Zgodnie z rozporządzeniem oznaczanie użycia AI już obowiązuje. Sprawdź, czy dotyczy Twojej firmy.

Obowiązki przejrzystości z art. 50: informowanie, że rozmowa toczy się z AI, oznaczanie treści generowanych w formacie odczytywalnym maszynowo, ujawnianie deepfake’ów oraz ujawnianie użycia AI przy tekstach publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Ten ostatni obowiązek nie ma zastosowania, gdy materiał przeszedł kontrolę redakcyjną człowieka, a odpowiedzialność redakcyjną za publikację ponosi wskazana osoba lub organizacja. Systemy, które trafiły na rynek wcześniej, mają na samo znakowanie maszynowe czas do 2 grudnia 2026.

Art. 50 ma cztery ustępy i każdy dotyczy innej roli. Obowiązek informowania o interakcji z AI i obowiązek maszynowego oznaczania treści spoczywają na dostawcy systemu. Jako firma korzystająca z gotowego narzędzia odpowiadasz przede wszystkim za ujawnianie deepfake’ów, informowanie o rozpoznawaniu emocji oraz, w ramach należytej staranności, za sprawdzenie, czy Twoje narzędzia oznaczają treści i czy proces obróbki materiału nie usuwa tych oznaczeń. Jest jeden przypadek, który łatwo przeoczyć: jeśli udostępniasz klientom cudze narzędzie pod własną marką, jako swój produkt lub usługę, sam możesz wystąpić w roli dostawcy. Wtedy przechodzą na Ciebie również obowiązki dostawcy, czyli informowanie o interakcji z AI i maszynowe oznaczanie treści.

Tak. Wielkość firmy nie wyłącza obowiązków. Wpływa za to na wysokość kar, bo dla MŚP stosuje się niższą z dwóch przewidzianych kwot. Samo używanie ChatGPT jest stosowaniem systemu AI w rozumieniu rozporządzenia. Praktycznym minimum jest rejestr narzędzi, zasady wprowadzania do nich danych i udokumentowane działania wspierające kompetencje zespołu. Jeśli na tym się kończy, screening może wtedy wystarczyć.

To zależy od tego, czyje emocje system ma rozpoznawać i na podstawie jakich danych. Zakaz z art. 5 obejmuje rozpoznawanie emocji w miejscu pracy i w instytucjach edukacyjnych, czyli pracowników, kandydatów i uczniów. Analiza dotycząca klientów co do zasady nie wchodzi w ten zakaz, ale podlega obowiązkowi poinformowania osób (art. 50 ust. 3) i przepisom RODO. Znaczenie ma też, czy system wnioskuje o emocjach z danych biometrycznych, czy analizuje samą treść transkrypcji. Każdy przypadek oceniamy osobno.

Odwołane nie, przesunięte tak: Załącznik III na 2 grudnia 2027, Załącznik I na 2 sierpnia 2028. Przygotowanie dokumentacji dla takiego systemu zajmuje kilkanaście miesięcy, więc mapę gotowości warto zrobić teraz.

Do 35 mln euro albo 7% światowego obrotu wyłącznie za praktyki zakazane z art. 5; do 15 mln euro albo 3% za większość pozostałych naruszeń, w tym za obowiązki przejrzystości z art. 50; do 7,5 mln euro albo 1% za przekazanie jednostce notyfikowanej lub właściwemu organowi, w odpowiedzi na ich żądanie, informacji nieprawidłowych, niepełnych albo wprowadzających w błąd. Dla MŚP stosuje się niższą z dwóch kwot. Próg 7% bywa cytowany jako „kara za AI Act”, a dotyczy najwęższej kategorii naruszeń.

Gwarancji nie ma i nikt uczciwie takiej nie da. Raport i rejestr pomagają wykazać, że działania zostały podjęte, a organ może to uwzględnić przy wymiarze kary razem ze współpracą i okolicznościami sprawy. Urząd kontrolujący ma na celu ocenę, co faktycznie zostało w firmie zrobione i co można pokazać i udowodnić.

Raport z przeglądu gotowości AI Act, czyli dokument roboczy dla Was. Poświadczenie to krótki dokument, na którym znajdzie się zakres audytu, data, zastosowana metodyka i dane osoby, która go prowadziła, ze wskazaniem stanu prawnego na dany dzień. Oraz krótkie podsumowanie dla kontrahenta, które można załączyć do ankiety zakupowej albo do przetargu, bez ujawniania poufnych szczegółów systemów. Poświadczenie stwierdza, że audyt został przeprowadzony w określonym zakresie, i tylko tyle może stwierdzać.

Certyfikatu zgodności z AI Act nie wystawi żadna firma doradcza, łącznie z nami. Ocena zgodności to sformalizowana procedura z rozporządzenia, którą dla systemów wysokiego ryzyka przeprowadza dostawca albo jednostka notyfikowana, a kończy się deklaracją zgodności i oznakowaniem CE. Przepisy nie przewidują też certyfikatu dla firmy jako całości, bo procedura z rozporządzenia dotyczy wyłącznie pojedynczego systemu. Dostajesz natomiast raport, poświadczenie przeprowadzenia audytu i podsumowanie dla kontrahenta. Jeśli potrzebujesz certyfikatu wydanego przez stronę trzecią, właściwą ścieżką jest norma ISO/IEC 42001 i akredytowana jednostka certyfikująca; możemy do niej przygotować.

Nie. Audyt ma charakter organizacyjno-techniczny. Tam, gdzie potrzebna jest wykładnia przepisu, mówimy to wprost, zapisujemy w raporcie i rekomendujemy opinię radcy prawnego.

Bo zgodność zaczyna się od pytania, gdzie ta AI w istocie funkcjonuje. Odpowiedzi szuka się w integracjach, w ustawieniach narzędzi i na fakturach za SaaS. Znamy te narzędzia od środka: automatyzacje w n8n czy Make, funkcje AI wstrzykiwane ukradkiem do systemów kupionych dwa lata temu do zupełnie innych celów. Dlatego inwentaryzację należy zacząć od faktur i od rzeczywistych rozmów z działami. Oficjalna lista narzędzi jest dopiero którymś w kolejności źródłem. Tak znajdujemy rzeczy, których nie widać ani w umowach, ani w rejestrze czynności przetwarzania. Druga sprawa: część luk zamykamy sami. Komunikat w chatbocie to jedno zdanie w interfejsie, oznaczanie treści to zmiana w pipelinie produkcji wideo, a ujawnienia trzeba jeszcze przetłumaczyć na wszystkie języki, w których sprzedajesz. Lokalizacja jest naszą codziennością od lat, więc ta ostatnia część wychodzi przy okazji.

Wycenę podajemy po krótkiej rozmowie, bo cena zależy od liczby zastosowań AI, działów i podmiotów w grupie. Nie podajemy widełek z góry, żeby nie sprzedać Ci zakresu, którego nie potrzebujesz, ani nie zaniżyć wyceny przed poznaniem skali. Rozmowa jest bezpłatna i niezobowiązująca; jeżeli po niej uznamy, że audyt nie jest Ci potrzebny, powiemy to wprost. Po Twojej stronie screening to około trzech godzin łącznie, a pełny audyt od sześciu do dziesięciu godzin rozłożonych na okres od trzech do czterech tygodni, plus czas osób z działów na wywiady.

Tak. Audyt prowadzimy zdalnie, po polsku lub po angielsku: spotkania online, dokumenty w Twoim środowisku, podpisy elektroniczne. Pracujemy z firmami działającymi na rynku unijnym; w sprawach dotyczących nadzoru krajowego uwzględniamy właściwe państwo członkowskie i jego organ.