Również kary za nieprzestrzeganie zapisów AI Act odpowiadają podziałowi ze względu na ryzyka systemów AI.

Wprowadzanie do obrotu, oddawanie do użytku lub wykorzystywanie zakazanych systemów AI podlega administracyjnej karze pieniężnej w wysokości do 35 milionów EUR lub do  7% całkowitego rocznego światowego obrotu. Dotyczy to więc m.in. systemów przeznaczonych do social scoringu, untargeted scraping etc.

Kary nakładane w związku z nieprzestrzeganiem przepisów dotyczących systemów sztucznej inteligencji objętych innym poziomem ryzyka wynoszą odpowiednio do 15 milionów EUR lub 3% całkowitego rocznego światowego obrotu.

Za podanie nieprawidłowych informacji organom przewidywane są kary w wysokości do 7.5 milionaEUR lub 1% całkowitego rocznego światowego obrotu.

Przed wdrożeniem systemu AI wysokiego ryzyka zasadniczo wymagane jest przeprowadzenie oceny skutków w zakresie praw podstawowych, jakie może wywołać wykorzystanie takiego systemu (Fundamental Rights Impact Assessment, FRIA).

Obowiązek ten ma zastosowanie przed wykorzystaniem systemu wysokiego ryzyka po raz pierwszy, a o wynikach przeprowadzonej oceny należy powiadomić stosowne organy. Informacje zawarte w ocenie należy aktualizować na bieżąco. Ponadto, dostawcy i użytkownicy systemów AI są zobowiązani do monitorowania i dokumentowania wpływu tych systemów na prawa podstawowe oraz do wdrażania odpowiednich środków zaradczych w przypadku wykrycia jakichkolwiek zagrożeń.

Do dostawców i podmiotów stosujących niektóre systemy AI o konkretnych funkcjonalnościach, które stosuje się dodatkowe obowiązki w zakresie przejrzystości. Informacje te mają być przekazywane w sposób jasny i wyraźny, najpóźniej w momencie pierwszej interakcji lub stosowania.

Dotyczy to systemów, które:

• wchodzą w bezpośrednią interakcję z człowiekiem – wymagane jest informowanie, że osoba ma do czynienia nie z człowiekiem, a z AI;
• generują dźwięki, obrazy, wideo lub tekst – wymagane jest oznakowanie takiej treści w sposób czytelny dla maszyn i wykrywalne jako sztucznie wygenerowane lub zmanipulowane;
• rozpoznają emocje, stosują kategoryzację biometryczną – wymagane jest informowanie o działaniu systemu osób, wobec których systemy są stosowane, a ewentualne przetwarzanie danych ma być zgodne z RODO;
• generują i przetwarzają deepfake – wymagane jest oznakowanie takiej treści.

Modele AI ogólnego przeznaczenia (General Purpose AI, GPAI) mają ogólny charakter,  stosowane są w do wykonywania szerokiego zakresu zadań, a zazwyczaj trenowane są na dużej ilości danych. Modele te mogą być dalej zmieniane lub dostosowywane jako baza do tworzenia nowych modeli i systemów.

W przeciwieństwie do modeli zaprojektowanych do konkretnych zadań, GPAI mają naśladować zdolności poznawcze ludzi. Są to w szczególności duże generatywne modele wykorzystywane np. w tłumaczach internetowych, wirtualnych asystentach i autonomicznych pojazdach, generujące teksty, obrazy i inne treści.

AI Act wprowadza szczególne przepisy dla takich modeli, poświęcając uwagę tym, które stwarzają ryzyko systemowe, czyli mogą nieść negatywne skutki dla zdrowia publicznego, porządku publicznego, bezpieczeństwa publicznego, praw podstawowych lub całego społeczeństwa, mogące rozprzestrzenić się na dużą skalę.

Na dostawców takich modeli nakłada się dodatkowe obowiązki m.in. w zakresie dokumentacji modelu, udostępniania jej innych podmiotom (w tym innym dostawcom AI), wprowadzeniem polityk zgodności z prawem UE, oraz – jeśli siedziba dostawcy znajduje się poza UE – wyznaczaniem przedstawicieli na Unię Europejską.

Niektóre systemy AI wymagają zarejestrowania w krajowej lub prowadzonej przez UE bazie danych.

Zasadniczo obowiązek rejestracyjny dotyczy systemów AI wysokiego ryzyka. Powinna zostać dokonana przez upoważnionego przedstawiciela przed wprowadzeniem do obrotu lub oddaniem do użytku takiego systemu sztucznej inteligencji.

W bazie krajowej rejestruje się systemy dotyczące infrastruktury krytycznej, czyli m.in. przeznaczone do zarządzania krytyczną infrastrukturą cyfrową, ruchem drogowym i procesów ich działania lub zaopatrzenia w wodę, gaz, ciepło lub energię elektryczną.

W bazie UE znaleźć mają się m.in. systemy dotyczące biometrii, kształcenia i szkolenia zawodowego, czy szeroko rozumianego HR. Przepisy zastrzegają, że tylko część rejestru będzie niepubliczna – w szczególności w obszarach ścigania przestępstw, migracji, azylu i zarządzania kontrolą graniczną.

Informacje, które znajdą się w odpowiedniej bazie dotyczyć będą specyfikacji samego systemu, a także osób odpowiedzialnych za rejestrację.

AI Act reguluje praktyki związane ze sztuczną inteligencją przede wszystkim w działalności komercyjnej.

Dotyczy m.in. dostawców AI, podmiotów stosujących ją, jej dystrybutorów i osób, na które AI ma wpływ i które znajdują się w Unii. Zasadniczo odnosi się do systemów i modeli sztucznej inteligencji, które wykorzystywane są w Unii, niezależnie od tego, czy poszczególni aktorzy z nimi związani znajdują się lub mają tu siedzibę.

AI Act nie obejmuje niektórych przypadków stosowania sztucznej inteligencji w UE. Rozporządzenia nie stosuje się w szczególności do systemów AI w zakresie realizacji:

• użytku własnego,
• badań naukowych i rozwojowych,
• celów wojskowych, obronnych lub bezpieczeństwa narodowego,
• międzynarodowej współpracy w sprawie ścigania przestępstw i współpracy sądowej.