AI Act i co oznacza dla polskiej firmy

Cztery poziomy ryzyka i to, co z nich wynika

Rozporządzenie nie ocenia technologii, tylko zastosowanie. Ten sam model językowy może być zastosowaniem o minimalnym ryzyku przy generowaniu opisu produktu i systemem wysokiego ryzyka przy ocenie kandydata do pracy.

• Ryzyko niedopuszczalne: zastosowania zakazane, na przykład ocena punktowa obywateli czy manipulacja wykorzystująca słabości osób.
• Wysokie ryzyko: rekrutacja i ocena pracowników, dostęp do usług podstawowych, ocena zdolności kredytowej, edukacja, część infrastruktury.
• Ograniczone ryzyko: systemy wchodzące w interakcję z człowiekiem oraz generujące treść. Główny obowiązek to przejrzystość, czyli poinformowanie odbiorcy.
• Minimalne ryzyko: pozostałe zastosowania, w tym większość narzędzi biurowych. Bez dodatkowych obowiązków wynikających z tego aktu.

Co robi przeciętna polska firma i co z tego wynika

Większość zastosowań w firmach średniej wielkości mieści się w kategorii ograniczonego albo minimalnego ryzyka. Generator opisów produktów, asystent w skrzynce pocztowej, odczyt faktur i wyszukiwanie w dokumentacji nie są systemami wysokiego ryzyka.

Sytuacja zmienia się w dwóch obszarach, które w firmach występują często: przy rekrutacji i ocenie pracowników oraz przy automatycznej ocenie klientów pod kątem dostępu do usługi. Tam obowiązki są realne: dokumentacja, nadzór człowieka nad decyzją i informacja dla osoby, której to dotyczy. Najczęstszy przypadek, czyli AI w rekrutacji i w dziale HR, rozpisaliśmy osobno razem z terminami i granicami prawnymi.

Trzeci obowiązek dotyczy prawie wszystkich: jeśli klient rozmawia z systemem AI, musi o tym wiedzieć. Ukrywanie tego, że po drugiej stronie czatu jest bot, jest naruszeniem, a nie sprytnym zabiegiem.

Terminy, czyli co obowiązuje w 2026 roku, a co od grudnia 2027

Kalendarz AI Act zmienił się w 2026 roku i część firm nadal planuje według starych dat. Pakiet Digital Omnibus, który wszedł w życie 27 lipca 2026 roku, przesunął stosowanie wymogów dla systemów wysokiego ryzyka z załącznika III z 2 sierpnia 2026 roku na 2 grudnia 2027 roku. Dotyczy to między innymi rekrutacji, oceny pracowników, scoringu klientów i edukacji.

Przesunięcie nie objęło trzech rzeczy. Obowiązek zapewnienia kompetencji osobom korzystającym z narzędzi AI obowiązuje od 2 lutego 2025 roku. Obowiązek przejrzystości, czyli poinformowania człowieka, że rozmawia z systemem albo czyta treść wygenerowaną maszynowo, stosuje się od 2 sierpnia 2026 roku. Zakazane zastosowania z artykułu 5, na przykład rozpoznawanie emocji w miejscu pracy, obowiązują niezależnie od odroczenia i nie da się ich naprawić dokumentacją.

Doszedł też element krajowy. Polska ustawa o sztucznej inteligencji weszła w życie 11 sierpnia 2026 roku, a od 28 października 2026 roku organ nadzoru może prowadzić kontrole i nakładać kary administracyjne. Od tej daty skarga klienta albo kandydata przestaje być wyłącznie kwestią wizerunkową. Najczęstszy w firmach przypadek wysokiego ryzyka, czyli AI w rekrutacji i w dziale HR, rozpisaliśmy osobno razem z granicami prawnymi i kosztami wdrożenia.

• 2 lutego 2025: obowiązek kompetencji w zakresie AI u osób korzystających z narzędzi.
• 2 sierpnia 2026: obowiązek przejrzystości, czyli oznaczanie systemów AI i treści generowanych.
• 11 sierpnia 2026: wejście w życie polskiej ustawy o sztucznej inteligencji.
• 28 października 2026: możliwość kontroli i kar administracyjnych po stronie krajowego organu nadzoru.
• 2 grudnia 2027: wymogi dla systemów wysokiego ryzyka z załącznika III, w tym rekrutacja i ocena pracowników.

Kompetencje w zakresie AI to obowiązek, o którym firmy zapominają

Rozporządzenie wymaga od organizacji korzystających z systemów AI zapewnienia odpowiedniego poziomu wiedzy u osób, które z nich korzystają. W praktyce oznacza to udokumentowane szkolenie zespołu: czym jest narzędzie, jakich danych do niego nie wolno wprowadzać, kto zatwierdza wynik i co zrobić, gdy wynik jest błędny.

To najtańszy do spełnienia i najczęściej pomijany obowiązek. Szkolenie z zasad korzystania kosztuje ułamek tego, co kosztuje incydent polegający na wklejeniu bazy klientów do darmowego czatu.

Praktyczna lista kontrolna przed wdrożeniem

• Spisz, jakie narzędzia AI są w firmie faktycznie używane, także te uruchomione przez pracowników bez zgody.
• Dla każdego określ, jakiego procesu dotyczy i czy wpływa na sytuację osoby fizycznej.
• Sprawdź, czy dostawca ma zawartą umowę powierzenia i gdzie przetwarza dane.
• Ustal, kto zatwierdza wynik, zanim ten wyjdzie na zewnątrz firmy.
• Zapisz zasady korzystania i przeszkol z nich zespół, zachowując ślad szkolenia.
• Poinformuj klientów tam, gdzie rozmawiają z systemem albo dostają treść wygenerowaną maszynowo.