AI Act – unijne prawo o sztucznej inteligencji wchodzi w życie

AI Act od samego początku budzi emocje i kontrowersje. Uchwalone 13 marca 2024 unijne rozporządzenie z jednej strony odpowiada na obawy związane z rozpowszechnianiem się technologi sztucznej inteligencji, z drugiej strony rodzi obawy związane z dalszym ograniczaniem możliwości tworzenia i rozwoju innowacyjnych technologii w Europie. Najistotniejsze wydają się regulacje kategoryzujące systemy wykorzystujące AI, od tych całkowicie zakazanych w Unii Europejskie, przez systemy wysokiego ryzyka, po te powszechnie dostępne dla zwykłego użytkownika. Dla każdej z kategorii systemów AI rozporządzenie przewiduje szereg reguł i obowiązków, którym dostawcy takich systemów muszą się podporządkować. Obok tych przepisów AI Act wprowadza również obowiązki związane z przejrzystością działania systemów AI i to ta właśnie część AI Act weszła w życie 2 sierpnia 2026.

Obowiązki oznaczania treści AI – kogo dotyczą

Nowe obowiązki dotyczą dwóch kategorie podmiotów: dostawców systemu AI (tzw. providers) oraz podmioty stosujące systemy AI (tzw. deployerów).

Do tej pierwszej kategorii zaliczamy podmioty, które tworzą albo dostosowują istniejące modele AI i wprowadzają je na rynek pod swoją nazwą, w uproszczeniu możemy ich nazwać producentami systemów AI. Będą tą więc różnej wielkości firmy technologiczne opracowujące i wdrażające narzędzia AI.

Do drugiej kategorii zaliczamy wszystkie podmioty, które korzystają z narzędzi AI dostarczonych przez producentów systemów AI. Jedynym wymogiem jest, by to faktycznie ten podmiot sprawował kontrolę nad udostępnionym mu systemem AI i decydował o jego wykorzystaniu.  To oznacza, że do tej kategorii trafić może praktycznie każda firma, o ile w jakimkolwiek zakresie korzysta z narzędzi AI.

Obowiązki dostawców systemów AI

Chatboty

Pierwszy z obowiązków providerów, opisany w art. 50 ust. 1 AI Act nakazuje twórcom systemów AI zapewnienie, by systemy przeznaczone do wchodzenia w interakcje z człowiekiem informowały użytkownika od samego początku, że ma do czynienia z systemem AI. Rozwiązania typu tekstowe chatboty, wirtualni asystencie audio lub audiowideo, będą więc musiały mieć wdrożoną funkcjonalność informowania użytkowników o interakcji z AI już na etapie tworzenia danych narzędzi. Dzięki temu firma korzystająca z takiego narzędzia nie będzie już musiała podejmować żadnych dalszych kroków celu informowania o tym, że dany chatbot lub wirutalny asystent są zasilani modelami sztucznej inteligencji.

Oznaczenie treści wygenerowanych przez AI

Najistotniejszy wydaje się obowiązek ujęty w art. 50 ust. 2 AI Act, tj. obowiązek dostawców systemów AI zapewnienia, by treści generowane przez AI był oznaczane maszynowo jako treści AI i by to oznaczenie nadawało się do łatwego odczytania. To oznaczenie treści AI nie musi być widoczne na pierwszy rzut oka, nie musi to być np. znak wodny na grafikach lub materiałach wideo, ale w samej strukturze tych treści ma się znaleźć oznaczenie, które zainteresowana osoba przy pomocy odpowiedniego narzędzia łatwo zweryfikuje. Jako treści AI oznaczane mają być zarówno treści w całości wygenerowane przez AI, jak i takie, gdzie treści generowane przez AI, tzw. output, istotnie modyfikują oryginalną treść, tzw. input. Wyjątek w zakresie oznaczania tzw. outputu dotyczy jedynie standardowej edycji inputu lub jego modyfikacji w stopniu nieznacznym. Korekta językowa tekstu czy lekki retusz fotografii nie będą więc wymagać oznaczania jako treści AI.

Obowiązki podmiotów stosujących AI

Rozpoznawanie emocji i profilowanie biometryczne

Podmioty stosujące AI muszą wyraźnie informować użytkowników, jeżeli wykorzystywane przez nie narzędzia AI są wykorzystywane do rozpoznawania emocji użytkowników albo kategoryzowania go pod kątem cech biometrycznych, tj. cech fizycznych, fizjologicznych czy behawioralnych. Abstrahując od konieczności wypełnienia wszystkich obowiązków, jakie na przetwarzanie takich danych nakłada RODO, podmiot stosujący takie rozwiązania musi wyraźnie poinformować o tym użytkowników. Będzie to dotyczyć więc wszystkich narzędzi AI do śledzenia aktywności użytkowników np. portali internetowych czy też budowania ich profili na podstawie analizy ich zachowań.

Deepfake’i

Podmioty stosujące systemy AI do generowania obrazów, fotografii, treści audio lub wideo przedstawiające istniejące osoby, przedmioty, miejsca czy wydarzenia, które mogą być odebrane przez odbiorcę jako prawdziwe, muszą oznaczać takie treści jako generowane przez AI. Oznaczenie to powinno być trwale i widoczne lub słyszalne bez potrzeby podejmowania przez odbiorcę jakichkolwiek działań, nie jest więc wystarczające, że twórca systemu AI ma opisany powyżej obowiązek maszynowego oznaczania wszystkich generowanych przez AI treści, gdyż to oznaczenie nie musi być widoczne na pierwszy rzut oka. W tym przypadku natomiast podmiot stosujący AI musi się upewnić, że odbiorca będzie poinformowany, że ma do czynienia z treściami sztucznie wygenerowanymi bez potrzeby jakichkolwiek dodatkowych działań z jego strony.

Wymóg ten jest nieco rozluźniony w stosunku do treści artystycznych, satyrycznych, fikcyjnych itp. Tutaj nadal istnieje obowiązek oznaczania takich treści jako wygenerowanych przez AI, ale można go spełnić poprzez informowanie odbiorcy w sposób nieutrudniający wyświetlania czy korzystania z treści, może to być więc informacja zamieszczona “obok” treści stanowiących deepfake’i, a nie musi być koniecznie zintegrowana z jego strukturą, jak w innych przypadkach.

Takimi treściami mogą być np. wizualizacje architektoniczne.

Oznaczanie tekstów informacyjnych

Ostatni z obowiązków dotyczy oznaczania tekstów informacyjnych o sprawach leżących w interesie publicznym. Jeżeli tekst taki został wygenerowany w całości lub większości przez AI, to podmiot stosujący narzędzie AI w celu publikowania takich tekstów musi wyraźnie informować o tym, że tekst został wygenerowany przez AI. Uniknąć tego obowiązku można, jeżeli tekst taki jest weryfikowany przez człowieka, podlega kontroli redakcyjnej, a za jego publikację redakcyjną odpowiedzialność ponosi konkretny podmiot.

Kto będzie egzekwował nowe przepisy?

Nadzór nad tymi regulacjami Unia Europejska powierzyła krajowym organom do tego celu powołanym. W przypadku Polski będzie to Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która została powołana do życia na mocy ustawy z dnia 3 lipca 2026 o systemach sztucznej inteligencji. Będzie ona uprawniona do nakładania kar z tytułu uchybienia opisanym obowiązkom w wysokości do 3% rocznego przychodu lub do 15 mln euro.