dotyczące przypadków użycia wysokiego ryzyka w niektórych wrażliwych obszarach (załącznik III) przedłużono do dnia 2 grudnia 2027 r. w wyniku porozumienia politycznego w sprawie wniosku dotyczącego uproszczenia aktu w sprawie sztucznej inteligencji – „zbiorczego aktu w sprawie sztucznej inteligencji”.

W jaki sposób Komisja uprościła wdrażanie aktu w sprawie sztucznej inteligencji?

W pakiecie cyfrowym dotyczącym uproszczenia zaproponowano zmiany mające na celu uproszczenie wdrażania aktu w sprawie sztucznej inteligencji i zapewnienie, aby przepisy pozostały jasne, proste i przyjazne dla innowacji. Ten wniosek ustawodawczy (nazywany „zbiorczym aktem w sprawie sztucznej inteligencji”) został przyjęty 19 listopada 2025 r., porozumienie polityczne osiągnięto 7 maja 2026 r. i weszło ono w życie 27 lipca 2026 r. Ostateczny tekst rozporządzenia zbiorczego w sprawie sztucznej inteligencji.

W związku z tym określono jasny harmonogram wdrażania przepisów regulujących systemy sztucznej inteligencji wysokiego ryzyka:

• Przepisy dotyczące systemów stosowanych na niektórych obszarach wysokiego ryzyka – w tym danych biometrycznych, infrastruktury krytycznej, edukacji, zatrudnienia, migracji, azylu i kontroli granicznej – będą miały zastosowanie od dnia 2 grudnia 2027 r.
• W przypadku systemów zintegrowanych z produktami takimi jak dźwigi lub zabawki przepisy będą miały zastosowanie od dnia 2 sierpnia 2028 r.

Dzięki temu przepisy mają zastosowanie, gdy przedsiębiorstwa dysponują odpowiednimi narzędziami wsparcia ułatwiającymi wdrażanie, takimi jak normy.

Zmiany te dodano również do aktu w sprawie sztucznej inteligencji:

• Zakaz stosowania systemów sztucznej inteligencji, które generują treści o charakterze seksualnym i intymnym bez zgody lub materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych, takie jak aplikacje do „unieważniania” przez sztuczną inteligencję
• Wzmocnienie uprawnień Urzędu ds. Sztucznej Inteligencji i scentralizowanie nadzoru nad systemami sztucznej inteligencji opartymi na modelach sztucznej inteligencji ogólnego przeznaczenia, co zmniejszy fragmentację zarządzania
• Niektóre uproszczone wymogi przyznawane małym i średnim przedsiębiorstwom zostają rozszerzone na małe spółki o średniej kapitalizacji (MŚP i małe i średnie przedsiębiorstwa), w tym uproszczone wymogi dotyczące dokumentacji technicznej.
• Więcej innowatorów uzyska dostęp do piaskownic regulacyjnych, w tym piaskownicy na szczeblu UE, w celu przetestowania swoich rozwiązań w zakresie sztucznej inteligencji w warunkach rzeczywistych.
• Wyjaśniono wzajemne zależności między aktem w sprawie sztucznej inteligencji a unijnymi przepisami dotyczącymi bezpieczeństwa produktów, w szczególności rozporządzeniem w sprawie maszyn, unikając powielania przepisów sektorowych i przepisów dotyczących sztucznej inteligencji.

Wszystko to uzupełnia już istniejące działania Urzędu ds. Sztucznej Inteligencji mające na celu zapewnienie jasności przedsiębiorstwom i organom krajowym. Na przykład za pośrednictwem wytycznych, kodeksów postępowania i punktu obsługi ds. aktu w sprawie AI.