Bruksela: nie potrzebujemy AI Act 2.0 dla agentów. Virkkunen prostuje branżowe oczekiwania

Przez ostatnie dwa lata Bruksela uchodziła w branżowych rozmowach za regulatora, który dla każdej nowej fali technologii ma osobną ustawę w szufladzie. Tym razem jednak Henna Virkkunen, wiceprzewodnicząca Komisji Europejskiej odpowiedzialna za technologie, powiedziała coś, czego firmy raczej nie spodziewały się usłyszeć z Brukseli. UE nie planuje na razie nowej ustawy specjalnie dla agentów AI. Według niej istniejące regulacje w obszarze AI, ochrony prywatności i cyberbezpieczeństwa powinny na razie wystarczyć. Wiceprzewodnicząca dorzuciła równolegle, że UE nie zamierza bezpośrednio inwestować w pojedyncze europejskie laboratoria AI. Chce za to rozwijać wspólną infrastrukturę. Dlatego stawia również na pomoc przemysłowi w sięganiu po gotowe modele. To wypowiedź zaskakująca z dwóch powodów. Po pierwsze, agenci AI już teraz kupują, rezerwują i obsługują systemy firmowe. Co więcej, podejmują decyzje w imieniu człowieka, choć formalnie człowiek pozostaje stroną. Po drugie, część publicystycznych dyskusji w 2025 roku oczekiwała, że rozporządzenie z 2024 roku doczeka się rozszerzenia używającego nawet hasła “AI Act 2.0”. Tymczasem Virkkunen mówi: na razie nie.

Wiceprzewodnicząca KE odpowiada na pytanie, którego firmy jeszcze nie postawiły

Henna Virkkunen, która w obecnej kadencji Komisji odpowiada za pakiet tematów technologicznych, mówiła wprost. Jej zdaniem obecne regulacje europejskie – w obszarze AI, prywatności i cyberbezpieczeństwa – tworzą na razie wystarczające ramy dla obecnej fali agentów. Dlatego nie widzi powodu, by mnożyć osobne rozporządzenia dla każdej kolejnej kategorii usług, w której pojawia się autonomia oprogramowania. Dla obserwatora rynku jest to ważny komunikat. Część publicystycznych rozmów branżowych krążyła bowiem ostatnio wokół pytania, czy doczekamy się czegoś określanego jako “AI Act 2.0”.

Virkkunen dorzuciła równolegle drugą deklarację. UE nie zamierza bezpośrednio inwestować w pojedyncze europejskie laboratoria AI. Komisja stawia natomiast na rozwój wspólnej infrastruktury i wykorzystanie technologii w przemyśle. To inna filozofia interwencji państwa w technologię niż ta, do której branża zdążyła się przyzwyczaić.

Agenci AI już chodzą po systemach firmowych. AI Act ich łapie, ale nie szyje pod nich osobnego rozdziału

Punktem zapalnym tej dyskusji jest fakt, że agent AI nie jest już ciekawostką laboratoryjną. To program, który ma uprawnienia do podejmowania decyzji w imieniu człowieka albo organizacji. Klika “kup”, wysyła maile do dostawców, rezerwuje spotkania, modyfikuje arkusze, przegląda dokumenty pracownicze. Najbliższy przykład wszedł do publicznej rozmowy kilka dni temu. Wtedy Visa i OpenAI ogłosiły zakupy bezpośrednio z poziomu ChatGPT. Agent kupuje, sieć kartowa autoryzuje, sklep dostaje pieniądze. AI Act z 2024 roku ma szeroką definicję systemu AI. Dlatego jego zakres obejmuje również takie programy. Nie zawiera natomiast osobnych, szczegółowych przepisów rozróżniających sprawczość agenta od sprawczości człowieka. Tymczasem to właśnie na tej różnicy opierają się praktyczne pytania firm wdrażających.

Pięć praktycznych pytań wdrożeniowych, których AI Act nie rozstrzyga wprost

Z perspektywy zespołów wdrażających agenty w firmach widać kilka miejsc, które obecny pakiet legislacyjny zostawia branży do zinterpretowania. Pierwsze to atrybucja decyzji. Kiedy agent wybiera dostawcę i wysyła zamówienie, formalnie to firma podejmuje decyzję zakupową. Operacyjnie podejmuje ją jednak program. Dlatego pytanie, kto faktycznie kupuje, nie ma dziś jednej, oczywistej odpowiedzi prawnej. Drugie miejsce to audyt. Wymogi dokumentacji i identyfikowalności systemu da się zastosować, ale agent oparty na dużym modelu językowym nie ma w sobie deterministycznej ścieżki, którą da się prosto przedstawić w protokole. Trzecie to bezpieczeństwo wektorowe. Wstrzyknięcie polecenia w treść strony internetowej, którą agent przegląda, może go skłonić do działania, którego nikt mu nie zlecił. Czwarte miejsce dotyczy zgód. Klient akceptuje regulamin sklepu raz. W jego imieniu klika potem agent, który nie zawsze widzi te same warunki. Piąte to odpowiedzialność cywilna. Pytanie, czy szkodę pokrywa dostawca modelu, integrator wdrożenia czy firma końcowa, prawnicy wciąż interpretują z istniejących przepisów, bez osobnego rozdziału dedykowanego agentom.

Czy te luki rzeczywiście wymagają nowej ustawy

Stanowisko Virkkunen da się odczytać jako próbę powiedzenia, że odpowiedzi na te pytania mają wypracować organy nadzoru i sądy w oparciu o istniejące przepisy. Inaczej mówiąc, nie domykajmy każdej luki nową ustawą, póki nie zobaczymy, jak prawo radzi sobie z tymi pytaniami w praktyce. Tak działa zresztą dobra część europejskiego prawa gospodarczego od dekad – regulator daje ramę, sądy i regulatorzy precyzują ją w sporach. Można jednak natomiast krytykować takie podejście jako zachowawcze. Skala wdrożeń agentowych przyspiesza bowiem szybciej niż tempo orzecznictwa. To właśnie w tym napięciu rozegra się prawdziwa próba dla wypowiedzi Virkkunen.

Bruksela woli teraz infrastrukturę niż kolejne paragrafy

Druga część wypowiedzi Virkkunen jest równie istotna jak pierwsza. Według niej UE nie zamierza bezpośrednio inwestować w pojedyncze europejskie laboratoria AI. Komisja chce natomiast rozwijać wspólną infrastrukturę i pomagać przemysłowi w wykorzystaniu technologii. Konkretnych form tego wsparcia ani sum w wypowiedzi nie podano. To zarysowuje inną filozofię niż ta, do której branża zdążyła się przyzwyczaić w ostatnich latach.

Tę samą tonację widać też w innych decyzjach Brukseli z ostatnich tygodni. Jeszcze kilka dni wcześniej Komisja nakazała Mecie otworzyć WhatsApp dla konkurencyjnych asystentów AI. Można się dopatrzeć w tym podobnego kierunku, choć każdą sprawę formalnie KE rozstrzyga osobno. Wspólnym mianownikiem byłaby chęć trzymania rynku otwartego dla nowych graczy. Z punktu widzenia firm budujących na agentach jest to natomiast ważniejsze, niż mogłoby się wydawać. Bardziej dynamiczny rynek dostawców usług AI to bowiem po prostu więcej opcji na stole przy negocjacji z konkretnym partnerem.

Pierwsza Misja AI · Kodożercy

Rozumiesz zagrożenia AI, gdy rozumiesz jak naprawdę działa

Bruksela mówi, że istniejące przepisy wystarczą. Firma, która wdraża agenta AI, musi sama wiedzieć, gdzie kończy się prawo, a zaczyna jej własne ryzyko. Kurs Pierwsza Misja AI Kodożerców pokazuje, jak naprawdę działa to, co stoi po drugiej stronie ekranu. I dlaczego regulacje są tylko częścią odpowiedzi.

Poznaj pełny program →

Polska firma zostaje z ryzykiem agenta na własnym karku

Dla polskich firm wdrażających agentów AI wypowiedź Virkkunen ma konkretną konsekwencję. Nie warto dłużej czekać na nową ustawę. Żaden akt nie powie szybko, kto odpowiada za błędne kliknięcie agenta. Dlatego ryzyko trzeba rozpisać samodzielnie, opierając się na istniejących przepisach. Oznacza to inwentaryzację. Jakie decyzje agent ma prawo podjąć bez człowieka, jakie wymagają potwierdzenia, jak są logowane jego działania, kto bierze odpowiedzialność, jeśli agent kupi nie to, co miał kupić. Wymówka “poczekajmy, co napisze Bruksela” pojawiała się w rozmowach branżowych w 2025 roku. Po wypowiedzi Virkkunen z 12 czerwca 2026 staje się ona natomiast trudniejsza do obronienia.

Konsekwencja praktyczna jest też taka, że polskie zespoły wdrożeniowe powinny czytać prawo, którym dziś dysponują, uważniej niż dotąd. AI Act z 2024 roku ma swoje wymogi co do systemów wysokiego ryzyka. RODO ma swoje wymogi co do danych osobowych przetwarzanych przez agenta. Regulacje cyberbezpieczeństwa – tak unijne, jak krajowe – mają swoje wymogi co do firm prowadzących krytyczne systemy. Każdy z tych obszarów może dotyczyć konkretnego wdrożenia agenta, w zakresie, w jakim to wdrożenie spełnia warunki danej regulacji. To znaczy, że nie wszystkie agenty trafią pod wszystkie trzy reżimy. Każda firma sama musi zmapować, które z nich dotyczą konkretnie jej projektu. Połączenie tych porządków nie zastępuje osobnej ustawy dla agentów, ale tworzy ramę, w której wdrożenia da się odpowiedzialnie zaprojektować dzisiaj. Wymaga to rzetelnej pracy prawniczej i decyzji o tym, jak firmę zorganizować, a nie czekania na jeden akt, który ma odpowiedzieć na wszystko.

Podsumowanie

Wypowiedź Virkkunen nie znaczy, że Bruksela rezygnuje z regulowania AI. Mówi natomiast, że na najbliższy okres priorytetem nie będzie pisanie kolejnego dużego aktu specjalnie dla agentów. Zamiast tego rynek zostaje z istniejącymi przepisami. To, jak prawo, sądy i organy nadzoru poradzą sobie z nową klasą zdarzeń generowanych przez autonomicznych agentów, jest pytaniem otwartym. Można na takie podejście spojrzeć w dwóch ramach. Zachowawczy regulator nie chce się zbyt szybko zaangażować, gdy nie wie, jakie ostatecznie pojawią się problemy. Dojrzały regulator nie produkuje ustaw na każde wezwanie branży, tylko sprawdza, czy coś faktycznie wymaga nowych ram. Obie ramy to interpretacje, a nie deklaracje samej KE. Trzeba przy tym pamiętać, że to wypowiedź jednej wiceprzewodniczącej Komisji z określonego momentu, nie zaś formalny akt całej Komisji wiążący ją w dalszych kadencjach. W tej dyskusji wiele jeszcze może się zmienić. Dla zespołów wdrażających agenty AI dziś istotne jest jednak inne. To one muszą wziąć na siebie pracę, której Bruksela na razie nie planuje wykonywać za nie nowym rozporządzeniem.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.