Akt o sztucznej inteligencji (EU AI Act), wyjaśniony.

Czym Akt o AI jest (a czym nie jest)

AI Act to regulacja w stylu przepisów o bezpieczeństwie produktów, obejmująca systemy AI wprowadzane na rynek UE lub takie, których wyniki są wykorzystywane w UE. Nie reguluje „AI” jako technologii — reguluje konkretne zastosowania według ryzyka. Im wyższe ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych, tym cięższe obowiązki. Większość codziennej AI (filtry spamu, widżety rekomendacji, korektory pisowni, funkcje AI w narzędziach biurowych) to ryzyko minimalne i nie zyskuje żadnych nowych obowiązków.

Cztery poziomy ryzyka

Wszystko w Akcie opiera się na tej klasyfikacji:

• Ryzyko niedopuszczalne — całkowicie zakazane od 2 lutego 2025 r.: scoring społeczny, techniki wykorzystujące podatności lub manipulacyjne, nieukierunkowane pozyskiwanie wizerunków twarzy, rozpoznawanie emocji w miejscach pracy i szkołach (wąskie wyjątki bezpieczeństwa), kategoryzacja biometryczna w celu wnioskowania o cechach wrażliwych oraz zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej na potrzeby egzekwowania prawa (ograniczone wyjątki). Od 2 grudnia 2026 r. nowelizacja z 2026 r. wprost zakazuje też systemów AI generujących intymne obrazy bez zgody lub materiały CSAM.
• Wysokie ryzyko — dozwolone, ale ściśle regulowane: AI używana jako element bezpieczeństwa produktów regulowanych (załącznik I — maszyny, wyroby medyczne, windy…) lub we wrażliwych zastosowaniach (załącznik III — rekrutacja i zarządzanie pracownikami, ocenianie w edukacji, scoring kredytowy, usługi podstawowe, egzekwowanie prawa, migracja, wymiar sprawiedliwości). Obowiązki obejmują zarządzanie ryzykiem, zarządzanie danymi, dokumentację techniczną, rejestrowanie zdarzeń, nadzór człowieka, testy dokładności/odporności i rejestrację w unijnej bazie danych.
• Ograniczone ryzyko — obowiązki przejrzystości (art. 50): informuj ludzi, gdy wchodzą w interakcję z systemem AI (chatboty), oznaczaj wygenerowane lub zmanipulowane przez AI obrazy/audio/wideo (deepfake), znakuj treści syntetyczne w sposób czytelny maszynowo i ujawniaj teksty wygenerowane przez AI publikowane w celu informowania opinii publicznej o sprawach interesu publicznego.
• Ryzyko minimalne — cała reszta: brak nowych obowiązków, zachęca się do dobrowolnych kodeksów postępowania.

Harmonogram w 2026 r. — zaktualizowany po Digital Omnibus

Akt wszedł w życie 1 sierpnia 2024 r. i miał być stosowany niemal w całości od 2 sierpnia 2026 r. W listopadzie 2025 r. Komisja zaproponowała „Digital Omnibus on AI”, aby to uprościć i rozłożyć w czasie; Parlament poparł go 16 czerwca 2026 r., a Rada ostatecznie zatwierdziła 29 czerwca 2026 r. Kluczowe daty obecnie:

• 2 lutego 2025 r. — zaczęły obowiązywać zakazy praktyk o niedopuszczalnym ryzyku oraz obowiązki w zakresie kompetencji AI.
• 2 sierpnia 2025 r. — obowiązki dostawców modeli AI ogólnego przeznaczenia (GPAI): dokumentacja techniczna, polityka praw autorskich, podsumowania danych treningowych; dodatkowe obowiązki dla modeli z ryzykiem systemowym — plus Urząd UE ds. AI i struktury zarządzania.
• 2 sierpnia 2026 r. — Akt staje się ogólnie stosowany: obowiązki przejrzystości (art. 50), kary i większość pozostałych przepisów. Czytelne maszynowo znakowanie treści syntetycznych ma okres przejściowy do 2 grudnia 2026 r. dla systemów obecnych na rynku przed 2 sierpnia 2026 r.
• 2 grudnia 2026 r. — zaczynają obowiązywać nowe zakazy dotyczące AI generującej intymne obrazy bez zgody i materiały CSAM.
• 2 grudnia 2027 r. — obowiązki dla wysokiego ryzyka w zastosowaniach z załącznika III (rekrutacja, scoring kredytowy, edukacja…) — odroczone o 16 miesięcy względem pierwotnej daty z sierpnia 2026 r.
• 2 sierpnia 2028 r. — obowiązki dla wysokiego ryzyka dla AI wbudowanej w produkty z załącznika I (wyroby medyczne, maszyny…) — odroczone o rok względem sierpnia 2027 r. Krajowe piaskownice regulacyjne mają powstać do 2 sierpnia 2027 r.

Kto musi się dostosować

Obowiązki są przypisane do ról w łańcuchu wartości: dostawcy (którzy rozwijają system AI lub wprowadzają go na rynek UE pod własną nazwą), podmioty stosujące (które używają systemu AI zawodowo), a także importerzy i dystrybutorzy. Zasięg jest eksterytorialny — SaaS z USA lub Wielkiej Brytanii, którego wyniki AI są wykorzystywane w UE, podlega przepisom. MŚP dostają pewne ulgi: uproszczoną dokumentację, priorytetowy dostęp do piaskownic oraz kary ograniczone do niższej z dwóch kwot zamiast wyższej.

Co AI Act oznacza dla Twojej witryny

Dla większości firm pierwszym realnym punktem styku są zasady przejrzystości obowiązujące od sierpnia 2026 r. — dotyczą tego, co odwiedzający widzą na Twojej stronie:

• Chatboty i asystenci AI na Twojej stronie muszą jasno komunikować, że odwiedzający rozmawia z maszyną (chyba że wynika to jednoznacznie z kontekstu).
• Publikowane przez Ciebie obrazy, audio i wideo wygenerowane lub zmanipulowane przez AI (deepfake) muszą być widocznie oznaczone jako sztucznie wygenerowane lub zmanipulowane.
• Media syntetyczne powinny mieć znakowanie czytelne maszynowo (np. metadane/znak wodny) — obowiązek znakowania dla systemów sprzed sierpnia 2026 obowiązuje od 2 grudnia 2026 r.
• Teksty napisane przez AI, publikowane w celu informowania opinii publicznej o sprawach interesu publicznego, muszą być ujawnione jako wygenerowane przez AI, chyba że przeszły ludzką redakcję z przejęciem odpowiedzialności.
• Jeśli używasz AI w rekrutacji, ocenie kredytowej lub innych zastosowaniach z załącznika III, przygotuj się na reżim wysokiego ryzyka obowiązujący od 2 grudnia 2027 r.
• Kompetencje AI: organizacje używające AI zawodowo powinny podjąć działania, by personel rozumiał systemy, które obsługuje.

Kary

Struktura kar jest celowo wzorowana na GDPR: do 35 mln € lub 7% rocznego światowego obrotu (w zależności od tego, która kwota jest wyższa) za praktyki zakazane; do 15 mln € lub 3% za większość pozostałych naruszeń, w tym obowiązki dla wysokiego ryzyka i GPAI; do 7,5 mln € lub 1% za przekazywanie organom nieprawidłowych lub wprowadzających w błąd informacji. Dla MŚP każdy limit to niższa z dwóch kwot. Egzekwowanie dzielą krajowe organy nadzoru rynku oraz — dla modeli GPAI — Urząd UE ds. AI.

Jak Beacon się w to wpisuje

Beacon już teraz skanuje to, co wyszukiwarki i crawlery AI faktycznie widzą na Twojej witrynie — polityki robots.txt, renderowaną treść, dane strukturalne i ujawnienia. Na tym fundamencie budujemy skan gotowości na AI Act: automatyczną kontrolę widocznych dla odwiedzających sygnałów przejrzystości Twojej witryny (ujawnienie chatbota, oznaczanie treści AI, znakowanie czytelne maszynowo i powiązane metadane) z priorytetową listą poprawek. To nie będzie porada prawna — ale konkretnie pokaże, co Twoja witryna udostępnia dziś i co naprawić najpierw.