AI Act. Każdy artykuł. Cytowany od razu.
W 3 sekundy.
IgeraRegTech czyta dokumentację Twoich systemów AI i odpowiada na pytania o klasyfikację ryzyka, obowiązki dostawcy i użytkownika oraz rejestrację — z dokładnym cytatem z Rozporządzenia (UE) 2024/1689. Dla firm HR, fintech, e-commerce i sektora publicznego w Polsce.
14 dni za darmo · Zgodność z RODO · Dane w UE
Harmonogram AI Act — co już obowiązuje?
Rozporządzenie (UE) 2024/1689 wchodzi w życie etapami do sierpnia 2027
Rozporządzenie (UE) 2024/1689 (AI Act) publikowane w Dzienniku Urzędowym UE i wchodzi w życie 20 dni po publikacji.
Zakaz systemów o niedopuszczalnym ryzyku: manipulacja behawioralna, scoring społeczny, rozpoznawanie emocji w pracy/edukacji, real-time zdalna identyfikacja biometryczna w przestrzeni publicznej (z wyjątkami).
Obowiązki dostawców modeli AI ogólnego przeznaczenia (GPAI), ustanowienie krajowych organów nadzorczych i AI Office na poziomie UE, zasady kar (art. 99).
Obowiązki dla systemów wysokiego ryzyka wymienionych w Załączniku III (m.in. rekrutacja, ocena zdolności kredytowej, edukacja, ochrona zdrowia) oraz przejrzystość dla systemów niskiego ryzyka (art. 50).
Pełne obowiązki dla systemów AI będących komponentami bezpieczeństwa produktów regulowanych już zharmonizowanym prawem UE (maszyny, zabawki, wyroby medyczne, itd.).
Obowiązki AI Act, które pokrywa IgeraRegTech
Rozporządzenie (UE) 2024/1689 — od klasyfikacji ryzyka po rejestrację, każdy artykuł od razu do zacytowania.
Klasyfikacja ryzyka systemu AI (art. 6-7)
AI Act dzieli systemy na 4 poziomy: niedopuszczalne ryzyko (zakaz, art. 5), wysokie ryzyko (Załączniki I i III), ograniczone ryzyko (obowiązki przejrzystości, art. 50) i minimalne ryzyko. Wiele polskich firm wdraża systemy scoringowe, rekrutacyjne lub oceny kredytowej bez wiedzy, że mieszczą się w Załączniku III.
Obowiązki dostawcy systemu wysokiego ryzyka (art. 8-17)
System zarządzania ryzykiem (art. 9), zarządzanie danymi i jakość zbiorów treningowych (art. 10), dokumentacja techniczna (art. 11, Załącznik IV), rejestrowanie zdarzeń (art. 12), przejrzystość i instrukcje dla użytkownika (art. 13), nadzór ludzki (art. 14) oraz dokładność, odporność i cyberbezpieczeństwo (art. 15).
Obowiązki podmiotu stosującego / użytkownika (art. 26)
Firma wdrażająca system wysokiego ryzyka (nie tylko dostawca) ma obowiązki: stosowanie zgodnie z instrukcją, nadzór ludzki, monitorowanie działania, informowanie dostawcy i organu nadzorczego o poważnym incydencie (art. 73). Wiele polskich firm HR i finansowych jest w tej roli, nieświadomie.
Rejestracja w unijnej bazie danych (art. 49, 71)
Dostawcy systemów wysokiego ryzyka z Załącznika III muszą zarejestrować system w unijnej bazie danych AI przed wprowadzeniem na rynek. Podmioty sektora publicznego mają dodatkowy obowiązek rejestracji jako podmiot stosujący.
Przejrzystość wobec użytkownika końcowego (art. 50)
Chatboty muszą informować, że użytkownik rozmawia z AI (chyba że jest to oczywiste). Treści deepfake i syntetyczne treści audio/wideo/tekst muszą być oznaczone jako wygenerowane przez AI, z wyjątkami dla dzieł oczywiście artystycznych lub satyrycznych.
Kary za nieprzestrzeganie (art. 99)
Do 35 mln EUR lub 7% globalnego rocznego obrotu za naruszenie zakazanych praktyk (art. 5); do 15 mln EUR lub 3% obrotu za inne naruszenia obowiązków; do 7,5 mln EUR lub 1% obrotu za wprowadzenie w błąd organów nadzorczych.
Nadzór nad AI w Polsce: UODO i krajowy organ AI Act
Zgodnie z art. 70 AI Act każde państwo członkowskie musi wyznaczyć co najmniej jeden krajowy organ nadzorczy rynku dla systemów AI oraz organ notyfikujący, w terminie do 2 sierpnia 2025. W zakresie, w jakim systemy AI przetwarzają dane osobowe, UODO (Prezes Urzędu Ochrony Danych Osobowych) pozostaje właściwym organem nadzorczym na mocy RODO i już aktywnie publikuje wytyczne oraz stanowiska dotyczące wykorzystania sztucznej inteligencji w kontekście ochrony danych osobowych.
Ostateczna struktura krajowego nadzoru nad całością AI Act (poza aspektami danych osobowych) zależy od ustawy krajowej implementującej rozporządzenie — proces legislacyjny prowadzony jest przez polski rząd. IgeraRegTech śledzi rozwój tej ustawy i aktualizuje odniesienia regulacyjne w miarę publikacji przepisów krajowych.
Pytania o AI Act, na które IgeraRegTech odpowiada od razu
"Nasza firma HR używa AI do wstępnej selekcji CV — czy to system wysokiego ryzyka?"
IgeraRegTech odpowiada: Tak, prawdopodobnie. Załącznik III pkt 4 AI Act wymienia systemy AI stosowane do rekrutacji lub selekcji kandydatów, w tym kierowania ukierunkowanych ogłoszeń o pracę, analizy i filtrowania aplikacji oraz oceny kandydatów. Jako dostawca lub podmiot stosujący taki system, firma podlega obowiązkom z art. 9-15 (system zarządzania ryzykiem, jakość danych, dokumentacja techniczna, nadzór ludzki) od 2 sierpnia 2026, zgodnie z art. 6 ust. 2 w powiązaniu z Załącznikiem III.
"Czy musimy informować klientów, że rozmawiają z chatbotem AI?"
IgeraRegTech odpowiada: Tak. Art. 50 ust. 1 AI Act wymaga, aby dostawcy systemów AI przeznaczonych do interakcji z osobami fizycznymi informowali te osoby, że wchodzą w interakcję z systemem AI, chyba że jest to oczywiste z okoliczności dla rozsądnie dobrze poinformowanej osoby. Obowiązek ten obowiązuje od 2 sierpnia 2026 i nie zależy od poziomu ryzyka systemu — dotyczy też systemów o ograniczonym ryzyku.
"Który organ w Polsce będzie nadzorował AI Act — czy to UODO?"
IgeraRegTech odpowiada: Art. 70 AI Act wymaga od każdego państwa członkowskiego wyznaczenia co najmniej jednego krajowego organu nadzorczego rynku AI oraz organu notyfikującego do 2 sierpnia 2025. UODO (Prezes Urzędu Ochrony Danych Osobowych) pozostaje właściwym organem dla aspektów ochrony danych osobowych systemów AI na mocy RODO i już dziś wydaje wytyczne dotyczące AI, natomiast ostateczne wyznaczenie krajowego organu nadzorczego rynku dla całego AI Act zależy od ustawy krajowej implementującej rozporządzenie, procedowanej przez polski rząd.
"Prowadzimy scoring kredytowy z AI — jakie mamy obowiązki dokumentacyjne?"
IgeraRegTech odpowiada: Załącznik III pkt 5 lit. b klasyfikuje systemy AI oceniające zdolność kredytową lub scoring kredytowy osób fizycznych jako wysokiego ryzyka (z pewnymi wyjątkami dla wykrywania oszustw finansowych). Zgodnie z art. 11 i Załącznikiem IV wymagana jest pełna dokumentacja techniczna obejmująca m.in. opis systemu, metody i kroki rozwoju, dane treningowe i walidacyjne, oraz metryki dokładności. Dokumentacja musi być dostępna dla organu nadzorczego przez 10 lat od wprowadzenia systemu na rynek (art. 18).
Twój zespół compliance. Wzmocniony przez AI.
Prześlij dokumentację swoich systemów AI, rejestr ryzyka i procedury oceny zgodności. Gotowe do pracy dla Twojego zespołu compliance w 20 minut.
Bezpłatne demo — 30 minutBez karty kredytowej · Zgodność z RODO · Dane w UE