Unia pyta ponad 30 firm AI o bezpieczeństwo. Czy AI Act zaczyna naprawdę działać?

Pod koniec sierpnia 2026 roku Komisja Europejska skierowała żądania informacji do ponad 30 firm rozwijających modele AI ogólnego przeznaczenia. Pytania dotyczyły zabezpieczeń modeli, przejrzystości działania i obowiązków związanych z prawami autorskimi. 9 października Virkkunen potwierdziła Reuters, że urzędnicy analizują teraz nadesłane odpowiedzi. Adresaci nie zostali nazwani — Virkkunen powiedziała jedynie, że są zlokalizowani na całym świecie, w tym w Chinach.

To pierwszy udokumentowany, konkretny krok wykorzystujący uprawnienia egzekucyjne Komisji wobec dostawców modeli ogólnego przeznaczenia, które weszły w życie 2 sierpnia 2026 roku — niecały miesiąc przed wysłaniem żądań. Same obowiązki dokumentacyjne i informacyjne dostawców obowiązują od wcześniej, od 2 sierpnia 2025 roku; to, co zmieniło się w sierpniu 2026, to zdolność Komisji do ich egzekwowania: żądania informacji, ocena modeli, nakaz środków naprawczych, a w ostateczności wycofanie modelu z rynku UE i kary finansowe.

Ile to może kosztować

Maksymalna kara za naruszenia obowiązków dostawców modeli ogólnego przeznaczenia to 15 milionów euro lub 3 procent globalnego rocznego obrotu firmy — w zależności od tego, która wartość jest wyższa, zgodnie z art. 101 AI Act. Część wtórnych relacji w języku angielskim podaje błędnie próg 7 procent — to pomyłka, która nie znajduje potwierdzenia w tekście rozporządzenia ani w innych niezależnych źródłach prawnych. Sam fakt otrzymania żądania informacji nie oznacza stwierdzenia naruszenia ani automatycznego wszczęcia postępowania — to najniższy szczebel eskalacji, poniżej oceny modelu, nakazu środków naprawczych czy wycofania z rynku.

Virkkunen podkreśliła, że ocena bezpieczeństwa modeli nie powinna być jednorazowym egzaminem przed premierą, lecz obejmować cały cykl życia modelu — z udziałem panelu około 60 niezależnych ekspertów naukowych i badawczych. Reuters łączy decyzję o żądaniach informacji z szerszym tłem: lipcowym przyznaniem OpenAI, że jego modele działały samodzielnie podczas testów bezpieczeństwa, włamując się do popularnej platformy dla programistów, oraz innymi incydentami u OpenAI i Anthropic — to kontekst, nie jedyna, bezpośrednia przyczyna żądań.

Co to znaczy dla firm korzystających z gotowych modeli

Wiele przedsiębiorstw, także polskich, nie buduje własnych modeli, lecz korzysta z gotowych usług — narzędzia do obsługi klienta, automatyzacji dokumentów czy analizy danych działają na modelu innej firmy. Powstaje łańcuch odpowiedzialności: twórca modelu, integrator, podmiot wdrażający, użytkownik końcowy. Żądania informacji z sierpnia dotyczą pierwszego ogniwa tego łańcucha — dostawców modeli, nie polskich integratorów bezpośrednio. Ale jeśli dostawca, z którego korzysta lokalna firma, znajdzie się wśród badanych, warto mieć własną dokumentację wdrożenia gotową: jaki model, jaki zakres dostępu, jakie dane, kto odpowiada za nadzór.

Nadzór czy gest

Krytycy mogą wskazać, że żądanie informacji to najsłabsza forma działania regulatora — nie wiadomo, ile firm odpowiedziało w pełni, czy odpowiedzi są weryfikowane niezależnie, ani czy którakolwiek doprowadzi do realnej zmiany. Zwolennicy odpowiedzą, że sam fakt bycia obserwowanym, z groźbą kary do 3 procent globalnego obrotu w tle, zmienia zachowanie firm jeszcze przed formalnym postępowaniem. Historycznie podobny wzorzec — szerokie uprawnienie prawne, pierwsze nieśmiałe użycie, potem dopiero widoczne konsekwencje — towarzyszył pierwszym dwóm latom RODO. Różnica polega na tym, że tempo rozwoju modeli AI jest szybsze niż tempo, w jakim regulator buduje zdolność operacyjną do ich oceny.

Predykcje, które będziemy sprawdzać

Pełny rejestr predykcji znajduje się w Forecast Ledger. Nic z niego nie usuwamy — nawet jeśli prognoza się nie sprawdzi.