AI Act — obowiązki GPAI już obowiązują

2 sierpnia 2025 — druga fala obowiązków AI Act

Rozporządzenie AI Act weszło w życie 1 sierpnia 2024 r., ale jego przepisy są wdrażane stopniowo. 2 sierpnia 2025 r. zaczęła obowiązywać druga fala obowiązków — dotycząca dostawców modeli AI ogólnego przeznaczenia (GPAI), krajowych struktur zarządczych i ram sankcyjnych.

Co zmieniło się od 2 sierpnia 2025?

• Obowiązki dostawców GPAI: wymóg prowadzenia dokumentacji technicznej, wdrożenia środków przejrzystości i zgodności z prawem autorskim
• Modele o ryzyku systemowym: dodatkowe obowiązki: testy adversarialne, śledzenie incydentów, środki cyberbezpieczeństwa
• Rada ds. AI operacyjna: unijny organ koordynacyjny rozpoczął aktywną pracę
• Wyznaczenie organów krajowych: państwa członkowskie musiały wskazać właściwe organy (nadzór rynku + organ notyfikujący)
• Ramy sankcyjne: przepisy o karach za naruszenia GPAI już obowiązują

Kogo to dotyczy?

Obowiązki GPAI obejmują dostawców modeli wykazujących „znaczną ogólność" i zdolnych do wykonywania szerokiego zakresu odrębnych zadań. W praktyce dotyczy to dużych modeli językowych (LLM), modeli multimodalnych i modeli bazowych wykorzystywanych w wielu zastosowaniach.

Co istotne, jeśli Twoja firma wdraża produkty oparte na GPAI (np. integruje LLM w swoim SaaS), możesz mieć pośrednie obowiązki compliance — zwłaszcza jeśli modyfikujesz model lub używasz go w kontekstach wysokiego ryzyka.

Kluczowe obowiązki dostawców GPAI

• Dokumentacja techniczna: szczegółowe zapisy metodologii treningu, zarządzania danymi, benchmarków wydajności
• Przejrzystość wobec dostawców dalszych: wystarczające informacje, by wdrażający rozumieli możliwości i ograniczenia
• Polityka zgodności z prawem autorskim: udokumentowane podejście do poszanowania prawa autorskiego UE w danych treningowych
• Publiczne podsumowanie danych treningowych: podsumowanie według szablonu AI Office

Co dalej — sierpień 2026

Główne wydarzenie jest jeszcze przed nami. 2 sierpnia 2026 r. zacznie obowiązywać większość AI Act:

• Systemy AI wysokiego ryzyka (Załącznik III) — identyfikacja biometryczna, ocena zdolności kredytowej, selekcja w zatrudnieniu, infrastruktura krytyczna
• Obowiązki przejrzystości — ujawnianie chatbotów, etykietowanie deepfake, oznaczanie treści generowanych przez AI
• Pełne uprawnienia egzekucyjne — w tym sankcje na poziomie krajowym
• Piaskownice regulacyjne — minimum jedna w każdym państwie członkowskim

Praktyczne rekomendacje

1. Zmapuj swój inwentarz AI: zidentyfikuj wszystkie systemy AI, które Twoja firma rozwija, wdraża lub importuje
2. Sklasyfikuj poziomy ryzyka: określ, które systemy mogą wchodzić w kategorie wysokiego ryzyka (Załącznik III)
3. Zacznij dokumentację teraz: wymagania dot. dokumentacji technicznej są szczegółowe; wczesne przygotowanie jest kluczowe
4. Monitoruj Digital Omnibus: propozycja uproszczenia Komisji może zmodyfikować niektóre wymagania
5. Zapewnij alfabetyzację AI: obowiązki szkolenia personelu obowiązują już od lutego 2025

Potrzebujesz pomocy w ocenie ekspozycji na AI Act? Umów bezpłatną konsultację.