Omnibus UE przesuwa przepisy aktu o AI dla systemów wysokiego ryzyka na 2027 i 2028 r.

Co zmienia omnibus

Omnibus cyfrowy w sprawie AI opublikowano w Dzienniku Urzędowym. Obowiązuje od 27 lipca 2026 r. Zmienia akt o AI, rozporządzenie (UE) 2024/1689 z 13 czerwca 2024 r., które weszło w życie 1 sierpnia 2024 r. Kancelaria Mayer Brown podała, że zmiany mają uprościć wdrażanie przepisów i ograniczyć ich nakładanie się na istniejące regulacje.

Obowiązki dla systemów AI o zastosowaniach wysokiego ryzyka wymienionych w załączniku III stosuje się od 2 grudnia 2027 r. Chodzi między innymi o biometrię, infrastrukturę krytyczną, edukację, zatrudnienie, egzekwowanie prawa i zarządzanie granicami. Systemy wysokiego ryzyka stosowane jako komponenty bezpieczeństwa w produktach objętych unijnymi przepisami sektorowymi podlegają obowiązkom od 2 sierpnia 2028 r. Opóźnienie ma dać unijnemu komitetowi normalizacyjnemu czas na publikację norm aktu o AI. Normy określają, jak dostawcy mają spełniać wymogi, a po publikacji w Dzienniku Urzędowym dają domniemanie zgodności, podał Data Protection Report.

Omnibus przenosi też unijne rozporządzenie maszynowe 2023/1230 do załącznika I sekcji B. Wymogi dla maszyn z AI będą realizowane przez to rozporządzenie, a nie bezpośrednio przez akt o AI. Komisja musi przyjąć akty delegowane włączające te obowiązki do 2 sierpnia 2028 r., podała Mayer Brown.

Wobec systemów wysokiego ryzyka, które działały już przed nowymi terminami, akt stosuje się do operatorów tylko wtedy, gdy systemy przejdą istotne zmiany w konstrukcji po tej dacie. W przypadku operatorów będących organami publicznymi nie jest jasne, czy terminy stosowania też zostaną przesunięte, podała Mayer Brown.

Nowy zakaz aplikacji do rozbierania zdjęć

Omnibus dodaje zakaz systemów AI, które tworzą materiały z wykorzystaniem seksualnym dzieci albo przedstawiają intymne części ciała lub czynności seksualne dającej się zidentyfikować osoby bez jej zgody. Zakaz obejmuje wprowadzanie takich systemów na rynek UE, wprowadzanie ich na rynek bez rozsądnych środków bezpieczeństwa oraz używanie ich przez wdrażających do tworzenia takich treści. Dostawcy mają czas na dostosowanie się do 2 grudnia 2026 r., podała Mayer Brown.

Zasady przejrzystości bez zmian terminu

Omnibus nie przesunął pozostałych wymogów przejrzystości. Obowiązki z artykułu 50, takie jak informowanie ludzi o rozmowie z AI i oznaczanie deepfake'ów, stosuje się od 2 sierpnia 2026 r. do systemów wprowadzonych na rynek po tej dacie. Dostawcy generujący syntetyczne audio, obrazy, wideo lub tekst mają ograniczony okres przejściowy do 2 grudnia 2026 r. na oznaczanie treści w formacie czytelnym maszynowo. Dotyczy on tylko tego obowiązku i systemów wprowadzonych na rynek przed 2 sierpnia 2026 r.

Komisja opublikowała 20 lipca 2026 r. ostateczne wytyczne dotyczące przejrzystości z artykułu 50 oraz pierwszą listę ponad 180 organizacji, które podpisały kodeks postępowania w sprawie przejrzystości treści generowanych przez AI.

Egzekwowanie przepisów

Uprawnienia Biura ds. AI do egzekwowania przepisów obowiązują od 2 sierpnia 2026 r., podaje strona Komisji poświęcona egzekwowaniu. Obejmują dostawców modeli ogólnego przeznaczenia, systemy AI rozwijane przez tego samego dostawcę lub dostawcę z tej samej grupy kapitałowej oraz systemy AI zintegrowane z bardzo dużymi platformami internetowymi lub wyszukiwarkami wyznaczonymi na mocy aktu o usługach cyfrowych. Wobec pozostałych systemów AI przepisy egzekwują organy krajowe. Naruszenia dotyczące praktyk zakazanych mogą skutkować karą do 35 mln euro lub 7% rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Inne naruszenia, w tym obowiązki dla modeli ogólnego przeznaczenia, mogą skutkować karą do 15 mln euro lub 3%. Błędna obsługa wniosku o informacje może oznaczać karę do 7,5 mln euro lub 1% w przypadku systemów AI.

Co dalej

Nowy zakaz to najbliższy termin: dostawcy i wdrażający objętych systemów mają czas do 2 grudnia 2026 r. Potem dołącza on do obowiązujących w akcie zakazów, stosowanych od 2 lutego 2025 r. Egzekwowanie tych zakazów należy do krajowych organów nadzoru rynkowego. Część państw członkowskich jeszcze po terminie wyznaczonym na 2 sierpnia 2025 r. przyjmowała przepisy wykonawcze, podał Data Protection Report.