3 dni temu
2 sierpnia 2026 r. większość przepisów AI Act zaczęła mieć bezpośrednie znaczenie dla firm wykorzystujących sztuczną inteligencję w procesach biznesowych. Hasło „AI Act obowiązki przedsiębiorcy” nie oznacza jednak jednego, uniwersalnego zestawu formalności. Zakres obowiązków zależy przede wszystkim od roli przedsiębiorcy w łańcuchu wartości AI, przeznaczenia systemu oraz ryzyka, jakie system może stwarzać dla zdrowia, bezpieczeństwa i praw podstawowych osób fizycznych.
Dla zarządu najważniejsza jest zmiana perspektywy. AI Act nie jest regulacją wyłącznie dla producentów zaawansowanych modeli językowych. Dotyczy także spółki, która kupuje narzędzie do rekrutacji, wdraża automatyczną ocenę klientów, używa analityki predykcyjnej w ubezpieczeniach albo tworzy własnego asystenta dla pracowników. W wielu takich przypadkach firma będzie „podmiotem stosującym”, ale w określonych okolicznościach może przejąć obowiązki dostawcy.
AI Act: obowiązki przedsiębiorcy zaczynają się od ustalenia roli
Rozporządzenie posługuje się kategoriami, które nie zawsze odpowiadają potocznemu podziałowi na producenta i użytkownika. Dostawca to podmiot, który rozwija system AI albo zleca jego rozwój i wprowadza go do obrotu lub oddaje do używania pod własną nazwą. Podmiot stosujący wykorzystuje system AI pod własnym kierownictwem zawodowym, z wyjątkiem użycia czysto osobistego i nieprofesjonalnego.
Istotne są również role importera, dystrybutora oraz upoważnionego przedstawiciela. W praktyce polskiej spółki szczególnie często wystąpią jako podmioty stosujące rozwiązania dostawców z USA lub innych państw spoza UE. Sam fakt, iż aplikacja jest dostępna w modelu SaaS, nie zwalnia firmy z analizy regulacyjnej.
Trzeba też uważać na modyfikacje. Przedsiębiorca, który istotnie zmienia działanie systemu wysokiego ryzyka, zmienia jego przewidziane zastosowanie albo oferuje go dalej pod własną marką, może zostać uznany za dostawcę. To moment, w którym zwykłe wdrożenie narzędzia zakupionego od zewnętrznego producenta przestaje być wyłącznie sprawą procurementu i IT. Staje się projektem wymagającym pełnego governance, dokumentacji technicznej oraz oceny zgodności.
Najpierw sprawdź, czy rozwiązanie jest systemem AI i do jakiej kategorii należy
AI Act obejmuje systemy AI w rozumieniu rozporządzenia, a nie każde oprogramowanie wykorzystujące reguły, automatyzację czy analizę danych. Definicja jest szeroka, ale wymaga, aby system działał z pewnym poziomem autonomii i na podstawie danych wejściowych wyprowadzał rezultaty, takie jak predykcje, treści, rekomendacje lub decyzje, mogące wpływać na środowisko fizyczne lub wirtualne.
Po identyfikacji systemu należy ustalić kategorię ryzyka. Rozporządzenie zakazuje określonych praktyk, nakłada szczególne wymagania na systemy wysokiego ryzyka, przewiduje obowiązki transparentności dla wybranych zastosowań oraz reguluje modele AI ogólnego przeznaczenia. Nie każdy chatbot czy generator treści jest systemem wysokiego ryzyka. Nie każde narzędzie HR jest nim automatycznie. Znaczenie ma konkretne przeznaczenie i sposób użycia.
Praktyki zakazane: granica, której nie można przekroczyć
Zakazy z AI Act obowiązują od 2 lutego 2025 r. Obejmują między innymi niektóre formy manipulacji, wykorzystywania szczególnej podatności osób, scoringu społecznego, określonych zastosowań biometrii oraz kategoryzacji biometrycznej opartej na danych wrażliwych. Katalog jest techniczny i wymaga ostrożnej wykładni, ale dla biznesu wniosek jest prosty: projektów wykorzystujących emocje, cechy biometryczne, profilowanie osób lub automatyczne rankingi nie wolno akceptować bez uprzedniej analizy prawnej i technologicznej.
Szczególnego namysłu wymaga także wykrywanie emocji w miejscu pracy i w instytucjach edukacyjnych. W tym obszarze ryzyko nie polega tylko na karze administracyjnej. Może dotyczyć naruszenia dóbr osobistych, zasad prawa pracy, ochrony danych osobowych oraz reputacji pracodawcy.
System wysokiego ryzyka: nie wystarczy zaufać deklaracji dostawcy
Systemy wysokiego ryzyka obejmują m.in. pewne zastosowania AI w zatrudnieniu, dostępie do edukacji, ocenie zdolności kredytowej, usługach publicznych, wymiarze sprawiedliwości czy dostępie do kluczowych usług prywatnych. Osobną grupą są komponenty bezpieczeństwa produktów objętych unijnym prawem harmonizacyjnym, np. w niektórych urządzeniach medycznych lub maszynach.
Dostawca systemu wysokiego ryzyka musi spełnić rozbudowane wymogi dotyczące zarządzania ryzykiem, jakości danych, dokumentacji technicznej, rejestrowania zdarzeń, przejrzystości, nadzoru człowieka, dokładności, odporności i cyberbezpieczeństwa. Co do zasady powinien też przeprowadzić procedurę oceny zgodności i oznakować system znakiem CE.
Podmiot stosujący nie przeprowadza za dostawcę całej oceny zgodności, ale jego obowiązki są realne. Powinien używać systemu zgodnie z instrukcją, zapewnić kompetentny nadzór człowieka, monitorować działanie, zachowywać logi pod własną kontrolą – gdy ma do nich dostęp – oraz zgłaszać dostawcy i adekwatnym organom poważne incydenty. o ile system wysokiego ryzyka służy do podejmowania decyzji wobec osób, firma musi również rozważyć obowiązek poinformowania osób, iż podlegają jego użyciu.
Obowiązki transparentności dotyczą także narzędzi generatywnych
Wiele firm nie korzysta z AI wysokiego ryzyka, ale używa chatbotów, generatorów tekstów, obrazów, nagrań lub syntetycznych materiałów marketingowych. W takich przypadkach aktualne stają się obowiązki transparentności. Osoba wchodząca w interakcję z systemem AI powinna co do zasady wiedzieć, iż komunikuje się z maszyną, chyba iż jest to oczywiste z okoliczności.
AI Act obejmuje też obowiązki związane z oznaczaniem określonych treści wygenerowanych lub zmanipulowanych przez AI, w tym deepfake’ów. Nie chodzi przy tym o automatyczne opatrywanie każdego tekstu wygenerowanego z pomocą modelu językowego widoczną etykietą. Zakres obowiązku zależy od rodzaju treści, kontekstu i funkcji materiału. Inaczej należy ocenić humorystyczną grafikę w komunikacji wewnętrznej, inaczej syntetyczne nagranie osoby wykorzystywane w reklamie, kampanii społecznej lub komunikacji inwestorskiej.
Należy odróżnić transparentność z AI Act od obowiązków informacyjnych z RODO. o ile narzędzie AI przetwarza dane osobowe kandydatów, klientów lub pracowników, analiza musi objąć oba reżimy. Zgodność z AI Act nie legalizuje przetwarzania danych bez adekwatnej podstawy prawnej, a prawidłowa klauzula RODO nie zastępuje wymagań dotyczących nadzoru nad AI.
Kompetencje AI są obowiązkiem organizacyjnym, nie szkoleniowym dodatkiem
Od lutego 2025 r. podmioty dostarczające i stosujące systemy AI mają podejmować środki zapewniające odpowiedni poziom kompetencji w zakresie AI u personelu i innych osób działających w ich imieniu. Artykuł 4 AI Act nie narzuca jednego certyfikatu ani minimalnej liczby godzin szkoleniowych. Wymaga jednak podejścia adekwatnego do wiedzy technicznej, doświadczenia, wykształcenia, kontekstu użycia oraz grup osób, na które system może oddziaływać.
Dla spółki używającej narzędzia generatywnego wyłącznie do redagowania roboczych notatek wystarczy inny standard niż dla banku wykorzystującego AI do oceny ryzyka. W obu przypadkach warto jednak udokumentować podstawowe zasady: czego pracownicy nie mogą wprowadzać do narzędzia, kiedy wynik wymaga weryfikacji człowieka, kto zatwierdza nowe zastosowania i jak zgłaszać błędy lub incydenty.
Jak wdrożyć compliance bez tworzenia pozornej dokumentacji
Najczęstszym błędem jest rozpoczęcie od pisania polityki AI. Dokument ma wartość dopiero wtedy, gdy odpowiada na rzeczywiste użycie systemów w organizacji. Racjonalny proces powinien obejmować co najmniej pięć działań:
- sporządzenie rejestru używanych, testowanych i planowanych systemów AI;
- przypisanie każdemu systemowi roli przedsiębiorcy, celu użycia, właściciela biznesowego i kategorii ryzyka;
- weryfikację umów, dokumentacji dostawcy, instrukcji użycia, zasad przetwarzania danych i możliwości audytu;
- ustanowienie procedury zatwierdzania nowych przypadków użycia oraz reagowania na incydenty;
- przeszkolenie osób, które faktycznie korzystają z narzędzi lub nadzorują ich wyniki.
W umowie z dostawcą warto ustalić nie tylko parametry usługi i odpowiedzialność kontraktową, ale także dostęp do informacji potrzebnych do wykonania obowiązków z AI Act. Dotyczy to zwłaszcza instrukcji, ograniczeń systemu, informacji o danych, mechanizmów logowania, aktualizacji, obsługi incydentów i współpracy przy kontrolach. Standardowe warunki globalnego dostawcy nie zawsze zapewnią poziom informacji potrzebny klientowi działającemu w sektorze regulowanym.
Terminy i sankcje: ryzyko trzeba mierzyć proporcjonalnie
Od 2 sierpnia 2026 r. stosuje się zasadnicza część rozporządzenia, w tym reguły odnoszące się do wielu systemów wysokiego ryzyka z załącznika III. Dla części systemów będących komponentami produktów objętych sektorową oceną zgodności przewidziano późniejsze stosowanie przepisów. Harmonogram trzeba więc odnosić do konkretnego rozwiązania, a nie do ogólnego komunikatu, iż „AI Act już obowiązuje”.
Maksymalne administracyjne kary pieniężne są wysokie: za naruszenie zakazanych praktyk mogą sięgać 35 mln euro lub 7 proc. światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa. Za inne naruszenia obowiązków przewidziano niższe, ale przez cały czas istotne pułapy. Sankcja nie jest jednak jedynym kosztem. Równie dotkliwe mogą być przestój wdrożenia, konieczność wycofania narzędzia, spór z pracownikami lub klientami oraz utrata zaufania rynku.
Dobrze zaprojektowane AI governance nie ma blokować innowacji. Ma pozwolić zarządowi świadomie zdecydować, które zastosowania można uruchomić szybko, które wymagają dodatkowych zabezpieczeń, a z których należy zrezygnować. W praktyce najlepszym pierwszym krokiem nie jest kupno kolejnego narzędzia compliance, ale uczciwe ustalenie, gdzie AI już dziś podejmuje, rekomenduje lub przyspiesza decyzje wpływające na ludzi i biznes.
