AI Act: Które polskie firmy wpadają w kategorię wysokiego ryzyka

Kto konkretnie jest celem? Oto lista branż pod lupą

AI Act nie jest zabawą w kotka i myszkę. To konkretne widełki, które łapią konkretne branże. I tu zaczyna się problem. Większość firm w Polsce myśli, że to ich nie dotyczy. Mylne założenie.

Kategorie wysokiego ryzyka są zdefiniowane ostro jak brzytwa. Kogo to boli?

• Systemy rekrutacyjne i oceny pracowników : każdy algorytm sortujący CV, monitorujący wydajność, przewidujący odejścia. Nawet małe agencje HR wpadają.
• Ocena zdolności kredytowej i ubezpieczenia : banki, firmy pożyczkowe, ubezpieczyciele. Tu diabeł tkwi w szczegółach scoringu.
• Systemy biometryczne w przestrzeni publicznej : rozpoznawanie twarzy na ulicach, analiza zachowań w galeriach handlowych.
• Dostęp do edukacji i usług publicznych, algorytmy oceniające kandydatów na studia, systemy przyznawania świadczeń socjalnych.
• Wymiar sprawiedliwości i migracje, narzędzia do oceny ryzyka recydywy, systemy weryfikacji imigrantów.

Lista jest długa. A co jeśli twoja firma produkuje zabawki z asystentem głosowym? Albo system do diagnostyki medycznej? Też możesz wpaść.

Jak systemy AI trafiają do kategorii high-risk? Praktyczny test

Wyobraź sobie, że twoja firma kupuje oprogramowanie do rekrutacji. Skanuje CV, wybiera kandydatów. Brzmi niewinnie? A to może być system wysokiego ryzyka. Unijny AI Act nie patrzy na intencje. Patrzy na konsekwencje. Jeśli algorytm decyduje o czyjejś karierze, zdrowiu albo wolności, wsiadasz do pierwszej klasy ryzyka.

Kryteria są konkretne. System działa w jednym z ośmiu obszarów: dostęp do pracy, edukacja, usługi publiczne, wymiar sprawiedliwości, migracje, infrastruktura krytyczna, biometria albo bezpieczeństwo produktów. I tu zaczyna się problem. Większość firm patrzy na swoją aplikację i myśli: „No przecież tylko sortujemy maile". Tylko że sortowanie maili to jedno. A sortowanie kandydatów według wieku, miejsca zamieszkania czy zdjęcia profilowego. to już pole minowe.

Jak to sprawdzić w praktyce? Zrób test. Weź swój system. Zadaj trzy pytania. Po pierwsze: czy podejmuje decyzje albo profiluje ludzi? Po drugie: czy te decyzje mają skutki prawne lub podobne? Po trzecie: czy używamy biometrii? Jeśli na któreś pytanie odpowiadasz „tak", witaj w klubie high-risk. Moim zdaniem wiele polskich firm świadomie udaje, że nie widzi tego ryzyka. Wolą iść na łatwiznę. A to pułapka. Bo kary za naruszenie mogą wynieść 7% globalnego obrotu. Brzmi jak absurd? Cóż, prawo nie zna litości.

Gdzie leży granica? Sprawdź, czy twoja firma musi zgłosić system

Zacznijmy od konkretów. AI Act dzieli systemy sztucznej inteligencji na cztery kategorie. Tylko jedna z nich wymaga zgłoszenia do urzędu. Mowa o systemach wysokiego ryzyka. Co to oznacza dla polskich firm? Unijny prawodawca uznał, że zagrożenie pojawia się, gdy AI decyduje o losie człowieka. System rekrutacyjny, który odrzuca CV bez udziału człowieka. Algorytm przyznający kredyt. Oprogramowanie do oceny uczniów. To właśnie te przypadki trafiają na listę. Gdzie więc przebiega granica? Jeśli twoje AI podejmuje decyzje prawne lub finansowe, to wysokie ryzyko. Jeśli tylko wspomaga człowieka, ale ostateczne zdanie należy do niego, masz więcej swobody. Brzmi prosto. Diabeł tkwi w szczegółach. Klasyfikacja zależy też od kontekstu użycia. System do diagnostyki medycznej to wysokie ryzyko. Ten sam algorytm używany do badań naukowych już nie. Logiczne? Nie zawsze. Unijny ustawodawca zostawił sporo niejasności. Moim zdaniem wiele firm celowo będzie szukać luk, by uniknąć zgłoszenia. To ryzykowne. Kary za złamanie przepisów sięgają 7 procent globalnego obrotu.

Kiedy system NIE jest wysokiego ryzyka, alternatywy i wyjątki

Spokojnie. Nie każda firma, która wdraża AI, ląduje w ogniu pytań i kontroli. AI Act zostawia furtki. I to całkiem spore. Systemy, które tylko sugerują, a nie decydują, na przykład chatboty polecające buty. to niskie ryzyko. Podobnie narzędzia do weryfikacji faktów czy podstawowej kategoryzacji dokumentów. Albo algorytmy, które pomagają w rekrutacji, ale ostateczne „tak” lub „nie” mówi człowiek. To działa.

Z mojego doświadczenia wynika, że większość polskich firm wpada właśnie do tej „szarej strefy” niskiego ryzyka. Mylne założenie? Często firmy panikują, myśląc, że każdy algorytm to wysokie ryzyko. Tymczasem wystarczy zmienić architekturę systemu. Zamiast automatu, który odrzuca klientów. narzędzie, które rekomenduje. Zamiast AI oceniającego pracowników, system analizujący dane bez personalnych konsekwencji. To nie czarna magia. Więcej o tym, gdzie przebiega granica, znajdziesz w szerszym kontekście przepisów.