W 2025 r. Prezes UOKiK wydał 900 decyzji i nałożył 1,15 mld zł kar z zakresu ochrony konkurencji i konsumentów. Dużo? A teraz dodaj do tego AI Act, który za naruszenie zakazanych praktyk przewiduje administracyjne kary pieniężne do 35 mln EUR albo 7% całkowitego rocznego światowego obrotu przedsiębiorstwa. Zakazy obowiązują od 2 lutego 2025 r. Trzeba jednak pamiętać, że w przypadku MŚP maksymalny pułap kary odpowiada niższej, a nie wyższej, z tych dwóch wartości.

Ten artykuł jest dla Ciebie, jeśli prowadzisz sklep internetowy, agencję digitalową albo w jakikolwiek sposób wykorzystujesz AI w sprzedaży lub marketingu. Wyjaśniam, czego pod AI Act robić nie wolno, kiedy system może zostać uznany za system wysokiego ryzyka i jakie obowiązki przejrzystości zaczną być stosowane od 2 sierpnia 2026 r. Artykuł ilustruje przykładami i choć częśc z nich takie jak FTC, EPIC, EHRC i inne nie są rozstrzygnięciami wydanymi na podstawie AI Act to dobrze ilustrują w czym rzecz. Pokazują ryzyka, na które odpowiada unijne rozporządzenie.

Czym jest system AI w rozumieniu AI Act?

Zanim przejdziemy do zakazów, warto ustalić jedną rzecz: definicja systemu AI jest szeroka, ale nie obejmuje automatycznie każdego programu komputerowego. Zgodnie z art. 3 pkt 1 AI Act system AI to system maszynowy zaprojektowany do działania z różnym poziomem autonomii, który może wykazywać zdolność adaptacji po wdrożeniu i który – dla wyraźnych lub dorozumianych celów – wnioskuje na podstawie danych wejściowych, jak generować wyniki, takie jak predykcje, treści, zalecenia lub decyzje wpływające na środowisko fizyczne lub wirtualne.

Co to oznacza dla Twojego biznesu? Chatbot na stronie sklepu, system rekomendacji produktów, narzędzie do scoringu klientów, generator opisów produktów czy rozwiązanie optymalizujące targetowanie reklam mogą spełniać definicję systemu AI. Ocena zależy jednak od sposobu działania konkretnego rozwiązania, a nie wyłącznie od marketingowej etykiety „AI”.

Sposób wykorzystania narzędzia ma znaczenie, ale nie działa tu prosty automat. Jednorazowe użycie ogólnego modelu językowego nie powoduje jeszcze, że sam model „staje się” systemem wysokiego ryzyka. Jeżeli jednak AI ma filtrować, rankingować lub odrzucać kandydatów albo w istotny sposób wpływać na decyzję rekrutacyjną, konkretne wdrożenie może wejść w zakres załącznika III AI Act. Trzeba wtedy odrębnie ustalić przeznaczenie systemu, rzeczywisty wpływ na decyzję oraz role uczestników – w szczególności dostawcy i podmiotu stosującego.

Cztery poziomy ryzyka – użyteczna mapa, ale nie dosłowna treść przepisów

AI Act opiera się na podejściu zależnym od ryzyka. Popularna „piramida czterech poziomów” jest użytecznym uproszczeniem, ale nie stanowi formalnego katalogu ustawowego. W praktyce trzeba odróżnić przede wszystkim praktyki zakazane, systemy wysokiego ryzyka, obowiązki przejrzystości z art. 50 oraz pozostałe systemy, wobec których AI Act nie przewiduje szczególnego reżimu.

Na szczycie znajdują się praktyki zakazane z art. 5 AI Act. Niżej są systemy wysokiego ryzyka, które można stosować po spełnieniu wymagań dotyczących m.in. zarządzania ryzykiem, dokumentacji, jakości danych, rejestrowania zdarzeń i nadzoru człowieka. Oddzielną kategorię praktycznych obowiązków tworzy art. 50, dotyczący m.in. chatbotów, rozpoznawania emocji, deepfake’ów i określonych treści generowanych przez AI. Nie każda treść wygenerowana przez AI musi być jednak widocznie oznaczona użytkownikowi.

W e-commerce i digital marketingu najczęściej spotkasz obowiązki konsumenckie i dotyczące danych osobowych, art. 50 AI Act, a w określonych przypadkach także zakazy z art. 5 lub systemy wysokiego ryzyka. Sama obecność AI w procesie nie przesądza jeszcze, do której kategorii należy dane zastosowanie.

Co zmienił Digital Omnibus on AI – i czego nie przesunął?

Digital Omnibus on AI nie uchylił architektury AI Act. Przesunął przede wszystkim terminy stosowania obowiązków dotyczących systemów wysokiego ryzyka. Dla systemów wymienionych w załączniku III – m.in. stosowanych w zatrudnieniu i ocenie zdolności kredytowej – właściwą datą jest 2 grudnia 2027 r. Dla systemów związanych z bezpieczeństwem produktów objętych unijnym prawodawstwem harmonizacyjnym termin przypada na 2 sierpnia 2028 r.

Nie przesunięto natomiast zakazów obowiązujących od 2 lutego 2025 r. Zasadnicze obowiązki przejrzystości z art. 50 stosuje się od 2 sierpnia 2026 r. Wyjątek dotyczy obowiązku technicznego oznaczania wyników w formacie nadającym się do odczytu maszynowego: dostawcy systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. otrzymali okres przejściowy do 2 grudnia 2026 r.

Digital Omnibus dodał również nową zakazaną praktykę dotyczącą systemów przeznaczonych do generowania materiałów przedstawiających seksualne wykorzystywanie dzieci lub niekonsensualnych treści intymnych, w tym tzw. aplikacji „nudification”. Zakaz ten ma być stosowany od 2 grudnia 2026 r. Te kwestie nie dotyczą może ściśle Biznesu, a przynajmniej tego legalnego i związanego z e-commerce, ale warto o nich wspomnieć.

Praktyki zakazane – „nie”, ale dopiero po spełnieniu ustawowych przesłanek

Przepisy o zakazanych praktykach z art. 5 AI Act obowiązują od 2 lutego 2025 r. Sankcja może sięgnąć 35 mln EUR albo 7% całkowitego rocznego światowego obrotu przedsiębiorstwa. Dla przedsiębiorstw innych niż MŚP górnym pułapem jest wartość wyższa, natomiast dla MŚP – niższa. Trzeba też uważać na język: nie każda nieuczciwa praktyka z użyciem AI jest automatycznie praktyką zakazaną przez AI Act.

Techniki podprogowe, manipulacyjne lub wprowadzające w błąd

AI Act zakazuje systemów wykorzystujących techniki podprogowe, celowe techniki manipulacyjne lub wprowadzające w błąd, ale dopiero wtedy, gdy znacząco ograniczają zdolność osoby do podjęcia świadomej decyzji, prowadzą do decyzji, której inaczej by nie podjęła, oraz wyrządzają albo z uzasadnionym prawdopodobieństwem mogą wyrządzić poważną szkodę. To próg wyższy niż samo stwierdzenie, że interfejs był nieuczciwy lub irytujący.

Case: Amazon Prime. FTC zarzuciła Amazonowi wykorzystywanie dark patterns do zapisywania klientów do Prime bez ich świadomej zgody i utrudniania rezygnacji. Sprawa zakończyła się ugodą w 2025 r. Nie była to sprawa o AI Act ani nawet o AI. Jeżeli jednak system AI dynamicznie personalizowałby przeszkody w rezygnacji na podstawie rozpoznanych podatności użytkownika, mogłaby pojawić się podstawa do analizy art. 5 ust. 1 lit. a AI Act. Nadal trzeba byłoby wykazać wszystkie przesłanki, w tym poważną szkodę lub jej uzasadnione prawdopodobieństwo.

Co to znaczy dla Ciebie? Fałszywa informacja „zostały tylko 2 sztuki”, utrudnianie rezygnacji z subskrypcji albo personalizowanie dark patterns może naruszać prawo konsumenckie niezależnie od AI Act. Do zakazu z art. 5 potrzebne jest jednak coś więcej: użycie systemu AI, istotne ograniczenie zdolności podjęcia świadomej decyzji i poważna szkoda albo realne prawdopodobieństwo jej wystąpienia.

Przykład graniczny: system marketingowy rozpoznaje, że odbiorca znajduje się w stanie szczególnej podatności i właśnie w tym momencie dobiera agresywną ofertę „ostatniej szansy”. Sama godzina wysłania e-maila czy historia kliknięć nie wystarczą do stwierdzenia naruszenia. Ryzyko rośnie, gdy system celowo wykorzystuje rozpoznany stan osoby, ogranicza jej zdolność świadomego wyboru i może prowadzić do poważnej szkody finansowej lub innej.

Wykorzystywanie podatności ze względu na wiek, niepełnosprawność lub sytuację społeczną albo ekonomiczną

Art. 5 ust. 1 lit. b AI Act dotyczy systemów wykorzystujących podatność osoby lub grupy ze względu na wiek, niepełnosprawność albo szczególną sytuację społeczną lub ekonomiczną. Samo kierowanie reklamy do określonej grupy nie jest jeszcze zakazane. Konieczne są także istotne zniekształcenie zachowania oraz poważna szkoda albo jej uzasadnione prawdopodobieństwo.

Case: Epic Games / Fortnite. FTC nakazała Epic zapłatę 245 mln USD w związku z dark patterns prowadzącymi do niechcianych zakupów oraz umożliwianiem dzieciom generowania opłat bez odpowiedniej zgody rodziców. To również nie była sprawa na podstawie AI Act. Gdyby system AI rozpoznawał wiek lub dziecięcą podatność użytkownika i personalizował interfejs tak, aby zwiększać liczbę niezamierzonych zakupów, należałoby ocenić art. 5 ust. 1 lit. b. Wynik nadal zależałby od spełnienia przesłanki poważnej szkody.

Scenariusz z e-commerce: AI identyfikuje osoby w trudnej sytuacji finansowej i wyświetla im bardziej agresywne oferty BNPL, jednocześnie ograniczając widoczność informacji o kosztach. Taki mechanizm nie „wchodzi wprost” w zakaz wyłącznie dlatego, że wykorzystuje dane ekonomiczne. Może jednak zbliżać się do art. 5 ust. 1 lit. b, jeżeli celowo wykorzystuje podatność, istotnie zniekształca zachowanie i może spowodować poważną szkodę. Niezależnie od AI Act mogą znaleźć zastosowanie przepisy konsumenckie, kredytowe i o ochronie danych.

Social scoring osób fizycznych

AI Act zakazuje określonych systemów oceniających lub klasyfikujących osoby przez pewien czas na podstawie ich zachowania społecznego albo znanych, wywnioskowanych lub przewidywanych cech osobistych lub osobowości. Zakaz dotyczy sytuacji, gdy wynik prowadzi do niekorzystnego traktowania w kontekście niezwiązanym z kontekstem pozyskania danych albo do traktowania nieuzasadnionego lub nieproporcjonalnego do zachowania osoby.

Przykład porównawczy: rozbudowane systemy trust-rating, które łączą zachowania użytkownika z różnych obszarów życia i na tej podstawie ograniczają mu dostęp do niezwiązanych usług. To właśnie przenoszenie oceny między kontekstami jest jednym z głównych ryzyk, na które odpowiada zakaz social scoringu.

Dla sklepu internetowego sama analiza historii zwrotów lub nadużyć nie musi być zakazanym social scoringiem. Kontekstowa i proporcjonalna ocena ryzyka oszustwa może być dopuszczalna. Problem zaczyna się wtedy, gdy system łączy historię reklamacji, aktywność w mediach społecznościowych i inne niezwiązane dane, a następnie na tej podstawie ogranicza klientowi dostęp do płatności, promocji lub obsługi w sposób nieuzasadniony albo nieproporcjonalny.

Rozpoznawanie emocji w miejscu pracy

Case: HireVue. W 2019 r. organizacja EPIC złożyła do FTC skargę dotyczącą narzędzia rekrutacyjnego analizującego m.in. mimikę, głos i zachowanie kandydatów. W 2021 r. HireVue ogłosiło rezygnację z analizy twarzy. Nie było to rozstrzygnięcie FTC. Pod AI Act systemy wnioskujące o emocjach osoby na podstawie danych biometrycznych w miejscu pracy są co do zasady zakazane, z wyjątkiem zastosowań medycznych lub związanych z bezpieczeństwem.

Zakaz może obejmować monitoring emocji pracowników call center, ocenę „zaangażowania” uczestników szkolenia na podstawie obrazu z kamery lub analizę cech głosu pracownika w celu wnioskowania o jego emocjach. Zwykła analiza sentymentu oparta wyłącznie na treści wypowiedzi nie musi być jednak „systemem rozpoznawania emocji” w rozumieniu AI Act. Kluczowe jest wnioskowanie o emocjach na podstawie danych biometrycznych.

Systemy wysokiego ryzyka – wolno, ale terminy i role mają znaczenie

Systemy wysokiego ryzyka nie są zakazane. Digital Omnibus przesunął jednocześnie terminy stosowania zasadniczych wymogów: do 2 grudnia 2027 r. dla samodzielnych systemów z załącznika III oraz do 2 sierpnia 2028 r. dla systemów związanych z bezpieczeństwem produktów z załącznika I. Nie oznacza to, że do tych dat można ignorować RODO, prawo pracy, prawo konsumenckie, przepisy antydyskryminacyjne czy obowiązek zapewnienia kompetencji w zakresie AI.

Wymogi dotyczące zarządzania ryzykiem, jakości danych, dokumentacji technicznej, rejestrowania zdarzeń, przejrzystości i nadzoru człowieka obciążają przede wszystkim dostawcę systemu. Podmiot stosujący ma odrębne obowiązki, m.in. używanie systemu zgodnie z instrukcją, wyznaczenie kompetentnych osób do nadzoru, kontrolowanie danych wejściowych pozostających pod jego kontrolą, monitorowanie działania i przechowywanie dostępnych logów.

Rekrutacja i selekcja kandydatów z użyciem AI

Case: Amazon – narzędzie rekrutacyjne uczące się na historycznych danych. Opisywany publicznie system obniżał oceny CV zawierających określenia kojarzone z kobietami, ponieważ dane historyczne odzwierciedlały wcześniejszą strukturę zatrudnienia. Amazon porzucił projekt. To przykład tego, jak historyczny bias może zostać utrwalony przez automatyzację.

Załącznik III obejmuje systemy AI przeznaczone m.in. do rekrutowania lub wyboru osób, filtrowania podań i oceny kandydatów. Nie oznacza to jednak,  każdy kontakt AI z dokumentem rekrutacyjnym jest automatycznie high-risk. Art. 6 ust. 3 przewiduje wyjątek dla systemów, które nie stwarzają istotnego ryzyka szkody i nie wpływają materialnie na wynik decyzji, np. wykonują wąskie zadanie proceduralne lub przygotowawcze. Wyjątek nie działa, gdy system profiluje osoby fizyczne. Narzędzie poprawiające format CV może więc podlegać innej ocenie niż system rankingujący kandydatów lub rekomendujący ich odrzucenie.

Wrzucenie CV do ogólnego modelu językowego z poleceniem „uszereguj kandydatów i wskaż, kogo odrzucić” może prowadzić do zastosowania AI objętego załącznikiem III. Nie można jednak bez dalszej analizy stwierdzić, że użytkownik zawsze staje się dostawcą. Podmiot stosujący lub inna osoba staje się dostawcą m.in. wtedy, gdy zmienia przeznaczenie systemu niewysokiego ryzyka tak, że powstaje system wysokiego ryzyka, dokonuje istotnej modyfikacji albo oznacza system własną nazwą. Sam prompt nie rozstrzyga tej kwalifikacji.

AI wpływające na warunki pracy, ocenę i zakończenie współpracy

Case: Uber Eats / Pa Edrissa Manjang. Kurier miał problemy z weryfikacją twarzy, a po nieudanym sprawdzeniu i następującym po nim procesie automatycznym utracił dostęp do platformy. Sprawa dotycząca zarzutu dyskryminacji rasowej zakończyła się ugodą. EHRC zwracała uwagę na brak przejrzystej ścieżki zakwestionowania decyzji. W odrębnych sprawach przeciwko Uberowi i Oli sąd apelacyjny w Amsterdamie uznał część decyzji dotyczących kierowców za decyzje w pełni zautomatyzowane i nakazał przekazanie informacji pozwalających zrozumieć ich podstawy.

Jedna z najważniejszych zasad AI Act brzmi: nadzór człowieka musi być realny. Osoba nadzorująca system powinna mieć odpowiednie kompetencje, przeszkolenie, uprawnienia i możliwość zrozumienia ograniczeń systemu, zignorowania lub odrzucenia jego wyniku oraz zatrzymania działania, gdy jest to potrzebne. Formalne kliknięcie „zatwierdź” bez rzeczywistej oceny nie wystarczy. Human oversight – tak. Human decoration – nie.

Załącznik III obejmuje m.in. systemy przeznaczone do podejmowania decyzji wpływających na warunki stosunku pracy, awans i rozwiązanie umowy, przydzielania zadań na podstawie indywidualnego zachowania lub cech oraz monitorowania i oceny wydajności. W przypadku kontrahentów B2B kwalifikacja nie zawsze będzie identyczna jak przy pracownikach, dlatego trzeba przeanalizować rzeczywisty kontekst i wpływ decyzji na osobę fizyczną.

AI-scoring kredytowy i systemy BNPL

Systemy AI przeznaczone do oceny zdolności kredytowej osób fizycznych lub ustalania ich scoringu kredytowego są wymienione w załączniku III jako systemy wysokiego ryzyka. Wyjątek dotyczy systemów wykorzystywanych do wykrywania oszustw finansowych. Uzasadnienie jest proste: błędna lub dyskryminująca ocena może realnie ograniczyć dostęp do podstawowych usług i finansowania.

Dla e-commerce: jeżeli rozwiązanie BNPL wykorzystuje AI do oceny zdolności kredytowej klienta, sam system scoringowy może być high-risk. Nie oznacza to jednak, że każdy sklep udostępniający płatność od zewnętrznego operatora automatycznie staje się dostawcą lub podmiotem stosującym tego systemu. Znaczenie mają: kontrola nad systemem, przepływ danych, sposób integracji, wpływ sklepu na decyzję i podział ról w umowach z operatorem płatności.

Liczy się zastosowanie, ale także przeznaczenie systemu i Twoja rola

AI Act reguluje systemy w określonych zastosowaniach i rozdziela obowiązki między uczestników łańcucha wartości. Korzystanie z ChatGPT, Claude’a, Gemini lub innego LLM nie wyłącza odpowiedzialności, ale też nie oznacza automatycznie, że każdy użytkownik jest dostawcą systemu wysokiego ryzyka. Najpierw trzeba ustalić, kto rozwija system, kto określa jego przeznaczenie, kto sprawuje nad nim kontrolę i kto wykorzystuje wynik w konkretnym procesie.

Prosty test: wrzucasz do modelu dwa CV i prosisz o wskazanie, którego kandydata zatrudnić. W takim scenariuszu wynik AI może istotnie wpływać na decyzję rekrutacyjną, a zastosowanie może wejść w zakres załącznika III. Nie przesądza to jednak samo przez się, że wszystkie obowiązki dostawcy „spadają na Ciebie”. Możesz być podmiotem stosującym, a w określonych okolicznościach – po zmianie przeznaczenia systemu – także nowym dostawcą. Tę kwalifikację trzeba udokumentować, a nie zgadywać.

Chatboty, deepfake i treści generowane przez AI – co trzeba oznaczać od 2 sierpnia 2026 r.

Dostawca systemu przeznaczonego do bezpośredniej interakcji z człowiekiem powinien zapewnić, aby osoba została poinformowana, że rozmawia z AI, chyba że jest to oczywiste dla rozsądnie poinformowanego i uważnego odbiorcy. Dotyczy to m.in. chatbotów obsługowych i sprzedażowych.

Dostawcy systemów generujących syntetyczne audio, obrazy, wideo lub tekst mają zapewnić techniczne oznaczenie wyników w formacie nadającym się do odczytu maszynowego. To obowiązek po stronie dostawcy systemu, a nie ogólna zasada nakazująca przedsiębiorcy umieszczanie widocznej etykiety na każdej treści przygotowanej z pomocą AI. Choć obowiązki w tym zakresie zostały odroczone w czasie to jednak warto mieć ich swiadomość.

Podmiot stosujący musi ujawnić, że obraz, audio lub wideo stanowiące deepfake zostały sztucznie wygenerowane lub zmanipulowane. Widoczne ujawnienie dotyczy także tekstu publikowanego w celu informowania społeczeństwa o sprawach leżących w interesie publicznym, chyba że treść została poddana weryfikacji lub kontroli redakcyjnej przez człowieka, a osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną za publikację.

Nie każdy opis produktu napisany z pomocą AI wymaga zatem etykiety „wygenerowano przez AI”. Jeżeli jednak wygenerowane zdjęcie lub film przedstawia produkt albo zdarzenie w sposób, który może wprowadzać konsumenta w błąd co do rzeczywistych cech oferty, nadal mogą zostać naruszone przepisy o nieuczciwych praktykach rynkowych i reklamie – niezależnie od tego, czy materiał jest deepfake’em w rozumieniu AI Act.

Kary – trzy pułapy i ważny wyjątek dla MŚP

AI Act przewiduje trzy podstawowe maksymalne pułapy: 35 mln EUR albo 7% światowego obrotu za naruszenie zakazanych praktyk; 15 mln EUR albo 3% obrotu za naruszenie innych obowiązków operatorów, w tym obowiązków podmiotów stosujących i przejrzystości; oraz 7,5 mln EUR albo 1% obrotu za przekazanie organom lub jednostkom notyfikowanym informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd. Dla przedsiębiorstw innych niż MŚP stosuje się wyższy pułap. Dla MŚP, w tym startupów, kara nie może przekroczyć niższej z dwóch wartości.

Ten sam proces może jednocześnie podlegać kilku reżimom: AI Act, RODO, prawu konsumenckiemu, prawu pracy, przepisom antydyskryminacyjnym, Prawu komunikacji elektronicznej oraz prawu własności intelektualnej. Nie oznacza to automatycznego „mnożenia kar”. Organ ustalający sankcję powinien uwzględnić kary nałożone za to samo naruszenie lub za naruszenia innych przepisów wynikające z tego samego działania albo zaniechania. Ryzyko równoległych postępowań pozostaje jednak realne.

Co zrobić teraz? Pięć kroków na początek

Nie musisz od razu tworzyć osobnego stanowiska AI compliance officer. Potrzebujesz jednak procesu, właściciela tematu i pięciu konkretnych działań:

1. Zinwentaryzuj wszystkie systemy AI w firmie – także wtyczki, chatboty, systemy rekomendacji, automatyzację marketingu i integracje z API modeli językowych. Przy każdym narzędziu wskaż właściciela biznesowego, dostawcę, źródła danych i proces, w którym wynik jest wykorzystywany.
2. Określ swoją rolę i przeznaczenie systemu. Sprawdź, czy jesteś wyłącznie podmiotem stosującym, czy modyfikujesz system lub jego przeznaczenie w sposób mogący uczynić Cię dostawcą. Ustal, czy system wpływa na osoby fizyczne, dostęp do usług, kredytu, zatrudnienia albo warunki pracy.
3. Sprawdź zakazane praktyki i wdroż AI literacy. Zakazy obowiązują od 2 lutego 2025 r. Od tej samej daty stosuje się obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie AI osobom obsługującym systemy w imieniu organizacji.
4. Przygotuj się do art. 50 i do high-risk. Obowiązki przejrzystości co do zasady stosuje się od 2 sierpnia 2026 r. Dla systemów high-risk z załącznika III termin wynosi 2 grudnia 2027 r., a dla systemów związanych z bezpieczeństwem produktów – 2 sierpnia 2028 r. Przesunięcie terminu nie powinno wstrzymywać dokumentowania klasyfikacji, nadzoru i danych wejściowych.
5. Zaktualizuj umowy z dostawcami technologii i agencjami. Ureguluj przeznaczenie systemu, podział ról, dostęp do dokumentacji i logów, zasady nadzoru człowieka, obowiązki informacyjne, bezpieczeństwo danych, odpowiedzialność, prawo audytu oraz procedurę na wypadek zmiany klasyfikacji lub zakwestionowania praw do wygenerowanych materiałów.

Podsumowanie

AI Act nie jest abstrakcyjnym dokumentem z Brukseli. Zakazane praktyki obowiązują już od 2 lutego 2025 r., a obowiązki przejrzystości z art. 50 co do zasady od 2 sierpnia 2026 r. Digital Omnibus przesunął główne terminy dla systemów wysokiego ryzyka, ale nie zwolnił przedsiębiorców z analizy stosowanych narzędzi, prawa konsumenckiego, RODO ani obowiązku realnego nadzoru nad decyzjami wpływającymi na ludzi.

AI może dawać ogromną przewagę konkurencyjną. Pod warunkiem, że wiesz, jakie systemy masz, do czego ich używasz, kto odpowiada za ich działanie i dlaczego przyjąłeś określoną kwalifikację prawną. W AI compliance dokumentacja nie jest dodatkiem do procesu. Jest dowodem, że proces w ogóle został przemyślany.