AI Act : europejskie rozporządzenie dotyczące sztucznej inteligencji

Kalendarz wdrożenia AI Act

Wdrażanie AI Act odbywa się według stopniowego harmonogramu, obejmującego okres od 2 lutego 2025 do końca 2027 roku. Takie rozłożenie w czasie ma umożliwić podmiotom gospodarczym dostosowanie się do nowych wymogów, przy jednoczesnym szybkim uruchomieniu najpilniejszych mechanizmów ochronnych.

• 2 lutego 2025: wejście w życie zakazów (artykuł 5) oraz obowiązków w zakresie edukacji w dziedzinie IA (artykuł 4). Zakazane praktyki AI - manipulacja podprogową, wykorzystywanie podatności, scoring społeczny, zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej - stają się nielegalne na terenie całej UE.
• 2 sierpnia 2025: wejście w życie szczególnych obowiązków dla dostawców ogólnego przeznaczenia modeli AI (GPAI). To kluczowy etap dla ekosystemu AI generatywnej.
• 2 sierpnia 2026: zastosowanie przepisów dotyczących systemów AI wysokiego ryzyka wymienionych w załączniku III (rekrutacja, scoring, wymiar sprawiedliwości, edukacja itd.) oraz powołanie krajowych organów nadzorczych.
• 2 sierpnia 2027: zastosowanie przepisów wobec systemów AI wysokiego ryzyka zintegrowanych z już regulowanymi produktami (wyroby medyczne, pojazdy, zabawki...) w ramach New Legislative Framework.

Obowiązki modeli AI ogólnego przeznaczenia (GPAI)

Ujęte w rozdziale V rozporządzenia, obowiązki GPAI stanowią sedno regulacji modeli foundation models. Każdy dostawca ogólnego przeznaczenia modelu AI wprowadzanego na rynek europejski - także w modelu open source, z częściowymi wyłączeniami - musi:

• prowadzić aktualną dokumentację techniczną opisującą architekturę modelu, proces treningu, wykorzystane zasoby obliczeniowe oraz metryki ewaluacyjne;
• publikować wystarczająco szczegółowe podsumowanie treści użytych do treningu, w szczególności danych chronionych prawem autorskim;
• wprowadzić politykę poszanowania praw autorskich, w tym respektować opt-out zgłaszane przez uprawnionych na mocy dyrektywy (UE) 2019/790 (prawo pokrewne i wyjątek dla text and data mining);
• współpracować z European AI Office oraz właściwymi organami krajowymi.

Dla modeli o ryzyku systemowym, zidentyfikowanych przez próg obliczeniowy powyżej 10²⁵ FLOPS lub wyznaczonych przez Komisję, obowiązują dodatkowo: ciągła ocena ryzyka, standaryzowane testy adversarialne (red-teaming), środki cyberbezpieczeństwa, zgłaszanie poważnych incydentów do AI Office oraz publikacja raportu dotyczącego efektywności energetycznej. W momencie wejścia w życie przepisów w sierpniu 2025, w tym zakresie znajdowały się m.in. GPT-4, Gemini Ultra, Claude 3 Opus oraz Llama 3.1 405B. Próg może zostać zrewidowany przez Komisję w zależności od postępu technologicznego.

Kodeks dobrych praktyk GPAI

Aby ułatwić zgodność z artykułami 53 i 55 przed przyjęciem standardów zharmonizowanych, Komisja Europejska rozpoczęła w lipcu 2024 prace nad Kodeksem dobrych praktyk dla modeli AI ogólnego przeznaczenia. Koordynowany przez AI Office i opracowywany przez trzynastu niezależnych ekspertów oraz blisko sto konsultowanych organizacji, kodeks przeszedł kilka wersji roboczych przed publikacją ostateczną 10 lipca 2025.

Kodeks opiera się na trzech filarach: przejrzystości (publikacja informacji technicznych dla wdrażających i opinii publicznej), prawie autorskim (procedury operacyjne zapewniające respektowanie opt-out) oraz bezpieczeństwie dla modeli o ryzyku systemowym. Jego przyjęcie jest dobrowolne, ale daje domniemanie zgodności: dostawca stosujący się do jego postanowień uznawany jest za spełniającego odpowiednie wymagania. Najważniejsze laboratoria amerykańskie i europejskie zgodziły się na jego przestrzeganie, z wyraźnym wyjątkiem Meta, która odmówiła podpisania w lipcu 2025, powołując się na niezgodność z praktykami dotyczącymi Llama. Google i Anthropic podpisały kodeks z zastrzeżeniami, natomiast OpenAI, Mistral AI i Microsoft udzieliły pełnego poparcia.

Artykuł 53 i kwestia praw autorskich

Artykuł 53 stał się ogniskiem debaty o współistnieniu AI generatywnej i przemysłów kreatywnych. Jego §1(c) nakłada na dostawców GPAI obowiązek wdrożenia polityki poszanowania praw autorskich, a §1(d) wymaga publikacji wystarczająco szczegółowego podsumowania treści użytych do treningu, według wzoru określonego przez AI Office.

W praktyce mechanizm opiera się na połączeniu wyjątku TDM (text and data mining, artykuł 4 dyrektywy 2019/790) oraz opt-out machine-readable. Uprawnieni, którzy nie chcą, by ich utwory były wykorzystywane do treningu modeli AI, muszą zgłosić sprzeciw w formacie czytelnym maszynowo - najczęściej poprzez plik robots.txt, nagłówek HTTP lub metadane w utworze. Istnieje kilka konkurencyjnych inicjatyw - TDM Reservation Protocol W3C, ai.txt, C2PA - ale żadna nie stała się standardem w 2026 roku.

Francuscy uprawnieni kwestionują skuteczność tego rozwiązania. SACEM, SCAM, SACD i SDRM podnoszą problem asymetrii informacji i braku realnych sankcji za nieprzestrzeganie opt-out. W maju 2026 odrzucenie przez Zgromadzenie Narodowe projektu ustawy Darcos, mającego wprowadzić odwrócony ciężar dowodu (domniemanie wykorzystania utworów w przypadku braku przejrzystości) poprzez artykuł L. 331-4-1 francuskiego Kodeksu własności intelektualnej, pozostawiło posiadaczy praw bez krajowego wsparcia legislacyjnego, odsyłając ich do ścisłego stosowania artykułu 53 przez Komisję Europejską.

Zarządzanie: AI Office i European AI Board

AI Act powołuje dwa centralne organy europejskie. European AI Office (European AI Office), ustanowiony decyzją Komisji w maju 2024 i podlegający DG CONNECT, nadzoruje wdrażanie rozporządzenia w zakresie GPAI oraz modeli o ryzyku systemowym. Opracowuje kodeks dobrych praktyk, monitoruje dostawców, rozpatruje skargi i może nakładać sankcje. W momencie powstania zatrudniał około stu pracowników, a na jego czele stała Lucilla Sioli.

European AI Board (European AI Board) skupia przedstawicieli krajowych organów nadzorczych 27 państw członkowskich. Pierwsze oficjalne posiedzenie odbyło się we wrześniu 2024. Rada koordynuje działania państw członkowskich, ujednolica interpretację rozporządzenia i doradza Komisji. Całość uzupełnia Forum konsultacyjne z udziałem przemysłu, społeczeństwa obywatelskiego, środowisk akademickich i MŚP.

Na poziomie krajowym każde państwo członkowskie wyznacza jeden lub kilka właściwych organów. We Francji CNIL koordynuje wdrażanie przepisów dotyczących danych osobowych, natomiast DGCCRF i DGE odpowiadają za produkty i rynek wewnętrzny. W 2025 zapowiedziano powstanie międzyresortowej grupy koordynacyjnej, która jednak nie została sformalizowana do chwili wejścia w życie przepisów GPAI.

Sankcje i egzekwowanie przepisów

AI Act przewiduje skalę sankcji dostosowaną do wagi naruszenia:

• do 35 milionów euro lub 7% światowego rocznego obrotu (wyższa z tych wartości) za nieprzestrzeganie zakazanych praktyk (artykuł 5);
• do 15 milionów euro lub 3% za naruszenie obowiązków dotyczących systemów wysokiego ryzyka, GPAI oraz przejrzystości;
• do 7,5 miliona euro lub 1% za przekazanie nieprawidłowych informacji organom.

MŚP i start-upy korzystają z proporcjonalnego limitu: stosuje się niższą z dwóch wartości. Pierwsze formalne postępowania mają zostać wszczęte przez AI Office pod koniec 2026 roku, po okresie stopniowego dostosowywania się do przepisów.

Wpływ na ekosystem: przemysł, open source, badania

AI Act gruntownie zmienił europejski ekosystem AI. Dla dużych użytkowników korporacyjnych (banki, ubezpieczenia, zdrowie, HR) oznacza to konieczność uwzględniania wymogów regulacyjnych już na etapie projektowania systemów - podejście compliance by design - co wiąże się z mapowaniem zastosowań AI, analizami wpływu, dokumentacją techniczną i wewnętrznym zarządzaniem. Już w lutym 2024 kancelarie takie jak Wavestone, France Digitale i Gide opublikowały praktyczne przewodniki wspierające ten proces.

Dla dostawców modeli open source rozporządzenie przewiduje częściowe zwolnienia z obowiązków GPAI, jeśli parametry, architektura i informacje o zastosowaniach są publicznie dostępne - z wyjątkiem modeli o ryzyku systemowym. Koalicja europejskich podmiotów open source (Hugging Face, GitHub, Mistral, La Quadrature du Net) domagała się w lipcu 2023 bardziej elastycznych ram dla zachowania innowacji. Ostateczny kompromis utrzymuje te zwolnienia, ale nakłada obowiązek publikacji podsumowania danych treningowych i polityki praw autorskich, co utrudnia skalowanie modeli na bardzo dużych korpusach.

Dla europejskich championów - Mistral AI, LightOn, Aleph Alpha, Black Forest Labs - AI Act to podwójne wyzwanie: szybkie dostosowanie się do przepisów i jednoczesne prowadzenie treningu konkurencyjnych modeli względem OpenAI, Anthropic czy Google. Wielu, w tym Arthur Mensch (Mistral AI), ostrzegało przed ryzykiem dezindustrializacji Europy, jeśli obciążenia regulacyjne będą większe niż poza UE. Z drugiej strony Yoshua Bengio, Raja Chatila i Nicolas Miailhe uważają, że ścisłe ramy są kluczowe dla zachowania strategicznej autonomii Europy i zaufania społecznego.

AI Act w krajobrazie międzynarodowym

AI Act wpisuje się w zróżnicowany krajobraz międzynarodowy. W USA Executive Order Bidena z października 2023 został w dużej mierze uchylony przez administrację Trumpa w styczniu 2025, pozostawiając agencjom federalnym i stanom (zwłaszcza Kalifornii z SB 1047) opracowywanie sektorowych lub lokalnych podejść. Chiny już w sierpniu 2023 wprowadziły obowiązek uzyskania zezwolenia dla modeli AI generatywnej dostępnych publicznie, zatwierdzając ponad 190 LLMs kosztem kontroli politycznej nad generowanymi treściami.

Wielka Brytania przyjęła podejście oparte na zasadach wdrażanych przez istniejących regulatorów sektorowych, bez odrębnej ustawy. Brazylia, Kanada, Japonia i Korea Południowa rozwijają własne ramy, często inspirowane europejskim podejściem opartym na ryzyku. Efekt Bruxelles - de facto eksterytorialność unijnych regulacji, gdy międzynarodowi dostawcy wybierają globalne dostosowanie zamiast zarządzania wieloma reżimami - powinien zadziałać podobnie jak w przypadku RGPD, choć w 2026 nie dało się jeszcze tego zmierzyć.

Budowę tych ram wyznaczyło kilka międzynarodowych szczytów: AI Safety Summit w Bletchley Park (listopad 2023), Séoul AI Safety Summit (maj 2024), AI Action Summit w Paryżu (luty 2025). Wszystkie potwierdziły brak globalnego konsensusu regulacyjnego, podkreślając jednocześnie szczególną odpowiedzialność UE jako pierwszego regulatora, który przyjął wiążący akt prawny.

Perspektywy 2026-2027

Krytyczne wyzwania na najbliższe 18 miesięcy to:

• publikacja wzoru podsumowania danych treningowych przez AI Office, którego pierwsze wersje konsultacyjne zostały uznane przez uprawnionych za zbyt mało szczegółowe;
• pierwsze formalne postępowania wyjaśniające wobec dostawców GPAI, spodziewane pod koniec 2026 roku;
• faktyczne wyznaczenie krajowych organów nadzorczych we wszystkich państwach członkowskich, z których niektóre wciąż były w trakcie tworzenia w maju 2026;
• normy zharmonizowane opracowywane w CEN-CENELEC JTC 21, które zapewnią pewność prawną dostawcom systemów wysokiego ryzyka;
• nowa linia orzecznicza dotycząca relacji między AI Act, RGPD a prawem autorskim, zwłaszcza w sprawach Meta-Llama, Stable Diffusion-Getty i OpenAI-NYT będących w toku.

AI Act nie jest celem samym w sobie, lecz ramą żywą. Jego rewizja przewidziana jest co cztery lata, a pierwsza spodziewana w 2028 roku. O sukcesie zdecyduje nie tyle litera aktu, co zdolność do pogodzenia ochrony praw podstawowych, innowacji przemysłowej i europejskiej suwerenności technologicznej.