AI Act UE: nowe regulacje dla chatbotów, deepfake'ów i biometrii

Unia Europejska wdrażania pierwszy na świecie kompleksowy zbiór przepisów regulujących sztuczną inteligencję — AI Act (Rozporządzenie UE 2024/1689) — który ma uporządkować rozwój technologii AI, ograniczyć zagrożenia dla obywateli i jednocześnie stworzyć warunki do dalszych inwestycji oraz innowacji.

Jak podzielony jest AI Act?

Podstawą regulacji jest klasyfikacja systemów sztucznej inteligencji według poziomu ryzyka, jakie mogą stwarzać dla ludzi. System ten ma cztery poziomy, które determinują wymogi dla dostawców i operatorów:

Kategoria ryzyka	Opis	Wymogi
Niedopuszczalne	Praktyki sprzeczne z europejskimi wartościami i prawami obywatelskimi	Całkowity zakaz
Wysokie	Systemy mogące wpływać na zdrowie, bezpieczeństwo lub prawa podstawowe	Analiza ryzyka, dokumentacja, nadzór człowieka, certyfikacja
Przejrzystość	Systemy, wobec których użytkownik musi być poinformowany o interakcji z AI	Informacja o charakterze AI, oznaczenie treści generowanych
Minimalne/zerowe	Systemy bez znaczącego ryzyka	Brak dodatkowych obowiązków

Ta struktura pozwala regulatorom skupić się na rzeczywiście niebezpiecznych zastosowaniach, jednocześnie nie hamując innowacji w obszarach o niskim ryzyku.

Praktyki zakazane od lutego 2025 roku

Od 2 lutego 2025 roku obowiązują przepisy zakazujące ośmiu kategorii praktyk uznanych za niedopuszczalne. Komisja Europejska wskazała na obszary, które od początku budziły największe obawy organizacji zajmujących się ochroną praw człowieka i prywatności:

• Społeczny scoring — systemy oceniające obywateli na podstawie ich zachowania społecznego
• Biometryczna inwigilacja — niektóre formy masowego monitorowania ludzi za pomocą biometrii
• Manipulacja behawioralna — systemy celowo wpływające na decyzje ludzi w szkodliwy sposób
• Eksploatacja podatnych grup — AI wykorzystywane do manipulacji dziećmi lub osobami niepełnosprawnymi

Te zakazy są już obowiązujące i stanowią pierwszy, najbardziej restrykcyjny element regulacji. Co to oznacza dla czytelnika? Jeśli pracujesz w technologii lub administracji publicznej, musisz teraz weryfikować swoje systemy pod kątem zgodności z tymi zakazami — niezastosowanie się grozi znacznymi karami finansowymi.

Systemy wysokiego ryzyka — główne wyzwanie dla branży

Znaczy większa część AI Act dotyczy systemów określanych jako wysokiego ryzyka. Do tej grupy zaliczono rozwiązania wykorzystywane w infrastrukturze krytycznej, transporcie, ochronie zdrowia, edukacji, procesach rekrutacyjnych, ocenie zdolności kredytowej, działaniach organów ścigania, kontroli granicznej oraz wymiarze sprawiedliwości.

Praktycznymi przykładami mogą być:

• Algorytmy analizujące kandydatów do pracy
• Systemy wspomagające wydawanie decyzji kredytowych
• Rozwiązania stosowane przy kwalifikowaniu pacjentów do określonych procedur medycznych
• AI wspierające organy ścigania w analizie danych

Dostawcy takich systemów muszą spełnić szereg wymogów jeszcze przed wprowadzeniem produktu na rynek:

• Przeprowadzić analizę ryzyka
• Zapewnić wysoką jakość danych treningowych
• Przygotować szczegółową dokumentację techniczną
• Rejestrować działania systemu
• Zagwarantować nadzór człowieka
• Wdrożyć odpowiednie zabezpieczenia cybernetyczne

To oznacza dla firm, że wdrażanie takich systemów będzie droższe i czasochłonne, ale także bardziej godne zaufania dla użytkowników końcowych.

Chatboty i deepfake’i — wymogi przejrzystości

Szczególną kategorię tworzą systemy objęte wymogami przejrzystości. Użytkownik będzie musiał zostać poinformowany, że komunikuje się z systemem sztucznej inteligencji. Dotyczy to przede wszystkim chatbotów oraz wirtualnych asystentów — od sierpnia 2026 roku każdy bot będzie musiał wyraźnie się ujawnić.

Regulacje obejmują również treści generowane przez AI, w tym deepfake’i. Materiały stworzone lub istotnie zmodyfikowane przez sztuczną inteligencję mają być odpowiednio oznaczane. Przepisy te zaczną obowiązywać od sierpnia 2026 roku. To odpowiedź na gwałtowny wzrost liczby fałszywych materiałów audio i wideo wykorzystywanych do manipulowania opinią publiczną — problem, który stał się szczególnie widoczny w ostatnich latach.

Modele ogólnego przeznaczenia (GPAI) — największe spory

Jednym z najbardziej komentowanych elementów AI Act są przepisy dotyczące modeli ogólnego przeznaczenia, określanych skrótem GPAI. Chodzi o technologie stanowiące podstawę współczesnych systemów generatywnych, takich jak ChatGPT, Claude, Gemini czy generatory obrazów typu DALL-E.

Obowiązki wobec tej grupy zaczęły obowiązywać 2 sierpnia 2025 roku. Dostawcy GPAI muszą:

• Zapewnić odpowiednią dokumentację techniczną
• Publikować informacje o danych treningowych
• Przestrzegać przepisów dotyczących praw autorskich
• Oceniać ryzyka systemowe związane z najbardziej zaawansowanymi modelami

To właśnie ten obszar wywołuje obecnie największe spory pomiędzy Komisją Europejską a częścią branży technologicznej. Krytycy regulacji wskazują na wysokie koszty wdrożenia nowych wymogów i obawy, że mogą one utrudnić europejskim firmom konkurowanie z gigantami z USA i Chin. Zwolennicy podkreślają konieczność zwiększenia przejrzystości działania modeli generatywnych oraz ochrony praw autorskich twórców.

Harmonogram wdrażania do 2027 roku

Wdrażanie AI Act zostało rozłożone na kilka etapów, które mają dać przedsiębiorstwom, instytucjom publicznym i organom nadzoru czas na dostosowanie się do nowych wymogów.

1 sierpnia 2024 — Weszły w życie definicje systemów AI, wymogi dotyczące kompetencji w zakresie sztucznej inteligencji (AI literacy) oraz zakazy praktyk niedopuszczalnych.

2 sierpnia 2025 — Rozpoczęto stosowanie przepisów dotyczących modeli AI ogólnego przeznaczenia (GPAI). Państwa członkowskie wyznaczyły krajowe organy odpowiedzialne za nadzór nad wdrażaniem AI Act.

2 sierpnia 2026 — Najważniejszy etap. W życie wejdzie większość przepisów AI Act, w tym wymogi dotyczące systemów wysokiego ryzyka wykorzystywanych w rekrutacji, edukacji, sektorze finansowym, administracji publicznej i ochronie zdrowia. Zaczną obowiązywać przepisy dotyczące przejrzystości dla chatbotów i treści generowanych przez AI. Każde państwo członkowskie będzie musiało dysponować co najmniej jedną piaskownicą regulacyjną AI wspierającą rozwój innowacyjnych rozwiązań.

2 sierpnia 2027 — Finalny etap. Pełnym reżimem regulacyjnym zostaną objęte systemy sztucznej inteligencji stanowiące część produktów regulowanych przez prawo Unii Europejskiej, takie jak urządzenia medyczne, maszyny przemysłowe i pojazdy.

Co to oznacza dla biznesu i obywateli?

AI Act to kamień milowy w regulacji technologii. Po raz pierwszy na świecie kompleksowe prawo stara się znaleźć równowagę między ochroną obywateli a wsparciem innowacji. Dla firm oznacza to konieczność inwestycji w dokumentację, testowanie i compliance — ale także szansę na zbudowanie zaufania do swoich produktów. Dla obywateli to gwarancja, że systemy AI będą bardziej przejrzyste, bezpieczne i godne zaufania.

Regulacja jest częścią szerszej strategii cyfrowej Unii Europejskiej, która obejmuje również Plan Działań AI Continent, Pakiet Innowacji AI, rozwój Fabryk AI oraz inicjatywę AI Pact wspierającą przedsiębiorstwa w przygotowaniu się do nowych obowiązków. Celem Komisji Europejskiej jest rozwój godnej zaufania AI, która pozostanie zgodna z prawami podstawowymi, zasadami bezpieczeństwa i ochroną prywatności obywateli — bez hamowania europejskiej innowacyjności.