Zgodność produktowa z AI: cichy, ale rosnący trend regulacyjny 

Zgodność produktowa z AI to już nie temat dla firm, które sprzedają chatboty. AI Act dodał własną ścieżkę oznakowania CE dla systemów wysokiego ryzyka, a jednocześnie przepis art. 102-110 zmienia dziewięć unijnych aktów dotyczących oceny zgodności produktów - od homologacji, przez pojazdy i kolej, po sprzęt morski. Jeśli w Twoim wyrobie siedzi model, czyli w robocie, dźwigu, wozie albo linii produkcyjnej, to zgodność przestaje być sprawą działu IT.

Nie widzisz tego trendu, bo on nie objawia się komunikatami w mediach. Objawia się pytaniem przy aktualizacji oprogramowania: czy po podmianie modelu muszę jeszcze raz przejść ocenę zgodności. Czasem odpowiedź brzmi tak, i to zmienia sposób, w jaki utrzymujesz produkt na rynku.

AI Act dodał własne oznakowanie CE. Nie zastąpiło Twojego dotychczasowego

Piąta sekcja AI Act nosi tytuł „Standards, conformity assessment, certificates, registration". W niej są kolejno: art. 43 - ocena zgodności, art. 44 - certyfikaty, art. 46 - odstępstwo od procedury oceny zgodności, art. 47 - deklaracja zgodności UE, art. 48 - oznakowanie CE oraz art. 49 - rejestracja. Towarzyszą im trzy załączniki: wzór deklaracji zgodności, procedura oparta na kontroli wewnętrznej i procedura oparta na ocenie systemu zarządzania jakością wraz z oceną dokumentacji technicznej.

To nie jest drugie CE obok pierwszego. To procedura, która dochodzi do istniejącej oceny zgodności Twojego wyrobu. Jeśli dziś sprzedajesz urządzenie z deklaracją zgodności na podstawie dyrektywy maszynowej, to w momencie, gdy dojdzie tam system objęty obowiązkami wysokiego ryzyka, dochodzisz procedurę opisaną w art. 43-49. W branżowym skrócie brzmi to następująco: zarządzanie ryzykiem, dokumentacja, ocena zgodności, oznakowanie CE.

Dziewięć aktów produktowych, które AI Act zmienia

Najmniej znana część AI Act to art. 102-110. To one pokazują, że regulacja AI nie żyje w osobnym świecie, tylko wpinana jest w istniejące systemy oceny zgodności. Kolejne przepisy nowelizują: rozporządzenie o nadzorze rynku (WE) nr 300/2008, rozporządzenia o jednostkach badawczych (UE) nr 167/2013 i o homologacji (UE) nr 168/2013, dyrektywę o sprzęcie morskim 2014/90/EU, dyrektywę kolejową (UE) 2016/797, rozporządzenie o pojazdach (UE) 2018/858, rozporządzenie lotnicze (UE) 2018/1139, rozporządzenie o ogólnym bezpieczeństwie produktów (UE) 2019/2144 oraz dyrektywę o kablowaniu (UE) 2020/1828.

Czytam to jako jeden sygnał: tam, gdzie dziś wymaga się już deklaracji zgodności, pojawi się obowiązek o charakterystyczny dla AI. Nie w każdym z tych ustawień wprost wprost, bo treść nowelizacji w moich źródłach nie jest dostępna. Wymieniam to, bo sama struktura przepisów pokazuje kierunek, w jakim regulacja idzie.

Rozporządzenie maszynowe 2023/1230 dochodzi do AI z własnej strony

Rozporządzenie (UE) 2023/1230 z 14 czerwca 2023 zastąpiło dyrektywę maszynową 2006/42/WE, obowiązującą od niemal dwóch dekad. Opublikowano je w czerwcu 2023, weszło w życie miesiąc później, a stosowanie staje się obowiązkowe od 20 stycznia 2027.

W branżowym opisie nowego rozporządzenia jako jeden z trzech filarów zmian wymienia się cyberbezpieczeństwo, sztuczną inteligencję i cyfrową dokumentację. Dla maszyn, których sposób działania potrafi się zmieniać na podstawie danych i algorytmów, pojawiają się wymagania związane z przewidywalnością i bezpieczeństwem takiej zmiennej logiki sterowania. Sformułowanie jest konkretne: producent musi wykazać, że taki system pozostaje przewidywalny i bezpieczny w każdych warunkach. Nie „działa poprawnie". Przewidywalnie i bezpiecznie - w każdych warunkach.

„Istotna modyfikacja" - kiedy aktualizacja modelu unieważnia deklarację

Tu jest rdzeń tego, o czym mówię. Rozporządzenie wprowadza pojęcie istotnej modyfikacji: każdej zmiany dokonanej w maszynie, fizycznej albo cyfrowej, która może zwiększyć poziom ryzyka albo wprowadzić nowe zagrożenie.

Nie musi to być przebudowa. W branżowym opisie czytamy, że czasem wystarczy wymiana elementu odpowiedzialnego za bezpieczeństwo albo zmiana sposobu działania oprogramowania, żeby cała ocena zgodności przestała być aktualna. Skutek jest wtedy taki sam jak przy nowej maszynie w zakresie bezpieczeństwa: ponowny przegląd dokumentacji, ponowna analiza ryzyka i, jeżeli wymagają tego przepisy, ponowne oznakowanie CE.

To zmienia charakter pracy. Przed zmianą oprogramowanie aktualizowaliście, aktualizujemy dalej. Po zmianie aktualizacja staje się zdarzeniem regulacyjnym, z datą, dokumentem i podpisem. Żeby zobaczyć, jak to wygląda w praktyce przy realnych wdrożeniach, zajrzyj do mojego materiału o robotach przemysłowych - tam AI jest wprost częścią urządzenia, a nie dodatkiem.

Producent komponentu też odpowiada

Zakres rozporządzenia sięga szeroko: wyposażenia wymiennego, elementów bezpieczeństwa, osprzętu do podnoszenia, łańcuchów, lin i pasów. W praktyce regulacja obejmuje nie tylko producentów dużych urządzeń, ale też firmy wytwarzające komponenty, które wpływają na pracę lub bezpieczeństwo maszyny.

Jeśli sprzedajesz moduł, który trafia do cudzej maszyny i ma wpływ na jej bezpieczeństwo, to jesteś w tej samej grze co producent całego urządzenia. To rzadko intuicyjne, bo decyzję o zgodności podejmuje się zwykle u klienta, a dokumentację dostarcza dostawca.

Nakładanie się ram: przykład dźwigów

Dźwigi dobrze pokazują, jak to działa w praktyce. W branży nadal obowiązuje dyrektywa dźwigowa 2014/33/UE, a mimo to ponad połowa wymagań dotyczących zdrowia i bezpieczeństwa (EHSR) dla dźwigów wynika z przepisów maszynowych. Producenci są więc zobowiązani do włączania wymagań z rozporządzenia w proces oceny zgodności dźwigu, prowadząc równolegle ocenę w dwóch reżimach.

To jest wzorzec, który powtarza się w całej branży. Nie pytaj „czy mnie to dotyczy". Pytaj „które dyrektywy i rozporządzenia mam już w deklaracji zgodności i które z nich wchodzą w zakres zmieniony przez AI". To pytanie sprowadza się do konkretnego arkusza, a nie do opinii prawnika od ad hoc.

Cyfrowa instrukcja i cyberbezpieczeństwo jako element zgodności

Rozporządzenie maszynowe dokłada wymagania, które dotyczą nie tylko konstrukcji, ale i obiegu dokumentacji. Instrukcja ma być dostępna online przez co najmniej dziesięć lat od wprowadzenia maszyny do obrotu, a sposób dostępu - adres strony albo kod QR - powinien być wskazany bezpośrednio na maszynie. Jeśli użytkownik poprosi o instrukcję w momencie zakupu, producent musi ją dostarczyć bez dodatkowych opłat w ciągu miesiąca.

Obok tego pojawia się wymóg ochrony układów sterowania, komunikacji i przechowywanych danych. Maszyna ma rejestrować próby ingerencji, zarówno uprawnione, jak i nie, oraz rozpoznawać oprogramowanie istotne dla jej bezpiecznego działania. Oddzielnie rozszerzono wymagania o zanik energii także na przerwy w komunikacji sieciowej: maszyna ma pozostać bezpieczna także wtedy, gdy nagle traci łączność.

W praktyce branżowej odpowiada temu podejście Secure Development Lifecycle, czyli bezpieczeństwo prowadzone przez cały cykl życia urządzenia: od projektu, przez produkcję, instalację i eksploatację, aż po wycofanie z użytkowania. Dla dźwigów i chodników ruchomych opisuje je norma ISO 8102-20:2022, z trzema poziomami wymagań - od SL1 dla funkcji alarmowych po SL3, który dotyczy funkcji bezpieczeństwa mających bezpośredni wpływ na ochronę życia i zdrowia. Norma korzysta z założeń serii IEC 62443, a w projektach EN ISO 8100-1 widać już pierwsze odniesienia do niej.

Harmonogram, który wciąż się rusza

Terminy to w tym temacie najbardziej podatna część, więc podaję je z podziałem na to, co potwierdzają źródła oficjalne, i to, co widzę tylko w materiałach komercyjnych.

Komisja Europejska potwierdza 2 sierpnia 2025 jako datę wejścia w stosowanie obowiązków dla dostawców modeli ogólnego przeznaczenia, wraz z obowiązkami przejrzystości i praw autorskich. Modele GPAI, które były już na rynku przed tą datą, mają czas do 2 sierpnia 2027. Ten sam próg wyznacza art. 57 dla krajowych piaskownic regulacyjnych: każde państwo członkowskie musi mieć co najmniej jedną do 2 sierpnia 2026.

Wniosek Komisji z 19 listopada 2025, przedstawiony w ramach cyfrowego pakietu zbiorczego, łączył rozpoczęcie stosowania przepisów o systemach wysokiego ryzyka z potwierdzeniem dostępności niezbędnych norm i narzędzi wsparcia, z maksymalnym wydłużeniem harmonogramu o 16 miesięcy. To mechanizm, którego skutek łatwo przeoczyć: brak norm oznacza brak obowiązku. Rada zatwierdziła rozporządzenie upraszczające AI Act 29 czerwca 2026, ale w dostępnych mi źródłach nie ma numeru ani treści tego instrumentu.

Terminy przesunięcia, które krążą w materiałach komercyjnych, brzmią konkretnie: odroczenie obowiązków wysokiego ryzyka do grudnia 2027, a dla AI w produktach regulowanych do sierpnia 2028. Traktuj to jako informację do weryfikacji, nie jako ustalony termin. W tych samych materiałach pojawia się też zastrzeżenie, że przesunięto część obowiązków, ale nie te, które dotyczą większości produktów AI. Przejrzystość z art. 50 i uprawnienia do kar miały ruszyć 2 sierpnia 2026.

Czego nie udało się ustalić

Podaję to wprost, bo przy temacie regulacyjnym brak informacji jest informacją. Przy zbieraniu materiałów nie znalazłem odpowiedzi na kilka pytań, które padły pierwsze:

• Nie mam wiarygodnego opisu interakcji AI z dyrektywą niskonapięciową, EMC, RED i rozporządzeniem o wyrobach medycznych. W całym zestawie źródeł nie ma na ten temat ani jednego zdania, więc nie opisuję tego, czego nie sprawdziłem.
• Nie mam definicji AI jako komponentu bezpieczeństwa. Źródła mówią ogólnie o elementach bezpieczeństwa i o komponentach wpływających na pracę maszyny, ale nie o sztucznej inteligencji wprost.
• Nie mam numeru rozporządzenia upraszczającego AI Act z czerwca 2026 ani treści jego przepisów.
• Nie mam nazw ani numerów harmonizowanych norm AI. Jest artykuł 40 o harmonizowanych normach i wynikach normalizacji, ale same normy w moich materiałach się nie pojawiły.
• Nie mam oficjalnych danych o kosztach wdrożenia. Jedyne kwoty, jakie trafiły, pochodziły ze strony sprzedającej własną usługę, więc ich nie podaję jako rynkowych.

Jeśli prowadzisz małą firmę i rozważasz, czy ten temat dotyczy Ciebie, odpowiedź brzmi: prawdopodobnie nie, dopóki nie sprzedajesz wyrobu fizycznego z funkcjami AI ani systemu klasyfikowanego jako wysokie ryzyko. Reszta firm ma dziś poważniejszy temat na głowie, bo część tego, co krąży w branży jako pilne, jest po prostu nieaktualna. Rozdzieliłem te dwie rzeczy w przeglądzie AI w małej firmie.

Co zrobić, jeśli sprzedajesz produkt z AI

Zacznij od dokumentu, nie od pytań do prawnika. Weź swoją aktualną deklarację zgodności i listę dyrektyw oraz rozporządzeń, które ją uzasadniają. Sprawdź, które z nich wchodzą w zakres zmieniony przez AI Act i czy dotyczy Cię rozporządzenie maszynowe. To jeden dzień pracy, a daje jasny obraz, czy w ogóle jesteś w grze.

Dalej: ustal, co w Twoim produkcie zmienia się cyklicznie przez oprogramowanie, i zapisz to. Model, który aktualizujesz, jest dokładnie tym elementem, który może uruchomić ocenę istotnej modyfikacji. Jeśli masz taki element, opisz go w systemie zarządzania jakością i przygotuj ścieżkę przeglądu dokumentacji.

Przy pierwszym wdrożeniu warto zobaczyć szerzej, gdzie w firmie pojawia się realne obciążenie, zanim zaczniesz optymalizować. Pisałem o tym w osobnym tekście: od czego zacząć z AI w firmie w pierwszym miesiącu, a koszty wdrożenia rozbiłem w materiale o kosztach. W obu przypadkach regulacja schodzi na dalszy plan na tle pytania, czy dany proces w ogóle warto automatyzować.

Ten sam wątek, tylko od strony zawodów regulowanych, opisałem przy okazji robotów prawniczych: systemy AI w codziennej pracy kancelarii. Ten sam mechanizm, inne konsekwencje.

Jeśli chcesz przejść przez to konkretnie dla swojego produktu, napisz do mnie - odpowiadam zwykle tego samego dnia. Rozmawiamy konkretnie, nie o wszystkim naraz.