Checklista unijnego AI Act dla firm

Kogo dotyczy AI Act

AI Act dotyczy organizacji, które rozwijają, dostarczają lub stosują systemy AI w UE, w tym firm z siedzibą poza UE, których systemy AI są wprowadzane na rynek UE lub których wyniki są wykorzystywane w UE. To, co musicie zrobić, zależy od Waszej roli wobec każdego systemu:

• Dostawca: rozwija system AI lub model AI ogólnego przeznaczenia albo zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą.
• Podmiot stosujący: korzysta z systemu AI pod własną kontrolą w działalności zawodowej, na przykład firma używająca narzędzia rekrutacyjnego dostawcy.
• Importer i dystrybutor: wprowadzają system spoza UE na rynek UE lub go tam udostępniają.

Większość firm to podmioty stosujące. Podmiot stosujący staje się dostawcą, jeśli opatrzy system wysokiego ryzyka swoją nazwą lub znakiem towarowym, istotnie go zmodyfikuje albo zmieni przeznaczenie systemu tak, że stanie się on systemem wysokiego ryzyka.

Terminy

Daty odpowiadają AI Act po zmianach wprowadzonych rozporządzeniem (UE) 2026/1744, czyli cyfrowym omnibusem, obowiązującym od 27 lipca 2026 r.

• 1 sie 2024AI Act wchodzi w życie.
• 2 lut 2025Praktyki zakazane są zabronione, a obowiązek dotyczący kompetencji w zakresie AI zaczyna obowiązywać.
• 2 sie 2025Zaczynają obowiązywać zasady dla modeli AI ogólnego przeznaczenia, zarządzanie i kary.
• 2 sie 2026Zaczynają obowiązywać obowiązki przejrzystości z artykułu 50. Urząd ds. AI może egzekwować zasady dla modeli AI ogólnego przeznaczenia, a organy krajowe nadzorują kompetencje w zakresie AI.
• 2 gru 2026Zaczynają obowiązywać dwa nowe zakazy: AI tworzącej intymne lub seksualne obrazy bez zgody oraz materiałów przedstawiających seksualne wykorzystywanie dzieci. Systemy generatywne obecne na rynku przed 2 sierpnia 2026 r. muszą do tego dnia oznaczać swoje wyniki.
• 2 sie 2027Modele AI ogólnego przeznaczenia wprowadzone do obrotu przed 2 sierpnia 2025 r. muszą być zgodne.
• 2 gru 2027Zaczynają obowiązywać obowiązki dla zastosowań wysokiego ryzyka wymienionych w załączniku III.
• 2 sie 2028Zaczynają obowiązywać obowiązki dla AI wysokiego ryzyka w produktach objętych załącznikiem I.
• 2 sie 2030Systemy wysokiego ryzyka używane przez organy publiczne, które były już na rynku, muszą być zgodne.

Krok 1: Spisać każdy system AI

• Zebrać narzędzia AI, z których korzystają ludzieAsystenci, tacy jak Claude, ChatGPT, Copilot lub Gemini, z planem i zespołami, które ich używają.
• Znaleźć AI w swoim oprogramowaniuFunkcje w narzędziach HR, CRM, finansowych i bezpieczeństwa, które opierają się na AI, od selekcji po scoring.
• Dodać to, co tworzycieModele, agenci i automatyzacje rozwijane wewnętrznie lub przez partnera.
• Zapisać cel i daneDo czego służy każdy system, jakich danych używa i kogo dotyczą jego wyniki.
• Wyznaczyć właściciela i rolęWskazana osoba dla każdego systemu oraz to, czy jesteście jego dostawcą, czy podmiotem stosującym.

Krok 2: Sklasyfikować ryzyko

Każde zastosowanie trafia do jednego z czterech poziomów. Klasyfikujcie każde zastosowanie, a nie każdy produkt: ten sam asystent może być minimalnym ryzykiem przy pisaniu e-maili i wysokim ryzykiem, gdy służy do selekcji kandydatów do pracy.

Komisja opublikowała wytyczne dotyczące definicji systemu AI i zakazanych praktyk w lutym 2025 r., a projekt wytycznych dotyczących klasyfikacji wysokiego ryzyka w maju 2026 r. Systemy wysokiego ryzyka obecne na rynku przed swoją datą są objęte tylko wtedy, gdy zostaną później istotnie zmienione; te używane przez organy publiczne muszą być zgodne do 2 sierpnia 2030 r.

Krok 3: Ustalić obowiązki swojej roli

Każdy dostawca i podmiot stosujący

Podejmować środki wspierające kompetencje w zakresie AI pracowników i innych osób, które obsługują systemy AI lub korzystają z nich w Waszym imieniu, zgodnie z artykułem 4.

Podmioty stosujące systemy wysokiego ryzyka, artykuł 26

• Używać systemu zgodnie z instrukcjąStosować się do instrukcji obsługi dostawcy.
• Powierzyć nadzór człowiekaOsobom, które mają do tego kompetencje, przeszkolenie i uprawnienia.
• Kontrolować dane wejścioweTam, gdzie macie nad nimi kontrolę, dbać o to, by były adekwatne i reprezentatywne dla celu.
• Monitorować i reagowaćGdy pojawi się ryzyko, poinformować dostawcę i organ oraz zawiesić użycie. Zgłaszać poważne incydenty.
• Przechowywać logiPrzez co najmniej sześć miesięcy.
• Informować ludziPoinformować pracowników i ich przedstawicieli przed użyciem AI wysokiego ryzyka w pracy oraz informować ludzi, gdy taki system jest używany w decyzjach, które ich dotyczą.
• Wykorzystać informacje od dostawcyW ocenie skutków dla ochrony danych zgodnie z RODO.

Dostawcy systemów wysokiego ryzyka

Zarządzanie ryzykiem, zarządzanie danymi, dokumentacja techniczna, rejestrowanie zdarzeń, instrukcje dla podmiotów stosujących, nadzór człowieka, dokładność, solidność i cyberbezpieczeństwo, system zarządzania jakością, ocena zgodności, oznakowanie CE, rejestracja w unijnej bazie danych i monitorowanie po wprowadzeniu do obrotu.

Przejrzystość, artykuł 50

Dostawcy projektują systemy wchodzące w interakcję z ludźmi tak, aby ci ludzie wiedzieli, że mają do czynienia z AI, chyba że jest to oczywiste, i oznaczają treści generowane przez AI w formacie nadającym się do odczytu maszynowego. Podmioty stosujące ujawniają deepfake oraz teksty generowane przez AI, publikowane w celu informowania społeczeństwa o sprawach interesu publicznego, chyba że człowiek je zweryfikował i ponosi odpowiedzialność redakcyjną. Komisja opublikowała wytyczne dotyczące tych obowiązków 20 lipca 2026 r.

Dostawcy modeli AI ogólnego przeznaczenia

Dokumentacja techniczna, informacje dla firm, które budują na modelu, polityka w zakresie praw autorskich i publiczne streszczenie treści użytych do trenowania, z dodatkowymi obowiązkami dla modeli z ryzykiem systemowym. Kodeks postępowania w zakresie AI ogólnego przeznaczenia z lipca 2025 r. to uznany sposób wykazania zgodności.

Krok 4: Zbudować kompetencje w zakresie AI

Artykuł 4 stosuje się od 2 lutego 2025 r. Po zmianach z lipca 2026 r. wymaga, aby dostawcy i podmioty stosujące podejmowali środki wspierające kompetencje w zakresie AI swoich pracowników i innych osób korzystających z AI w ich imieniu, bez obowiązku gwarantowania określonego poziomu. Organy krajowe nadzorują to od 2 sierpnia 2026 r., a żaden certyfikat nie jest wymagany.

• Ustalić, kto korzysta z jakich systemówWedług roli, od okazjonalnych użytkowników po osoby nadzorujące systemy wysokiego ryzyka.
• Szkolić według rólMożliwości, ryzyka i zasady Waszej polityki AI, dopasowane do każdej roli i systemu.
• Prowadzić ewidencjęKto został przeszkolony, kiedy i z czego, aby wykazać podjęte środki.

Zobaczcie szkolenia z kompetencji w zakresie AI zgodnie z artykułem 4.

Krok 5: Ustanowić ład

• Spisać politykę AIZatwierdzone narzędzia, dozwolone dane, weryfikacja wyników i to, kto decyduje o nowych zastosowaniach.
• Prowadzić rejestr AIInwentarz z kroku 1, utrzymywany na bieżąco, z poziomem ryzyka i właścicielem każdego systemu.
• Sprawdzić dostawcówPoprosić dostawców o dokumentację związaną z AI Act i instrukcje obsługi i uwzględnić je w umowach.
• Ustalić proces obsługi incydentówJak problemy są zgłaszane, oceniane i, w przypadku systemów wysokiego ryzyka, notyfikowane organom.
• Robić przegląd co kwartałNowe narzędzia, nowe zastosowania i nowe wytyczne Komisji.

Norma systemu zarządzania, taka jak ISO/IEC 42001, nadaje temu ładowi strukturę rozpoznawaną przez audytorów.

Kary

Stosuje się wyższą z dwóch kwot. Dla MŚP i start-upów stosuje się niższą, na każdym poziomie, a małe spółki o średniej kapitalizacji korzystają z niższej kwoty na dwóch niższych poziomach.

Źródła

• Regulation (EU) 2026/1744, the Digital Omnibus on AI, Official Journal
• AI Act Service Desk: Article 4, AI literacy
• AI Act Service Desk: Article 26, obligations of deployers of high-risk AI systems
• AI Act Service Desk: Article 50, transparency obligations
• AI Act Service Desk: Article 99, penalties
• AI Act Service Desk: Article 113, entry into force and application
• European Commission: AI literacy questions and answers
• European Commission: guidelines on the definition of an AI system
• European Commission: guidelines on prohibited AI practices
• European Commission: draft guidelines on high-risk classification
• European Commission: guidelines on transparency obligations