AI Act w praktyce: 6 mitów, które mogą drogo kosztować Twoją firmę

Komisja Europejska przyjęła AI Act jako pierwszą na świecie kompleksową regulację dotyczącą sztucznej inteligencji. W praktyce jednak największym problemem nie jest sama regulacja, lecz chaos interpretacyjny wokół niej. Podczas konferencji Mobile Trends for Experts Aleksandra Maciejewicz wskazała najczęstsze nieporozumienia i wyjaśniła, jak naprawdę działa unijne rozporządzenie.

AI Act już obowiązuje – i nie trzeba czekać na „polską ustawę”

Jednym z najczęstszych błędów jest przekonanie, że AI Act „jeszcze nie działa”, bo nie przyjęto krajowej ustawy wdrażającej.

AI Act jest rozporządzeniem unijnym, a więc – podobnie jak RODO – obowiązuje bezpośrednio we wszystkich państwach członkowskich. Krajowe regulacje będą jedynie uzupełniać kwestie organizacyjne, takie jak wskazanie organu nadzorczego.

Co istotne, AI Act to tzw. akt „rolujący się”. Wszedł w życie w 2024 r., ale jego przepisy stosuje się etapami. Kluczowa data dla wielu firm to sierpień 2026 r., kiedy zaczną w pełni obowiązywać regulacje dotyczące systemów wysokiego ryzyka.

Dla organizacji rozwijających AI oznacza to jedno: czas na analizę i dostosowanie jest teraz, a nie w 2026 roku.

Eksterytorialność: wyprowadzenie spółki poza UE nie rozwiązuje problemu

Kolejny mit dotyczy ucieczki regulacyjnej. W praktyce AI Act ma charakter eksterytorialny – obejmuje podmioty spoza UE, jeśli:

• system AI jest wykorzystywany na rynku unijnym,
• jego wyniki wywołują skutki wobec osób w UE,
• rozwiązanie jest oferowane użytkownikom w UE.

To podejście znane już z RODO. Przeniesienie infrastruktury czy siedziby poza Unię nie zwalnia z obowiązków, jeśli produkt oddziałuje na rynek europejski.

„Człowiek na końcu procesu” nie wyłącza wysokiego ryzyka

W praktyce biznesowej często pojawia się argument: skoro ostateczną decyzję podejmuje człowiek, system nie powinien być kwalifikowany jako wysokiego ryzyka.

To zbyt daleko idące uproszczenie.

Załącznik III AI Act wskazuje obszary, w których systemy mogą zostać uznane za wysokiego ryzyka – m.in. rekrutację, edukację, ocenę zdolności kredytowej czy dostęp do świadczeń publicznych. Przepisy obejmują nie tylko systemy w pełni zautomatyzowane, lecz także te, które wspierają podejmowanie decyzji.

Przykładowo: narzędzie do preselekcji CV, nawet jeśli rekruter zatwierdza wybór, może podlegać rygorystycznym obowiązkom – jeśli jego wpływ na decyzję jest znaczący.

Kluczowe jest pojęcie „znaczącego wpływu”. To ono w praktyce będzie rozstrzygało o kwalifikacji systemu, a jego interpretacja prawdopodobnie będzie restrykcyjna.

Zakazane praktyki są bardziej zniuansowane, niż się wydaje

Debata publiczna sprowadza zakazane praktyki do kilku haseł: social scoring, manipulacja, predykcja przestępstw, rozpoznawanie emocji. Tymczasem rzeczywistość regulacyjna jest znacznie bardziej złożona.

Weźmy przykład systemów rozpoznawania emocji. Zakaz może dotyczyć ich stosowania:

• w miejscu pracy wobec pracowników,
• w instytucjach edukacyjnych.

Jednocześnie istnieją wyjątki związane z bezpieczeństwem, a nie każda analiza mimiki czy uśmiechu automatycznie kwalifikuje się jako detekcja emocji w rozumieniu rozporządzenia.

Wokół jednego artykułu AI Act powstały setki stron wytycznych interpretacyjnych. Dla firm oznacza to konieczność pogłębionej analizy, a nie opierania się na medialnych skrótach.

AI Act nie reguluje wszystkiego, czego oczekiwano

Wiele środowisk liczyło, że AI Act rozwiąże:

• kwestie praw autorskich do treści generowanych przez AI,
• spory dotyczące trenowania modeli na cudzych danych,
• roszczenia cywilne osób poszkodowanych przez systemy AI.

Tak się nie stało.

AI Act ma charakter przede wszystkim administracyjno-systemowy. Koncentruje się na:

• kategoryzacji systemów (zakazane, wysokiego ryzyka, transparentności),
• obowiązkach dokumentacyjnych i certyfikacyjnych,
• rejestracji i nadzorze.

W tym sensie przypomina regulacje dotyczące wyrobów medycznych – jego celem jest dopuszczenie systemu do obrotu przy spełnieniu określonych wymogów, a nie rozstrzyganie sporów cywilnych.

Open source i „proste systemy” – kolejne uproszczenia

W praktyce rynkowej funkcjonują jeszcze dwa niebezpieczne przekonania.

Po pierwsze: open source jest całkowicie wyłączony spod AI Act.
Rozporządzenie przewiduje pewne wyłączenia, ale definicja open source jest precyzyjna i rygorystyczna. Nie każde rozwiązanie określane marketingowo jako „open” spełni ustawowe kryteria.

Po drugie: im prostszy system, tym mniejsze ryzyko regulacyjne.
AI Act nie opiera się na poziomie złożoności technologicznej, lecz na obszarze zastosowania i potencjalnym wpływie na prawa podstawowe. Prosty algorytm używany w rekrutacji może być regulacyjnie bardziej wrażliwy niż zaawansowany model generatywny wykorzystywany do tworzenia treści marketingowych.

Czy AI Act hamuje innowacje?

W debacie branżowej pojawia się teza, że regulacja osłabi konkurencyjność UE. Warto jednak zauważyć, że rozporządzenie przewiduje szereg mechanizmów wsparcia:

• uproszczone obowiązki dokumentacyjne dla MŚP i startupów,
• niższe sankcje,
• obowiązek wsparcia ze strony organów nadzoru,
• planowane wytyczne i narzędzia ułatwiające compliance,
• możliwość uzyskania opinii indywidualnej (na poziomie krajowym).

To sygnał, że intencją ustawodawcy jest nie tylko kontrola, lecz także stworzenie przewidywalnego środowiska regulacyjnego.

Co powinny zrobić firmy już teraz?

Dla organizacji rozwijających lub wdrażających systemy AI kluczowe są trzy kroki:

1. Mapa zastosowań AI w organizacji – identyfikacja wszystkich systemów, również tych używanych przez HR, marketing czy obsługę klienta.
2. Wstępna kwalifikacja ryzyka – analiza, czy któryś z systemów może wchodzić w zakres załącznika III.
3. Budowa procesu compliance – dokumentacja, ocena ryzyka, procedury nadzoru, mechanizmy transparentności.

AI Act nie jest regulacją „na później”. Jest elementem strategii zarządzania ryzykiem i reputacją. W warunkach rosnącej presji na odpowiedzialną sztuczną inteligencję może stać się również przewagą konkurencyjną.

Wnioski: mniej strachu, więcej analizy

Prelekcja Aleksandry Maciejewicz była przede wszystkim próbą odmitologizowania AI Act. Zamiast narracji o „pogromie technologii” warto przyjąć perspektywę zarządczą: regulacja jest faktem, jej zakres jest złożony, ale możliwy do uporządkowania.

Dla firm technologicznych, fintechów, edtechów, HR-techów czy podmiotów sektora publicznego nadchodzące miesiące będą okresem intensywnego dostosowania. Ci, którzy potraktują AI Act jako element długofalowej strategii, a nie wyłącznie jako koszt, mogą zyskać stabilność i zaufanie rynku w erze regulowanej sztucznej inteligencji.

Artykuł powstał na podstawie prelekcji Aleksandry Maciejewicz zaprezentowanej podczas Mobile Trends for Experts. A o bieżącej edycji Mobile Trends Conference przeczytasz tutaj.