AI Act. Obowiązki, kary i co polska firma musi zrobić.
No to o regulacji, którą wiele firm wciąż traktuje jak science fiction. A kary za zakazane praktyki są egzekwowalne od lutego 2025. Realnie, nie kiedyś.
No i znowu słyszę “AI Act nas nie dotyczy, my nie robimy AI”. A potem okazuje się, że dział HR używa scoringu kandydatów, marketing automatyzacji opartej na modelu, a obsługa ma chatbota. To wszystko są systemy AI w rozumieniu rozporządzenia. AI Act dotyczy tego, kto AI używa, nie tylko tego, kto je tworzy.
TL;DR
- Cztery klasy ryzyka: niedopuszczalne (zakazane), wysokie, ograniczone, minimalne
- Kary za zakazane praktyki: do 35 mln euro lub 7% światowego obrotu
- Zakazane praktyki egzekwowalne od lutego 2025; większość obowiązków od 2 sierpnia 2026
- Obowiązki dla high-risk: ocena ryzyka, dokumentacja, nadzór ludzki, przejrzystość, monitoring
Cztery klasy ryzyka
AI Act dzieli systemy według ryzyka. Niedopuszczalne, czyli zakazane: manipulacja behawioralna, social scoring, masowe rozpoznawanie twarzy w przestrzeni publicznej. Wysokie ryzyko: m.in. rekrutacja, scoring kredytowy, dostęp do usług kluczowych. Ograniczone: chatboty i deepfake z obowiązkiem przejrzystości. Minimalne: reszta, bez dodatkowych wymogów.
To jest pierwszy krok każdego wdrożenia: zinwentaryzuj systemy AI i przypisz klasę. Bez tego nie wiesz, które obowiązki Cię dotyczą.
Kary, które robią wrażenie
Za stosowanie zakazanych praktyk: do 35 mln euro lub 7% całkowitego rocznego światowego obrotu, zależnie od tego, która kwota wyższa. Za naruszenie obowiązków dla systemów wysokiego ryzyka kary są niższe, ale wciąż liczone w milionach euro i procentach obrotu. To poziom RODO i wyżej.
Terminy
To nie jest odległa przyszłość. Zakazy zakazanych praktyk obowiązują i są egzekwowalne od lutego 2025. Zasady dla modeli ogólnego przeznaczenia weszły w sierpniu 2025. Większość przepisów istotnych dla firm wdrażających systemy wysokiego ryzyka zaczyna obowiązywać od 2 sierpnia 2026. Czasu na przygotowanie jest mniej, niż się wydaje.
Co realnie trzeba zrobić
Po kolei. Zinwentaryzuj systemy AI i sklasyfikuj ryzyko. Dla systemów wysokiego ryzyka: ocena wpływu na prawa podstawowe (FRIA), dokumentacja techniczna, nadzór ludzki, przejrzystość wobec użytkowników, monitoring po wdrożeniu. Plus AI Literacy, czyli realna wiedza zespołu o tym, czego używa.
Jak to ogarnąć
Sednem jest rejestr: jeden spis systemów AI z klasą ryzyka, statusem FRIA i przypisanym nadzorem. Reszta wynika z klasy.
W module AI Act masz rejestr systemów AI, klasyfikację ryzyka, FRIA i nadzór ludzki w jednym miejscu, a sygnały podnoszą rękę, gdy system wysokiego ryzyka nie ma wykonanej oceny. Nie wiesz, czy dotyczą Cię też inne regulacje? Sprawdź w Regulatory Checker. Lepiej mieć to pozamiatane przed sierpniem 2026 niż w trakcie kontroli.
Pisał ktoś z zespołu RealSec. Jak chcesz pogadać o tym konkretnie ; napisz do nas.