Maksymalne kwoty są górnymi granicami, nie taryfikatorem nakazującym automatycznie wymierzyć najwyższą karę.
Najwyższe kary za zakazane praktyki AI
Pułap 35 mln euro lub 7 proc. światowego obrotu jest zarezerwowany dla nieprzestrzegania zakazanych praktyk. Należą do nich m.in. wskazane w rozporządzeniu formy szkodliwej manipulacji i wykorzystywania podatności osób, niedopuszczalny scoring społeczny, określone zastosowania przewidywania ryzyka popełnienia przestępstwa, nieukierunkowane tworzenie baz rozpoznawania twarzy na podstawie materiałów z internetu lub monitoringu, część kategoryzacji biometrycznej, rozpoznawanie emocji w pracy i szkołach oraz niektóre sposoby zdalnej identyfikacji biometrycznej.
Zakazy obowiązują od 2 lutego 2025 r. Każdy z nich zawiera szczegółowe przesłanki, a część także wyjątki. Przykładowo rozpoznawanie emocji w miejscu pracy może być dopuszczalne z powodów medycznych lub bezpieczeństwa. Organ nie powinien karać na podstawie samej nazwy funkcji. Musi wykazać, że konkretny system i sposób jego użycia spełnia wszystkie warunki praktyki zakazanej.
Dla przedsiębiorstwa innego niż MŚP górną granicą jest wyższa z dwóch wartości: kwota 35 mln euro albo 7 proc. obrotu. W grupie kapitałowej podstawą procentową może być całkowity światowy obrót ustalany zgodnie z unijnym rozumieniem przedsiębiorstwa. Oznacza to, że dla największych podmiotów 7 proc. może wielokrotnie przekroczyć limit kwotowy.
15 mln euro za obowiązki operatorów i przejrzystość
Drugi poziom to do 15 mln euro albo do 3 proc. światowego rocznego obrotu. Obejmuje naruszenie wskazanych obowiązków dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów i podmiotów stosujących oraz wymagań wobec jednostek notyfikowanych. Do tej grupy należy także brak wykonania obowiązków przejrzystości z art. 50.
W praktyce może chodzić o niepoinformowanie klienta, że rozmawia z systemem AI, brak wymaganego oznaczenia deepfake'u, niewłaściwe informowanie osób poddanych dozwolonemu systemowi rozpoznawania emocji albo naruszenie obowiązków związanych z systemem wysokiego ryzyka po rozpoczęciu stosowania odpowiednich przepisów. W przypadku przejrzystości kluczowy termin to 2 sierpnia 2026 r. Natomiast po porozumieniu dotyczącym AI Omnibus szczegółowe wymagania dla wysokiego ryzyka z załącznika III mają być stosowane od 2 grudnia 2027 r., a dla regulowanych produktów od 2 sierpnia 2028 r.
7,5 mln euro za informacje dla organu
Trzeci poziom wynosi do 7,5 mln euro albo do 1 proc. obrotu. Dotyczy przekazania jednostce notyfikowanej lub właściwemu organowi krajowemu informacji nieprawidłowych, niepełnych lub wprowadzających w błąd w odpowiedzi na żądanie. Sankcja może więc powstać niezależnie od tego, czy samo działanie systemu prowadziło do poważnej szkody. Przedsiębiorca powinien zapewnić spójny proces udzielania odpowiedzi, kontrolę dokumentów i udział osób rozumiejących zarówno technologię, jak i wymagania prawne.
Podanie niepełnych danych nie musi oznaczać celowego oszustwa. Przy wymiarze kary organ powinien uwzględnić umyślność lub niedbalstwo. Ryzyko zwiększa jednak chaos dokumentacyjny, brak właściciela procesu i przedstawianie niesprawdzonych deklaracji dostawcy jako własnych ustaleń firmy.
Łagodniejsza granica dla MŚP i start-upów
W przypadku małych i średnich przedsiębiorstw, w tym start-upów, AI Act odwraca zasadę dotyczącą wyboru limitu. Górną granicę każdej z wymienionych kar wyznacza niższa z dwóch wartości: odpowiednia kwota w euro albo procent obrotu. Jeżeli 7 proc. obrotu małej firmy jest niższe niż 35 mln euro, maksymalny limit stanowi wartość procentowa. Nie oznacza to immunitetu ani symbolicznych sankcji, lecz ochronę przed karą całkowicie oderwaną od skali działalności.
Rozporządzenie nakazuje ponadto uwzględniać interesy MŚP i start-upów oraz ich zdolność ekonomiczną. Państwa członkowskie mają zapewnić skuteczność, proporcjonalność i odstraszający charakter sankcji. Organ nie może zatem mechanicznie zastosować procentu bez oceny okoliczności, ale ma też przeciwdziałać sytuacji, w której naruszenie opłaca się bardziej niż zgodność.
Okoliczności decydujące o wymiarze kary
Art. 99 zawiera rozbudowany katalog czynników. Należą do nich charakter, waga i czas trwania naruszenia, jego konsekwencje, przeznaczenie systemu, liczba osób dotkniętych działaniem i poziom szkody. Znaczenie mają wcześniejsze sankcje za to samo naruszenie, wielkość i udział rynkowy operatora, korzyści finansowe, współpraca z organem, wdrożone środki techniczne i organizacyjne, sposób ujawnienia sprawy, umyślność lub niedbalstwo oraz działania ograniczające szkodę.
Ta konstrukcja premiuje udokumentowane reagowanie. Firma, która sama wykryła problem, zatrzymała system, poinformowała właściwe podmioty, zabezpieczyła logi i naprawiła skutki, znajduje się w innej sytuacji niż podmiot ukrywający naruszenie. Nie daje to gwarancji uniknięcia sankcji, lecz może mieć znaczenie dla jej wymiaru.
Osobne kary dla największych modeli AI
Dostawcy modeli sztucznej inteligencji ogólnego przeznaczenia podlegają nadzorowi Komisji Europejskiej i Urzędu ds. AI. Za umyślne lub wynikające z niedbalstwa naruszenie odpowiednich przepisów, niewykonanie żądania dokumentów lub informacji, niepodjęcie wymaganego środka albo brak dostępu do modelu w celu oceny może zostać nałożona kara do 3 proc. całkowitego światowego rocznego obrotu z poprzedniego roku finansowego. Komisja może żądać informacji, prowadzić ocenę modelu i nakazywać działania naprawcze, a w skrajnych przypadkach ograniczenie lub wycofanie modelu z rynku.
Kary AI Act i RODO mogą się spotkać
Jedno zdarzenie może naruszać kilka reżimów prawnych. System oceniający pracowników może jednocześnie naruszać AI Act, RODO i Kodeks pracy. Organy powinny brać pod uwagę inne sankcje wynikające z tego samego działania lub zaniechania, aby zachować proporcjonalność, ale AI Act nie znosi odpowiedzialności na podstawie pozostałych przepisów. Przedsiębiorca potrzebuje więc wspólnego procesu zarządzania incydentem, a nie osobnych procedur, które nie wymieniają informacji.
Źródła
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, w szczególności art. 99–101.
- AI Act Service Desk, omówienie art. 99 i art. 101 AI Act.
- Komisja Europejska, wytyczne dotyczące zakazanych praktyk AI.
- Komisja Europejska, informacje dotyczące egzekwowania obowiązków wobec dostawców modeli ogólnego przeznaczenia.
- Komisja Europejska, harmonogram stosowania AI Act po porozumieniu politycznym z 7 maja 2026 r.
Współpracował z Wirtualną Polską, Wprost, Zieloną Interią. Komentuje wydarzenia polityczne dla Polskiego Radia. Zajmuje się polityką międzynarodową i krajową na łamach Gazety Prawnej. Pasjonat technologii i nauki.