Wprowadzenie – zmiany wynikające z AI Act i Digital Omnibus w AI

Przyjęcie tzw. Digital Omnibus on AI zmieniającego rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 w sprawie sztucznej inteligencji („AI Act”) spowodowało przesunięcie terminów stosowania kluczowych obowiązków w obszarze sztucznej inteligencji. Z perspektywy biznesu oznacza to stopniowe wdrażanie nowych wymogów – w szczególności przepisów dotyczących systemów sklasyfikowanych jako systemy wysokiego ryzyka. W artykule pokazujemy, jak AI Act (zmieniony przez Digital Omnibus on AI) zmienia otoczenie prawne dla podmiotów rozwijających i stosujących sztuczną inteligencję – od zakazu prowadzenia najbardziej ryzykownych praktyk, przez nowe wymogi dotyczące przejrzystości, aż po rozbudowany reżim prawny dotyczący wymogów dla systemów wysokiego ryzyka.

Harmonogram stosowania AI Act – najważniejsze daty dla biznesu

Poniżej wybrano najważniejsze informacje dotyczące terminów stosowania poszczególnych przepisów AI Act:

• Od 2 lutego 2025 r. zaczęły mieć zastosowanie przepisy ogólne AI Act, w tym dotyczące zakazanych praktyk w zakresie sztucznej inteligencji. Obejmują one m.in. zakaz tzw. social scoringu oraz wykorzystywania systemów AI do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy, z wyjątkiem szczególnych sytuacji związanych np. z medycyną czy bezpieczeństwem.
• Od 2 sierpnia 2025 r. zaczęły obowiązywać m.in. obowiązki dla dostawców modeli AI ogólnego przeznaczenia – chodzi o modele będące w stanie kompletnie wykonywać szeroki zakres różnych zadań i które można zintegrować z różnymi systemami lub aplikacjami niższego szczebla. Dostawcy takich systemów są zobowiązani między innymi do opracowania dokumentacji technicznej modelu, w tym procesu jego trenowania i testowania, wprowadzenia polityki dotyczącej praw autorskich i praw pokrewnych, czy sporządzenia i podania do wiadomości publicznej szczegółowego streszczenia na temat treści wykorzystanych do trenowania danego modelu AI ogólnego przeznaczenia.
  Od tej daty stosuje się również przepisy dotyczące organów notyfikujących i jednostek notyfikowanych, które mają na celu przygotowanie systemu zarządzania i oceny zgodności.
• Od 2 sierpnia 2026 r. stosuje się większość przepisów AI Act, w tym przepisy dotyczące przejrzystości, a także przepisy upoważniające Komisję do nakładania kar na dostawców modeli AI ogólnego przeznaczenia.
• Od 2 sierpnia 2027 r. państwa członkowskie będą musiały zapewnić co najmniej jedną piaskownicę regulacyjną na poziomie krajowym.
• Od 2 grudnia 2027 r. zacznie się stosować większość obowiązków związanych z systemami wysokiego ryzyka, w szczególności systemami wykorzystującymi biometrię, stosowanymi w infrastrukturze krytycznej, kształceniu, zatrudnieniu oraz przy świadczeniu podstawowych usług.
• Od 2 sierpnia 2028 r. zaczną być stosowane przepisy dotyczące systemów wysokiego ryzyka objętych unijnym prawodawstwem harmonizacyjnym (np. maszyny, zabawki, wyroby medyczne).

Obowiązki przejrzystości – oznaczanie treści generowanych przez AI

Istotnym elementem AI Act są obowiązki przejrzystości dotyczące treści tworzonych lub modyfikowanych z wykorzystaniem systemów AI.

Jeżeli system AI służy do generowania lub manipulowania obrazem, dźwiękiem albo wideo w sposób przypominający rzeczywiste osoby lub zdarzenia (deepfake), istnieje obowiązek wyraźnego ujawnienia, że treść jest sztucznie wygenerowana lub zmanipulowana. Wyjątek dotyczy sytuacji, gdy deepfake stanowi część utworu o wyraźnie artystycznym, twórczym, satyrycznym, fikcyjnym lub podobnym charakterze – wówczas obowiązek przejrzystości ogranicza się do prostego ujawnienia, że w utworze występują wygenerowane lub zmanipulowane treści, w sposób nienaruszający komfortu odbioru.

Jeżeli system AI jest wykorzystywany do generowania tekstu publikowanego w celu informowania o sprawach leżących w interesie publicznym (lub jego modyfikacji), również istnieje obowiązek ujawnienia, że tekst został sztucznie wygenerowany lub zmanipulowany. Zasadę tę łagodzą wyjątki, w szczególności gdy treść została zweryfikowana przez człowieka lub poddana kontroli redakcyjnej, a także gdy za publikację treści odpowiada osoba fizyczna lub prawna. Obowiązku stosowania oznaczeń nie stosuje się więc przy standardowej korekcie, poprawie jakości czy innych działaniach edycyjnych, które nie prowadzą do powstania nowych, wygenerowanych treści.

Informacje o tym, że treści są wygenerowane lub zmanipulowane przez AI, muszą być przekazywane:

• jasno i wyraźnie – bez „drobnego druku”, ukrywania w regulaminach czy przypisach;
• najpóźniej przy pierwszej interakcji lub pierwszym użyciu, tak aby użytkownik od razu dowiadywał się o charakterze treści;
• w sposób spełniający wymogi dostępności, czyli zrozumiały i dostępny także dla osób z niepełnosprawnościami (np. odpowiednie kontrasty, możliwość odczytu przez czytniki ekranu, brak barier językowych).

Przykłady:

• Aplikacja pozwala „podmienić twarz” użytkownika na twarz innej osoby (np. celebryty) w filmiku – użytkownik musi być wprost poinformowany, że efekt jest wynikiem działania AI.
• Serial komediowy korzysta z AI, by „odmłodzić” aktora w kilku scenach – wystarczy informacja w czołówce lub opisie: „W serialu wykorzystano techniki generatywnej sztucznej inteligencji”.
• Pracownik firmy „obrabia” zdjęcia z wydarzenia firmowego, przycinając je w programie wykorzystującym sztuczną inteligencję, bez dalszej ingerencji w treść zdjęć – w takim przypadku nie ma konieczności stosowania oznaczeń.

Przejściowy reżim dla systemów generujących treści

Od 2 grudnia 2026 r. upływa okres przejściowy dotyczący części obowiązków przejrzystości wobec dostawców systemów AI generujących treści w postaci syntetycznych dźwięków, obrazów, wideo lub tekstu. Dostawcy ci powinni zapewnić, aby wyniki systemu AI były oznaczane w formacie nadającym się do odczytu maszynowego i możliwe do wykrycia jako sztucznie wygenerowane lub zmanipulowane. Okres przejściowy dotyczy systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r.

Nowe wytyczne i stanowiska organów oraz polska ustawa o AI

Równolegle do wejścia w życie AI Act i powiązanych rozporządzeń przyjmowane są nowe regulacje, wytyczne i stanowiska ułatwiające praktyczne stosowanie tych przepisów, w szczególności:

• 19 maja 2026 r. opublikowano projekt wytycznych Komisji dotyczących klasyfikacji systemów wysokiego ryzyka (dostępny tutaj).
• 20 lipca 2026 r. ukazały się wytyczne w zakresie obowiązków przejrzystości dla dostawców i podmiotów stosujących wybrane systemy sztucznej inteligencji (dostępne tutaj).
• 31 lipca 2026 r. opublikowano wspólne stanowisko EBA, EIOPA i ESMA, dotyczące przyjęcia spójnego, opartego na ryzyku podejścia do zagrożeń związanych z technologiami informacyjno-komunikacyjnymi wynikających z wykorzystania zaawansowanych modeli AI (dostępne tutaj).

Ponadto 11 sierpnia 2026 r. wchodzi w życie polska ustawa o systemach sztucznej inteligencji, regulująca kwestie nadzoru nad stosowaniem AI i powołująca krajowy organ nadzoru – Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Ustawa ta stanowi ważne uzupełnienie unijnego reżimu i wyznacza ramy krajowe dla monitorowania zgodności z AI Act (tekst ustawy dostępny tutaj).

Jak widzimy z harmonogramu opisanego na początku artykułu, dość istotna część przepisów AI Act – a więc przepisy dotyczące systemów wysokiego ryzyka – nie jest jeszcze stosowana. Digital Omnibus on AI przesunął rozpoczęcie stosowania tych przepisów, dając podmiotom stosującym lub rozwijającym systemy sztucznej inteligencji więcej czasu na zapewnienie zgodności. Nadchodzący czas warto więc wykorzystać na wewnętrzną analizę dotyczącą kwalifikacji stosowanych systemów pod kątem wysokiego ryzyka, z uwzględnieniem najnowszych wytycznych oraz na zaplanowanie działań dostosowawczych – wprowadzenia systemu zarządzania jakością, opracowania niezbędnej dokumentacji oraz podjęcia pozostałych czynności wymaganych przez przepisy dotyczące sztucznej inteligencji.

W Identt aktywnie przygotowujemy siebie i naszych klientów na nowe obowiązki dotyczące wykorzystywania sztucznej inteligencji. Dokonujemy przeglądu i klasyfikacji wykorzystywanych systemów AI pod kątem wysokiego ryzyka, wdrażamy wymagane środki w zakresie przejrzystości i oznaczania treści oraz rozbudowujemy systemy zarządzania jakością i dokumentację techniczną, których wymaga nowy reżim prawny.

Naszym celem jest zapewnienie pełnej zgodności każdego dostarczanego przez nas rozwiązania jeszcze przed rozpoczęciem stosowania odpowiednich obowiązków, co chroni zarówno sytuację prawną naszych klientów, jak i ich reputację. Zgodność z przepisami jest bowiem integralną częścią naszego sposobu pracy, a nie działaniem podejmowanym na ostatnią chwilę.