EU AI Act 2026: co firmy muszą teraz wdrożyć

AI Act reguluje nie samą technologię, lecz jej zastosowanie w zależności od ryzyka. Rozróżnia cztery stopnie.

• Ryzyko niedopuszczalne. Określone praktyki są zakazane, na przykład social scoring prowadzony przez organy publiczne. Te zakazy obowiązują już od lutego 2025 roku.
• Wysokie ryzyko. Systemy w obszarach wrażliwych, takich jak rekrutacja, udzielanie kredytów czy infrastruktura krytyczna. Tu skupia się większość obowiązków.
• Ograniczone ryzyko. Systemy z obowiązkiem przejrzystości, na przykład chatboty, które muszą ujawniać, że są AI.
• Minimalne ryzyko. Zdecydowana większość codziennych zastosowań, bez szczególnych wymogów.

Właściwa praca polega na uczciwym przypisaniu własnych zastosowań do tych stopni.

Stosowanie przepisów jest rozłożone w czasie. Zakazy obowiązują od 2 lutego 2025 roku, obowiązki dla modeli AI ogólnego przeznaczenia od 2 sierpnia 2025 roku. Dla wielu firm decydującym terminem jest 2 sierpnia 2026 roku, od którego zaczyna obowiązywać większość wymogów dla systemów wysokiego ryzyka. Dla określonych produktów z wbudowaną AI obowiązuje dłuższy termin, do 2 sierpnia 2027 roku.

Oficjalne terminy i teksty aktów prawnych można znaleźć w przeglądzie European AI Act. Kto jest objęty przepisami w 2026 roku, nie powinien rozpoczynać wdrożenia dopiero tuż przed terminem, ponieważ dokumentacja i dowody techniczne wymagają czasu.

Jeśli zastosowanie trafia do klasy wysokiego ryzyka, AI Act wymaga między innymi zarządzania ryzykiem, możliwej do prześledzenia podstawy danych, dokumentacji technicznej, nadzoru ludzkiego oraz odpowiedniej dokładności wraz z rejestrowaniem zdarzeń. Wspólnym mianownikiem tych wymogów jest możliwość prześledzenia: decyzja musi być wyjaśnialna i możliwa do skontrolowania.

Dla architektury wynika z tego praktyczny wniosek. Systemy, których przetwarzanie odbywa się we własnej infrastrukturze i których przepływ danych jest w pełni widoczny, łatwiej udokumentować niż rozproszone wywołania zewnętrznych usług. Możliwość prześledzenia jest więc także tematem architektonicznym, nie tylko prawnym.

AI Act nie zastępuje RODO, lecz funkcjonuje obok niego. Tam, gdzie zastosowanie AI przetwarza dane osobowe, obowiązują oba akty. W praktyce jest to często zaletą, ponieważ wiele firm zna już struktury RODO, a AI Act opiera się na porównywalnych zasadach, takich jak ograniczenie celu, dokumentacja i minimalizacja danych.

Zwłaszcza w przypadku danych wrażliwych wzmacnia to argumenty za kontrolowanym trybem pracy. Jaki kompromis między pracą lokalną a chmurą ma sens w tym kontekście, omawiamy w On-Premise vs. Cloud-LLM: kiedy lokalna AI to właściwy wybór.

Pierwsze kroki są niezależne od branży.

1. Zinwentaryzować. Ująć wszystkie wdrożone i planowane zastosowania AI, także te zakupione w ramach obcego oprogramowania.
2. Sklasyfikować. Przypisać każde zastosowanie do stopnia ryzyka i udokumentować uzasadnienie.
3. Zamknąć luki. Dla zastosowań wysokiego ryzyka zbudować dokumentację, nadzór i rejestrowanie zdarzeń.
4. Wyjaśnić odpowiedzialność. Wyznaczyć osobę, która zachowuje przegląd sytuacji i pilnuje terminu.

Jak ten pierwszy krok wpisuje się w większy plan, opisuje Wdrażanie AI w sektorze MŚP: praktyczny plan działania. Dlaczego kontrola nad wykorzystywanymi modelami ma przy tym znaczenie, opisuje Lekcja suwerenności Fable 5.