Stan prawny i materiały źródłowe sprawdzono 12 października 2026 r. Tekst wyjaśnia ogólne zasady; ocenę obowiązków konkretnej firmy trzeba oprzeć na jej zastosowaniach, roli i przepisach sektorowych.
AI Act może dotyczyć firmy, która nie tworzy modeli
Rozporządzenie obejmuje więcej podmiotów niż producenci technologii. Firma używająca systemu AI w działalności może być podmiotem stosującym, określanym w angielskiej wersji jako deployer. Dostawcą, czyli providerem, może być natomiast organizacja rozwijająca system albo zlecająca jego opracowanie i udostępniająca go lub oddająca do użytku pod własną nazwą. Rozróżnienie wynika z definicji w art. 3 AI Act.
Zakup abonamentu nie przenosi wszystkich obowiązków na producenta. Firma pozostaje odpowiedzialna za właściwy dla siebie zakres użycia. Z kolei zlecenie budowy rozwiązania zewnętrznemu wykonawcy nie gwarantuje, że zamawiający będzie tylko użytkownikiem. Przy własnym produkcie, systemie rozwijanym na zamówienie lub istotnych zmianach potrzebna jest analiza roli w łańcuchu dostaw.
Pierwsze pytanie brzmi: jaką rolę firma pełni wobec konkretnego systemu? Ta sama organizacja może mieć różne role dla różnych rozwiązań. W jednym dziale używa gotowego narzędzia, a w innym oferuje własną usługę opartą na AI. Zakres obowiązków należy ustalać osobno, zamiast przypisywać całej firmie jedną etykietę.
Sprawdź aktualne terminy zamiast opierać się na starym harmonogramie
AI Act jest stosowany etapami. Od 2 lutego 2025 r. zaczęły obowiązywać rozdziały dotyczące przepisów ogólnych i praktyk zakazanych. Zasadnicza data stosowania rozporządzenia to 2 sierpnia 2026 r., lecz przepisy przewidują wyjątki. W tym terminie weszły w stosowanie między innymi obowiązki przejrzystości dla określonych systemów i treści. Sama informacja, że „AI Act już obowiązuje”, nie rozstrzyga terminu każdego wymagania.
Ważną zmianę przyniósł pakiet AI Omnibus, którego wejście w życie Komisja Europejska potwierdziła 27 lipca 2026 r. Według aktualnego art. 113 przepisy z rozdziału III, sekcji 1–3, dla systemów wysokiego ryzyka z załącznika III stosuje się od 2 grudnia 2027 r., a dla systemów kwalifikowanych przez art. 6 ust. 1 i załącznik I od 2 sierpnia 2028 r. Istnieją także szczególne przepisy przejściowe dla wcześniejszych systemów.
Firma powinna przypisać termin do konkretnego obowiązku. Odroczenie części wymagań wysokiego ryzyka nie odracza zakazów ani obowiązków przejrzystości. Nie usuwa też wymagań wynikających z RODO czy prawa pracy. Rozsądny plan przygotowań uwzględnia zarówno to, co trzeba wykonywać już teraz, jak i działania potrzebne przed przyszłym terminem.
Ustal, gdzie AI rzeczywiście pracuje w organizacji
Praktycznym początkiem jest rozpoznanie zastosowań. Chodzi o systemy kupione centralnie, funkcje AI w innych aplikacjach oraz narzędzia używane przez pracowników do zadań służbowych. Warto ustalić, jakie dane trafiają do systemu, kto korzysta z odpowiedzi i na co wpływa wynik. Lista samych nazw produktów nie wystarcza do oceny ryzyka.
To zalecenie organizacyjne, a nie twierdzenie, że AI Act nakazuje każdej firmie prowadzić identyczny, sformalizowany rejestr wszystkich aplikacji. Niewielka organizacja może zacząć od prostego opisu zastosowań. Ważne, aby materiał pozwalał rozpoznać właściciela procesu i wrócić do decyzji o zakresie pracy. Nowe zastosowanie powinno uruchamiać ponowną ocenę, jeśli zmienia dane lub skutki działania.
W takim przeglądzie pomocny może być audyt gotowości firmy do AI. Diagnoza operacyjna nie zastępuje kwalifikacji prawnej. Dostarcza jednak informacji, bez których trudno ją wykonać. Prawnik i zespół odpowiedzialny za zgodność potrzebują wiedzieć, jak rozwiązanie działa w praktyce, zamiast otrzymać wyłącznie broszurę dostawcy.
Wyklucz zastosowania zakazane
Firma musi sprawdzić, czy nie wykorzystuje systemu do praktyki objętej art. 5 AI Act. W środowisku pracy szczególnie istotny jest zakaz używania AI do wnioskowania o emocjach osób na podstawie danych biometrycznych, z wyjątkiem zastosowań przewidzianych ze względów medycznych lub bezpieczeństwa. Znaczenie ma definicja danego systemu, a nie ogólna nazwa „analiza zachowania”.
Ostrożnej oceny wymagają również określone formy manipulacji, wykorzystywania podatności osób i scoringu społecznego spełniającego przesłanki zakazu. Nie każda personalizacja marketingu i nie każda ocena klienta są automatycznie zakazane. Trzeba sprawdzić cel, mechanizm, użyte dane i możliwe skutki, zamiast wyciągać wniosek tylko z obecności słowa „scoring”.
Jeżeli zastosowanie jest zakazane, zgoda kierownika lub zakup komercyjnej aplikacji nie legalizują jego użycia. Deklarację dostawcy warto skonfrontować z rzeczywistą funkcją. Przykładowo rozwiązanie reklamowane jako wsparcie HR może wymagać innej oceny, jeśli w praktyce ma rozpoznawać emocje pracowników. Takie wątpliwości należy rozstrzygnąć przed uruchomieniem, nie po otrzymaniu pierwszych wyników.
Rozpoznaj systemy wysokiego ryzyka
Wysokie ryzyko zależy od przeznaczenia i reguł klasyfikacji. Załącznik III obejmuje między innymi określone zastosowania w rekrutacji, ocenie kandydatów, zarządzaniu pracownikami i ocenie ich pracy. Obejmuje też wybrane obszary usług finansowych, takie jak ocena zdolności kredytowej osób fizycznych. Druga ścieżka dotyczy określonych produktów i komponentów bezpieczeństwa.
Nie każda pomoc AI w dziale HR jest systemem wysokiego ryzyka. Korekta językowa ogłoszenia różni się od oceniania kandydatów. Jednocześnie pozostawienie człowiekowi ostatniego kliknięcia nie wystarcza do automatycznego wyłączenia systemu z tej kategorii. Liczy się jego rzeczywisty wpływ na ocenę i decyzję, a nie sama deklaracja, że wynik ma charakter pomocniczy.
Art. 6 przewiduje warunkowe wyjątki dla niektórych zastosowań z załącznika III, które nie powodują istotnego ryzyka i spełniają określone kryteria. Zawiera również szczególną regułę dotyczącą profilowania osób. Kwalifikacji nie należy zastępować intuicją, że narzędzie jest proste albo firma jest mała. Ocena powinna wyjaśniać, do jakiego zastosowania i na jakiej podstawie odnosi się wniosek.
Przygotuj ludzi do odpowiedzialnego korzystania z AI
Zgodnie z aktualnym art. 4 dostawcy i podmioty stosujące mają podejmować działania wspierające rozwój kompetencji AI pracowników i innych osób korzystających z systemów w ich imieniu. Trzeba uwzględniać wiedzę, doświadczenie i kontekst użycia. Po zmianie z lipca 2026 r. przepis nie wymaga gwarantowania konkretnego poziomu kompetencji każdej osoby.
W wyjaśnieniach Komisji Europejskiej wskazano, że nie jest potrzebny określony certyfikat ani jedna narzucona struktura zarządzania dla realizacji tego obowiązku. Firma może dokumentować szkolenia i inne działania edukacyjne. Dlatego hasło „obowiązkowy certyfikat AI Act dla każdego pracownika” nie opisuje prawidłowo samego art. 4.
Praktyczne przygotowanie warto oprzeć na zadaniach zespołu. Użytkownik powinien rozumieć ograniczenia narzędzia, dopuszczalny zakres danych i sposób kontroli wyniku. Szkolenia AI dla firm mogą wspierać ten proces, jeśli odpowiadają rzeczywistym zastosowaniom. Udział w kursie nie zapewnia jednak samodzielnie zgodności pozostałych procesów przedsiębiorstwa.
Sprawdź obowiązki wobec klientów i odbiorców treści
Art. 50 AI Act przewiduje kilka różnych obowiązków przejrzystości. Dostawca systemu przeznaczonego do bezpośredniej interakcji z ludźmi ma zapewnić informację o kontakcie z AI, chyba że jest to oczywiste w rozumieniu przepisu. Firma uruchamiająca chatbota powinna ustalić swoją rolę i sprawdzić, jak odpowiedni komunikat jest realizowany.
Odrębne wymagania dotyczą oznaczania syntetycznych wyników przez dostawców systemów oraz ujawniania przez podmioty stosujące użycia treści stanowiących deepfake. Przy tekście publikowanym w celu informowania o sprawach interesu publicznego istnieje szczególna reguła ujawnienia generowania lub manipulowania przez AI. Przepis przewiduje wyjątek między innymi przy kontroli redakcyjnej lub przeglądzie człowieka i odpowiedzialności redakcyjnej za publikację.
Nie wynika z tego nakaz opatrywania każdej firmowej wiadomości napisem „wygenerowano przez AI”. Trzeba rozpoznać rodzaj treści, rolę firmy i warunki wyjątku. Sama kosmetyczna zmiana stylu nie powinna zastępować ustalenia, czy rzeczywiście odbyła się kontrola redakcyjna. Osobno należy respektować pozostałe przepisy dotyczące komunikacji i praw odbiorców.
Dla wysokiego ryzyka przygotuj nadzór i dokumentację
Jeżeli firma stosuje system wysokiego ryzyka, należy zaplanować obowiązki z art. 26, uwzględniając właściwy termin i przepisy przejściowe. Obejmują one używanie zgodnie z instrukcją, kompetentny nadzór człowieka, monitorowanie działania i postępowanie z ryzykami oraz poważnymi incydentami. W zakresie kontroli danych wejściowych znaczenie ma ich adekwatność do przeznaczenia systemu.
Przepis przewiduje także zachowanie automatycznie generowanych logów pozostających pod kontrolą firmy, co do zasady przez co najmniej sześć miesięcy, chyba że właściwe przepisy stanowią inaczej. Dla zastosowań pracowniczych i decyzji dotyczących osób określono obowiązki informacyjne. Nie należy rozszerzać tych wymagań automatycznie na każdą aplikację używaną do redakcji tekstu.
W praktyce osoba nadzorująca musi mieć uprawnienia i możliwość interwencji. Człowiek wpisany do procedury powinien rzeczywiście móc rozpoznać problem i zatrzymać niewłaściwe działanie. Zespół potrzebuje instrukcji, dostępu do informacji i czasu na ocenę. Przygotowanie tego sposobu pracy może wymagać zmiany procesu jeszcze przed obowiązkowym terminem zastosowania odpowiednich wymagań.
Ocena wpływu na prawa podstawowe nie dotyczy automatycznie każdej firmy
Art. 27 określa obowiązek oceny wpływu na prawa podstawowe dla wskazanych podmiotów i zastosowań wysokiego ryzyka. Dotyczy między innymi określonych podmiotów publicznych, prywatnych świadczących usługi publiczne oraz zastosowań wskazanych w przepisie w obszarze zdolności kredytowej i ubezpieczeń na życie oraz zdrowotnych. Zakres ma wyjątki i wymaga kwalifikacji.
Nie należy więc przedstawiać FRIA jako dokumentu, który musi przygotować każdy przedsiębiorca używający AI. Odrębnie może powstać obowiązek oceny skutków dla ochrony danych według RODO. Obie analizy mogą się uzupełniać, ale nie są identyczne. Ich potrzeba wynika z konkretnych przesłanek, nie z samego posiadania abonamentu na narzędzie.
AI Act nie zastępuje RODO ani prawa pracy
Zgodność z jednym rozporządzeniem nie rozstrzyga legalności całego procesu. Firma pracująca z danymi osób musi osobno ocenić podstawę przetwarzania, zakres informacji, role podmiotów i obowiązki wobec tych osób. EDPB udostępnia materiały dotyczące AI i ochrony danych, w tym opinię o wybranych aspektach przetwarzania w modelach AI.
W przedsiębiorstwie warto połączyć kompetencje operacyjne, techniczne i prawne. Dział zna potrzebę, IT potrafi opisać dostęp oraz integracje, a osoby odpowiedzialne za zgodność oceniają przepisy. Jeśli każda grupa analizuje inną wersję projektu, łatwo przeoczyć zmianę przeznaczenia lub rodzaju danych. Wspólny opis zastosowania ogranicza to ryzyko.
Przykładem jest system wspierający rekrutację. Oprócz kwalifikacji według AI Act trzeba rozpoznać przetwarzanie danych kandydatów i wpływ na decyzję. Płatna licencja ani ogólne zapewnienie producenta nie kończą analizy. Podobnie system działający lokalnie nie staje się automatycznie legalny tylko dlatego, że nie przesyła materiałów do usługi zewnętrznej.
Uporządkuj zasady i zachowuj dowody wykonanych działań
Praktycznym zaleceniem jest ustalenie, kto dopuszcza nowe zastosowanie, jakie materiały wolno wykorzystywać i do kogo zgłasza się problem. Nie jest to uniwersalny wymóg posiadania dokumentu o jednej nazwie i strukturze. Ważniejsze, aby zasady pozwalały wykonywać właściwe obowiązki i były zrozumiałe dla zespołu. Polityka nie powinna sprowadzać się do podpisania deklaracji ostrożności.
Warto zachować opis kwalifikacji systemu, instrukcje dostawcy, materiały edukacyjne i decyzje dotyczące kontroli. Zakres dokumentacji powinien odpowiadać roli oraz kategorii systemu. Dla zwykłego zastosowania wewnętrznego może być ograniczony, a dla dostawcy systemu wysokiego ryzyka znacznie szerszy. Nie należy sprzedawać jednego szablonu jako kompletnego rozwiązania dla wszystkich przedsiębiorstw.
Dokumentacja ma pokazywać, co firma faktycznie zrobiła i dlaczego. Lista szkoleń bez programu, procedura bez właściciela albo deklaracja dostawcy bez określenia zastosowania niewiele wyjaśniają. Przy zmianie systemu lub sposobu użycia warto wrócić do wcześniejszej oceny, sprawdzić aktualność wniosków i uzgodnić nowe działania.
Kary zależą od naruszenia, a MŚP mają szczególne zasady limitów
Art. 99 przewiduje między innymi maksymalne sankcje do 35 mln euro lub 7% światowego rocznego obrotu za naruszenie zakazów, a za określone inne naruszenia do 15 mln euro lub 3%. Dla MŚP, w tym startupów, stosuje się szczególną zasadę niższego z właściwych limitów kwotowego i procentowego.
Nie są to automatyczne kary za każdą nieprawidłowość. Znaczenie mają konkretny obowiązek, okoliczności naruszenia, termin jego stosowania i właściwe zasady egzekwowania. Nie należy przenosić najwyższego limitu na każdy brak szkolenia lub dokumentu. Firma powinna skupić się na rozpoznaniu obowiązków, zamiast budować przygotowania wyłącznie wokół medialnej kwoty sankcji.
Co warto zrobić w firmie teraz
Zacznij od opisania rzeczywistych zastosowań AI i wskazania osób odpowiedzialnych za procesy. Na tej podstawie ustal rolę firmy, wyklucz praktyki zakazane i sprawdź wymagania przejrzystości. Równolegle przygotuj działania edukacyjne dopasowane do użytkowników. Systemy potencjalnie wysokiego ryzyka powinny przejść dokładniejszą kwalifikację z harmonogramem dostosowanym do aktualnych przepisów.
Pomocne może być doradztwo dotyczące AI i zasad korzystania w organizacji. Rozmowa powinna obejmować procesy, dane i skutki działania, a w kwestiach kwalifikacji prawnej angażować właściwe kompetencje. Warto jasno ustalić, co jest obowiązkiem już stosowanym, co przygotowaniem do przyszłego terminu, a co rekomendacją poprawiającą kontrolę.
Twoja firma potrzebuje wiedzieć, jakie obowiązki dotyczą jej konkretnych systemów i jak je wykonuje. Taki sposób przygotowania pozwala rozsądnie korzystać z AI bez przenoszenia na prosty asystent wymagań innego rodzaju produktu. Jednocześnie daje podstawę do szybkiej reakcji, gdy zastosowanie zaczyna wpływać na ludzi, decyzje lub informacje w nowy sposób.
Bibliografia
- Komisja Europejska, „AI Omnibus enters into force”, 27 lipca 2026 r.
- AI Act Service Desk Komisji Europejskiej, tekst oparty na wersji skonsolidowanej z 27 lipca 2026 r., art. 3: definicje.
- AI Act Service Desk, art. 4: kompetencje AI.
- Komisja Europejska, „AI Literacy: Questions & Answers”.
- AI Act Service Desk, art. 5: praktyki zakazane.
- AI Act Service Desk, art. 6 i załącznik III: klasyfikacja wysokiego ryzyka.
- AI Act Service Desk, art. 26: obowiązki podmiotów stosujących systemy wysokiego ryzyka.
- AI Act Service Desk, art. 27: ocena wpływu na prawa podstawowe.
- AI Act Service Desk, art. 50: obowiązki przejrzystości.
- AI Act Service Desk, art. 99: sankcje.
- AI Act Service Desk, art. 113: terminy stosowania.
- EDPB, materiały dotyczące sztucznej inteligencji i ochrony danych.
- EUR-Lex, rozporządzenie (UE) 2024/1689, dostęp do aktu i wersji skonsolidowanych.