Od 2 sierpnia 2026 roku dostawcy systemów AI objętych obowiązkami przejrzystości muszą spełnić konkretne wymogi wynikające z AI Act – Rozporządzenia (UE) 2024/1689. Regulacja weszła w życie 1 sierpnia 2024 roku. Jej przepisy dotyczące przejrzystości wchodzą w życie etapami, a brak dostosowania grozi karami do 15 mln EUR lub 3% globalnego obrotu.
AI Act nakłada na dostawców systemów sztucznej inteligencji obowiązki informowania użytkowników o tym, że wchodzą w interakcję z systemem AI – dotyczy to w szczególności chatbotów, systemów generowania treści i narzędzi biometrycznych. Podstawą prawną jest Rozporządzenie (UE) 2024/1689, które weszło w życie 1 sierpnia 2024 roku. Przepisy dotyczące przejrzystości stosuje się od 2 sierpnia 2026 roku.
Poniżej omawiamy, co konkretnie zmieniają nowe przepisy, kogo dotyczą i jakie działania należy podjąć – z terminami, które już trwają.
Co zmienił AI Act i kogo dotyczy?
AI Act wprowadza czterostopniowy podział systemów AI według poziomu ryzyka: niedopuszczalne, wysokie, ograniczone i minimalne. Obowiązki przejrzystości dotyczą przede wszystkim systemów z kategorii ryzyka ograniczonego. Chodzi o systemy, które wchodzą w bezpośrednią interakcję z ludźmi – chatboty, systemy generowania syntetycznych obrazów, dźwięku i wideo, a także narzędzia do rozpoznawania emocji.
Rozporządzenie stosuje się do dostawców, którzy wprowadzają systemy AI na rynek UE, niezależnie od miejsca siedziby. Polska firma tworząca chatbota dla klientów w Niemczech podlega AI Act tak samo jak startup z San Francisco sprzedający usługę w Polsce. Urząd Ochrony Danych Osobowych (UODO) jako organ nadzorczy w zakresie RODO będzie współpracował z krajowym organem nadzorczym AI – jego wyznaczenie Polska ma obowiązek zakończyć do 2 sierpnia 2025 roku.
Warto pamiętać, że AI Act nie działa w próżni. Dostawcy systemów AI przetwarzających dane osobowe podlegają jednocześnie RODO – Rozporządzeniu (UE) 2016/679. Instytucje finansowe objęte DORA – Rozporządzeniem (UE) 2022/2554, obowiązującym od 17 stycznia 2025 roku – muszą uwzględniać wymogi AI Act przy zarządzaniu ryzykiem ICT. To nakładanie się regulacji tworzy złożone środowisko compliance, które wymaga systematycznego podejścia do obowiązków compliance.
Jakie konkretne obowiązki przejrzystości nakłada AI Act?
Przepisy rozdziału IV AI Act wyróżniają trzy grupy obowiązków. Po pierwsze – obowiązek ujawnienia interakcji z AI. Użytkownik musi wiedzieć, że rozmawia z systemem, a nie człowiekiem. Obowiązek ten dotyczy każdego chatbota i wirtualnego asystenta. Wyjątek: systemy autoryzowane w celach ścigania przestępstw lub gdy kontekst jest oczywisty.
Po drugie – oznaczanie treści generowanych przez AI. Dostawcy systemów tworzących syntetyczne obrazy, dźwięk, wideo lub tekst muszą oznaczać te treści w sposób możliwy do odczytania maszynowego. Komisja Europejska ma wydać szczegółowe wytyczne techniczne dotyczące formatów znakowania. Termin: 2 sierpnia 2026 roku.
Po trzecie – obowiązki dotyczące systemów rozpoznawania emocji i kategoryzacji biometrycznej. Dostawcy muszą informować osoby poddawane analizie o działaniu systemu. To szczególnie istotne dla pracodawców używających narzędzi AI do rekrutacji – systemy te są jednocześnie klasyfikowane jako wysokiego ryzyka i wymagają pełnej oceny zgodności. Naruszenie obowiązków przejrzystości grozi karą do 15 mln EUR lub 3% rocznego globalnego obrotu – zależnie od tego, która kwota jest wyższa.
W praktyce – wiele firm o tym zapomina – obowiązek przejrzystości dotyczy nie tylko produktu finalnego, ale też komponentów AI wbudowanych w inne usługi. Jeśli Państwa platforma e-commerce korzysta z silnika rekomendacji opartego na AI, który wchodzi w interakcję z klientem, obowiązek informacyjny spoczywa na dostawcy tej platformy.
Co zrobić teraz – lista działań z terminami?
Czas na dostosowanie się do przepisów o przejrzystości jest ograniczony. Do 2 sierpnia 2026 roku dostawcy muszą wdrożyć mechanizmy ujawnienia AI, oznaczania treści i informowania o systemach biometrycznych. Brak działania oznacza odpowiedzialność osobistą kadry zarządzającej i ryzyko nieodwracalnych kar finansowych.
Pierwsze działania należy podjąć natychmiast. Kwestia ochrony danych i AI łączy się bezpośrednio z zagadnieniami regulacji rynków cyfrowych – podobnie jak regulacja kryptoaktywów MiCA wymaga dostosowania procesów operacyjnych, tak AI Act wymaga systemowego audytu produktów.
- Przeprowadzić inwentaryzację systemów AI w organizacji – zidentyfikować, które wchodzą w interakcję z użytkownikami końcowymi
- Ocenić kategorię ryzyka każdego systemu zgodnie z załącznikami do AI Act – systemy wysokiego ryzyka wymagają pełnej oceny zgodności przed 2 sierpnia 2026 roku
- Wdrożyć mechanizmy ujawnienia interakcji z AI – komunikaty, regulaminy, interfejsy użytkownika
- Dostosować procesy przetwarzania danych do wymogów RODO i AI Act jednocześnie – unikając dublowania lub sprzeczności obowiązków
- Zweryfikować umowy z dostawcami komponentów AI – odpowiedzialność za zgodność spoczywa na dostawcy systemu finalnego
Znak towarowy i ochrona własności intelektualnej to dodatkowy wymiar. Treści generowane przez AI mogą naruszać prawa do znaku towarowego lub prawa autorskie osób trzecich. Dostawcy muszą wdrożyć procedury weryfikacji treści wyjściowych – szczególnie w systemach generatywnych. Kancelaria IP Warszawa regularnie doradza klientom w tym zakresie, łącząc perspektywę AI Act z prawem własności intelektualnej.
Konkretna sytuacja Państwa firmy wymaga indywidualnej oceny – kategoria ryzyka systemu AI, skala przetwarzania danych i model dystrybucji decydują o zakresie obowiązków. Zwlekanie z audytem może zamknąć drogę do terminowego wdrożenia i narazić na nieodwracalne konsekwencje finansowe.
Jeśli Państwa firma dostarcza lub wdraża systemy AI wchodzące w interakcję z użytkownikami – przeprowadzimy audyt zgodności z AI Act, ocenę kategorii ryzyka i wdrożenie mechanizmów przejrzystości: info@kordeckipartners.com.
Często zadawane pytania
P: Od kiedy dokładnie obowiązują przepisy o przejrzystości AI Act i czy jest jakiś okres przejściowy?
O: Rozporządzenie (UE) 2024/1689 weszło w życie 1 sierpnia 2024 roku. Przepisy dotyczące systemów AI z kategorii ryzyka ograniczonego – w tym obowiązki przejrzystości dla chatbotów i systemów generowania treści – stosuje się od 2 sierpnia 2026 roku. Nie ma dodatkowego okresu przejściowego po tej dacie. Zakazy dotyczące systemów niedopuszczalnych obowiązują już od 2 lutego 2025 roku.
P: Czy mała firma tworząca aplikację z chatbotem musi spełniać te same wymogi co duża korporacja?
O: Co do zasady – tak. AI Act nie przewiduje wyłączeń podmiotowych opartych wyłącznie na wielkości firmy dla obowiązków przejrzystości. Rozporządzenie stosuje się do każdego dostawcy wprowadzającego system AI na rynek UE. Mikroprzedsiębiorcy mogą jednak korzystać z uproszczonych procedur oceny zgodności dla systemów wysokiego ryzyka. Warto skonsultować klasyfikację konkretnego systemu z prawnikiem specjalizującym się w regulacjach technologicznych.
P: Jak AI Act łączy się z RODO – czy to dwie oddzielne procedury compliance?
O: Obydwa rozporządzenia stosuje się równolegle i wzajemnie się uzupełniają. System AI przetwarzający dane osobowe musi spełniać wymogi zarówno RODO, jak i AI Act – w tym obowiązek oceny skutków dla ochrony danych (DPIA) wymagany przez artykuł 35 RODO. Wdrożenie AI Act bez jednoczesnej weryfikacji zgodności z RODO jest błędem, który może skutkować podwójną odpowiedzialnością przed UODO i krajowym organem nadzorczym AI.
KORDECKI & Partners to kancelaria prawna z siedzibą w Warszawie i Krakowie, doradzająca klientom biznesowym w 30 jurysdykcjach. Zespół łączy doświadczenie w prawie polskim i międzynarodowym z praktycznym podejściem do prawa własności intelektualnej, technologii i regulacji AI. Pracujemy z polskimi przedsiębiorcami, inwestorami zagranicznymi i działami prawnymi korporacji. W sprawie Państwa sytuacji: info@kordeckipartners.com.
Zastrzeżenie: Niniejsza publikacja służy wyłącznie celom informacyjnym i nie stanowi porady prawnej. Informacje zawarte w materiale nie powinny być traktowane jako substytut profesjonalnej porady prawnej dostosowanej do konkretnych okoliczności. KORDECKI & Partners nie ponosi odpowiedzialności za działania podjęte lub zaniechane na podstawie treści tego materiału. W sprawie porady dotyczącej Państwa konkretnej sytuacji prosimy o kontakt: info@kordeckipartners.com.