2 sierpnia 2026 roku zaczął obowiązywać kolejny, największy jak dotąd etap unijnego AI Act — rozporządzenia o sztucznej inteligencji. W internecie natychmiast pojawiły się dwie skrajne narracje: „koniec AI w Europie” i „to nikogo nie dotyczy”. Obie są nieprawdziwe. Poniżej wyjaśniamy, co realnie się zmieniło.
Najkrócej: co się stało
AI Act nie wszedł w życie jednego dnia — jest wdrażany etapami. Wcześniej zaczęły obowiązywać zakazy praktyk niedopuszczalnych i obowiązek podnoszenia kompetencji AI w organizacjach, a następnie przepisy dla modeli ogólnego przeznaczenia. Od sierpnia 2026 stosuje się zasadniczą część rozporządzenia, w tym reżim dla systemów wysokiego ryzyka wymienionych w załączniku III oraz obowiązki przejrzystości.
Kogo to dotyczy
Rozporządzenie posługuje się rolami, a nie branżami. Najważniejsze dwie:
- Dostawca — tworzysz system AI lub wprowadzasz go na rynek pod swoją marką. Tu leży najwięcej obowiązków.
- Podmiot stosujący — używasz cudzego systemu AI w działalności zawodowej. Tu obowiązków jest znacznie mniej, ale nie ma ich zera.
Jeżeli Twoja firma po prostu korzysta z ChatGPT do pisania maili, jesteś podmiotem stosującym system, który w tym zastosowaniu nie jest wysokiego ryzyka. Jeżeli budujesz narzędzie, które filtruje CV kandydatów albo ocenia zdolność kredytową — sytuacja wygląda zupełnie inaczej.
Cztery poziomy ryzyka — bez prawniczego żargonu
- Niedopuszczalne — zakazane całkowicie, np. scoring społeczny obywateli czy manipulacyjne techniki wykorzystujące słabości grup wrażliwych.
- Wysokie ryzyko — dozwolone, ale pod warunkami: rekrutacja i zarządzanie pracownikami, edukacja, ocena zdolności kredytowej, infrastruktura krytyczna, dostęp do usług publicznych, elementy bezpieczeństwa produktów.
- Ograniczone ryzyko — obowiązek przejrzystości: użytkownik musi wiedzieć, że rozmawia z AI, a treści syntetyczne (deepfake, generowane obrazy) muszą być oznaczane.
- Minimalne ryzyko — zdecydowana większość zastosowań biznesowych. Brak dodatkowych obowiązków wynikających z AI Act.
Co konkretnie musi zrobić mała lub średnia firma
W praktyce, jeżeli nie budujesz systemu wysokiego ryzyka, lista jest krótka i całkowicie wykonalna:
- Spisz, gdzie używasz AI. Prosty rejestr: narzędzie, dział, do czego służy, jakie dane do niego trafiają. To fundament wszystkich pozostałych kroków.
- Sprawdź, czy któreś zastosowanie nie wpada w wysokie ryzyko. Najczęstszy przypadek w firmach to automatyczne przesiewanie kandydatów w rekrutacji.
- Zadbaj o kompetencje zespołu. Rozporządzenie wymaga, by osoby korzystające z AI rozumiały, jak ona działa i jakie ma ograniczenia. Wystarczy udokumentowane szkolenie wewnętrzne.
- Oznaczaj treści generowane przez AI tam, gdzie odbiorca mógłby zostać wprowadzony w błąd — dotyczy to również chatbotów obsługujących klientów.
- Uporządkuj dane. AI Act nie zastępuje RODO. Jeżeli wysyłasz dane osobowe do zewnętrznego modelu, potrzebujesz podstawy prawnej i umowy powierzenia.
- Zapewnij nadzór człowieka nad decyzjami, które dotykają ludzi. Żadna istotna decyzja nie powinna zapadać wyłącznie automatycznie.
Jeżeli Twój system jest wysokiego ryzyka
Wtedy wymagania są znacznie poważniejsze: system zarządzania ryzykiem, wymagania jakościowe dla danych treningowych, dokumentacja techniczna, automatyczne rejestrowanie zdarzeń, przejrzystość wobec użytkownika, nadzór człowieka, odpowiedni poziom dokładności i cyberbezpieczeństwa, ocena zgodności oraz rejestracja w unijnej bazie danych. To projekt na miesiące, nie na tydzień — i moment, w którym warto rozmawiać z prawnikiem specjalizującym się w AI.
Czego nie warto się bać
- Używanie ChatGPT w firmie nie stało się nielegalne. Ogromna większość zastosowań biurowych mieści się w kategorii minimalnego ryzyka.
- To nie jest kolejne RODO w wersji „każdy klika zgodę”. AI Act celuje w konkretne, ryzykowne zastosowania.
- Nie musisz zatrudniać zespołu compliance, żeby zacząć. Rejestr zastosowań i przeszkolony zespół załatwiają większość sprawy w małej firmie.
Checklista na najbliższy miesiąc
- Rejestr narzędzi AI używanych w firmie — jeden arkusz, wszystkie działy.
- Klasyfikacja każdego zastosowania: minimalne / ograniczone / wysokie ryzyko.
- Krótka polityka korzystania z AI: jakie dane wolno wklejać, a jakich nie.
- Szkolenie zespołu z podstaw AI i jej ograniczeń — z listą obecności.
- Oznaczenie chatbotów i treści generowanych przez AI.
- Wyznaczenie osoby odpowiedzialnej za temat AI w organizacji.
Jak możemy pomóc
Prowadzimy dwudniowe szkolenia AI dla firm, które obejmują również praktyczne aspekty odpowiedzialnego korzystania z AI w zespołach HR, marketingu i finansów. Szkolenia mogą być objęte dofinansowaniem z funduszy unijnych aż do 90%.
Uwaga: ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej. W przypadku systemów wysokiego ryzyka skonsultuj wdrożenie z prawnikiem.