AI Act w firmie w 2026 r. – jak przygotować organizację na unijne obowiązki dotyczące sztucznej inteligencji

AI Act w 2026 r. – co już obowiązuje, a co zbliża się 2 sierpnia?

AI Act wszedł w życie 1 sierpnia 2024 r. i jest stosowany etapami. Od 2 lutego 2025 r. obowiązują między innymi przepisy dotyczące zakazanych praktyk oraz kompetencji w zakresie AI. Od 2 sierpnia 2025 r. stosuje się kolejne części rozporządzenia, w tym istotne obowiązki dotyczące modeli ogólnego przeznaczenia i elementy systemu nadzoru.

Ogólna data stosowania rozporządzenia to 2 sierpnia 2026 r. W praktyce nie należy jednak traktować tej daty jako jednego „deadline’u dla całej AI”. Dla konkretnego systemu trzeba sprawdzić jego kategorię, rolę organizacji i przepisy przejściowe. Toczące się prace legislacyjne lub wytyczne mogą doprecyzowywać stosowanie poszczególnych obowiązków, dlatego plan zgodności powinien rozdzielać obowiązki pewne od tych, których harmonogram wymaga bieżącej kontroli.

Inwentaryzacja AI – punkt wyjścia przed kwalifikacją ryzyka

Pierwszym krokiem jest lista faktycznie używanych rozwiązań: narzędzi generatywnych, chatbotów, modułów scoringowych, systemów rekrutacyjnych, analityki predykcyjnej, rozpoznawania obrazu i automatyzacji wykorzystujących modele AI. W rejestrze warto wskazać właściciela biznesowego, dostawcę, cel, użytkowników, kategorie danych i wpływ wyniku systemu na decyzję człowieka.

Inwentaryzacja powinna obejmować również „shadow AI”, czyli narzędzia używane przez pracowników bez formalnej zgody organizacji. Brak wiedzy o takim użyciu może prowadzić nie tylko do problemów z AI Act, lecz także do naruszenia poufności, tajemnicy przedsiębiorstwa lub zasad ochrony danych osobowych.

Dostawca, podmiot stosujący, importer czy dystrybutor – rola zmienia obowiązki

Firma kupująca gotowy system i używająca go we własnych procesach najczęściej będzie podmiotem stosującym. Sytuacja może się zmienić, gdy organizacja wprowadza system na rynek pod własną nazwą, istotnie go modyfikuje albo zmienia jego przeznaczenie. Wtedy część obowiązków właściwych dla dostawcy może przejść na dotychczasowego klienta.

Dlatego umowa i dokumentacja techniczna powinny odpowiadać faktycznemu modelowi działania. Sama etykieta w umowie nie przesądza roli prawnej. Trzeba zbadać, kto projektuje funkcje systemu, kto kontroluje model i dane, kto ustala przeznaczenie oraz kto odpowiada za aktualizacje.

Zakazane praktyki, wysoki poziom ryzyka i zwykłe zastosowania

AI Act posługuje się podejściem opartym na ryzyku. Część praktyk jest zakazana, część systemów może należeć do kategorii wysokiego ryzyka, a znaczna grupa zastosowań będzie podlegała jedynie wybranym obowiązkom lub pozostanie poza szczególnym reżimem. Wysokie ryzyko nie wynika z samego użycia „sztucznej inteligencji”, lecz z funkcji systemu i kontekstu wskazanego w rozporządzeniu.

Szczególnej ostrożności wymagają narzędzia wpływające na zatrudnienie, dostęp do istotnych usług, edukację, bezpieczeństwo produktów lub inne obszary wymienione w AI Act. Kwalifikacja powinna być udokumentowana, ponieważ błędne przyjęcie niskiego ryzyka może pozostawić organizację bez wymaganych procedur i dowodów zgodności.

AI literacy – szkolenie musi odpowiadać realnemu sposobowi korzystania z AI

Obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie AI nie powinien sprowadzać się do jednego ogólnego szkolenia. Innych informacji potrzebuje zarząd zatwierdzający ryzyko, innych dział HR korzystający z narzędzi wspierających rekrutację, a jeszcze innych zespół IT integrujący API modelu z systemami przedsiębiorstwa.

Dobry program obejmuje ograniczenia narzędzi, ryzyko halucynacji, poufność, ochronę danych, weryfikację wyników, zasady eskalacji oraz rozpoznawanie zastosowań, których firma nie dopuszcza. Warto dokumentować zakres szkolenia i grupy objęte programem, a nie tylko fakt wysłania prezentacji.

Transparentność i treści generowane przez AI od 2 sierpnia 2026 r.

Artykuł 50 AI Act przewiduje obowiązki transparentności dla określonych systemów i sposobów wykorzystywania AI. Komisja Europejska opublikowała 20 lipca 2026 r. wytyczne dotyczące tych obowiązków. Dla firmy oznacza to konieczność sprawdzenia między innymi, czy użytkownik powinien być informowany o interakcji z AI oraz czy określone treści syntetyczne wymagają oznaczenia.

Nie każde użycie generatywnej AI prowadzi do identycznego komunikatu. Znaczenie ma rodzaj systemu, sposób prezentacji wyniku i wyjątki przewidziane w przepisach. Dlatego komunikaty dla użytkowników powinny wynikać z konkretnego przypadku użycia, a nie z kopiowanej formuły umieszczanej w każdym procesie.

Umowy z dostawcami AI i dokumentacja potrzebna klientowi

Przedsiębiorca powinien wiedzieć, jakie informacje otrzyma od dostawcy o przeznaczeniu systemu, ograniczeniach, logowaniu, bezpieczeństwie, danych wejściowych i zmianach wersji. Przy rozwiązaniach regulowanych istotna jest także możliwość uzyskania dokumentów potrzebnych do oceny zgodności i wykonania obowiązków po stronie użytkownika biznesowego.

Umowa powinna regulować zmiany modelu, podwykonawców, incydenty, retencję danych i zakończenie usługi. W środowisku chmurowym trzeba dodatkowo skoordynować te postanowienia z RODO, bezpieczeństwem informacji i – zależnie od sektora – KSC/NIS2 lub DORA.

Governance AI – kto podejmuje decyzje i jak zostawić ślad audytowy?

Najbezpieczniejszy model rozdziela odpowiedzialność biznesową, prawną, bezpieczeństwo i ochronę danych. Dla ważniejszych zastosowań warto wskazać właściciela systemu, osobę zatwierdzającą wdrożenie oraz procedurę ponownej oceny po zmianie modelu, funkcji lub dostawcy.

Dokumentacja nie musi być rozbudowana ponad potrzebę. Powinna jednak pozwalać odtworzyć, dlaczego system został dopuszczony do użycia, jakie ryzyka rozpoznano, jakie zabezpieczenia przyjęto i kiedy decyzję trzeba zweryfikować ponownie. To szczególnie ważne, gdy AI wspiera proces o skutkach dla pracownika, klienta lub kontrahenta.

Plan zgodności AI Act na najbliższe tygodnie

W praktyce warto zacząć od pięciu działań: zinwentaryzować narzędzia, przypisać role z AI Act, sprawdzić zakazane i wysokiego ryzyka zastosowania, uporządkować AI literacy oraz umowy z dostawcami. Dopiero potem tworzy się politykę, ponieważ jej treść powinna odpowiadać realnym procesom firmy.

Jeżeli potrzebujesz kwalifikacji systemów i planu wdrożenia, zobacz stronę Prawo nowych technologii – obsługa prawna firm. W audycie można równolegle połączyć AI Act z RODO, cyberbezpieczeństwem i obowiązkami sektorowymi, zamiast prowadzić cztery niezależne projekty.

AI w HR i zarządzaniu pracownikami

Zastosowania w rekrutacji, awansach, ocenie pracy lub przydzielaniu zadań należy analizować szczególnie ostrożnie. AI Act wskazuje określone systemy wykorzystywane w zatrudnieniu jako potencjalnie wysokiego ryzyka. Nawet gdy narzędzie jedynie „wspiera” człowieka, trzeba ustalić, czy jego wynik ma realny wpływ na decyzję oraz czy pracownik potrafi go zakwestionować.

Do analizy dochodzą RODO, prawo pracy i ryzyko dyskryminacji. Firma powinna znać dane wykorzystywane przez system, sposób walidacji wyniku, zakres nadzoru człowieka i procedurę reagowania na błąd. Zakup popularnego narzędzia HR nie zwalnia pracodawcy z odpowiedzialności za sposób jego użycia.

Jak kupować system AI: pytania do dostawcy przed podpisaniem umowy

Proces zakupowy powinien zbierać informacje potrzebne do późniejszej kwalifikacji prawnej: przeznaczenie systemu, wersję modelu, ograniczenia, dane wejściowe, mechanizmy monitorowania, podwykonawców i zasady zmian. Jeżeli dostawca nie potrafi wyjaśnić podstawowych funkcji i odpowiedzialności, klient może mieć problem z własną dokumentacją zgodności.

Warto rozdzielić wymagania „must have” od deklaracji marketingowych. Dla systemu mającego wpływ na osoby istotne będą prawa audytu, wsparcie przy incydencie, dokumentacja i kontrola zmian. Dla prostego narzędzia pomocniczego wystarczający może być lżejszy proces, o ile ryzyko jest rzeczywiście niskie.

Monitorowanie systemu po wdrożeniu i zarządzanie zmianą

Ocena zgodności nie kończy się w dniu uruchomienia. Dostawcy zmieniają modele, źródła danych i funkcje, a organizacja z czasem zaczyna używać narzędzia w nowych procesach. Zmiana przeznaczenia może zmienić również kwalifikację prawną systemu.

Dlatego rejestr AI powinien mieć datę ostatniego przeglądu i wskazywać zdarzenia wymagające ponownej oceny: istotna aktualizacja, nowe dane, nowa grupa użytkowników, integracja z systemem decyzyjnym albo incydent. Taki mechanizm jest praktyczniejszy niż coroczna deklaracja, że „polityka nadal obowiązuje”.

Jakie dowody zgodności warto zachować?

W zależności od roli i ryzyka mogą to być: karta systemu, kwalifikacja roli, wynik oceny ryzyka, dokumentacja szkolenia, zatwierdzenie zastosowania, umowa i DPA, opis nadzoru człowieka oraz wynik okresowego przeglądu. Dowód powinien pokazywać nie tylko istnienie procedury, lecz również jej zastosowanie do konkretnego systemu.

Przy audycie łatwiej oceniać systemy, gdy każdy ma właściciela i jeden folder lub rekord z aktualną dokumentacją. Rozproszenie informacji między zakupami, IT i działem prawnym prowadzi do powtarzania analiz oraz utrudnia szybkie reagowanie na zmianę przepisów.

Najczęstsze pytania