Akt w sprawie AI.
Rozporządzenie o AI dla przedsiębiorstw: role, zastosowania, obowiązujące wymagania i droga do właściwego potwierdzenia zgodności.
- Rozporządzenie (UE) 2024/1689 · Stan zmian: 27.07.2026
- Autor: Derya Altinay
- Stan na: 22.10.2026
- Czas czytania: 8 min
Krótka odpowiedź.
Akt w sprawie AI reguluje sztuczną inteligencję według zastosowania, ryzyka i roli. Rozporządzenie rozróżnia między innymi dostawców i podmioty stosujące, zakazuje określonych praktyk oraz wymaga szczególnych zabezpieczeń i dowodów dla AI wysokiego ryzyka. Przejrzystość, kompetencje w zakresie AI i obowiązki dostawców modeli wymagają osobnej analizy; art. 113 określa etapowe stosowanie przepisów.
Rozporządzenie o AI i jego aktualny stan.
Akt w sprawie AI jest bezpośrednio stosowanym rozporządzeniem UE, a nie dobrowolnym standardem bezpieczeństwa. Rozporządzenie (UE) 2024/1689 określa obowiązki dotyczące systemów AI i modeli AI ogólnego przeznaczenia. Znany przegląd klas ryzyka aktu w sprawie AI pomaga na początku; konkretna decyzja wymaga dodatkowo określenia roli przedsiębiorstwa i zamierzonego zastosowania.
Rozporządzenie (UE) 2026/1744 zmieniło rozporządzenie o AI i obowiązuje od 27 lipca 2026 r. Jego art. 1 pkt 40 zmienia harmonogram z art. 113 rozporządzenia o AI: dla systemów wysokiego ryzyka zgodnie z art. 6 ust. 2 i załącznikiem III rozdział III sekcje 1–3 stosuje się co do zasady od 2 grudnia 2027 r., a dla ścieżki produktowej zgodnie z art. 6 ust. 1 i załącznikiem I od 2 sierpnia 2028 r. Wyłączony jest przy tym art. 6 ust. 5.
Ogólną datą rozpoczęcia stosowania pozostaje 2 sierpnia 2026 r. Zakazy, kompetencje w zakresie AI i przepisy o modelach ogólnego przeznaczenia mają własne wcześniejsze terminy; niektóre nowo dodane zakazy obowiązują dopiero od 2 grudnia 2026 r. Przedłużenie określonych terminów dla wysokiego ryzyka nie przesuwa więc całego rozporządzenia. Dla już udostępnionych systemów i modeli należy dodatkowo sprawdzić przepisy przejściowe art. 111.
Kogo dotyczy akt w sprawie AI.
Akt w sprawie AI dotyczy zgodnie z art. 2 w szczególności dostawców wprowadzających systemy AI na rynek UE lub oddających je do użytku oraz podmiotów stosujących z siedzibą lub lokalizacją w UE. Obejmuje również określonych uczestników spoza UE, jeżeli wyniki systemu są wykorzystywane w UE. Importerzy, dystrybutorzy i producenci produktów mają własne role. Czysto prywatne, niezawodowe użycie należy traktować inaczej niż zastosowanie w przedsiębiorstwie.
Przedsiębiorstwo powinno ustalić swoją rolę dla każdego zastosowania. Zakup cudzej usługi nie określa jeszcze ostatecznie roli dla każdej zbudowanej na niej aplikacji. Model i gotowy system to także różne punkty odniesienia. Dlatego należy analizować cel, udostępnianie i rzeczywiste wykorzystanie; klasyfikacja całego przedsiębiorstwa wyłącznie na podstawie nazwy modelu jest zbyt niedokładna.
Obowiązki aktu w sprawie AI zależą od roli i użycia.
Obowiązki aktu w sprawie AI nie tworzą jednolitego pakietu środków dla każdego zastosowania AI. Poniższe obszary ułatwiają orientację; właściwe artykuły i terminy należy ustalić dla danego systemu i roli.
Weryfikacja zakazów i klasyfikacji wysokiego ryzyka.
Art. 5 opisuje zakazane praktyki, a art. 6 klasyfikację wysokiego ryzyka. Ścieżka produktowa łączy odniesienie do załącznika I z wymaganą oceną strony trzeciej; druga ścieżka dotyczy wymienionych zastosowań z załącznika III. Nie każde użycie w wymienionej branży automatycznie stanowi wysokie ryzyko. Wyjątki wymagają uzasadnionej analizy konkretnej funkcji.
Rozwijanie kompetencji w zakresie AI.
Art. 4 w zmienionym brzmieniu wymaga środków wspierających rozwój kompetencji w zakresie AI. Należy uwzględnić wcześniejszą wiedzę, doświadczenie, zadania i kontekst zastosowania. Dostawcy i podmioty stosujące nie muszą gwarantować określonego indywidualnego poziomu kompetencji. Ogólny certyfikat kursu nie zastępuje więc ani wyboru odpowiednich środków, ani analizy używanych systemów.
Bezpieczne i przejrzyste tworzenie AI wysokiego ryzyka.
Wymagania wysokiego ryzyka z art. 9–15 dotyczą między innymi zarządzania ryzykiem, danych, dokumentacji, rejestrowania zdarzeń, informacji, nadzoru człowieka oraz dokładności, odporności i cyberbezpieczeństwa. Obowiązki dostawców i zarządzanie jakością zgodnie z art. 17 organizują te prace. To, jakie wymagania stosuje się i kiedy, wynika z konkretnego reżimu i harmonogramu stosowania.
Odpowiedzialność w eksploatacji.
Obowiązki podmiotów stosujących z art. 26 różnią się od zadań dostawców. Przy stosowaniu przepisów wysokiego ryzyka obejmują w szczególności używanie zgodnie z instrukcją, odpowiedni nadzór człowieka i monitorowanie wykorzystania. Nadzór wymaga kompetentnych osób z rzeczywistą możliwością działania; samo wskazanie odpowiedzialnej jednostki nie wykazuje skutecznej interwencji w procesie pracy.
Ukierunkowane wdrożenie przejrzystości.
Art. 50 zawiera szczególne obowiązki informowania i oznaczania określonych systemów i wyników. Obejmują one na przykład rozpoznawalny kontakt z AI i postępowanie z określonymi sztucznie wygenerowanymi treściami. To, kto ma informować lub oznaczać, zależy od przepisu i roli. Nie wynika z tego ogólna reguła dla każdego dokumentu wewnętrznie przetworzonego z pomocą AI.
Osobna analiza obowiązków dotyczących modeli.
Rozdział V zawiera odrębne obowiązki dostawców modeli AI ogólnego przeznaczenia, po angielsku General-Purpose AI lub GPAI. Dodatkowe wymagania dotyczą modeli z ryzykiem systemowym. Korzystanie z takiego modelu nie czyni przedsiębiorstwa automatycznie dostawcą modelu; jednocześnie dokumentacja modelu nie wyjaśnia wszystkich obowiązków dotyczących zbudowanego na nim systemu.
Wdrożenie zaczyna się od zastosowania.
Opis celu i użycia.
Na początek należy opisać zadanie systemu AI, jego użytkowników oraz osoby lub decyzje, których dotyczą jego wyniki.
Ustalenie roli i zakresu.
Należy zapisać rolę organizacji oraz analizę związku z UE i możliwych wyjątków uzasadniającą tę decyzję.
Merytoryczna weryfikacja klasyfikacji.
Należy sprawdzić zakazy, ścieżki wysokiego ryzyka i kwestie przejrzystości z osobami odpowiedzialnymi merytorycznie, technicznie i prawnie oraz udokumentować uzasadnienie.
Określenie obowiązków i terminów.
Należy przypisać do odpowiednich wymagań konkretne osoby odpowiedzialne i właściwe daty stosowania, w tym odrębne przepisy przejściowe.
Powiązanie dowodów i działania.
Należy zaplanować wymagane dokumenty, badania i nadzór tak, aby odzwierciedlały rzeczywiste wykorzystanie systemu i właściwą ścieżkę wykazania zgodności.
Ponowna ocena zmian.
Praktycznie zaleca się przegląd decyzji przy zmianach celu, funkcjonalności, środowiska użycia lub odpowiedzialności i zapisanie nowego stanu.
Potwierdzenie wynika z właściwej procedury.
Rozporządzenie o AI nie przewiduje jednolitego zakupu certyfikatu dla wszystkich przedsiębiorstw. Dla AI wysokiego ryzyka art. 43 określa właściwą procedurę oceny zgodności. Zależnie od systemu przewidziana jest kontrola wewnętrzna lub udział jednostki notyfikowanej; przepisy produktowe mogą współokreślać ścieżkę postępowania. Dokumentację, ewentualną deklarację zgodności UE, oznakowanie CE i rejestrację należy rozpatrywać we właściwym kontekście prawnym.
Certyfikat jednostki notyfikowanej należy odróżnić od dobrowolnego certyfikatu systemu zarządzania. Art. 44 ust. 2 ogranicza regulowaną tam ważność do najwyżej pięciu lat dla systemów z załącznika I i czterech lat dla systemów z załącznika III; rozstrzyga wskazany okres i warunki procedury. Granice te nie są ogólną ważnością wszystkich dowodów zgodności z aktem w sprawie AI. Dodatkowo należy przestrzegać obowiązków eksploatacyjnych.
Inne ramy wspierają różne zadania.
W przypadku produktów AI dodatkowo istotne mogą być obowiązki produktowe Cyber Resilience Act wymagające odrębnego sprawdzenia.
ISO 42001 porządkuje system zarządzania AI, a NIST AI RMF oferuje dobrowolne ramy ryzyka AI. Oba mogą wspierać organizację pracy, ale nie wykazują automatycznej zgodności z aktem w sprawie AI. RODO nadal niezależnie obowiązuje przy przetwarzaniu danych osobowych; klasyfikacja według aktu w sprawie AI nie zastępuje analizy ochrony danych.
W Secani.
Secani zawiera autorski katalog dla przedsiębiorstw dotyczący aktu w sprawie AI, z danymi ról i profilu, wskazówkami wdrożeniowymi i przykładami dowodów. Dostawców, podmioty stosujące i inne role rejestruje się osobno. Pomoc wspiera uporządkowaną pracę; nie zastępuje ani merytorycznej klasyfikacji, ani ustawowo wymaganej procedury oceny. Katalog nie jest urzędowym potwierdzeniem zgodności.
Następny krok.
Należy wybrać konkretne działające lub planowane zastosowanie AI i połączyć osoby odpowiedzialne merytorycznie i technicznie z analizą prawną. Pierwszym wynikiem powinna być uzasadniona decyzja dotycząca roli, użycia i właściwych obowiązków. Powstaje z niej wykonalny plan dowodowy; niesprawdzona lista wszystkich artykułów rozporządzenia jest mniej pomocna.
Źródła.
- Komisja Europejska: Cyber Resilience Act
- Rozporządzenie o AI: tekst skonsolidowany na 27 lipca 2026 r.
- Rozporządzenie (UE) 2026/1744: Digital Omnibus on AI, w szczególności art. 1 pkt 5 i 40
- Komisja Europejska: akt w sprawie AI i harmonogram stosowania
- Oficjalny AI Act Service Desk: art. 2, zakres stosowania
- Oficjalny AI Act Service Desk: art. 4, kompetencje w zakresie AI
- Oficjalny AI Act Service Desk: art. 6, klasyfikacja wysokiego ryzyka
- Oficjalny AI Act Service Desk: art. 17, zarządzanie jakością
- Oficjalny AI Act Service Desk: art. 26, obowiązki podmiotów stosujących
- Oficjalny AI Act Service Desk: art. 43, ocena zgodności
- Oficjalny AI Act Service Desk: art. 44, certyfikaty
- Oficjalny AI Act Service Desk: art. 50, obowiązki przejrzystości
- Oficjalny AI Act Service Desk: art. 113, stosowanie
Najczęstsze pytania.
Nie. Art. 6 wiąże klasyfikację z określonymi konfiguracjami produktowymi lub wymienionymi zastosowaniami wraz z warunkami i wyjątkami. Samo użycie wydajnego modelu nie rozstrzyga klasyfikacji.
Nie. Rola zależy od udostępniania, własnego zastosowania i ewentualnych zmian. Umowa z dostawcą modelu lub usługi nie wyjaśnia automatycznie odpowiedzialności za gotowy system.
Nie. System zarządzania AI może porządkować odpowiedzialność i procedury, natomiast obowiązki ustawowe dla danego zastosowania wymagają osobnej analizy. Certyfikat systemu zarządzania nie jest ogólnym dowodem wszystkich wymagań aktu w sprawie AI.
Nie. Wymagane dowody wynikają z roli, systemu i właściwych przepisów. Art. 43 rozróżnia kilka procedur oceny zgodności; nie każda przewiduje udział jednostki zewnętrznej.
Konkretna realizacja odpowiedzialności za AI.
Połącz w Secani wymagania, odpowiedzialność i dowody dla zweryfikowanych zastosowań.
Strona ogólnie objaśnia rozporządzenie o AI. Rozstrzygające są obowiązujące akty prawne i analiza konkretnego zastosowania.