Co zmieniło się w Brukseli 2 sierpnia

2 sierpnia 2026 rok dobrowolnych kodeksów postępowania i dialogów na temat zgodności w Brukseli przekształcił się w reżim nakładania kar. Obowiązki przejrzystości z art. 50 - wymagające, aby chatboty ujawniały swój zautomatyzowany status, deepfake'i nosiły oznaczenia, a treści generowane maszynowo miały czytelne dla maszyn znaczniki - weszły w życie razem z uprawnieniami egzekucyjnymi wobec modeli AI ogólnego przeznaczenia. AI Office Komisji Europejskiej oraz 24 krajowe właściwe organy w państwach członkowskich mogą teraz żądać dokumentacji technicznej, przeprowadzać własne oceny, żądać działań naprawczych i bezpośrednio nakładać kary, zamiast nieformalnie negocjować zgodność.

Wiceprzewodnicząca wykonawcza Komisji Europejskiej Henna Virkkunen przedstawiła tę zmianę jako ochronną, a nie konfrontacyjną, mówiąc, że przepisy dają "innowatorom pewność prawną, chroniąc jednocześnie interes publiczny", i nazywając ten moment "ważnym krokiem w stronę AI, którą ludzie i firmy będą rozumieć i której będą ufać". Nazwała również sztuczną inteligencję "technologią transformacyjną", ostrzegając jednocześnie, że najbardziej zaawansowane modele "stwarzają ryzyko w zupełnie nowej skali" - rozróżnienie, które sygnalizuje, gdzie najprawdopodobniej najpierw skupi się uwaga organów egzekwujących przepisy.

Pierwszy ruch CNIL: 14 banków, zero przyznanych przedłużeń

Pierwszy realny test nowego reżimu nastąpił w ciągu 48 godzin. 4 sierpnia 2026 roku francuski organ ochrony danych, CNIL, wystosował formalne żądania dokumentacji technicznej na podstawie art. 11 do 14 instytucji finansowych prowadzących algorytmy scoringu kredytowego oparte na AI, żądając dokumentacji z załącznika IV, którą systemy AI wysokiego ryzyka są zobowiązane prowadzić. Trzy z czternastu instytucji poprosiły o więcej czasu na odpowiedź.

CNIL odrzucił wszystkie trzy wnioski o przedłużenie terminu, wskazując na dwa lata, jakie firmy miały na przygotowanie się od uchwalenia AI Act w 2024 roku. To właśnie ten szczegół zasługuje na uwagę: pierwszy ruch regulatora w ramach nowych, realnie obowiązujących uprawnień egzekucyjnych nie był pismem ostrzegawczym ani nieformalnym zapytaniem, lecz formalnym żądaniem dokumentacji z jednoznaczną odmową dodatkowego czasu. Każda firma z UE w kategorii wysokiego ryzyka - udzielanie kredytów, rekrutacja lub inne zastosowanie z załącznika III - ma teraz konkretny precedens tego, jak faktycznie wygląda audyt pierwszego kontaktu, a nie tylko hipotetyczny scenariusz.

Jak naprawdę działają kary

Struktura sankcji jest stopniowana według rodzaju naruszenia, a nie stanowi jednej stałej kwoty. Naruszenia obowiązków przejrzystości z art. 50 - zasad oznaczania deepfake'ów i ujawniania użycia AI - wiążą się z karami do EUR 15 milionów lub 3% globalnego rocznego obrotu firmy, w zależności od tego, która kwota jest wyższa. Zakazane praktyki w zakresie AI, czyli niewielki zbiór zastosowań całkowicie zabronionych przez przepisy, podlegają surowszemu pułapowi: do EUR 35 milionów lub 7% globalnego obrotu.

Struktura oparta na procencie obrotu ma dla każdej większej firmy większe znaczenie niż kwoty w euro, ponieważ skaluje się wraz z przychodami, zamiast ograniczać ekspozycję do stałej liczby. Nakazy działań naprawczych dodają drugą warstwę presji: gdy tylko krajowy organ stwierdzi niezgodność systemu, może wyznaczyć okno na dostosowanie się wynoszące zaledwie 15 dni roboczych na jego poprawienie, wycofanie lub odwołanie, co pozostawia niewiele czasu firmie, która nie przygotowała wcześniej swojej dokumentacji technicznej.

Pytanie, na które każda firma z UE musi teraz odpowiedzieć

Przez rok kluczowym pytaniem dla każdej firmy z UE korzystającej z AI lub ją wdrażającej było to, czy jest ona ogólnie zgodna z AI Act, na które odpowiadano w dobrej wierze poprzez wewnętrzne przeglądy i dobrowolne kodeksy. Od tego tygodnia to pytanie się zmieniło. Kluczowym pytaniem jest teraz, czy firma może na żądanie przedstawić dokumentację techniczną z załącznika IV, w terminie wyznaczonym przez sam organ regulacyjny, ponieważ CNIL właśnie pokazał, że nie przedłuży tego terminu na wniosek.

Kontrola CNIL dotycząca scoringu kredytowego jest użyteczną zapowiedzią zwłaszcza dla firm z sektorów udzielania kredytów, rekrutacji i innych kategorii wysokiego ryzyka z załącznika III, ponieważ jest to pierwszy konkretny przykład tego, jak wygląda w praktyce, a nie tylko w tekście przepisów, audyt dokumentacji wysokiego ryzyka. Każda firma z tych kategorii, która nie zgromadziła jeszcze swojej dokumentacji technicznej, powinna traktować ten miesiąc, a nie jakiś przyszły termin zgodności, jako moment, w którym dokumentacja musi już istnieć.

Czytaj dalej: 2 sierpnia kary UE za AI stają się realne  |  Amerykański próg dla granicznej AI jest teraz tajny