Akt UE o sztucznej inteligencji wchodzi w życie w sierpniu 2026 r., przepisy dotyczące systemów wysokiego ryzyka opóźnione

Akt UE o sztucznej inteligencji oficjalnie obowiązuje, ale z haczykiem

Od początku sierpnia 2026 r. Akt UE o sztucznej inteligencji przestał być oczekującym aktem prawnym, a stał się zbiorem przepisów, których firmy muszą faktycznie przestrzegać. Najnowszy przegląd ochrony danych TechGDPR zwraca uwagę na ten kamień milowy, zaznaczając, że Akt stał się stosowany, podczas gdy przepisy dotyczące systemów sztucznej inteligencji wysokiego ryzyka pozostają tymczasowo wyłączone. Dla wszystkich, którzy śledzą, jak regulacje dotyczące AI łączą się z ochroną prywatności danych, jest to znaczący moment: prawo formalnie weszło w życie, ale jeden z jego najistotniejszych rozdziałów jest wstrzymany.

Akt o sztucznej inteligencji został zbudowany wokół podejścia opartego na analizie ryzyka. Systemy są klasyfikowane do kategorii – od minimalnego ryzyka po ryzyko niedopuszczalne – a obowiązki rosną wraz z poziomem ryzyka. Od systemów AI wysokiego ryzyka – stosowanych na przykład w rekrutacji, ocenie zdolności kredytowej, egzekwowaniu prawa czy diagnostyce medycznej – zawsze oczekiwano najwyższego poziomu zgodności: ocen zgodności, wymogów nadzoru ludzkiego i szczegółowej dokumentacji. Fakt, że te konkretne obowiązki są opóźniane, nawet gdy szersze przepisy wchodzą w życie, mówi wiele o tym, jak trudne było dla regulatorów i branży uzgodnienie harmonogramów wdrożenia najbardziej wymagających przepisów.

Dlaczego przepisy dotyczące AI wysokiego ryzyka są wstrzymane

Opóźnienie nie oznacza, że regulatorzy złagodzili swoje stanowisko w sprawie nadzoru nad sztuczną inteligencją. Odzwierciedla raczej praktyczną rzeczywistość wdrażania tak złożonego prawa. Organy normalizacyjne, krajowe organy regulacyjne i Komisja Europejska potrzebowały więcej czasu na sfinalizowanie specyfikacji technicznych, które musieliby spełnić dostawcy systemów AI wysokiego ryzyka. Zamiast zmuszać firmy do stosowania się do przepisów, które nie zostały jeszcze w pełni zdefiniowane, obowiązki związane z systemami wysokiego ryzyka zostały przesunięte, podczas gdy pozostała część Aktu – w tym przepisy o praktykach zakazanych i kompetencjach w zakresie sztucznej inteligencji – weszła w życie zgodnie z harmonogramem.

To stopniowe wdrażanie ma szczególne znaczenie dla specjalistów ds. ochrony danych. Wiele przypadków użycia AI wysokiego ryzyka – identyfikacja biometryczna, zautomatyzowane podejmowanie decyzji w zatrudnieniu czy udzielaniu kredytów – wiąże się z przetwarzaniem znacznej ilości danych osobowych. Kiedy termin wymaganej zgodności dla tych systemów się przesuwa, powstaje tymczasowa luka, w której zabezpieczenia specyficzne dla AI nie są jeszcze egzekwowalne, choć obowiązki wynikające z RODO dotyczące tych samych operacji przetwarzania danych pozostają w pełni w mocy. Organizacje nie mogą traktować opóźnienia jako ogólnego zwolnienia z obowiązku przestrzegania prywatności – dotyczy ono wyłącznie dodatkowej warstwy wymogów Aktu o AI dla kategorii wysokiego ryzyka.

Związek z RODO: prywatność nadal w centrum uwagi

Jedną z bardziej przydatnych kwestii do zrozumienia jest to, że Akt o AI nie zastępuje RODO, lecz funkcjonuje równolegle z nim. Każdy system AI, który przetwarza dane osobowe – niezależnie od tego, czy jest klasyfikowany jako wysokiego ryzyka, czy nie – musi spełniać wymogi obowiązującego prawa ochrony danych: podstawę prawną przetwarzania, przejrzystość wobec osób, których dane dotyczą, oraz zabezpieczenia przed nadużyciami. Akt o AI dodaje do tych fundamentów przepisy sektorowe i dostosowane do poziomu ryzyka.

To dwutorowe podejście nie jest charakterystyczne wyłącznie dla UE. Reżimy ochrony danych na całym świecie mierzą się z podobnymi pytaniami o to, jak regulować nowe technologie, nie pozostawiając luk w nadzorze. Na przykład regulator telekomunikacyjny Zimbabwe przygotowuje się do aktywnego egzekwowania własnej ustawy o ochronie danych od września 2026 r. – o tej zmianie pisaliśmy w naszym materiale na temat planów egzekwowania przepisów przez POTRAZ. Gdzie indziej propozycje, takie jak plan RPA, by powiązać rejestrację kart SIM z tożsamością cyfrową, wzbudziły podobne obawy o sposób wykorzystywania danych osobowych po ich zebraniu – temat, który zgłębialiśmy w naszej relacji z debaty o powiązaniu karty SIM z tożsamością w RPA. Różne regiony, różne mechanizmy, ale to samo podstawowe napięcie: technologia rozwija się szybciej niż przepisy, które mają ją regulować.

Co to oznacza dla Ciebie

Jeśli jesteś konsumentem, bezpośredni praktyczny wpływ jest ograniczony. Przepisy Aktu o AI dotyczące wysokiego ryzyka od zawsze były skierowane do firm i instytucji publicznych wdrażających systemy AI, a nie do indywidualnych użytkowników. Warto jednak obserwować szersze wdrażanie przepisów, ponieważ sygnalizuje ono, jak poważnie regulatorzy traktują przetwarzanie danych oparte na AI i ile pracy pozostało jeszcze do wykonania, zanim te zabezpieczenia zostaną w pełni wdrożone.

Jeśli pracujesz w firmie tworzącej lub wdrażającej narzędzia AI, które docierają do użytkowników w UE, opóźnienie obowiązków dotyczących wysokiego ryzyka nie oznacza, że możesz zwlekać z przygotowaniami. Regulatorzy wyrazili się jasno, że przesunięcie dotyczy harmonogramu wdrażania, a nie zmiany kierunku. Wyprzedzające zajęcie się dokumentacją, oceną ryzyka i zarządzaniem danymi będzie miało znaczenie, kiedy terminy dla systemów wysokiego ryzyka w końcu nadejdą.

Kluczowe wnioski

• Akt UE o sztucznej inteligencji stał się stosowany w sierpniu 2026 r., ale obowiązki dotyczące systemów AI wysokiego ryzyka zostały tymczasowo wyłączone do czasu sfinalizowania norm technicznych.
• Obowiązki wynikające z RODO nadal obowiązują w pełni, niezależnie od stopniowego wdrażania Aktu o AI, dlatego przetwarzanie danych związane z systemami AI nadal wymaga podstawy prawnej i przejrzystości.
• Firmy wdrażające AI w UE powinny traktować to opóźnienie jako czas na planowanie, a nie jako zwolnienie z obowiązku zgodności, i kontynuować przygotowania do przyszłych wymogów dotyczących wysokiego ryzyka.
• Obserwowanie, jak inne jurysdykcje – od Zimbabwe po RPA – radzą sobie z egzekwowaniem ochrony danych, dostarcza przydatnego kontekstu na temat tego, jak globalny impet regulacyjny wokół danych osobowych rozwija się równolegle z przepisami specyficznymi dla AI.