Najlepsza AI open source

AI Act a modele open source: co musi zrobić firma, która dostraja model

AI Act częściowo zwalnia modele open source, a większość firm, które dostrajają taki model, nigdy nie staje się dostawcą nowego modelu. Lektura przepisów, wytycznych Komisji i pakietu Omnibus z 2026 r., zakończona listą kontrolną.

Autor: Redakcja · Aktualizacja: · 6 min czytania

Specjalistka ds. zgodności i inżynier przeglądają przy biurku pod wysokim oknem wydrukowane rozporządzenie z zakładkami w europejskim biurze.
Dla większości firm obowiązki AI Act wobec otwartych modeli to dokumentacja, a nie zakazy.
Spis treści
  1. Pytanie, które stoi za wyszukiwaniem
  2. Jak rozporządzenie traktuje AI open source
  3. Co się zmienia, gdy firma dostraja model
  4. Daty
  5. Ochrona danych osobowych
  6. Lista kontrolna dla firmy, która dostraja otwarty model
  7. Najczęstsze pytania
  8. Źródła

Pytanie, które stoi za wyszukiwaniem

Europejska firma, która przenosi pracę z AI na model o otwartych wagach, a następnie trenuje go na własnych danych, ma uzasadnioną obawę: czy w ten sposób nie staje się dostawcą modelu AI ze wszystkimi wynikającymi z tego obowiązkami. AI Act jest obszerny, był już raz zmieniany, a większość komentarzy dotyczy czołowych laboratoriów, a nie firm dostosowujących ich modele. Ten przewodnik omawia odpowiednie przepisy i wytyczne Komisji właśnie dla tego węższego przypadku. To podsumowanie orientacyjne, a nie porada prawna.

Jak rozporządzenie traktuje AI open source

Rozporządzenie odróżnia systemy AI, czyli aplikacje, z których korzystają ludzie, od modeli AI ogólnego przeznaczenia, na których te systemy są zbudowane⁠1.

Systemy open source. Art. 2 ust. 12 stanowi, że rozporządzenie nie ma zastosowania do systemów AI udostępnianych na wolnych i otwartych licencjach, chyba że są wprowadzane do obrotu jako systemy wysokiego ryzyka albo objęte są praktykami zakazanymi z art. 5 lub obowiązkami przejrzystości z art. 50⁠1.

Modele open source. W przypadku modeli ogólnego przeznaczenia art. 53 ust. 2 zwalnia dostawców modeli udostępnianych na wolnej i otwartej licencji z obowiązków dokumentacji technicznej z art. 53 ust. 1 lit. a i b. Art. 54 ust. 6 znosi wymóg wyznaczenia upoważnionego przedstawiciela przez dostawców spoza UE. Żadne z tych zwolnień nie dotyczy modeli z ryzykiem systemowym⁠1.

Co nadal obowiązuje. Każdy dostawca modelu ogólnego przeznaczenia, otwartego czy nie, musi wprowadzić politykę przestrzegania unijnego prawa autorskiego i opublikować wystarczająco szczegółowe podsumowanie treści użytych do treningu, zgodnie z art. 53 ust. 1 lit. c i d. Motyw 104 potwierdza, że zwolnienie dla open source nie obejmuje tych dwóch obowiązków⁠1.

Co uznaje się za otwarte. Motyw 102 wiąże otwartość z publicznie dostępnymi parametrami, wagami, architekturą i informacjami o użyciu. Motyw 103 wyklucza komponenty udostępniane odpłatnie lub w inny sposób monetyzowane, zaznaczając, że publikacja w otwartych repozytoriach sama w sobie nie jest monetyzacją⁠1. Wytyczne Komisji powtarzają warunki: licencja pozwalająca na dostęp, użycie, modyfikację i dystrybucję bez monetyzacji; publiczne wagi, architektura i informacje o użyciu; brak ryzyka systemowego⁠2.

Ryzyko systemowe. Domniemywa się, że model niesie ryzyko systemowe, gdy do jego treningu użyto ponad 10^25 operacji zmiennoprzecinkowych, zgodnie z art. 51 ust. 2⁠1. Orientacyjny test Komisji na to, czy model jest w ogóle modelem ogólnego przeznaczenia, to moc obliczeniowa treningu powyżej 10^23 operacji połączona ze zdolnością generowania tekstu, obrazów lub wideo⁠2.

Co się zmienia, gdy firma dostraja model

Ta kwestia najczęściej niepokoi firmy, a wytyczne Komisji są tu uspokajające. Firma, która modyfikuje model ogólnego przeznaczenia, staje się dostawcą zmodyfikowanego modelu tylko wtedy, gdy modyfikacja wymaga ponad jednej trzeciej mocy obliczeniowej użytej do treningu oryginalnego modelu. Poniżej tego progu drobne modyfikacje nie uruchamiają obowiązków dostawcy⁠23.

Firma powyżej progu jest traktowana jako dostawca zmodyfikowanego modelu, ale jej obowiązki dokumentacyjne dotyczą wyłącznie modyfikacji: tego, co zmieniono, i użytych nowych danych, a nie całego modelu⁠2. Metody dostrajania efektywnego parametrycznie, takie jak LoRA, trenują niewielką liczbę dodatkowych parametrów⁠4, co prawdopodobnie utrzyma typowe dostrajanie w firmie daleko poniżej jednej trzeciej mocy obliczeniowej treningu oryginalnego modelu; wartość tę i tak warto oszacować i zapisać.

Systemy wysokiego ryzyka podlegają odrębnej zasadzie. Zgodnie z art. 25 ust. 1 podmiot stosujący uważa się za dostawcę systemu AI wysokiego ryzyka między innymi wtedy, gdy umieszcza na nim swoją nazwę lub znak towarowy albo istotnie go modyfikuje⁠1. Firma, która wbudowuje model w rekrutację, ocenę kredytową lub inne zastosowanie wysokiego ryzyka, powinna zacząć od lektury tego przepisu.

Daty

DataCo obowiązuje
2 lutego 2025 r.Obowiązek z art. 4 dotyczący kompetencji w zakresie AI dla dostawców i podmiotów stosujących⁠5
2 sierpnia 2025 r.Obowiązki dostawców modeli AI ogólnego przeznaczenia⁠3
2 sierpnia 2026 r.Uprawnienia egzekucyjne Komisji wobec modeli ogólnego przeznaczenia, w tym kary; krajowe egzekwowanie kompetencji w zakresie AI⁠35
27 lipca 2026 r.Wejście w życie rozporządzenia (UE) 2026/1744, czyli pakietu Digital Omnibus w zakresie AI⁠6
2 sierpnia 2027 r.Termin dla modeli ogólnego przeznaczenia wprowadzonych na rynek przed 2 sierpnia 2025 r.⁠3
2 grudnia 2027 r.Obowiązki dla systemów wysokiego ryzyka z załącznika III, przesunięte przez Omnibus⁠6
2 sierpnia 2028 r.Obowiązki dla systemów wysokiego ryzyka z załącznika I, przesunięte przez Omnibus⁠6

Omnibus, zaproponowany przez Komisję w listopadzie 2025 r. i przyjęty w lipcu 2026 r., złagodził także art. 4, uprościł dokumentację dla małych i średnich firm oraz wprowadził nowe zakazy dotyczące AI generującej intymne deepfake'i lub materiały przedstawiające wykorzystywanie seksualne dzieci⁠76. Po zmianie art. 4 nie określa już wystarczającego poziomu kompetencji w zakresie AI, ale Komisja wskazuje, że samo poleganie na instrukcjach użytkowania jest co do zasady niewystarczające⁠5.

Dobrowolny Kodeks postępowania dla AI ogólnego przeznaczenia, opublikowany w lipcu 2025 r., opisuje, jak dostawcy mogą spełnić obowiązki dotyczące przejrzystości i prawa autorskiego, z osobnym rozdziałem o bezpieczeństwie dla modeli z ryzykiem systemowym. Wśród sygnatariuszy są Mistral AI i Aleph Alpha⁠8.

Ochrona danych osobowych

Trening modelu na danych firmy zawierających dane osobowe jest przetwarzaniem w rozumieniu RODO, niezależnie od tego, co stanowi AI Act. Punktem odniesienia jest opinia 28/2024 Europejskiej Rady Ochrony Danych: modelu wytrenowanego na danych osobowych nie można w każdym przypadku uznać za anonimowy, a za anonimowy uznaje się go tylko wtedy, gdy zarówno wydobycie danych osobowych, jak i ich ujawnienie w odpowiedziach na zapytania są mało prawdopodobne. Prawnie uzasadniony interes może być podstawą rozwoju i wdrożenia modelu, pod warunkiem przejścia trzystopniowego testu, a firma wdrażająca cudzy model powinna sprawdzić, czy został on opracowany zgodnie z prawem⁠9. Francuski CNIL opublikował praktyczne karty dotyczące podstawy prawnej i statusu modelu w świetle RODO⁠10. W Polsce organem nadzorczym jest Prezes UODO.

Lista kontrolna dla firmy, która dostraja otwarty model

  1. Spisać każdy używany model, jego wersję i licencję oraz sprawdzić, czy licencja spełnia warunki Komisji dla open source.
  2. Sprawdzić status modelu bazowego pod kątem ryzyka systemowego. Jeśli przekracza 10^25 operacji, dodatkowe obowiązki spoczywają na jego dostawcy; firma dostrajająca model poniżej progu jednej trzeciej ich nie przejmuje.
  3. Oszacować moc obliczeniową każdego dostrajania i zachować tę wartość. Poniżej jednej trzeciej mocy obliczeniowej oryginalnego treningu firma nie jest dostawcą nowego modelu ogólnego przeznaczenia.
  4. I tak dokumentować modyfikację: jakich danych użyto, co się zmieniło i jak to oceniono. Powyżej progu jest to obowiązek, poniżej dobra praktyka.
  5. Sprawdzić zastosowanie pod kątem listy wysokiego ryzyka i art. 25 ust. 1 przed wdrożeniem.
  6. Przeprowadzić ocenę zgodności z RODO dla danych treningowych, ograniczyć dane osobowe do minimum i udokumentować test prawnie uzasadnionego interesu, jeśli to on jest podstawą.
  7. Wprowadzić program budowania kompetencji w zakresie AI dla pracowników, którzy korzystają z systemu lub go nadzorują.
  8. Wpisać daty do kalendarza, zwłaszcza 2 grudnia 2027 r. dla systemów wysokiego ryzyka.

Firma, która wykonała te osiem kroków, potrafi odpowiedzieć na pytania, jakie najpewniej zada regulator, klient lub przedstawiciele pracowników, a większość firm przekona się, że dostrojenie otwartego modelu pozostawia je w roli podmiotu stosującego z obowiązkami dokumentacyjnymi, a nie dostawcy modelu.

Najczęstsze pytania

Czy AI Act obejmuje AI open source?

Częściowo. Systemy AI udostępnione na wolnych i otwartych licencjach są poza zakresem rozporządzenia, chyba że są systemami wysokiego ryzyka, praktykami zakazanymi albo podlegają obowiązkom przejrzystości. Modele ogólnego przeznaczenia open source są zwolnione z części obowiązków dokumentacyjnych, ale nadal muszą mieć politykę przestrzegania prawa autorskiego i publikować podsumowanie danych treningowych, a modele z ryzykiem systemowym nie mają zwolnienia.

Czy dostrajając model open source, stajemy się dostawcą w rozumieniu AI Act?

Zwykle nie. Według wytycznych Komisji firma, która modyfikuje model ogólnego przeznaczenia, staje się jego dostawcą tylko wtedy, gdy modyfikacja wymaga ponad jednej trzeciej mocy obliczeniowej użytej do treningu oryginalnego modelu. Nawet wtedy jej obowiązki dotyczą wyłącznie modyfikacji, czyli wprowadzonych zmian i nowych danych treningowych.

Od kiedy obowiązują przepisy AI Act dla modeli ogólnego przeznaczenia?

Obowiązki dostawców modeli AI ogólnego przeznaczenia obowiązują od 2 sierpnia 2025 r. Uprawnienia egzekucyjne Komisji, w tym kary, obowiązują od 2 sierpnia 2026 r. Modele wprowadzone na rynek przed 2 sierpnia 2025 r. muszą spełnić wymogi do 2 sierpnia 2027 r.

Czy Digital Omnibus opóźnił AI Act?

Opóźnił przepisy dotyczące wysokiego ryzyka. Rozporządzenie (UE) 2026/1744, obowiązujące od 27 lipca 2026 r., przesuwa obowiązki dla systemów wysokiego ryzyka na 2 grudnia 2027 r. w przypadku systemów z załącznika III i na 2 sierpnia 2028 r. dla systemów z załącznika I. Złagodziło też obowiązek dotyczący kompetencji w zakresie AI. Nie wydaje się zmieniać obowiązków dla modeli ogólnego przeznaczenia.

Co to jest model AI ogólnego przeznaczenia z ryzykiem systemowym?

Rozporządzenie domniemywa ryzyko systemowe, gdy do treningu modelu użyto ponad 10^25 operacji zmiennoprzecinkowych. Takie modele mają dodatkowe obowiązki w zakresie bezpieczeństwa, a zwolnienie dla open source ich nie obejmuje.

Czy AI Act wymaga szkolenia pracowników z AI?

Art. 4 wymaga od dostawców i podmiotów stosujących podjęcia działań na rzecz kompetencji w zakresie AI wśród personelu i obowiązuje od 2 lutego 2025 r. Po zmianach z 2026 r. nie określa już wystarczającego poziomu tych kompetencji, ale Komisja wskazuje, że samo poleganie na instrukcjach użytkowania jest co do zasady niewystarczające.

Źródła

  1. Regulation (EU) 2024/1689 (Artificial Intelligence Act). EUR-Lex, 12 lip 2024. Dostęp: 9 lis 2026.
  2. Questions and answers on the guidelines for general-purpose AI providers. European Commission. Dostęp: 9 lis 2026.
  3. Guidelines for providers of general-purpose AI models. European Commission. Dostęp: 9 lis 2026.
  4. PEFT. Hugging Face. Dostęp: 9 lis 2026.
  5. AI literacy: questions and answers. European Commission. Dostęp: 9 lis 2026.
  6. Regulation (EU) 2026/1744 (Digital Omnibus on AI). EUR-Lex, 24 lip 2026. Dostęp: 9 lis 2026.
  7. Digital Omnibus on AI: regulation proposal. European Commission, 19 lis 2025. Dostęp: 9 lis 2026.
  8. The General-Purpose AI Code of Practice. European Commission, 10 lip 2025. Dostęp: 9 lis 2026.
  9. Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models. European Data Protection Board, 18 gru 2024. Dostęp: 9 lis 2026.
  10. Les fiches pratiques IA. CNIL. Dostęp: 9 lis 2026.

Aktualizacja: 9 lis 2026: Pierwsza publikacja, uwzględniająca rozporządzenie (UE) 2026/1744 (Digital Omnibus w zakresie AI).

Czytaj dalej

Inne wersje językowe: English · Deutsch · Français · Español · Italiano · Nederlands