AI Act od sierpnia 2026: obowiązki MŚP i lista kontrolna

Wprowadzenie: Czym jest Unijny Akt o Sztucznej Inteligencji i kogo dotyczy?

Rozporządzenie Parlamentu Europejskiego i Rady w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (tzw. AI Act, Unijny Akt o Sztucznej Inteligencji) weszło w życie 1 sierpnia 2024 roku. Jego głównym celem jest zapewnienie, że systemy sztucznej inteligencji wprowadzane do obrotu i użytkowane na terenie Unii Europejskiej są bezpieczne, przejrzyste, niedyskryminujące i zgodne z prawami podstawowymi.

Szeroko powielanym błędem pośród polskich przedsiębiorców jest przekonanie, że nowe przepisy obejmują wyłącznie technologicznych gigantów (takich jak OpenAI, Google czy Microsoft) lub firmy tworzące własne zaawansowane modele językowe. W rzeczywistości przepisy AI Act nakładają precyzyjnie zdefiniowane obowiązki prawne i organizacyjne na podmioty stosujące (ang. deployers), którymi w większości przypadków są małe i średnie przedsiębiorstwa (MŚP) oraz osoby prowadzące jednoosobową działalność gospodarczą. Jeśli Twoja firma wykorzystuje narzędzia AI w rekrutacji, automatycznej obsłudze klienta, ocenie zdolności kredytowej, tworzeniu treści marketingowych czy analizie wydajności pracowników – podlegasz pod unijne regulacje.

Harmonogram wdrożenia przepisów AI Act: Kluczowe daty dla biznesu

Stosowanie przepisów AI Act zostało rozłożone w czasie, aby umożliwić rynkowi dostosowanie procesów operacyjnych oraz technologicznych. Zignorowanie poszczególnych kamieni milowych wiąże się z wysokim ryzykiem prawnym i finansowym.

• 2 lutego 2025 r. – Wejście w życie bezwzględnego zakazu stosowania systemów AI stwarzających nieakceptowalne ryzyko (Art. 5 AI Act). Od tego dnia obowiązuje także wymóg budowania podnoszenia kompetencji w zakresie AI wśród pracowników (tzw. AI literacy – Art. 4).
• 2 maja 2025 r. – Stosowanie przepisów dotyczących organów powiadamiających oraz struktur zarządzania AI na poziomie unijnym i krajowym.
• 2 sierpnia 2025 r. – Wejście w życie zasad dotyczących modeli AI ogólnego przeznaczenia (GPAI – General Purpose AI) oraz przepisów o egzekwowaniu i sankcjach.
• 2 sierpnia 2026 r. – Pełne stosowanie przepisów AI Act dla systemów wysokiego ryzyka wymienionych w Załączniku III (m.in. systemy stosowane w rekrutacji, ocenie pracowników, dostępie do kluczowych usług, weryfikacji tożsamości). Jest to najważniejszy termin dla większości firm z sektora MŚP.
• 2 sierpnia 2027 r. – Wejście w życie wymogów dla systemów wysokiego ryzyka stanowiących elementy bezpieczeństwa produktów regulowanych unijnymi przepisami harmonizacyjnymi (Załącznik I).

Podejście oparte na ryzyku: Jak klasyfikowane są narzędzia AI?

AI Act klasyfikuje rozwiązania oparte na sztucznej inteligencji na cztery główne poziomy ryzyka. Klasyfikacja ta decyduje o zakresie obostrzeń prawnych nakładanych na przedsiębiorcę:

1. Ryzyko nieakceptowalne (Systemy zakazane)

Systemy zakazane, których stosowanie w UE od lutego 2025 r. grozi najwyższymi karami. Należą do nich m.in.: podprogowe techniki manipulacyjne wpływające na zachowanie ludzkie, ocena społeczna (social scoring), kategoryzacja biometryczna ujawniająca dane wrażliwe (poglądy polityczne, orientację, wyznanie) oraz powszechne zbieranie wizerunków z internetu lub monitoringu do tworzenia baz rozpoznawania twarzy.

2. Wysokie ryzyko (High-Risk AI Systems)

Systemy wywierające istotny wpływ na zdrowie, bezpieczeństwo lub prawa podstawowe obywateli. W sektorze MŚP będą to przede wszystkim:

• Narzędzia AI wykorzystywane w procesach rekrutacyjnych (np. oprogramowanie do automatycznego filtrowania CV, oceny kandydatów podczas rozmów kwalifikacyjnych).
• Systemy AI do zarządzania pracownikami (np. alokacja zadań na podstawie algorytmicznej oceny efektywności, monitorowanie zachowań pracowników).
• Systemy oceny zdolności kredytowej i punktacji (scoringu) klientów indywidualnych oraz firmowych.
• Biometryczna identyfikacja na odległość.

3. Ograniczone ryzyko (Wymogi przejrzystości)

Narzędzia, które wchodzą w bezpośrednią interakcję z ludźmi lub generują treści. W tej grupie znajdują się chatboty handlowe, asystenci wirtualni, systemy generujące tekst, obraz, wideo (tzw. deepfakes) lub dźwięk. Głównym obowiązkiem firmy jest wywiązanie się z obowiązku informacyjnego wobec użytkowników.

4. Minimalne lub brak ryzyka

Systemy stanowiące większość powszechnie używanych aplikacji, np. inteligentne filtry antyspamowe, systemy rekomendacji w e-commerce, algorytmy w grach wideo czy proste narzędzia do optymalizacji procesów produkcyjnych. Nie podlegają one szczególnym rygorom prawnym, choć zaleca się stosowanie dobrowolnych kodeksów postępowania.

Rola MŚP w świetle przepisów: Dostawca (Provider) a Podmiot Stosujący (Deployer)

Precyzyjne ustalenie roli prawno-organizacyjnej w łańcuchu dostaw AI jest krytyczne dla oceny zakresu odpowiedzialności:

Dostawca (Provider): Osoba fizyczna lub prawna, która rozwija system AI lub zleca jego opracowanie i wprowadza go do obrotu pod własną nazwą lub znakiem towarowym. Dostawca odpowiada za pełny proces oceny zgodności, certyfikację CE, nadzór nad danymi treningowymi oraz rejestrację systemu.

Podmiot stosujący (Deployer): Dowolna osoba fizyczna lub prawna, która użytkuje system AI pod własnym kierownictwem w ramach działalności zawodowej lub gospodarczej. Większość polskich firm MŚP pełnić będzie rolę podmiotu stosującego.

Uwaga! Podmiot stosujący z sektora MŚP może automatycznie stać się Dostawcą ze wszystkimi tego konsekwencjami prawnymi, jeżeli: umieści swój znak towarowy/nazwę na systemie wysokiego ryzyka już wprowadzonym do obrotu, dokona istotnej modyfikacji istniejącego systemu AI lub zmieni jego przeznaczenie na system wysokiego ryzyka.

Praktyczna lista kontrolna (Checklist) dla MŚP przed sierpniem 2026 r.

Aby uniknąć dotkliwych kar i zapewnić pełny compliance organizacji, kadra zarządzająca oraz działy prawne i IT w firmach MŚP powinny zrealizować poniższy plan działań naprawczo-wdrożeniowych.

Krok 1: Przeprowadzenie audytu i inwentaryzacji systemów AI w firmie

Nie da się zarządzać ryzykiem narzędzi, o których istnieniu zarząd nie wie. Pierwszym krokiem jest stworzenie centralnego rejestru aktywów cyfrowych wykorzystujących algorytmy AI.

• Zidentyfikuj wszystkie używane w organizacji narzędzia SaaS, wtyczki, aplikacje desktopowe i mobilne (zarówno płatne, jak i bezpłatne).
• Przeanalizuj zjawisko Shadow IT – sprawdź, czy pracownicy nie korzystają z prywatnych kont w narzędziach typu ChatGPT, Claude, Midjourney do celów służbowych bez wiedzy i zgody organizacji.
• Określ źródła danych wprowadzanych do narzędzi AI (dane osobowe klientów, dane finansowe, tajemnice przedsiębiorstwa, kod źródłowy).

Krok 2: Kwalifikacja narzędzi do odpowiednich kategorii ryzyka

Przypisz każde zidentyfikowane narzędzie do jednej z kategorii wymienionych w AI Act:

• Upewnij się, że żadne ze stosowanych rozwiązań nie znajduje się na liście praktyk zakazanych (od lutego 2025 r.).
• Wyodrębnij narzędzia zakwalifikowane jako systemy wysokiego ryzyka (rekrutacja, ochrona zdrowia, ocena ryzyka finansowego, ocena pracowników).
• Wskaż narzędzia generatywnej AI i chatboty wymagające spełnienia obowiązków informacyjnych.

Krok 3: Wdrożenie obowiązku edukacyjnego i budowy kompetencji (AI Literacy)

Zgodnie z Art. 4 AI Act, podmioty stosujące systemy AI mają prawny obowiązek zapewnić swoim pracownikom i personelowi odpowiedni poziom wiedzy i umiejętności w zakresie sztucznej inteligencji. Wymóg ten obowiązuje od lutego 2025 r.

• Zorganizuj cykliczne szkolenia dotyczące bezpiecznego tworzenia promptów (prompt engineering) oraz zasad ochrony prywatności.
• Opracuj i wdroż wewnętrzną Politykę Korzystania z AI w Firmie (AI Policy), jasno określającą, jakie narzędzia są dozwolone, jakie dane mogą być przetwarzane oraz jakie są zasady nadzoru autorskiego nad wygenerowanymi materiałami.

Krok 4: Przegląd i renegocjacja umów z dostawcami technologii

Przedsiębiorstwo stosujące AI ponosi odpowiedzialność za jej wykorzystanie, dlatego musi wymagać gwarancji prawnych od swoich dostawców oprogramowania.

• Przejrzyj umowy SLA, regulaminy (Terms of Service) oraz polityki prywatności dostawców oprogramowania SaaS.
• Uzyskaj od dostawców deklaracje zgodności z AI Act oraz potwierdzenie, że dane wprowadzane przez Twoją firmę nie są wykorzystywane do trenowania ogólnych modeli AI dostawcy bez wyraźnej zgody.
• Wprowadź do umów z dostawcami klauzule gwarancyjne dotyczące ciągłości dostarczania poprawek bezpieczeństwa i przejrzystości algorytmicznej.

Krok 5: Egzekwowanie wymogów przejrzystości i nadzoru ludzkiego (Human-in-the-loop)

W przypadku korzystania z chatbotów lub wdrożenia systemów wysokiego ryzyka, prawo wymaga zagwarantowania kontroli ze strony człowieka:

• Upewnij się, że klienci kontaktujący się z chatbotem lub voicebotem są wyraźnie informowani, że rozmawiają ze sztuczną inteligencją.
• Oznaczaj materiały tekstowe, graficzne, wideo i audio wygenerowane lub zmodyfikowane przez AI za pomocą cyfrowych znaków wodnych lub czytelnych adnotacji (zgodnie z Art. 50 AI Act).
• Zaprojektuj procedury biznesowe tak, aby kluczowe decyzje (np. odrzucenie kandydata do pracy, odmowa przyznania rabatu/kredytu) były ostatecznie weryfikowane i zatwierdzane przez wyznaczonego pracownika (zasada human-in-the-loop).

Krok 6: Wdrożenie oceny skutków dla praw podstawowych i ochrona danych (RODO)

Dla systemów wysokiego ryzyka podmioty stosujące będą zobowiązane do przeprowadzenia oceny wpływu na prawa podstawowe (Fundamental Rights Impact Assessment – FRIA) oraz ścisłej integracji z dotychczasowymi procedurami RODO (DPIA).

• Zweryfikuj podstawy prawne przetwarzania danych osobowych wprowadzanych do modeli AI.
• Opracuj procedury zgłaszania incydentów związanych ze złym funkcjonowaniem systemów AI organom nadzorczym.

Sankcje finansowe za nieprzestrzeganie AI Act

Unijne rozporządzenie przewiduje wyjątkowo surowe kary finansowe za brak zgodności, wzorowane na strukturze znanej z RODO, jednak o znacznie wyższych pułapach maksymalnych:

• Stosowanie zakazanych praktyk AI: do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu przedsiębiorstwa z poprzedniego roku obrotowego (w zależności od tego, która kwota jest wyższa).
• Naruszenie obowiązków dotyczących systemów wysokiego ryzyka oraz wymogów przejrzystości: do 15 000 000 EUR lub do 3% całkowitego rocznego światowego obrotu.
• Podanie nieprawdziwych, niepełnych lub wprowadzających w błąd informacji organom nadzorczym: do 7 500 000 EUR lub do 1,5% całkowitego rocznego światowego obrotu.

Dla mikro, małych i średnich przedsiębiorstw (MŚP) oraz start-upów przewidziano mechanizm ochronny – w ich przypadku stosuje się niższą z dwóch możliwych wartości kary, co ma zapobiec natychmiastowej upadłości podmiotu w przypadku nieumiejętnego wdrożenia przepisów.

Finansowe i operacyjne wyzwania MŚP: Budżetowanie compliance a ZUS 2027

Dostosowanie procesów w firmie do wymogów AI Act wiąże się ze stałymi nakładami finansowymi na usługi prawne, audyty IT, dostosowanie oprogramowania oraz szkolenia personelu. Dla kadry zarządzającej MŚP oznacza to konieczność precyzyjnego planowania długoterminowego płynności finansowej.

Procesy compliance nie zachodzą w próżni gospodarczej. Przedsiębiorcy analizujący koszty wdrażania procedur AI Act na lata 2025–2026 muszą uwzględniać stały wzrost kosztów stałych prowadzenia działalności. Długofalowe prognozy finansowe, uwzględniające m.in. obciążenia publicznoprawne i wyliczenia dotyczące obciążeń podatkowo-składkowych takich jak zus 2027, jednoznacznie wskazują, że presja kosztowa na sektor MŚP będzie rosła. Z tego powodu optymalizacja procesów biznesowych przy użyciu bezpiecznych i w pełni zgodnych z prawem narzędzi AI stanie się nie tylko obowiązkiem prawnym, ale kluczowym warunkiem utrzymania marżowości i przewagi konkurencyjnej na rynku.

Często zadawane pytania (FAQ)

Czy korzystanie z bezpłatnej wersji ChatGPT w firmie wymaga wdrożenia procedur AI Act?

Tak. Nawet jeśli firma korzysta z bezpłatnych lub powszechnie dostępnych narzędzi Generatywnej AI, podlega przepisom AI Act. Przede wszystkim od lutego 2025 r. pracodawca musi zapewnić, że pracownicy posiadają odpowiednie kompetencje (AI literacy) i znają zasady bezpiecznego korzystania z tych narzędzi. Ponadto, wprowadzanie danych osobowych lub poufnych informacji firmowych do bezpłatnych wersji narzędzi publicznych niesie za sobą wysokie ryzyko naruszenia RODO oraz praw autorskich, co wymaga uregulowania w wewnętrznej polityce firmy.

Jakie narzędzia AI stosowane w działach HR będą uznane za systemy wysokiego ryzyka?

Za systemy wysokiego ryzyka według Załącznika III AI Act uznaje się wszelkie aplikacje i algorytmy AI przeznaczone do rekrutacji lub selekcji osób fizycznych (np. do automatycznego sortowania i oceniania aplikacji, analizy głosu lub mimiki podczas rozmów rekrutacyjnych), a także narzędzia służące do podejmowania decyzji o awansach, zwolnieniach, przydziale zadań czy monitorowaniu i ocenie wydajności pracowników. Wykorzystanie takich narzędzi od sierpnia 2026 r. wymaga spełnienia rygorystycznych wymogów przejrzystości, dokumentacji technicznej i nadzoru ludzkiego.

Co grozi firmie z sektora MŚP za braki w wyszkoleniu pracowników (AI literacy) po lutym 2025 roku?

Brak realizacji obowiązku podnoszenia świadomości i kompetencji pracowników w zakresie AI (Art. 4 AI Act) stanowi naruszenie przepisów rozporządzenia. W przypadku kontroli przeprowadzonej przez krajowy organ nadzoru rynkowego, przedsiębiorstwo może otrzymać decyzję nakazującą usunięcie uchybień w wyznaczonym terminie, a w przypadku uporczywego braku zgodności – kary finansowe wyznaczane adekwatnie do skali uchybienia i wielkości przedsiębiorstwa.