Co akt zbiorczy prawa cyfrowego dotyczący AI zmienia dla firm korzystających z AI (rozporządzenie (UE) 2026/1744)

Rozporządzenie (UE) 2026/1744 zmienia AI Act, czyli rozporządzenie (UE) 2024/1689, w 43 punktach. Tabela pokazuje zmiany istotne dla firmy, która korzysta z systemów AI i nie wytwarza produktów wysokiego ryzyka.

Art. 5 ust. 1 lit. ba) zakazuje „wprowadzania do obrotu, oddawania do użytku lub wykorzystywania systemu AI, który generuje realistyczne obrazy, materiały wideo, materiały dźwiękowe lub podobne materiały przedstawiające intymne części ciała możliwej do zidentyfikowania osoby fizycznej lub możliwą do zidentyfikowania osobę fizyczną podczas czynności o charakterze jednoznacznie seksualnym, lub manipuluje takimi obrazami czy materiałami, bez jej dobrowolnej, konkretnej, świadomej, jednoznacznej i wyraźnej zgody na takie generowanie lub manipulowanie”.

Lit. bb) zakazuje „wprowadzania do obrotu, oddawania do użytku lub wykorzystywania systemu AI, który generuje materiały lub przedstawienia w rozumieniu art. 2 lit. c) i e) dyrektywy 2011/93/UE oraz manipuluje nimi, z wyjątkiem sytuacji, w których na mocy prawa krajowego ma zastosowanie okoliczność wyłączająca bezprawność”. Dyrektywa 2011/93/UE to unijna dyrektywa w sprawie zwalczania niegodziwego traktowania w celach seksualnych i wykorzystywania seksualnego dzieci oraz pornografii dziecięcej.

Dla firmy korzystającej z AI kluczowa jest reguła dla podmiotów stosujących w art. 5 ust. 1a lit. b): „wykorzystywanie systemu AI, który generuje materiały lub przedstawienia, o których mowa w ust. 1 akapit pierwszy lit. ba) i bb), lub manipuluje nimi, jest zabronione wyłącznie w przypadku, gdy podmiot stosujący wykorzystuje system do generowania takich materiałów lub przedstawień lub manipulowania nimi.” Art. 5 ust. 1b dodaje, że manipulacja, która nie zwiększa ekspozycji przedstawionych intymnych części ciała ani nie zmienia charakteru przedstawionych czynności seksualnych, nie stanowi manipulacji w rozumieniu lit. ba).

Termin wynika ze zmienionego art. 113 akapit trzeci lit. a): „Rozdziały I i II stosuje się od dnia 2 lutego 2025 r., z wyjątkiem art. 5 ust. 1 akapit pierwszy lit. ba) i bb) oraz art. 5 ust. 1a i 1b, które stosuje się od dnia 2 grudnia 2026 r.” Za naruszenie zakazu z art. 5 grozi administracyjna kara pieniężna do 35 mln EUR lub do 7% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa (art. 99 ust. 3, bez zmian). Dla MŚP, a teraz także małych spółek o średniej kapitalizacji, stosuje się niższą kwotę.

Pokrewny obowiązek już obowiązuje. Od 2 sierpnia 2026 r. art. 50 ust. 4 stanowi: „Podmioty stosujące system AI, który generuje obrazy, treści audio lub wideo stanowiące treści deepfake lub który manipuluje takimi obrazami lub treściami, ujawniają, że treści te zostały sztucznie wygenerowane lub zmanipulowane.”

Art. 4 został zastąpiony. Dostawcy i podmioty stosujące nadal podejmują środki wspierające kompetencje w zakresie AI swojego personelu i innych osób działających w ich imieniu, a art. 4 ust. 1 kończy się teraz zdaniem: „Taki obowiązek nie oznacza, że dostawcy lub podmioty mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby.” Wcześniejsze brzmienie, zgodnie z którym odpowiedni poziom kompetencji należało zapewnić „w możliwie największym stopniu”, zniknęło.

Czego obowiązek wymaga dziś, czego oczekują pytania i odpowiedzi Komisji oraz listę kontrolną z rejestrem szkoleń znajdziecie na stronie o kompetencjach w zakresie AI według art. 4. Nowe zakazy powinny trafić do tego szkolenia: osoby generujące obrazy, wideo lub dźwięk muszą wiedzieć, co jest zakazane.

Art. 26, obowiązki podmiotów stosujących systemy AI wysokiego ryzyka. Żaden punkt rozporządzenia 2026/1744 go nie zmienia. Podmioty stosujące wykorzystują system zgodnie z instrukcją obsługi, powierzają nadzór ze strony człowieka osobom o niezbędnych kompetencjach, przeszkoleniu i uprawnieniach (art. 26 ust. 2), monitorują system, przechowują kontrolowane przez siebie rejestry zdarzeń przez co najmniej sześć miesięcy (art. 26 ust. 6) i informują pracowników przed wykorzystaniem systemu wysokiego ryzyka w miejscu pracy. Przesunęła się tylko data rozpoczęcia, przez art. 113.

Obowiązki w zakresie przejrzystości z art. 50. Zastąpiono tylko art. 50 ust. 7, dotyczący kodeksów praktyk. Ujawnianie treści deepfake z ust. 4 i obowiązek oznaczania z ust. 2 brzmią jak wcześniej.

Pierwotne zakazane praktyki z art. 5 ust. 1 lit. a)–h), stosowane od 2 lutego 2025 r., definicje podmiotu stosującego (art. 3 pkt 4) i kompetencji w zakresie AI (art. 3 pkt 56), wykaz zastosowań wysokiego ryzyka w załączniku III oraz górny pułap kar za zakazane praktyki w art. 99 ust. 3.

Jak te obowiązki dotyczą firmy korzystającej z modeli LLM, opisujemy na stronie o obowiązkach firm według AI Act.

Nowe zakazy stosuje się od 2 grudnia 2026 r. Te kroki pasują do dokumentów, które większość firm już prowadzi.

Zasady korzystania łatwiej utrzymać, gdy dostęp do modeli przechodzi przez jedno miejsce. Standard Compute to jeden ze sposobów na to dla API modeli, Claude Code i Claude Desktop: każda osoba i każda aplikacja dostaje własny klucz API, wszystko w ramach jednego konta firmowego. Zdecydujcie, z których modeli może korzystać każdy klucz, aby każda aplikacja i każdy członek zespołu dostawał dokładnie te modele, które zatwierdzacie.

Wybierzcie dokładnie, którzy dostawcy mogą przetwarzać Wasze dane, dla całej firmy, zespołu lub pojedynczego klucza. Każda zmiana administratora trafia do dziennika audytu z wartością przed i po, dzięki czemu zapis tego, kto mógł korzystać z którego modelu, leży obok Waszej polityki.

Te ustawienia decydują, z których modeli i dostawców można korzystać. Nie sprawdzają promptów ani wyników i nie czynią żadnego wykorzystania zgodnym z prawem.