Część przepisów ustawy o sztucznej inteligencji zostanie opóźniona
20 listopada 2025 r. Komisja Europejska ogłosiła długo oczekiwany pakiet mający na celu uproszczenie regulacji dotyczących cyfryzacji, powszechnie nazywany Digital Omnibus. Jego celem jest usprawnienie rosnącej liczby przepisów UE w dziedzinie cyfryzacji i danych, ograniczenie powielania przepisów oraz wzmocnienie konkurencyjności Europy. Dla decydentów IT, dyrektorów ds. technologii, dyrektorów ds. bezpieczeństwa informacji i liderów ds. bezpieczeństwa nie jest to tylko teoretyczne ćwiczenie Brukseli, ale namacalna zmiana w otoczeniu regulacyjnym, która będzie miała bezpośredni wpływ na plany działania, budżety i procesy zapewniania zgodności.
W swej istocie pakiet dotyczy jednocześnie kilku głównych ram regulacyjnych: unijnej ustawy o sztucznej inteligencji, RODO, dyrektywy NIS2 i DORA. Obejmuje on również dostosowania przepisów dotyczących plików cookie oraz konsolidację systemów związanych z danymi powiązanych z ustawą o danych. Równolegle Komisja wprowadza strategię Unii Danych oraz dalsze inicjatywy mające na celu poprawę dostępu do wysokiej jakości danych dla sztucznej inteligencji.
To rodzi kluczowe pytania: co powoduje te zmiany, co faktycznie zmieni się w praktyce i jak powinny zareagować firmy?
Dlaczego Komisja wprowadza uproszczenia właśnie teraz?
W ostatnich latach nastąpił szybki rozwój regulacji dotyczących cyfryzacji w UE. Nowe przepisy i regulacje mają na celu zwiększenie bezpieczeństwa innowacji, ochronę praw podstawowych i wzmocnienie cyberodporności. Jednocześnie przedsiębiorstwa borykają się z nakładającymi się wymogami, niespójnymi definicjami i równoległymi obowiązkami sprawozdawczymi. Komisja reaguje na powszechnie wyrażane obawy, że złożone i częściowo zbędne regulacje hamują inwestycje i osłabiają pozycję konkurencyjną Europy. Pogląd ten został wyraźnie przedstawiony w raporcie Draghiego na temat konkurencyjności UE i jest głównym motorem programu upraszczania przepisów.
Digital Omnibus jest jedną z kilku inicjatyw mających na celu przegląd różnych obszarów regulacyjnych pod kątem możliwości ich uproszczenia. W sferze cyfrowej debata ta jest szczególnie delikatna, ponieważ napięcie między ochroną a innowacyjnością jest bardziej wyraźne niż w wielu innych sektorach.
W praktyce UE nie wycofuje przepisów dotyczących cyfryzacji, ale sprawia, że są one bardziej spójne, konsekwentne, a w niektórych przypadkach bardziej realistyczne pod względem harmonogramów. Zmniejszy to presję na wiele organizacji, ale wymaga również dostosowania wewnętrznych struktur zarządzania i zgodności.
Co zawiera Digital Omnibus
Komisja zwraca uwagę na kilka daleko idących zmian, w tym:
- Opóźnienie w wprowadzeniu przepisów dotyczących sztucznej inteligencji wysokiego ryzyka zawartych w ustawie o sztucznej inteligencji
- Jednolity kanał zgłaszania incydentów związanych z cyberbezpieczeństwem
- Reforma RODO w celu stworzenia ram bardziej sprzyjających innowacjom
- Zmodernizowane zasady dotyczące plików cookie
- Konsolidacja wielu systemów danych w ramach ustawy o danych
Środki te są ze sobą powiązane i mają wpływ na cały łańcuch, od przetwarzania danych i zarządzania bezpieczeństwem po rozwój sztucznej inteligencji i przepływy pracy operacyjnej.
Ustawa o sztucznej inteligencji: opóźnienie przepisów dotyczących wysokiego ryzyka i konsekwencje dla programów sztucznej inteligencji
Najbardziej widocznym krokiem jest planowane odroczenie o maksymalnie 16 miesięcy wprowadzenia wysokich wymagań systemowych przewidzianych w ustawie o sztucznej inteligencji. Komisja twierdzi, że zharmonizowane normy, wytyczne i narzędzia wsparcia niezbędne do wdrożenia nie są jeszcze w wystarczającym stopniu dostępne.
Dla wielu organizacji oznacza to krótkoterminową ulgę – szczególnie w takich obszarach, jak procesy identyfikacji, wykrywanie oszustw, weryfikacja pracowników, monitorowanie czasu pracy lub zastosowania medyczne i finansowe. Dodatkowy czas pomaga firmom dokładniej ocenić modele, ustabilizować przepływ danych, stworzyć dokumentację i przeprowadzić audyt łańcuchów dostaw pod kątem zgodności z przepisami dotyczącymi sztucznej inteligencji.
Nie jest to jednak zaproszenie do wstrzymania działań. Firmy rozwijające sztuczną inteligencję powinny wykorzystać ten okres przejściowy na przygotowanie się do wypełnienia zobowiązań wysokiego ryzyka, w tym:
- Przejrzysta klasyfikacja systemu
- Oceny ryzyka i wpływu
- Zarządzanie danymi szkoleniowymi
- Rejestrowanie i monitorowanie
- Procesy nadzoru ludzkiego
Ci, którzy teraz stworzą te podstawy, będą mieli znacznie mniej problemów, gdy obowiązki zaczną w pełni obowiązywać.
Z punktu widzenia strategii opóźnienie to pokazuje również, że UE jest ambitna, ale pragmatyczna. Jest gotowa dostosować harmonogramy, jeśli ekosystem i normy nie są jeszcze gotowe. Dzięki temu planowanie regulacyjne staje się bardziej elastyczne, ale zwiększa się również potrzeba planowania opartego na scenariuszach, a nie na sztywnych terminach.
RODO, NIS2 i DORA: mniej problemów z ochroną danych i raportowaniem
Reforma RODO dla większej elastyczności w zakresie innowacji
Komisja planuje zaktualizować RODO, aby stworzyć środowisko ochrony danych bardziej sprzyjające innowacjom. Obejmuje to dostosowanie progów i terminów w systemie zgłaszania naruszeń ochrony danych, wyjaśnienie definicji takich jak „dane osobowe” oraz wprowadzenie nowych wyjątków i wyjaśnień w celu wsparcia rozwoju i funkcjonowania systemów sztucznej inteligencji.
Dla zespołów ds. prywatności i bezpieczeństwa oznacza to większą elastyczność operacyjną. Obowiązki sprawozdawcze staną się mniej mechaniczne i bardziej oparte na ryzyku, co pozwoli skoncentrować zasoby na incydentach mających rzeczywisty wpływ. Jednakże firmy będą musiały dokładnie dokumentować kryteria naruszeń i decyzje wewnętrzne, aby zapewnić przejrzystość i odpowiedzialność.
W przypadku projektów związanych ze sztuczną inteligencją jaśniejsze definicje dotyczące zgodnego z prawem przetwarzania danych związanych ze sztuczną inteligencją zapewniłyby pewność prawną niezbędną do zapobiegania sytuacji, w której przypadki użycia utknęłyby w martwym punkcie lub pozostałyby w fazie pilotażowej z powodu niejasnych interpretacji.
Ujednolicone zgłaszanie incydentów
Planowane jest również utworzenie jednego punktu zgłoszeniowego dla incydentów związanych z cyberbezpieczeństwem. Zamiast składać oddzielne zgłoszenia zgodnie z NIS2, RODO i DORA, organizacje będą korzystać z ujednoliconego mechanizmu – potencjalnie opartego na platformie opracowanej dla ustawy o cyberodporności.
Może to znacznie zwiększyć wydajność. Każdy, kto miał do czynienia ze zgłaszaniem incydentów pod presją czasu, wie, jak trudne jest zarządzanie wieloma terminami i formatami. Jeden kanał zgłaszania incydentów zmniejsza złożoność i może poprawić jakość danych dzięki standaryzowanym polom i taksonomii.
Wymaga to jednak od organizacji przeprojektowania procesów sprawozdawczości. Wiele z nich rozdzieliło NIS2, RODO i DORA na odrębne strumienie zgodności. Omnibus będzie wymagał zintegrowanego modelu z centralnymi rejestrami, zharmonizowanymi kryteriami dotkliwości i skoordynowanymi procesami komunikacji.
Prawo dotyczące danych, pliki cookie i strategia Unii w zakresie danych
Konsolidacja zgodnie z ustawą o danych
UE zamierza połączyć kilka systemów dotyczących danych w ramach ustawy o danych, w tym rozporządzenie w sprawie swobodnego przepływu danych, ustawę o zarządzaniu danymi oraz dyrektywę w sprawie otwartych danych. Po połączeniu przepisy te będą lepiej dostosowane i usprawnione.
W przypadku przedsiębiorstw ma to wpływ przede wszystkim na zarządzanie. Obecnie należy konsultować różne źródła prawne w zależności od rodzaju danych, sektora i celu. Konsolidacja upraszcza opracowywanie strategii dotyczących danych, zwłaszcza w przypadku organizacji wykorzystujących dane transgraniczne do celów sztucznej inteligencji, analiz lub modeli platformowych.
Zmodernizowane zasady dotyczące plików cookie
Komisja planuje również zmniejszyć liczbę banerów dotyczących plików cookie i w większym stopniu przenieść zarządzanie preferencjami na poziom przeglądarki.
Jest to praktyczny krok dla zespołów cyfrowych: mniej banerów poprawia komfort użytkowania, zwiększa współczynniki konwersji i zmniejsza obciążenie operacyjne związane z zarządzaniem zgodami. Odpowiedzialność za prawidłowe śledzenie i ograniczenie celu pozostaje jednak niezmieniona.
Strategia Data Union: Więcej wysokiej jakości danych dla sztucznej inteligencji
Oprócz uproszczenia przepisów Komisja wprowadza strategię dotyczącą unii danych, aby zapewnić większą dostępność wysokiej jakości danych dla sztucznej inteligencji. Obejmuje ona punkt pomocy prawnej dotyczący aktu prawnego w sprawie danych oraz środki mające na celu wzmocnienie europejskiej suwerenności w zakresie danych, na przykład poprzez ochronę wrażliwych danych nieosobowych i ustanowienie zasad uczciwego wykorzystania danych UE za granicą.
To wyraźny sygnał, że chcemy zbudować silny europejski ekosystem sztucznej inteligencji. Przepisy powinny być nie tylko bezpieczne, ale też dane powinny być łatwo dostępne. Dla przemysłu, infrastruktury krytycznej i małych i średnich firm lepszy dostęp do przestrzeni danych może być kluczowy, żeby projekty związane ze sztuczną inteligencją przeszły z fazy pilotażowej do produkcji.
Co powinny teraz zrobić firmy
Chociaż pakiet nadal wymaga konsultacji i zatwierdzenia przez Parlament i Radę, wskazane jest wczesne rozpoczęcie przygotowań.
- Przeprowadź analizę luk regulacyjnych.
Przejrzyj AI Act, GDPR, NIS2 i DORA razem, a nie osobno. Znajdź niespójności w definicjach, powtarzające się wymagania dotyczące dowodów i procesy, które mogą się później zbiegac. - Zintegruj zgłaszanie incydentów.
Jeśli pojawi się jeden punkt zgłoszeniowy, integracja będzie miała kluczowe znaczenie. Stwórz centralny rejestr incydentów, ujednolicaj skale ważności i określ obowiązki związane ze skonsolidowanym zgłaszaniem. - Przyspiesz zarządzanie sztuczną inteligencją.
Opóźnienie wejścia w życie ustawy o sztucznej inteligencji daje czas, ale nie oznacza zawieszenia. Już teraz opracujcie wykazy modeli, metody klasyfikacji, ramy monitorowania i praktyki dokumentacyjne. - Dostosuj swoją strategię dotyczącą danych.
W miarę zbieżności systemów danych należy ponownie zmapować przepływy danych, typy danych i prawa dostępu. Pozwoli to obniżyć długoterminowe koszty związane z zapewnieniem zgodności, zwłaszcza w hybrydowych środowiskach wielochmurowych i brzegowych. - Przygotuj zespoły marketingowe i produktowe do nowych zasad dotyczących plików cookie.
Przejrzyj narzędzia służące do uzyskiwania zgody, oceń gotowość do wdrożenia modeli preferencji opartych na przeglądarkach i zapewnij zgodność praktyk śledzenia.
Wnioski
Pakiet Digital Omnibus i opóźnione przepisy ustawy o sztucznej inteligencji oznaczają wyraźną zmianę polityki: mniej równoległych przepisów, większa spójność i bardziej realistyczne terminy wdrożenia. Nie eliminuje to wymagań, ale zbliża je do siebie i sprawia, że są one bardziej oparte na ryzyku. Stwarza to przestrzeń dla innowacji, zwłaszcza w dziedzinie sztucznej inteligencji i aplikacji opartych na danych, a jednocześnie wymaga dostosowań w zakresie zarządzania, zintegrowanej sprawozdawczości, zarządzania ryzykiem związanym ze sztuczną inteligencją i strategii dotyczącej danych.
Damovo może wspierać organizacje w całym procesie transformacji: od oceny przepisów, których dotyczy zmiana, po integrację istniejących programów zgodności, tworzenie ujednoliconych procesów zgłaszania incydentów oraz wdrażanie środków zarządzania sztuczną inteligencją i ochrony danych. Pomaga to firmom osiągnąć pewność prawną i przyspieszyć realizację inicjatyw cyfrowych i związanych ze sztuczną inteligencją, bez zbędnej biurokracji, ale z zachowaniem pełnej zgodności z przepisami.