Wejście w życie i stosowanie to różne daty
Rozporządzenie (UE) 2024/1689 weszło w życie 1 sierpnia 2024 roku. Art. 113 określa różne daty stosowania poszczególnych przepisów, a art. 111 zawiera również reguły przejściowe. Jedna data w harmonogramie nie wyznacza wszystkich obowiązków każdej firmy.
Poniższa tabela przedstawia kalendarz wynikający z pierwotnie przyjętego rozporządzenia. Dla konkretnego systemu trzeba sprawdzić obowiązujący tekst oraz ewentualne zmiany.
Kalendarz przyjętego rozporządzenia
| Data | Główne przepisy w przyjętym akcie |
|---|---|
| 2 lutego 2025 | Rozdziały I i II, w tym kompetencje w zakresie AI i zakazane praktyki. |
| 2 sierpnia 2025 | Wskazane przepisy o zarządzaniu, modelach ogólnego przeznaczenia, jednostkach notyfikowanych i karach, z wyjątkami z art. 113. |
| 2 sierpnia 2026 | Ogólna data stosowania rozporządzenia, z uwzględnieniem szczególnych wyjątków i przepisów przejściowych. |
| 2 sierpnia 2027 | Art. 6 ust. 1 i odpowiadające mu obowiązki dotyczące wysokiego ryzyka w ścieżce produktów regulowanych. |
Ostatni wiersz nie oznacza, że wszystkie pozostałe systemy AI są wysokiego ryzyka. Dotyczy określonej ścieżki produktu lub komponentu bezpieczeństwa z art. 6 ust. 1.
Zakazane praktyki i kompetencje w zakresie AI
Art. 5 zakazuje wskazanych praktyk związanych z manipulacją, wykorzystywaniem podatności, oceną społeczną, określonymi ocenami ryzyka przestępstwa, gromadzeniem wizerunków twarzy i zastosowaniami biometrii. Każdy zakaz ma precyzyjny zakres, a część zawiera wąsko określone wyjątki. Użycie w biznesie nie stanowi ogólnego wyłączenia z zakazów.
Art. 4 dotyczy kompetencji personelu i innych osób obsługujących AI w imieniu dostawców i podmiotów stosujących. Działania powinny uwzględniać wiedzę, doświadczenie, kontekst użycia i osoby, na które system wpływa. Szkolenie warto powiązać z rzeczywistą pracą i używanym narzędziem.
Modele ogólnego przeznaczenia
Rozdział V określa obowiązki dostawców modeli AI ogólnego przeznaczenia, w tym dokumentację, informacje dla dalszych dostawców, politykę dotyczącą praw autorskich i podsumowanie treści treningowych. Dodatkowe wymagania dotyczą modeli z ryzykiem systemowym. Niektóre obowiązki mają kwalifikowane wyjątki dla modeli open source; otwartość nie usuwa wszystkich wymagań.
Firma integrująca model nie staje się automatycznie jego dostawcą. Może jednak być dostawcą systemu AI zbudowanego z jego wykorzystaniem. Należy ocenić cały łańcuch odpowiedzialności i dostęp do potrzebnej dokumentacji.
Wysokie ryzyko i pozostałe obowiązki
Dla systemu wysokiego ryzyka trzeba ocenić wymagania zarządzania ryzykiem, danych, dokumentacji, nadzoru, monitoringu i oceny zgodności oraz obowiązki przypisane do roli firmy. Art. 50 określa odrębne obowiązki przejrzystości dla wskazanych zastosowań AI; nie dotyczą one wyłącznie systemów wysokiego ryzyka.
Przewodnik po klasyfikacji wyjaśnia znaczenie przeznaczenia systemu. Artykuł o rolach rozdziela odpowiedzialność dostawcy modelu, dostawcy systemu i podmiotu stosującego.
Przepisy przejściowe
Art. 111 obejmuje między innymi systemy i modele już wprowadzone na rynek oraz szczególne zastosowania historyczne. Znaczenie mogą mieć data wprowadzenia lub oddania do użytku, przeznaczenie, zmiany konstrukcji i rodzaj podmiotu.
Premiera produktu przed ogólnym terminem nie oznacza automatycznego zwolnienia ze wszystkich obowiązków. Nie należy też traktować dawnych zapowiedzi zmian legislacyjnych jako potwierdzenia nowej daty stosowania prawa.
Kary nie mają jednej stawki dla każdego przypadku
Art. 99 rozróżnia naruszenia zakazów, wskazanych obowiązków podmiotów oraz przekazywanie nieprawidłowych informacji. Przewiduje między innymi maksymalne pułapy 35 mln euro/7%, 15 mln euro/3% i 7,5 mln euro/1%, według szczegółowych zasad aktu. Dla MŚP porównanie kwoty i procentu obrotu ma odrębne zasady. Kary dla dostawców modeli ogólnego przeznaczenia mają osobną podstawę w art. 101.
Pułap nie jest prognozą kary dla konkretnej firmy. Znaczenie mają właściwy przepis, okoliczności i ocena organu.
Jak przełożyć terminy na działanie
Dla każdego systemu zapisz rolę firmy, przeznaczenie, właściwy przepis, termin lub regułę przejściową, potrzebne dowody, osobę odpowiedzialną i pytania wymagające rozstrzygnięcia. Dołącz źródła prawne i dokumentację dostawcy.
Aktualizuj tę ocenę po zmianie systemu, sposobu użycia lub prawa. Sierpień 2026 roku nie jest już przyszłym terminem; dawny czas przyszły w artykule nie powinien zastępować kontroli bieżących obowiązków.
Wymagania w projekcie oprogramowania
Wymagania bezpieczeństwa, dokumentacji i nadzoru trzeba określić dla konkretnego zastosowania oraz roli organizacji. Ocenę prawną należy powiązać z decyzjami technicznymi i organizacyjnymi.
Q-Dev to software house QA10. Projektujemy oprogramowanie według uzgodnionego zakresu; cenę i harmonogram ustalamy dla konkretnego projektu. Prawa do kodu przechodzą na klienta po rozliczeniu całego projektu.
Źródło prawne
AI Act — rozporządzenie (UE) 2024/1689 w EUR-Lex. Artykuł wyjaśnia ramy przyjętego aktu. Przy decyzji dotyczącej wdrożenia trzeba sprawdzić aktualny tekst, zmiany, przepisy przejściowe i fakty dotyczące konkretnego systemu.