Zakazane praktyki AI Act: 10 zakazów z art. 5 z przykładami i wyjątkami

👁 225 przeczytań

Zakazy z art. 5 to najsurowsza część AI Act. Osiem zakazów (litery a-h) obowiązuje od 2 lutego 2025, dwa kolejne - aplikacje „rozbierające” zdjęcia i generowanie materiałów z wykorzystywaniem dzieci (litery ba i bb) - od 2 grudnia 2026. Za złamanie każdego z nich grozi kara do 35 mln euro albo 7% obrotu. Dla zwykłej firmy najbardziej praktyczny jest zakaz rozpoznawania emocji pracowników i kandydatów.

Dziewięć praktyk czy dziesięć liter?

Komisja Europejska na swojej stronie liczy zakazy jako 9 praktyk: osiem z lutego 2025 i dziewiątą, „nudify i CSAM”, dodaną przez Digital Omnibus. W samym przepisie, czyli art. 5 ust. 1 AI Act, to litery a-h oraz ba i bb - razem dziesięć liter. Obie rachuby są poprawne, dlatego w tekstach o AI Act spotkasz zarówno „9”, jak i „10” zakazów. Ja trzymam się liter, bo to na nie powoła się organ w decyzji.

Wszystkie zakazy z art. 5 - tabela

Przykłady w tabeli to moja ilustracja, a nie interpretacja organu. O tym, czy konkretny system łamie zakaz, decydują okoliczności. Najbardziej szczegółowe objaśnienia dają wytyczne Komisji Europejskiej w sprawie zakazanych praktyk z lutego 2025 (w tym samym miesiącu, 6 lutego 2025, KE wydała też wytyczne do definicji systemu AI). Wytyczne nie są wiążące - ostatecznie przepis wykłada Trybunał Sprawiedliwości UE - ale organy nadzoru będą z nich korzystać.

Rozpoznawanie emocji - zakaz, który dotyczy firm

Zakaz z lit. f obejmuje systemy, które wyciągają wnioski o emocjach osoby w miejscu pracy albo w instytucji edukacyjnej. Wyjątek dotyczy systemów wdrażanych ze względów medycznych albo bezpieczeństwa. Zakaz obowiązuje od 2 lutego 2025, więc narzędzia kupione wcześniej też go łamią. Przejrzyj zwłaszcza:

• narzędzia do analizy nagrań rozmów, które oceniają „nastrój” konsultantów,
• systemy rekrutacyjne analizujące mimikę i głos kandydata na nagraniu,
• wtyczki do wideokonferencji mierzące „zaangażowanie” uczestników,
• aplikacje e-learningowe śledzące emocje uczniów przez kamerę.

Poza pracą i edukacją rozpoznawanie emocji nie jest zakazane. Jest natomiast systemem wysokiego ryzyka (załącznik III pkt 1), a osoby trzeba o nim informować (art. 50 ust. 3).

Nowe zakazy ba i bb od 2 grudnia 2026

Rozporządzenie 2026/1744 dopisało do art. 5 ust. 1 dwie litery i dwa ustępy wyjaśniające. Lit. ba dotyczy systemów, które generują lub przerabiają realistyczne obrazy, wideo, audio lub podobne materiały przedstawiające intymne części ciała albo czynności o jednoznacznie seksualnym charakterze możliwej do zidentyfikowania osoby, bez jej zgody. Lit. bb dotyczy materiałów CSAM. Skalę problemu pokazałem w tekście o 7600 reklamach aplikacji do rozbierania na Facebooku.

Ust. 1a zawęża zakaz. Wprowadzanie do obrotu takiego systemu jest zakazane tylko wtedy, gdy:

• generowanie takich treści jest zamierzonym celem systemu, albo
• jego projekt, trening, architektura lub funkcje sprawiają, że takie treści są racjonalnie przewidywalnym i odtwarzalnym wynikiem bez znaczących modyfikacji technicznych, a system nie ma zabezpieczeń, które w sposób niezawodny temu zapobiegają i korygują zgłoszone nadużycia.

Wykorzystywanie jest zakazane tylko wtedy, gdy podmiot stosujący sam generuje takie materiały. Ust. 1b dodaje, że przeróbka, która nie zwiększa ekspozycji intymnych części ciała ani nie zmienia charakteru przedstawionych czynności, nie jest „manipulacją”. Czytam to tak: twórca ogólnego generatora obrazów odpowiada, jeśli jego narzędzie łatwo i powtarzalnie „rozbiera” ludzi, a on nie wdrożył skutecznych blokad. Więcej o całym pakiecie zmian w tekście o Digital Omnibus.

Identyfikacja biometryczna na żywo - wyjątki z ust. 2-7

Zakaz z lit. h nie jest bezwzględny. Policja może użyć rozpoznawania twarzy w czasie rzeczywistym w przestrzeni publicznej tylko w trzech celach:

1. ukierunkowane poszukiwanie konkretnych ofiar uprowadzeń, handlu ludźmi lub wykorzystywania seksualnego oraz osób zaginionych,
2. zapobieganie konkretnemu, istotnemu i bezpośredniemu zagrożeniu życia albo realnemu zagrożeniu atakiem terrorystycznym,
3. lokalizacja lub identyfikacja osoby podejrzanej o przestępstwo z załącznika II zagrożone karą pozbawienia wolności, której górna granica wynosi co najmniej 4 lata.

Do tego dochodzą warunki z dalszych ustępów art. 5:

• system służy tylko potwierdzeniu tożsamości konkretnej osoby, a przed użyciem trzeba ocenić skutki dla praw podstawowych i zarejestrować system (ust. 2),
• każde użycie wymaga wcześniejszej zgody sądu albo niezależnego organu; w pilnej sytuacji wniosek trzeba złożyć najpóźniej w 24 godziny, a po odmowie przerwać użycie i usunąć dane (ust. 3),
• o każdym użyciu informuje się organ nadzoru rynku i organ ochrony danych (ust. 4),
• państwo członkowskie może w ogóle nie dopuścić takich systemów albo dopuścić je w węższym zakresie - potrzebne są do tego przepisy krajowe (ust. 5),
• organy krajowe i Komisja publikują roczne sprawozdania (ust. 6 i 7).

W polskiej ustawie z 3 lipca 2026 o systemach sztucznej inteligencji nie znalazłem przepisów, które wprowadzałyby taką możliwość na podstawie ust. 5. Jak drogo i nieskutecznie potrafi działać rozpoznawanie twarzy w praktyce, opisałem na przykładzie pilotażu na londyńskich dworcach.

Co sprawdzi KRiBSI w pierwszej kolejności

Pamela Krzypkowska, wybrana na przewodniczącą KRiBSI, podczas przesłuchania w Senacie 15 września 2026 zapowiedziała - według relacji „Rzeczpospolitej” - że pierwszy plan kontroli obejmie:

• rozpoznawanie emocji w miejscu pracy (art. 5 ust. 1 lit. f),
• narzędzia do tworzenia CSAM i „rozbierania” zdjęć (lit. ba i bb).

Po wyborze jako trzeci obszar wymieniała oznaczanie deepfake’ów z art. 50. Uprawnienia kontrolne Komisja ma od 28 października 2026, a zakazy ba i bb stosuje się od 2 grudnia 2026. Moim zdaniem do tego dnia kontrola aplikacji „nudify” może dotyczyć najwyżej innych obowiązków, np. oznaczania treści z art. 50, a nie samego zakazu.

Lista kontrolna dla firmy

Przejrzyj narzędzia działu po dziale. Jeśli odpowiedź na któreś pytanie brzmi „tak”, sprawdź system dokładniej albo zapytaj dostawcę.

HR i rekrutacja

• Czy narzędzie do rozmów wideo ocenia emocje, stres albo „szczerość” kandydata? To lit. f.
• Czy system wnioskuje o pochodzeniu, religii, przynależności do związków albo orientacji ze zdjęcia lub głosu? To lit. g.
• Czy narzędzie do oceny pracowników zbiera dane z prywatnych mediów społecznościowych i obniża na tej podstawie ocenę? Sprawdź lit. c.

Monitoring i bezpieczeństwo

• Czy kamery w biurze lub magazynie analizują nastrój albo zmęczenie? Dopuszczalne tylko ze względów bezpieczeństwa lub medycznych - udokumentuj cel.
• Czy dostawca systemu rozpoznawania twarzy zbudował bazę z masowo pobranych zdjęć z internetu? To lit. e.

Marketing i obsługa klienta

• Czy personalizacja cen lub komunikatów celuje w osoby zadłużone, starsze albo uzależnione? Sprawdź lit. b.
• Czy chatbot sprzedażowy stosuje ukryte techniki nacisku, które mogą wyrządzić poważną szkodę? Sprawdź lit. a.
• Czy firmowy generator obrazów ma blokady dla treści intymnych z wizerunkiem prawdziwych osób? Od 2 grudnia 2026 to lit. ba.

Co grozi za złamanie zakazu

Kara do 35 mln euro albo 7% całkowitego rocznego światowego obrotu (art. 99 ust. 3) - wyższa z kwot dla dużej firmy, niższa dla MŚP. Ulga dla małych spółek o średniej kapitalizacji z art. 99 ust. 6a przy zakazach nie działa. Po kursie NBP z 28 stycznia 2026 (4,2009 zł) górna granica kwotowa to ok. 147 mln zł. Wszystkie progi i polskie sposoby obniżenia kary opisałem w tekście o karach w AI Act, a pełny obraz przepisów - w przewodniku po AI Act.

Najczęstsze pytania

Jakie praktyki zakazuje AI Act?

Art. 5 ust. 1 zakazuje manipulacji, wykorzystywania słabości, scoringu społecznego, przewidywania przestępstw z samego profilowania, masowego zbierania twarzy, rozpoznawania emocji w pracy i szkole, kategoryzacji biometrycznej według wrażliwych cech i - z wyjątkami - identyfikacji biometrycznej na żywo przez policję. Od 2 grudnia 2026 dochodzą zakazy „nudify” i CSAM.

Od kiedy obowiązują zakazy AI Act?

Litery a-h obowiązują od 2 lutego 2025. Litery ba i bb - od 2 grudnia 2026 (art. 113 lit. a po zmianie przez rozporządzenie 2026/1744).

Dlaczego Komisja Europejska mówi o 9 zakazach, a nie 10?

KE traktuje „nudify” i CSAM jako jedną, dziewiątą praktykę. W przepisie to dwie osobne litery: ba i bb.

Czy mogę analizować emocje klientów?

Zakaz dotyczy miejsca pracy i edukacji. Wobec klientów rozpoznawanie emocji jest dozwolone, ale trzeba ich informować (art. 50 ust. 3), a system jest wysokiego ryzyka - z wymogami od 2 grudnia 2027.

Czy aplikacje „rozbierające” zdjęcia są legalne?

Od 2 grudnia 2026 AI Act zakazuje systemów tworzących realistyczne intymne wizerunki rozpoznawalnych osób bez ich wyraźnej zgody, jeśli to cel systemu albo przewidywalny wynik bez skutecznych zabezpieczeń.

Kto w Polsce kontroluje zakazy?

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Kontrole, postępowania i kary może prowadzić od 28 października 2026.

To nie jest porada prawna - przy konkretnym systemie skonsultuj się z prawnikiem albo od 28 października 2026 zapytaj KRiBSI o opinię indywidualną.

// czytaj dalejGrok Imagine w praktyce: 12 promptów na zdjęcia, od portretu po makro (z przykładami)AI dla twórcówJak zrobić grafikę w stylu GTA 6 w AI: prompty, własne zdjęcie i pocztówka. Test na polskich przykładachArtykułyAPI do generowania obrazów: cennik 26 modeli w złotówkach i przykład koduArtykuły