AI Act w praktyce: Checklista obowiązków

DORADZTWO PODATKOWE

AI Act to nie problem, to nowa rzeczywistość biznesowa

Jako CEO, CTO czy CFO innowacyjnego startupu, każdego dnia podejmujesz strategiczne decyzje, które kształtują przyszłość Twojej firmy. W tym dynamicznym środowisku, unijne rozporządzenie w sprawie sztucznej inteligencji, znane jako AI Act, może wydawać się kolejnym biurokratycznym obciążeniem. To błąd. AI Act nie jest tylko kwestią prawną – to fundamentalny element nowej rzeczywistości biznesowej, który wpłynie na rozwój Twojego produktu, dostęp do kluczowych rynków i, co najważniejsze, wycenę Twojej firmy.

Ignorowanie tych przepisów to nie tylko ryzyko. To gwarancja problemów, których skala może być druzgocąca. Mówimy o karach finansowych sięgających nawet 35 milionów euro lub 7% całkowitego światowego rocznego obrotu.1 To kwoty, które mogą zakończyć działalność nawet najbardziej obiecującego startupu.

Jednak ten artykuł nie ma na celu straszenia. Jego zadaniem jest dostarczenie klarownego, praktycznego przewodnika, który przekształci skomplikowane paragrafy w konkretny plan działania. Co więcej, pokaże, jak potraktowanie zgodności z AI Act priorytetowo może stać się jedną z Twoich największych przewag konkurencyjnych.3 Zgodność to nie koszt – to inwestycja w zaufanie, bezpieczeństwo i skalowalność Twojego biznesu na całym rynku europejskim.

AI Act w 5 minut: Co każdy lider startupu musi wiedzieć

Zanim zagłębimy się w szczegóły, oto zwięzłe podsumowanie kluczowych koncepcji, które każdy decydent w startupie technologicznym powinien znać.

Czym jest AI Act?

AI Act to pierwsze na świecie kompleksowe i horyzontalne prawo regulujące sztuczną inteligencję.1 Jego fundamentem jest podejście oparte na ocenie ryzyka – im większe potencjalne zagrożenie dla zdrowia, bezpieczeństwa lub praw podstawowych człowieka, tym surowsze obowiązki.6 Celem rozporządzenia jest zapewnienie, aby systemy AI wprowadzane na rynek Unii Europejskiej były bezpieczne, przejrzyste, niedyskryminujące i zgodne z europejskimi wartościami.8

Kogo dotyczy? Kluczowe role w ekosystemie AI

Rozporządzenie definiuje kilka kluczowych ról. Zrozumienie, którą z nich pełnisz, jest kluczowe dla określenia Twoich obowiązków.

• System AI: W uproszczeniu, jest to oprogramowanie działające na maszynie (np. komputerze), które zaprojektowano do działania z pewnym poziomem autonomii i które na podstawie otrzymywanych danych wejściowych generuje wyniki, takie jak prognozy, rekomendacje czy decyzje.1 W odróżnieniu od prostego oprogramowania, system AI może uczyć się i adaptować po wdrożeniu.9 Przykładami mogą być chatbot obsługujący klienta, algorytm do analizy CV czy system rekomendacji w Twojej aplikacji.

• Dostawca (Provider): To najprawdopodobniej Ty, jeśli Twój startup rozwija system AI (lub zleca jego rozwój) i wprowadza go na rynek lub oddaje do użytku pod własną nazwą lub znakiem towarowym – niezależnie od tego, czy robi to odpłatnie, czy za darmo.10 Na dostawcach spoczywa zdecydowana większość obowiązków wynikających z AI Act.11

• Użytkownik (Deployer): To każda osoba fizyczna lub prawna (w tym Twój startup), która wykorzystuje system AI w ramach swojej działalności zawodowej, z wyjątkiem użytku osobistego, nieprofesjonalnego.7 Jeśli na przykład Twój dział HR korzysta z zewnętrznego narzędzia AI do selekcji kandydatów, stajesz się użytkownikiem i również podlegasz określonym obowiązkom.5

Należy jednak zachować czujność, ponieważ granica między byciem "użytkownikiem" a "dostawcą" bywa płynna i stanowi jedną z największych pułapek regulacyjnych. Startup może postrzegać siebie jako "użytkownika", ponieważ korzysta z API zewnętrznego modelu językowego (LLM). Jeśli jednak na bazie tego API zbuduje zaawansowany produkt, znacząco go zmodyfikuje i wprowadzi na rynek pod własną marką jako rozwiązanie do zastosowań wysokiego ryzyka (np. chatbot do wstępnej diagnozy medycznej), w świetle prawa staje się "dostawcą" systemu wysokiego ryzyka.5 Taka zmiana statusu diametralnie zwiększa zakres obowiązków – z minimalnych do maksymalnych.

Harmonogram wdrożenia – kiedy musisz być gotowy?

AI Act wchodzi w życie etapami. Kluczowe jest, aby znać terminy, które dotyczą Twojej działalności:

• Luty 2025: Wejście w życie zakazu dotyczącego systemów AI o niedopuszczalnym ryzyku.8

• Sierpień 2026: Rozpoczęcie stosowania obowiązków dla większości systemów AI wysokiego ryzyka, czyli tych wymienionych w Załączniku III do rozporządzenia.1

• Sierpień 2027: Rozpoczęcie stosowania obowiązków dla systemów AI wysokiego ryzyka, które są komponentami produktów podlegających już innym unijnym regulacjom (wymienionych w Załączniku I).12

Mapa ryzyka: Gdzie na niej znajduje się Twój produkt?

Kluczowym krokiem w kierunku zgodności jest prawidłowa klasyfikacja Twojego systemu AI. Od niej zależy cały zakres dalszych obowiązków. AI Act dzieli systemy na cztery kategorie ryzyka.15

Poziom 1: ryzyko niedopuszczalne (systemy zakazane)

Są to praktyki AI uznane za sprzeczne z wartościami UE i stanowiące zagrożenie dla praw człowieka. Ich wprowadzanie na rynek, oddawanie do użytku i stosowanie na terenie UE jest całkowicie zakazane.1 Przykłady obejmują:

• Systemy stosujące techniki podprogowe lub manipulacyjne w celu istotnego zniekształcenia zachowania człowieka w sposób, który powoduje szkodę.6

• Systemy wykorzystujące słabości określonych grup (np. ze względu na wiek, niepełnosprawność, sytuację ekonomiczną).5

• Systemy oceny społecznej (tzw. "social scoring") stosowane przez władze publiczne.5

• Systemy zdalnej identyfikacji biometrycznej "w czasie rzeczywistym" w przestrzeni publicznej do celów ścigania (z bardzo wąskimi wyjątkami).1

• Systemy do rozpoznawania emocji w miejscu pracy lub w instytucjach edukacyjnych.17

Poziom 2: ryzyko wysokie (Ścisła regulacja)

To najważniejsza i najbardziej złożona kategoria, w której prawdopodobnie znajdzie się wiele innowacyjnych produktów tworzonych przez startupy. System AI jest klasyfikowany jako wysokiego ryzyka, jeśli jest komponentem bezpieczeństwa produktu objętego istniejącym prawodawstwem unijnym LUB jest wymieniony na liście w Załączniku III do rozporządzenia.5 Kluczowe kryteria to stwierdzenie, czy system stwarza

znaczące ryzyko szkody dla zdrowia, bezpieczeństwa lub praw podstawowych oraz czy ma istotny wpływ na wynik procesu decyzyjnego.15

Przykłady systemów wysokiego ryzyka szczególnie istotne dla startupów to 5:

• HR Tech: Systemy używane do rekrutacji, np. do filtrowania aplikacji, analizy CV czy oceny kandydatów podczas rozmów kwalifikacyjnych.

• FinTech: Systemy do oceny zdolności kredytowej osób fizycznych lub ustalania ich scoringu kredytowego.

• EdTech: Systemy wykorzystywane do podejmowania decyzji o przyjęciu do placówek edukacyjnych lub do oceny uczniów podczas egzaminów.

• Inne: Systemy identyfikacji biometrycznej, systemy wykorzystywane w zarządzaniu infrastrukturą krytyczną (np. energetyką) czy w wymiarze sprawiedliwości.

Ważna zasada: system AI, który dokonuje profilowania osób fizycznych, jest zawsze uznawany za system wysokiego ryzyka.19

Poziom 3: ryzyko ograniczone (obowiązek transparentności)

Ta kategoria obejmuje systemy, które niosą ze sobą ryzyko manipulacji lub wprowadzenia w błąd. Główny obowiązek polega na zapewnieniu przejrzystości.15 Użytkownicy muszą być jasno poinformowani, że wchodzą w interakcję z systemem AI.21 Przykłady to:

• Chatboty i inne systemy przeznaczone do interakcji z ludźmi.22

• Systemy rozpoznawania emocji lub kategoryzacji biometrycznej (o ile nie są zakazane lub wysokiego ryzyka).15

• Systemy generujące lub manipulujące treściami audio lub wideo, czyli tzw. "deepfake'i".7

Poziom 4: ryzyko minimalne (brak regulacji)

Do tej kategorii należy zdecydowana większość obecnie istniejących systemów AI. Nie podlegają one żadnym obowiązkom wynikającym z AI Act, chociaż zachęca się dostawców do dobrowolnego stosowania kodeksów postępowania.6 Przykłady to:

• Filtry antyspamowe.

• Systemy AI w grach wideo.

• Proste systemy rekomendacji w sklepach internetowych.

Poniższa tabela podsumowuje kluczowe informacje, aby ułatwić szybką orientację.

Checklista zgodności dla systemów AI wysokiego ryzyka

Jeśli Twój produkt został zaklasyfikowany jako system AI wysokiego ryzyka, musisz wdrożyć szereg rygorystycznych środków. Poniższa checklista przekształca wymogi prawne w konkretne zadania. Należy jednak postrzegać ją nie jako listę biurokratycznych przeszkód, ale jako sprawdzony schemat rozwoju produktu, który prowadzi do stworzenia wysokiej jakości, godnego zaufania i bezpiecznego rozwiązania. Startup, który od samego początku wbuduje te zasady w swój cykl życia produktu, nie tylko osiągnie zgodność, ale stworzy produkt lepszy, bezpieczniejszy i bardziej konkurencyjny.

• [ ] Wdrożenie Systemu Zarządzania Ryzykiem (Art. 9): Musisz ustanowić, wdrożyć, udokumentować i utrzymywać system zarządzania ryzykiem. Jest to ciągły, iteracyjny proces obejmujący identyfikację, analizę, ocenę i mitygację przewidywalnych ryzyk przez cały cykl życia systemu AI. Każda decyzja w tym zakresie musi być udokumentowana.21

• [ ] Zapewnienie Jakości Danych (Data Governance) (Art. 10): Zbiory danych używane do trenowania, walidacji i testowania systemu muszą być adekwatne, reprezentatywne, wolne od błędów i kompletne. Należy wdrożyć odpowiednie praktyki zarządzania danymi, aby zapobiegać i identyfikować potencjalne uprzedzenia (bias), które mogłyby prowadzić do dyskryminacji.23

• [ ] Stworzenie i Utrzymywanie Dokumentacji Technicznej (Art. 11): Należy przygotować szczegółową dokumentację techniczną przed wprowadzeniem systemu do obrotu. Musi ona zawierać m.in. ogólny opis systemu, jego przeznaczenie, logikę algorytmów, opis użytych danych, wyniki testów, środki cyberbezpieczeństwa oraz instrukcję obsługi. Dokumentację należy przechowywać przez 10 lat. Dla startupów przewidziano możliwość korzystania z uproszczonych wzorów.23

• [ ] Wdrożenie Systemu Rejestracji Zdarzeń (Logowania) (Art. 12): System musi być wyposażony w mechanizm automatycznego rejestrowania zdarzeń (logów) podczas jego działania. Logi te, niczym "czarna skrzynka" w samolocie, mają umożliwić prześledzenie działania systemu i identyfikację przyczyn ewentualnych incydentów.23

• [ ] Zapewnienie Transparentności i Informacji dla Użytkowników (Art. 13): System musi być zaprojektowany tak, aby jego działanie było wystarczająco przejrzyste dla użytkowników (deployerów). Należy dostarczyć im wyczerpującą instrukcję obsługi, która jasno opisuje cechy, możliwości, ograniczenia, poziom dokładności i przewidywalne ryzyka związane z systemem.23

• [ ] Zaprojektowanie Efektywnego Nadzoru Ludzkiego (Human Oversight) (Art. 14): Systemy wysokiego ryzyka muszą być zaprojektowane w sposób umożliwiający skuteczny nadzór ze strony człowieka. Oznacza to, że człowiek musi być w stanie zrozumieć działanie systemu, monitorować je i w razie potrzeby interweniować, a nawet całkowicie go wyłączyć. AI ma wspierać, a nie zastępować ludzką decyzyjność.21

• [ ] Zapewnienie Dokładności, Solidności i Cyberbezpieczeństwa (Art. 15): System musi osiągać odpowiedni poziom dokładności, być odporny na błędy oraz ataki, które mogłyby zagrozić jego bezpieczeństwu. Obejmuje to ochronę przed atakami takimi jak "data poisoning" (zatruwanie danych treningowych) czy ataki typu "adversarial examples".23

• [ ] Wdrożenie Systemu Zarządzania Jakością (Art. 17): Należy wdrożyć system zarządzania jakością, który obejmuje pisemne strategie, procedury i instrukcje dotyczące m.in. projektowania, weryfikacji, walidacji, zarządzania danymi, monitorowania po wprowadzeniu do obrotu oraz zapewnienia zgodności z regulacjami.23

• [ ] Przeprowadzenie Oceny Zgodności i Uzyskanie Oznakowania CE (Art. 43, 48): Przed wprowadzeniem na rynek, system musi przejść odpowiednią procedurę oceny zgodności. Po jej pomyślnym zakończeniu, należy sporządzić deklarację zgodności UE i umieścić na produkcie (lub w jego dokumentacji) oznakowanie zgodności CE.5

• [ ] Rejestracja Systemu w Bazie Danych UE (Art. 49): Dostawcy systemów AI wysokiego ryzyka muszą zarejestrować siebie oraz swoje systemy w publicznej bazie danych UE, która zostanie utworzona na potrzeby AI Act.23

• [ ] Wdrożenie Systemu Monitorowania po Wprowadzeniu na Rynek (Art. 72): Obowiązki nie kończą się w dniu premiery produktu. Należy ustanowić i wdrożyć systematyczny proces monitorowania działania systemu w warunkach rzeczywistych, zbierania danych o jego wydajności i zgłaszania wszelkich poważnych incydentów właściwym organom.27

Kary to nie wszystko: jak przekuć AI Act w przewagę konkurencyjną?

Skupianie się wyłącznie na unikaniu kar to myślenie defensywne. Liderzy rynku myślą ofensywnie, przekuwając regulacje w strategiczną przewagę. Zgodność z AI Act to nie tylko tarcza, ale i miecz w walce o klienta, inwestora i rynek.

• Budowanie Zaufania jako Waluty Przyszłości: W dobie rosnącej nieufności wobec technologii, oznakowanie CE na Twoim produkcie AI stanie się potężnym symbolem bezpieczeństwa, etyki i niezawodności. To komunikat dla klientów: "Nasz produkt został zweryfikowany i jest zgodny z najwyższymi europejskimi standardami". To buduje zaufanie, które jest bezcenne i trudne do skopiowania przez konkurencję.3

• Jeden Paszport na Cały Rynek UE: Zgodność z AI Act to Twój paszport do jednolitego rynku obejmującego 27 państw i setki milionów konsumentów. Zamiast nawigować po labiryncie krajowych przepisów, otrzymujesz jeden, zharmonizowany zestaw zasad, co radykalnie upraszcza ekspansję i skalowanie biznesu.3

• Atrakcyjność dla Inwestorów: Fundusze Venture Capital coraz skrupulatniej analizują ryzyko regulacyjne. Startup, który proaktywnie zarządza zgodnością z AI Act, jest postrzegany jako bardziej dojrzały, mniej ryzykowny i po prostu lepszy cel inwestycyjny. Udowodnienie zgodności podczas procesu due diligence może znacząco podnieść Twoją wycenę i przyspieszyć zamknięcie rundy finansowania.3

• Lepszy Produkt "by Design": Wymogi AI Act, takie jak solidne zarządzanie danymi, projektowanie nadzoru ludzkiego czy zapewnienie cyberbezpieczeństwa, w naturalny sposób prowadzą do tworzenia lepszych, bardziej przemyślanych i bezpieczniejszych produktów. Zgodność nie jest dodatkiem – jest integralną częścią doskonałości inżynieryjnej.3

• Obowiązek "AI Literacy" (Art. 4) jako Inwestycja w Zespół: Rozporządzenie nakłada obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie AI wśród personelu i podwykonawców.31 Inwestycja w szkolenia to nie tylko spełnienie wymogu prawnego. To podniesienie kwalifikacji całego zespołu, co prowadzi do lepszych innowacji, większej świadomości ryzyk i bardziej efektywnego wykorzystania technologii w całej organizacji.31

Co więcej, zgodność z AI Act staje się kluczowym czynnikiem umożliwiającym sprzedaż, zwłaszcza na rynku B2B. Duże korporacje, które same są "użytkownikami" systemów AI, mają własne obowiązki wynikające z rozporządzenia.5 Aby zminimalizować swoje ryzyko, ich działy prawne i działy zakupów będą wymagać od swoich dostawców – czyli od Twojego startupu – dowodu pełnej zgodności z AI Act jako warunku wstępnego podpisania jakiejkolwiek umowy. Bez certyfikatu zgodności, drzwi do lukratywnego rynku enterprise mogą pozostać dla Ciebie zamknięte.

Nadzór i kary: Co się stanie, jeśli zignorujesz przepisy?

Mimo że zgodność oferuje liczne korzyści, konsekwencje jej braku są realne i dotkliwe. Zrozumienie struktury kar i systemu nadzoru jest kluczowe dla oceny pełnego obrazu ryzyka.

Struktura kar finansowych

Rozporządzenie przewiduje trzy główne progi kar finansowych, które są jednymi z najwyższych w unijnym prawodawstwie:

• Do 35 mln euro lub 7% całkowitego światowego rocznego obrotu (w zależności od tego, która kwota jest wyższa): za naruszenie zakazu dotyczącego systemów niedopuszczalnego ryzyka lub za naruszenie obowiązków dotyczących danych w systemach wysokiego ryzyka.1

• Do 15 mln euro lub 3% całkowitego światowego rocznego obrotu: za naruszenie większości pozostałych obowiązków z AI Act, w tym tych z checklisty dla systemów wysokiego ryzyka.5

• Do 7,5 mln euro lub 1,5% całkowitego światowego rocznego obrotu: za dostarczenie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji organom nadzorczym.

AI Act przewiduje, że przy nakładaniu kar należy brać pod uwagę sytuację małych i średnich przedsiębiorstw (MŚP) oraz startupów, aby sankcje nie zagrażały ich stabilności ekonomicznej. Nie zmienia to jednak faktu, że ryzyko finansowe pozostaje ogromne.2

Kto będzie egzekwował prawo w Polsce?

W Polsce trwają zaawansowane prace nad ustawą wdrażającą przepisy AI Act.13 Zgodnie z projektem, nadzór nad rynkiem AI będzie sprawowany przez dwa kluczowe organy:

• Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji: Ma to być nowo powołany, główny organ nadzoru rynku. Do jej zadań będzie należało m.in. monitorowanie systemów AI, prowadzenie kontroli, przyjmowanie zgłoszeń o poważnych incydentach, rozpatrywanie skarg i nakładanie kar administracyjnych.35

• Prezes Urzędu Ochrony Danych Osobowych (UODO): Będzie pełnił rolę dodatkowego, wyspecjalizowanego organu nadzoru. Jego kompetencje będą kluczowe w odniesieniu do systemów AI, które przetwarzają dane osobowe, zwłaszcza w obszarach wysokiego ryzyka, takich jak ściganie przestępstw, kontrola graniczna czy wymiar sprawiedliwości.35

Ta podwójna struktura nadzoru tworzy złożony krajobraz regulacyjny. Startup, którego system AI przetwarza dane osobowe (np. narzędzie HR Tech), może podlegać kontroli z dwóch niezależnych źródeł. Jeden incydent, na przykład użycie algorytmu, który w sposób niezamierzony dyskryminuje kandydatów, może uruchomić dwa równoległe postępowania: jedno prowadzone przez Komisję ds. AI w sprawie naruszenia AI Act, a drugie przez Prezesa UODO w sprawie naruszenia RODO.38 Oznacza to potencjalne "podwójne ryzyko" – zarówno pod względem postępowań, jak i kar finansowych. Dlatego kluczowe jest posiadanie zintegrowanej strategii zgodności, która uwzględnia wymogi obu tych reżimów prawnych.

Na poziomie europejskim, działania organów krajowych będą koordynowane przez Europejską Radę ds. Sztucznej Inteligencji oraz Biuro ds. AI działające w ramach Komisji Europejskiej, co ma zapewnić spójne stosowanie prawa w całej Unii.2

Twój Plan Działania na Dziś – Pierwsze 3 Kroki do Zgodności

AI Act to maraton, a nie sprint. Jednak im wcześniej zaczniesz, tym łatwiej będzie Ci dostosować swoje procesy i produkty. Oto trzy proste kroki, które możesz wykonać już dziś, aby rozpocząć podróż w kierunku zgodności:

• Krok 1: Zrób Inwentaryzację. Stwórz szczegółową listę wszystkich systemów AI, które rozwijasz, wdrażasz lub nawet testujesz w swojej firmie. Uwzględnij zarówno produkty oferowane klientom, jak i narzędzia wykorzystywane wewnętrznie w działach HR, marketingu czy operacjach.

• Krok 2: Dokonaj Wstępnej Klasyfikacji. Korzystając z "Mapy Ryzyka" przedstawionej w Sekcji 2, przypisz każdemu systemowi z Twojej listy potencjalną kategorię ryzyka. Zidentyfikuj i oznacz te systemy, które z dużym prawdopodobieństwem mogą zostać uznane za "wysokiego ryzyka" – to one będą wymagały najwięcej uwagi.

• Krok 3: Skonsultuj się z Ekspertem. Złożoność AI Act i wysokość potencjalnych kar sprawiają, że poleganie wyłącznie na samodzielnej ocenie jest zbyt ryzykowne. Profesjonalny audyt prawny pozwoli zweryfikować Twoje ustalenia, zidentyfikować luki w zgodności i stworzyć spersonalizowaną mapę drogową wdrożenia niezbędnych zmian. To inwestycja, która zabezpieczy Twój biznes na przyszłość.

Nie czekaj, aż przepisy staną się problemem. Skontaktuj się z nami już dziś, aby umówić się na wstępną konsultację. Pomożemy Ci ocenić ryzyko i przygotować Twój startup na wejście w życie AI Act, przekuwając obowiązek prawny w Twoją przewagę na rynku.

Zobacz wicej: Spółka z o.o. czy Prosta Spółka Akcyjna?

Radca prawny Daniel Borzym

e-mail: d.borzym@taxfinlaw.pl

tel: 507 954 406

kontakt@taxfinlaw.pl

Tax Fin Law Kancelaria Radcy Prawnego Daniel Borzym - Kancelaria podatkowa i prawna Warszawa

NIP: 5691838055

REGON: 385703097