EU AI Act wszedł w życie w sierpniu 2024 roku, a jego obowiązki są teraz wdrażane etapami. Do sierpnia 2026 roku większość systemów AI wysokiego ryzyka musi spełniać pełne wymagania oceny zgodności. Dla organizacji korzystających z AI w obszarze HR, oceny zdolności kredytowej, ochrony zdrowia, egzekwowania prawa i infrastruktury krytycznej pytanie nie brzmi już czy należy spełniać wymagania — lecz jak.

Co Właściwie Wymaga Ustawa o AI

Ustawa klasyfikuje systemy AI w cztery poziomy ryzyka:

Ryzyko niedopuszczalne — zakazane całkowicie (scoring społeczny, biometryczny nadzór w czasie rzeczywistym w przestrzeni publicznej)
Wysokie ryzyko — poważne obowiązki: oceny zgodności, przejrzystość, nadzór ludzki, zarządzanie danymi
Ograniczone ryzyko — mniejsze obowiązki w zakresie przejrzystości (chatboty muszą ujawniać, że są AI)
Minimalne ryzyko — brak szczegółowych obowiązków

Większość korporacyjnych wdrożeń LLM mieści się w kategoriach wysokiego ryzyka lub ograniczonego ryzyka. Jeśli Państwa system AI wpływa na decyzje dotyczące zatrudnienia, kredytu, ochrony zdrowia lub edukacji, prawdopodobnie należą Państwo do kategorii wysokiego ryzyka.

Dlaczego API Stron Trzecich Stwarzają Problemy z Compliance

Gdy wysyłają Państwo zapytania do API LLM z siedzibą w USA, kilka wymagań EU AI Act staje się strukturalnie trudnych do spełnienia:

Przejrzystość i rejestrowanie. Systemy AI wysokiego ryzyka muszą prowadzić logi „w zakresie niezbędnym do zapewnienia możliwości monitorowania systemu". W przypadku nieprzejrzystego API strony trzeciej mają Państwo ograniczoną widoczność tego, co faktycznie się dzieje.

Zarządzanie danymi. Ustawa wymaga, aby dane treningowe były „istotne, wystarczająco reprezentatywne i w miarę możliwości wolne od błędów". Korzystanie z ogólnego modelu chmurowego oznacza akceptowanie danych treningowych dostawcy — często bez żadnej karty zgodności z EU AI Act.

Nadzór ludzki. Systemy muszą być zaprojektowane tak, aby umożliwić ludziom „skuteczny nadzór" nad nimi. Jest to trudniejsze, gdy nie kontrolują Państwo stosu wnioskowania.

Obowiązki modeli GPAI. Modele AI ogólnego przeznaczenia ze ryzykiem systemowym (przybliżone: powyżej 10^25 FLOPs) podlegają szczególnym obowiązkom, w tym testom adversaryjnym i raportowaniu incydentów. Jeśli budują Państwo produkty na ich podstawie, przejmują część tego ryzyka.

Przewaga Suwerennej Infrastruktury

Prowadzenie własnej infrastruktury LLM w UE rozwiązuje wiele z tych problemów strukturalnie:

Ślady audytu są Państwa śladami audytu. EULLM Engine zawiera wbudowane logowanie zaprojektowane dla przypadków użycia związanych z compliance — kontrolują Państwo, co jest rejestrowane, przechowywane i raportowane.
Dane nigdy nie opuszczają Państwa obwodu. Brak transgranicznego transferu danych oznacza brak konieczności stosowania mechanizmów z Artykułu 46 GDPR.
Wybierają Państwo model. EULLM Hub dostarcza karty zgodności z AI Act dla każdego modelu — dzięki czemu dokładnie wiedzą Państwo, co wdrażają i mogą to uzasadnić przed organem nadzorczym.

Terminy, Które Należy Obserwować

| Data | Obowiązek | |------|-----------| | Luty 2025 | Obowiązuje zakaz niedopuszczalnych praktyk AI | | Sierpień 2025 | Obowiązują obowiązki modeli GPAI | | Sierpień 2026 | W pełni obowiązują wymagania dla systemów AI wysokiego ryzyka | | Sierpień 2027 | Określone starsze systemy AI muszą spełniać wymagania |

Jeśli czytają Państwo ten tekst w 2026 roku, termin sierpniowy jest bliski. Teraz jest czas na audyt Państwa stosu AI i przejście na infrastrukturę, którą faktycznie kontrolują Państwo.

EULLM to platforma open-source do wdrażania suwerennego, zgodnego z GDPR AI w UE. Zobacz na GitHub.