Kary w AI Act: za co realnie groza i jak ich uniknac

Ile tak naprawdę może kosztować Cię nieświadome naruszenie AI Act?

Zanim przeliczysz te kwoty na swój biznes, sprawdź jedną rzecz. Jeśli jesteś małą lub średnią firmą albo startupem, górną granicą kary jest niższa z dwóch wartości, czyli mniejsza kwota, która wypadnie po porównaniu procentu obrotu z sumą w euro. Dla przedsiębiorcy, który dopiero testuje sztuczną inteligencję, to realna tarcza ochronna, choć nie zwalnia z obowiązków. Najwyższe stawki dotyczą zakazanych praktyk, czyli sytuacji, w których system AI manipuluje ludźmi w sposób, którego nie są świadomi. Tu mówimy o kwotach, które potrafią zamknąć firmę, dlatego warto wiedzieć, że przepisy o nadzorze i karach obowiązują już od 2 sierpnia 2025 roku. W Polsce nadzór ma sprawować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, a przy ustalaniu wysokości kary organ patrzy na charakter naruszenia, wielkość firmy, stopień współpracy i to, czy błąd był celowy, czy wynikał z zaniedbania. Osobny rozdział to dostawcy modeli ogólnego przeznaczenia, czyli na przykład dużych modeli językowych, które napędzają chatboty. Jeśli tworzysz takie rozwiązanie, kary nakłada bezpośrednio Komisja Europejska, a sankcje stosuje się od 2 sierpnia 2026 roku. Dla zwykłego użytkownika ważniejsze są jednak obowiązki przejrzystości, które też wchodzą od tego samego dnia, między innymi informowanie klienta, że rozmawia z chatbotem. Nieznajomość tych zasad nie chroni przed odpowiedzialnością, ale świadome wdrożenie podstawowych procedur znacząco zmniejsza ryzyko.

Które działania z AI są w ogóle zakazane i dlaczego grożą za nie największe kary?

Najwyższe kary w AI Act dotyczą praktyk, które rozporządzenie zakazuje całkowicie. Mowa tu o działaniach takich jak manipulowanie zachowaniem użytkownika bez jego świadomości czy wykorzystywanie systemów do oceny społecznej. Za naruszenie zakazów z artykułu 5 grozi kara do 35 milionów euro albo 7 procent światowego obrotu, w zależności od tego, która wartość jest wyższa. To poziom, który dla średniej firmy oznacza realne zagrożenie dla płynności finansowej.

Niższy próg, bo do 15 milionów euro lub 3 procent obrotu, dotyczy sytuacji, gdy dostawca, importer albo dystrybutor nie wywiązuje się ze swoich obowiązków. Najłagodniej traktowane jest podanie organom nieprawdziwych informacji, wtedy kara sięga 7,5 miliona euro lub 1 procenta obrotu. Dla małych firm i startupów ustawodawca przewidział jednak ulgę, górną granicą kary jest zawsze niższa z tych dwóch wartości.

Przy ustalaniu konkretnej kwoty organ bierze pod uwagę charakter naruszenia, czas jego trwania, wielkość firmy i to, czy operator współpracował z nadzorem. Liczy się też, czy naruszenie było umyślne, czy wynikało z zaniedbania. Samo zgłoszenie problemu zanim wykryją go urzędnicy potrafi znacząco obniżyć wymiar kary.

Od 2 sierpnia 2025 roku przepisy o nadzorze i karach obowiązują w pełni. Nadzór w Polsce ma sprawować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Odrębny reżim dotyczy dostawców modeli ogólnego przeznaczenia, na przykład dużych modeli językowych, w ich przypadku kary do 15 milionów euro lub 3 procent obrotu nakłada bezpośrednio Komisja Europejska, i to od 2 sierpnia 2026 roku.

Za co konkretnie dostaniesz karę do 15 milionów euro, nawet jeśli nie jesteś producentem AI?

Mowa o zakazanych praktykach, czyli na przykład systemach AI, które manipulują zachowaniem w sposób szkodliwy. Wtedy kara sięga 35 milionów euro albo 7 procent światowego obrotu, w zależności od tego, która kwota jest wyższa. Pozostałe naruszenia to już realny scenariusz dla firm, które wdrażają gotowe rozwiązania, a nie tylko dla producentów. Jeśli korzystasz z systemu wysokiego ryzyka, czyli takiego, który na przykład ocenia zdolność kredytową klientów, i nie dopełnisz obowiązków, kara wyniesie do 15 milionów euro lub 3 procent obrotu. Podobnie odpowiadasz, gdy jako dystrybutor lub importer wprowadzisz na rynek system bez wymaganej dokumentacji. Najniższy próg, 7,5 miliona euro lub 1 procent obrotu, dotyczy podania nieprawdziwych informacji organom nadzoru. Tu wystarczy nawet niekompletna odpowiedź na ich pytanie, żeby narazić firmę na koszty. Organy biorą pod uwagę między innymi charakter naruszenia, wielkość firmy i to, czy współpracowałeś przy wyjaśnianiu sprawy. Dla małych firm i startupów jest jednak koło ratunkowe. Górna granica kary to niższa z dwóch wartości, czyli albo procent obrotu, albo kwota w euro, w zależności od tego, co wypada korzystniej. To oznacza, że mała firma z niewielkim obrotem nie zapłaci astronomicznej kwoty, choć sama procedura i tak będzie bolesna.

Czy jako mniejsza firma zapłacisz mniej i od czego to zależy?

Tak, ale pod warunkiem, że twoja firma mieści się w definicji małego lub średniego przedsiębiorstwa. Ustawa przewiduje wtedy, że górną granicą kary jest niższa z dwóch wartości: albo procent obrotu, albo kwota w euro, zależnie od tego, co wypada niżej. Dla porównania, najwyższe kary za zakazane praktyki, czyli np. manipulowanie zachowaniem człowieka, sięgają 35 milionów euro lub 7 procent światowego obrotu. Dla MSP próg jest więc realnie niższy, ale to nie znaczy, że symboliczny. Wysokość kary w konkretnej sprawie zależy od kilku czynników. Organ nadzoru patrzy na charakter i wagę naruszenia, wielkość twojej firmy, roczny obrót, ale też na to, czy naruszenie było umyślne, czy wynikało z zaniedbania. Liczy się także stopień współpracy z organami i to, czy sam zgłosiłeś problem. Innymi słowy, firma, która wdrożyła procedury i aktywnie naprawia błędy, ma realną szansę na niższą karę niż ta, która o przepisach dowiedziała się od inspektora. Co ciekawe, w Polsce nadzór nad AI Act ma sprawować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. To ona będzie oceniać, czy np. twój chatbot informuje klienta, że rozmawia z maszyną, i czy oznaczasz treści wygenerowane przez AI. Jeśli dopiero startujesz z generatywną sztuczną inteligencją, kluczowe jest udokumentowanie, jakie systemy stosujesz i w jakim celu. Najtańsza kara to taka, której nie ma, a ta zaczyna się od uczciwego opisu własnych narzędzi i ich ryzyka.

Kiedy te kary realnie wchodzą w życie i kto w Polsce będzie ich pilnował?

Od 2 sierpnia 2025 roku przepisy o nadzorze i karach weszły w życie. Oznacza to, że polskie organy mogą już nakładać administracyjne kary pieniężne za naruszenia. Wysokość kary nie jest sztywna: ustawodawca przewidział trzy progi, a decyzję o konkretnej kwocie podejmuje organ nadzoru rynku. Najwyższa kara sięga 35 milionów euro lub 7 procent rocznego światowego obrotu, w zależności od tego, która wartość jest niższa. Dotyczy ona zakazanych praktyk, czyli sytuacji, w których system AI działa w sposób wprost niedozwolony. Środkowy próg to 15 milionów euro lub 3 procent obrotu, za naruszenie obowiązków przez dostawców, importerów, dystrybutorów i podmioty stosujące. Najniższy próg, 7,5 miliona euro lub 1 procent obrotu, grozi za podanie nieprawdziwych informacji organom. Dla małych i średnich przedsiębiorstw oraz startupów górną granicą zawsze jest niższa z dwóch wartości, co realnie chroni mniejsze firmy przed zaporowymi kwotami. W Polsce nadzór nad AI Act ma sprawować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, której zadaniem będzie egzekwowanie przepisów. Przy ustalaniu kary organ weźmie pod uwagę charakter naruszenia, czas jego trwania, wielkość firmy, stopień współpracy z urzędnikami oraz to, czy działanie było umyślne, czy wynikało z zaniedbania. W praktyce oznacza to, że firma, która sama zgłosi problem i aktywnie pomoże go usunąć, ma realną szansę na niższą karę niż ta, która ukrywała błąd. Osobny reżim dotyczy dostawców modeli ogólnego przeznaczenia, czyli fundamentów, na których buduje się generatywną AI. Dla nich kary, do 15 milionów euro lub 3 procent obrotu, nakłada bezpośrednio Komisja Europejska, a przepisy te zaczną obowiązywać dopiero od 2 sierpnia 2026 roku. Do tego czasu firmy mają przestrzeń na dostosowanie procesów, wdrożenie AI literacy i przygotowanie dokumentacji.

Co zrobić już dziś, żeby spać spokojnie i nie bać się kontroli?

Zacznij od prostego audytu: sprawdź, czy Twoja firma w ogóle podlega pod AI Act. Większość polskich przedsiębiorstw wdrażających AI w codziennej pracy, na przykład chatboty na stronie, nie jest traktowana jako dostawcy systemów wysokiego ryzyka. Jeśli tylko używasz gotowych narzędzi, Twoje obowiązki są znacznie mniejsze niż producenta, ale wciąż istnieją. Kluczowy obowiązek dotyczy przejrzystości. Jeśli klient rozmawia z chatbotem, musi o tym wiedzieć, a treści wygenerowane przez AI powinny być odpowiednio oznaczone. To nie jest przyszłość, to przepisy, które wchodzą w życie od 2 sierpnia 2026 roku. Wdrożenie prostej polityki informacyjnej już teraz uchroni Cię przed mandatem, zanim urzędy w pełni rozpoczną kontrole. Pamiętaj też o edukacji zespołu w zakresie AI, czyli o tym, by pracownicy wiedzieli, jak bezpiecznie korzystać z tych narzędzi. Wysokość kary zależy od wielu czynników, ale już sam fakt wdrożenia wewnętrznych procedur i współpracy z organami działa na Twoją korzyść. Organ nadzoru, którym w Polsce ma być Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, bierze pod uwagę stopień odpowiedzialności i wdrożone środki organizacyjne. Nie musisz od razu znać wszystkich artykułów rozporządzenia. Wystarczy, że zaczniesz od udokumentowania, do czego używasz AI i jakie masz zabezpieczenia. To pierwszy krok, który sprawi, że kontrola nie będzie dla Ciebie zaskoczeniem.