AI Act, czyli rozporządzenie (UE) 2024/1689 nazywane w polskiej wersji „aktem w sprawie sztucznej inteligencji”, to pierwsze kompleksowe unijne prawo dotyczące systemów AI. Weszło w życie 1 sierpnia 2024 r. i obowiązuje bezpośrednio we wszystkich państwach członkowskich. Dotyczy nie tylko firm tworzących AI, ale też organizacji, które stosują takie systemy we własnej działalności.
Jak to działa
Rozporządzenie przyjmuje podejście oparte na ryzyku:
- Praktyki zakazane – m.in. scoring społeczny, techniki manipulacyjne czy rozpoznawanie emocji w miejscu pracy (z wyjątkami medycznymi i dotyczącymi bezpieczeństwa).
- Systemy wysokiego ryzyka – np. AI w rekrutacji, przy decyzjach o awansie lub zwolnieniu, przydzielaniu zadań i ocenie pracowników, w ocenie zdolności kredytowej czy jako element bezpieczeństwa produktów. Wymagają m.in. zarządzania ryzykiem, dokumentacji i nadzoru człowieka.
- Ryzyko ograniczone – obowiązki przejrzystości, np. informowanie, że użytkownik rozmawia z chatbotem.
- Ryzyko minimalne – większość zastosowań biznesowych, np. filtry spamu, bez szczególnych wymogów.
Osobne zasady dotyczą dostawców modeli ogólnego przeznaczenia, takich jak duże modele językowe. Rozporządzenie odróżnia dostawców od podmiotów stosujących (deployers), czyli firm używających AI we własnej działalności.
Obowiązki stosowane są etapami: zakazy i obowiązek zapewnienia kompetencji w zakresie AI (AI literacy) – od lutego 2025 r., obowiązki dostawców modeli ogólnego przeznaczenia – od sierpnia 2025 r., a większość wymogów dla systemów wysokiego ryzyka – później. Harmonogram tej ostatniej części był przedmiotem propozycji zmian na poziomie UE, dlatego aktualne terminy warto sprawdzać u źródła.
Przykład
Firma logistyczna zatrudniająca 900 osób zinwentaryzowała 11 zastosowań AI. Dziewięć, w tym prognozowanie popytu i asystent do dokumentacji, zakwalifikowano wstępnie jako ryzyko minimalne lub ograniczone. Dwa wymagały pogłębionej analizy: narzędzie do selekcji CV na platformie rekrutacyjnej oraz moduł oceniający indywidualną wydajność pracowników magazynu na podstawie danych ze skanerów. Oba dotyczą zatrudnienia, które rozporządzenie wymienia wśród obszarów wysokiego ryzyka. Firma zaplanowała dla nich nadzór człowieka, rozmowy z dostawcami o dokumentacji oraz poinformowanie przedstawicieli pracowników, a dla całego zespołu – szkolenie z zasad korzystania z AI.
Najczęstsze błędy
- Założenie, że AI Act dotyczy tylko firm technologicznych – obowiązki mają także podmioty stosujące gotowe narzędzia.
- Brak inwentaryzacji – narzędzia używane bez wiedzy działu IT (shadow IT) pozostają poza jakąkolwiek oceną.
- Traktowanie kompetencji w zakresie AI jako jednorazowego szkolenia bez związku z faktycznymi zastosowaniami.
Od czego zacząć
- Spisz systemy AI używane w firmie, łącznie z funkcjami wbudowanymi w kupione oprogramowanie.
- Przypisz każdemu zastosowaniu wstępną kategorię ryzyka i rolę firmy.
- Zaplanuj szkolenia dopasowane do ról i zastosowań.
Opis ma charakter informacyjny – kwalifikację konkretnych zastosowań warto zweryfikować z prawnikiem specjalizującym się w prawie nowych technologii.