AI Act w Polsce: kary za ukryte treści AI już obowiązują, ale kto będzie je egzekwować?

Przepisy unijne dotyczące sztucznej inteligencji weszły w życie 2 sierpnia 2024 roku, ale polska infrastruktura do ich egzekwowania wciąż nie istnieje — to główne źródło zamieszania dla polskich przedsiębiorców, wydawców i agencji marketingowych.

Jakie obowiązki narzuca AI Act polskim firmom?

Artykuł 50 nowego rozporządzenia AI Act nakazuje każdej firmie wyraźnie poinformować odbiorców, gdy materiał został wygenerowany przez algorytm. Obowiązek dotyczy przede wszystkim czterech kategorii treści:

• Deepfake’i — materiały wideo, audio lub obrazy znacząco zmodyfikowane przez AI
• Systemy rozpoznawania emocji — narzędzia analizujące stan psychiczny użytkownika
• Interakcje z botami — rozmowy, w których druga strona to maszyna, a nie człowiek
• Teksty o sprawach publicznych — artykuły, newsy i komunikaty dotyczące polityki, gospodarki lub społeczeństwa, chyba że zostały zweryfikowane i zatwierdzone przez człowieka ponoszącego pełną odpowiedzialność redakcyjną

Oznaczenie musi być wyraźne i zrozumiałe dla przeciętnego odbiorcy — nie wystarczy mała notka w stopce czy zakamuflowana informacja w ustawieniach prywatności.

Jakie kary grożą za naruszenie AI Act?

Unijny taryfikator kar jest bezwzględny. Firmy, które ukrywają fakt, że treść pochodzi z AI, mogą zostać ukarane w następujący sposób:

W Polsce 15 milionów euro to orientacyjnie około 60–65 milionów złotych (przy kursie 4,0–4,3 zł/euro). Dla małej firmy nawet połowa tej kwoty może oznaczać bankructwo.

Dlaczego polska komisja nadzorcza jeszcze nie działa?

Odpowiedzialność za egzekwowanie AI Act w Polsce powierzono Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Jednak organ ten nie został jeszcze powołany. Zgodnie z ustawowym harmonogramem:

• Władze komisji mają zostać powołane jesienią 2024 roku
• Realna działalność operacyjna ma się rozpocząć najwcześniej wiosną 2027 roku

To oznacza, że przez co najmniej 2,5 roku przepisy będą obowiązywać, ale nikt w Polsce ich formalnie nie będzie egzekwować.

Co to oznacza dla polskich firm?

Powstała paradoksalna sytuacja prawna. Z jednej strony, AI Act jest bezpośrednio obowiązującym rozporządzeniem unijnym — firmy muszą go przestrzegać od 2 sierpnia 2024 roku. Z drugiej strony, brak funkcjonującego organu nadzorczego tworzy niepewność dotyczącą praktycznego ścigania naruszeń.

Część prawników uważa, że nakładanie kar wstecz (za okres przed powołaniem KRiBSI) naruszałoby konstytucyjną zasadę legalności. Inni ostrzegają jednak, że opieszałość państwa nie zwalnia firm z obowiązków — prawo unijne obowiązuje bezpośrednio, niezależnie od gotowości krajowych instytucji.

Kluczowe pytanie: czy można liczyć na okres przejściowy bez kar? Odpowiedź brzmi: nie. Choć KRiBSI jeszcze nie działa, firmy nie operują w całkowitej próżni prawnej.

Kto może ukarać firmę już teraz — jeszcze przed powołaniem KRiBSI?

Urząd Ochrony Danych Osobowych (UODO) ma od lat wypracowane procedury i pełne uprawnienia do nakładania kar finansowych na mocy RODO. Jeśli narzędzie oparte na AI naruszy zasady przetwarzania danych osobowych — na przykład zbierze biometryczne dane użytkowników bez zgody, przechowywać będzie dane dłużej niż potrzebne, lub nie będzie transparentne wobec użytkownika — UODO może interweniować natychmiast.

Dla wielu firm testujących nowe rozwiązania AI bez wystarczającego zadbania o bezpieczeństwo i transparentność, to właśnie UODO okaże się pierwszym, niezwykle surowym recenzentem ich działań. Kary RODO sięgają do 20 milionów euro lub 4% globalnego obrotu — czyli są porównywalne z karami AI Act.

Jak się chronić w okresie prawnej niepewności?

Najbezpieczniejsza strategia jest prosta: jeśli publikujesz materiały wygenerowane przez AI, których człowiek mógłby nie rozpoznać — oznaczaj je wyraźnie i niezwłocznie.

Konkretne kroki:

1. Przeprowadź audyt treści — przejrzyj wszystkie materiały marketingowe, artykuły, komunikaty i grafiki, które powstały z udziałem AI
2. Dodaj wyraźne oznaczenia — na przykład „Tekst wygenerowany przez AI” lub „Zdjęcie wygenerowane sztuczną inteligencją” umieszczone na początku lub w widocznym miejscu
3. Dokumentuj procesy — jeśli treść została zweryfikowana przez człowieka, zachowaj dowody (e-maile, notatki redakcyjne, podpisy osób odpowiedzialnych)
4. Przeanalizuj bezpieczeństwo danych — upewnij się, że narzędzie AI nie narusza RODO (szczególnie jeśli przetwarzasz dane osobowe)
5. Monitoruj zmiany legislacyjne — śledzenie komunikatów UODO i przyszłych wytycznych KRiBSI

Czekanie na powołanie komisji nadzorczej nie jest strategią ochronną — to gra w rosyjską ruletkę. Prawo obowiązuje już teraz, a kary mogą być retroaktywne lub nałożone przez inne organy (UODO) zanim KRiBSI w ogóle się uruchomi.