Jeśli Twoja firma używa AI - chatbota, asystenta do dokumentów, narzędzia do selekcji CV - AI Act dotyczy Cię już dziś: zakazy i obowiązek budowania kompetencji AI stosuje się od 2 lutego 2025 r., a obowiązki przejrzystości od 2 sierpnia 2026 r. Obowiązki dla systemów wysokiego ryzyka przesunięto na 2 grudnia 2027 r. Kary sięgają 35 mln EUR lub 7% światowego obrotu.
Ten tekst porządkuje obowiązki z perspektywy firmy, która używa AI albo zamawia system AI u wykonawcy. Nie zastępuje porady prawnej - przy systemach wysokiego ryzyka kwalifikację potwierdź z prawnikiem.
Od kiedy AI Act obowiązuje Twoją firmę?
AI Act, czyli rozporządzenie (UE) 2024/1689, wszedł w życie 1 sierpnia 2024 r., ale obowiązki włączają się etapami. W lipcu 2026 r. pakiet Digital Omnibus - rozporządzenie (UE) 2026/1744 - przesunął terminy dla systemów wysokiego ryzyka. To najważniejsza zmiana dla firm, które planowały zgodność na sierpień 2026 r.
| Data | Co zaczyna obowiązywać | Kogo dotyczy |
|---|---|---|
| 2 lutego 2025 | Zakazane praktyki (art. 5) i kompetencje w zakresie AI (art. 4) | Dostawców i wszystkie firmy używające AI |
| 2 sierpnia 2025 | Obowiązki dostawców modeli AI ogólnego przeznaczenia, organy nadzoru, kary | Twórców dużych modeli, np. językowych |
| 2 sierpnia 2026 | Ogólne stosowanie, w tym obowiązki przejrzystości (art. 50): chatboty, deepfake, treści generowane | Dostawców i podmioty stosujące systemy AI |
| 2 grudnia 2026 | Oznaczanie treści generowanych przez systemy wprowadzone przed 2 sierpnia 2026 r.; nowe zakazy dotyczące treści intymnych bez zgody | Głównie dostawców generatywnej AI |
| 2 grudnia 2027 | Systemy wysokiego ryzyka z załącznika III, m.in. rekrutacja, ocena kredytowa, edukacja | Dostawców i podmioty stosujące takie systemy |
| 2 sierpnia 2028 | Systemy wysokiego ryzyka wbudowane w produkty regulowane (załącznik I), np. wyroby medyczne | Producentów i dostawców produktów |
W Polsce nadzór nad rynkiem AI sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Powołała ją ustawa o systemach sztucznej inteligencji, z 3 lipca 2026 r., która weszła w życie 11 sierpnia 2026 r.; przepisy o karach stosuje się od 28 października 2026 r. KRiBSI rozpatruje skargi i nakłada kary.
Praktyczny wniosek: firma, która dziś udostępnia chatbota lub publikuje treści generowane przez AI, powinna mieć już wdrożone kompetencje AI i oznaczenia. Firma, która korzysta z AI w rekrutacji albo ocenie klientów, ma czas do grudnia 2027 r. - ale dokumentacja i nadzór wymagają miesięcy przygotowań.
Czy Twoja firma jest dostawcą, czy podmiotem stosującym AI?
AI Act przypisuje obowiązki według roli. Dostawca tworzy system AI albo zleca jego stworzenie i wprowadza go na rynek lub oddaje do użytku pod własną nazwą. Podmiot stosujący (w angielskiej wersji: deployer) używa systemu AI w swojej działalności. Większość firm korzystających z gotowych narzędzi jest podmiotem stosującym.
Granica bywa cienka. Jeśli zamawiasz system AI u software house’u i uruchamiasz go pod własną nazwą - nawet tylko na potrzeby wewnętrzne - możesz stać się jego dostawcą.
AI Act uznaje za dostawcę także firmę, która zleca stworzenie systemu i oddaje go do użytku pod własną nazwą, również na własny użytek (art. 3 pkt 3 i 11).
Obowiązki dostawcy przejmujesz też wtedy, gdy istotnie zmienisz cudzy system wysokiego ryzyka albo jego przeznaczenie.
- Kupujesz dostęp do czatu AI, asystenta w pakiecie biurowym lub gotowego chatbota - jesteś podmiotem stosującym.
- Budujesz lub zamawiasz własny system na modelu dużego dostawcy - prawdopodobnie jesteś dostawcą tego systemu, ale nie modelu.
- Używasz ogólnego czatu do zadania z obszaru wysokiego ryzyka, na przykład do oceny kandydatów - ryzykujesz przejęcie obowiązków dostawcy.
Przy projekcie na zamówienie podział ról i obowiązków - dokumentacja techniczna, instrukcja użytkowania, logi - zapisuje się w umowie z wykonawcą. Co jeszcze musi się w niej znaleźć, opisaliśmy w tekście o umowie z software housem.
Do której kategorii ryzyka należy Twój system AI?
AI Act dzieli systemy na cztery poziomy ryzyka. Od poziomu zależy wszystko: czy system w ogóle wolno stosować, jakie dokumenty trzeba mieć i kto odpowiada za nadzór nad jego działaniem.
Ryzyko niedopuszczalne - zakaz
Zakazane są m.in.: manipulacja wykorzystująca słabości ludzi, scoring społeczny, rozpoznawanie emocji w miejscu pracy i w szkołach (poza względami medycznymi i bezpieczeństwa), masowe pozyskiwanie wizerunków twarzy z internetu oraz kategoryzacja biometryczna według cech wrażliwych. Zakazy obowiązują od 2 lutego 2025 r.
Wysokie ryzyko - dokumentacja i nadzór
To systemy z załącznika III, m.in. w biometrii (w tym rozpoznawaniu emocji), rekrutacji i zarządzaniu pracownikami, ocenie zdolności kredytowej, wycenie ubezpieczeń na życie i zdrowotnych oraz edukacji. Do tego AI w produktach regulowanych, np. wyrobach medycznych. W typowej firmie trafia tu najczęściej narzędzie do selekcji CV.
Nie każdy system z obszaru wymienionego w załączniku III jest automatycznie wysokiego ryzyka. Wyjątek obejmuje np. wąskie zadania proceduralne albo przygotowawcze, które nie zastępują oceny człowieka. Taką ocenę trzeba jednak udokumentować (art. 6 ust. 4), a system zarejestrować w unijnej bazie danych (art. 49 ust. 2).
Ryzyko ograniczone - przejrzystość
Chatboty, systemy generujące tekst, obraz lub dźwięk oraz deepfake. Obowiązek jest jeden, ale konkretny: człowiek musi wiedzieć, że ma do czynienia z AI albo z treścią wygenerowaną przez AI.
Ryzyko minimalne - bez nowych obowiązków
Filtry antyspamowe, rekomendacje produktów, podpowiedzi w edytorze tekstu, większość funkcji AI w narzędziach biurowych. AI Act nie nakłada tu nowych obowiązków poza wspieraniem kompetencji AI zespołu.
Jakie obowiązki ma firma, która używa AI?
Kompetencje w zakresie AI (art. 4)
Od 2 lutego 2025 r. dostawcy i podmioty stosujące muszą podejmować działania wspierające kompetencje AI osób, które obsługują systemy AI w ich imieniu. Digital Omnibus złagodził ten obowiązek: to zobowiązanie do starań, a nie gwarancja określonego poziomu wiedzy każdego pracownika.
W praktyce wystarczy udokumentowany, proporcjonalny program: lista narzędzi AI w firmie, krótkie szkolenie z ograniczeń i zasad (czego nie wklejać do czatu, jak sprawdzać wyniki), wewnętrzna polityka korzystania z AI i osoba, do której można zgłosić problem.
Przejrzystość wobec klientów i pracowników (art. 50)
Od 2 sierpnia 2026 r. system AI rozmawiający z ludźmi musi informować, że jest AI - chyba że wynika to jasno z kontekstu. Formalnie ten obowiązek ma dostawca systemu, ale przy chatbocie zbudowanym na zamówienie dostawcą bywa sama firma. Najprościej: komunikat „Rozmawiasz z asystentem AI” na początku każdej rozmowy.
Podmiot stosujący ma własne obowiązki przejrzystości: oznaczenie deepfake’ów, oznaczenie tekstu AI publikowanego w celu informowania o sprawach publicznych (jeśli nie przeszedł redakcji człowieka) oraz poinformowanie osób o rozpoznawaniu emocji lub kategoryzacji biometrycznej tam, gdzie nie są one zakazane.
Nadzór człowieka przy wysokim ryzyku (art. 26)
Jeśli stosujesz system wysokiego ryzyka z załącznika III, od 2 grudnia 2027 r. musisz m.in.:
- używać go zgodnie z instrukcją dostawcy,
- powierzyć nadzór osobom, które mają kompetencje, uprawnienia i czas, żeby zakwestionować wynik,
- dbać o to, żeby dane wejściowe, nad którymi masz kontrolę, były adekwatne do celu,
- monitorować działanie systemu i zgłaszać poważne incydenty dostawcy oraz organowi nadzoru,
- przechowywać automatycznie generowane logi co najmniej przez 6 miesięcy,
- poinformować pracowników i ich przedstawicieli przed uruchomieniem systemu w miejscu pracy,
- poinformować osoby, wobec których system pomaga podejmować decyzje.
Podmioty publiczne, firmy świadczące usługi publiczne oraz firmy stosujące AI do oceny zdolności kredytowej lub wyceny ubezpieczeń na życie i zdrowotnych muszą dodatkowo przeprowadzić ocenę skutków dla praw podstawowych (art. 27). Po zmianach z 2026 r. mogą przy tym odwołać się do oceny skutków dla ochrony danych z RODO.
W branżach regulowanych, takich jak farmacja i medycyna, AI Act nakłada się na przepisy o wyrobach medycznych i ochronie danych. Zakres danych, do których AI ma dostęp, ustala się wtedy przed pierwszą linią kodu - tak jak przy aplikacji mobilnej z AI dla branży farmaceutycznej.
Opisz jeden proces - powiemy, czy AI ma sens, ile kosztuje i jakie wymagania AI Act trzeba uwzględnić w projekcie od pierwszego dnia. wypełnij formularz, napisz na biuro@appcreo.pl albo zadzwoń: +48 783 477 243.
Jakie kary grożą za naruszenie AI Act?
| Rodzaj naruszenia | Kara maksymalna | Zasada dla MŚP |
|---|---|---|
| Stosowanie zakazanych praktyk (art. 5) | 35 mln EUR lub 7% światowego rocznego obrotu - wyższa z kwot | Niższa z dwóch kwot |
| Inne obowiązki, w tym podmiotów stosujących i przejrzystości | 15 mln EUR lub 3% obrotu - wyższa z kwot | Niższa z dwóch kwot |
| Nieprawdziwe lub niepełne informacje przekazane organom | 7,5 mln EUR lub 1% obrotu - wyższa z kwot | Niższa z dwóch kwot |
Digital Omnibus rozszerzył zasadę niższej z dwóch kwot na małe spółki o średniej kapitalizacji (SMC) - z wyjątkiem kar za zakazane praktyki (art. 99 ust. 6a). Kary nakłada krajowy organ nadzoru rynku, w Polsce KRiBSI.
To górne granice. Organ ustala karę, biorąc pod uwagę m.in. wagę i czas trwania naruszenia, liczbę poszkodowanych, współpracę z organem i wielkość firmy. Niezależnie od AI Act naruszenie może oznaczać odpowiedzialność z RODO, jeśli system przetwarza dane osobowe.
Dla porównania: brak komunikatu „rozmawiasz z AI” w chatbocie to naruszenie ze średniego progu, które da się usunąć w jeden dzień. Selekcja kandydatów przez AI bez nadzoru człowieka po grudniu 2027 r. to ryzyko znacznie trudniejsze do naprawienia wstecz.
Jak przygotować firmę do AI Act krok po kroku?
- Zrób inwentarz AI. Wypisz wszystkie narzędzia z AI w firmie - także te, których pracownicy używają na własną rękę.
- Ustal rolę przy każdym: dostawca czy podmiot stosujący. Przy systemach zamawianych zapisz podział w umowie.
- Przypisz kategorię ryzyka. Szczególnie uważnie sprawdź HR, ocenę klientów i pozostałe obszary z załącznika III.
- Wyeliminuj zakazane zastosowania, na przykład analizę emocji pracowników na nagraniach z rozmów.
- Wdróż program kompetencji AI: szkolenie, politykę korzystania z AI, listę zatwierdzonych narzędzi.
- Oznacz chatboty i treści generowane tam, gdzie wymaga tego art. 50.
- Dla systemów wysokiego ryzyka zaplanuj nadzór człowieka, przechowywanie logów i informowanie pracowników - z terminem przed 2 grudnia 2027 r.
- Połącz AI Act z RODO: umowy powierzenia z dostawcami modeli, region przetwarzania, ocena skutków tam, gdzie jest wymagana.
- Wyznacz osobę odpowiedzialną i przeglądaj inwentarz co najmniej raz w roku oraz przy każdym nowym narzędziu.
Jeśli budujesz własny system AI - agenta, chatbota, moduł w aplikacji - zgodność łatwiej zaprojektować niż dobudować. Logi, punkty kontroli człowieka i komunikaty o AI dokłada się wtedy w ramach projektu, a nie jako osobny audyt po wdrożeniu.
Jak projektujemy takie wdrożenia, opisaliśmy na stronie wdrożenia AI w firmie. Praktyczne przykłady znajdziesz w tekstach o agentach AI dla firm i o chatbocie RAG na dokumentach firmowych, a stos technologiczny - na stronie stack AI.
