Sztuczna inteligencja może rekrutować, analizować zachowania klientów, personalizować ofertę, oceniać dane czy wspierać bezpieczeństwo. Są jednak takie zastosowania AI, których nie można wdrożyć nawet po spełnieniu dodatkowych obowiązków czy zastosowaniu odpowiednich zabezpieczeń.
AI Act określa je jako zakazane praktyki w zakresie AI
Większość tych zakazów obowiązuje już od 2 lutego 2025 r. Nie oznacza to jednak, że od tej daty zakazane jest każde wykorzystanie AI, które może ingerować w decyzje człowieka albo przetwarza dane biometryczne. Art. 5 AI Act określa konkretne przypadki, w których sposób działania albo cel wykorzystania systemu AI powoduje, że jego stosowanie jest niedopuszczalne. Temat jest szczególnie istotny teraz. Od 2 sierpnia 2026 r. AI Act jest już co do zasady stosowany w pełnym zakresie przewidzianym na tym etapie regulacji, a w Polsce została właśnie opublikowana ustawa o systemach sztucznej inteligencji tworząca krajowy system nadzoru nad stosowaniem AI Act.
Najważniejszy wniosek dla Twojego biznesu: przed wdrożeniem systemu AI nie wystarczy sprawdzić, czy jest on high-risk. Pierwsze pytanie powinno brzmieć: czy sposób, w jaki chcemy wykorzystywać AI, nie jest zakazany?
1. Manipulowanie człowiekiem przy pomocy AI – kiedy przekraczamy granicę?
AI Act zakazuje wykorzystywania systemów AI stosujących techniki podprogowe albo celowo manipulacyjne lub wprowadzające w błąd, jeżeli prowadzą one do istotnego ograniczenia zdolności człowieka do podjęcia świadomej decyzji i w konsekwencji powodują lub mogą z dużym prawdopodobieństwem spowodować znaczącą szkodę. Nie oznacza to automatycznie zakazu personalizacji reklam, rekomendowania produktów czy wykorzystywania AI w sprzedaży. Granica przebiega dalej.
Wyobraźmy sobie system, który na podstawie bardzo szczegółowej analizy zachowania użytkownika rozpoznaje moment jego szczególnej podatności, a następnie celowo wykorzystuje określone bodźce, sposób prezentowania informacji albo presję psychologiczną w celu skłonienia go do decyzji, której w normalnych warunkach by nie podjął, narażając go przy tym na znaczącą szkodę. W takim przypadku nie chodzi już tylko o skuteczny marketing. Może pojawić się pytanie o zakazaną manipulację przy wykorzystaniu AI. W praktyce znaczenie ma więc nie samo to, że system personalizuje komunikat, ale w jaki sposób wpływa na decyzje człowieka, z jakim skutkiem i czy zachowuje on realną możliwość podjęcia świadomej decyzji.
2. Dzieci, osoby z niepełnosprawnościami i osoby w trudnej sytuacji – AI nie może wykorzystywać ich podatności
Odrębnie zakazane jest wykorzystywanie przez AI szczególnej podatności osoby lub grupy osób wynikającej z ich wieku, niepełnosprawności albo szczególnej sytuacji społecznej lub ekonomicznej, jeżeli prowadzi to do istotnego zniekształcenia ich zachowania i powoduje lub może spowodować znaczącą szkodę.
Praktyczny przykład? Aplikacja skierowana do dzieci nie powinna wykorzystywać AI do rozpoznawania ich podatności i nakłaniania do zachowań, które mogą być dla nich szkodliwe. Podobne ryzyko może wystąpić w przypadku rozwiązań kierowanych do osób znajdujących się w szczególnie trudnej sytuacji finansowej, jeżeli system świadomie wykorzystuje tę sytuację do wywierania na nich niedopuszczalnej presji.
To istotne przede wszystkim dla firm działających w sektorze konsumenckim, finansowym, gamingowym, e-commerce czy usług cyfrowych.
3. Social scoring – kiedy jest zakazany?
AI Act zakazuje również określonych form social scoringu, czyli oceniania lub klasyfikowania ludzi na podstawie ich zachowań społecznych albo znanych, wywnioskowanych lub przewidywanych cech osobistych lub osobowościowych. Sam scoring nie jest jednak automatycznie zakazany.
Problem pojawia się, gdy uzyskana ocena prowadzi do niekorzystnego traktowania osoby w sytuacji niezwiązanej z kontekstem, w którym zebrano dane, albo do traktowania jej w sposób nieuzasadniony lub nieproporcjonalny do jej zachowania. Przykładowo ryzykowny byłby model, w którym organizacja tworzy ogólny „wskaźnik wiarygodności” człowieka, wykorzystując informacje o jego zachowaniu w różnych, niepowiązanych sferach życia, a następnie na tej podstawie ogranicza mu dostęp do określonych usług.
AI Act nie zakazuje natomiast wszystkich systemów punktowych, scoringów kredytowych, modeli antyfraudowych czy ocen ryzyka. Każde takie rozwiązanie trzeba kwalifikować odrębnie, również z uwzględnieniem przepisów sektorowych i RODO.
4. Czy AI może czytać emocje pracowników? HR pod szczególną obserwacją
To jeden z zakazów, który może mieć największe znaczenie dla pracodawców. Co do zasady nie można wykorzystywać systemów AI do wnioskowania o emocjach pracownika w miejscu pracy. Zakaz obejmuje również instytucje edukacyjne. Wyjątek przewidziano dla systemów stosowanych ze względów medycznych lub bezpieczeństwa. W praktyce szczególnej ostrożności wymagają więc rozwiązania analizujące np. mimikę twarzy, głos, sposób wypowiadania się albo inne sygnały biologiczne lub behawioralne i na tej podstawie próbujące określić, czy pracownik jest zdenerwowany, zaangażowany, znudzony, zestresowany czy zadowolony.
Przykład: firma rozważa wdrożenie narzędzia analizującego obraz z kamery podczas spotkań online i tworzącego dla managera raport o poziomie zaangażowania, stresie albo nastawieniu poszczególnych pracowników.
Jeżeli system rzeczywiście wnioskuje w ten sposób o emocjach osób fizycznych, jego wykorzystanie w środowisku pracy może wchodzić bezpośrednio w zakres zakazu z art. 5 AI Act. Nie pomoże wówczas samo poinformowanie pracowników o korzystaniu z AI ani dodanie odpowiedniej klauzuli do regulaminu. Jeżeli praktyka jest zakazana, nie można jej zalegalizować poprzez zwiększenie transparentności.
5. Biometria – nie tylko rozpoznawanie twarzy
AI Act zakazuje systemów kategoryzacji biometrycznej, które na podstawie danych biometrycznych próbują wywnioskować szczególnie wrażliwe informacje dotyczące osoby, takie jak jej rasa, poglądy polityczne, przynależność do związku zawodowego, przekonania religijne lub filozoficzne, życie seksualne lub orientacja seksualna. To istotne rozróżnienie. Nie każde użycie biometrii jest na gruncie AI Act zakazane. Czym innym jest techniczne potwierdzenie tożsamości użytkownika, a czym innym wykorzystanie jego twarzy, sposobu zachowania czy innych danych biometrycznych do wyciągania wniosków dotyczących jego światopoglądu, orientacji seksualnej czy przekonań. Niezależnie od AI Act takie wykorzystanie danych może oczywiście rodzić również daleko idące konsekwencje na gruncie RODO.
6. Baza rozpoznawania twarzy zbudowana ze zdjęć z Internetu? Tego AI Act również zakazuje
Zakazane jest wykorzystywanie systemów AI do tworzenia lub rozszerzania baz danych służących rozpoznawaniu twarzy poprzez nieukierunkowane pobieranie zdjęć twarzy z Internetu lub nagrań CCTV. Chodzi przede wszystkim o masowe zbieranie obrazów osób na zapas, bez ukierunkowania na konkretny, określony zbiór danych. Dla przedsiębiorców oznacza to, że przy zakupie rozwiązań bazujących na rozpoznawaniu twarzy warto pytać nie tylko o skuteczność modelu i zgodność z RODO, ale również skąd pochodzą dane wykorzystane do stworzenia bazy oraz w jaki sposób została ona zbudowana.
7. Predictive policing i identyfikacja biometryczna w czasie rzeczywistym
AI Act przewiduje także zakazy dotyczące obszarów typowo publicznych. Nie można wykorzystywać AI do przewidywania ryzyka popełnienia przestępstwa przez konkretną osobę wyłącznie na podstawie jej profilowania albo oceny cech osobowości. System AI może natomiast, przy spełnieniu warunków wskazanych w AI Act, wspierać ocenę człowieka opartą już na obiektywnych i możliwych do zweryfikowania faktach bezpośrednio związanych z działalnością przestępczą.
Bardzo restrykcyjnie uregulowano również wykorzystywanie zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej przez organy ścigania. AI Act przewiduje w tym zakresie jedynie ściśle określone wyjątki, m.in. związane z poszukiwaniem określonych ofiar lub osób zaginionych, zapobieganiem poważnemu i bezpośredniemu zagrożeniu czy identyfikacją podejrzanych o określone poważne przestępstwa.
8. Nowe zakazy od 2 grudnia 2026 r. – AI Act został właśnie rozszerzony
Lista zakazanych praktyk nie jest zamkniętym historycznie katalogiem. W lipcu 2026 r. AI Act został zmieniony i uzupełniony o nowe zakazy dotyczące generowania lub manipulowania przy użyciu AI realistycznymi materiałami intymnymi lub seksualnymi przedstawiającymi możliwą do zidentyfikowania osobę bez jej wyraźnej zgody, a także określonymi materiałami dotyczącymi seksualnego wykorzystywania dzieci. Nowe przepisy obejmują m.in. technologie określane potocznie jako „nudification” albo „nudify apps”, pozwalające wygenerować realistyczny nagi lub seksualny wizerunek konkretnej osoby na podstawie jej zwykłego zdjęcia.
Co istotne, te nowe zakazy nie obowiązują jeszcze w sierpniu 2026 r. Zgodnie z aktualnym art. 113 AI Act znajdą zastosowanie od 2 grudnia 2026 r. Dostawcy takich rozwiązań powinni więc już teraz zweryfikować sposób działania swoich systemów i zastosowane zabezpieczenia.
9. Kara do 35 mln EUR albo 7% obrotu – zakazane praktyki to najwyższy poziom sankcji w AI Act
Naruszenie zakazu z art. 5 AI Act należy do najpoważniej sankcjonowanych naruszeń rozporządzenia. W przypadku przedsiębiorstwa administracyjna kara pieniężna może wynieść do 35 mln EUR albo do 7% całkowitego światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego – w zależności od tego, która z tych wartości jest wyższa. Dla MŚP AI Act przewiduje korzystniejszą zasadę – zastosowanie ma niższa z odpowiednich wartości procentowej i kwotowej.
Przy ustalaniu kary znaczenie mają m.in. charakter, waga i czas trwania naruszenia, liczba osób nim dotkniętych, rozmiar przedsiębiorstwa, stopień odpowiedzialności, zastosowane środki techniczne i organizacyjne, współpraca z organem oraz to, czy naruszenie było umyślne czy wynikało z niedbalstwa.
W Polsce krajowy system nadzoru jest obecnie organizowany na podstawie ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji. Ustawa ustanawia Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organ nadzoru rynku. Ministerstwo Cyfryzacji zapowiada rozpoczęcie działalności Komisji w listopadzie 2026 r.
10. Co to oznacza dla biznesu?
Największym błędem byłoby przyjęcie, że zakazane praktyki dotyczą wyłącznie producentów zaawansowanych modeli AI. AI Act obejmuje również podmioty stosujące systemy AI, a więc przedsiębiorstwa wykorzystujące gotowe narzędzia dostarczane przez zewnętrznych dostawców.
Dlatego przed wdrożeniem nowego rozwiązania warto ustalić przede wszystkim: co system rzeczywiście robi z danymi, jakie wnioski wyciąga o człowieku, na jakie decyzje wpływa i w jakim celu organizacja chce go wykorzystywać.
Szczególną uwagę powinny zwrócić organizacje korzystające z AI w HR, marketingu i sprzedaży, analizie zachowań konsumentów, rozwiązaniach biometrycznych, monitoringu, bezpieczeństwie oraz usługach skierowanych do dzieci lub innych grup szczególnie podatnych na wpływ.
Nie wystarczy przy tym polegać na nazwie produktu albo zapewnieniu dostawcy, że narzędzie jest „AI Act compliant”. Ten sam system może być wykorzystywany zgodnie z prawem w jednym celu, a w innym przypadku jego zastosowanie może prowadzić do naruszenia AI Act.
Komisja Europejska opublikowała również szczegółowe wytyczne dotyczące interpretacji zakazanych praktyk. Wytyczne nie są prawnie wiążące, ale zawierają praktyczne przykłady i pokazują sposób, w jaki Komisja interpretuje art. 5 AI Act.
Jeżeli wykorzystujesz AI w swojej organizacji i nie masz pewności, do której kategorii należy konkretny system albo czy planowany sposób jego użycia jest dopuszczalny, warto zweryfikować to przed wdrożeniem, a nie dopiero w przypadku kontroli lub zgłoszenia nieprawidłowości. Pomagamy przedsiębiorcom w identyfikacji wykorzystywanych systemów AI, ich kwalifikacji na gruncie AI Act oraz przygotowaniu praktycznych zasad i procedur bezpiecznego korzystania ze sztucznej inteligencji w organizacji.
