Przewodnik aktu o AI · 11 min
Unijny akt o sztucznej inteligencji: poziomy ryzyka, harmonogram i obowiązki podmiotów stosujących (artykuł 26)
Unijny akt o AI to pierwsza na świecie kompleksowa ustawa o sztucznej inteligencji. Klasyfikuje systemy AI według ryzyka i nakłada większość ciężkich obowiązków na systemy wysokiego ryzyka, ale nakłada też konkretne obowiązki na organizacje, które używają AI, nie tylko na te, które ją budują. Już obowiązuje i jest stosowany etapami do 2027 roku. Ten przewodnik wyjaśnia poziomy ryzyka, istotne daty, obowiązki podmiotu stosującego z artykułu 26 oraz co to oznacza, gdy kupujesz lub wdrażasz AI w swoim łańcuchu dostaw.
Najważniejsze punkty
- Akt o AI (rozporządzenie (UE) 2024/1689) klasyfikuje AI według ryzyka: zakazane, wysokie ryzyko, ograniczone (przejrzystość) i minimalne.
- Etapowe daty: obowiązuje od 1 sierpnia 2024 r.; praktyki zakazane od 2 lutego 2025 r.; AI ogólnego przeznaczenia od 2 sierpnia 2025 r.; wysokie ryzyko i większość obowiązków od 2 sierpnia 2026 r.
- Jeśli używasz systemu AI wysokiego ryzyka, jesteś „podmiotem stosującym” z własnymi obowiązkami z artykułu 26 (nadzór człowieka, monitorowanie, rejestry i więcej) mimo że dostawca ponosi większość obowiązków po stronie budowy.
Czym jest akt o AI
Akt o AI (rozporządzenie (UE) 2024/1689) to oparte na ryzyku, produktowe rozporządzenie dla systemów AI wprowadzanych na rynek UE lub których wynik jest wykorzystywany w UE. Ponieważ jest rozporządzeniem, obowiązuje bezpośrednio we wszystkich państwach członkowskich. Rozdziela obowiązki wzdłuż łańcucha wartości: głównie na dostawców (którzy rozwijają AI) i podmioty stosujące (które używają jej pod własnym nadzorem), z lżejszymi rolami dla importerów i dystrybutorów.
Zamiast regulować „AI” jednolicie, sortuje systemy na poziomy ryzyka i odpowiednio skaluje obowiązki: garść praktyk jest całkowicie zakazana, określony zbiór zastosowań wysokiego ryzyka niesie ciężkie wymogi, niektóre systemy wymagają jedynie przejrzystości, a zdecydowana większość (AI o minimalnym ryzyku) nie niesie praktycznie żadnych.
Gdzie są obowiązki
Praktyki zakazane (zabronione), systemy wysokiego ryzyka (ciężkie obowiązki: np. AI stosowana w zatrudnieniu, kredytach, infrastrukturze krytycznej czy biometrii) oraz systemy ograniczonego ryzyka wymagające przejrzystości (np. informowanie użytkowników, że wchodzą w interakcję z AI lub że treść jest wygenerowana przez AI).
Minimalne ryzyko (większość AI)
Zdecydowana większość systemów AI (filtry antyspamowe, silniki rekomendacji, większość narzędzi produktywności) należy do minimalnego ryzyka i nie niesie szczególnych obowiązków na mocy aktu, poza dobrowolnymi kodeksami i ogólnym oczekiwaniem kompetencji w zakresie AI.
Harmonogram
Akt jest stosowany etapami. Daty wyznaczające planowanie:
Wszedł w życie. Zegar rusza; obowiązki wchodzą w życie etapami od tego momentu.
Praktyki zakazane obowiązują: AI o „niedopuszczalnym ryzyku” (np. ocena społeczna, niektóre manipulacyjne lub biometryczne zastosowania kategoryzacji) jest zabroniona. Rozpoczynają się też obowiązki w zakresie kompetencji AI.
Rozpoczynają się obowiązki dla modeli AI ogólnego przeznaczenia (GPAI), wraz ze strukturami zarządzania i krajowymi właściwymi organami.
Główne wydarzenie: obowiązują obowiązki dla systemów wysokiego ryzyka: w tym obowiązki podmiotu stosującego z artykułu 26.
Przedłużony termin dla AI wysokiego ryzyka będącej elementem bezpieczeństwa produktów już regulowanych innymi przepisami UE (załącznik I).
Co muszą robić podmioty stosujące (artykuł 26)
Jeśli używasz systemu AI wysokiego ryzyka pod własnym nadzorem, artykuł 26 nakłada na Ciebie obowiązki operacyjne. W skrócie, podmiot stosujący musi:
- Używać systemu zgodnie z instrukcją obsługi dostawcy.
- Powierzyć nadzór człowieka osobom kompetentnym, przeszkolonym i odpowiednio wyposażonym, które mogą zainterweniować lub wstrzymać jego działanie.
- Monitorować działanie systemu oraz zawiesić używanie i poinformować dostawcę i organy, gdy stwarza ryzyko lub wystąpi poważny incydent.
- Przechowywać automatycznie generowane rejestry przez odpowiedni okres: co najmniej sześć miesięcy, chyba że inne przepisy wymagają dłużej.
- Zapewnić, by dane wejściowe były istotne i wystarczająco reprezentatywne dla zamierzonego celu, w zakresie, w jakim je kontrolujesz.
- Poinformować pracowników i ich przedstawicieli przed wdrożeniem systemu wysokiego ryzyka w miejscu pracy oraz poinformować osoby objęte jego decyzjami.
- Przeprowadzić ocenę skutków dla praw podstawowych tam, gdzie jest wymagana (art. 27), i współpracować z właściwymi organami.
Jak łączy się z NIS2 i RODO
Akt o AI nie zastępuje Twoich innych obowiązków: nakłada się na nie. System AI przetwarzający dane osobowe nadal podlega RODO (i może wymagać oceny skutków dla ochrony danych obok oceny praw podstawowych z aktu o AI). System AI będący częścią działania Twoich usług kluczowych nadal podlega obowiązkom bezpieczeństwa i zgłaszania z NIS2. Te trzy nakładają się, a nie zastępują.
Dla zakupów właśnie ta zbieżność jest kwestią praktyczną. Gdy wprowadzasz system AI do swojego łańcucha dostaw, dziedziczysz obowiązki podmiotu stosującego (art. 26) i musisz znać stan zgodności dostawcy: zgodność, instrukcję obsługi, rejestrowanie, klasę ryzyka systemu. To ten sam mięsień należytej staranności wobec dostawców, który NIS2 każe Ci już budować, skierowany na AI.
Klasyfikacja systemów AI (zwłaszcza granica wysokiego ryzyka i reguły GPAI) jest szczegółowa i zależna od konkretnego przypadku, a akty wykonawcze i normy wciąż się pojawiają. Potwierdź klasę konkretnego systemu i swoją rolę u wykwalifikowanego doradcy oraz w tekście urzędowym.
Co to oznacza dla Ciebie
Twoje obowiązki zależą od Twojej roli wobec systemu:
Dostawca (rozwijasz lub istotnie modyfikujesz system AI)
Ponosisz obowiązki po stronie budowy: zarządzanie ryzykiem, zarządzanie danymi, dokumentacja techniczna, ocena zgodności i oznakowanie CE dla systemów wysokiego ryzyka. W dużej mierze od 2 sierpnia 2026 r.
Podmiot stosujący (używasz AI pod własnym nadzorem)
Artykuł 26 ma zastosowanie do systemów wysokiego ryzyka: nadzór człowieka, monitorowanie, rejestry, informowanie pracowników i ocena praw podstawowych tam, gdzie jest wymagana. Zbuduj to teraz na termin 2 sierpnia 2026 r.
Importer lub dystrybutor
Możesz udostępniać wyłącznie zgodne systemy wysokiego ryzyka, musisz zweryfikować zgodność i oznakowanie CE dostawcy oraz działać, gdy dowiesz się, że system jest niezgodny.
Nabywca kupujący AI do swojego łańcucha dostaw
Zwykle jesteś podmiotem stosującym. Żądaj instrukcji dostawcy, klasy ryzyka, statusu zgodności i zdolności rejestrowania, i traktuj dostawców AI jako część należytej staranności wobec dostawców NIS2.
Źródła: Rozporządzenie (UE) 2024/1689 (akt o AI) oraz strony Komisji Europejskiej poświęcone aktowi o AI. Daty, poziomy i role odzwierciedlają opublikowane rozporządzenie; potwierdź klasyfikację konkretnego systemu u wykwalifikowanego doradcy.
Jak pomaga norppa.io
norppa.io nie sprawi, że system AI będzie zgodny z aktem o AI (to zadanie dostawcy i podmiotu stosującego) ale daje Ci wgląd w ekspozycję na AI w Twoim łańcuchu dostaw, od czego zaczyna się należyta staranność podmiotu stosującego. Skanowanie ujawnia punkty końcowe usług AI, wystawione API modeli i wnioskowania oraz interfejsy związane z AI (w tym punkty końcowe Model Context Protocol) na powierzchni ataku Twoich dostawców.
Kwestionariusze samooceny ujmują to, czego nie widzi żadne skanowanie zewnętrzne (jakie systemy AI wdraża dostawca, ich klasę ryzyka, status zgodności i rozwiązania w zakresie nadzoru człowieka) a każda odpowiedź jest zestawiana z technicznym profilem na żywo, gotowa do Twoich akt dostawcy. To to samo ciągłe, poparte dowodami podejście, którego oczekuje NIS2, rozszerzone na AI, którą uruchamiają Twoi dostawcy.