EU AI Act: czego wymaga i dlaczego to dobra praktyka
Jeśli Twoja aplikacja z AI zmierza od proof of concept do produkcji, zbuduj od początku możliwości, które opisuje EU AI Act.
Jeśli jesteś właścicielem aplikacji z AI albo ją budujesz i zmierza ona od proof of concept do produkcji z prawdziwymi użytkownikami, zbuduj od początku możliwości, które opisuje EU AI Act. Uwzględnij je w zakresie całego projektu: budowy, wdrożenia oraz późniejszego utrzymania i ciągłości. Dopasuj wysiłek do ryzyka: wewnętrzne narzędzie do podsumowań potrzebuje znacznie mniej niż system, który ocenia kandydatów.
Nauczyłem się tego na DealWizard, produkcie o minimalnym ryzyku na rynek brytyjski, gdzie AI Act nie obowiązywał. Zbudowałem te możliwości mimo to, bo aplikacje z AI są z natury niedeterministyczne: te same dane mogą, rzadko, dać inną rekomendację. Według mojego zgrubnego szacunku zajęło to około 15% projektu, a jakość wyniku wyraźnie wzrosła dzięki ciągłej pętli informacji zwrotnej.
Ten artykuł pokazuje, co zbudowałem, czego AI Act wymaga od systemów wysokiego ryzyka i co jest teraz pilne.
Co zrobiłem w DealWizard
DealWizard zamieniał ogłoszenie o nieruchomości w raport inwestycyjny. Kierowałem jego technologią. To był system o minimalnym ryzyku, więc AI Act wymagałby od niego niewiele. Każda praktyka poniżej była moim wyborem i każda odpowiada czemuś, czego AI Act wymaga od systemów wysokiego ryzyka.
| Praktyka | Co zrobiłem | Czego AI Act wymaga od systemów wysokiego ryzyka |
|---|---|---|
| Odtwarzanie każdego wyniku | Każdy raport dało się odtworzyć krok po kroku: prompt, wersja modelu, dane wejściowe, dane stojące za analizą i wyniki, trzymane w logach przez 30 dni. Ponowne uruchomienie na tych samych danych pozwalało mi zobaczyć, jak AI daje, rzadko, inną rekomendację. | Art. 12 |
| Obserwacja produkcji | Główne wskaźniki każdego raportu były monitorowane i wysyłane do zespołu, żebyśmy widzieli, co dzieje się na produkcji. | Art. 14 |
| Weryfikacja, zanim zobaczy ją użytkownik | Drugi agent sprawdzał każdy raport pod kątem spójności przed publikacją. Gdy raport nie przechodził kontroli, był generowany ponownie, a zespół dostawał powiadomienie. Mogłem obejrzeć raport i sam wygenerować go ponownie. | Art. 14 |
| Prawo użytkownika do sprzeciwu | Przycisk opinii przy każdym raporcie. Użytkownik mógł poprosić AI o ponowne wygenerowanie, a ja mogłem w razie potrzeby usunąć wynik. | Art. 14 |
Art. 14 mówi, na co musi pozwalać nadzór człowieka: na zrozumienie, co system potrafi, a czego nie, zauważanie błędu automatyzacji (nawyku zbyt dużego zaufania do wyniku), interpretowanie wyniku, jego zmianę lub cofnięcie oraz zatrzymanie systemu.
Nie zrobiłem wszystkiego, czego potrzebuje system wysokiego ryzyka: nie było formalnej oceny ryzyka, dokumentacji technicznej napisanej pod AI Act ani rejestracji systemu. DealWizard miał minimalne ryzyko, więc AI Act niczego z tego nie wymagał. Dla systemu wysokiego ryzyka wszystko to jest obowiązkowe.
Około jeden raport na 20 przeczył sam sobie w ROI: podsumowanie używało jednej metody obliczeń, a późniejsza sekcja pokazywała inną liczbę. Bardzo trudno przygotować generowanie tak, żeby pierwszy wynik zawsze był zadowalający. Rozwiązaniem była jedna dokładna metoda liczenia ROI wykonywana raz, zaktualizowane instrukcje dla modelu oraz agent-ewaluator, który ponownie czyta każdy gotowy raport, w razie potrzeby przelicza ROI i zapisuje przypadek w logu. Potem praktycznie żaden raport nie zawodził, a spójne liczby były kluczowe dla utrzymania użytkowników.
Weryfikacja kosztuje, więc wybór modelu miał znaczenie. Tańszy model sprawdza szybciej niż mocniejszy i szybciej niż czekanie na opinię człowieka. Na początku sprawdzałem wyniki ręcznie, później tylko wtedy, gdy użytkownik zgłosił problem. Przejście z Gemini Pro na Flash-Lite z buforowanym kontekstem skróciło czas i obniżyło koszt około czterech do pięciu razy, bez spadku jakości raportów.
Opinie użytkowników były najlepszym źródłem ulepszeń. Gdy klient napisał, że wygenerowana jakość nie spełnia oczekiwań, wykorzystywaliśmy to do poprawy wyniku. Uwielbialiśmy opinie.
Co robię na tej stronie
Asystent AI na michalgorski.com działa według tego samego wzorca:
- Mówi, że jest AI i że może się mylić, a odpowiada tylko na podstawie opublikowanych informacji. Gdy nie potrafi odpowiedzieć, przekazuje odwiedzającego do mnie (wypróbuj sam). To idea art. 50 w praktyce.
- Reguły sprawdzają każde pytanie, zanim zobaczy je model, i każdą odpowiedź, zanim zobaczy ją odwiedzający. Dzienny limit wydatków zatrzymuje model, gdy budżet się wyczerpie, a asystent tylko przekazuje wtedy odwiedzającego do mnie.
- Przed zmianami uruchamiam zestaw ewaluacyjny. Asystent pozostawał wyłączony, dopóki nie przejrzałem wyników.
- Nowa wiedza zaproponowana asystentowi nie trafia na żywo, dopóki nie zaakceptuję jej w panelu administratora.
Co wbudować, od proof of concept do produkcji
Proof of concept nie ma wymagań zgodności. To wewnętrzna zabawka, która ma coś udowodnić. Powinna jednak trzymać każde wejście obok wyniku, który z niego powstał, i dawać użytkownikom sposób na komentowanie tego wyniku, żeby ich uwagi mogły go poprawiać.
Zanim pojawią się prawdziwi użytkownicy, uwzględnij te rzeczy w zakresie projektu:
| Faza | Co uwzględnić w zakresie |
|---|---|
| Budowa | Loguj wejścia, wersję modelu, prompt lub konfigurację i wyniki. Weryfikuj wynik drugim agentem, zanim zobaczy go użytkownik, wszędzie tam, gdzie akcji nie da się cofnąć. Daj użytkownikom sposób na komentowanie wyniku i na poproszenie o nowy. |
| Wdrożenie | Sprawdzaj wyniki ręcznie na początku, a później wtedy, gdy użytkownik zgłosi problem. Wyznacz właściciela systemu i sklasyfikuj jego zastosowanie. Sprawdź art. 50 wszędzie tam, gdzie aplikacja generuje treści albo rozmawia z klientami. |
| Utrzymanie | Monitoruj główne wskaźniki jakości i wysyłaj je do zespołu. Działaj na podstawie opinii w ciągłej pętli. Traktuj nowy model albo aktualizację modelu jak mały release: przetestuj go, zapisz, kto go zatwierdził, i zapewnij hypercare dla wyniku i stabilności po zmianie. Śledź koszt. |
| Ciągłość | Trzymaj logi wystarczająco długo, żeby odtworzyć decyzję (30 dni w DealWizard). Powiadamiaj zespół, gdy weryfikacja zawodzi. Zachowaj możliwość ponownego wygenerowania lub usunięcia wyniku. Zapewnij zespołowi działania wspierające kompetencje w zakresie AI. |
Dla właścicieli biznesowych jeszcze trzy rzeczy:
- Wypisz każdą aplikację z AI, którą posiadasz, i wyznacz właściciela każdej z nich.
- Sklasyfikuj każde zastosowanie. Zastosowanie wyznacza poziom: podsumowywanie notatek ze spotkań modelem nie wnosi nowych obowiązków, a ocenianie CV tym samym modelem czyni z niego system wysokiego ryzyka.
- Wpisz do umów z dostawcami prawo do dokumentacji i logów.
Czym jest EU AI Act
Rozporządzenie (UE) 2024/1689 to pierwsze kompleksowe prawo o AI w UE. Weszło w życie w 2024 roku i stosuje się je etapami. Przepisy zależą od sposobu użycia AI i dzielą się na cztery poziomy:
| Poziom | Czego dotyczy | Status |
|---|---|---|
| Zakazane | Praktyki takie jak scoring społeczny i manipulowanie ludźmi | Zakazane od lutego 2025. Art. 5 |
| Wysokie ryzyko | AI używana w rekrutacji, edukacji, ocenie zdolności kredytowej i biometrii, w ośmiu obszarach | Najwięcej wymagań. Obowiązuje od 2 grudnia 2027 (produkty z załącznika I: 2 sierpnia 2028). Załącznik III |
| Przejrzystość | Chatboty i treści generowane przez AI | Ludzie muszą wiedzieć, że mają do czynienia z AI, a wygenerowane treści muszą być oznaczone. Obowiązuje od 2 sierpnia 2026. Art. 50 |
| Minimalne ryzyko | Cała reszta | Brak nowych obowiązków |
W przypadku systemów wysokiego ryzyka art. 10-14 dotyczą danych, dokumentacji technicznej, rejestrowania zdarzeń, informacji dla podmiotów stosujących i nadzoru człowieka. W pozostałych przypadkach to dobra praktyka.
Odrębne przepisy dotyczą modeli AI ogólnego przeznaczenia, takich jak duże modele językowe. Dotyczą firm, które trenują i udostępniają te modele. Firma, która tylko korzysta z modelu, jest poza nimi.
Czy dotyczy Ciebie?
AI Act dotyczy Ciebie, jeśli budujesz, sprzedajesz lub używasz oprogramowania zawierającego AI, w UE albo dla klientów z UE. Nie ma znaczenia, gdzie zarejestrowana jest Twoja firma. Akt wyróżnia dwie role. Dostawca buduje system AI i wprowadza go na rynek. Podmiot stosujący używa go w firmie. Każda rola ma własne obowiązki. Żeby sprawdzić, gdzie jesteś, ustal swoją rolę i swój poziom:
Twoja rola
- Czy budujesz, odsprzedajesz albo dostrajasz system lub model AI? Wtedy najpewniej jesteś dostawcą.
- Czy używasz AI w procesie biznesowym? Wtedy jesteś podmiotem stosującym.
Twój poziom
- Czy system decyduje o ludziach albo pomaga o nich decydować? Rekrutacja, kredyty i edukacja należą do poziomu wysokiego ryzyka.
- Czy rozmawia z ludźmi albo generuje treści? Chatbot na Twojej stronie albo wygenerowane obrazy i teksty podlegają obowiązkom przejrzystości.
Wewnętrzne narzędzie do podsumowań ma minimalne ryzyko. Nawet wtedy dostawcy i podmioty stosujące muszą podejmować działania wspierające kompetencje w zakresie AI wśród osób, które z niego korzystają.
Co jest pilne, a co nie
Digital Omnibus on AI, obowiązujący od 27 lipca 2026, przesunął terminy dla poziomu wysokiego ryzyka. Pozostałe poziomy się nie przesunęły:
- Wysokie ryzyko, załącznik III (rekrutacja, edukacja, scoring kredytowy, biometria): z 2 sierpnia 2026 na 2 grudnia 2027.
- Wysokie ryzyko, produkty regulowane (załącznik I): na 2 sierpnia 2028. Sekcja A załącznika I wymienia unijne przepisy o bezpieczeństwie produktów, na przykład o zabawkach, maszynach i wyrobach medycznych.
- Przejrzystość, art. 50: bez opóźnienia. Dostawcy generatywnych systemów AI, które są już na rynku, mają czas do 2 grudnia 2026 na dodanie oznaczeń czytelnych maszynowo. To termin najbliższy dzisiejszemu dniu.
- Zakazane, art. 5: obowiązuje od lutego 2025.
Wymagania dla systemów wysokiego ryzyka są bez zmian. Przesunęła się data egzekwowania. Jeden obowiązek złagodzono: według przepisanego art. 4 dostawcy i podmioty stosujące nadal muszą podejmować działania wspierające kompetencje w zakresie AI, ale od nikogo nie wymaga się konkretnego poziomu tych kompetencji.
Kary z art. 99 sięgają 35 mln EUR lub 7% światowego rocznego obrotu za zakazane praktyki oraz 15 mln EUR lub 3% za większość pozostałych obowiązków, w tym wymagania dla wysokiego ryzyka i przejrzystość z art. 50. Górną granicą jest wyższa z dwóch kwot, a dla start-upów i innych MŚP niższa. Faktyczną karę ustalają organy krajowe.
Podsumowanie
Zaplanuj te możliwości w budżecie projektu, w moim zgrubnym szacunku z DealWizard to około 15% budżetu, i płać za nie dalej w eksploatacji i ciągłości. Modele, dane i opinie użytkowników wciąż się zmieniają. W DealWizard nikt nie wymagał ode mnie stosowania AI Act, a stosowałem go w dużej części, bo ma to sens. AI Act to gotowa lista pytań, które warto zadać o systemie, którego nie da się w pełni przewidzieć. Skorzystaj z niej, gdy Twój proof of concept zaczyna zmierzać do produkcji.
Źródła
Wszystkie strony sprawdzone 28 października 2026. Tekst skonsolidowany na artificialintelligenceact.eu to pomoc w czytaniu, a nie Dziennik Urzędowy.
- Rozporządzenie (UE) 2024/1689 w EUR-Lex
- Tekst skonsolidowany: art. 3, art. 4, art. 5, art. 10, art. 11, art. 12, art. 13, art. 14, art. 50, art. 99, rozdział III: systemy wysokiego ryzyka, rozdział V: modele AI ogólnego przeznaczenia, załącznik I i załącznik III
- Digital Omnibus on AI (rozporządzenie (UE) 2026/1744): artificialintelligenceact.eu, Orrick i Cuatrecasas
- Case study DealWizard