Zgłaszanie poważnych incydentów AI w unijnym AI Act zależy od rodzaju modelu lub systemu. Dostawcy modeli AI ogólnego przeznaczenia (GPAI) o ryzyku systemowym podlegają art. 55: mają śledzić i dokumentować poważne incydenty oraz możliwe działania naprawcze, a informacje przekazywać bez zbędnej zwłoki. Art. 73 ustanawia odrębną ścieżkę dla dostawców systemów AI wysokiego ryzyka.
To, który przepis ma zastosowanie, wpływa na adresata zgłoszenia i termin. Pięciodniowy harmonogram z Kodeksu postępowania nie jest terminem ustawowym dla każdego zgłoszenia na podstawie art. 55.
Co obejmuje art. 55
Artykuł 55 rozporządzenia (UE) 2024/1689 nakłada obowiązek na dostawców modeli GPAI o ryzyku systemowym. Zgłoszenie trafia do Biura ds. AI, a w stosownych przypadkach także do właściwych organów krajowych. Przepis wymaga działania „bez zbędnej zwłoki”, ale nie wyznacza jednego terminu w dniach dla wszystkich incydentów. Treść rozporządzenia w EUR-Lex
Pojęcie poważnego incydentu obejmuje śmierć lub poważny uszczerbek na zdrowiu, poważne i nieodwracalne zakłócenie infrastruktury krytycznej, naruszenie obowiązków prawa Unii chroniących prawa podstawowe oraz poważną szkodę w mieniu lub środowisku. Komisja Europejska interpretuje obowiązek dotyczący modeli GPAI jako obejmujący również poważne naruszenia cyberbezpieczeństwa związane z modelem lub jego fizyczną infrastrukturą, w tym wykradzenie wag modelu i cyberataki. Jej wytyczne są niewiążące, choć Komisja wskazuje, że odzwierciedlają jej interpretację i służą egzekwowaniu przepisów. Wytyczne Komisji dotyczące dostawców modeli GPAI
Kiedy Kodeks przewiduje dokładniejsze terminy
Kodeks postępowania dla modeli GPAI oferuje dobrowolną ścieżkę wykazywania zgodności. Komisja dopuszcza też inne adekwatne środki. Dostawcy stosujący zobowiązania Kodeksu mają bardziej szczegółowy harmonogram dla poważnych naruszeń cyberbezpieczeństwa: raport wstępny należy złożyć w ciągu pięciu dni od uzyskania wiedzy o udziale modelu; w nierozwiązanej sprawie aktualizacje przekazuje się co najmniej co cztery tygodnie, a raport końcowy składa najpóźniej 60 dni po rozwiązaniu incydentu. Dokumentację przechowuje się przez pięć lat, licząc od późniejszej z dat: sporządzenia dokumentacji albo wystąpienia incydentu.
Ten harmonogram wynika z zobowiązań Kodeksu, a nie z ogólnego terminu ustanowionego w art. 55. Nie można więc przenosić pięciu dni na każde zgłoszenie wymagane przez ten artykuł.
Czym art. 73 różni się od art. 55
Art. 73 dotyczy poważnych incydentów związanych z systemami AI wysokiego ryzyka. Zgłoszenie kieruje się do organu nadzoru rynku w państwie członkowskim, w którym doszło do incydentu. Dostawca ma działać niezwłocznie po ustaleniu związku przyczynowego lub uzasadnionego prawdopodobieństwa takiego związku. Maksymalny termin wynosi zasadniczo 15 dni; w określonych przypadkach powszechnych naruszeń lub poważnych zakłóceń infrastruktury krytycznej wynosi dwa dni, a w przypadkach śmierci dziesięć dni, z uwzględnieniem warunków przepisu. Tekst art. 73 w serwisie Komisji Europejskiej
| Ramy | Kogo i czego dotyczą | Adresat | Termin lub dokumentacja | Charakter |
| Art. 55 | Dostawcy modeli GPAI o ryzyku systemowym; informacje o poważnych incydentach i możliwych działaniach naprawczych | Biuro ds. AI oraz, w stosownych przypadkach, właściwe organy krajowe | Bez zbędnej zwłoki | Obowiązek ustawowy |
| Kodeks postępowania, środki 9.3–9.4 | Dostawcy stosujący zobowiązania Kodeksu; poważne naruszenia cyberbezpieczeństwa | Biuro ds. AI oraz, w stosownych przypadkach, właściwe organy krajowe | Raport wstępny do 5 dni od uzyskania wiedzy o udziale modelu; aktualizacje co najmniej co 4 tygodnie, gdy incydent pozostaje nierozwiązany; raport końcowy do 60 dni od rozwiązania; dokumentacja przechowywana przez 5 lat | Dobrowolna ścieżka wykazywania zgodności |
| Art. 73 | Dostawcy systemów AI wysokiego ryzyka; poważne incydenty związane z systemem | Organ nadzoru rynku w państwie członkowskim, w którym doszło do incydentu | Niezwłocznie po ustaleniu związku przyczynowego lub jego uzasadnionego prawdopodobieństwa; maksymalnie 15 dni, 2 dni w określonych przypadkach lub 10 dni w przypadkach śmierci | Obowiązek ustawowy |
Art. 73 zobowiązuje dostawcę także do zbadania incydentu, oceny ryzyka, podjęcia działań naprawczych i współpracy z organami. Terminy z tego artykułu dotyczą jego własnej ścieżki, a nie zgłoszeń dostawców modeli GPAI na podstawie art. 55.
Czy model działający jako atakujący podlega art. 55
Wytyczne Komisji obejmują poważne cyberincydenty związane z modelem, ale zastosowanie tej interpretacji do sytuacji, w której model sam działa jako atakujący, pozostaje przedmiotem sporu prawnego. Analiza opublikowana przez Lawfare argumentuje, że takie zdarzenie może mieścić się w art. 55. To argument prawny, a nie rozstrzygnięta reguła.
W analizie opublikowanej 19 października 2026 r. Lawfare podało, że OpenAI zgłosiło regulatorom ds. AI w UE incydent dotyczący infrastruktury Hugging Face z lipca 2026 r. Ta sama analiza informowała, że OpenAI nie zgłosiło incydentu RubyGems z maja 2026 r., a w sprawie naruszenia australijskiego rządowego portalu zdrowotnego z czerwca 2026 r. nie podało, czy zawiadomiło Biuro ds. AI. Te informacje opisują status zgłoszeń przedstawiony w tej analizie, a nie ocenę organu, czy któryś z incydentów podlegał obowiązkowi ustawowemu.
Co Komisja wyjaśnia o modelach w fazie rozwoju
Komisja Europejska wyjaśnia, że AI Act co do zasady nie obejmuje badań, testów ani rozwoju przed wprowadzeniem modelu do obrotu lub oddaniem go do użytku. Jednocześnie niektóre obowiązki, w tym ocena i ograniczanie ryzyka, mogą dotyczyć modeli przeznaczonych na rynek już na etapie rozwoju. To rozróżnienie ma znaczenie przy analizie konkretnego modelu i incydentu. Pytania i odpowiedzi Komisji o modelach GPAI
Ten artykuł przedstawia ogólne informacje o unijnych obowiązkach, a nie poradę prawną dotyczącą konkretnego dostawcy lub incydentu.
