Najważniejsze wnioski w pigułce
Podstawy prawne i zakres
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. ustanawia pierwsze na świecie kompleksowe, zharmonizowane przepisy dotyczące sztucznej inteligencji.
- Akt opublikowano w Dzienniku Urzędowym UE 12 lipca 2024 r. (Dz.U. L, 2024/1689) — obowiązuje bezpośrednio, bez potrzeby wdrożenia do prawa krajowego.
- Podstawą prawną są art. 16 i 114 TFUE, a tekst ma znaczenie także dla Europejskiego Obszaru Gospodarczego.
Cele regulacji
- Poprawa funkcjonowania rynku wewnętrznego przez jednolite ramy prawne dla rozwoju, wprowadzania do obrotu, oddawania do użytku i wykorzystywania systemów AI.
- Promowanie AI „zorientowanej na człowieka i godnej zaufania” przy wysokim poziomie ochrony zdrowia, bezpieczeństwa i praw podstawowych z Karty praw podstawowych UE.
- Zapewnienie swobodnego transgranicznego przepływu towarów i usług opartych na AI — państwa członkowskie nie mogą nakładać własnych ograniczeń, o ile rozporządzenie tego wyraźnie nie dopuszcza.
Co zmienia dla firm
- Systemy AI wysokiego ryzyka podlegają wspólnym przepisom opartym na tzw. nowych ramach prawnych (rozporządzenia (WE) nr 765/2008 i (UE) 2019/1020 oraz decyzja nr 768/2008/WE).
- Rozporządzenie ma charakter uzupełniający wobec prawa o ochronie danych, ochronie konsumentów, bezpieczeństwie produktów oraz prawa pracy — nie zastępuje ich.
- Przewidziano środki wspierające innowacje ze szczególnym uwzględnieniem MŚP i start-upów.
- Znowelizowano dziewięć wcześniejszych aktów, m.in. rozporządzenia (UE) 2018/858 i (UE) 2019/2144 oraz dyrektywę (UE) 2020/1828.
Dlaczego Unia zdecydowała się na jeden akt dla całej AI
Systemy AI wdraża się dziś w niemal każdym sektorze gospodarki — od handlu i mediów po logistykę czy usługi publiczne — i bez trudu przekraczają one granice państw. Prawodawca europejski zauważył, że część państw członkowskich zaczęła już rozważać własne przepisy krajowe dotyczące bezpieczeństwa i wiarygodności AI. Efektem byłoby rozdrobnienie rynku wewnętrznego i spadek pewności prawa dla firm, które rozwijają, importują lub po prostu wykorzystują takie systemy.
Rozporządzenie 2024/1689 rozwiązuje ten problem w najmocniejszy dostępny sposób — jako akt stosowany bezpośrednio w całej Unii, bez konieczności transpozycji do prawa krajowego. Dla przedsiębiorstw działających na kilku rynkach jednocześnie to realna korzyść: jeden zestaw obowiązków zamiast dwudziestu siedmiu. Jednocześnie państwa członkowskie tracą możliwość nakładania dodatkowych ograniczeń na rozwój, wprowadzanie do obrotu i wykorzystywanie systemów AI, o ile rozporządzenie wprost tego nie przewiduje.
Warto zwrócić uwagę na podwójną podstawę prawną. Art. 114 TFUE dotyczy rynku wewnętrznego, ale w zakresie przepisów szczególnych — ograniczeń wykorzystywania AI do zdalnej identyfikacji biometrycznej, oceny ryzyka osób fizycznych i kategoryzacji biometrycznej do celów ścigania przestępstw — podstawą jest art. 16 TFUE, czyli ochrona danych osobowych. To sygnał, że prawodawca traktuje te zastosowania szczególnie ostrożnie.
Podejście zorientowane na człowieka — nie tylko slogan
Motywy rozporządzenia jasno definiują warunek wstępny całej regulacji: AI ma być technologią zorientowaną na człowieka i służyć jako narzędzie, którego ostatecznym celem jest zwiększenie dobrostanu człowieka. Ramy regulacyjne mają być rozwijane zgodnie z wartościami zapisanymi w art. 2 Traktatu o Unii Europejskiej oraz z Kartą praw podstawowych, do której odsyła art. 6 TUE.
W praktyce oznacza to, że ocena zgodności systemu AI nie kończy się na kwestiach technicznych. Prawodawca wymienia wśród chronionych wartości nie tylko zdrowie i bezpieczeństwo, lecz także demokrację, praworządność i ochronę środowiska. Przepisy dotyczące systemów wysokiego ryzyka mają być zgodne z Kartą, niedyskryminacyjne i spójne z międzynarodowymi zobowiązaniami handlowymi Unii, a przy ich stosowaniu należy uwzględniać Europejską deklarację praw i zasad cyfrowych oraz Wytyczne w zakresie etyki dotyczące godnej zaufania AI przygotowane przez grupę ekspertów wysokiego szczebla.
Rozporządzenie wprost wskazuje też katalog możliwych szkód — materialnych i niematerialnych, w tym fizycznych, psychicznych, społecznych i ekonomicznych. Ich skala zależy od kontekstu konkretnego zastosowania, sposobu wykorzystania oraz poziomu rozwoju technologicznego. To fundament podejścia opartego na ryzyku: identyczny model może być neutralny w jednym zastosowaniu i wysoce problematyczny w innym.
Systemy AI wysokiego ryzyka wchodzą w logikę bezpieczeństwa produktów
Kluczowa decyzja prawodawcy dotyczy tego, jak uregulować systemy wysokiego ryzyka. Zharmonizowane przepisy dla ich wprowadzania do obrotu, oddawania do użytku i wykorzystywania ustanowiono zgodnie z tzw. nowymi ramami prawnymi, czyli rozporządzeniem (WE) nr 765/2008, decyzją nr 768/2008/WE oraz rozporządzeniem (UE) 2019/1020. To ten sam mechanizm, który od lat rządzi bezpieczeństwem produktów na jednolitym rynku.
Dla firm technologicznych to zmiana perspektywy. System AI wysokiego ryzyka traktowany jest analogicznie do produktu podlegającego ocenie zgodności, dokumentacji technicznej i nadzorowi rynku. Zamiast wymyślać nowy reżim od zera, Unia wpisała AI w sprawdzony, dobrze udokumentowany schemat — co skraca czas potrzebny na zrozumienie obowiązków, ale też oznacza, że kontrole będą prowadzone przez organy z realnym doświadczeniem w egzekwowaniu przepisów.
Zakres jest przy tym horyzontalny: zharmonizowane przepisy mają zastosowanie we wszystkich sektorach. Nie ma więc branży, która mogłaby uznać, że regulacja jej nie dotyczy — decyduje charakter i przeznaczenie systemu, nie kod PKD.
AI Act nie zastępuje RODO, prawa konsumenckiego ani prawa pracy
To jedno z najczęściej mylnie rozumianych założeń nowego rozporządzenia. Akt w sprawie sztucznej inteligencji ma charakter uzupełniający i pozostaje bez uszczerbku dla obowiązującego prawa Unii — w szczególności w zakresie ochrony danych, ochrony konsumentów, praw podstawowych, zatrudnienia i ochrony pracowników oraz bezpieczeństwa produktów.
Wszystkie prawa i środki ochrony prawnej przysługujące konsumentom oraz innym osobom, na które systemy AI mogą negatywnie wpłynąć, pozostają w pełni skuteczne. Dotyczy to również odszkodowań za szkody na podstawie dyrektywy 85/374/EWG o odpowiedzialności za produkty wadliwe. Wdrożenie zgodności z AI Act nie zwalnia więc z obowiązków wynikających z RODO ani z przepisów o nieuczciwych praktykach rynkowych.
Podobnie w obszarze HR i zarządzania zespołami. Rozporządzenie nie wpływa na prawo Unii w dziedzinie polityki społecznej ani na krajowe prawo pracy dotyczące warunków zatrudnienia i pracy, w tym bezpieczeństwa i higieny pracy oraz relacji między pracodawcami a pracownikami. Nie ogranicza także korzystania z praw podstawowych uznanych w państwach członkowskich, w tym prawa do strajku. Firmy planujące automatyzację procesów kadrowych muszą więc pogodzić dwa zestawy wymogów jednocześnie.
Co to oznacza dla marketingu i biznesu cyfrowego
Wykorzystanie AI daje przewagę konkurencyjną tam, gdzie liczy się lepsze prognozowanie, optymalizacja operacji, sprawniejsze przydzielanie zasobów i personalizacja rozwiązań cyfrowych — a to opis codziennej pracy zespołów marketingowych i e-commerce. Rozporządzenie tego nie kwestionuje; wprost wymienia korzyści ekonomiczne, środowiskowe i społeczne, jakie AI wnosi do gospodarki, i deklaruje wspieranie innowacji.
Praktyczny wniosek jest prosty: uporządkowanie własnego stosu narzędzi AI warto zacząć od inwentaryzacji. Trzeba wiedzieć, jakie systemy są używane, w jakiej roli występuje firma (dostawca czy podmiot wykorzystujący system), jakie dane są przetwarzane i czy dane zastosowanie nie wpada w kategorię wysokiego ryzyka. Dopiero na tej podstawie da się ocenić realny zakres obowiązków.
Dobrą wiadomością dla mniejszych organizacji są zapowiedziane środki wspierające innowacje, ze szczególnym uwzględnieniem MŚP i przedsiębiorstw typu start-up. Prawodawca świadomie próbuje uniknąć sytuacji, w której koszt zgodności staje się barierą wejścia i wypycha z rynku mniejszych graczy. Firmy, które wcześnie zbudują dokumentację i procesy nadzoru nad AI, zyskają nie tylko spokój regulacyjny, ale też argument sprzedażowy w rozmowach z klientami korporacyjnymi.
Podsumowanie
Rozporządzenie (UE) 2024/1689 to pierwszy kompleksowy, bezpośrednio stosowany akt regulujący sztuczną inteligencję na jednolitym rynku — z podejściem opartym na ryzyku, logiką bezpieczeństwa produktów dla systemów wysokiego ryzyka i wyraźnym uzupełniającym charakterem wobec RODO, prawa konsumenckiego i prawa pracy. Dla firm cyfrowych oznacza to jeden zestaw reguł zamiast dwudziestu siedmiu krajowych reżimów, ale też konieczność świadomego zarządzania własnym portfelem narzędzi AI. Im wcześniej powstanie inwentaryzacja i dokumentacja, tym mniejszym kosztem organizacja przejdzie przez okres dostosowawczy.
Źródło: EUR-Lex, Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. (akt w sprawie sztucznej inteligencji) — https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:32024R1689
