AI Act: co zmienia się od 2 sierpnia

AI Act to unijne przepisy regulujące sztuczną inteligencję. Dzielą systemy AI na kategorie ryzyka i do każdej z nich przypisują inne obowiązki – od prostego wymogu informowania o tym, że mamy do czynienia z AI, po surowe zasady dla zastosowań wysokiego ryzyka. Jeśli AI działa u Ciebie w pobliżu regulowanego procesu – np. w bankowości, ubezpieczeniach czy sektorze publicznym – część tych obowiązków dotyczy Cię już teraz.

Co ważne, obowiązki te nie dotyczą samego systemu AI, tylko konkretnego momentu, w którym AI ma kontakt z drugim człowiekiem: gdy chatbot odpowiada klientowi albo gdy pismo przygotowane z pomocą AI trafia do adresata pod Twoją firmą. To właśnie ten moment – krok w Twoim procesie – decyduje o tym, czy przepisy są spełnione, czy naruszone.

Zacznijmy więc od kwestii, która budzi najwięcej nieporozumień.

Latem najwięcej mówiło się o tych częściach AI Act, których terminy przesunięto. Obowiązki dla systemów wysokiego ryzyka zaczną obowiązywać dopiero w 2027 i 2028 roku – to efekt pakietu Digital Omnibus, przyjętego przez Radę UE w czerwcu. Po takich wiadomościach łatwo pomyśleć, że cały temat AI Act można odłożyć na przyszły rok.

Tyle że jeden termin się nie zmienił. Obowiązek informowania o wykorzystaniu AI nadal wchodzi w życie 2 sierpnia 2026 roku, razem z możliwością egzekwowania przepisów i nakładania kar. To akurat ten obowiązek, o którym wiele firm już zdążyło zapomnieć – a jednocześnie ten, którego termin nadchodzi jako pierwszy.

Sprowadza się to do prostego pytania: czy osoba, która ma kontakt z Twoim AI, wie o tym, i czy potrafisz pokazać regulatorowi dokładnie, gdzie i kiedy ją o tym poinformowano? Na to pytanie Twoje procesy będą musiały odpowiedzieć już wkrótce.

Pakiet Digital Omnibus dotyczący AI, przyjęty przez Radę 29 czerwca 2026 roku, przesunął terminy dla obowiązków związanych z systemami wysokiego ryzyka. Samodzielne systemy wysokiego ryzyka mają teraz czas do 2 grudnia 2027 roku, a systemy AI wbudowane w regulowane produkty – do 2 sierpnia 2028 roku. To realnie dwa dodatkowe lata na najbardziej wymagającą część pracy nad zgodnością.

Nie zmienił się za to termin dla Artykułu 50. Wchodzi on w życie 2 sierpnia 2026 roku, razem z możliwością egzekwowania przepisów i karami. Ten sam termin obowiązuje też organy nadzoru rynku, które będą prowadzić kontrole i sprawdzać zgodność.

Dla firm mających kontakt z klientami najważniejsze są dwie rzeczy wynikające z Artykułu 50.

Po pierwsze – trzeba informować ludzi, że rozmawiają z AI, chyba że jest to już oczywiste. Jeśli klient wchodzi w interakcję z chatbotem, asystentem głosowym czy automatyczną wiadomością, powinien się o tym dowiedzieć od razu, na samym początku, i to w sposób, który faktycznie zwróci jego uwagę – a nie gdzieś w regulaminie.

Po drugie – trzeba oznaczać treści wygenerowane przez AI tak, żeby dało się je rozpoznać jako sztuczne. Dla systemów wprowadzanych na rynek od 2 sierpnia 2026 roku ten obowiązek działa od razu. Systemy, które działają już wcześniej, dostają trochę więcej czasu – oznaczenia muszą wprowadzić najpóźniej do 2 grudnia 2026 roku.

Wiele firm myli te dwa obowiązki, a to błąd, który łatwo popełnić. Ukryty w metadanych pliku znacznik, czytelny dla maszyn, może formalnie spełniać wymóg oznaczania treści – ale nic nie da w kontekście informowania klienta, bo w rozmowie na czacie nikt nie zagląda do metadanych. Jeden obowiązek jest skierowany do systemów, które później analizują treść. Drugi – do konkretnej osoby, która właśnie teraz patrzy na ekran. Trzeba spełnić oba, i zwykle robi się to na dwa różne sposoby.

Zapis w polityce firmy, że jesteście przejrzyści w kwestii AI, nic nie znaczy dla regulatora, który dostał skargę. Regulatora interesuje konkretny krok w procesie, w którym doszło do poinformowania klienta – i to w kanale, z którego klient faktycznie korzystał. Chce też wiedzieć, czy informacja pojawiła się we właściwym języku i dokładnie wtedy, gdy klient jej potrzebował.

Polityka opisuje dobre intencje. Regulator oczekuje dowodu przypisanego do konkretnego miejsca w procesie. O wiele łatwiej wbudować taki dowód w proces od razu, niż odtwarzać go później, gdy przyjdzie skarga.

Rozmowa z chatbotem albo zredagowane pismo to konkretny, dający się wskazać moment. Albo potrafisz pokazać, co się w nim wydarzyło, albo nie.

AI Act dzieli obowiązki między dwie role: dostawcę i podmiot stosujący. To, która rola Cię dotyczy, decyduje o tym, jaki obowiązek musisz faktycznie spełnić.

Większość firm z branży bankowej, ubezpieczeniowej czy publicznej to podmioty stosujące, a nie dostawcy. Jeśli sam tworzysz system AI albo działa on pod Twoją marką, bierzesz na siebie obowiązki dostawcy – w tym zaprojektowanie komunikatu informującego o AI i oznaczanie treści. Jeśli natomiast korzystasz z gotowego rozwiązania firmy trzeciej, zwykle jesteś podmiotem stosującym. Ta rola też niesie obowiązki w momencie, gdy treść trafia do odbiorcy – na przykład informowanie o deepfake’ach czy niektórych publikowanych tekstach.

Jeden system może stawiać Cię w obu rolach naraz. Zanim zaczniesz pisać treść komunikatu, ustal, która rola dotyczy każdego punktu, w którym klient styka się z AI.

Znajomość swojej roli podpowiada, co sprawdzić w następnej kolejności: czy dany punkt kontaktu z AI w ogóle niesie ze sobą jakiś obowiązek. Nie każdy go niesie, a przesadne traktowanie każdego przypadku jako obowiązkowego to strata czasu i fałszywe poczucie bezpieczeństwa.

Nie trzeba oznaczać wszystkiego. Jeśli AI tylko pomaga w rutynowej edycji – na przykład poprawia gramatykę – albo nie zmienia w istotny sposób treści ani jej sensu, obowiązek oznaczania po prostu nie ma zastosowania.

Liczy się też ludzka kontrola. Jeśli konkretna osoba bierze na siebie redakcyjną odpowiedzialność za publikację tekstu wygenerowanego przez AI, obowiązek oznaczania również odpada. W przypadku treści wyraźnie artystycznych czy satyrycznych wystarczy, że informacja o AI pojawi się w sposób, który nie zepsuje odbioru dzieła.

Jest też wyjątek dla sytuacji oczywistych – jeśli dla odbiorców jest jasne, że mają do czynienia z AI, nie trzeba dodatkowo o tym informować. Regulatorzy podchodzą jednak do słowa „oczywiste” bardzo ostrożnie, więc sam fakt, że chatbot jest dobrze zaprojektowany, zwykle nie wystarczy.

Zestawienie punktów kontaktu z AI z wymogami Artykułu 50 nie jest trudne – zwłaszcza jeśli Twoje procesy są już opisane w formie modeli.

• Przejrzyj procesy, które mają kontakt z klientami i pracownikami, i zaznacz każdy krok, w którym AI wpływa na to, co dana osoba czyta lub otrzymuje.
• Przy każdym takim kroku ustal, czy jesteś dostawcą czy podmiotem stosującym, i czy w ogóle dotyczy go jakiś obowiązek z Artykułu 50.
• Dla każdego obowiązku zapisz, jak wygląda komunikat lub oznaczenie, gdzie się pojawia, kto za niego odpowiada i gdzie przechowywane są dowody.

To właśnie dowody mają największe znaczenie, bo Artykuł 50 nie przewiduje formalnej wcześniejszej oceny zgodności – nikt nie sprawdza Twojej pracy z góry. Jeśli wpłynie skarga, to zebrana przez Ciebie dokumentacja pokazuje, czy działałeś zgodnie z przepisami. Ta sama analiza przyda się też przy obowiązkach, które wejdą w życie w 2027 roku – więc ta praca nie pójdzie na marne.

Przejrzenie wszystkich procesów i oznaczenie każdego punktu kontaktu z AI to spory wysiłek, który szybko rośnie w firmach z wieloma takimi procesami. Dochodzi do tego śledzenie, kto odpowiada za dowody stojące za każdym z nich. Sam ADONIS nie sprawi, że staniesz się zgodny z przepisami ani przejrzysty – to dzieje się w realnym kontakcie z odbiorcą, a odpowiedzialność za zgodność spoczywa na całej organizacji.

To, co daje ADONIS, to miejsce, w którym cała ta praca może być na bieżąco widoczna. Narzędzie pokazuje każdy punkt kontaktu z AI w kontekście procesu, do którego należy, zapisuje, kto odpowiada za dane ujawnienie informacji, i w razie potrzeby od razu wskazuje właściwy krok jako dowód. Sama treść komunikatu do klienta nadal zależy od Ciebie – ADONIS przechowuje mapę procesów, informacje o odpowiedzialności i ślad dowodowy, który za nimi stoi.