AI w firmach pod nadzorem UE

Dlaczego AI w firmach podlega nadzorowi UE i co z tego wynika

Europejski AI Act (rozporządzenie (UE) 2024/1689) jest pierwszymi na świecie kompleksowymi ramami prawnymi dla sztucznej inteligencji, a jego ambicją jest jednocześnie wspieranie innowacji oraz ochrona zdrowia, bezpieczeństwa, praw podstawowych i wartości demokratycznych. W odróżnieniu od łagodniejszych kodeksów etycznych jest to bezpośrednio wiążące rozporządzenie, które automatycznie stosuje się we wszystkich państwach członkowskich i tworzy zharmonizowane zasady rozwoju, wprowadzania do obrotu i wykorzystywania systemów AI.

Z perspektywy przedsiębiorców oznacza to, że AI nie jest już „przestrzenią nieuregulowaną”, lecz obszarem o podobnym stopniu regulacji jak ochrona danych osobowych (RODO) czy cyberbezpieczeństwo (NIS2). Z drugiej strony AI Act w założeniu zapobiega rozdrobnieniu regulacji krajowych i ma zapewniać swobodny przepływ produktów i usług AI na jednolitym rynku.

Kluczową zasadą AI Act jest podejście oparte na ryzyku. Im większy wpływ system AI może mieć na zdrowie, bezpieczeństwo lub prawa podstawowe, tym surowsze wymogi dotyczące jego projektowania, testowania, dokumentacji, nadzoru i przejrzystości.

Na jednym końcu spektrum znajdują się systemy o minimalnym lub zerowym ryzyku, dla których AI Act nie przewiduje szczególnych obowiązków; typowo chodzi o zwykłe filtry spamu lub AI w grach komputerowych. Na przeciwnym końcu są zakazane praktyki o „niedopuszczalnym ryzyku”, które w UE są po prostu zakazane bez możliwości zwykłego wyjątku, a pośrodku znajdują się systemy o ograniczonym i wysokim ryzyku.

Z perspektywy firm istotne jest, że AI Act dotyczy nie tylko spółek technologicznych rozwijających własne modele AI, ale także szerokiego spektrum zwykłych przedsiębiorstw, które AI „jedynie” wdrażają w swoich procesach. Przy wprowadzaniu wewnętrznych narzędzi AI często warto więc zadbać także o prawne ramy całego wdrożenia sztucznej inteligencji (AI), w tym o role i odpowiedzialność wynikające z AI Act. Regulacja wprost obejmuje dostawców, importerów, dystrybutorów oraz tzw. deployerów (podmioty stosujące), czyli firmy wykorzystujące systemy AI w ramach swojej działalności zawodowej, w tym organy władzy publicznej.

Zasięg eksterytorialny oznacza, że obowiązki powstają także dla podmiotów spoza UE, jeżeli ich systemy AI lub ich wyniki są wykorzystywane w Unii. W praktyce oznacza to, że na przykład amerykański lub azjatycki dostawca rozwiązania AI wdrożonego w Republice Czeskiej musi przestrzegać przepisów europejskich i często wyznaczyć upoważnionego przedstawiciela w UE.

Ważne jest również to, że AI Act nie powstaje w próżni. W przypadku firm przenika się z innymi przepisami, zwłaszcza z RODO, przepisami o odpowiedzialności za szkodę, regulacjami sektorowymi (bankowość, ochrona zdrowia, energetyka), a obecnie także z zasadami dotyczącymi cyberbezpieczeństwa i gospodarki opartej na danych. Praktyczne ramy, jak ustawić w firmie procesy i odpowiedzialność tak, by te przepisy połączyć bez zbędnych luk, przedstawia także artykuł AI governance w firmach: jak zrobić to dobrze, aby uniknąć problemów prawnych i kar. Rzeczywistość prawna jest więc bardziej złożona niż samo „spełnienie wymogów AI Act” – przy projektowaniu i wdrażaniu AI zazwyczaj trzeba jednocześnie zająć się ochroną danych osobowych, relacjami umownymi z klientami i dostawcami, standardami bezpieczeństwa oraz skutkami podatkowymi.

Prawnicy kancelarii prawnej ARROWS często widzą w praktyce, że firmy koncentrują się tylko na jednym z tych przepisów (na przykład na RODO), ale nie doceniają szczególnych obowiązków wynikających z AI Act lub powiązania z odpowiedzialnością umowną, co może później prowadzić do kar, sporów, a nawet zablokowania kluczowych projektów.

Harmonogram: co już obowiązuje i jakie nowe wytyczne UE się pojawiły

AI Act nie zaczyna obowiązywać „naraz” – jego stosowanie rozłożono na kilka etapów, uzupełnionych o prawodawstwo wtórne, wytyczne Komisji i dobrowolne kodeksy praktyk. Z punktu widzenia planowania w firmie kluczowe jest zrozumienie, co jest egzekwowalne już dziś, a jakie nowe obowiązki czekają przedsiębiorstwa w najbliższych latach. Planowanie powinno obejmować również skutki umowne i związane z bezpieczeństwem, które zazwyczaj należą do obszaru prawa IT i oprogramowania oraz cyberbezpieczeństwa.

Co obowiązuje od lutego 2025: zakazy praktyk

Od 2 lutego 2025 stosuje się przepisy dotyczące „niedopuszczalnych” praktyk AI. Po pierwsze, w całej UE obowiązuje zakaz ośmiu rodzajów praktyk AI, które uznaje się za niezgodne z wartościami Unii i prawami podstawowymi.

Należą do nich m.in. techniki podprogowe i manipulacyjne, które istotnie zaburzają zdolność człowieka do swobodnego podejmowania decyzji. Należą tu także systemy wykorzystujące słabości osób ze względu na wiek, niepełnosprawność lub sytuację społeczno-ekonomiczną. Za zakazane uznaje się również systemy oceny społecznej obywateli (social scoring) oraz niektóre formy predykcyjnego nadzoru policyjnego. 

Należy tu również nieukierunkowane pozyskiwanie danych biometrycznych z internetu w celu rozpoznawania twarzy. Zakazane jest także rozpoznawanie emocji w miejscu pracy i w instytucjach edukacyjnych. Powiązanym wymogom w zakresie bezpieczeństwa i compliance (zwłaszcza w instytucjach publicznych) szczegółowo poświęcony jest artykuł Cyberbezpieczeństwo a AI Act: compliance dla szpitali i instytucji publicznych. Do tej kategorii należy także kategoryzacja biometryczna według cech wrażliwych. Co do zasady obejmuje ona również wykorzystanie AI do zdalnej identyfikacji biometrycznej osób w czasie rzeczywistym w przestrzeni publicznej poza ściśle określonymi wyjątkami. 

Omnibus cyfrowy (rozporządzenie (UE) 2026/1744) dodał do tych zakazów dwa kolejne, stosowane od 2 grudnia 2026. Zakazane będą systemy AI, które tworzą lub modyfikują realistyczne intymne lub o charakterze jednoznacznie seksualnym obrazy, nagrania wideo lub audio możliwej do zidentyfikowania osoby bez jej swobodnej, świadomej i wyraźnej zgody, a także systemy tworzące materiały przedstawiające seksualne wykorzystywanie dzieci. Dostawca odpowiada za zakazaną praktykę, jeżeli takie wykorzystanie jest przewidzianym przeznaczeniem systemu albo jest racjonalnie przewidywalne, a system nie ma odpowiednich zabezpieczeń technicznych; podmiot stosujący odpowiada, jeżeli sam wykorzysta system do takiego celu.

Za naruszenie tych bezwzględnych zakazów grożą najwyższe sankcje – do 35 milionów EUR lub, w przypadku przedsiębiorstw, do 7 % całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa. W przypadku małych i średnich przedsiębiorstw stosuje się niższą z tych wartości, ale nawet wtedy są to kary potencjalnie zagrażające istnieniu firmy.

Prawnicy kancelarii prawnej ARROWS spotykają się w praktyce z tym, że firmy czasem nawet nie zdają sobie sprawy, że niektóre narzędzia HR, technologie marketingowe lub systemy bezpieczeństwa mogą należeć do zakazanych praktyk – typowo chodzi o eksperymentalne rozpoznawanie emocji pracowników lub uczniów, agresywny marketing behawioralny łączący AI z psychometrią albo wykorzystanie nieukierunkowanego scrapingu zdjęć do rozpoznawania twarzy.

Co obowiązuje od 2 sierpnia 2025: przepisy dotyczące modeli ogólnego przeznaczenia (GPAI)

Drugą falę obowiązków stanowią przepisy dotyczące tzw. modeli sztucznej inteligencji ogólnego przeznaczenia (General-Purpose AI, GPAI), stosowane od 2 sierpnia 2025. Chodzi o modele wytrenowane przy dużej mocy obliczeniowej, zdolne do generowania tekstu, obrazu, dźwięku lub wideo do szerokiego spektrum zastosowań – typowo duże modele językowe, generatory obrazów lub modele multimodalne, z których firmy korzystają dziś za pośrednictwem API lub usług chmurowych.

Dostawcy tych modeli muszą obecnie zapewnić dokumentację techniczną opisującą architekturę modelu, metody trenowania, wykorzystane zasoby obliczeniowe, możliwości i ograniczenia modelu oraz typowe ryzyka jego użycia. Muszą ponadto opublikować streszczenie danych treningowych wykorzystanych do trenowania modelu, zgodnie z wzorem przygotowanym przez Komisję, oraz wprowadzić wewnętrzne zasady zapewniające przestrzeganie prawa autorskiego, w tym reagowanie na tzw. TDM opt-out, czyli wyraźne wyłączenie zbiorów danych z eksploracji tekstów i danych (text-and-data mining).

W przypadku modeli z ryzykiem systemowym (na przykład tych najbardziej wydajnych, powyżej określonego progu FLOPs) dochodzą dalsze obowiązki, takie jak regularne testowanie odporności, ocena i ograniczanie ryzyk systemowych, zgłaszanie incydentów oraz obowiązkowa notyfikacja Komisji Europejskiej.

Aby branża była w stanie sprostać tym wymogom, przygotowano dobrowolny Kodeks praktyk dla GPAI, który Komisja uznała za odpowiednie narzędzie wykazywania zgodności z art. 53 AI Act. Dostawcy, którzy podpiszą kodeks i będą go przestrzegać, mogą skorzystać z mniejszego obciążenia administracyjnego i większej pewności prawa, ponieważ zakłada się, że stosując kodeks, wypełniają także część obowiązków ustawowych.

Z perspektywy użytkowników biznesowych oznacza to, że warto zapytać dostawcę dużego modelu, czy jest sygnatariuszem tego kodeksu i jak konkretnie wypełnia swoje obowiązki. Prawnicy kancelarii prawnej ARROWS pomagają klientom w weryfikacji dostawców i dostosowaniu dokumentacji umownej tak, aby odpowiedzialność za AI była jasno podzielona.

Co nas czeka: sierpień 2026, grudzień 2026, grudzień 2027 i sierpień 2028

Od 2 sierpnia 2026 AI Act stosuje się w większości przepisów. W praktyce najbardziej „dotkliwe” są wymogi przejrzystości interaktywnych systemów AI oraz oznaczania treści generowanych przez AI zgodnie z art. 50 AI Act. Harmonogram istotnie zmienił jednak omnibus cyfrowy – rozporządzenie (UE) 2026/1744 z dnia 8 lipca 2026, które weszło w życie 27 lipca 2026. Aktualne kamienie milowe są następujące:

• 2 lutego 2025 – przepisy ogólne (w tym kompetencje w zakresie AI) i zakazy na podstawie art. 5,
• 2 sierpnia 2025 – przepisy dotyczące modeli AI ogólnego przeznaczenia (GPAI), zarządzanie i sankcje,
• 27 lipca 2026 – złagodzone brzmienie obowiązku w zakresie kompetencji AI i inne uproszczenia z omnibusu,
• 2 sierpnia 2026 – ogólna data stosowania, m.in. przejrzystość na podstawie art. 50 (chatboty, oznaczanie treści AI, deepfake’i),
• 2 grudnia 2026 – dwa nowe zakazy na podstawie art. 5 i koniec okresu przejściowego dla oznaczania wyników w formacie nadającym się do odczytu maszynowego w systemach generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026,
• 2 grudnia 2027 – przepisy dotyczące systemów wysokiego ryzyka na podstawie załącznika III,
• 2 sierpnia 2028 – przepisy dotyczące systemów wysokiego ryzyka na podstawie załącznika I (związane z bezpieczeństwem elementy produktów regulowanych).

Dostawcy systemów AI przeznaczonych do bezpośredniej interakcji z ludźmi muszą zapewnić, aby użytkownicy byli jasno informowani, że komunikują się z AI, chyba że wynika to jednoznacznie z kontekstu. Dostawcy systemów generatywnych muszą zapewnić, aby treści syntetyczne (tekst, obraz, dźwięk, wideo) były oznaczone jako sztucznie wygenerowane przynajmniej w postaci identyfikatora nadającego się do odczytu maszynowego; w przypadku systemów wprowadzonych do obrotu przed 2 sierpnia 2026 mają na wypełnienie tego obowiązku czas do 2 grudnia 2026. Deployerzy treści deepfake muszą z kolei zapewnić użytkownikom końcowym widoczne oznaczenie, że chodzi o treść wygenerowaną lub zmanipulowaną.

Przepisy dotyczące systemów wysokiego ryzyka z załącznika III AI Act (na przykład AI do przyznawania świadczeń socjalnych, oceny zdolności kredytowej, niektóre narzędzia HR lub systemy biometryczne) zgodnie z omnibusem będą stosowane dopiero od 2 grudnia 2027. Chodzi o klasyfikację, wymogi dotyczące samych systemów oraz obowiązki dostawców i podmiotów stosujących. Z tym reżimem wiąże się rejestracja w bazie danych UE przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku; omnibus zawęził jednocześnie zakres danych rejestrowanych w przypadku systemów, które dostawca na podstawie art. 6 ust. 3 uznał za niebędące systemami wysokiego ryzyka. Systemy wprowadzone do obrotu lub oddane do użytku przed datą stosowania tych przepisów będą im podlegać tylko wtedy, gdy od tego momentu dojdzie do istotnej zmiany ich projektu; systemy przeznaczone dla organów władzy publicznej muszą spełnić wymogi najpóźniej do 2 sierpnia 2030. Odroczenie nie oznacza uchylenia – wybór dostawców, umowy i procesy wewnętrzne warto przygotowywać już teraz.

Kolejny kamień milowy nastąpi 2 sierpnia 2028, kiedy zaczną obowiązywać przepisy dotyczące systemów AI wysokiego ryzyka zintegrowanych jako związany z bezpieczeństwem element produktów objętych unijnym prawodawstwem harmonizacyjnym wymienionym w załączniku I (na przykład dźwigi, zabawki lub wyroby medyczne). Z perspektywy czeskich przedsiębiorstw będzie to szczególnie wrażliwe w sektorach, w których AI już dziś zajmuje znaczące miejsce – na przykład w bankowości, ubezpieczeniach, ochronie zdrowia czy infrastrukturze transportowej.

Nowe wytyczne Komisji z ostatnich miesięcy

Oprócz samego tekstu AI Act coraz większą rolę odgrywa w praktyce tzw. prawo trzeciego stopnia – akty wykonawcze i delegowane, wytyczne oraz kodeksy praktyk, które mają ujednolicić wykładnię kluczowych pojęć i pomóc firmom spełnić wymogi AI Act. W ciągu ostatnich dwunastu miesięcy pojawiło się kilka dokumentów, które istotnie wpływają na praktykę dostawców i użytkowników.

W maju 2026 Komisja opublikowała projekt wytycznych dotyczących klasyfikacji systemów AI wysokiego ryzyka na podstawie art. 6 AI Act. Wytyczne te starają się wyjaśnić, kiedy system uznaje się za system wysokiego ryzyka – albo dlatego, że jest związanym z bezpieczeństwem elementem produktu regulowanego, albo dlatego, że należy do jednego z obszarów wymienionych w załączniku III. Dokument zawiera szereg praktycznych przykładów, kiedy konkretne rozwiązanie AI należy traktować jako system wysokiego ryzyka, a kiedy nie, co ma kluczowe znaczenie zwłaszcza dla firm z obszarów HR, kredytowania, ochrony zdrowia lub usług publicznych.

Kolejnym ważnym dokumentem jest projekt wytycznych i wzoru zgłaszania poważnych incydentów na podstawie art. 73 AI Act. Dostawcy systemów wysokiego ryzyka będą musieli zgłaszać organom krajowym poważne incydenty, które doprowadziły lub mogły doprowadzić do uszczerbku na zdrowiu, znacznej szkody majątkowej lub poważnego naruszenia praw podstawowych. Ponieważ przepisy dotyczące klasyfikacji i obowiązków w zakresie systemów wysokiego ryzyka będą zgodnie z omnibusem stosowane dopiero od 2 grudnia 2027, względnie od 2 sierpnia 2028, zgłaszanie incydentów będzie w praktyce istotne głównie od tych dat. Komisja przeprowadziła konsultacje publiczne dotyczące projektu wytycznych i wzoru od 26 września do 7 listopada 2025. Projekt wytycznych wyjaśnia, co uznaje się za incydent, jakie informacje należy zgłaszać i jak ten obowiązek łączy się z innymi reżimami (na przykład z RODO lub przepisami sektorowymi).

Jeszcze wcześniej Komisja wydała wytyczne dla dostawców modeli AI ogólnego przeznaczenia, które doprecyzowują zakres ich obowiązków i wyjaśniają kluczowe pojęcia, takie jak „istotna zmiana modelu”, „ryzyko systemowe” czy „model GPAI”. Wytyczne te uzupełniają wspomniany Kodeks GPAI i razem dają dostawcom oraz użytkownikom stosunkowo jasny obraz tego, kiedy i w jaki sposób przepisy mają do nich zastosowanie.

W obszarze przejrzystości treści generowanych przez AI Komisja opublikowała 10 czerwca 2026 ostateczny Kodeks praktyk w zakresie oznaczania treści generowanych przez AI. Kodeks jest dobrowolny i daje dostawcom oraz podmiotom stosującym generatywną AI praktyczne wskazówki, jak spełnić obowiązki przejrzystości obowiązujące od 2 sierpnia 2026 – od technicznego oznaczania wyników po widoczne oznaczanie deepfake’ów i tekstów AI dotyczących spraw będących przedmiotem zainteresowania publicznego. Komisja opublikowała do niego także unijne ikony do oznaczania treści AI.

Z perspektywy menedżerów oznacza to, że śledzenie AI Act już dziś nie polega tylko na pilnowaniu „jednej ustawy”, lecz wymaga systematycznego monitorowania także powiązanych wytycznych, wzorów i kodeksów, które stopniowo konkretyzują, czego organ nadzoru będzie realnie wymagał. 

Prawnicy kancelarii prawnej ARROWS zalecają więc klientom wprowadzenie wewnętrznego procesu, w którym ktoś odpowiada za „regulatory watch” w obszarze AI, podobnie jak w przypadku RODO czy NIS2, oraz regularne aktualizowanie zarówno wewnętrznych regulaminów, jak i umów z dostawcami i klientami.

Obowiązki dostawców AI: od określenia roli do oceny zgodności

AI Act kładzie duży nacisk na rozróżnienie ról w łańcuchu wartości AI – dostawców, deployerów, importerów, dystrybutorów i innych podmiotów. Dostawcą jest ten, kto rozwija system AI lub zlecił jego rozwój, aby był udostępniany pod jego nazwą lub znakiem towarowym, niezależnie od tego, czy ma siedzibę w UE, czy poza nią. W praktyce definicja ta obejmuje zarówno dużych twórców własnych modeli, jak i integratorów, którzy istotnie modyfikują system i wprowadzają go do obrotu jako własne rozwiązanie.

Dla firm prawidłowe ustalenie tej roli ma kluczowe znaczenie, ponieważ to właśnie na dostawców AI Act nakłada najszerszy zakres obowiązków, zwłaszcza w przypadku systemów wysokiego ryzyka i modeli GPAI. Jeżeli firma błędnie uważa, że jest „tylko użytkownikiem”, ale faktycznie znacząco modyfikuje system, trenuje go na własnych danych i oferuje klientom jako własny produkt, może ponosić odpowiedzialność dostawcy, w tym obowiązek przeprowadzenia oceny zgodności i rejestracji w bazie danych UE.

Prawnicy kancelarii prawnej ARROWS zalecają więc klientom, aby już na wczesnym etapie projektu ustalić, kto pełni jaką rolę – i odzwierciedlić ten podział ról i obowiązków w umowach oraz warunkach handlowych.

Systemy wysokiego ryzyka: system zarządzania ryzykiem, dane i dokumentacja

W przypadku systemów AI wysokiego ryzyka AI Act określa szczegółowe wymogi, które dostawca musi spełnić jeszcze przed wprowadzeniem systemu do obrotu lub oddaniem go do użytku. Należy do nich przede wszystkim obowiązek wdrożenia ciągłego systemu zarządzania ryzykiem, zapewniającego identyfikację, analizę, ocenę i ograniczanie ryzyk związanych z AI przez cały cykl życia systemu. 

Ściśle wiążą się z tym wymogi dotyczące danych i zarządzania danymi (data governance) – zbiory danych treningowych, walidacyjnych i testowych muszą być adekwatne, reprezentatywne i odpowiedniej jakości, z uwzględnieniem konkretnego otoczenia geograficznego, kontekstowego i funkcjonalnego, w którym system ma działać.

AI Act wymaga jednocześnie, aby dostawca stosował w odniesieniu do tych zbiorów danych solidne praktyki zarządzania danymi – miał udokumentowane pochodzenie danych, procesy ich zbierania, adnotacji, czyszczenia i agregacji, badał występowanie możliwych uprzedzeń (bias) i przyjął środki służące ich wykrywaniu, zapobieganiu im i ich korygowaniu. 

Wyjątkowo dopuszcza także przetwarzanie szczególnych kategorii danych osobowych w celu wykrywania i korygowania uprzedzeń, jednak tylko na ścisłych warunkach, w tym przy zastosowaniu środków technicznych i organizacyjnych minimalizujących ryzyko oraz ścisłym ograniczeniu dostępu. W praktyce dostawca systemu wysokiego ryzyka znajduje się więc w sytuacji, w której musi wykazać, że jego AI jest nie tylko „sprawna technicznie”, ale także niedyskryminująca, bezpieczna i szanująca prawa podstawowe.

Nieodłączną częścią obowiązków jest również prowadzenie dokumentacji technicznej, która musi szczegółowo opisywać system, jego przeznaczenie, architekturę, wykorzystane dane, metody trenowania, testowania oraz wyniki oceny. Dokumentacja ma umożliwić organom nadzoru ocenę zgodności systemu z wymogami AI Act, dlatego musi być na bieżąco aktualizowana, a nie sporządzona jednorazowo na początku projektu. Podobnie system musi automatycznie rejestrować zdarzenia (logi), aby można było wstecznie ustalić, jak doszło do określonej decyzji lub incydentu, a logi te muszą być przechowywane przez okres określony w rozporządzeniu.

Ocena zgodności i rola jednostek notyfikowanych

Systemy AI wysokiego ryzyka muszą przed wprowadzeniem do obrotu przejść ocenę zgodności. AI Act rozróżnia, czy chodzi o system będący związanym z bezpieczeństwem elementem produktu objętego innym unijnym prawodawstwem harmonizacyjnym (na przykład wyrobu medycznego), czy o system należący do odrębnej kategorii na podstawie załącznika III.

W pierwszym przypadku ocena zgodności przeprowadzana jest zwykle w ramach istniejącego reżimu (na przykład na podstawie rozporządzenia w sprawie wyrobów medycznych), przy czym jednostka notyfikowana ocenia także spełnienie wymogów AI Act. W drugim przypadku dostawca może w większości sytuacji skorzystać z procedury kontroli wewnętrznej (bez udziału jednostki notyfikowanej), pod warunkiem jednak, że zastosował normy zharmonizowane lub wspólne specyfikacje, o ile istnieją.

Jeżeli dostawca nie stosuje norm zharmonizowanych ani wspólnych specyfikacji lub istnieją ograniczenia w ich stosowaniu, jest zobowiązany do przeprowadzenia oceny zgodności z udziałem jednostki notyfikowanej zgodnie z odpowiednim modułem. Zgodnie z projektem wdrożenia AI Act, który rząd zatwierdził 28 maja 2025, organem notyfikującym ds. wyznaczania jednostek notyfikowanych w obszarze AI ma być w Republice Czeskiej czeski Urząd ds. Normalizacji Technicznej, Metrologii i Badań Państwowych (Úřad pro technickou normalizaci, metrologii a státní zkušebnictví, ÚNMZ), który będzie sprawował nadzór nad jednostkami oceniającymi zgodność, a organem nadzoru rynku – czeski Urząd Telekomunikacyjny (Český telekomunikační úřad). Czeska ustawa określająca te role nie została jeszcze ogłoszona w czeskim Dzienniku Ustaw (Sbírka zákonů).

Dla dostawców oznacza to w praktyce konieczność uwzględnienia czasu i kosztów oceny zgodności, zwłaszcza w przypadku bardziej złożonych systemów lub tam, gdzie nie są dostępne normy zharmonizowane. Częścią procesu oceny zgodności jest również sporządzenie deklaracji zgodności UE i opatrzenie systemu oznakowaniem CE, co sygnalizuje spełnienie odpowiednich wymogów. Bez ważnej oceny zgodności i rejestracji w bazie danych UE system wysokiego ryzyka nie może zostać wprowadzony do obrotu ani oddany do użytku, co w praktyce może oznaczać wstrzymanie całego projektu lub brak dostępu do rynku UE.

Prawnicy kancelarii prawnej ARROWS pomagają tu przedsiębiorstwom zarówno w ustaleniu wewnętrznych procesów compliance, jak i w koordynacji z jednostkami notyfikowanymi i organami nadzoru, aby uniknąć poważnych opóźnień lub kosztownych przeróbek systemu.

Sankcje i odpowiedzialność dostawcy

Jak już wspomniano, AI Act wprowadza stopniowany system sankcji, pod pewnymi względami porównywalny z RODO. Najwyższe kary (do 35 milionów EUR lub 7 % światowego obrotu) dotyczą naruszenia zakazu praktyk zakazanych na podstawie art. 5.

Za naruszenie pozostałych obowiązków, na przykład obowiązków dostawcy w zakresie systemów wysokiego ryzyka lub GPAI, mogą zostać nałożone kary do 15 milionów EUR lub 3 % światowego obrotu. Za przekazanie organom nadzoru nieprawdziwych, niekompletnych lub wprowadzających w błąd informacji grożą kary do 7,5 miliona EUR lub 1 % obrotu. W przypadku małych i średnich przedsiębiorstw zawsze stosuje się niższą z tych wartości. Omnibus cyfrowy rozszerzył tę zasadę na małe spółki o średniej kapitalizacji (small mid-caps) w odniesieniu do kar za naruszenie pozostałych obowiązków i za nieprawdziwe informacje – nie dotyczy to jednak praktyk zakazanych.

AI Act podkreśla jednocześnie zasadę proporcjonalności, dlatego wysokość kar ma uwzględniać charakter, wagę i czas trwania naruszenia, liczbę osób poszkodowanych, korzyść finansową z naruszenia, stopień współpracy z organami nadzoru, a także to, czy chodzi o MŚP lub startup.

Odrębną dyrektywę w sprawie odpowiedzialności za sztuczną inteligencję Komisja ostatecznie wycofała (zawiadomienie w Dzienniku Urzędowym z 6 października 2025). Dla sporów o odszkodowanie ważna jest jednak nowa dyrektywa (UE) 2024/2853 w sprawie odpowiedzialności za produkty wadliwe, zgodnie z którą produktem jest również oprogramowanie, a za producenta uważa się także dostawcę systemu AI. Państwa członkowskie mają ją transponować do 9 grudnia 2026, a ma ona zastosowanie do produktów wprowadzonych do obrotu lub oddanych do użytku po tej dacie. Właściwa dokumentacja i możliwe do wykazania wypełnianie obowiązków wynikających z AI Act pozostają zatem kluczowe także dla obrony w sporach o odszkodowanie.

Dla dostawców oznacza to w praktyce, że brak zgodności z AI Act może prowadzić nie tylko do wysokich kar i zakazu wprowadzenia systemu do obrotu, ale także do sporów sądowych i szkód wizerunkowych. Wiele firm postrzega więc dziś wdrożenie solidnego programu compliance w obszarze AI jako inwestycję w wiarygodność produktu, a nie tylko jako koszt regulacji. Prawnicy kancelarii prawnej ARROWS pomagają w takich sytuacjach klientom zarówno w prewencyjnym ustawieniu systemu zarządzania ryzykiem, jak i w obronie przed sankcjami oraz w reprezentacji przed organami nadzoru i sądami.

Obowiązki użytkowników (deployers): kompetencje w zakresie AI, przejrzystość i nadzór

Deployerem (podmiotem stosującym) jest zgodnie z AI Act ten, kto wykorzystuje system AI w ramach swojej działalności zawodowej, niezależnie od tego, czy system opracował sam, czy kupił od strony trzeciej. Dla większości zwykłych firm w Republice Czeskiej typowa będzie właśnie rola deployera – wykorzystują AI w HR, marketingu, analizie danych, zarządzaniu zapasami, obsłudze klienta lub innych procesach, ale nie rozwijają własnych modeli.

Częstym błędem jest przekonanie, że za zgodność z AI Act odpowiada przede wszystkim dostawca. Rozporządzenie nakłada jednak na deployera własne obowiązki, zwłaszcza w przypadku systemów wysokiego ryzyka i systemów, które bezpośrednio wchodzą w interakcję z użytkownikami końcowymi.

Deployerzy muszą na przykład zapewnić, aby systemy AI były wykorzystywane zgodnie z przeznaczeniem określonym przez dostawcę, i nie mogą bez dodatkowych działań używać ich w innym kontekście, zwłaszcza jeżeli prowadziłoby to do zwiększenia ryzyka. Ponadto – podobnie jak dostawcy – muszą podejmować działania wspierające kompetencje w zakresie AI osób, które w ich imieniu obsługują i wykorzystują systemy. Obowiązek ten obowiązuje od 2 lutego 2025. Omnibus cyfrowy złagodził go od 27 lipca 2026: rozporządzenie nie wymaga już zapewnienia „wystarczającego poziomu” kompetencji, lecz podejmowania działań wspierających ich poprawę, i wyraźnie stanowi, że nie wymaga zagwarantowania określonego poziomu u poszczególnych osób. W przypadku systemów wysokiego ryzyka muszą wdrożyć nadzór ze strony człowieka, monitorować działanie systemu, przechowywać logi i przestrzegać innych wymogów technicznych i organizacyjnych, w tym oceny skutków dla ochrony danych osobowych zgodnie z RODO.

Wdrażanie AI wysokiego ryzyka w firmie

Jeżeli firma wdraża AI wysokiego ryzyka, na przykład narzędzie do zautomatyzowanej preselekcji kandydatów, system oceny zdolności kredytowej klientów, AI do podejmowania decyzji o przyznaniu świadczeń publicznych lub AI wspierającą decyzje kliniczne w ochronie zdrowia, jej obowiązki są znacznie szersze. W przypadku systemów z załącznika III stosuje się je od 2 grudnia 2027, w przypadku systemów na podstawie załącznika I od 2 sierpnia 2028.

Oprócz obowiązku upewnienia się, że system ma ważną ocenę zgodności i jest zarejestrowany w bazie danych UE, co jest przede wszystkim odpowiedzialnością dostawcy, deployer musi wdrożyć nadzór ze strony człowieka. Musi także zapewnić właściwe postępowanie z logami. Jest również zobowiązany do regularnej oceny działania systemu w rzeczywistym środowisku. Jednocześnie musi wprowadzić procedury rozpatrywania incydentów i skarg. 

Na przykład bank, który wdraża AI do oceny zdolności kredytowej, musi nie tylko zweryfikować dostawcę i uzyskać od niego dokumentację techniczną, ale także zapewnić, że jego pracownicy rozumieją zasady działania systemu, potrafią interpretować jego wyniki i mają procedurę umożliwiającą ich korektę w razie potrzeby. 

Jednocześnie musi przeprowadzić ocenę skutków dla ochrony danych (DPIA) zgodnie z RODO i zająć się ewentualnymi dyskryminującymi skutkami dla różnych grup klientów. Podobnie pracodawca, który wykorzystuje AI w rekrutacji, musi zaangażować inspektora ochrony danych (DPO), przeanalizować ryzyko dyskryminacji i jasno poinformować kandydatów, że część procesu jest wspierana przez AI.

Prawnicy kancelarii prawnej ARROWS często widzą, że firmy mają tendencję do polegania na marketingowych deklaracjach dostawcy („nasza AI jest compliant”) bez głębszej weryfikacji. W kontekście AI Act konieczne jest jednak przeprowadzenie własnego due diligence, zażądanie konkretnych dokumentów (opis systemu, przeznaczenie, ograniczenia, wyniki testów) oraz zapisanie odpowiedzialności i obowiązku współpracy dostawcy bezpośrednio w umowie. W przeciwnym razie deployer naraża się na ryzyko, że w razie incydentu poniesie główną odpowiedzialność wobec regulatorów i osób poszkodowanych.

Przejrzystość wobec użytkowników i klientów

Art. 50 AI Act wprowadza ogólne obowiązki w zakresie przejrzystości dla dostawców i deployerów systemów o ograniczonym ryzyku, które wchodzą w interakcję z ludźmi lub generują treści. Deployer, który wdraża chatbota, musi zapewnić, aby użytkownik był od pierwszej interakcji jasno informowany, że komunikuje się z AI, o ile nie jest to oczywiste. 

Podobnie jeżeli firma publikuje tekst, dźwięk lub wideo wygenerowane przez AI w celu informowania opinii publicznej o sprawach leżących w interesie publicznym, ma obowiązek ujawnić, że dana treść została wygenerowana lub istotnie zmodyfikowana przez AI, chyba że przeszła pełną kontrolę redakcyjną i ponosi za nią odpowiedzialność redakcyjną człowiek.

Szczególny reżim dotyczy treści deepfake – deployerzy (czyli typowo firmy, instytucje lub profesjonaliści), którzy wykorzystują deepfake’i w ramach swojej działalności gospodarczej lub zawodowej, są od 2 sierpnia 2026 zobowiązani do widocznego oznaczania treści, tak aby przeciętny użytkownik rozpoznał, że chodzi o nagranie sztuczne lub zmanipulowane. 

Wyjątki dotyczą utworów o oczywiście artystycznym, satyrycznym lub fikcyjnym charakterze, w przypadku których wystarczy odpowiednie zastrzeżenie na początku lub w napisach, a także wykorzystania w ramach wykrywania przestępstw i prowadzenia postępowań w ich sprawie. W praktyce więc na przykład agencja marketingowa, która tworzy wideo deepfake na potrzeby kampanii klienta, musi od 2 sierpnia 2026 liczyć się z obowiązkiem widocznego oznaczenia, w przeciwnym razie ryzykuje sankcje za naruszenie art. 50.

Ewidencja, monitoring i zarządzanie incydentami

Deployerzy systemów wysokiego ryzyka będą zobowiązani do prowadzenia ewidencji wdrożenia systemu, przechowywania zapisów dotyczących istotnych parametrów jego działania oraz wdrożenia procesu monitorowania incydentów, w tym współpracy z dostawcą przy ich zgłaszaniu organom nadzoru. 

W praktyce jest to analogia do niektórych reżimów w obszarze wyrobów medycznych lub cyberbezpieczeństwa – firma musi mieć jasną wewnętrzną procedurę, jak incydent zidentyfikować, ocenić jego wagę, udokumentować go i w razie potrzeby eskalować do dostawcy oraz organów regulacyjnych.

Wiele firm nie ma dziś żadnego scentralizowanego zarządzania incydentami związanymi z AI – potencjalne problemy rozwiązywane są ad hoc w poszczególnych działach. W kontekście AI Act konieczne będzie jednak ujednolicenie tych procesów, określenie odpowiedzialnych ról (na przykład AI officer lub grupa robocza ds. AI governance) oraz ustalenie jasnych powiązań z istniejącymi mechanizmami dotyczącymi incydentów cyberbezpieczeństwa lub naruszeń ochrony danych osobowych. 

Prawnicy kancelarii prawnej ARROWS często pomagają klientom w stworzeniu jednolitych ram dla incydentów AI, obejmujących płaszczyznę prawną, techniczną i wizerunkową, w tym przygotowane scenariusze komunikacji z regulatorami, partnerami i opinią publiczną.

Przejrzystość, oznaczanie treści AI i deepfake’i

Art. 50 AI Act jest dla wielu firm jednym z najbardziej widocznych przepisów, ponieważ bezpośrednio wpływa na komunikację z klientami i użytkownikami. Nakłada obowiązek informowania osób, że wchodzą w interakcję z systemem AI, oraz oznaczania treści wygenerowanych lub zmanipulowanych przez AI, jeżeli jest to niezbędne dla zachowania zaufania i ochrony użytkowników. 

Obowiązek informowania o interakcji z AI dotyczy systemów, których celem jest bezpośrednia komunikacja z ludźmi – typowo chatbotów, wirtualnych asystentów lub voicebotów w obsłudze klienta. Wyjątkiem są sytuacje, gdy z kontekstu jasno wynika, że chodzi o maszynę, lub gdy AI jest wykorzystywana do wykrywania przestępstw i prowadzenia postępowań w ich sprawie przy zachowaniu szczególnych gwarancji.

W przypadku generatywnych systemów AI dostawcy muszą zapewnić, aby wyniki były oznaczone przynajmniej w postaci znacznika nadającego się do odczytu maszynowego, który umożliwi wykrycie treści AI na przykład przez media społecznościowe, wyszukiwarki i narzędzia do weryfikacji faktów. Systemy wprowadzone do obrotu przed 2 sierpnia 2026 muszą spełnić ten obowiązek do 2 grudnia 2026. Wdrożenie będzie z reguły techniczne – znaki wodne, metadane lub znaczniki kryptograficzne osadzone w pliku tak, aby nie dało się ich łatwo usunąć. 

Od 2 sierpnia 2026 stosuje się ponadto obowiązek niektórych deployerów, zwłaszcza w obszarze mediów, marketingu i komunikacji publicznej, do widocznego oznaczania treści wygenerowanych przez AI, jeżeli służą informowaniu opinii publicznej o sprawach leżących w interesie publicznym lub jeżeli chodzi o deepfake.

Treści deepfake: surowszy reżim i wyjątki

Deepfake to szczególna kategoria treści wygenerowanych lub zmodyfikowanych przez AI, które naśladują istniejące osoby, miejsca lub wydarzenia w taki sposób, że mogą zostać błędnie uznane za autentyczne. Regulacja podchodzi do nich surowiej, ponieważ deepfake’i mogą być nadużywane do dezinformacji, oszustw, szantażu lub innych form naruszania dóbr osobistych i zaufania do debaty publicznej.

AI Act nakłada zatem na deployerów treści deepfake, którzy wykorzystują je w ramach działalności gospodarczej lub zawodowej, obowiązek widocznego oznaczenia, że treść została wygenerowana lub zmanipulowana przez AI. W praktyce oznacza to, że jeśli na przykład agencja marketingowa stworzy wideo, w którym fikcyjny wizerunek znanej osoby promuje produkt, lub jeśli kampania polityczna wykorzysta zmanipulowane nagranie, treść musi być jasno oznaczona jako sztuczna.

Komisja opublikowała 10 czerwca 2026 dobrowolny Kodeks praktyk w zakresie oznaczania treści generowanych przez AI, a wraz z nim unijne ikony do oznaczania treści AI; konkretne formy oznaczenia zaleca właśnie ten kodeks. Wyjątki dotyczą utworów o oczywiście artystycznym, satyrycznym lub fikcyjnym charakterze, w przypadku których obowiązek wyraźnego oznaczenia mógłby nieproporcjonalnie zakłócić odbiór; wystarczy wtedy odpowiednia informacja, że utwór wykorzystuje AI. W praktyce więc na przykład agencja marketingowa, która tworzy wideo deepfake na potrzeby kampanii klienta, musi od 2 sierpnia 2026 liczyć się z obowiązkiem widocznego oznaczenia, w przeciwnym razie ryzykuje sankcje za naruszenie art. 50.

Standardy techniczne i kodeks przejrzystości

Szczegóły techniczne oznaczania treści AI będą stopniowo standaryzowane za pomocą norm zharmonizowanych i kodeksów praktyk. Projekty przewidują wielowarstwowe oznaczanie – połączenie znaków wodnych, metadanych i ewentualnie publicznie dostępnych narzędzi do weryfikacji treści AI. Dostawcy systemów AI będą musieli wdrożyć te rozwiązania techniczne w swoich produktach, a deployerzy będą zobowiązani aktywnie z nich korzystać i nie uchylać się od odpowiedzialności przez wyłączenie oznaczania w praktyce.

Z praktycznego punktu widzenia otwiera się tu pole do ustaleń umownych między dostawcą a deployerem – na przykład jakie standardy oznaczania zostały wdrożone, jakie gwarancje daje dostawca i jak postępuje się w razie naruszenia obowiązków.

 Kancelaria prawna ARROWS pomaga w takich sytuacjach klientom tak ułożyć umowy, aby podział obowiązków i odpowiedzialności odpowiadał temu, kto sprawuje techniczną i organizacyjną kontrolę nad tym, jak treści AI są tworzone i publikowane.

Klasyfikacja ryzyka: granica między „zwykłym oprogramowaniem” a AI i dlaczego ma ona znaczenie

AI Act rozróżnia cztery podstawowe poziomy ryzyka: niedopuszczalne (zakazane), wysokie, ograniczone oraz minimalne lub zerowe. Praktyki zakazane już opisaliśmy; w przypadku systemów wysokiego ryzyka obowiązują szczegółowe wymogi dotyczące projektowania, danych, testowania, dokumentacji i nadzoru; w przypadku systemów o ograniczonym ryzyku regulacja koncentruje się przede wszystkim na przejrzystości wobec użytkowników; a systemy o minimalnym lub zerowym ryzyku nie są objęte szczególnymi obowiązkami z AI Act.

Zdecydowana większość zwykłych aplikacji firmowych należy do kategorii ograniczonego lub minimalnego ryzyka, ale i tu obowiązują ogólne przepisy prawa – zwłaszcza RODO, prawo autorskie i prawo konsumenckie.

Dla menedżerów kluczowe jest zrozumienie, że klasyfikacja systemu ma bezpośredni wpływ na zakres obowiązków i potencjalne sankcje. Na przykład chatbot na stronie internetowej o ograniczonym ryzyku będzie wymagał stosunkowo prostych kroków (poinformowania użytkowników, że chodzi o AI, kontroli treści i rozpatrywania skarg), podczas gdy system do zautomatyzowanego przyznawania kredytów jako system wysokiego ryzyka będzie wymagał kompleksowego reżimu compliance.

Nieprawidłowa klasyfikacja – na przykład gdy firma uznaje system wysokiego ryzyka za „zwykłe oprogramowanie” – może prowadzić do tego, że nie wypełnia ona obowiązków, nie zdając sobie z tego sprawy, i naraża się na ryzyko sankcji i sporów.

Jak odróżnić AI od zwykłego oprogramowania

AI Act stara się odróżnić „prawdziwą AI” od tradycyjnego oprogramowania przede wszystkim według stopnia autonomii i zdolności adaptacji – czy system wykorzystuje techniki uczenia maszynowego, optymalizuje swoje działanie na podstawie danych i generuje wyniki, które mogą wpływać na środowisko fizyczne lub wirtualne. Mówiąc prościej, jeżeli chodzi o statyczny program o z góry ustalonej logice typu „if-then-else”, nie jest to system AI w rozumieniu rozporządzenia.

Natomiast modele i algorytmy, które uczą się na danych, dostosowują się do nowych sytuacji i samodzielnie generują rekomendacje lub decyzje, mieszczą się w definicji AI. W praktyce granica może być niejasna, na przykład w przypadku zaawansowanych systemów eksperckich lub narzędzi analitycznych z elementami modelowania statystycznego. Warto wtedy analizować nie tylko dokumentację techniczną, ale także wykładnię prawną, w tym wytyczne Komisji i przyszłe normy zharmonizowane.

Jeżeli istnieje uzasadniona wątpliwość, opłaca się raczej podejście ostrożne – tj. zakładanie stosowania AI Act – niż ryzyko, że organ nadzoru uzna później system za AI i zarzuci firmie niewypełnienie obowiązków. Prawnicy kancelarii prawnej ARROWS pomagają klientom w techniczno-prawnej ocenie konkretnych rozwiązań i ich zakwalifikowaniu do właściwej kategorii ryzyka.

Jak może pomóc kancelaria prawna ARROWS

Regulacja sztucznej inteligencji i nowe europejskie wytyczne stanowią dla firm połączenie wyzwań prawnych, technicznych i organizacyjnych. Szczególnie wymagające jest to, że AI Act przenika się z szeregiem innych przepisów – RODO, NIS2, regulacjami sektorowymi, prawem autorskim, prawem konsumenckim, ochroną dóbr osobistych czy zasadami konkurencji. Laik lub przeciążony menedżer często widzi tylko część obrazu i może nie docenić mniej oczywistych ryzyk, na przykład odpowiedzialności za szkodę wyrządzoną przez AI, sytuacji dowodowej w sporze lub potencjalnego zablokowania transakcji czy projektu przez regulatorów.

Prawnicy kancelarii prawnej ARROWS od dawna zajmują się prawem cyfrowym, ochroną danych osobowych oraz regulacją technologii i AI. W praktyce pomagają klientom m.in. w kompleksowej analizie luk (AI gap analysis), w ramach której identyfikują wykorzystywane systemy AI, określają role i kategorie ryzyka, oceniają istniejące procesy i dokumentację oraz proponują konkretne kroki prowadzące do osiągnięcia zgodności.

Ponadto przygotowują i weryfikują umowy z dostawcami rozwiązań AI oraz z klientami, tak aby prawidłowo rozkładały odpowiedzialność, uwzględniały wymogi AI Act, RODO i innych przepisów oraz chroniły interesy handlowe klienta. Częścią usług jest także ustanowienie wewnętrznego governance – od przygotowania regulaminów korzystania z AI, przez określenie ról i odpowiedzialności, aż po zaprojektowanie procesu zatwierdzania nowych projektów AI i rozpatrywania incydentów.

Kancelaria prawna ARROWS zapewnia również specjalistyczne szkolenia dla kadry zarządzającej, działów IT, HR i innych zespołów, aby kompetencje w zakresie AI w firmie nie były jedynie „odhaczonym” obowiązkiem, lecz rzeczywistym narzędziem odpowiedzialnego korzystania z AI. W przypadku kontroli ze strony organów nadzoru lub w sytuacjach, w których grożą sankcje, prawnicy kancelarii reprezentują klientów, prowadzą z organami merytoryczny dialog i przygotowują strategię obrony.

Ważnym elementem jest także ubezpieczenie odpowiedzialności – kancelaria prawna ARROWS jest ubezpieczona od odpowiedzialności zawodowej do kwoty 400 000 000 CZK (ok. 16,5 mln EUR), co zapewnia klientom dodatkowy poziom bezpieczeństwa przy powierzaniu złożonych i ryzykownych projektów. W sprawach międzynarodowych, w których systemy AI działają ponad granicami, kancelaria może dzięki sieci ARROWS International koordynować wsparcie prawne w różnych jurysdykcjach i zapewnić spójne podejście do regulacji AI na różnych rynkach.

Jeżeli rozważasz wdrożenie AI w firmie lub już z niej korzystasz i chcesz mieć pewność, że spełniasz rosnące wymogi AI Act i powiązanych wytycznych europejskich, to dobry moment, aby rozpocząć systematyczne przygotowania. Prawnicy kancelarii prawnej ARROWS mogą pomóc zarówno we wstępnym rozpoznaniu sytuacji, jak i w długofalowym ustanowieniu programu compliance, aby Twoje projekty AI były technicznie innowacyjne, prawnie bezpieczne i biznesowo zrównoważone. W razie zainteresowania możesz w każdej chwili skontaktować się z nami pod adresem konsultacja@arws.cz.

Podsumowanie końcowe

Europejska regulacja sztucznej inteligencji już dziś zasadniczo zmienia sposób, w jaki firmy rozwijają i wykorzystują AI. AI w firmach pod nadzorem UE to nie tylko slogan, lecz rzeczywistość prawna, która stopniowo przekłada się na codzienną praktykę dostawców i użytkowników AI. Od zakazu niedopuszczalnych praktyk (od 2 grudnia 2026 rozszerzonego o dwa kolejne zakazy) i przepisów dla dostawców modeli AI ogólnego przeznaczenia, przez obowiązki w zakresie przejrzystości i oznaczania treści AI obowiązujące od 2 sierpnia 2026, aż po reżim AI wysokiego ryzyka, który omnibus cyfrowy przesunął na 2 grudnia 2027, względnie 2 sierpnia 2028 – wszystkie te elementy tworzą ramy, w których AI będzie funkcjonować w europejskim biznesie w kolejnych latach.

Dla przedsiębiorców, kadry zarządzającej i inwestorów oznacza to nie tylko nowe koszty i obowiązki administracyjne, ale także możliwość wyróżnienia się jako wiarygodny partner, który korzysta z AI w sposób odpowiedzialny i przewidywalny. Ryzyka wynikające z niedocenienia AI Act to nie tylko kary – grozi także odmowa dostępu do rynku, wstrzymanie projektów, spory sądowe o odszkodowanie, utrata pozycji negocjacyjnej wobec partnerów lub szkoda wizerunkowa w oczach klientów i opinii publicznej. Z drugiej strony firmy, które przygotują się na regulację z wyprzedzeniem, mogą korzystać z AI przy mniejszej niepewności prawnej i łatwiej przekonać klientów, inwestorów i regulatorów o bezpieczeństwie swoich rozwiązań.

Rzeczywistość regulacji AI jest jednocześnie bardziej skomplikowana, niż mogłoby się wydawać na pierwszy rzut oka. Oprócz samego AI Act trzeba brać pod uwagę powiązane wytyczne i kodeksy Komisji, krajowe ustawy wdrożeniowe, normy zharmonizowane oraz równoległe reżimy, takie jak RODO, NIS2 czy przepisy sektorowe. Wiele kroków, które wyglądają na proste – na przykład wdrożenie chatbota, wykorzystanie generatywnej AI w marketingu lub wprowadzenie AI w HR – kryje w sobie szereg prawnych i praktycznych szczegółów, których laik zazwyczaj nie dostrzega.

Dlatego warto nie improwizować, lecz współpracować z ekspertami, którzy łączą perspektywę prawną i biznesową. Jeżeli nie chcesz ryzykować błędów, szkód, opóźnień lub kar, a jednocześnie chcesz w pełni i bezpiecznie wykorzystywać AI w swojej firmie, możesz bezpiecznie powierzyć ten obszar prawnikom kancelarii prawnej ARROWS. Pomogą Ci ustawić procesy, umowy i zasady wewnętrzne tak, aby odpowiadały aktualnemu stanowi prawnemu i jednocześnie wspierały Twoje cele biznesowe. W sprawie niezobowiązującej konsultacji możesz skontaktować się z nami pod adresem konsultacja@arws.cz.