AI Act już obowiązuje, ale KRiBSI jeszcze nie działa. Czy polskim firmom grożą kary wsteczne?

Od 2 sierpnia polskie przedsiębiorstwa podlegają nowym unijnym przepisom AI Act, a za ich naruszenie grożą kary sięgające nawet 15 mln euro lub 3% rocznego obrotu.

Problem w tym, że w kraju wciąż brak instytucji, która miałaby to egzekwować. Mimo niepewności prawnej branża technologiczna nie szuka luk w prawie. – Unijne przepisy nie krępują. Są sensowne i często już dawno zaimplementowane – wskazuje Piotr Polus, Head of Technology w krakowskim software housie Miquido.

Sierpniowe wymogi transparentności i prawny pat

Wraz z początkiem sierpnia w życie weszły zapisy artykułu 50 rozporządzenia AI Act. Przepisy te nakładają na firmy konkretne obowiązki związane z jawnością stosowania sztucznej inteligencji. Chodzi między innymi o obowiązkowe oznaczanie materiałów generowanych przez algorytmy, identyfikowanie deepfake’ów, informowanie użytkownika o tym, że wchodzi w interakcję z chatbotem, czy zgłaszanie stosowania systemów do rozpoznawania emocji.

Choć nowe obowiązki formalnie już obowiązują, w Polsce występuje spory paraliż organizacyjny. Dedykowany organ nadzorczy – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – ma powstać w ciągu 2–3 miesięcy od momentu wejścia w życie krajowej ustawy. Według szacunków ekspertów, w praktyce instytucja ta zacznie funkcjonować dopiero wiosną 2027 roku. Powstaje zatem sytuacja, w której firmy podlegają rygorystycznym przepisom pod groźbą wysoki kar, ale żaden podmiot nie prowadzi jeszcze realnych kontroli. Nie jest też jasne, czy przyszła komisja będzie mogła nakładać kary retroaktywnie za przewinienia z okresu przejściowego.

E-commerce i rozrywka na celowniku. Kto ryzykuje najwięcej?

Stopień przygotowania do regulacji różni się w zależności od branży. Najlepiej ze zmianami radzą sobie sektory bankowy oraz medyczny, które ze względu na swój charakter od dawna funkcjonują w warunkach ostrych obostrzeń prawnych. Inaczej wygląda to w przypadku podmiotów z obszaru handlu elektronicznego oraz branży rozrywkowej.

– Patrząc z perspektywy klientów firm IT widać, że najmniej gotowe na nowe zmiany jest część ecommerce i rozrywki. Obowiązek, który wszedł w życie w sierpniu, obejmuje ich szczególnie, bo to one najczęściej korzystają z dobrodziejstw generatywnego AI: chatbotów, generowanych opisów i zdjęć produktów, syntetycznych głosów w reklamach, wirtualnych influencerów. Tymczasem e-commerce i rozrywka zwykle zakładają, że AI Act ich nie dotyczy – komentuje Piotr Polus z Miquido.

Prawne obowiązki klienta a rola wykonawcy IT

Na rynku istotny jest podział ról pomiędzy dostawcami rozwiązań technologicznych a ich odbiorcami. Spółki informatyczne zazwyczaj tworzą oprogramowanie na zamówienie i nie występują jako formalny dostawca sztucznej inteligencji. Rozwiązanie trafia do użytkowników pod marką klienta, dlatego to po jego stronie leży formalna odpowiedzialność za spełnienie wymogów z art. 50 AI Act.

Rola dostawcy IT jest jednak kluczowa w wymiarze technicznym. Jeśli twórca oprogramowania nie przewidzi odpowiednich funkcji w architekturze lub system zgubi metadane, klient nie będzie w stanie działać zgodnie z prawem. W praktyce sprowadza się to do dwóch głównych wymagań: audytowalności oraz informowania o użyciu sztucznej inteligencji.

– Audytowalność systemu to duży temat. Zapisywanie tego, co się w systemie dzieje, to decyzja podejmowana już przy projektowaniu bazy danych – musi się więc wydarzyć na starcie projektu. Z ujawnianiem, że AI to AI, jest odwrotnie: zmiana jest mała, bo w wielu przypadkach wystarczy zaleznie statyczny komunikat – wyjaśnia ekspert Miquido.

Audytowalność wymuszona przez inżynierię oprogramowania

Okazuje się, że dla wielu zespołów deweloperskich unijne wymogi dotyczące logowania zdarzeń nie są nowością. Budowanie systemów w oparciu o duże modele językowe (LLM) od początku wymagało takiego podejścia ze względów czysto technologicznych. Ze względu na specyfikę technologii ten sam prompt może przynieść zróżnicowane rezultaty, przez co kodu opartego o sztuczną inteligencję nie da się testować w tradycyjny sposób.

– W naszych produktach – np. w chatbotach, jak ten używany w aplikacji mobilnej Diagnostyka – na tę pierwszą część – logowanie i audytowalność – jesteśmy gotowi od dawna, bo bez tego nie bylibyśmy w stanie poprawiać jakości naszych usług. Robimy to odkąd budujemy takie rozwiązania, zresztą z powodów czysto inżynierskich, a nie prawnych. Rozwiązania oparte na LLM są po prostu nieprzewidywalne – ten sam prompt daje raz lepszą, raz gorszą odpowiedź i nie da się ich przetestować tak, jak konwencjonalnego kodu. Jedyny więc sposób, żeby realnie pracować nad jakością, to wszystko logować, by mieć do czego wrócić i móc zmodyfikować. Okazało się, że ta regulacja wymaga w zasadzie tego samego. Tę trudną część – czyli audytowalność – mieliśmy więc już zrobioną. Ten drugi aspekt, czyli poinformowanie użytkownika, że rozmawia z AI też był przed 1 sierpnia i był jednym z fundamentów naszego podejścia do projektowania interfejsów opartych o AI – podkreśla Piotr Polus.

Jak wygląda praca w okresie przejściowym?

Obecnie działania w spółkach technologicznych prowadzone są dwutorowo. Z jednej strony weryfikuje się działające już systemy pod kątem zapisywania danych i uzupełnia ewentualne braki. Z drugiej – w przypadku nowych projektów – sprawdzenie wymogów następuje na etapie koncepcyjnym (discovery), zanim powstanie architektura oprogramowania.

Weryfikacja opiera się na trzech pytaniach: czy system loguje zdarzenia, czy człowiek ma realny wpływ na podejmowanie decyzji oraz czy informacja o użyciu AI jest naturalnym elementem interfejsu. W przypadku rozwiązań klasyfikowanych jako systemy wysokiego ryzyka firmy mają więcej czasu na dostosowanie – w zależności od kategorii ostateczne terminy mijają w grudniu 2027 lub w sierpniu 2028 roku. Zauważalny jest jednak wzrost świadomości po stronie samych klientów, którzy coraz częściej zgłaszają potrzebę jawnego komunikowania o wykorzystaniu algorytmów.