AI Act: co musi zrobić firma, która wdraża AI (harmonogram 2027, obowiązki, kompetencje AI)

Unijne rozporządzenie w sprawie sztucznej inteligencji (AI Act, rozporządzenie 2024/1689) obowiązuje od sierpnia 2024 roku i jest stosowane etapami. W lipcu 2026 roku Unia przyjęła tzw. Digital Omnibus (rozporządzenie 2026/1744), który przesunął część terminów, przede wszystkim dla systemów wysokiego ryzyka. Dla firmy, która wdraża AI w swoich procesach, oznacza to dwie rzeczy: część obowiązków już obowiązuje, a na część jest więcej czasu, niż zakładały wcześniejsze poradniki.

Ten tekst porządkuje, co dotyczy firmy wdrażającej AI (w nomenklaturze rozporządzenia: „podmiotu stosującego”), jakie są aktualne daty i od czego zacząć. Nie jest poradą prawną; przy systemach wysokiego ryzyka warto skonsultować klasyfikację z prawnikiem.

Najważniejsze wnioski

• Zakazy i kompetencje AI obowiązują od 2 lutego 2025. Każda firma używająca AI ma obowiązek zapewnić pracownikom odpowiedni poziom kompetencji w zakresie AI (art. 4).
• Przejrzystość wobec użytkowników obowiązuje od 2 sierpnia 2026. Chatboty, generatory treści i deepfake’i muszą być oznaczone.
• Systemy wysokiego ryzyka: terminy przesunięte. Załącznik III (rekrutacja, scoring kredytowy, edukacja, biometria) od 2 grudnia 2027; załącznik I (AI w produktach regulowanych, np. wyrobach medycznych) od 2 sierpnia 2028.
• Większość wdrożeń biznesowych to minimalne ryzyko. Asystent do dokumentów, wyszukiwarka wiedzy czy prognoza popytu nie są systemami wysokiego ryzyka, ale nadal obejmują je kompetencje AI i przejrzystość.
• Kary do 35 mln EUR lub 7% obrotu za praktyki zakazane; niższe progi dla MŚP i małych spółek o średniej kapitalizacji.

Czym jest AI Act i kogo dotyczy

AI Act wprowadza jednolite zasady dla systemów AI w całej UE. Obowiązki zależą od dwóch rzeczy: roli firmy w łańcuchu wartości i poziomu ryzyka systemu.

Role zdefiniowane w rozporządzeniu:

• Dostawca (provider): opracowuje system AI i wprowadza go do obrotu pod własną nazwą lub marką.
• Podmiot stosujący (deployer): używa systemu AI w ramach działalności zawodowej. To większość firm wdrażających AI.
• Importer i dystrybutor: wprowadzają na rynek UE systemy spoza Unii lub udostępniają je dalej.

Rozporządzenie działa eksterytorialnie: dotyczy także firm spoza UE, jeśli wyniki ich systemów AI są wykorzystywane w Unii.

Ważna zasada z art. 25: firma, która wdraża cudzy system wysokiego ryzyka pod własną marką, istotnie go modyfikuje albo zmienia jego przeznaczenie na zastosowanie wysokiego ryzyka, staje się dostawcą i przejmuje jego obowiązki.

Cztery poziomy ryzyka

Ta sama technologia może trafić do różnych kategorii w zależności od zastosowania. Model językowy, który streszcza dokumenty w firmie, to minimalne ryzyko. Ten sam model użyty do wstępnej selekcji kandydatów w rekrutacji to system wysokiego ryzyka.

Harmonogram: co już obowiązuje, a co jest przesunięte

Stan po Digital Omnibus (rozporządzenie 2026/1744, w mocy od 27 lipca 2026):

• 1 sierpnia 2024: wejście AI Act w życie.
• 2 lutego 2025: zakazy (art. 5) i kompetencje w zakresie AI (art. 4). Obowiązują.
• 2 sierpnia 2025: obowiązki dostawców modeli ogólnego przeznaczenia (GPAI), struktura nadzoru, przepisy o karach. Obowiązują.
• 2 sierpnia 2026: obowiązki przejrzystości (art. 50), piaskownice regulacyjne w każdym państwie członkowskim, ogólne stosowanie rozporządzenia poza systemami wysokiego ryzyka. Obowiązują.
• 2 grudnia 2026: koniec okresu przejściowego na oznaczanie treści syntetycznych w systemach wprowadzonych na rynek przed 2.08.2026; nowe zakazy z art. 5.
• 2 grudnia 2027: systemy wysokiego ryzyka z załącznika III (wcześniej: 2.08.2026). Systemy wprowadzone na rynek przed tą datą podlegają przepisom dopiero po istotnej modyfikacji.
• 2 sierpnia 2028: systemy wysokiego ryzyka z załącznika I, czyli AI w produktach objętych innymi przepisami UE, np. wyroby medyczne, maszyny (wcześniej: 2.08.2027).
• 2 sierpnia 2030: systemy wysokiego ryzyka używane przez organy publiczne.

Przesunięcie terminów nie zmienia zakresu obowiązków. Dla systemu wysokiego ryzyka wdrożenie dokumentacji, logowania i nadzoru ludzkiego zajmuje miesiące, więc rok 2027 jest bliżej, niż wygląda.

Obowiązki firmy wdrażającej AI (podmiotu stosującego)

Dla każdego systemu AI, niezależnie od ryzyka

Kompetencje w zakresie AI (art. 4). Firma musi zapewnić, że osoby obsługujące systemy AI mają wystarczającą wiedzę o ich działaniu, ograniczeniach i ryzykach, odpowiednio do kontekstu i grupy osób, na które system wpływa. Rozporządzenie nie narzuca formy; w praktyce są to szkolenia, wewnętrzne zasady i instrukcje.

Przejrzystość (art. 50). Jeśli pracownicy lub klienci rozmawiają z chatbotem, muszą o tym wiedzieć, chyba że jest to oczywiste. Treści generowane przez AI i publikowane w sprawach interesu publicznego muszą być oznaczone jako wygenerowane. Deepfake’i muszą być oznaczone. Systemy rozpoznawania emocji i kategoryzacji biometrycznej wymagają poinformowania osób, których dotyczą.

Dla systemów wysokiego ryzyka (art. 26 i 27)

• Używanie zgodnie z instrukcją dostawcy. Dostawca ma obowiązek dostarczyć instrukcję; wdrażający ma obowiązek jej przestrzegać.
• Nadzór ludzki. Firma wyznacza osoby z kompetencjami, przeszkoleniem i uprawnieniami do nadzoru nad systemem, w tym do zignorowania lub odwrócenia jego decyzji.
• Dane wejściowe. W zakresie, w jakim firma kontroluje dane wejściowe, muszą być adekwatne i wystarczająco reprezentatywne dla przeznaczenia systemu. Zarządzanie danymi treningowymi to obowiązek dostawcy, nie wdrażającego.
• Monitorowanie i zgłaszanie. Firma monitoruje działanie systemu; jeśli stwierdzi ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych, wstrzymuje użycie i informuje dostawcę oraz organ nadzoru rynku. Poważne incydenty trzeba zgłaszać.
• Logi. Firma przechowuje logi generowane automatycznie przez system (w zakresie, w jakim nad nimi panuje) co najmniej 6 miesięcy, chyba że inne przepisy wymagają dłużej.
• Pracownicy. Przed wdrożeniem systemu wysokiego ryzyka w miejscu pracy firma informuje pracowników i ich przedstawicieli.
• Osoby, których dotyczą decyzje. Firma informuje osoby fizyczne, że podlegają decyzji wspieranej przez system wysokiego ryzyka, i na żądanie wyjaśnia rolę systemu w decyzji.
• Ocena skutków dla praw podstawowych (art. 27). Obowiązkowa dla organów publicznych i podmiotów świadczących usługi publiczne oraz dla firm używających AI do oceny zdolności kredytowej i wyceny ryzyka w ubezpieczeniach na życie i zdrowotnych.

Rejestr systemów AI w firmie nie jest wprost obowiązkiem prawnym dla większości wdrażających (rejestracja w bazie UE dotyczy dostawców i organów publicznych), ale bez inwentaryzacji nie da się spełnić pozostałych obowiązków.

Kompetencje AI w praktyce

Art. 4 obowiązuje od lutego 2025 i dotyczy każdej firmy, która korzysta z AI, także z gotowych narzędzi. Co powinno obejmować podnoszenie kompetencji:

• Jak działa narzędzie: co model potrafi, czego nie potrafi, skąd bierze dane do odpowiedzi.
• Ograniczenia: halucynacje, zależność od jakości danych, konieczność weryfikacji wyników w zadaniach, które mają skutki dla ludzi lub finansów.
• Dane: czego nie wolno wprowadzać do publicznych modeli (dane osobowe, tajemnice firmy, dane klientów) i czym różni się publiczny chatbot od wdrożenia na warunkach biznesowych.
• Rola człowieka: kto odpowiada za decyzję wspartą przez AI i kiedy ma obowiązek ją zakwestionować.
• Procedury: gdzie zgłosić błędne lub niepokojące działanie systemu.

Poziom szczegółowości zależy od roli: inny dla zarządu, inny dla osób obsługujących system na co dzień, inny dla zespołu IT, który go utrzymuje.

Jak wygląda to w praktyce wdrożenia

Z perspektywy technicznej większość obowiązków AI Act sprowadza się do decyzji architektonicznych podejmowanych na początku projektu. W Startup House przy wdrożeniach asystentów AI, agentów i baz wiedzy dla przedsiębiorstw stosujemy zasady, które ułatwiają później zgodność niezależnie od klasy ryzyka:

• Odpowiedzi oparte na zweryfikowanych danych klienta (RAG) z cytowaniem źródeł, co ogranicza halucynacje i pozwala użytkownikowi sprawdzić, skąd pochodzi odpowiedź.
• Integracja z istniejącymi politykami dostępu (m.in. Okta), żeby AI widziało tylko te dane, do których użytkownik ma uprawnienia.
• Wdrożenie w chmurze klienta i praca z modelami na warunkach biznesowych: dane klienta nie trenują publicznych modeli AI.
• Logowanie zapytań i odpowiedzi od pierwszej wersji, nie jako dodatek po wdrożeniu.
• Człowiek w pętli tam, gdzie AI wspiera decyzje dotyczące ludzi lub pieniędzy: system proponuje, człowiek zatwierdza.
• Jawność wobec użytkownika: asystent przedstawia się jako AI i informuje, gdy nie zna odpowiedzi.
• Architektura pozwalająca wymienić model (np. z OpenAI na Anthropic) bez przebudowy systemu, bo wymagania wobec modeli GPAI i same modele zmieniają się szybciej niż systemy firmowe.

Pracujemy wg ISO 27001 i dostosowujemy projekty do wymagań klientów z branż regulowanych (fintech, healthcare, cyberbezpieczeństwo). Klasyfikację ryzyka i obowiązki prawne ustala klient ze swoim działem prawnym; my dostarczamy stronę techniczną: dokumentację, logi, mechanizmy nadzoru i przejrzystości.

Inwentaryzację systemów AI, przypisanie obowiązków i pilnowanie terminów wspiera Compliance Copilot (strona produktu): agent AI od Startup House do ciągłego monitorowania zgodności (m.in. RODO, DORA, NIST, ISO), który wskazuje luki w dokumentacji i procedurach, zanim wykryje je audyt.

Jak przygotować firmę: 5 kroków

1. Inwentaryzacja. Lista wszystkich narzędzi z AI w firmie: od chatbotów w obsłudze klienta i funkcji AI w SaaS, po modele w backendzie. Dla każdego: dostawca, zastosowanie, kto używa, jakie dane wchodzą.
2. Klasyfikacja ryzyka. Przypisanie każdego narzędzia do jednej z czterech kategorii wg zastosowania, nie technologii. Osobno sprawdzić, czy przy którymś firma nie staje się dostawcą (własna marka, istotna modyfikacja).
3. Audyt dostawców. Dla systemów wysokiego ryzyka: czy dostawca dostarczy instrukcję, dokumentację i wsparcie w logowaniu. Dla narzędzi GPAI (modele ogólnego przeznaczenia): czy umowa biznesowa wyklucza trenowanie na danych firmy.
4. Polityka korzystania z AI. Zasady dla pracowników: dozwolone narzędzia, zakaz wprowadzania danych wrażliwych do publicznych modeli, obowiązek weryfikacji wyników, ścieżka zgłaszania problemów, oznaczanie treści generowanych przez AI.
5. Kompetencje i procedury. Szkolenia dopasowane do ról, wyznaczenie osób odpowiedzialnych za nadzór nad systemami, procedury monitorowania i zgłaszania incydentów. Dla systemów wysokiego ryzyka: plan dojścia do zgodności przed grudniem 2027 (załącznik III) lub sierpniem 2028 (załącznik I).

Kary za nieprzestrzeganie AI Act

• Do 35 mln EUR lub 7% globalnego rocznego obrotu (wyższa z kwot): praktyki zakazane.
• Do 15 mln EUR lub 3%: naruszenie pozostałych obowiązków, w tym dla systemów wysokiego ryzyka i przejrzystości.
• Do 7,5 mln EUR lub 1,5%: podanie organom nieprawdziwych lub niepełnych informacji.

Dla MŚP i startupów, a po Digital Omnibus także dla małych spółek o średniej kapitalizacji, stosuje się niższą z dwóch kwot. Poza karami organ nadzoru może nakazać wycofanie systemu z użycia.

Zobacz też: Jak wybrać firmę do wdrożenia AI: checklista 20 pytań i elementy umowy · Microsoft 365 Copilot, ChatGPT Enterprise czy własny asystent AI?

Najczęściej zadawane pytania

Czy AI Act dotyczy małych i średnich firm?

Tak. Nie ma wyłączenia ze względu na wielkość firmy; obowiązki zależą od roli i poziomu ryzyka systemu. MŚP mają niższe progi kar, uproszczoną dokumentację dla dostawców i dostęp do piaskownic regulacyjnych, które każde państwo członkowskie musiało uruchomić do sierpnia 2026.

Czy korzystanie z ChatGPT lub innego chatbota w firmie jest zgodne z AI Act?

Samo korzystanie tak, pod warunkiem spełnienia art. 4 (kompetencje pracowników) i wewnętrznych zasad ochrony danych. Problem zaczyna się, gdy firma używa modelu w zastosowaniu wysokiego ryzyka (np. selekcja kandydatów) albo integruje go z własnym produktem pod własną marką: wtedy może stać się dostawcą systemu i przejąć jego obowiązki.

Czy muszę przebudować obecny system AI?

Zależy od kategorii. Systemy minimalnego ryzyka nie wymagają zmian poza przejrzystością, jeśli rozmawiają z użytkownikami. Systemy wysokiego ryzyka wprowadzone na rynek przed 2 grudnia 2027 podlegają przepisom dopiero po istotnej modyfikacji; nowe muszą spełniać wymagania od tej daty. Systemy z kategorii zakazanej (np. rozpoznawanie emocji pracowników) musiały zostać wyłączone do 2 lutego 2025.

Czym różni się dostawca od podmiotu stosującego?

Dostawca tworzy system i wprowadza go na rynek (np. producent modelu lub firma, która sprzedaje własne narzędzie AI). Podmiot stosujący używa systemu w swojej działalności (np. bank używający zewnętrznego narzędzia do oceny zdolności kredytowej). Ocena zgodności, dokumentacja techniczna i rejestracja obciążają dostawcę; nadzór ludzki, monitorowanie, logi i informowanie pracowników obciążają podmiot stosujący.

Jak sprawdzić, czy mój system jest wysokiego ryzyka?

Załącznik III wymienia obszary: biometria, infrastruktura krytyczna, edukacja, zatrudnienie i zarządzanie pracownikami, dostęp do usług podstawowych (w tym scoring kredytowy i ubezpieczenia), egzekwowanie prawa, migracja, wymiar sprawiedliwości. Załącznik I obejmuje AI jako element bezpieczeństwa produktów regulowanych (wyroby medyczne, maszyny, pojazdy). Jeśli system działa w tych obszarach i wpływa na decyzje dotyczące osób, jest wysokiego ryzyka, chyba że wykonuje wyłącznie wąskie zadanie pomocnicze (wyjątki z art. 6 ust. 3).

Co z modelami ogólnego przeznaczenia (GPAI), których używamy przez API?

Obowiązki dla modeli GPAI (dokumentacja, polityka praw autorskich, dla modeli o ryzyku systemowym dodatkowe testy) spoczywają na ich dostawcach i obowiązują od 2 sierpnia 2025. Firma korzystająca z modelu przez API jest podmiotem stosującym systemu zbudowanego na tym modelu, z obowiązkami zależnymi od zastosowania.

Jak AI Act wpływa na rozwój AI w polskich firmach?

AI Act reguluje wdrażanie rozwiązań sztucznej inteligencji w biznesie. Ma duże znaczenie dla innowacyjności, bezpieczeństwa i zaufania klientów. Firmy w Polsce powinny uwzględnić jego wymagania w strategii inwestycji i ekspansji.

Czy AI Act dotyczy wykorzystania AI w marketingu i e-commerce?

Tak, również sklepy internetowe i agencje marketingowe muszą przestrzegać odpowiednich przepisów. AI wykorzystywana do tworzenia contentu, analizy przychodów czy optymalizacji wydatków zwykle należy do zastosowań minimalnego ryzyka. Dodatkowe obowiązki mogą wynikać ze sposobu wykorzystania danych i generowanych treści.

Jak przygotować firmę do wymagań AI Act w IV kwartale 2026 roku?

Warto rozpocząć od analizy dostępnych narzędzi AI i testowania ich zgodności z przepisami. Eksperci powinni wskazać zagrożenia, opracować listy kontrolne i procedury zgłaszania ostrzeżeń. Przed rozpoczęciem nowych wdrożeń należy również przeszkolić pracowników.

Czy AI Act reguluje wykorzystanie AI w rekrutacji i ustalaniu wynagrodzenia?

Tak, systemy AI wspierające rekrutację, ocenę pracowników i decyzje dotyczące wynagrodzenia mogą być klasyfikowane jako systemy wysokiego ryzyka. Wymagają odpowiedniego nadzoru człowieka, dokumentacji i kontroli działania. Ma to szczególne znaczenie dla ochrony praw pracowników i przejrzystości decyzji.

Tekst ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: październik 2026, po wejściu w życie rozporządzenia 2026/1744 (Digital Omnibus).