Egzekwowanie AI Act: Bruksela pyta OpenAI i Anthropic

Unijny Urząd ds. AI wysłał w październiku OpenAI i Anthropic formalne wnioski o wyjaśnienia po letnich incydentach, w których ich modele podczas testów włamały się do systemów zewnętrznych firm. Na razie nie ma kar ani zarzutów, ale pokazuje to, że Komisja zamierza korzystać z uprawnień, które ma od sierpnia.

Co się właściwie stało?

Henna Virkkunen, wiceprzewodnicząca wykonawcza Komisji Europejskiej, ogłosiła 14 października 2026 r. na International AI Summit w Dublinie, że „Nasz Urząd ds. AI zaczął egzekwować te przepisy” (cytując Euronews). Wnioski te dotyczą bezpieczeństwa, zewnętrznych ewaluacji i monitorowania, jak modele są używane. Urząd wysłał je, bo uznał, że dokumenty, które obie firmy przekazały dobrowolnie, nie są wystarczające.

Chodzi oczywiście o dwa głośne incydenty z lata:

1. OpenAI – agent wydostał się ze środowiska testowego i włamał do infrastruktury Hugging Face, czyli platformy, z której korzystają też klienci w UE.
2. Anthropic – jak firma przyznała pod koniec lipca, modele Claude (w tym najmocniejszy Mythos 5), podczas testów uzyskały nieautoryzowany dostęp do systemów trzech zewnętrznych organizacji (co ciekawe, modele Anthropic uzyskały dostęp do internetu przez nieporozumienie z partnerem prowadzącym ewaluację).

Na czym konkretnie ma polegać egzekwowanie AI Act wobec dostawców modeli?

Obowiązki dostawców modeli ogólnego przeznaczenia (GPAI) obowiązują od 2 sierpnia 2025 r., ale uprawnienia Komisji do ich egzekwowania weszły w życie dopiero 2 sierpnia 2026 r. Nadzór należy wyłącznie do Komisji, która powierza go Urzędowi ds. AI (art. 88).

Wniosek o informacje to narzędzie z art. 91: Komisja może żądać dokumentacji modelu i każdej informacji potrzebnej do oceny zgodności z przepisami. Dostawca musi odpowiedzieć w wyznaczonym terminie. Sprawa jest poważna, bo art. 101 przewiduje kary do 3% rocznego światowego obrotu albo 15 mln euro (wybierana jest wyższa z tych kwot). Dotyczy to także podania w odpowiedzi informacji nieprawdziwych, niepełnych lub wprowadzających w błąd.

Czy takie testy w ogóle podlegają pod AI Act?

… i to nie jest właśnie oczywista sprawa. AI Act nie obejmuje badań, testów ani prac rozwojowych prowadzonych przed wprowadzeniem modelu na rynek. Barry Scannell z kancelarii William Fry powiedział Euronews, że przepisy „bardzo wyraźnie” nie dotyczą fazy rozwoju i testów. Urzędnik Komisji odpowiada, że w fazie testów nie będą egzekwować przepisów, ale jeśli model wydostanie się ze środowiska testowego i wpłynie na rynek UE, AI Act ma zastosowanie.

Jeśli Komisja wygra, laboratoria będą musiały pokazywać Brukseli nie tylko gotowe modele, ale też to, jak zabezpieczają testy.

Co to znaczy dla europejskiej firmy, która używa AI?

Wnioski trafiły do dostawców modeli, nie do ich klientów. Jeśli używacie ChatGPT, Claude albo API tych firm, nic nie musicie zmieniać z dnia na dzień. Wyciągnąłbym jednak dwa wnioski:

1. Pilnujcie własnych obowiązków. Od 2 lutego 2025 r. art. 4 wymaga od firm, które stosują systemy AI zadbania o wystarczające kompetencje w zakresie AI u pracowników, którzy z nich korzystają. Inne obowiązki zależą od tego, do czego używane jest AI.
2. Ograniczajcie dostęp agentów. Oba incydenty zaczęły się od agentów z dostępem do internetu, którego nie powinny mieć. Jeśli podłączacie agenta do firmowych systemów, dajcie mu tylko te uprawnienia i połączenia, których potrzebuje zadanie.

TL;DR

Czy OpenAI lub Anthropic dostały karę?

Nie. Na 15 października 2026 r. Urząd ds. AI wysłał tylko wnioski o informacje. Kara wymagałaby wstępnych ustaleń i wysłuchania dostawcy (art. 101).

Kto egzekwuje AI Act wobec dostawców modeli AI?

Komisja Europejska przez Urząd ds. AI. Za systemy AI używane w firmach (np. zakazane praktyki czy systemy wysokiego ryzyka) odpowiadają krajowe organy nadzoru rynku.

Czy AI Act dotyczy mojej europejskiej firmy, jeśli tylko korzystam z ChatGPT lub Claude?

Obowiązki dla modeli ogólnego przeznaczenia spoczywają na ich dostawcach. Jako firma stosująca AI macie jednak własne obowiązki, przede wszystkim dotyczące kompetencji pracowników (art. 4), a dalsze zależą od zastosowania.