Harmonogram AI Act dla autonomicznych agentów
Kiedy naprawdę zaczyna obowiązywać każdy wymóg AI Act — i co zespoły wdrażające autonomicznych agentów AI muszą mieć gotowe na termin transparentności z Art. 50 z 2 sierpnia 2026 r.
Definicja
AI Act to oparte na ryzyku rozporządzenie UE dotyczące sztucznej inteligencji. Jego obowiązki wchodzą etapami przez kilka lat; dla autonomicznych agentów najbliższy twardy termin to obowiązki transparentności z Art. 50, egzekwowalne od 2 sierpnia 2026 r., które regulują sposób ujawniania udziału AI.
Większość zespołów budujących autonomicznych agentów wie, że AI Act istnieje. Znacznie mniej wie, kiedy każda jego część ich dotyczy. Rozporządzenie nie włącza się naraz — wchodzi etapami według poziomu ryzyka przez kilka lat, a dla agentów istotny zegar jest bliżej niż pamiętane przez wielu „2027“.
Rozporządzenie reguluje zachowanie, nie etykietę „agent“
AI Act nigdzie nie definiuje „agenta“ jako regulowanej kategorii. Reguluje według ryzyka i roli. To dobra wiadomość: nie potrzebujesz prawnika, by ustalić, czy Twój system „jest agentem“. Odwzorowujesz to, co agent robi, na obowiązki rozporządzenia.
- Wchodzi w interakcję z ludźmi lub generuje treści? Dotyczy go transparentność z Art. 50.
- Działa w dziedzinie wysokiego ryzyka (Załącznik III), np. rekrutacja, kredyty, infrastruktura krytyczna? Dotyczą go obowiązki wysokiego ryzyka.
- Opiera się na modelu ogólnego przeznaczenia? Obowiązki GPAI spływają od dostawcy.
Harmonogram etapów
Praktyki zakazane + kompetencje AI
Wchodzą zakazy z Art. 5; Art. 4 wymaga odpowiednich kompetencji AI u personelu.
Start obowiązków GPAI
Zaczynają obowiązywać obowiązki dostawców modeli ogólnego przeznaczenia.
Transparentność z Art. 50 egzekwowalna
Ujawnienie interakcji z AI, oznaczanie treści generowanych przez AI, znakowanie deepfake. Najbliższy twardy termin dla większości zespołów agentowych.
Obowiązki wysokiego ryzyka (Załącznik III)
Zgodność, zarządzanie ryzykiem i nadzór dla zastosowań wysokiego ryzyka.
Pozostałe wysokiego ryzyka (Załącznik I)
Wchodzą obowiązki powiązane z regulowanymi produktami.
Czego Art. 50 naprawdę wymaga od agenta?
Na termin sierpniowy 2026 dla typowego agenta liczą się trzy obowiązki:
- Ujawnij AI. Jeśli użytkownik wchodzi w interakcję z agentem, musi móc rozpoznać, że to system AI — chyba że wynika to jasno z kontekstu.
- Oznacz treści generowane przez AI. Wyjście wytworzone lub istotnie zmienione przez AI trzeba oznaczyć, w miarę możliwości w sposób czytelny maszynowo.
- Znakuj deepfake. Syntetyczny obraz, dźwięk lub wideo wymagają ujawnienia.
Nic z tego nie jest egzotyczne. Praca inżynierska to głównie „hydraulika“: ujawnienie w interfejsie, sygnał pochodzenia treści i zapis, że ujawnienie nastąpiło.
Uczciwa wersja opowieści o karach
Kusi, by sprzedawać zgodność strasznym numerem. Powstrzymaj się. Próg 35 mln euro / 7% obrotu zarezerwowano dla praktyk zakazanych z Art. 5 — systemów manipulacyjnych lub wyzyskujących — a nie dla braku etykiety transparentności. Naruszenia Art. 50 mieszczą się w niższym progu. Rzetelne komunikowanie tego samo w sobie buduje zaufanie: opisujesz realny, datowany obowiązek bez fabrykowania strachu.
Progi kar, by liczba 7% trafiała na właściwe naruszenie:
| Próg naruszenia | Czego dotyczy | Kara maksymalna |
|---|---|---|
| Praktyki zakazane (Art. 5) | Systemy manipulacyjne, wyzyskujące lub zakazane | 35 mln € lub 7% obrotu globalnego |
| Pozostałe obowiązki (w tym Art. 50, wysokie ryzyko) | Transparentność, wysokie ryzyko, obowiązki dostawcy | 15 mln € lub 3% obrotu |
| Nieprawdziwe informacje dla organów | Mylące lub niepełne informacje dla regulatorów | 7,5 mln € lub 1% obrotu |
Co zrobić przed sierpniem 2026
- Zinwentaryzuj każdego agenta, który rozmawia z ludźmi lub tworzy treści.
- Dodaj czytelne ujawnienie AI w tych interfejsach.
- Zbieraj podpisane, odporne na manipulację logi audytowe decyzji agenta — log, który da się zmienić, jest bezwartościowy przed sądem UE.
- Udokumentuj, kto odpowiada za działania każdego agenta.
Kontrole, które urealniają nadzór, opisujemy w nadzorze człowieka; fundament logowania audytowego — w obserwowalności. Definicje powyższych pojęć znajdziesz w słowniku.
Najczęstsze pytania
Czy AI Act reguluje agentów AI wprost?
Nie wymienia agentów jako kategorii w ogóle; reguluje według ryzyka i roli, a agent dziedziczy obowiązki z tego, co faktycznie robi. Jeśli wchodzi w interakcję z ludźmi lub generuje treści, dotyczą go obowiązki transparentności z Art. 50. Jeśli działa w dziedzinie wysokiego ryzyka z Załącznika III — rekrutacja, scoring kredytowy, infrastruktura krytyczna i podobne — dotyczą go obowiązki wysokiego ryzyka, z wymogami zgodności, zarządzania ryzykiem i nadzoru. Jeśli opiera się na modelu ogólnego przeznaczenia, obowiązki GPAI spływają do Ciebie od dostawcy modelu. Praktyczny wniosek jest wyzwalający: nie potrzebujesz rozstrzygnięcia prawnego, czy Twój system liczy się jako agent, bo prawo nigdy nie zadaje tego pytania. Odwzorowujesz konkretne zachowania agenta na poziomy ryzyka rozporządzenia i przyjmujesz obowiązki, które te zachowania wyzwalają. W razie wątpliwości klasyfikuj według najbardziej brzemiennej rzeczy, jaką agent może zrobić, nie według najbardziej pochlebnego opisu.
Co dokładnie zmienia się 2 sierpnia 2026 r.?
Egzekwowalne stają się obowiązki transparentności z Art. 50, co dla większości zespołów agentowych jest najbliższym twardym terminem w całym rozporządzeniu. W praktyce liczą się trzy obowiązki. Po pierwsze ujawnienie: jeśli użytkownik wchodzi w interakcję z systemem AI, musi móc to rozpoznać, chyba że wynika to już jasno z kontekstu. Po drugie oznaczanie treści: wyjście wytworzone lub istotnie zmienione przez AI trzeba oznaczyć, w miarę możliwości w sposób czytelny maszynowo. Po trzecie znakowanie deepfake: syntetyczny obraz, dźwięk lub wideo wymagają ujawnienia. Dla agenta rozmawiającego z klientami albo tworzącego treści pisane, wizualne czy dźwiękowe przekłada się to na czytelny komunikat w interfejsie plus sygnał pochodzenia na wygenerowanych artefaktach. Inżynieria jest skromna — głównie tekst w interfejsie, znacznik pochodzenia treści i zapis, że ujawnienie nastąpiło — ale data jest stała, więc trafia na mapę drogową już teraz, a nie w połowie 2026 r.
Czy to prawda, że kary sięgają 7% obrotu?
Liczba 7% jest realna, ale rutynowo źle stosowana. Najwyższy próg — do 35 mln euro lub 7% rocznego obrotu globalnego, zależnie co większe — zarezerwowano dla praktyk zakazanych z Art. 5, czyli systemów manipulacyjnych lub wyzyskujących, których rozporządzenie zakazuje wprost. Zwykłe obowiązki transparentności z Art. 50 nie leżą w tym progu; większość obowiązków, w tym wysokiego ryzyka i transparentności, mieści się w niższym pułapie do 15 mln euro lub 3% obrotu, a podanie nieprawdziwych informacji organom jest jeszcze niżej. Przywoływanie liczby 7% wobec braku etykiety ujawnienia jest więc nieścisłe, a dla MŚP rozporządzenie zwykle stosuje niższą z kwot — stałą lub procentową. Uczciwe opisanie kary, z właściwym progiem dla właściwego naruszenia, jest i bardziej poprawne, i bardziej wiarygodne niż sięganie po najstraszniejszą liczbę, a to dokładnie postawa, którą nagradza i regulator, i klient.
Czy AI Act dotyczy mojej firmy, jeśli jest spoza UE?
Bardzo często tak, bo rozporządzenie idzie za rynkiem, nie za adresem firmy. Jego zakres jest eksterytorialny: obejmuje dostawców i podmioty stosujące spoza UE, gdy ich system AI jest wprowadzany na rynek UE albo gdy wynik systemu jest używany w UE. Firma z siedzibą gdzie indziej, która oferuje agenta użytkownikom w UE lub której agent tworzy wyniki konsumowane w UE, zwykle podlega zakresowi nawet bez biura w UE. Odzwierciedla to znany zasięg RODO i jest celowe, by zapobiec arbitrażowi regulacyjnemu. Praktyczny wniosek to nie zakładać zwolnienia tylko dlatego, że nie jesteś podmiotem z UE; zamiast tego sprawdź, czy użytkownicy z UE wchodzą w interakcję z Twoim agentem lub polegają na jego wyniku, a jeśli tak, planuj te same obowiązki z Art. 50 i — gdzie istotne — wysokiego ryzyka co dostawca z UE. Geografia rejestracji to zły test; to, gdzie ląduje system i jego skutki, to test właściwy.