AI Act – co się zmieniło 2 sierpnia 2026 roku?

Od 2 sierpnia 2026 roku zaczynają obowiązywać kolejne przepisy unijnego AI Act, dotyczące przede wszystkim przejrzystości korzystania ze sztucznej inteligencji. Nowe wymagania obejmują m.in. oznaczanie deepfake’ów, informowanie o rozmowie z chatbotem oraz umożliwienie technicznego rozpoznania materiałów wygenerowanych przez AI. Jednocześnie Unia Europejska przesunęła terminy stosowania części przepisów odnoszących się do systemów wysokiego ryzyka.

Poszczególne wymagania są uruchamiane etapami, zależnie od rodzaju systemu, roli podmiotu korzystającego z AI i poziomu ryzyka. Ministerstwo Cyfryzacji przypomina, że od 2 sierpnia 2026 roku istotnie rozszerza się zakres obowiązków dotyczących przejrzystości, czyli informowania odbiorców o tym, kiedy mają do czynienia z materiałem wygenerowanym albo zmienionym przez sztuczną inteligencję.

Deepfake nie może udawać autentycznego materiału

Jednym z najważniejszych nowych obowiązków jest konieczność ujawniania, że opublikowany materiał stanowi deepfake. Zgodnie z AI Act chodzi o realistyczny obraz, nagranie dźwiękowe albo wideo, które zostały wygenerowane lub istotnie zmodyfikowane przez AI i mogą zostać błędnie uznane za autentyczne.

W praktyce oznacza to konieczność oznaczenia materiału, w którym sztuczna inteligencja przykładowo wygenerowała wypowiedź konkretnej osoby, podmieniła twarz, odtworzyła czyjś głos, stworzyła realistyczną scenę zdarzenia albo zmieniła nagranie w sposób mogący wprowadzić odbiorcę w błąd. Sam fakt zastosowania programu komputerowego nie przesądza jeszcze, że mamy do czynienia z deepfake’em. Istotne jest przede wszystkim to, czy rezultat przypomina rzeczywistą osobę, miejsce, przedmiot lub wydarzenie i może uchodzić za prawdziwy.

Obowiązek informacyjny powinien zostać wykonany w sposób jasny i widoczny. Odbiorca nie powinien być zmuszony do szukania informacji w rozbudowanym regulaminie, polityce prywatności czy niewidocznych elementach strony. Z komunikatu Ministerstwa Cyfryzacji wynika, że podstawowym celem regulacji jest umożliwienie użytkownikom odróżnienia treści tworzonych przez ludzi od materiałów generowanych lub modyfikowanych przez algorytmy.

Nie oznacza to jednak, że każdy materiał artystyczny, satyryczny czy fikcyjny musi być zasłonięty dużym ostrzeżeniem. Jeżeli wykorzystanie AI jest elementem dzieła o wyraźnie twórczym, artystycznym, satyrycznym lub fikcyjnym charakterze, informacja może zostać przekazana w sposób, który nie zakłóca odbioru utworu. Może to być przykładowo podpis pod ilustracją, informacja w opisie filmu albo adnotacja w napisach końcowych.

Teksty stworzone z pomocą AI – kiedy potrzebne jest oznaczenie?

Przepisy obejmują również teksty publikowane w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Jeżeli materiał został wygenerowany lub zmodyfikowany przez AI i jest publikowany bez kontroli człowieka, odbiorca powinien zostać o tym poinformowany.

AI Act przewiduje jednak istotny wyjątek dla redakcji, wydawców i innych podmiotów ponoszących odpowiedzialność za publikowane treści. Oznaczenie nie jest wymagane, jeżeli tekst przeszedł przegląd przez człowieka albo kontrolę redakcyjną, a za jego publikację odpowiada konkretna osoba fizyczna lub prawna.

Oznacza to, że dziennikarz może korzystać ze sztucznej inteligencji przy opracowywaniu struktury materiału, redagowaniu językowym, tłumaczeniu, skracaniu wypowiedzi czy przygotowaniu projektu artykułu. Jeżeli jednak przed publikacją tekst zostanie zweryfikowany, poprawiony i zatwierdzony przez człowieka, a redakcja bierze za niego odpowiedzialność, nie musi on automatycznie otrzymywać oznaczenia „wygenerowane przez AI”.

Nie jest to zatem zakaz używania sztucznej inteligencji w mediach, lecz wymóg zachowania rzeczywistej odpowiedzialności redakcyjnej. Samo mechaniczne zatwierdzenie tekstu bez sprawdzenia faktów, źródeł, cytatów i danych nie powinno być traktowane jako rzetelna kontrola człowieka.

Techniczne znakowanie treści przez dostawców systemów

Inne obowiązki spoczywają na dostawcach systemów generatywnych. Od 2 sierpnia 2026 roku powinni oni zapewniać, aby wygenerowane lub zmodyfikowane materiały tekstowe, dźwiękowe, wizualne i audiowizualne mogły zostać rozpoznane w sposób maszynowy.

Może to odbywać się za pomocą metadanych, znaków wodnych, identyfikatorów technicznych albo innych rozwiązań pozwalających systemom informatycznym ustalić, że dana treść powstała przy użyciu AI. Oznaczenia mają być skuteczne, interoperacyjne, niezawodne i możliwe do wdrożenia przy uwzględnieniu aktualnego poziomu technologii.

Dla części systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 roku przewidziano okres przejściowy. Zgodnie z informacją Ministerstwa Cyfryzacji dostawcy takich rozwiązań otrzymali czas na dostosowanie ich do technicznych wymogów. Materiały opublikowane przed wejściem nowych obowiązków nie będą natomiast musiały być oznaczane wstecznie.

Chatbot musi ujawnić, że nie jest człowiekiem

Kolejna grupa przepisów dotyczy interakcji człowieka z maszyną. Użytkownik powinien zostać jasno poinformowany, że prowadzi rozmowę z systemem sztucznej inteligencji, jeżeli nie wynika to w oczywisty sposób z okoliczności.

Dotyczy to m.in. chatbotów na stronach internetowych, automatycznych konsultantów, wirtualnych asystentów i systemów obsługi klienta. Informacja powinna pojawić się najpóźniej przy pierwszym kontakcie, być zrozumiała i dostępna również dla osób ze szczególnymi potrzebami.

Podobne obowiązki obejmują systemy rozpoznawania emocji oraz niektóre narzędzia kategoryzacji biometrycznej. Podmiot korzystający z takiego rozwiązania powinien poinformować osoby, których działanie systemu dotyczy. Musi również pamiętać, że AI Act nie zastępuje RODO. Zasady dotyczące legalności przetwarzania danych osobowych, minimalizacji danych, obowiązków informacyjnych i bezpieczeństwa nadal obowiązują równolegle.

Systemy wysokiego ryzyka – przedsiębiorcy otrzymali więcej czasu

Znacząca zmiana dotyczy systemów AI klasyfikowanych jako wysokiego ryzyka. Pierwotnie część obowiązków miała zacząć obowiązywać w sierpniu 2026 roku, jednak termin został przesunięty w ramach pakietu upraszczającego określanego jako AI Omnibus.

Najważniejsze wymagania odnoszące się do systemów wymienionych w załączniku III do AI Act mają być stosowane od 2 grudnia 2027 roku. Dotyczy to m.in. określonych zastosowań AI w rekrutacji i zatrudnieniu, edukacji, dostępie do podstawowych usług, wymiarze sprawiedliwości, migracji oraz działalności części organów publicznych. Ministerstwo Cyfryzacji wyjaśnia, że celem przesunięcia jest stworzenie bardziej przewidywalnego otoczenia dla przedsiębiorców oraz ograniczenie nakładania się różnych regulacji.

„Krok po kroku, w drodze do spójnego i przyjaznego prawa unijnego” – mówił wiceminister cyfryzacji Dariusz Standerski, odnosząc się do prac nad uproszczeniem unijnych przepisów.

W przypadku systemów wysokiego ryzyka stanowiących element produktów podlegających odrębnym przepisom bezpieczeństwa termin został przesunięty na 2 sierpnia 2028 roku. Więcej czasu nie oznacza jednak, że organizacje powinny wstrzymać przygotowania. Konieczne może być uporządkowanie dokumentacji, umów z dostawcami, sposobu nadzoru człowieka, jakości danych, procedur zarządzania ryzykiem oraz zasad monitorowania systemu po wdrożeniu.

Część obowiązków funkcjonuje już od 2025 roku

Nowe przepisy nie są pierwszym etapem stosowania AI Act. Od 2 lutego 2025 roku obowiązują już zakazy dotyczące szczególnie niebezpiecznych praktyk AI oraz wymagania związane z rozwijaniem kompetencji pracowników korzystających ze sztucznej inteligencji. Ministerstwo Cyfryzacji wskazywało, że pracodawcy będący dostawcami lub podmiotami stosującymi AI powinni podejmować działania zapewniające pracownikom wiedzę i umiejętności odpowiednie do wykonywanych zadań.

Od 2 sierpnia 2026 roku Komisja Europejska może również korzystać z pełnego zakresu uprawnień dotyczących nadzoru nad modelami AI ogólnego przeznaczenia. Może żądać dokumentacji i informacji, przeprowadzać oceny modeli, wymagać działań ograniczających ryzyko oraz stosować przewidziane prawem sankcje.

Dla większości firm pierwszym praktycznym krokiem nie powinno być jednak oczekiwanie na kontrolę, lecz sprawdzenie, gdzie i w jaki sposób sztuczna inteligencja jest już wykorzystywana. Organizacje powinny ustalić, z jakich narzędzi korzystają pracownicy, jakie dane są do nich wprowadzane, kto sprawdza wyniki działania systemu oraz które publikowane materiały wymagają oznaczenia. AI Act nie zatrzymuje rozwoju sztucznej inteligencji, ale kończy etap, w którym algorytm mógł działać w organizacji bez przypisanej odpowiedzialności i bez jasnej informacji dla odbiorcy.

Źródła:

Ministerstwo Cyfryzacji – UE upraszcza przepisy dotyczące sztucznej inteligencji

AI Act – pełny tekst rozporządzenia po polsku

Komisja Europejska – AI Omnibus i nowe terminy

Ministerstwo Cyfryzacji – pierwsze przepisy AI Act

PARP – oznaczanie deepfake’ów i treści generowanych przez AI