Zakazane praktyki AI - jak sprawdzić narzędzie przed wdrożeniem

AI Act - Zakazane praktyki i systemy wysokiego ryzyka

Zakazane praktyki AI - jak sprawdzić narzędzie przed wdrożeniem

W skrócie

Zakazane praktyki AI Act warto wykluczyć jeszcze przed zakupem narzędzia, które analizuje ludzi: ich twarz, głos, zachowanie albo historię zakupów. Pytanie zadaje zarząd, dział zakupów albo inspektor ochrony danych. Sprawdzenie obejmuje opis zastosowania, pytania do dostawcy, notatkę z oceny przy każdej literze art. 5 i zapisy w umowie.

Jak to wygląda w praktyce

Sieć sklepów odzieżowych wybiera naraz trzy narzędzia. Marketing chce aplikacji, która dobiera komunikaty do klientów według ich zachowania w sklepie internetowym. Dział HR testuje platformę rozmów wideo z modułem „analizy zaangażowania” kandydata. Ochrona rozważa system, który z nagrań monitoringu buduje bazę twarzy wszystkich osób wchodzących do sklepu. Zarząd pyta compliance, czy któreś z tych zastosowań jest zakazane i czy można podpisać umowy.

To samo pytanie pada po fakcie, gdy klient albo pracownik złoży skargę do KRiBSI (Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji), którą od 28 października 2026 r. może wnieść każdy, także anonimowo.

Co mówią przepisy

Art. 5 ust. 1 AI Act zakazuje wprowadzania do obrotu, oddawania do użytku lub wykorzystywania systemów AI w ośmiu sytuacjach (przy lit. h tylko wykorzystywania):

• lit. a techniki podprogowe, manipulacyjne lub wprowadzające w błąd, których celem lub skutkiem jest znacząca zmiana zachowania wyrządzająca lub mogąca wyrządzić poważną szkodę,
• lit. b wykorzystywanie słabości wynikających z wieku, niepełnosprawności albo szczególnej sytuacji społecznej lub ekonomicznej, z takim samym celem lub skutkiem,
• lit. c scoring społeczny, który prowadzi do krzywdzącego lub niekorzystnego traktowania w niezwiązanym kontekście albo traktowania nieuzasadnionego lub nieproporcjonalnego,
• lit. d ocena ryzyka popełnienia przestępstwa wyłącznie na podstawie profilowania lub cech osobowości,
• lit. e tworzenie baz do rozpoznawania twarzy przez nieukierunkowane pozyskiwanie wizerunków z internetu lub z nagrań telewizji przemysłowej,
• lit. f wnioskowanie o emocjach w miejscu pracy i w instytucjach edukacyjnych, poza względami medycznymi lub bezpieczeństwa,
• lit. g kategoryzacja biometryczna w celu wywnioskowania m.in. rasy, poglądów politycznych, przekonań religijnych lub orientacji seksualnej,
• lit. h zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej do celów ścigania przestępstw, poza wąskimi wyjątkami.

Zobacz też: Szkolenie Gotowość na AI ACT

Te zakazy stosuje się od 2 lutego 2025 r., także do systemów wdrożonych wcześniej (art. 111 ust. 1 i 2). Digital Omnibus (rozporządzenie (UE) 2026/1744) dodał lit. ba (realistyczne materiały intymne możliwej do zidentyfikowania osoby bez jej zgody) i lit. bb (materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych), stosowane od 2 grudnia 2026 r. Podmiot stosujący narusza je tylko wtedy, gdy sam używa systemu do generowania takich materiałów lub manipulowania nimi (art. 5 ust. 1a lit. b).

Art. 5 zakazuje praktyk, więc liczy się sposób użycia. Komisja Europejska wyjaśnia w wytycznych w sprawie zakazanych praktyk (pkt 39-40), że zakazy dotyczą każdego systemu AI, także ogólnego przeznaczenia, i oczekuje, że podmiot stosujący nie będzie obchodził zabezpieczeń dostawcy. Scoring społeczny nie dotyczy tylko władz: według wytycznych (pkt 170) zakaz obejmuje też firmy prywatne. Scoring nie jest jednak zakazany ogólnie: ocena zdolności kredytowej czy konkretne oceny pracowników nie są same w sobie zakazane, jeśli są zgodne z prawem i nie spełniają łącznie warunków lit. c (pkt 175). Te zastosowania należą za to do obszarów wysokiego ryzyka z załącznika III (pkt 5 lit. b i pkt 4 lit. b), co opisujemy w poście o sprawdzaniu, czy system AI jest wysokiego ryzyka.

Kara za naruszenie art. 5 wynosi do 35 000 000 EUR albo do 7% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, według kwoty wyższej (art. 99 ust. 3). Kwota niższa obowiązuje tylko MŚP (art. 99 ust. 6). Ulga dla małych spółek o średniej kapitalizacji z art. 99 ust. 6a obejmuje tylko kary z ust. 4 i 5, więc przy zakazanych praktykach liczy się kwota wyższa. W Polsce karę nakłada w drodze decyzji KRiBSI (art. 104 ust. 1 ustawy o systemach sztucznej inteligencji).

Co zrobić krok po kroku

1. Opisz zastosowanie, nie produkt. Właściciel biznesowy narzędzia (szef marketingu, HR albo ochrony) spisuje, kogo system ocenia, jakie dane przetwarza (obraz, głos, sposób pisania, historia zakupów) i jaką decyzję wspiera. Ten opis otwiera notatkę z oceny.
2. Wyślij dostawcy pytania kontrolne. Zakupy albo compliance pytają na piśmie, czy system wnioskuje o emocjach lub zamiarach z twarzy, głosu albo sposobu pisania i czy kategoryzuje osoby według danych biometrycznych. Pytają też, czy ocenia ludzi według zachowania społecznego lub cech osobowości, dobiera przekaz do słabości odbiorcy, buduje bazę twarzy z internetu albo z monitoringu i generuje realistyczne wizerunki osób. Zapytaj również, czy warunki użytkowania wykluczają zastosowania z art. 5, czego Komisja Europejska oczekuje od dostawców (wytyczne, pkt 40).
3. Sprawdź plany zespołu. Kierownik działu potwierdza na piśmie, do czego narzędzie posłuży: że nikt nie włączy analizy nastroju pracowników, nie połączy danych z niezwiązanych kontekstów do oceny klientów i nie obejdzie zabezpieczeń dostawcy. Granice zakazu dotyczącego emocji opisujemy w poście o analizie emocji pracowników i klientów.
4. Zapisz notatkę z oceny. Compliance wpisuje przy każdej literze art. 5 ust. 1 (a-h, ba, bb) odpowiedź „nie dotyczy” z uzasadnieniem albo decyzję o rezygnacji, dołącza odpowiedzi dostawcy i podpis osoby zatwierdzającej. Notatka trafia do rejestru systemów AI.
5. Wpisz zakazy do umowy i polityki. Dział prawny dodaje do umowy obowiązek dostawcy informowania o nowych funkcjach, które mogą zmienić wynik oceny, a polityka korzystania z AI wymienia zastosowania, których w firmie nie wolno włączać.
6. Powtarzaj ocenę przy zmianie. Nowy moduł, nowa grupa osób (pracownicy zamiast klientów) albo nowy cel uruchamia ponowną ocenę. Przed 2 grudnia 2026 r. dopisz do polityki zakaz generowania materiałów z lit. ba i bb i zapytaj dostawców generatorów obrazu, wideo i dźwięku o zabezpieczenia przed takim generowaniem.

Jak sprawdzić, że sprawa jest załatwiona

Dowodem jest notatka z oceny według art. 5 przy każdym narzędziu AI w rejestrze, z odpowiedziami dostawcy, postanowieniem umownym o zakazanych zastosowaniach i datami ponownych ocen. Kontrolę KRiBSI prowadzi się co do zasady zdalnie i nie wcześniej niż 7 dni po doręczeniu zawiadomienia (art. 49 ust. 2 i 3 ustawy), więc trzymaj dokumenty gotowe do wysłania. Przy systemach, które oceniają ludzi, zapisz też, jakie dane wejściowe do nich trafiają i skąd pochodzą. Komisja Europejska wyjaśnia w wytycznych (pkt 171), że w razie kontroli to dostawca i podmiot stosujący wykazują, że ocena jest zgodna z prawem i uzasadniona. Gdy kwalifikacja budzi wątpliwość, możesz złożyć do KRiBSI wniosek o opinię indywidualną (art. 9 ustawy).

Podstawa prawna i źródła

• art. 5 i art. 99 ust. 3, 6 i 6a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 111 ust. 1 i 2 oraz art. 113 lit. a AI Act (daty stosowania zakazów)
• rozporządzenie (UE) 2026/1744 (Digital Omnibus), art. 1 pkt 7 i 40: nowe zakazy z art. 5 ust. 1 lit. ba i bb oraz ust. 1a i 1b, stosowane od 2 grudnia 2026 r. (źródło)
• art. 9, 49, 59 i 104 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• Wytyczne Komisji w sprawie zakazanych praktyk w zakresie sztucznej inteligencji, C(2025) 5052 final, pkt 39-40, 170, 171 i 175 (źródło)
• gov.pl: Złóż skargę dotyczącą systemu sztucznej inteligencji (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001