Twoje preferencje cookies

Wytyczne EROD · art. 7 RODO

Używamy niezbędnych plików cookie technicznych, aby platforma działała (logowanie, bezpieczeństwo, sesje). Chcielibyśmy używać także plików analitycznych, aby wiedzieć, jak ją ulepszać.

Możesz zaakceptować wszystkie, odrzucić wszystkie albo wybrać, które kategorie włączyć.Twoja zgoda jest ważna 6 miesięcy i możesz ją wycofać w każdej chwili ze stopki strony.

Wszystko znajdziesz w naszej informacji o ochronie danych.

DPO WorkspaceZacznij bezpłatnie

AI Act · Akt o sztucznej inteligencji

Akt o sztucznej inteligencji: obowiązki dla firm i gotowe dokumenty

Akt o sztucznej inteligencji (AI Act) dotyczy nie tylko firm tworzących własne systemy AI. Kto wykorzystuje narzędzia AI -- od prostych asystentów po systemy wspomagające podejmowanie decyzji -- jest podmiotem stosującym i od 2026 r. musi spełniać rosnącą liczbę obowiązków. Oprogramowanie do zarządzania obowiązkami AI Act rejestruje, który system jest do czego używany, z jaką klasą ryzyka i z jakimi dowodami zgodności.

Dla inspektorów ochrony danych, którzy znają już rejestr czynności przetwarzania i praktykę oceny skutków swoich klientów, AI Act leży blisko znanego terenu: również tutaj chodzi o ocenę ryzyka, dokumentację i możliwość wykazania zgodności przed organem -- tylko z własnym zestawem przepisów i własnymi terminami.

Kompetencja w zakresie AI to nie dodatek (art. 4 AI Act)

Dostawcy i podmioty stosujące muszą zapewnić, aby personel oraz inne osoby zajmujące się obsługa systemów AI mieli wystarczająca kompetencje w tym zakresie. Ten obowiązek dotyczy każdej firmy niezależnie od jej wielkości i niezależnie od tego, czy stosowany system zaliczono do wysokiego ryzyka.

Aktualizacja: pakiet Digital Omnibus przesunął terminy

Przez dwa lata 2 sierpnia 2026 r. wskazywano jako początek obowiązków dla systemów wysokiego ryzyka. Już nim nie jest: załącznik III przesunięto na 2 grudnia 2027 r., a załącznik I na 2 sierpnia 2028 r. Obowiązki w zakresie przejrzystości z art. 50 pozostają natomiast potwierdzone na 2 sierpnia 2026 r. Wiele publikacji w obiegu wciąż podaje stary harmonogram.

Jakie dowody powinno prowadzić oprogramowanie do AI Act

  • Inwentarz systemów AI dla każdego klienta, z klasą ryzyka
  • Dowód kompetencji w zakresie AI (art. 4 AI Act) z ewidencją szkoleń
  • Informacje o przejrzystości dla użytkowników systemów AI
  • Ocena skutków dla praw podstawowych (FRIA, art. 27) powiązana z oceną skutków dla ochrony danych
  • Dokumentacja wyjątków i decyzji o klasyfikacji systemu

AI Act i RODO w tym samym profilu klienta

W DPO Workspace inwentarz systemów AI znajduje się obok rejestru, oceny skutków i naruszeń każdego klienta -- ta sama struktura, ta sama możliwość wykazania zgodności. 30 dni bezpłatnie, bez karty płatniczej.

Wypróbuj bezpłatnie

Najczęściej zadawane pytania

Czy akt o sztucznej inteligencji dotyczy firm korzystających tylko z ChatGPT lub podobnych narzędzi?

Tak: kto stosuje systemy AI, jest podmiotem stosującym (deployerem) w rozumieniu AI Act -- niezależnie od tego, czy system został opracowany samodzielnie, czy pozyskany od dostawcy. Obowiązki podmiotów stosujących są lżejsze niż dostawców, ale obowiązują bez względu na wielkość firmy.

Co wchodzi w życie 2 sierpnia 2026 r.?

Obowiązki w zakresie przejrzystości z art. 50: oznaczanie chatbotów, treści generowanych przez AI i deepfake'ów. Już NIE obowiązki dla systemów wysokiego ryzyka -- pakiet Digital Omnibus przesunął je na 2 grudnia 2027 r. (załącznik III, systemy samodzielne) oraz 2 sierpnia 2028 r. (załącznik I, AI wbudowana w produkty regulowane). Zakaz określonych praktyk oraz obowiązek kompetencji w zakresie AI z art. 4 obowiązują już od 2 lutego 2025 r.

Czy pakiet Digital Omnibus zniósł jakieś obowiązki?

Nie. Przesunął terminy, a nie treść: ocena zgodności, dokumentacja techniczna, system zarządzania jakością, oznakowanie CE, rejestracja w bazie danych UE, nadzór ludzki i ocena skutków dla praw podstawowych pozostają bez zmian. Kto potraktuje odroczenie jako powód, żeby nie zaczynać, wykona tę samą pracę w krótszym czasie.

Co konkretnie oznacza kompetencja w zakresie AI (art. 4 AI Act)?

Dostawcy i podmioty stosujące muszą zapewnić, aby ich personel oraz inne osoby zajmujące się obsługą i wykorzystaniem systemów AI posiadali wystarczającą wiedzę w zakresie AI -- z uwzględnieniem wiedzy technicznej, doświadczenia, wykształcenia oraz kontekstu, w jakim systemy AI mają być stosowane.

Jakie praktyki są zakazane na mocy AI Act?

Między innymi systemy wykorzystujące podprogowe techniki wpływania z potencjałem wyrządzenia szkody, wykorzystywanie podatności określonych grup, niektóre formy oceny punktowej obywateli (social scoring) oraz niektóre przypadki zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej, z wyjątkami przewidzianymi w akcie.

Jak akt o AI łączy się z RODO?

Oba akty prawne nakładają się na siebie tam, gdzie systemy AI przetwarzają dane osobowe: już przeprowadzona ocena skutków dla ochrony danych dostarcza faktów, na których może opierać się ocena skutków dla praw podstawowych z art. 27 AI Act, zamiast przygotowywać obie oceny osobno.

Który organ w Polsce będzie nadzorował akt o AI?

Struktura nadzoru nad AI Act w Polsce jest wciąż kształtowana w toku prac legislacyjnych. Do czasu jej ostatecznego ustalenia obowiązki dotyczące danych osobowych przetwarzanych przez systemy AI pozostają pod nadzorem Prezesa UODO na podstawie RODO.

Gotowi na obowiązki od 2026 r.

Inwentarz systemów AI, dowód kompetencji i FRIA, powiązane z dokumentacją RODO każdego klienta.

Zacznij bezpłatnie