W 2026 roku europejskie rozporządzenie w sprawie sztucznej inteligencji (EU AI Act) weszło w decydującą fazę egzekwowania. Dla dyrektorów technicznych (CTO), software house'ów i firm zlecających rozwój oprogramowania era niekontrolowanych eksperymentów z modelami AI dobiegła końca. W tym artykule omawiamy konkretne wymagania inżynieryjne, podział odpowiedzialności między klientem a dostawcą oraz kluczowe zapisy w umowach B2B.
Status prawny i kary w 2026 roku
EU AI Act różnicuje wymagania w zależności od poziomu ryzyka systemu. Kary za niestosowanie się do przepisów sięgają do 35 mln EUR lub 7% rocznego światowego obrotu za stosowanie praktyk zakazanych oraz do 15 mln EUR lub 3% obrotu za niedopełnienie obowiązków dotyczących systemów wysokiego ryzyka (High-Risk AI).
Czy Twój projekt IT podlega pod EU AI Act? (Matryca ryzyka)
Unijny prawodawca podzielił rozwiązania sztucznej inteligencji na cztery kategorie. W praktyce komercyjnej inżynierii oprogramowania najważniejsze są dwa poziomy:
| Kategoria ryzyka | Przykłady zastosowań w IT | Obowiązki inżynieryjne dostawcy / zespołu |
|---|---|---|
| Systemy Wysokiego Ryzyka (High-Risk AI) |
|
Certyfikacja zgodności, System Zarządzania Ryzykiem (RMS), nadzór ludzki (Human-in-the-Loop), dokumentacja techniczna (Annex IV), automatyczne logowanie zdarzeń (logging) przez minimum 6 miesięcy. |
| Systemy Ograniczonego Ryzyka (Limited Risk) |
|
Obowiązek informacyjny (przejrzystość): użytkownik musi być wyraźnie powiadomiony, że wchodzi w interakcję ze sztuczną inteligencją lub generowaną treścią. |
| Modele Ogólnego Przeznaczenia (GPAI) | Duże modele bazowe (LLM), np. GPT-4, Claude, Llama 3, Mistral, Bielik. | Polityka praw autorskich do danych treningowych, publikacja podsumowania architektury, a dla modeli o ryzyku systemowym – rygorystyczny red-teaming i testy bezpieczeństwa cybernetycznego. |
Praktyczna checklista dla zespołów deweloperskich i dostawców IT
Jeśli tworzysz aplikację wykorzystującą modele LLM, uczenie maszynowe lub agentów AI, Twój stack musi spełniać poniższe wymogi techniczne:
1. Architektura Human-in-the-Loop (Nadzór ludzki)
W systemach wysokiego ryzyka algorytm nie może samodzielnie podejmować ostatecznych decyzji wywołujących skutki prawne lub finansowe dla człowieka. Kod musi przewidywać dedykowany interfejs dla operatora (np. zatwierdzenie scoringu kredytowego czy odrzucenia kandydata w HR) oraz mechanizm awaryjnego zatrzymania (kill-switch).
2. Niezmienny audyt i logowanie zdarzeń (Inference Logging)
Każde wywołanie modelu musi być odnotowane w niezmiennym rejestrze audytowym: znacznik czasu, wersja modelu i wag, przekazany prompt, odzyskane fragmenty z bazy wektorowej (RAG), zwrócona odpowiedź oraz metadane ewaluacyjne (latency, zużyte tokeny). Logi muszą być przechowywane zgodnie z unijnymi wymogami retencji danych.
3. Testowanie odporności i Prompt Injection Security
Systemy integrujące zewnętrzne źródła danych (np. przeszukiwanie stron internetowych, odczyt załączników email przez agenta) muszą posiadać wdrożone guardrails chroniące przed atakami typu Indirect Prompt Injection oraz próbami wyłudzenia danych systemowych (Jailbreak).
4. Dokumentacja techniczna (Annex IV)
Zanim system trafi do produkcji, zespół musi przygotować formalny plik techniczny zawierający m.in. specyfikację zbiorów danych treningowych i testowych, analizę potencjalnych błędów, miary precyzji (F1-score, BLEU, ROUGE) oraz opis ograniczeń modelu.
Umowy B2B w IT Staffingu: Kto odpowiada za zgodność z AI Act?
Z prawnego punktu widzenia kluczowe jest rozróżnienie: Dostawca (Provider) to podmiot, który tworzy system AI i wprowadza go na rynek pod własną marką. Podmiot Wdrażający (Deployer) to firma wykorzystująca system w działalności zawodowej. W modelu body leasingu specjalistów AI inżynierowie pracują pod kierownictwem klienta, ale umowa ramowa powinna precyzyjnie definiować gwarancje czystości IP, przestrzeganie procedur compliance i poufność danych firmowych.
Jak Commoditech wspiera klientów w obszarze AI Governance?
W Commoditech łączymy inżynierię oprogramowania z praktyczną wiedzą regulacyjną. Nasze usługi w obszarze bezpiecznego wdrażania sztucznej inteligencji obejmują:
- Dedykowany contracting konsultantów AI Compliance: Dostarczamy ekspertów, którzy audytują architekturę i przygotowują wymaganą dokumentację techniczną. Zobacz: body leasing konsultantów ds. zgodności z EU AI Act.
- Doświadczeni inżynierowie AI/ML: Nasi kontraktorzy wdrażają bezpieczne systemy RAG, bazy wektorowe i modele na chmurze klienta bez ryzyka wycieku danych. Zobacz: wynajem inżynierów sztucznej inteligencji.
- Zgodność z normami bankowymi: Doświadczenie we wdrożeniach w sektorze finansowym objętym rozporządzeniem DORA.
Potrzebujesz audytu zgodności swojego systemu AI z prawem UE?
Skontaktuj się z naszymi doradcami technologicznymi. Pomożemy sklasyfikować Twoje procesy i wdrożyć odpowiednie procedury inżynieryjne.
Oferta AI Compliance Skonsultuj projekt AI