Sankcje AI Act mogą sięgać 35 mln € lub 7% światowego obrotu. Szczegóły kar według rodzaju naruszenia i porównanie z RODO.
Europejskie Rozporządzenie w sprawie sztucznej inteligencji (Rozporządzenie 2024/1689) wprowadza jeden z najsurowszych systemów sankcji w europejskim prawie cyfrowym. Z karami sięgającymi 35 milionów euro lub 7% światowego obrotu AI Act wysyła jasny sygnał: brak zgodności w zakresie AI to nie abstrakcyjne ryzyko, to poważne ryzyko finansowe.
Artykuł 99 — Règlement (UE) 2024/1689
Państwa członkowskie określają system sankcji i innych środków egzekucyjnych, które mogą również obejmować ostrzeżenia i środki niepieniężne, mających zastosowanie do naruszeń niniejszego rozporządzenia przez operatorów, i podejmują wszelkie niezbędne środki w celu zapewnienia ich prawidłowego i skutecznego stosowania […].
Artykuł 99 rozporządzenia definiuje trzy progi sankcji, w zależności od wagi naruszenia.
Najwyższy poziom sankcji ma zastosowanie do naruszeń Artykułu 5 (zakazane praktyki):
Kara może sięgać 35 milionów euro lub 7% rocznego światowego obrotu firmy, zastosowanie ma wyższa kwota.
Dla firmy o obrotach 500 milionów euro oznacza to potencjalnie 35 milionów euro kary. Dla globalnego koncernu z obrotami 10 miliardów euro, teoretyczna kara sięga 700 milionów euro.
Drugi próg karze naruszenia obowiązków dotyczących systemów AI wysokiego ryzyka i modeli AI ogólnego przeznaczenia:
Ten ostatni punkt jest kluczowy: brak szkolenia pracowników w zakresie AI podlega temu progowi. Firma, która nie podjęła żadnych środków w celu zapewnienia wystarczającego poziomu kompetencji w zakresie AI dla swojego personelu, naraża się na kary sięgające 15 milionów euro lub 3% światowego obrotu.
Trzeci próg ma zastosowanie, gdy firma dostarcza organom lub jednostkom notyfikowanym informacji niedokładnych, niepełnych lub wprowadzających w błąd:
Kara może sięgać 7,5 miliona euro lub 1,5% rocznego światowego obrotu.
Aby ocenić surowość reżimu AI Act, porównanie z RODO jest wymowne:
| Kryterium | RODO | AI Act |
|---|---|---|
| Maksymalna kara (kwota stała) | 20 mln € | 35 mln € |
| Maksymalna kara (% obrotu) | 4% światowego obrotu | 7% światowego obrotu |
| Liczba progów | 2 | 3 |
| Obowiązuje od | Maja 2018 | Stopniowo (2025-2027) |
| Organ nadzorczy | Organy ochrony danych | Organy krajowe + Europejskie Biuro ds. AI |
Europejski prawodawca celowo ustalił sankcje AI Act powyżej tych z RODO. Przekaz jest jasny: ryzyka związane ze źle zarządzaną AI są uznawane za co najmniej tak poważne jak te dotyczące ochrony danych — a firmy będą odpowiednio karane.
Dla przypomnienia — sankcje RODO nie pozostały teoretyczne. W 2023 roku Meta otrzymała karę 1,2 miliarda euro od irlandzkiego organu. Amazon otrzymał 746 milionów euro w 2021 roku w Luksemburgu. W Polsce UODO nakładał już istotne kary na mocy RODO. Europejskie organy udowodniły, że nie wahają się stosować maksymalnych sankcji wobec dużych firm.
Rozporządzenie przewiduje dostosowane traktowanie małych firm. Artykuł 99(6) precyzuje, że kary muszą być “skuteczne, proporcjonalne i odstraszające”. Dla MŚP i startupów organy muszą uwzględniać rentowność ekonomiczną przedsiębiorstwa.
Konkretnie:
Każde państwo członkowskie musi wyznaczyć jeden lub więcej właściwych organów krajowych odpowiedzialnych za nadzór rynku i egzekwowanie rozporządzenia. W Polsce odpowiedzialność ta będzie prawdopodobnie podzielona między kilka instytucji:
Utworzone w ramach Komisji Europejskiej, Europejskie Biuro ds. AI pełni rolę koordynacyjną i posiada bezpośrednie kompetencje w odniesieniu do modeli AI ogólnego przeznaczenia. Może:
Poza karami, mechanizm AI Act opiera się na fundamentalnej zasadzie: ciężar dowodu spoczywa na firmie. To nie organ musi wykazać, że nie jesteś zgodny — to Ty musisz wykazać, że jesteś.
Mierzalny i identyfikowalny wskaźnik kompetencji dla każdego pracownika stanowi szczególnie mocny element dowodowy dla Artykułu 4. Podobnie, pełna historia przebytych szkoleń, z datami, treściami i wynikami, pozwala obiektywnie udowodnić zgodność.
W przypadku kontroli, najgorsza sytuacja to nie posiadanie niedoskonałego programu zgodności — to nieposiadanie żadnego. Organy wezmą pod uwagę wysiłki podjęte przez firmę. Rozpoczęcie ustrukturyzowanego podejścia, nawet niepełnego, jest zawsze lepsze od całkowitej bierności.
📄Audyt AI w firmie: praktyczny przewodnik krok po kroku→Sankcje stosowane są stopniowo, zgodnie z wejściem w życie poszczególnych obowiązków:
| Data | Obowiązujące przepisy | Stosowane sankcje |
|---|---|---|
| 1 lutego 2025 | Zakazane praktyki (Artykuł 5) | Do 35 mln € / 7% |
| 2 sierpnia 2025 | Kompetencje w zakresie AI (Artykuł 4) + Modele ogólnego przeznaczenia | Do 15 mln € / 3% |
| 2 sierpnia 2026 | Systemy AI wysokiego ryzyka | Do 15 mln € / 3% |
| 2 sierpnia 2027 | Systemy wysokiego ryzyka zintegrowane w produktach regulowanych | Do 15 mln € / 3% |
Dwa pierwsze terminy już minęły. Firmy, które jeszcze nie podjęły działań w zakresie zakazanych praktyk i kompetencji AI, znajdują się już w strefie ryzyka.
Sankcje finansowe to tylko widoczna część. Brak zgodności z AI Act naraża na inne, równie istotne ryzyka:
Ce que ça implique pour vous
AI Act wprowadza najsurowsze sankcje w europejskim prawie cyfrowym: 35 milionów euro lub 7% światowego obrotu za zakazane praktyki, 15 milionów za systemy wysokiego ryzyka i brak szkolenia. Klucz do minimalizacji ryzyka: udowodnienie zgodności poprzez rzetelną dokumentację, udokumentowane szkolenia i mierzalne oceny. Pierwsze terminy już minęły — każdy dzień bez działania zwiększa narażenie.