Kary za AI Act: ile zapłacą małe firmy za naruszenia

Unia Europejska uregulowała sztuczną inteligencję poprzez AI Act, wprowadzając system kar, które mogą dotknąć każdą firmę – od mikroprzedsiębiorstwa po korporację – jeśli będzie korzystać z niedozwolonych lub niezgodnych z przepisami systemów AI.

AI Act to pierwszy na świecie kompleksowy system regulacji sztucznej inteligencji, oparty na poziomach ryzyka. Oznacza to, że im większy potencjalny wpływ algorytmu na prawa, bezpieczeństwo lub życie człowieka, tym bardziej rygorystyczne wymogi musi spełnić każda firma – niezależnie od jej wielkości – która tego systemu wdraża lub tworzy.

Trzy poziomy kar – ile faktycznie zapłacą małe firmy?

AI Act przewiduje trzy kategorie sankcji finansowych, różniące się wysokością i rodzajem naruszenia:

Rodzaj naruszenia	Maksymalna kara (euro)	Maksymalnie % obrotu	Przykłady
Naruszenie zakazów (art. 5)	35 mln	7% światowego obrotu	Systemy manipulacyjne, scoring społeczny, masowe rozpoznawanie twarzy
Naruszenia obowiązków dostawców/użytkowników	15 mln	3% globalnego rocznego obrotu	Braki w dokumentacji, niewłaściwa ocena zgodności, brak deklaracji
Braki w dokumentacji, informacjach, rejestracji	10 mln	2% obrotu	Niepełna dokumentacja techniczna, brak rejestracji systemu

Dla małych firm, które osiągają roczny obrót na poziomie kilku milionów złotych, nawet 2–3% tego obrotu to kwota mogąca zagrażać zdolności do funkcjonowania. Dla porównania: kary z RODO sięgały maksymalnie 4% obrotu, ale AI Act w przypadku systemów zakazanych idzie jeszcze wyżej – do 7%.

Jakie systemy AI są całkowicie zakazane?

Najsurowsze sankcje grożą firmom, które wdrażają systemy uznane za niedopuszczalne. Unia Europejska zakazała następujących zastosowań:

Systemy manipulacyjne

Zakazane są algorytmy, które wykorzystują ukryte mechanizmy do wpływania na decyzje użytkowników, szczególnie gdy eksploatują podatność wynikającą z wieku, niepełnosprawności czy trudnej sytuacji życiowej. W praktyce oznacza to, że system rekomendacji, który celowo pokazuje produkty droższe osobom starszym, lub aplikacja, która zmienia interfejs, aby skłonić niepełnosprawnego użytkownika do kliknięcia w konkretne miejsce – to naruszenia grożące karą do 35 mln euro.

Scoring społeczny

Ocenianie ludzi na podstawie ich zachowań społecznych, cech osobowości czy aktywności w różnych sferach życia zostało całkowicie zakazane. System, który na podstawie postów w mediach społecznych przyznaje obywatelom “punkty zaufania” lub ogranicza im dostęp do usług – to naruszenie AI Act. Unia uznała, że takie praktyki prowadzą do dyskryminacji i naruszenia praw obywatelskich.

Predykcyjne prognozowanie przestępczości

Zakazane są algorytmy, które przewidują przestępczość wyłącznie na podstawie profilowania osób, bez faktycznych dowodów konkretnego czynu. Taki system – nawet jeśli byłby statystycznie dokładny – narusza prawo do ochrony przed dyskryminacją.

Masowe rozpoznawanie twarzy

Zakazane jest tworzenie baz danych poprzez masowe pobieranie zdjęć z internetu lub monitoringu publicznego bez zgody osób. Systemy biometryczne do identyfikacji w miejscach publicznych podlegają ścisłym ograniczeniom.

Rozpoznawanie emocji w pracy i szkołach

Algorytmy analizujące emocje pracowników lub uczniów są zakazane, z wyjątkiem ściśle określonych sytuacji związanych z bezpieczeństwem lub zdrowiem.

Naruszenia obowiązków – druga kategoria kar

Nawet jeśli firma nie wdraża systemów zakazanych, może naruszać obowiązki wynikające z AI Act. W takim przypadku kara wynosi do 15 mln euro lub do 3% globalnego rocznego obrotu. Do takich naruszeń należą:

• Braki w dokumentacji technicznej – każdy system wysokiego ryzyka musi być szczegółowo udokumentowany
• Niewłaściwa ocena zgodności – firma musi przeprowadzić formalną procedurę sprawdzenia, czy system spełnia wymogi
• Brak deklaracji zgodności UE – dokument potwierdzający, że system jest zgodny z AI Act
• Brak nadzoru nad systemami wysokiego ryzyka – po wdrożeniu firma musi monitorować działanie algorytmu
• Niewystarczająca przejrzystość – użytkownicy muszą wiedzieć, że mają do czynienia z systemem AI

Dla małej firmy, która wdraża system AI do oceny kandydatów do pracy (to system wysokiego ryzyka), brak odpowiedniej dokumentacji czy procedury oceny zgodności może skutkować karą 3% obrotu – nawet jeśli system sam w sobie nie jest zakazany i działa poprawnie.

Co to oznacza dla małych firm?

Małe przedsiębiorstwa często myślą, że AI Act to regulacja dla dużych technologicznych korporacji. To błędne założenie. Każda firma, która:

• Wdraża narzędzia AI do rekrutacji kandydatów
• Używa algorytmów do oceny kredytowej lub zdolności płatniczej klientów
• Wdrożyła chatbota do obsługi klientów
• Wykorzystuje systemy do analizy danych pracowników
• Korzysta z rozpoznawania biometrycznego

…podlega AI Act i musi spełnić jego wymogi.

Ryzyka dla małych firm są szczególnie poważne, bo:

1. Brak świadomości – wiele firm nie wie, że narzędzia, które kupują, podlegają AI Act
2. Brak zasobów – małe firmy nie mają dedykowanych zespołów compliance
3. Kumulacja kar – jeśli firma wdraża wiele systemów AI bez dokumentacji, kary mogą się sumować
4. Brak elastyczności – dla dużych firm 7% obrotu to znaczna, ale możliwa do pokrycia kwota; dla małej firmy to może być katastrofa finansowa

Jak się przygotować?

Małe firmy powinny teraz:

1. Przeprowadzić audyt – zidentyfikować wszystkie narzędzia AI w firmie
2. Zmapować ryzyko – określić, czy systemy to wysokie, średnie czy niskie ryzyko
3. Przygotować dokumentację – opracować dokumenty techniczne dla każdego systemu
4. Wdrożyć procedury – ustanowić proces oceny zgodności i nadzoru
5. Szkolić zespół – pracownicy muszą wiedzieć, jak bezpiecznie używać AI
6. Konsultować się z prawnikami – specjaliści w compliance mogą pomóc uniknąć kosztownych błędów

AI Act nie jest jeszcze w pełni wdrażany, ale sankcje będą realne. Firmy, które zaczną przygotowania teraz, będą miały czas na dostosowanie się. Te, które czekają – narażają się na wysokie kary i potencjalną utratę możliwości prowadzenia działalności.