AI Act: przesunięcie terminu dla systemów wysokiego ryzyka to nie wytchnienie

W pierwotnym harmonogramie AI Act 2 sierpnia 2026 roku miał oznaczać wejście w życie większości obowiązków dotyczących systemów wysokiego ryzyka: udokumentowanego zarządzania ryzykiem, zarządzania danymi treningowymi, dokumentacji technicznej, nadzoru ludzkiego oraz wpisu do europejskiej bazy danych. Stawką były sankcje sięgające 15 milionów euro lub 3% światowego obrotu.

Następnie pakiet uproszczeń Digital Omnibus przeszedł z porozumienia politycznego do obowiązującego prawa: rozporządzenie (UE) 2026/1744, opublikowane w Dzienniku Urzędowym 24 lipca i obowiązujące od 27 lipca 2026 roku, przesuwa te obowiązki na 2 grudnia 2027 roku dla systemów z załącznika III oraz na sierpień 2028 roku dla systemów wysokiego ryzyka wbudowanych w produkty objęte regulacją.

Niedawna historia regulacyjna już odegrała tę scenę. RODO pozostawiło dwa lata między przyjęciem a wejściem w życie; część organizacji wykorzystała ten czas na zbudowanie swojego systemu, inne po prostu go przeczekały. W maju 2018 roku pierwsze były gotowe, drugie improwizowały w pośpiechu, a niektóre improwizują do dziś.

Przesunięcie terminu regulacyjnego nigdy nie jest zyskanym czasem: to czas przydzielony. Pytanie nie brzmi „kiedy przypada termin”, lecz „co trzeba zbudować do tego czasu”, ponieważ treść obowiązków się nie zmienia: inwentaryzacja systemów, kwalifikacja ryzyka, zarządzanie, dokumentacja, dowody zgodności.

Załącznik III obejmuje zastosowania, które wiele organizacji stosuje, nie zdając sobie z tego sprawy: selekcja kandydatów i decyzje kadrowe, scoring kredytowy, dostęp do edukacji, biometria, zarządzanie infrastrukturą krytyczną, kluczowe usługi publiczne. Obowiązki nie spoczywają wyłącznie na dostawcach tych systemów: podmioty stosujące, czyli organizacje, które z nich korzystają, mają własne obowiązki, od nadzoru ludzkiego po monitorowanie działania systemu.

Wiele przedsiębiorstw jest więc podmiotami stosującymi systemy wysokiego ryzyka, nie zdając sobie z tego sprawy, poprzez narzędzie kadrowe czy moduł scoringowy kupiony gotowy do użycia. Pierwsze pytanie nie ma charakteru prawnego, lecz faktyczny: jakie systemy, kupione czy zbudowane we własnym zakresie, naprawdę funkcjonują w Państwa organizacji i do jakich celów są wykorzystywane?

Dyskusja o przesunięciu terminu nie powinna przesłaniać najważniejszego: część rozporządzenia obowiązuje już dziś. Zakazane praktyki, od scoringu społecznego po niektóre formy identyfikacji biometrycznej, obowiązują od lutego 2025 roku. Obowiązki przejrzystości dla modeli ogólnego przeznaczenia obowiązują od sierpnia 2025 roku. Wymóg kompetencji w zakresie AI wśród zespołów dotyczy już każdego pracodawcy wdrażającego takie systemy. Co do przejrzystości z artykułu 50, obowiązującej od 2 sierpnia 2026 roku, Komisja przyjęła 20 lipca ostateczne wytyczne: systemy konwersacyjne muszą ujawniać swój charakter już od pierwszej wymiany, treści generowane muszą być oznaczone w formacie odczytywalnym maszynowo, bez mocy wstecznej dla treści powstałych wcześniej.

Innymi słowy, omawiane przesunięcie dotyczy wyłącznie bloku wysokiego ryzyka, natomiast fundament przepisów już obowiązuje. Organizacja, która czeka na „wyjaśnienie harmonogramu”, zanim się tym zajmie, jest już opóźniona względem ustabilizowanej części przepisów.

Racjonalne podejście nie zmienia się więc ani o jotę: zmapować swoje zastosowania AI, w tym te wprowadzane poprzez narzędzia rynkowe; zmierzyć poziom dojrzałości zarządzania w oparciu o uporządkowany model referencyjny; i przełożyć stwierdzone luki na plan działania z wyznaczonymi terminami, dostosowany do ostatecznie przyjętego harmonogramu. Ci, którzy mierzą już dziś, sami wybiorą swoje tempo; ci, którzy czekają na ostateczny tekst, będą musieli poddać się jego tempu.

Nasz katalog zawiera 19 modeli referencyjnych w obszarze danych i AI, które wspierają tę trajektorię, od ram zarządzania po szczegółowe wymogi regulacyjne. Harmonogram może się jeszcze zmienić, natomiast Państwa punkt wyjścia można poznać już teraz.