Regulacje prawne dla AI: powtórka z GDPR czy korekta kursu?
- Mariusz Humięcki
- 30 gru 2025
- 4 minut(y) czytania
Wprowadzenie: pamięć regulacyjna i intuicyjny sprzeciw
Moja reakcja na regulacje dotyczące sztucznej inteligencji jest w dużej mierze przewidywalna: sceptycyzm, obawa przed utratą konkurencyjności wynikające z porównania do wcześniejszych doświadczeń z RODO. Nie jest to reakcja emocjonalna w próżni, lecz efekt pamięci instytucjonalnej, W której RODO zapisało się jako regulacja wykraczająca poza standardy globalne, generująca asymetryczne koszty zgodności i wpływająca na dynamikę innowacji.
Empiryczne analizy potwierdzają, że skutki GDPR nie ograniczały się do wzrostu kosztów compliance. Knut Blinda, Crispin Niebelb and Christian Rammer wskazują, że po wejściu w życie regulacji nastąpiło przesunięcie w kierunku innowacji inkrementalnych i zmniejszenie tych radykalnie wpływających na otoczenie biznesowe.
The results of firm fixed-effects panel regressions show that the GDPR caused a shift of innovation activities in firms affected by this new data protection regulation leading to more incremental and less radical innovation
Biorąc pod uwagę przełomowość momentu, w którym jesteśmy, obniżona zdolność do opracowywania i wprowadzania przełomowych produktów i usług wydaje się istotnie redukować europejski potencjał wykorzystania AI.
Ponadto raport ECIPE pokazuje, że GDPR działało jak bariera pozataryfowa, ograniczając handel usługami cyfrowymi UE z państwami trzecimi
At the mean sectoral data intensity, EU imports are 8.19 percent lower and EU exports are 4.15 percent lower to partners with non-aligned transfer regimes after 2018.
To właśnie na tle tych doświadczeń pojawia się dziś AI Act, budząc skojarzenia z kolejną regulacją, która – zanim jeszcze zacznie obowiązywać – już jest postrzegana jako koszt strategiczny.
AI jako przedmiot globalnej regulacji
Aby jednak właściwie ocenić sytuację, musze wyjść poza narrację, wedle której tylko Europa „reguluje AI”. Analiza Międzynarodowego Funduszu Walutowego pokazuje, że w latach 2020–2024 liczba inicjatyw regulacyjnych dotyczących AI wzrosła gwałtownie we wszystkich głównych gospodarkach świata (IMF Working Paper WP/24/65 https://www.imf.org/-/media/files/publications/wp/2024/english/wpiea2024065-print-pdf.pdf).
Unia Europejska zdecydowała się na podejście systemowe, materializujące się w EU AI Act. Kluczowym elementem tego aktu jest klasyfikacja systemów AI według poziomu ryzyka oraz wyodrębnienie modeli ogólnego przeznaczenia (GPAI), dla których przewidziano szczególne obowiązki w zakresie dokumentacji, transparentności i zarządzania ryzykiem systemowym.
Stany Zjednoczone przeszły w tym samym okresie wyraźną ewolucję. W październiku 2023 r. prezydent Joe Biden podpisał Executive Order 14110 („Safe, Secure, and Trustworthy Development and Use of Artificial Intelligence”), który wprowadzał federalne ramy koordynacyjne, w tym wymogi testowania modeli, raportowania ryzyk i standaryzacji podejścia administracji do AI. Dokument jasno wskazywał, że rozwój AI musi iść w parze z ograniczaniem ryzyk systemowych.
Ten kierunek został jednak odwrócony w 2025 r., gdy administracja Donalda Trumpa formalnie uchyliła EO 14110 i zastąpiła je rozporządzeniem o charakterze deregulacyjnym („Removing Barriers to American Leadership in Artificial Intelligence”). Nowa linia polityczna akcentuje prymat innowacyjności i globalnej dominacji technologicznej, przy jednoczesnym ograniczeniu federalnych mechanizmów prewencyjnych.
W praktyce oznaczało to przesunięcie ciężaru regulacyjnego na poziom stanowy – z czego najdalej idące konsekwencje widać w Kalifornii.
Kalifornia jako de facto regulator technologiczny
Kalifornia od lat pełni rolę quasi-regulatora technologii w USA, a w 2025 r. formalnie potwierdziła tę pozycję, przyjmując ustawę SB 53 (California Senate Bill 53). Akt ten wprowadza pojęcie „frontier model” i – co szczególnie istotne – definiuje je poprzez próg obliczeniowy treningu: powyżej 10^26 operacji (integer lub floating-point).
W odróżnieniu od podejścia unijnego, regulacja kalifornijska koncentruje się głównie na obowiązkach transparentności i odpowiedzialności, nie budując rozbudowanego reżimu ex ante dla modeli poniżej tego progu.
Ten element – precyzyjnie zapisany próg compute – umożliwia bezpośrednie porównanie z regulacją europejską.
Regulacyjny punkt ciężkości: modele generatywne
Bardzo ciekawa i daleko idąca różnica pomiędzy UE a USA ujawnia się w regulacji modeli generatywnych. W praktyce interpretacyjnej AI Act za punkt odniesienia dla modeli GPAI o ryzyku systemowym przyjmuje się próg treningu rzędu 10^25 FLOPs. Jego przekroczenie wiąże się z dodatkowymi obowiązkami: raportowaniem, dokumentacją źródeł danych, oceną ryzyk oraz wdrażaniem mechanizmów nadzorczych.
Kalifornia ustawia ten próg o rząd wielkości wyżej – 10^26 FLOPs. Z pozoru różnica jednego zera może wydawać się techniczna, jednak z perspektywy ekonomicznej ma fundamentalne znaczenie.
Analizy (np. What does 10^25 versus 10^26 mean? | Import AI) pokazują że różnica w kosztach treningu modeli pomiędzy 10^25 a 10^26 oznacza różnice dziesiątek milionów dolarów, a w pełnym ujęciu programu treningowego – nawet znacznie więcej. W uproszczeniu: różnica jednego rzędu wielkości w compute oznacza zbliżoną różnicę w koszcie samego przetwarzania, zanim uwzględni się personel, iteracje treningu czy amortyzację infrastruktury.
Efekt regulacyjny jest więc istotny. Regulacja UE obejmuje cięższym reżimem zdecydowanie większą liczbę modeli i podmiotów wcześniej niż regulacje kalifornijskie. W praktyce sprzyja to największym graczom globalnym, którzy są w stanie absorbować koszty compliance, i podnosi barierę wejścia dla mniejszych zespołów badawczych – mechanizm znany już z okresu po wprowadzeniu GDPR.
Polska: między implementacją a brakiem strategii
Na tym tle sytuacja Polski jest szczególna. AI Act jako rozporządzenie UE obowiązuje bezpośrednio, lecz wymaga krajowych ram wykonawczych: wyznaczenia organów nadzoru, procedur egzekucyjnych i sankcji operacyjnych. Rolę tę ma pełnić Ustawa o systemach sztucznej inteligencji (UC71), projekt opublikowany na portalu gov.pl (Projekt ustawy o systemach sztucznej inteligencji - Kancelaria Prezesa Rady Ministrów - Portal Gov.pl)
Na koniec 2025 r. prace legislacyjne pozostają opóźnione, a odpowiedzialność instytucjonalna rozproszona. Oznacza to, że część obowiązków wynikających z AI Act zacznie dotyczyć firm działających w Polsce zanim krajowy system nadzoru będzie w pełni operacyjny.
Termin | Wymagania wynikające z AI Act | Implikacje dla firm w Polsce |
luty 2025 | Zakaz praktyk niedopuszczalnych, obowiązki AI literacy | Bezpośrednie stosowanie – niezależnie od statusu ustawy krajowej |
sierpień 2025 | Governance i obowiązki dla GPAI | Wysokie ryzyko luki interpretacyjnej i organizacyjnej |
sierpień 2026 | Pełne stosowanie większości przepisów | Deadline na wdrożenie procesów i architektury zarządzania AI |
Refleksja końcowa
Pytanie, przed którą stoją organizacje to nie wyłącznie jak spełnić wymagania prawne, odhaczając kolejny obszar jako zgodny, co samo w sobie przy aktualnym stanie prawnym w Polsce może być wymagające. Ale przede wszystkim opracowanie strategii jak wykorzystać tą unikalną sytuację, by zbudować przewagi strategiczne pomimo, a może dzięki regulacjom.
Komentarze