Dwa etapy, które już obowiązują
AI Act nie wszedł w życie jednego dnia, w pełnym zakresie. Rozporządzenie rozkłada swoje obowiązki na kilka fal, rozłożonych na lata od momentu wejścia w życie samego aktu latem 2024 roku. Ten artykuł opisuje wyłącznie to, co już dziś realnie obowiązuje: dwa pierwsze etapy wdrożenia. Kolejne, wciąż nadchodzące etapy opisuje osobny artykuł Co dopiero nadchodzi.
Etap pierwszy: luty 2025, zakaz praktyk niedopuszczalnych i kompetencje AI
Od 2 lutego 2025 roku obowiązują dwa fundamenty rozporządzenia.
Zakaz praktyk niedopuszczalnych. Rozporządzenie zakazuje wąskiej, ale poważnej grupy zastosowań AI uznanych za sprzeczne z podstawowymi wartościami Unii Europejskiej: między innymi scoringu społecznego obywateli, manipulacji podprogowej wpływającej na zachowanie ludzi w sposób szkodliwy dla nich, oraz niektórych form biometrycznej kategoryzacji i identyfikacji w przestrzeni publicznej. To jedyna kategoria w AI Act, dla której odpowiedzią prawną jest całkowity zakaz, nie zestaw obowiązków dokumentacyjnych. Naruszenie tego zakazu wiąże się z najwyższym progiem kar przewidzianych w rozporządzeniu.
Obowiązek kompetencji w zakresie AI (art. 4). Ten obowiązek ma znacznie szerszy zasięg praktyczny niż zakaz praktyk niedopuszczalnych, bo dotyczy każdej firmy, w której ktokolwiek wykorzystuje narzędzia AI w pracy, niezależnie od branży i wielkości. W praktyce oznacza to wymóg, żeby zespół rozumiał podstawy działania używanych narzędzi AI, ich ograniczenia i związane z nimi ryzyka, w formie realnego, udokumentowanego szkolenia, nie tylko nieformalnej, potocznej wiedzy. Praktyczny przewodnik po tym, jak spełnić ten obowiązek, znajdziesz w artykule Szkolenie zespołu z art. 4.
Dla większości małych i średnich firm w Polsce obowiązek kompetencji AI z art. 4 ma dziś większe praktyczne znaczenie niż zakaz praktyk niedopuszczalnych, po prostu dlatego, że dotyczy niemal każdej firmy korzystającej z ChatGPT, Copilota czy podobnych narzędzi, podczas gdy zakazane praktyki dotyczą wąskiej, specyficznej grupy zastosowań.
Etap drugi: sierpień 2025, obowiązki dostawców modeli ogólnego przeznaczenia
Od 2 sierpnia 2025 roku obowiązują przepisy dotyczące dostawców modeli AI ogólnego przeznaczenia, w skrócie GPAI (General Purpose AI): dużych modeli bazowych, które mogą być wykorzystywane do wielu różnych zastosowań, takich jak modele językowe stojące za popularnymi narzędziami konwersacyjnymi. Kluczowe obowiązki tego etapu obejmują między innymi: dokumentację techniczną modelu, informacje przekazywane dostawcom aplikacji budowanych na bazie danego modelu, politykę zgodności z unijnym prawem autorskim, oraz publikowanie wystarczająco szczegółowego podsumowania treści wykorzystanych do treningu modelu. Modele uznane za niosące ryzyko systemowe, ze względu na swoją skalę i możliwości, podlegają dodatkowym, bardziej rygorystycznym wymogom.
Ten etap dotyka przede wszystkim samych dostawców dużych modeli AI (takich jak duże firmy technologiczne rozwijające modele językowe), nie typowej małej czy średniej firmy korzystającej z gotowych narzędzi zbudowanych na bazie takich modeli. Pełne omówienie tych obowiązków znajdziesz w artykule GPAI, czyli modele ogólnego przeznaczenia.
Warto jednak wiedzieć, że pośrednio ten etap ma znaczenie także dla firm korzystających z takich modeli za pośrednictwem gotowych aplikacji: lepsza dokumentacja i przejrzystość po stronie dostawcy modelu ułatwia stosującym wykazanie, na jakiej podstawie technologicznej działa ich własne narzędzie, co bywa przydatne przy budowaniu własnej dokumentacji zgodności.
Podsumowanie w tabeli
| Data | Co obowiązuje | Kogo dotyczy najszerzej |
|---|---|---|
| 2 lutego 2025 | Zakaz praktyk niedopuszczalnych (art. 5) | Wąska grupa specyficznych zastosowań AI |
| 2 lutego 2025 | Kompetencje w zakresie AI (art. 4) | Praktycznie każda firma korzystająca z AI w pracy |
| 2 sierpnia 2025 | Obowiązki dostawców modeli ogólnego przeznaczenia (GPAI) | Dostawcy dużych modeli bazowych AI |
Co dokumentacja z tego etapu powinna dziś zawierać
Firmy, które chcą realnie, a nie tylko deklaratywnie, spełniać obowiązek kompetencji AI z art. 4, powinny mieć dziś w swoich aktach przynajmniej kilka elementów: potwierdzenie, że szkolenie faktycznie się odbyło (data, lista uczestników), materiał, który został omówiony, oraz, najlepiej, formę sprawdzenia zrozumienia, na przykład krótki quiz. Sam fakt, że pracownicy “jakoś” znają ChatGPT z codziennego użytku, nie jest tym samym co udokumentowane spełnienie obowiązku ustawowego, a to właśnie ta różnica bywa najczęściej kwestionowana podczas kontroli.
Co to oznacza dla firmy, która jeszcze nic nie zrobiła
Jeśli Twoja firma jeszcze nie udokumentowała szkolenia zespołu z kompetencji AI, warto zrozumieć: obowiązek ten już obowiązuje, nie jest przyszłym terminem, na który jeszcze jest czas. Praktyczne znaczenie tego ma głównie w kontekście ewentualnej kontroli: brak udokumentowanego przygotowania na obowiązek, który już formalnie obowiązuje, jest trudniejszy do wytłumaczenia niż przygotowanie do obowiązku, który dopiero nadchodzi. Ogólny obraz tego, jak wygląda typowa kontrola i jak się do niej przygotować, opisuje artykuł Jak przygotować firmę na kontrolę.
Najczęściej zadawane pytania
Czy zakaz praktyk niedopuszczalnych dotyczy mojej firmy?
W zdecydowanej większości przypadków nie, bo dotyczy wąskiej grupy szczególnie szkodliwych zastosowań AI, takich jak scoring społeczny czy manipulacja podprogowa. Warto jednak zweryfikować, czy żadne z wykorzystywanych w firmie narzędzi nie mieści się w tej kategorii.
Czy obowiązek kompetencji AI wymaga formalnego certyfikatu?
Rozporządzenie nie narzuca jednej, sztywnej formy szkolenia, ale wymaga, żeby zespół realnie rozumiał podstawy działania używanych narzędzi AI i związane z nimi ryzyka. W praktyce warto to udokumentować (np. listą obecności i materiałem szkoleniowym), żeby móc to wykazać w razie kontroli.
Czy skoro nie tworzę własnego modelu AI, to obowiązki GPAI mnie nie dotyczą?
W zdecydowanej większości przypadków nie dotyczą Cię bezpośrednio jako stosującego gotowe narzędzie, tylko dostawcę modelu, na którym to narzędzie się opiera. Wyjątkiem są sytuacje, w których firma sama istotnie modyfikuje cudzy model i staje się przez to jego dostawcą w rozumieniu rozporządzenia.
Czy to jest porada prawna?
Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Ocenę zgodności konkretnej firmy z obowiązującymi już przepisami AI Act powinien przeprowadzić radca prawny lub adwokat.