Dlaczego mity o AI Act są groźniejsze niż same przepisy

Błędne przekonania o AI Act prowadzą do dwóch przeciwstawnych, równie kosztownych błędów: albo firma ignoruje realne obowiązki, bo wierzy, że jej nie dotyczą, albo panikuje i płaci za pełny, kosztowny pakiet zgodności, którego w jej sytuacji w ogóle nie potrzebuje. Poniżej najczęściej powtarzane uproszczenia, z rzeczowym sprostowaniem każdego.

Osiem najczęściej powtarzanych mitów

Mit 1: “AI Act dotyczy tylko wielkich firm technologicznych”

Nieprawda. Obowiązek kompetencji AI z art. 4 dotyczy każdej firmy, w której choć jedna osoba korzysta z narzędzi AI w pracy, niezależnie od wielkości i branży. Obowiązek przejrzystości z art. 50 dotyczy każdej firmy z chatbotem na stronie albo publikującej treści generowane przez AI. To właśnie małe i średnie firmy, nieświadome tych dwóch obowiązków, są w praktyce najbardziej narażone na luki w zgodności, bo duże korporacje zwykle mają już zespoły prawne monitorujące taką regulację. Zobacz Art. 4, kompetencje AI i Art. 50, obowiązki przejrzystości.

Mit 2: “Jeśli nie buduję własnego modelu AI, rozporządzenie mnie nie dotyczy”

Nieprawda. Zdecydowana większość obowiązków, z którymi w praktyce ma do czynienia MŚP, dotyczy roli stosującego (deployer), nie dostawcy modelu. Firma korzystająca z ChatGPT, chatbota od zewnętrznego dostawcy czy generatora grafik reklamowych jest stosującym i ma własny, choć węższy niż u dostawcy modelu, zestaw obowiązków. Pełne wyjaśnienie tego rozróżnienia w artykule Dostawca vs stosujący.

Mit 3: “Kara to na pewno miliony euro dla każdej firmy”

Nieprawda. Rozporządzenie przewiduje trzy różne progi kar, od 7,5 do 35 milionów euro w zależności od rodzaju naruszenia, i są to górne granice ustawowe, nie stawki automatycznie stosowane wobec każdego uchybienia. Faktyczna kara zależy od proporcjonalności, wielkości firmy, umyślności naruszenia i tego, czy firma współpracowała z organem nadzoru. Pełne rozbicie progów w artykule Kary za naruszenie AI Act.

Mit 4: “To to samo co RODO, więc już jesteśmy gotowi”

Nieprawda, choć podobieństwo w podejściu (ryzyko, dokumentacja, organ nadzoru) bywa mylące. RODO reguluje przetwarzanie danych osobowych, AI Act reguluje sposób projektowania i stosowania systemów sztucznej inteligencji, niezależnie od tego, czy przetwarzają dane osobowe. Firma w pełni zgodna z RODO może nadal nie mieć oznaczonego chatbota ani udokumentowanego szkolenia zespołu z AI, bo to zupełnie inne wymogi. Zgodność z jednym rozporządzeniem nie przekłada się automatycznie na zgodność z drugim, choć dokumentacja z jednego obszaru bywa pomocnym punktem wyjścia do drugiego.

Mit 5: “Wystarczy jeden mail od prawnika i sprawa załatwiona”

Nieprawda. Zgodność z AI Act w praktycznym zakresie (kompetencje zespołu, oznaczenia w interfejsie, rejestr systemów AI, polityka wewnętrzna) wymaga konkretnych, wdrożonych działań operacyjnych, nie tylko opinii prawnej potwierdzającej, że firma “rozumie” swoje obowiązki. Sama opinia prawna nie zastąpi udokumentowanego szkolenia zespołu ani realnie działającego oznaczenia w widgecie chatbota na stronie.

Mit 6: “Skoro mój chatbot pochodzi od zewnętrznego dostawcy, to on odpowiada za wszystko”

Nieprawda, a przynajmniej nie w całości. Część obowiązków (techniczne możliwości ujawnienia) rzeczywiście leży po stronie dostawcy widgetu, ale to firma stosująca odpowiada za to, żeby to ujawnienie faktycznie było aktywne i widoczne dla klienta w konkretnej implementacji. Gotowy sposób na przerzucenie właściwej części odpowiedzialności do dostawcy opisuje artykuł E-mail do dostawcy chatbota.

Mit 7: “Systemy wysokiego ryzyka to temat dla korporacji, nie dla mnie”

Częściowo prawda, częściowo nie. Większość MŚP faktycznie nie wchodzi w tę kategorię, ale konkretne zastosowania, zwłaszcza AI w rekrutacji czy w ocenie zdolności kredytowej, dotyczą tej kategorii niezależnie od wielkości firmy. Mała firma rekrutacyjna korzystająca z AI do automatycznej selekcji kandydatów podlega tym samym wymogom co duża korporacja robiąca to samo, z pewnymi ułatwieniami proceduralnymi opisanymi w artykule AI Act a MŚP. Pełny obraz tej kategorii w artykule Systemy wysokiego ryzyka.

Mit 8: “AI Act zakazuje sztucznej inteligencji w firmach”

Nieprawda, i to być może najbardziej rozpowszechniony mit ze wszystkich. Rozporządzenie zakazuje wąsko zdefiniowanej listy praktyk (scoring społeczny, manipulacja podprogowa i kilka innych), nie samego używania AI. Zdecydowana większość zastosowań AI w biznesie, od chatbotów po generowanie treści marketingowych, jest w pełni legalna, pod warunkiem spełnienia obowiązków proporcjonalnych do poziomu ryzyka danego zastosowania.

Wspólny mianownik większości tych mitów: traktowanie AI Act jako jednej, monolitycznej kary albo jednego, monolitycznego zwolnienia, zamiast zestawu konkretnych, zróżnicowanych obowiązków dopasowanych do konkretnej roli i konkretnego zastosowania.

Jak samodzielnie odróżnić mit od faktu

Zanim uznasz jakąś informację o AI Act za pewnik, warto sprawdzić trzy rzeczy: czy dotyczy konkretnego artykułu rozporządzenia, czy podaje źródło (tekst przepisu, oficjalny dokument, nie tylko “tak się mówi”), i czy rozróżnia rolę dostawcy od roli stosującego. Informacja, która miesza te dwie role albo mówi ogólnikowo o “obowiązkach AI Act” bez wskazania konkretnego przepisu, jest kandydatem do dalszej weryfikacji, nie do bezpośredniego wdrożenia.

Dlaczego te mity kosztują realne pieniądze

Firma wierząca w mit 1 lub 2 nie robi nic, dopóki nie trafi na kontrolę, po czym musi nadrabiać zaległości pod presją czasu, zamiast spokojnie wdrożyć wymagane elementy wcześniej. Firma wierząca w mit 3 albo panikuje i przepłaca za usługi, których nie potrzebuje, albo, co gorsza, zakłada, że “i tak nic mi nie grozi przy takiej małej skali”, ignorując realne, choć niższe niż nagłówkowe, ryzyko kary za konkretne uchybienie.

Najczęściej zadawane pytania

Skąd biorą się te mity?

Głównie z uproszczonych nagłówków medialnych skupionych na najwyższej kwocie kary i z marketingu części firm oferujących usługi zgodności, które korzystają ze strachu jako argumentu sprzedażowego, zamiast rzetelnie rozdzielać obowiązki.

Jak sprawdzić, które obowiązki faktycznie dotyczą mojej firmy, bez wpadania w te mity?

Najlepszym punktem wyjścia jest rzetelna inwentaryzacja narzędzi AI faktycznie używanych w firmie i zestawienie ich z konkretnymi artykułami rozporządzenia, zamiast opierania się na ogólnych wrażeniach z internetu. Pomocna jest checklista samodzielnego audytu AI Act.

Czy ten artykuł jest wyczerpującą listą wszystkich błędnych przekonań o AI Act?

Nie, to najczęściej powtarzane przykłady, nie zamknięta lista. W miarę jak przepisy wchodzą w życie i pojawiają się pierwsze doświadczenia firm z kontrolami, mogą powstawać nowe uproszczenia warte sprostowania.

Czy audyt strony rozwiewa te wątpliwości?

Audyt pokazuje konkretne, techniczne braki widoczne na stronie firmy (np. brak oznaczenia chatbota), co jest dobrym punktem startowym do zweryfikowania, które z powyższych mitów dotyczą akurat Twojej sytuacji. Możesz zamówić audyt swojej strony za 99 zł netto.