Akt o sztucznej inteligencji: przewodnik dla polskich MŚP

Ktoś w Państwa zespole zaczął używać Copilota, albo w oprogramowaniu, z którego korzystacie od lat, nagle pojawiła się funkcja AI, o którą nikt nie prosił. A potem podczas rozmowy pada słowo „AI Act”, z taką intonacją, jakby coś Państwo przeoczyli. Nie są Państwo w tym sami — większość polskich MŚP nigdy formalnie nie ustaliła, czy i w jakim zakresie ta regulacja dotyczy ich własnego wykorzystania AI. Ten tekst ma to wyjaśnić, bez żargonu prawniczego i bez udawania, że wszystko jest proste.

Rozporządzenie unijne, które obowiązuje wprost, bez polskiej ustawy

Rozporządzenie (UE) 2024/1689, czyli Akt o sztucznej inteligencji (AI Act), jest rozporządzeniem, a nie dyrektywą. Oznacza to, że jego przepisy obowiązują wprost w Polsce, bez konieczności uchwalania odrębnej ustawy wdrażającej. To, co Polska musi zrobić, to wyznaczyć organy nadzoru rynku i ukształtować system egzekwowania przepisów — a to zadanie instytucjonalne postępuje w różnym tempie w poszczególnych państwach członkowskich. Na dzień publikacji tego tekstu polska ustawa o systemach sztucznej inteligencji, która ma doprecyzować krajowe organy nadzoru, wciąż przechodzi przez proces legislacyjny — jeśli mają Państwo wątpliwości co do jej aktualnego statusu, warto to zweryfikować bezpośrednio, zanim podejmą Państwo decyzje oparte wyłącznie na tym artykule.

Dla polskich MŚP ma to szczególne znaczenie w sektorach, gdzie AI już działa w praktyce na dużą skalę. Polska ma jeden z największych w UE sektorów usług biznesowych (BPO/SSC), skupiony wokół Krakowa, Wrocławia i Warszawy — centra te coraz częściej wykorzystują AI do automatyzacji obsługi klienta, rekrutacji i analizy dokumentów. Podobnie w przemyśle motoryzacyjnym i elektronicznym, gdzie AI wspiera kontrolę jakości i predykcyjne utrzymanie ruchu. Wiele z tych firm używa więc AI produkcyjnie już dziś, nie ustaliwszy nigdy formalnie, czy i w jakim zakresie podlegają Aktowi o sztucznej inteligencji.

Kto w Polsce nadzoruje Akt o sztucznej inteligencji

Urząd Ochrony Danych Osobowych (UODO) jest polskim organem nadzorczym ds. ochrony danych od wejścia w życie RODO w 2018 roku. W projektach krajowej ustawy o systemach sztucznej inteligencji UODO wskazywany jest jako organ wiodący w nadzorze nad Aktem o sztucznej inteligencji, szczególnie w zakresie systemów AI przetwarzających dane osobowe — ale ostateczny podział kompetencji między UODO a organami sektorowymi, takimi jak UOKiK (ochrona konsumentów) czy KNF (nadzór finansowy), nie jest jeszcze w pełni ukształtowany i może się zmienić w toku dalszych prac legislacyjnych. Dla MŚP, które głównie kupują gotowe narzędzia AI, a nie budują własnych systemów, praktyczny wniosek jest taki, że w pierwszej kolejności to UODO będzie naturalnym punktem odniesienia, gdy w grę wchodzą dane osobowe.

Cztery poziomy ryzyka w skrócie

Akt o sztucznej inteligencji nie traktuje wszystkich systemów AI tak samo — wyróżnia cztery poziomy. Niedopuszczalne ryzyko obejmuje praktyki zakazane wprost, jak scoring społeczny na dużą skalę. Wysokie ryzyko dotyczy zastosowań wrażliwych, takich jak rekrutacja, ocena pracowników czy ocena zdolności kredytowej, i wiąże się z rozbudowanymi obowiązkami. Ograniczone ryzyko nakłada przede wszystkim obowiązki informacyjne — np. ujawnienie, że treść wygenerowano przy pomocy AI, albo że klient rozmawia z chatbotem. Minimalne ryzyko, w którym mieści się większość codziennych narzędzi, nie wiąże się z nowymi szczególnymi obowiązkami.

Kary: kwoty, które warto znać

System sankcji określa artykuł 99 rozporządzenia i obowiązuje on w całej UE, także w Polsce. Celem tych przepisów nie jest ściąganie kar, lecz zapobieganie realnym zagrożeniom — mimo to warto znać konkretne kwoty:

• Do 35 milionów euro lub 7% globalnego rocznego obrotu, w zależności od tego, która kwota jest wyższa — za zakazane praktyki AI.
• Do 15 milionów euro lub 3% globalnego rocznego obrotu — za większość pozostałych naruszeń, w tym obowiązków dostawców i podmiotów stosujących (deployerów) systemów wysokiego ryzyka.
• Do 7,5 miliona euro lub 1% globalnego rocznego obrotu — za wprowadzenie organów w błąd lub przekazanie nieprawidłowych informacji.

Istotne dla MŚP: artykuł 99 ust. 6 wprost przewiduje proporcjonalnie niższe pułapy kar dla MŚP i startupów. Przepis nie ma traktować firmy zatrudniającej dwadzieścia osób tak samo jak międzynarodowy koncern, choć powyższe kwoty pokazują ramy ogólne.

Co Państwa firma powinna sprawdzić

Zamiast zapamiętywać numery artykułów, warto zadać sobie kilka konkretnych pytań o własne wykorzystanie AI:

• Czy Państwa firma jest „dostawcą” (rozwijają Państwo system AI lub zlecają jego rozwój), czy „podmiotem stosującym”/deployerem (kupują i używają Państwo gotowych narzędzi)? Zdecydowana większość MŚP to deployerzy, nie dostawcy.
• Czy któreś z zastosowań AI w Państwa firmie dotyka obszarów wysokiego ryzyka z załącznika III, takich jak rekrutacja, ocena pracowników czy ocena zdolności kredytowej — istotne pytanie zwłaszcza dla firm z sektora BPO/HR, gdzie narzędzia rekrutacyjne oparte na AI są coraz częstsze?
• Czy używają Państwo chatbota w kontakcie z klientami albo publikują treści wygenerowane przez AI bez ich oznaczenia? To zwykle rodzi obowiązki informacyjne, nawet bez statusu wysokiego ryzyka.
• Czy mają Państwo pewność, które z opłacanych od lat programów w ciągu ostatniego roku po cichu dodały funkcję AI, bez formalnej oceny przez kogokolwiek w firmie?

Informacje ogólne, nie porada prawna

Powyższe to informacje ogólne, które mają pomóc Państwu zorientować się w temacie — nie stanowią porady prawnej dotyczącej Państwa konkretnej sytuacji. Akt o sztucznej inteligencji zawiera niuanse, których jeden artykuł nie jest w stanie w pełni objąć, a jego zastosowanie zależy od precyzyjnego sposobu wykorzystania AI w danej firmie. Gdy Komplya publikuje tego rodzaju treści, wyraźnie rozróżnia materiał zweryfikowany prawnie od materiału, który wciąż ma status roboczy, aby mogli Państwo świadomie korzystać z tego, co czytają.

Najszybsza droga od „chyba nas to dotyczy” do jasnej odpowiedzi to przejście punkt po punkcie przez rzeczywiste wykorzystanie AI w Państwa firmie. Proszę wypełnić krótki kwestionariusz dotyczący Państwa działalności i otrzymać zestawienie w prostym języku tego, co prawdopodobnie ma zastosowanie do Państwa firmy.