Bruksela bierze pod lupę AI. Nowe obowiązki dla firm, które jej używają m.in. w rekrutacji

Jeszcze kilka lat temu sztuczna inteligencja rozwijała się szybciej niż prawo. Dziś Unia Europejska próbuje odwrócić ten trend. Od 2 sierpnia w Brukseli rozpoczął działalność Europejski Urząd ds. Sztucznej Inteligencji (AI Office), który – wspólnie z krajowymi organami nadzoru – otrzymał uprawnienia do kontrolowania największych modeli AI, prowadzenia dochodzeń, żądania dostępu do modeli, a w skrajnych przypadkach nawet zakazania ich działania na unijnym rynku.

To pierwszy na świecie urząd dysponujący tak szerokimi kompetencjami wobec twórców generatywnej sztucznej inteligencji. W praktyce oznacza to, że firmy takie jak OpenAI, Google DeepMind, Anthropic, xAI Elona Muska czy chińskie DeepSeek i Moonshot po raz pierwszy znalazły się pod stałym nadzorem regulatora.

Pytanie brzmi jednak, czy w ogóle da się kontrolować technologię rozwijającą się szybciej niż ustawodawstwo. I czy Europa nie ryzykuje, że jako pierwsza stworzy najbardziej rygorystyczny system nadzoru nad AI, podczas gdy reszta świata będzie przede wszystkim inwestować w jej rozwój.

Europa tworzy pierwszego globalnego regulatora AI

Europejski AI Office powstał formalnie w 2024 r., ale dopiero od sierpnia 2026 r. uzyskał realne kompetencje kontrolne. To stosunkowo niewielki zespół – liczący obecnie około 40 ekspertów – jednak jego możliwości są znacznie większe, niż sugerowałaby liczebność.

Urząd może:

• prowadzić dochodzenia wobec dostawców najbardziej zaawansowanych modeli AI,
• żądać dokumentacji technicznej,
• domagać się dostępu do modeli jeszcze przed ich komercjalizacją,
• nakazywać usunięcie zagrożeń,
• ograniczyć lub zakazać udostępniania modelu na rynku UE,
• nakładać wielomilionowe kary finansowe.

Za nadzór naukowy odpowiada m.in. prof. Alessandro Abate z Uniwersytetu Oksfordzkiego, specjalista od bezpieczeństwa systemów AI. Komisja powołała również niezależny panel 60 ekspertów wspierających dochodzenia.

Chatbot musi się przedstawić

Pierwsze przepisy obowiązujące od 2 sierpnia wydają się proste, ale mogą zmienić codzienne korzystanie z AI. Każdy chatbot będzie musiał poinformować użytkownika, że rozmawia z maszyną. Deepfake'i – zarówno obrazy, jak i nagrania audio czy wideo – będą musiały zostać wyraźnie oznaczone. Treści wygenerowane przez AI mają zawierać specjalny znacznik umożliwiający ich automatyczne wykrywanie. Bruksela chce ograniczyć manipulację i dezinformację, ale także przygotować grunt pod przyszłe regulacje dotyczące wyborów, cyberbezpieczeństwa i ochrony konsumentów

– Sztuczna inteligencja jest technologią o przełomowym znaczeniu, która może przynieść ogromne korzyści zarówno obywatelom, jak i przedsiębiorstwom. Widzimy jednak również, że jeśli AI nie jest właściwie projektowana i wykorzystywana, a najbardziej zaawansowane modele stwarzają zagrożenia na niespotykaną dotąd skalę, może prowadzić do poważnych szkód. Europa odpowiednio wcześnie dostrzegła te wyzwania. Dzięki Aktowi o sztucznej inteligencji stworzyliśmy jasne, trwałe i oparte na analizie ryzyka ramy prawne dla godnej zaufania AI. Zapewniają one innowatorom pewność prawa, a jednocześnie chronią interes publiczny. Rozpoczęcie egzekwowania tych przepisów to ważny krok na drodze do stworzenia sztucznej inteligencji, którą obywatele i przedsiębiorcy będą mogli rozumieć i której będą mogli zaufać, a korzyści z jej rozwoju będą odczuwalne dla całego

Kiedy AI staje się zagrożeniem

AI Act opiera się na zasadzie oceny ryzyka. Najbardziej restrykcyjnie traktowane są tzw. modele ogólnego przeznaczenia (General Purpose AI), czyli fundament współczesnych chatbotów i agentów AI. Komisja uznała, że największe ryzyka dotyczą czterech obszarów:

• wykorzystania AI do projektowania broni chemicznej lub biologicznej,
• przeprowadzenia cyberataków,
• utraty kontroli nad autonomicznym systemem,
• masowej manipulacji społeczeństwem.

Do tego dochodzą nowe zagrożenia wskazywane przez ekspertów, takie jak autonomiczne działanie agentów AI poza kontrolą człowieka czy wykorzystywanie modeli do ataków na infrastrukturę krytyczną.

Jeżeli Komisja uzna, że producent nie ogranicza tych ryzyk, może zażądać zmian w modelu albo wycofania go z rynku.

35 mln euro albo 7 proc. światowych przychodów

System kar należy do najbardziej restrykcyjnych na świecie. Najwyższe sankcje – do 35 mln euro lub 7 proc. globalnego obrotu – grożą za stosowanie zakazanych praktyk, np. systemów manipulujących ludźmi, wykorzystujących ich słabości czy analizujących emocje kandydatów podczas rekrutacji.

Za naruszenie innych obowiązków – np. odmowę współpracy z Komisją, brak dokumentacji lub niewdrożenie wymaganych środków bezpieczeństwa – grożą kary do 15 mln euro lub 3 proc. światowego obrotu.

Eksperci podkreślają jednak, że są to maksymalne pułapy. Wysokość sankcji będzie zależeć od skali naruszenia, współpracy firmy z organami nadzoru oraz potencjalnych skutków dla obywateli.

Rekrutacja pod lupą

Jednym z najbardziej kontrowersyjnych obszarów jest wykorzystanie AI przy zatrudnianiu pracowników. Algorytmy analizujące CV, oceniające kandydatów czy przyznające im punktację pozostają w kategorii systemów wysokiego ryzyka.

Jednak – co często pomijano w medialnych doniesieniach – pełne obowiązki dla takich systemów zaczną obowiązywać dopiero 2 grudnia 2027 r. po przesunięciu terminu przez pakiet AI Omnibus. Nie oznacza to jednak pełnej swobody.

Już dziś firmy muszą informować kandydatów, jeśli kontaktują się oni z chatbotem, szkolić pracowników korzystających z AI oraz przestrzegać przepisów RODO i prawa pracy. Zakazane pozostaje wykorzystywanie systemów analizujących emocje kandydatów podczas rozmów kwalifikacyjnych na podstawie mimiki, tonu głosu czy danych biometrycznych.

W praktyce oznacza to, że modne kilka lat temu narzędzia obiecujące ocenę motywacji, uczciwości czy zaangażowania kandydata na podstawie nagrania wideo mogą całkowicie zniknąć z europejskiego rynku.

Firmy czeka nowy obowiązek: inwentaryzacja AI

Paradoksalnie największym wyzwaniem nie będą same kary. Większość przedsiębiorstw nie wie dziś dokładnie, ile narzędzi AI wykorzystują poszczególne działy. Eksperci radzą rozpocząć od prostego audytu:

• gdzie wykorzystywana jest AI,
• jakie dane przetwarza,
• czy podejmuje decyzje wpływające na ludzi,
• kto odpowiada za jej działanie – producent czy firma wdrażająca.

To właśnie taki spis AI staje się pierwszym obowiązkiem przedsiębiorstw, zanim zaczną obowiązywać najbardziej wymagające przepisy.

Europa kontra reszta świata

UE obrała drogę regulacji. Stany Zjednoczone stawiają przede wszystkim na konkurencyjność i dobrowolne zobowiązania firm. Nie istnieje tam odpowiednik europejskiego AI Office, a nadzór jest rozproszony między agencje federalne oraz poszczególne stany. Kalifornia, Kolorado czy Nowy Jork przyjmują własne przepisy dotyczące algorytmów i automatycznego podejmowania decyzji, jednak jednolitego systemu federalnego nadal brak.

Wielka Brytania również zrezygnowała z tworzenia jednego regulatora AI. Rząd powierzył nadzór istniejącym instytucjom – od urzędu ochrony danych po regulatorów rynku finansowego i ochrony konkurencji – stawiając na elastyczne wytyczne zamiast jednego kompleksowego aktu prawnego.

Chiny przyjęły zupełnie inny model. Państwo bardzo szczegółowo reguluje generatywną AI, wymaga rejestracji części modeli, kontroli treści oraz zgodności z wymogami bezpieczeństwa narodowego. Tam jednak głównym celem jest kontrola informacji i stabilności państwa, a nie przede wszystkim ochrona praw obywatelskich.

Kanada nadal pracuje nad własną ustawą o AI, natomiast Japonia i Korea Południowa preferują miękkie regulacje oraz współpracę z przemysłem.

Zdaniem eksperta

Jasne zasady AI

Europa nie próbuje zatrzymać rozwoju sztucznej inteligencji. Próbuje sprawić, by najbardziej wpływowe systemy AI działały według jasnych zasad. Tam, gdzie algorytmy decydują o pracy, kredycie czy dostępie do usług publicznych, przejrzystość i możliwość kontroli stają się warunkiem zaufania.

Jimmy Farrell, ekspert ds. polityki AI z think tanku Pour Demain.

Czy AI naprawdę da się kontrolować?

To pytanie coraz częściej zadają również sami eksperci. Największe modele uczą się na bilionach danych, rozwijają nowe zdolności praktycznie z miesiąca na miesiąc, a ich twórcy inwestują dziesiątki miliardów dolarów rocznie. Regulator zatrudniający kilkudziesięciu ekspertów będzie musiał nadzorować firmy dysponujące tysiącami inżynierów i budżetami większymi niż PKB wielu państw.

Dlatego wielu analityków uważa, że AI Office nie będzie w stanie kontrolować każdej wersji modeli. Jego siłą ma być jednak możliwość prowadzenia niezależnych audytów, wymuszania przejrzystości oraz tworzenia standardów bezpieczeństwa, które z czasem mogą zostać przejęte także poza Europą.

Podobny mechanizm zadziałał wcześniej z RODO. Początkowo krytykowane przepisy dotyczące ochrony danych osobowych stały się globalnym punktem odniesienia dla wielu państw i przedsiębiorstw.

Bruksela chce zostać światowym arbitrem AI

Historia europejskiej polityki cyfrowej pokazuje pewną prawidłowość. UE rzadko wygrywa wyścig technologiczny, ale często wygrywa wyścig regulacyjny. Tak było z RODO, ustawą o usługach cyfrowych (DSA) czy ustawą o rynkach cyfrowych (DMA). Teraz podobny scenariusz ma dotyczyć sztucznej inteligencji.

Pytanie, czy Europa ponownie narzuci światu własne standardy i ochroni konsumentów, czy też nadmierna regulacja okaże się hamulcem dla europejskich innowatorów.

Główne wnioski

1.  Europejski AI Office od sierpnia 2026 r. uzyskał realne kompetencje kontrolne. Urząd może: prowadzić dochodzenia wobec dostawców najbardziej zaawansowanych modeli AI, żądać dokumentacji technicznej, domagać się dostępu do modeli jeszcze przed ich komercjalizacją, nakazywać usunięcie zagrożeń, ograniczyć lub zakazać udostępniania modelu na rynku UE, nakładać duże kary finansowe. 
2. USA stawiają przede wszystkim na konkurencyjność i dobrowolne zobowiązania firm. Nie istnieje tam odpowiednik europejskiego AI Office, a nadzór jest rozproszony między agencje federalne oraz poszczególne stany. Kalifornia, Kolorado czy Nowy Jork przyjmują własne przepisy dotyczące algorytmów i automatycznego podejmowania decyzji, jednak jednolitego systemu federalnego nadal brak. Wielka Brytania również zrezygnowała z tworzenia jednego regulatora AI. Rząd powierzył nadzór istniejącym instytucjom – od urzędu ochrony danych po regulatorów rynku finansowego i ochrony konkurencji – stawiając na elastyczne wytyczne zamiast jednego kompleksowego aktu prawnego. Chiny przyjęły zupełnie inny model. Państwo bardzo szczegółowo reguluje generatywną AI, wymaga rejestracji części modeli, kontroli treści oraz zgodności z wymogami bezpieczeństwa narodowego. Tam jednak głównym celem jest kontrola informacji i stabilności państwa, a nie przede wszystkim ochrona praw obywatelskich. Kanada nadal pracuje nad własną ustawą o AI, natomiast Japonia i Korea Południowa preferują miękkie regulacje oraz współpracę z przemysłem.
3. Każdy chatbot będzie musiał poinformować użytkownika, że rozmawia z maszyną. Deepfake'i – zarówno obrazy, jak i nagrania audio czy wideo – będą musiały zostać wyraźnie oznaczone. Treści wygenerowane przez AI mają zawierać specjalny znacznik umożliwiający ich automatyczne wykrywanie. Bruksela chce ograniczyć manipulację i dezinformację, ale także przygotować grunt pod przyszłe regulacje dotyczące wyborów, cyberbezpieczeństwa i ochrony konsumentów. Pełne obowiązki dla takich systemów zaczną obowiązywać dopiero 2 grudnia 2027 r., po przesunięciu terminu przez pakiet AI Omnibus. Nie oznacza to jednak pełnej swobody. Już dziś firmy muszą informować kandydatów, jeśli kontaktują się oni z chatbotem, szkolić pracowników korzystających z AI oraz przestrzegać przepisów RODO i prawa pracy. Zakazane pozostaje wykorzystywanie systemów analizujących emocje kandydatów podczas rozmów kwalifikacyjnych na podstawie mimiki, tonu głosu czy danych biometrycznych.