Systemy sztucznej inteligencji (AI) wysokiego ryzyka stanowią główny punkt europejskiego rozporządzenia w sprawie AI ( Rozporządzenie (UE) 2024/1689 ), powszechnie znanego jako ustawa o AI, które wprowadza oparte na ryzyku ramy dla rozwoju, dostarczania i użytkowania systemów sztucznej inteligencji (AI). Im wyższe ryzyko dla zdrowia, bezpieczeństwa i praw podstawowych, tym cięższe obowiązki.
W przypadku organizacji zgodność nie zaczyna się zatem od sporządzenia dokumentacji technicznej, lecz od prawidłowej klasyfikacji. Najpierw należy ustalić, które systemy AI są opracowywane, kupowane lub używane w organizacji. Następnie należy ocenić, czy dany system jest zabroniony , stanowi wysokie ryzyko, podlega obowiązkom przejrzystości lub nie podlega żadnym konkretnym obowiązkom.
W tym artykule wyjaśniono, kiedy system AI może kwalifikować się jako system wysokiego ryzyka, jakie obowiązki mają dostawcy i firmy wdrażające oraz jakie kroki organizacje mogą podjąć już teraz. Omówiono również aktualny harmonogram, w tym zmiany w ramach procesu Digital Omnibus. Datą odniesienia dla tego artykułu jest 25 lipca 2026 r.
Kiedy system AI jest wysokiego ryzyka?
Ocena systemów AI wysokiego ryzyka odbywa się głównie na podstawie artykułu 6 oraz załączników I i III do ustawy o AI. Istnieją dwie ścieżki postępowania.
Pierwsza ścieżka dotyczy systemów AI, które stanowią część produktów objętych europejskimi przepisami dotyczącymi produktów, wymienionymi w załączniku I i wymagającymi oceny zgodności przez stronę trzecią. Przykładem mogą być niektóre wyroby medyczne, maszyny, windy i zabawki. W przypadku tych systemów ustawa o AI opiera się na istniejącej procedurze oceny zgodności.
Druga ścieżka dotyczy systemów AI wykorzystywanych w dziedzinach wymienionych w załączniku III: biometria, infrastruktura krytyczna, edukacja i szkolenia zawodowe, zatrudnienie i zarządzanie siłą roboczą, dostęp do podstawowych usług prywatnych i publicznych, egzekwowanie prawa, migracja, azyl i kontrola graniczna oraz wymiar sprawiedliwości i procesy demokratyczne. Nie każde zastosowanie w tej dziedzinie automatycznie skutkuje zaklasyfikowaniem do systemów AI wysokiego ryzyka: należy również ocenić konkretną funkcję systemu oraz warunki określone w artykule 6.
Wyjątek w artykule 6(3)
System wchodzący w zakres domeny z Załącznika III nie jest automatycznie zaliczany do systemów AI wysokiego ryzyka: ta klasyfikacja jest wyłączona, jeżeli nie stwarza on istotnego zagrożenia dla zdrowia, bezpieczeństwa lub praw podstawowych osób i nie wpływa istotnie na wynik procesu decyzyjnego. Może to mieć miejsce, gdy system wykonuje jedynie wąskie zadanie proceduralne, jedynie usprawnia działanie już wykonane przez człowieka, jedynie sygnalizuje odchylenia od wcześniejszego procesu decyzyjnego, nie zastępując tej oceny, lub wykonuje wyłącznie zadanie przygotowawcze.
Powołanie się na ten wyjątek musi być starannie uzasadnione i udokumentowane. Organizacja rejestruje nie tylko wniosek, ale także fakty i ocenę, na których wniosek ten się opiera. Dostawca, który uważa, że system z załącznika III nie należy do systemów AI wysokiego ryzyka, musi udokumentować tę ocenę przed wprowadzeniem systemu do obrotu lub oddaniem do użytku, a ponadto podlega obowiązkowi rejestracji określonemu w art. 49 ust. 2.
W jednym punkcie rozporządzenie ma charakter bezwzględny. Artykuł 6 ust. 3 stanowi, że system sztucznej inteligencji, o którym mowa w załączniku III, zawsze zalicza się do systemów sztucznej inteligencji wysokiego ryzyka, jeżeli dokonuje on profilowania osób fizycznych. W takim przypadku nie można powoływać się na wyjątek.
Jaką rolę odgrywa Twoja organizacja?
Ustawa o sztucznej inteligencji (AI) wyróżnia kilka ról w łańcuchu. Dwie z nich mają znaczenie dla większości organizacji. Podmiot, który opracowuje system AI lub wprowadza go na rynek pod własną nazwą lub znakiem towarowym, kwalifikuje się jako dostawca. Podmiot, który wykorzystuje system AI w ramach własnej działalności gospodarczej, nie będąc jego twórcą, zazwyczaj kwalifikuje się jako wdrożeniowiec.
Ten podział ról nie jest statyczny. Organizacja, która istotnie modyfikuje zakupiony system, dostarcza go dalej pod własną nazwą lub znakiem towarowym lub zmienia jego przeznaczenie, nadal może być uznana za dostawcę i tym samym podlegać bardziej rygorystycznemu zestawowi obowiązków. Określ dla każdego systemu, jaką rolę pełnisz i udokumentuj tę ocenę.
Główne obowiązki
Dostawcy systemów sztucznej inteligencji wysokiego ryzyka podlegają obowiązkom, m.in. tym określonym w artykułach 8–17, 43 i 47–49:
- system zarządzania ryzykiem obejmujący cały cykl życia
- zarządzanie danymi, w tym wykrywanie i korygowanie błędów w wykorzystywanych danych, w tym danych szkoleniowych, walidacyjnych i testowych
- dokumentacja techniczna zgodna z załącznikiem IV i rejestrowanie zdarzeń
- jasne instrukcje użytkowania dla osób wdrażających
- projekt umożliwiający skuteczny nadzór człowieka
- wymagania dotyczące dokładności, solidności i cyberbezpieczeństwa
- system zarządzania jakością, ocena zgodności, deklaracja zgodności UE, oznakowanie CE i rejestracja w bazie danych UE
W przypadku systemów sztucznej inteligencji wysokiego ryzyka wykorzystywanych do zdalnej identyfikacji biometrycznej, o których mowa w załączniku III pkt 1 lit. a), art. 14 ust. 5 nakłada dodatkowy wymóg dotyczący nadzoru ludzkiego: żadne działanie ani decyzja nie mogą zostać podjęte na podstawie identyfikacji, chyba że została ona oddzielnie zweryfikowana i potwierdzona przez co najmniej dwie osoby fizyczne posiadające niezbędne kompetencje, przeszkolenie i uprawnienia. Zasada ta jest znana jako zasada „czterech oczu”.
Wdrożeniowcy podlegają lżejszym, ale nie mniej istotnym obowiązkom wynikającym z artykułów 26 i 27: użytkowaniu zgodnie z instrukcją obsługi, kompetentnemu nadzorowi ludzkiemu, monitorowaniu działania systemu, zgłaszaniu zagrożeń i poważnych incydentów oraz przechowywaniu logów przez co najmniej sześć miesięcy. Pracownicy, którzy będą korzystać z systemu, oraz osoby, do których jest on stosowany, muszą zostać o tym poinformowani z wyprzedzeniem.
Niektórzy dostawcy usług ubezpieczeniowych muszą również przeprowadzić ocenę wpływu na prawa podstawowe, zwaną Oceną wpływu na prawa podstawowe na mocy Artykułu 27. Dotyczy to w każdym przypadku podmiotów prawa publicznego, prywatnych dostawców usług publicznych oraz dostawców korzystających z systemów oceny zdolności kredytowej lub oceny ryzyka ubezpieczeniowego w ubezpieczeniach na życie i zdrowie.
Oś czasu i aktualny status
Ustawa o sztucznej inteligencji weszła w życie 1 sierpnia 2024 r. i będzie stosowana etapami. W praktyce istotne jest rozróżnienie między obowiązkami, które już obowiązują, obowiązkami z przyszłą datą wejścia w życie oraz zapowiedzianymi zmianami, których formalne wejście w życie jeszcze się nie zakończyło.
Zabronione praktyki (artykuł 5): Obowiązuje od 2 lutego 2025 r.
Umiejętności w zakresie sztucznej inteligencji (artykuł 4): Obowiązuje od 2 lutego 2025 r.
Modele sztucznej inteligencji ogólnego przeznaczenia: Obowiązują od 2 sierpnia 2025 r.
Obowiązki przejrzystości (artykuł 50): mają zastosowanie od 2 sierpnia 2026 r., nie są odroczone
Wysokie ryzyko zgodnie z załącznikiem III: formalnie nadal 2 sierpnia 2026 r.; najpóźniej po wejściu w życie rozporządzenia zbiorczego, tj. 2 grudnia 2027 r.
Wysokie ryzyko zgodnie z załącznikiem I: Formalnie nadal 2 sierpnia 2027 r.; najpóźniej po wejściu w życie rozporządzenia zbiorczego, 2 sierpnia 2028 r.
19 listopada 2025 r. Komisja Europejska opublikowała pakiet „Digital Omnibus”, proponując odroczenie stosowania obowiązków dotyczących systemów AI wysokiego ryzyka. Tymczasowe porozumienie polityczne osiągnięto 7 maja 2026 r. Parlament Europejski poparł wniosek 16 czerwca 2026 r., a Rada ostatecznie zatwierdziła go 29 czerwca 2026 r.
Jednakże, w dniu publikacji niniejszego artykułu, publikacja w Dzienniku Urzędowym Unii Europejskiej nie została jeszcze zakończona. Zmiana wchodzi w życie trzeciego dnia po jej opublikowaniu. Do tego czasu obowiązuje pierwotny harmonogram określony w ustawie o sztucznej inteligencji, z datą wejścia w życie obowiązków wysokiego ryzyka określonych w załączniku III, tj. 2 sierpnia 2026 r. Publikacja przed tą datą jest powszechnie oczekiwana, ale nie została jeszcze potwierdzona.
Odroczenie ma ponadto charakter warunkowy. Stosowanie obowiązków w odniesieniu do systemów AI wysokiego ryzyka jest uzależnione od decyzji Komisji stwierdzającej dostępność niezbędnych zharmonizowanych norm i instrumentów wspierających, po której następuje okres przejściowy. Daty 2 grudnia 2027 r. i 2 sierpnia 2028 r. stanowią raczej daty awaryjne niż zwykłe odroczenie.
Dwie kwestie zasługują na osobną uwagę. Po pierwsze, obowiązki dotyczące przejrzystości wynikające z artykułu 50 i obowiązek dotyczący znajomości sztucznej inteligencji wynikający z artykułu 4 nie zostały odroczone: pozostają w pierwotnym harmonogramie. Po drugie, pakiet dodaje nowy zakaz do artykułu 5, dotyczący aplikacji sztucznej inteligencji generujących obrazy intymne bez zgody oraz materiałów przedstawiających wykorzystywanie seksualne dzieci generowanych przez sztuczną inteligencję.
Dla organizacji oznacza to, że planowanie z uwzględnieniem grudnia 2027 r. jest sensowne, jednak prowadzenie dokumentacji powinno na razie przebiegać tak, jakby sierpień 2026 r. nadal obowiązywał, dopóki Dziennik Urzędowy nie stwierdzi inaczej.
Nadzór i kary
W Holandii, w dniu publikacji niniejszego artykułu, nadal brakuje przepisów wykonawczych do ustawy o sztucznej inteligencji. Oczekuje się, że holenderski Urząd ds. Infrastruktury Cyfrowej i holenderski Urząd Ochrony Danych Osobowych przejmą centralną, koordynującą rolę, a organy nadzoru sektorowego pozostaną odpowiedzialne w swoich obszarach działania. Dokładny podział uprawnień i jego podstawa prawna muszą jednak zostać określone na podstawie ostatecznych holenderskich przepisów wykonawczych.
Artykuł 99 ustawy o sztucznej inteligencji przewiduje kilka kategorii maksymalnych kar. Ich wysokość zależy od charakteru naruszenia oraz, w stosownych przypadkach, od rocznych obrotów przedsiębiorstwa na świecie. Najwyższa kara ma zastosowanie do naruszenia zakazanych praktyk określonych w artykule 5; niższa kara ma zastosowanie do naruszenia innych obowiązków, w tym obowiązków dostawców i użytkowników systemów sztucznej inteligencji wysokiego ryzyka; a najniższa – do przekazania organom nieprawdziwych, niepełnych lub wprowadzających w błąd informacji. Bardziej korzystny system kar ma zastosowanie do małych i średnich przedsiębiorstw (MŚP), w tym start-upów. Rzeczywista kara jest ustalana z uwzględnieniem obowiązujących przepisów dotyczących kar i okoliczności sprawy.
Praktyczna mapa drogowa
- Zrób inwentaryzację wszystkich systemów AI, które Twoja organizacja opracowuje, kupuje lub wykorzystuje.
- Określ dla każdego systemu, jaką rolę pełnisz: dostawcę czy użytkownika wdrażającego.
- Określ kategorię ryzyka dla każdego systemu i udokumentuj tę ocenę, w tym wszelkie przypadki polegania na wyjątku określonym w artykule 6(3).
- Ustanowić zarządzanie sztuczną inteligencją i wyznaczyć osobę odpowiedzialną za tę kwestię.
- Należy zadbać o to, aby personel pracujący z tymi systemami dysponował wiedzą na temat sztucznej inteligencji; obowiązek ten już istnieje.
- Przygotować środki przejrzystości na mocy artykułu 50 z myślą o 2 sierpnia 2026 r.
- Rozpocząć w odpowiednim czasie prace nad dokumentacją techniczną i, w razie potrzeby, oceną oddziaływania na prawa podstawowe.
- Przejrzyj umowy z dostawcami pod kątem podziału ról, udostępniania informacji i uprawnień audytorskich.
- Monitoruj publikację pakietu zbiorczego w Dzienniku Urzędowym i odpowiednio dostosuj swoje planowanie.
Wniosek
Ustawa o sztucznej inteligencji (AI) ma fundamentalny wpływ na sposób, w jaki organizacje rozwijają, kupują i wykorzystują AI. Zapowiedziane odroczenie obowiązków wysokiego ryzyka zapewnia dodatkowy czas, ale nie jest jeszcze prawem obowiązującym, a obowiązki, które już obowiązują lub wchodzą w życie 2 sierpnia 2026 r., pozostają przez nią niezmienione. Dlatego rozsądnym podejściem jest planowanie z uwzględnieniem nowych dat, jednocześnie pozostając przygotowanym na stare. Aby uzyskać szerszy przegląd przepisów, zapoznaj się z naszym Kompletnym przewodnikiem po ustawie o sztucznej inteligencji UE (EU AI Act) , który uzupełnia niniejszy artykuł poświęcony systemom AI wysokiego ryzyka.
Law & More Pomaga organizacjom w inwentaryzacji i klasyfikacji systemów AI, określaniu ich roli jako dostawcy lub wdrożeniowca, przeglądaniu i tworzeniu umów z dostawcami AI oraz wdrażaniu zarządzania AI. Chcesz dowiedzieć się, jakie obowiązki obowiązują obecnie Twoją organizację i które działania powinny być priorytetowe? Skontaktuj się z nami, aby porozmawiać o tym bez zobowiązań.
PYTANIA I ODPOWIEDZI
Poniżej odpowiadamy na najczęściej zadawane pytania na ten temat.
Czym jest ustawa o sztucznej inteligencji?
Europejskie rozporządzenie w sprawie sztucznej inteligencji (Rozporządzenie (UE) 2024/1689). Weszło ono w życie 1 sierpnia 2024 r. i będzie wdrażane etapami, a obowiązki będą rosły wraz ze wzrostem ryzyka, jakie stwarza system sztucznej inteligencji.
Kiedy system AI jest wysokiego ryzyka?
Dwoma drogami: jako część produktu objętego przepisami dotyczącymi produktów wymienionymi w załączniku I lub poprzez zastosowanie w jednej z dziedzin wymienionych w załączniku III. W drugim przypadku sama dziedzina nie jest decydująca; liczą się również konkretna funkcja i warunki określone w artykule 6.
Czy mimo to system wymieniony w Załączniku III może nie zostać zaliczony do kategorii wysokiego ryzyka?
Tak, o ile nie stwarza znaczącego ryzyka i nie wpływa istotnie na proces decyzyjny, na przykład gdy wykonuje wąskie zadanie proceduralne lub czysto przygotowawcze. Ocena ta musi zostać udokumentowana. W przypadku, gdy system dokonuje profilowania osób fizycznych, wyjątek nigdy nie ma zastosowania.
Czy jestem dostawcą czy wdrażającym?
Jesteś dostawcą, jeśli opracowujesz system lub wprowadzasz go na rynek pod własną nazwą lub znakiem towarowym, a generalnie jesteś wdrożeniowcem, jeśli korzystasz z zakupionego systemu. Jeśli istotnie zmodyfikujesz zakupiony system lub będziesz go dalej dostarczać pod własną nazwą, nadal możesz zostać dostawcą.
Jakie obowiązki ciążą na dostawcach?
Między innymi zarządzanie ryzykiem, zarządzanie danymi, dokumentacja techniczna, rejestrowanie, instrukcje użytkowania, nadzór ludzki, wymogi dotyczące dokładności i cyberbezpieczeństwa, system zarządzania jakością, ocena zgodności, oznakowanie CE i rejestracja w bazie danych UE.
Jakie obowiązki ciążą na wdrażających?
Należy stosować się do instrukcji, zapewnić kompetentny nadzór ludzki, monitorować, zgłaszać zagrożenia i poważne incydenty oraz przechowywać rejestry przez co najmniej sześć miesięcy. Pracownicy zaangażowani w system oraz osoby, do których system jest stosowany, muszą zostać o tym powiadomieni z wyprzedzeniem.
Kiedy należy przeprowadzić ocenę wpływu na prawa podstawowe?
Artykuł 27 nakłada taki obowiązek między innymi na podmioty prawa publicznego, prywatnych dostawców usług publicznych oraz podmioty wykorzystujące systemy oceny zdolności kredytowej lub oceny ryzyka ubezpieczeniowego w ubezpieczeniach na życie i zdrowie.
Czy zobowiązania wysokiego ryzyka zostały odroczone?
Przyjęta poprawka odracza stosowanie załącznika III najpóźniej do 2 grudnia 2027 r. oraz załącznika I do 2 sierpnia 2028 r. W dniu odniesienia do niniejszego artykułu poprawka ta nie została jeszcze opublikowana w Dzienniku Urzędowym, zatem pierwotna data 2 sierpnia 2026 r. formalnie nadal obowiązuje.
Co obowiązuje już dziś?
Zabronione praktyki określone w artykule 5 i obowiązek znajomości sztucznej inteligencji obowiązują od 2 lutego 2025 r., a także przepisy dotyczące modeli sztucznej inteligencji ogólnego przeznaczenia obowiązujące od 2 sierpnia 2025 r. Obowiązki dotyczące przejrzystości określone w artykule 50 wchodzą w życie 2 sierpnia 2026 r. i nie zostały odroczone.
Kto nadzoruje ustawę o sztucznej inteligencji w Holandii?
Nadal brakuje przepisów wykonawczych. Oczekuje się, że holenderski Urząd ds. Infrastruktury Cyfrowej i holenderski Urząd Ochrony Danych Osobowych będą pełnić centralną, koordynującą rolę, obok organów nadzoru sektorowego. Ostateczny podział uprawnień zostanie określony w holenderskich przepisach wykonawczych.
Co moja organizacja powinna teraz zrobić?
Zacznij od inwentaryzacji wszystkich systemów AI, które tworzysz, kupujesz lub używasz. Dla każdego systemu zanotuj swoją rolę, kategorię ryzyka i wynikające z niej obowiązki. Skonfiguruj również zarządzanie AI, zadbaj o wiedzę na temat AI i przejrzyj umowy z dostawcami dotyczące podziału ról, udostępniania informacji i uprawnień audytorskich.
