AI Act — zgodność systemów sztucznej inteligencji

Większość firm używa dziś sztucznej inteligencji, nie nazywając tego wdrożeniem AI — model w rekrutacji, scoring klienta, generator treści w obsłudze. AI Act patrzy jednak nie na nazwę, tylko na zastosowanie i związane z nim ryzyko.

Zaczynam od inwentaryzacji: co w firmie faktycznie jest systemem AI w rozumieniu rozporządzenia i do czego jest używane. Dopiero to pozwala powiedzieć, które obowiązki Cię obejmą i kiedy.

Rozporządzenie dzieli systemy według ryzyka. Praktyki zakazane — jak scoring społeczny czy rozpoznawanie emocji w miejscu pracy i w edukacji — są niedopuszczalne od lutego 2025 roku. Systemy wysokiego ryzyka, a więc między innymi narzędzia używane w rekrutacji, ocenie pracowników, ocenie zdolności kredytowej i dostępie do usług publicznych, wymagają pełnego zestawu: systemu zarządzania ryzykiem, dokumentacji technicznej, rejestrowania zdarzeń, nadzoru człowieka i oceny zgodności. Systemy o ograniczonym ryzyku, jak chatboty i generatory treści, wymagają przede wszystkim poinformowania odbiorcy, że ma do czynienia ze sztuczną inteligencją. Reszta zostaje poza obowiązkami — i to jest najczęstszy wynik inwentaryzacji.

Obowiązki wchodzą etapami: zakazane praktyki i obowiązek podnoszenia kompetencji w zakresie AI od lutego 2025 roku, przepisy o modelach ogólnego przeznaczenia i kary od sierpnia 2025, główna część rozporządzenia wraz z systemami wysokiego ryzyka z załącznika III od sierpnia 2026, a systemy będące elementem bezpieczeństwa produktów objętych odrębnymi przepisami — od sierpnia 2027. Zakres Twoich obowiązków zależy przy tym od roli: inaczej odpowiada dostawca, który system tworzy i wprowadza na rynek, a inaczej podmiot stosujący, który kupił gotowe narzędzie i używa go u siebie.

Kary sięgają 35 mln euro albo 7% światowego obrotu za praktyki zakazane oraz 15 mln euro albo 3% za naruszenie pozostałych obowiązków, w tym wymogów dla systemów wysokiego ryzyka. Dla małych i średnich przedsiębiorstw stosuje się niższą z tych wartości.