Europejskie prawo sztucznej inteligencji (AI Act)

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, znane jako AI Act, to pierwsza tak kompleksowa regulacja na szczeblu europejskim, która jest stosowana w Polsce bezpośrednio. Jej fundamentem jest podejście oparte na analizie ryzyka: stopień obciążeń prawnych zależy od tego, jak bardzo zaawansowany i potencjalnie ingerujący jest dany system (zupełnie inaczej ocenia się prosty chatbot, a inaczej systemy wykorzystujące dane biometryczne).

Gdzie przebiega granica? Deepfake i sztuczny wizerunek

Jednym z najistotniejszych wymogów zaktualizowanego prawa jest zagwarantowanie, by odbiorca miał pełną świadomość interakcji ze sztuczną inteligencją. Jeśli klient prowadzony jest przez chatbota, musi zostać o tym wyraźnie poinformowany. Szczególną ostrożność należy zachować w przypadku tzw. deepfake'ów.

Wygenerowanie w celach reklamowych całkowicie fikcyjnej postaci nie musi rodzić prawnych komplikacji. Sytuacja diametralnie się zmienia, gdy algorytmy wykorzystują wizerunek (lub klonują głos) rzeczywistej osoby – np. aktora czy sportowca – umieszczając ją w wykreowanej, nieprawdziwej scenerii. Wkraczamy wówczas na grunt ochrony dóbr osobistych, praw autorskich oraz rygorystycznych przepisów RODO.

Polska ustawa o systemach sztucznej inteligencji

Mimo że europejski AI Act wiąże bezpośrednio, polski ustawodawca nie pozostał bierny w kreowaniu lokalnych mechanizmów. W Dzienniku Ustaw (poz. 1003) ogłoszono ustawę z 3 lipca 2026 r., która obowiązuje od 11 sierpnia 2026 r., przy czym przepisy nadzorcze wejdą w życie 28 października 2026 r. Regulacja ta uzupełnia unijny akt, tworząc krajowe ramy nadzoru oraz określając procedury nakładania administracyjnych kar pieniężnych.

Zagrożenia, AI Act a RODO i Cyberprzestępczość

Należy pamiętać, że AI Act nie zastępuje RODO – te dwa reżimy prawne będą stosowane równolegle. Pracownik kopiujący poufną bazę klientów do zewnętrznego (publicznego) systemu AI tworzy poważny problem prawny dla całej firmy. Co więcej, upowszechnienie sztucznej inteligencji wiąże się ze wzrostem cyberprzestępczości. Wygenerowane nagranie głosu prezesa (phishing), podszywanie się pod inne podmioty czy zaawansowane ataki socjotechniczne to realne zagrożenia wymagające dogłębnej analizy na gruncie prawa karnego i cywilnego.

Jak przedsiębiorca powinien przygotować się do AI Act?

1. 1 Audyt narzędzi Ustal, z jakich systemów AI korzystają pracownicy – analizując nie tylko oprogramowanie wdrożone oficjalnie, ale również darmowe rozwiązania ogólnodostępne w sieci.
2. 2 Bezpieczeństwo danych Zidentyfikuj i przeanalizuj, jakie poufne informacje branżowe oraz dane osobowe trafiają do zewnętrznych modeli językowych.
3. 3 Wdrożenie regulaminów Stwórz i zaimplementuj przejrzystą politykę korzystania ze sztucznej inteligencji w Twojej firmie (tzw. compliance AI & RODO).
4. 4 Weryfikacja umów Zaktualizuj obowiązujące kontrakty z agencjami reklamowymi i dostawcami IT, zabezpieczając biznes poprzez klauzule o odpowiedzialności za treści generowane przez AI.

Wdrażanie rozwiązań AI w przedsiębiorstwie to nie tylko projekt informatyczny, ale przede wszystkim wyzwanie prawno-organizacyjne. Warto pamiętać, że od 2 sierpnia 2026 r. nowe obowiązki transparentności są w pełni egzekwowalne.