Rozporządzenie AI: harmonogram terminów od 2024 do 2030
Każda data stosowania rozporządzenia AI od 2024 do 2030 roku wraz z artykułem, kogo dotyczy, i poziomami kar.
Rozporządzenie AI stosuje się etapami do dostawców i podmiotów wdrażających systemy AI w UE. Osiem zakazów obowiązuje od 2 lutego 2025, dwa kolejne od 2 grudnia 2026.
Obowiązki w zakresie przejrzystości obowiązują od 2 sierpnia 2026. Przepisy o wysokim ryzyku obowiązują od 2 grudnia 2027 (załącznik III) i od 2 sierpnia 2028 (załącznik I). Systemy wysokiego ryzyka już wprowadzone do obrotu lub oddane do użytku podlegają rozporządzeniu dopiero po istotnych zmianach projektu (art. 111 ust. 2). Kary za naruszenie obowiązków wymienionych w art. 99 ust. 4 sięgają 15 mln EUR lub 3 % całkowitego rocznego światowego obrotu. Obowiązuje wyższa kwota. Następny krok: znajdź poniżej datę swojego systemu.
Każda data uruchamia inną część rozporządzenia
1 sierpnia 2024
Rozporządzenie wchodzi w życie
Rozporządzenie weszło w życie dwudziestego dnia po opublikowaniu w Dzienniku Urzędowym (art. 113). Jego obowiązki stosuje się od późniejszych dat poniżej.
2 lutego 2025
Obowiązują zakazy i kompetencje w zakresie AI
Obowiązują rozdziały I i II. Zawierają zakazy z art. 5, z wyjątkiem lit. ba) i bb) oraz art. 5 ust. 1a i 1b, oraz obowiązek z art. 4, by dostawcy i podmioty wdrażające wspierali kompetencje w zakresie AI (umiejętności i zrozumienie) swojego personelu (art. 113 lit. a).
2 sierpnia 2025
Obowiązują przepisy o modelach GPAI, zarządzaniu i karach
Obowiązują przepisy dla dostawców modeli GPAI (rozdział V, art. 51–56), jednostek notyfikowanych, zarządzania (rozdział VII), kar (rozdział XII, z wyjątkiem art. 101) oraz art. 78 o poufności (art. 113 lit. b).
2 sierpnia 2026
Obowiązki w zakresie przejrzystości i ogólna data stosowania
Wszystkie przepisy bez innej daty obowiązują od tego dnia (art. 113). Należą do nich obowiązki w zakresie przejrzystości z art. 50: informowanie osób, że wchodzą w interakcję z systemem AI, oznaczanie treści syntetycznych i ujawnianie deepfake’ów. Komisja może od tego dnia nakładać kary na dostawców GPAI na podstawie art. 101. Art. 102–110, zmieniające inne akty Unii, obowiązują wcześniej, od 27 lipca 2026 (art. 113 lit. d).
2 grudnia 2026
Dwa nowe zakazy i termin oznaczania dla starszych systemów
Obowiązują dwa nowe zakazy z art. 5, lit. ba) i bb), wraz z art. 5 ust. 1a i 1b (art. 113 lit. a). Dostawcy systemów AI generujących syntetyczne treści audio, obrazu, wideo lub tekstu, które wprowadzono do obrotu przed 2 sierpnia 2026, muszą do tego dnia podjąć niezbędne kroki, by spełnić obowiązek oznaczania w formacie nadającym się do odczytu maszynowego z art. 50 ust. 2 (art. 111 ust. 4).
2 sierpnia 2027
Starsze modele GPAI muszą spełniać wymogi
Dostawcy modeli GPAI wprowadzonych do obrotu przed 2 sierpnia 2025 muszą do tego dnia podjąć niezbędne kroki, by spełnić wymogi rozporządzenia (art. 111 ust. 3). Państwa członkowskie muszą też mieć co najmniej jedną działającą piaskownicę regulacyjną w zakresie AI (art. 57 ust. 1).
2 grudnia 2027
Przepisy o wysokim ryzyku obowiązują dla systemów z załącznika III
Artykuły 6–27 (rozdział III, sekcje 1–3, z wyjątkiem art. 6 ust. 5) stosuje się do systemów AI wysokiego ryzyka na podstawie art. 6 ust. 2 i załącznika III (art. 113 lit. c) ppkt (i)). Określają one wymogi dla systemów wysokiego ryzyka (art. 8–15) oraz obowiązki dostawców, podmiotów wdrażających i innych stron (art. 16–27).
2 sierpnia 2028
Przepisy o wysokim ryzyku obowiązują dla produktów z załącznika I
Te same artykuły stosuje się do systemów AI wysokiego ryzyka na podstawie art. 6 ust. 1, ponieważ są one produktami objętymi aktami z załącznika I lub elementami zabezpieczającymi takich produktów (art. 113 lit. c) ppkt (ii)). Do produktów z załącznika I sekcja B stosuje się tylko art. 6 ust. 1, art. 60a oraz art. 102–112, a art. 57–59 tylko w zakresie, w jakim wymogi dla systemów wysokiego ryzyka włączono do tych przepisów (art. 2 ust. 2). W przypadku produktów z załącznika I sekcja A niektóre wymogi mogą zostać ograniczone, gdy te przepisy zapewniają równoważny lub wyższy poziom ochrony (art. 2 ust. 13).
2 sierpnia 2030
Systemy wysokiego ryzyka dla organów publicznych: niezbędne kroki w celu spełnienia wymogów
W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą do tego dnia podjąć niezbędne kroki, aby spełnić wymogi. Przepis należy do ustępu o systemach wprowadzonych do obrotu lub oddanych do użytku przed podanymi wyżej datami dla systemów wysokiego ryzyka (art. 111 ust. 2).
31 grudnia 2030
Wielkoskalowe systemy informatyczne UE muszą spełniać wymogi
Systemy AI będące elementami wielkoskalowych systemów informatycznych wymienionych w załączniku X, wprowadzone do obrotu lub oddane do użytku przed 2 sierpnia 2027, muszą do tego dnia spełnić wymogi rozporządzenia (art. 111 ust. 1).
Dostawcy, podmioty wdrażające, importerzy, dystrybutorzy i dostawcy modeli mają odrębne obowiązki
Dostawcy
Dostawcy opracowują system AI lub zlecają jego opracowanie i wprowadzają go do obrotu lub oddają do użytku pod własną nazwą (art. 3 pkt 3). W przypadku systemów wysokiego ryzyka ponoszą główne obowiązki: zarządzanie ryzykiem, dokumentacja techniczna, ocena zgodności i monitorowanie po wprowadzeniu do obrotu (art. 9–17, 43 i 72).
Podmioty wdrażające
Podmioty wdrażające używają systemu AI pod własnym nadzorem, z wyjątkiem użycia w ramach osobistej działalności o charakterze nieprofesjonalnym (art. 3 pkt 4). W przypadku systemów wysokiego ryzyka muszą stosować się do instrukcji obsługi, powierzyć nadzór ludzki osobom, monitorować działanie oraz przechowywać logi pozostające pod ich kontrolą przez okres odpowiedni do przeznaczenia, co najmniej sześć miesięcy, chyba że prawo Unii lub krajowe stanowi inaczej. Pracodawcy muszą poinformować przedstawicieli pracowników i pracowników, których dotyczy system, przed jego użyciem w miejscu pracy (art. 26). Podmioty publiczne i niektóre inne podmioty wdrażające muszą ponadto wcześniej ocenić skutki dla praw podstawowych (art. 27).
Importerzy i dystrybutorzy
Importerzy wprowadzają do obrotu w UE system AI opatrzony nazwą lub znakiem towarowym osoby mającej siedzibę w państwie trzecim. Dystrybutorzy udostępniają system dalej w łańcuchu dostaw (art. 3 pkt 6 i 7). Zanim zrobią to w przypadku systemu AI wysokiego ryzyka, obaj sprawdzają oznakowanie CE, unijną deklarację zgodności i instrukcję obsługi. Importerzy sprawdzają też ocenę zgodności i dokumentację techniczną (art. 23 i 24).
Kary mają trzy poziomy, z niższym limitem dla MŚP
Do 35 mln EUR lub 7 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa
Za zakazane praktyki z art. 5 (art. 99 ust. 3).
Do 15 mln EUR lub 3 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa
Za naruszenie obowiązków dostawców (art. 16), upoważnionych przedstawicieli (art. 22), importerów (art. 23), dystrybutorów (art. 24), dostawców i operatorów na podstawie art. 25 ust. 2 i 4 oraz podmiotów wdrażających (art. 26). Także za naruszenie obowiązków w zakresie przejrzystości z art. 50 i wymogów dla jednostek notyfikowanych na podstawie art. 31, art. 33 ust. 1, 3 i 4 oraz art. 34 (art. 99 ust. 4). Komisja może nakładać na dostawców modeli GPAI kary do tego samego poziomu (art. 101).
Do 7,5 mln EUR lub 1 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa
Za podanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji jednostkom notyfikowanym lub organom krajowym w odpowiedzi na żądanie (art. 99 ust. 5).
Do niższej z dwóch kwot
Dla MŚP, w tym start-upów, każda kara wynosi najwyżej niższą z wartości: procentowej albo kwotowej (art. 99 ust. 6). Małe spółki o średniej kapitalizacji (firmy, które przestały spełniać definicję MŚP) mają tę samą zasadę dla dwóch niższych poziomów (art. 99 ust. 6a).
Najczęściej zadawane pytania
Czy rozporządzenie AI dotyczy firm spoza UE?
Tak. Art. 2 ust. 1 obejmuje dostawców, którzy wprowadzają do obrotu w UE systemy AI lub modele AI ogólnego przeznaczenia, bez względu na miejsce ich siedziby (lit. a), oraz dostawców i podmioty wdrażające w państwie trzecim, gdy wyniki systemu są wykorzystywane w UE (lit. c). Obejmuje też importerów, dystrybutorów, producentów produktów i upoważnionych przedstawicieli (lit. d–f). Art. 2 wyznacza granice, na przykład dla zastosowań wojskowych, obronnych i związanych z bezpieczeństwem narodowym (ust. 3) oraz badań naukowych (ust. 6 i 8).
Co jeśli mój system AI jest już na rynku?
Zakazy z art. 5 dotyczą wszystkich systemów, niezależnie od tego, kiedy wprowadzono je do obrotu. System wysokiego ryzyka wprowadzony do obrotu lub oddany do użytku przed 2 grudnia 2027 (załącznik III) lub 2 sierpnia 2028 (załącznik I) podlega rozporządzeniu tylko wtedy, gdy od tej daty jego projekt ulegnie istotnym zmianom. Nie dotyczy to komponentów wielkoskalowych systemów informatycznych z załącznika X (art. 111 ust. 1 i 2). W każdym razie dostawcy i podmioty wdrażające systemy AI wysokiego ryzyka przeznaczone do wykorzystywania przez organy publiczne muszą podjąć niezbędne kroki, aby spełnić wymogi do 2 sierpnia 2030. Modele GPAI wprowadzone do obrotu przed 2 sierpnia 2025 muszą je spełnić do 2 sierpnia 2027 (art. 111 ust. 3). Systemy treści syntetycznych wprowadzone do obrotu przed 2 sierpnia 2026 muszą spełnić art. 50 ust. 2 do 2 grudnia 2026 (art. 111 ust. 4).
Jaki termin dotyczy mojego systemu AI?
To zależy od systemu. Zakazane praktyki: 2 lutego 2025, z dwoma nowymi zakazami od 2 grudnia 2026. Modele GPAI: 2 sierpnia 2025. Obowiązki w zakresie przejrzystości z art. 50: 2 sierpnia 2026. Systemy wysokiego ryzyka z załącznika III: 2 grudnia 2027. Systemy wysokiego ryzyka z załącznika I: 2 sierpnia 2028. Rozporządzenie (UE) 2026/1744 przesunęło obie daty dla systemów wysokiego ryzyka z 2 sierpnia 2026 (załącznik III) i 2 sierpnia 2027 (załącznik I) na daty podane wyżej.
Scanara przygotowuje dowody na podstawie Państwa repozytoriów
Scanara odczytuje połączone repozytoria GitHub i uruchamia skany oparte na regułach pod kątem typowych wzorców AI i uczenia maszynowego. Może pominąć kod niestandardowy. Osobno generuje projekty dokumentacji na podstawie szablonów i Państwa odpowiedzi w ocenach, jako dowody dla Państwa pracy nad zgodnością. Klasyfikację ustalają Państwo.