Unia Europejska rozpoczęła wdrażanie pierwszych na świecie kompleksowych przepisów regulujących sztuczną inteligencję. AI Act, czyli Rozporządzenie UE 2024/1689, ma uporządkować rozwój technologii AI, ograniczyć zagrożenia dla obywateli i jednocześnie stworzyć warunki do dalszych inwestycji oraz innowacji. Najważniejsze przepisy już częściowo obowiązują, a kolejne etapy wdrażania będą uruchamiane do 2027 roku. Dokument ma fundamentalne znaczenie dla firm technologicznych, administracji publicznej, sektora finansowego, ochrony zdrowia i rynku pracy.
AI Act jako pierwsza globalna regulacja sztucznej inteligencji
AI Act jest pierwszym kompleksowym aktem prawnym na świecie poświęconym wyłącznie sztucznej inteligencji. Komisja Europejska podkreśla, że celem regulacji jest rozwój godnej zaufania AI, która pozostanie zgodna z prawami podstawowymi, zasadami bezpieczeństwa i ochroną prywatności obywateli. Przepisy weszły formalnie w życie 1 sierpnia 2024 r., jednak ich stosowanie odbywa się etapami. Najważniejsza część regulacji zacznie być egzekwowana od 2 sierpnia 2026 r.
Akt jest elementem szerszej strategii cyfrowej Unii Europejskiej. Oprócz samego AI Act obejmuje ona również Plan Działań AI Continent, Pakiet Innowacji AI, rozwój Fabryk AI oraz inicjatywę AI Pact, która ma pomóc przedsiębiorstwom przygotować się do nowych obowiązków.
Cztery poziomy ryzyka systemów AI
Podstawą AI Act jest klasyfikacja systemów sztucznej inteligencji według poziomu ryzyka, jakie mogą stwarzać dla ludzi.
Najwyższą kategorię stanowi niedopuszczalne ryzyko. Obejmuje ono zastosowania uznane za sprzeczne z europejskimi wartościami i prawami obywatelskimi. Takie systemy zostały zakazane.
Drugą kategorią są systemy wysokiego ryzyka, które mogą wpływać na zdrowie, bezpieczeństwo lub prawa podstawowe obywateli.
Trzeci poziom obejmuje rozwiązania wymagające zachowania przejrzystości wobec użytkowników.
Najniższą kategorię stanowią systemy minimalnego lub zerowego ryzyka, dla których nie przewidziano dodatkowych obowiązków regulacyjnych.
Zakazane praktyki sztucznej inteligencji
Od 2 lutego 2025 r. obowiązują przepisy zakazujące wykorzystywania najbardziej kontrowersyjnych zastosowań AI. Komisja Europejska wskazuje osiem kategorii praktyk uznanych za niedopuszczalne.
Wśród nich znalazły się:
- systemy manipulujące zachowaniami ludzi,
- rozwiązania wykorzystujące szczególną podatność określonych grup społecznych,
- systemy tzw. scoringu społecznego,
- przewidywanie skłonności jednostek do popełniania przestępstw wyłącznie na podstawie profilowania,
- masowe tworzenie baz danych twarzy poprzez pobieranie zdjęć z internetu lub monitoringu,
- rozpoznawanie emocji w szkołach i miejscach pracy,
- kategoryzacja biometryczna pozwalająca określać m.in. pochodzenie etniczne czy poglądy polityczne,
- zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej.
Właśnie te obszary od początku budziły największe obawy organizacji zajmujących się ochroną praw człowieka i prywatności.
Sztuczna inteligencja wysokiego ryzyka pod szczególnym nadzorem
Znacznie większa część AI Act dotyczy systemów określanych jako wysokiego ryzyka.
Do tej grupy zaliczono między innymi rozwiązania wykorzystywane w infrastrukturze krytycznej, transporcie, ochronie zdrowia, edukacji, procesach rekrutacyjnych, ocenie zdolności kredytowej, działaniach organów ścigania, kontroli granicznej oraz wymiarze sprawiedliwości.
Przykładem mogą być algorytmy analizujące kandydatów do pracy, systemy wspomagające wydawanie decyzji kredytowych czy rozwiązania stosowane przy kwalifikowaniu pacjentów do określonych procedur medycznych.
Dostawcy takich systemów muszą spełnić szereg wymogów jeszcze przed wprowadzeniem produktu na rynek. Obejmują one między innymi analizę ryzyka, wysoką jakość danych treningowych, szczegółową dokumentację techniczną, rejestrowanie działań systemu, nadzór człowieka oraz odpowiednie zabezpieczenia cybernetyczne.
Chatboty, deepfake'i i obowiązek informowania użytkowników
Szczególną kategorię tworzą systemy objęte wymogami przejrzystości.
Użytkownik będzie musiał zostać poinformowany, że komunikuje się z systemem sztucznej inteligencji. Dotyczy to przede wszystkim chatbotów oraz wirtualnych asystentów.
Regulacje obejmują również treści generowane przez AI, w tym deepfake'i. Materiały stworzone lub istotnie zmodyfikowane przez sztuczną inteligencję mają być odpowiednio oznaczane. Przepisy te zaczną obowiązywać od sierpnia 2026 r.
To odpowiedź na gwałtowny wzrost liczby fałszywych materiałów audio i wideo wykorzystywanych do manipulowania opinią publiczną.
Nowe obowiązki dla twórców modeli generatywnych
Jednym z najbardziej komentowanych elementów AI Act są przepisy dotyczące modeli ogólnego przeznaczenia, określanych skrótem GPAI.
Chodzi o technologie stanowiące podstawę współczesnych systemów generatywnych, takich jak chatboty, generatory obrazów czy zaawansowane modele językowe. Obowiązki wobec tej grupy zaczęły obowiązywać 2 sierpnia 2025 r.
Dostawcy GPAI muszą zapewnić odpowiednią dokumentację techniczną, publikować informacje o danych treningowych, przestrzegać przepisów dotyczących praw autorskich oraz oceniać ryzyka systemowe związane z najbardziej zaawansowanymi modelami.
To właśnie ten obszar wywołuje obecnie największe spory pomiędzy Komisją Europejską a częścią branży technologicznej. Krytycy regulacji wskazują na wysokie koszty wdrożenia nowych wymogów, natomiast zwolennicy podkreślają konieczność zwiększenia przejrzystości działania modeli generatywnych.
Harmonogram wdrażania AI Act
Wdrażanie AI Act zostało rozłożone na kilka etapów, które mają dać przedsiębiorstwom, instytucjom publicznym i organom nadzoru czas na dostosowanie się do nowych wymogów.
2 lutego 2025 r.
W tym terminie zaczęły obowiązywać pierwsze przepisy rozporządzenia. Weszły w życie definicje systemów AI, wymogi dotyczące kompetencji w zakresie sztucznej inteligencji (AI literacy) oraz zakazy dotyczące praktyk uznanych za niedopuszczalne, takich jak społeczny scoring czy niektóre formy biometrycznej inwigilacji obywateli.
2 sierpnia 2025 r.
Rozpoczęto stosowanie przepisów dotyczących modeli AI ogólnego przeznaczenia (GPAI), stanowiących podstawę nowoczesnych chatbotów i generatorów treści. Państwa członkowskie zostały również zobowiązane do wyznaczenia krajowych organów odpowiedzialnych za nadzór nad wdrażaniem AI Act. Na poziomie unijnym rozpoczęły działalność nowe struktury zarządzania, w tym Europejska Rada ds. AI.
2 sierpnia 2026 r.
To najważniejszy etap wdrażania regulacji. W życie wejdzie większość przepisów AI Act, w tym wymogi dotyczące systemów wysokiego ryzyka wykorzystywanych m.in. w rekrutacji pracowników, edukacji, sektorze finansowym, administracji publicznej i ochronie zdrowia. Zaczną obowiązywać również przepisy dotyczące przejrzystości, obejmujące między innymi chatboty oraz treści generowane przez sztuczną inteligencję. Każde państwo członkowskie będzie musiało dysponować co najmniej jedną piaskownicą regulacyjną AI wspierającą rozwój innowacyjnych rozwiązań.
2 sierpnia 2027 r.
Na ten dzień zaplanowano finalny etap wdrażania AI Act. Pełnym reżimem regulacyjnym zostaną objęte systemy sztucznej inteligencji stanowiące część produktów regulowanych przez prawo Unii Europejskiej. Dotyczy to między innymi urządzeń medycznych, maszyn przemysłowych, pojazdów oraz innych produktów, których bezpieczeństwo podlega szczególnym procedurom certyfikacyjnym. Oznacza to, że od sierpnia 2027 r. AI Act będzie stosowany w pełnym zakresie na terenie całej Unii Europejskiej, kończąc kilkuletni proces wdrażania pierwszych na świecie kompleksowych regulacji dotyczących sztucznej inteligencji.
Źródło: Komisja Europejska (AI Act, European Digital Strategy, AI Act Service Desk).
