Ustawa dzieli obowiązki według ryzyka: praktyki zakazane (takie jak social scoring i większość identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej); systemy wysokiego ryzyka wymagające zarządzania ryzykiem, zarządzania danymi, nadzoru ludzkiego i oceny zgodności; obowiązki przejrzystości dla systemów takich jak chatboty i treści syntetyczne; oraz lżejsze reguły dla zastosowań o minimalnym ryzyku. Obowiązki wchodzą etapami od 2025, z osobnymi obowiązkami dla dostawców, wdrażających i twórców modeli AI ogólnego przeznaczenia.
Najważniejsze punkty
Klasyfikacja według użyciaTen sam model może być minimalnego ryzyka w jednym zastosowaniu i wysokiego w innym — obowiązki wynikają z użycia systemu, a nie etykiety technologii.
Etapowe stosowanieZakazy i obowiązki dla AI ogólnego przeznaczenia przyszły pierwsze; obowiązki systemów wysokiego ryzyka następują później — mające zastosowanie daty zależą od roli organizacji jako dostawcy lub wdrażającego.
Istotne ograniczenieAI Act reguluje systemy AI i ich wprowadzanie na rynek, a nie ogólne cyberbezpieczeństwo. Wchodzi w interakcję z RODO, DORA, CRA i regułami sektorowymi — zgodność z jednym nie zaspokaja innych, a wiele praktycznych szczegółów nadal zależy od zharmonizowanych standardów i wytycznych.