Czy AI ACT dotyczy mojej firmy? Co należy wdrożyć?

Czy AI Act dotyczy mojej firmy, jeżeli pracownicy korzystają z ChatGPT, Microsoft Copilot albo generatorów grafiki? Czy nowe przepisy obejmują wyłącznie spółki technologiczne, które tworzą własne modele sztucznej inteligencji? A może samo wdrożenie chatbota, narzędzia do analizy CV lub systemu automatycznie przygotowującego oferty powoduje powstanie obowiązków?

Odpowiedź zależy nie tyle od branży czy wielkości przedsiębiorstwa, ile od sposobu, w jaki organizacja wykorzystuje sztuczną inteligencję. AI Act może mieć zastosowanie również do firmy, która nie rozwija własnych algorytmów, lecz używa gotowych rozwiązań dostarczanych przez zewnętrzne platformy.

Nie oznacza to jednak, że każda organizacja musi wdrożyć rozbudowany system dokumentacji. Innego podejścia wymaga niewielka firma, w której kilka osób wykorzystuje generatywną AI do redagowania tekstów, a innego przedsiębiorstwo stosujące algorytmy w rekrutacji, ocenie pracowników, scoringu klientów lub automatycznym podejmowaniu decyzji.

Dlatego pierwszym krokiem nie powinien być zakup gotowego pakietu procedur. Najpierw trzeba ustalić, gdzie AI rzeczywiście funkcjonuje w organizacji, jakie dane otrzymuje, w jaki sposób wykorzystywane są jej wyniki oraz czy system wpływa na sytuację klientów, kandydatów, pracowników lub innych osób.

AI Act nie dotyczy wyłącznie firm technologicznych

AI Act reguluje nie tylko działalność producentów modeli i systemów sztucznej inteligencji. Obejmuje również podmioty, które korzystają z AI w ramach działalności zawodowej.

W praktyce oznacza to, że obowiązki mogą powstać w zwykłym przedsiębiorstwie handlowym, produkcyjnym, usługowym albo doradczym. Firma może podlegać AI Act, gdy wdraża chatbota na stronie internetowej, używa Copilota do analizy dokumentów, automatyzuje selekcję kandydatów, tworzy treści marketingowe przy pomocy generatorów albo korzysta z systemu przewidującego zachowania klientów.

Kluczowe znaczenie ma rola organizacji. Większość przedsiębiorstw korzystających z gotowych narzędzi będzie występowała jako podmiot stosujący system AI. Firma może jednak zostać uznana za dostawcę, jeżeli rozwija rozwiązanie we własnym zakresie, zleca jego stworzenie i udostępnia je pod własną nazwą albo istotnie zmienia przeznaczenie systemu opracowanego przez inny podmiot.

Rozporządzenie wymienia także importerów, dystrybutorów oraz producentów produktów, w których system AI został zintegrowany z regulowanym wyrobem. Status firmy nie powinien więc wynikać wyłącznie z nazwy wpisanej do umowy z dostawcą. Liczy się rzeczywisty model działania, zakres kontroli nad rozwiązaniem oraz sposób oferowania go użytkownikom.

Czy AI Act dotyczy mojej firmy, jeżeli korzystamy tylko z ChatGPT?

Korzystanie z ChatGPT, Microsoft Copilot, Gemini lub podobnego rozwiązania nie powoduje automatycznie, że firma używa systemu wysokiego ryzyka. W większości przypadków generatywna AI będzie narzędziem wspierającym zwykłą pracę biurową, na przykład redagowanie tekstów, tłumaczenie dokumentów, przygotowywanie prezentacji, analizowanie materiałów lub tworzenie pierwszych wersji kodu.

Nie oznacza to jednak, że korzystanie z takich narzędzi może pozostać całkowicie poza kontrolą organizacji.

Najpoważniejsze zagrożenia często nie wynikają z samej technologii, lecz z nieprzemyślanego sposobu jej używania. Pracownik może wprowadzić do zewnętrznego systemu umowę z klientem, dane pracownicze, informacje finansowe, kod źródłowy, dokumentację projektową albo inne materiały objęte poufnością. Może również bez odpowiedniej weryfikacji wykorzystać odpowiedź zawierającą błędne dane, nieistniejące źródła lub nieprawidłową interpretację prawną.

Dlatego firma korzystająca nawet z podstawowych narzędzi generatywnych powinna określić, które aplikacje są dopuszczone do użytku, jakie informacje można do nich wprowadzać oraz kto odpowiada za sprawdzenie wygenerowanego rezultatu.

Istotne jest również to, czy pracownicy używają kont biznesowych, czy prywatnych. Wersje korporacyjne często oferują inne ustawienia dotyczące retencji danych, wykorzystywania treści do rozwoju modelu, kontroli administratora i bezpieczeństwa. Sam fakt, że pracownik korzysta z popularnego narzędzia, nie zwalnia organizacji z obowiązku oceny jego warunków oraz konfiguracji.

Od prostego narzędzia do systemu wysokiego ryzyka

Ten sam model sztucznej inteligencji może być wykorzystywany w wielu różnych celach. To właśnie konkretny przypadek użycia, a nie wyłącznie nazwa produktu, przesądza o poziomie ryzyka.

Tabela pokazuje, dlaczego nie można wdrożyć AI Act poprzez jedną uniwersalną politykę. Narzędzie używane do przygotowywania treści marketingowych wymaga innego zestawu zabezpieczeń niż system wpływający na decyzję o zatrudnieniu, przyznaniu kredytu albo dostępie do usługi.

Prosty schemat: jak ustalić zakres obowiązków?

Punktem wyjścia może być poniższy model decyzyjny:

.

Czy mała firma podlega AI Act?

AI Act nie przewiduje generalnego wyłączenia dla mikroprzedsiębiorców ani małych i średnich firm. Mała organizacja może korzystać z takich samych narzędzi jak duża korporacja i w podobny sposób oddziaływać na pracowników, kandydatów lub klientów.

Skala działalności powinna jednak wpływać na zakres wdrożenia. Kilkunastoosobowa firma, która korzysta głównie z generatora treści, nie potrzebuje wielopoziomowego komitetu zarządzającego AI ani rozbudowanego systemu raportowania. Może natomiast potrzebować krótkiej polityki, listy zatwierdzonych narzędzi, przeszkolenia personelu i prostego procesu akceptowania nowych aplikacji.

Sytuacja zmienia się, gdy nawet niewielkie przedsiębiorstwo stosuje AI w rekrutacji, analizuje nagrania rozmów, ocenia zdolność klientów do wykonania zobowiązań albo automatycznie decyduje o dostępie do usług. W takim przypadku istotne znaczenie ma wpływ systemu na człowieka, a nie liczba zatrudnionych osób.

Proporcjonalność nie oznacza więc rezygnacji z obowiązków. Oznacza wdrożenie takich mechanizmów, które odpowiadają rzeczywistemu ryzyku i nie prowadzą do tworzenia dokumentacji pozbawionej związku z działalnością firmy.

Zakazane zastosowania AI wymagają natychmiastowej reakcji

Niektóre praktyki związane ze sztuczną inteligencją zostały uznane za niedopuszczalne. Zakazy określone w AI Act są stosowane od 2 lutego 2025 r. i dotyczą między innymi wybranych technik manipulacyjnych, określonych form scoringu społecznego oraz niektórych zastosowań systemów biometrycznych. Od tego samego dnia stosowany jest obowiązek zapewniania odpowiednich kompetencji w zakresie AI.

Z perspektywy pracodawców szczególnie istotny jest zakaz wykorzystywania systemów rozpoznawania emocji w miejscu pracy, poza ściśle określonymi wyjątkami związanymi z bezpieczeństwem lub medycyną.

W praktyce należy zachować dużą ostrożność wobec rozwiązań, które deklarują możliwość ustalania poziomu stresu, motywacji, zaangażowania albo emocji pracownika na podstawie jego głosu, mimiki lub zachowania. Podobne funkcje bywają oferowane jako element systemów do analizy rozmów, monitorowania call center, wideorekrutacji lub oceny spotkań.

To, że produkt jest legalnie oferowany przez dostawcę, nie oznacza jeszcze, że może zostać wykorzystany w każdym kontekście. To organizacja wdrażająca system odpowiada za ocenę, czy wybrane zastosowanie jest dopuszczalne.

Systemy wysokiego ryzyka nie ograniczają się do technologii krytycznych

Określenie „system wysokiego ryzyka” bywa kojarzone z medycyną, infrastrukturą krytyczną albo zaawansowaną robotyką. AI Act obejmuje jednak również zastosowania występujące w zwykłych procesach biznesowych, zwłaszcza jeżeli system może mieć istotny wpływ na sytuację osoby fizycznej.

Dotyczy to przede wszystkim rozwiązań stosowanych w zatrudnieniu, edukacji, ocenie zdolności kredytowej, dostępie do określonych usług podstawowych, wymiarze sprawiedliwości i wybranych procesach administracyjnych.

Przykładem może być system, który analizuje CV i automatycznie ustala ranking kandydatów. Jeżeli rekomendacja algorytmu przesądza o tym, kto przechodzi do kolejnego etapu rekrutacji, nie jest to już zwykłe narzędzie biurowe. Podobnie należy ocenić system monitorujący wyniki pracowników i rekomendujący decyzje dotyczące awansów, przydzielania zadań lub rozwiązania umowy.

Wysokiego ryzyka nie eliminuje również formalne zatwierdzanie wyniku przez człowieka. Jeżeli osoba podejmująca decyzję nie rozumie sposobu działania systemu, nie może zakwestionować jego wyniku albo automatycznie akceptuje rekomendację, nadzór człowieka pozostaje wyłącznie pozorny.

Po zmianach w harmonogramie unijnym wymagania dotyczące systemów wysokiego ryzyka wymienionych w załączniku III mają być stosowane od 2 grudnia 2027 r., natomiast dla systemów stanowiących element określonych regulowanych produktów od 2 sierpnia 2028 r.

Nie oznacza to jednak, że firmy powinny czekać z oceną takich rozwiązań. Już obecnie zastosowanie systemu może podlegać RODO, prawu pracy, przepisom antydyskryminacyjnym oraz zasadom odpowiedzialności kontraktowej.

Kiedy trzeba poinformować klienta o wykorzystaniu AI?

Obowiązki przejrzystości nie dotyczą każdego przypadku użycia sztucznej inteligencji. Firma nie musi oznaczać każdego e-maila, opisu produktu ani prezentacji, przy których powstaniu wykorzystano narzędzie generatywne.

Inaczej wygląda sytuacja, gdy system komunikuje się bezpośrednio z człowiekiem. Klient korzystający z chatbota powinien wiedzieć, że prowadzi rozmowę z AI, chyba że wynika to jednoznacznie z okoliczności.

Samo zamieszczenie zdania „rozmawiasz z botem” nie rozwiązuje jednak wszystkich problemów. Organizacja powinna również ustalić, jakie dane są zapisywane podczas rozmowy, czy historia konwersacji jest wykorzystywana do trenowania modelu, kiedy rozmowę może przejąć człowiek oraz czy chatbot udziela informacji mogących wywoływać skutki prawne.

Szczególnej ostrożności wymagają systemy odpowiadające na pytania dotyczące cen, reklamacji, warunków umów, zdrowia, usług finansowych lub praw konsumenta. W takich procesach błędna odpowiedź może prowadzić do odpowiedzialności firmy, nawet jeżeli została wygenerowana przez zewnętrzne rozwiązanie.

Obowiązki przejrzystości określone w art. 50 AI Act zaczynają być stosowane od 2 sierpnia 2026 r. Komisja Europejska opublikowała w lipcu 2026 r. wytyczne dotyczące między innymi informowania o interakcji z AI oraz oznaczania określonych treści generowanych lub modyfikowanych przez systemy.

Firma korzystająca z AI powinna szkolić pracowników

Obowiązek zapewnienia odpowiednich kompetencji w zakresie AI jest jednym z najbardziej uniwersalnych wymagań AI Act. Może dotyczyć również przedsiębiorstwa, które wykorzystuje sztuczną inteligencję wyłącznie jako narzędzie wspierające codzienną pracę.

Nie oznacza to, że każdy pracownik musi ukończyć rozbudowany kurs techniczny. Zakres wiedzy powinien być dostosowany do jego roli, doświadczenia oraz sposobu używania systemu.

Osoba korzystająca z AI do redagowania treści powinna przede wszystkim wiedzieć, jak chronić informacje poufne, weryfikować odpowiedzi i rozpoznawać ryzyko halucynacji. Pracownik HR korzystający z narzędzia do analizy kandydatów musi dodatkowo rozumieć zagrożenia związane z dyskryminacją, profilowaniem i nadmiernym poleganiem na wyniku systemu. Jeszcze innego przygotowania potrzebuje zespół IT integrujący AI z usługą oferowaną klientom.

Dobrze zaprojektowane szkolenie z AI Act dla pracowników powinno więc odnosić się do realnych narzędzi i procesów. Przekazanie samej definicji systemu AI lub omówienie struktury rozporządzenia nie wystarczy, jeżeli uczestnicy nadal nie wiedzą, czy mogą wkleić umowę do ChatGPT albo opublikować materiał bez sprawdzenia zawartych w nim danych.

Firma powinna również zachować dowody przeprowadzonych działań. Mogą to być materiały szkoleniowe, listy uczestników, krótkie testy wiedzy, instrukcje stanowiskowe lub potwierdzenia zapoznania się z polityką AI.

Co należy wdrożyć w firmie?

Zakres wdrożenia powinien wynikać z rzeczywistego sposobu korzystania ze sztucznej inteligencji. W wielu organizacjach można jednak wskazać kilka powtarzających się elementów.

Inwentaryzacja AI

Punktem wyjścia jest ustalenie, jakie narzędzia są wykorzystywane i przez kogo. Nie należy ograniczać się do systemów zakupionych centralnie przez IT. Znaczna część rozwiązań może funkcjonować jako tzw. shadow AI, czyli aplikacje używane samodzielnie przez pracowników bez formalnej zgody organizacji.

Rejestr nie musi być rozbudowany. Powinien jednak pozwalać ustalić nazwę narzędzia, dostawcę, cel wykorzystania, kategorie użytkowników, rodzaj wprowadzanych danych, wpływ wyniku na decyzje oraz osobę odpowiedzialną za proces.

Samo stworzenie listy nie kończy analizy. System do generowania opisów produktów oraz system do selekcji kandydatów mogą korzystać z podobnej technologii, ale będą wymagały zupełnie innego podejścia regulacyjnego.

Ocena roli i ryzyka

Po zidentyfikowaniu systemów należy ustalić, czy organizacja jest ich użytkownikiem, czy może przejęła również obowiązki dostawcy. Kolejnym krokiem jest sprawdzenie, czy zastosowanie jest zakazane, wysokiego ryzyka, objęte obowiązkami przejrzystości albo pozostaje w kategorii ograniczonego ryzyka.

Prawidłowo przeprowadzony audyt AI Act nie powinien ograniczać się do przesłania firmie rozbudowanej ankiety. Jego celem jest zrozumienie sposobu działania procesów, danych używanych przez system i znaczenia jego wyniku. Dopiero wtedy można ustalić, jakie zabezpieczenia są potrzebne i które obowiązki rzeczywiście dotyczą organizacji.

Polityka korzystania z AI

Polityka powinna przekładać wymagania prawne na konkretne zasady działania. Musi odpowiadać na pytania, które pojawiają się w codziennej pracy: z jakich narzędzi wolno korzystać, jakie dane można do nich wprowadzać, kiedy wymagana jest zgoda przełożonego oraz kto odpowiada za końcowy rezultat.

Dobra polityka AI w firmie nie powinna być streszczeniem rozporządzenia. Pracownik nie potrzebuje wielostronicowego opisu kategorii systemów wysokiego ryzyka, jeżeli dokument nie wyjaśnia mu, czy może użyć prywatnego konta w generatorze AI do analizy materiału klienta.

W mniejszych organizacjach polityka może mieć zwięzłą formę, pod warunkiem że jest konkretna. W większych przedsiębiorstwach warto rozdzielić ogólne zasady od instrukcji przeznaczonych dla HR, marketingu, IT, zakupów i innych obszarów korzystających z bardziej zaawansowanych zastosowań.

Proces zatwierdzania nowych narzędzi

Nowe rozwiązanie nie powinno być wdrażane wyłącznie na podstawie jego ceny, funkcjonalności lub popularności. Firma powinna określić, kto i według jakich kryteriów zatwierdza kolejne systemy AI.

W przypadku prostego generatora treści proces może ograniczać się do krótkiej oceny bezpieczeństwa, prywatności i warunków dostawcy. Narzędzie wpływające na decyzje dotyczące pracowników lub klientów wymaga natomiast pogłębionej analizy prawnej, technicznej i organizacyjnej.

Takie podejście nie musi spowalniać innowacji. Przeciwnie, jasno określony proces pozwala szybciej rozstrzygać, które narzędzia mogą zostać uruchomione, a które wymagają dodatkowych zabezpieczeń.

Ocena dostawców i umów

Popularność usługodawcy nie stanowi gwarancji, że jego rozwiązanie jest odpowiednie dla konkretnego zastosowania. Należy sprawdzić między innymi sposób przechowywania danych, możliwość ich wykorzystywania do rozwoju modelu, zasady korzystania z wygenerowanych materiałów, podwykonawców oraz odpowiedzialność za incydenty.

Szczególnej uwagi wymagają klauzule, w których dostawca szeroko wyłącza swoją odpowiedzialność, zastrzega możliwość zmiany usługi albo przenosi na klienta obowiązek oceny wszystkich wygenerowanych wyników.

Jeżeli AI ma obsługiwać istotny proces biznesowy, standardowe zaakceptowanie regulaminu poprzez kliknięcie może nie zapewniać organizacji wystarczającej ochrony.

Ochrona danych i poufności

AI Act nie zastępuje RODO. Jeżeli system przetwarza dane osobowe, przedsiębiorca nadal musi ustalić podstawę prawną, spełnić obowiązki informacyjne, ograniczyć zakres danych i zastosować odpowiednie zabezpieczenia.

W niektórych przypadkach konieczna może być ocena skutków dla ochrony danych. Dotyczy to zwłaszcza systemów wykorzystujących profilowanie, nowe technologie, dane szczególnych kategorii albo automatyczne decyzje mogące znacząco wpływać na osobę.

Równie ważna jest tajemnica przedsiębiorstwa. Informacje wprowadzane do systemu mogą nie stanowić danych osobowych, ale nadal obejmować poufne warunki handlowe, projekty produktów, wiedzę techniczną, wyniki finansowe albo kod źródłowy.

Nadzór człowieka

Wynik wygenerowany przez AI nie powinien być traktowany jak obiektywna i bezbłędna rekomendacja. Modele mogą tworzyć przekonujące, ale nieprawdziwe informacje, pomijać ważne okoliczności lub powielać uprzedzenia obecne w danych.

Nadzór człowieka musi być rzeczywisty. Osoba zatwierdzająca wynik powinna rozumieć jego znaczenie, mieć możliwość zakwestionowania rekomendacji i posiadać wystarczające informacje, aby podjąć własną decyzję.

Formalne kliknięcie „zaakceptuj” nie stanowi skutecznego nadzoru, jeżeli pracownik nie ma czasu, wiedzy albo uprawnień pozwalających na odrzucenie wyniku systemu.

Obsługa błędów i incydentów

Firma powinna wiedzieć, co zrobić, gdy AI ujawni dane, wygeneruje szkodliwą treść, doprowadzi do niewłaściwej decyzji albo zostanie wykorzystana niezgodnie z polityką.

Proces zgłaszania nieprawidłowości powinien być prosty. Pracownik musi wiedzieć, do kogo przekazać informację, a organizacja powinna potrafić zabezpieczyć dowody, ograniczyć skutki i zdecydować, czy zdarzenie wymaga zgłoszenia dostawcy, osobie poszkodowanej lub organowi nadzorczemu.

AI Governance zamiast zestawu przypadkowych dokumentów

Organizacje wykorzystujące większą liczbę narzędzi powinny rozważyć wdrożenie AI Governance, czyli spójnego systemu zarządzania sztuczną inteligencją.

AI Governance nie jest pojedynczą procedurą. Łączy zasady zatwierdzania narzędzi, odpowiedzialność poszczególnych działów, klasyfikację ryzyka, ocenę dostawców, bezpieczeństwo danych, szkolenia, nadzór człowieka oraz reagowanie na incydenty.

W małej firmie system może być prosty i koordynowany przez jedną wyznaczoną osobę. W dużej organizacji konieczne może być współdziałanie działu prawnego, compliance, IT, cyberbezpieczeństwa, HR, zakupów oraz właścicieli procesów biznesowych.

Dobrze zaprojektowane wdrożenie AI Governance nie powinno blokować stosowania nowych technologii. Jego zadaniem jest stworzenie warunków, w których firma może korzystać z AI świadomie, konsekwentnie i bez każdorazowego rozpoczynania analizy od zera.

Dlaczego gotowy pakiet AI Act zwykle nie wystarczy?

Gotowe pakiety dokumentów są atrakcyjne, ponieważ obiecują szybkie rozwiązanie problemu. W przypadku AI Act ich skuteczność jest jednak ograniczona.

Uniwersalna polityka nie ustali, czy używany przez firmę system wspiera decyzję dotyczącą człowieka. Nie oceni, czy dostawca wykorzystuje dane do trenowania modelu. Nie wskaże również, czy organizacja jest wyłącznie podmiotem stosującym, czy poprzez modyfikację systemu przejęła obowiązki dostawcy.

Problemem nie jest więc brak formularzy, lecz brak kwalifikacji konkretnych procesów.

Agencja marketingowa korzystająca z generatorów treści, pracodawca stosujący algorytm do selekcji kandydatów i producent oferujący klientom własne rozwiązanie oparte na AI nie powinni wdrażać identycznej dokumentacji. Każdy z tych podmiotów pełni inną rolę, ponosi inne ryzyko i potrzebuje innych mechanizmów kontroli.

Dlatego wdrożenie AI Act w firmie powinno rozpoczynać się od identyfikacji zastosowań i oceny ryzyka. Dokumenty są rezultatem analizy, a nie jej substytutem.

Jak sprawdzić, czy firma jest przygotowana?

Najprostszym sposobem jest przeprowadzenie krótkiego przeglądu organizacji. Warto ustalić, czy firma wie, z jakich narzędzi korzystają jej pracownicy, czy posiada zasady wprowadzania danych do AI oraz czy potrafi wskazać osoby odpowiedzialne za zatwierdzanie nowych rozwiązań.

Istotnym sygnałem ostrzegawczym jest sytuacja, w której firma oficjalnie nie korzysta ze sztucznej inteligencji, ale pracownicy regularnie używają prywatnych kont w ChatGPT lub innych generatorach. Oznacza to, że AI już funkcjonuje w organizacji, lecz pozostaje poza systemem kontroli.

Podobnie należy ocenić przypadek, w którym dział biznesowy zakupił narzędzie do analizy kandydatów albo klientów bez konsultacji z IT, działem prawnym i osobą odpowiedzialną za ochronę danych.

Firma nie musi znać od razu odpowiedzi na każde pytanie. Powinna jednak posiadać proces pozwalający takie odpowiedzi uzyskać przed uruchomieniem nowego systemu, a nie dopiero po wystąpieniu skargi lub incydentu.

Czy AI Act dotyczy mojej firmy? Najważniejsze wnioski

AI Act może mieć zastosowanie także do przedsiębiorstwa, które nie rozwija własnych modeli i nie działa w branży technologicznej. Wystarczy, że organizacja wykorzystuje system AI w działalności zawodowej.

Zakres obowiązków nie wynika wyłącznie z rodzaju narzędzia. Decydujące znaczenie mają cel użycia, rola firmy, rodzaj przetwarzanych danych oraz wpływ systemu na człowieka.

Firma korzystająca z AI powinna przede wszystkim wiedzieć, jakie rozwiązania działają w jej organizacji, jakie procesy wspierają i kto odpowiada za ich wykorzystanie. Następnie należy ocenić ryzyko, wprowadzić proporcjonalne zasady, przeszkolić personel i stworzyć proces zatwierdzania nowych narzędzi.

BPPZ wspiera przedsiębiorców w identyfikacji systemów AI, kwalifikacji obowiązków, analizie dostawców, przygotowaniu dokumentacji oraz projektowaniu struktur odpowiedzialności. Audyt AI Act i kompleksowe wdrożenie AI Governance powinny odpowiadać rzeczywistym procesom organizacji, dzięki czemu zgodność z regulacjami nie sprowadza się do gromadzenia dokumentów, lecz staje się elementem świadomego zarządzania technologią.

Czy klient musi wiedzieć, że odpowiedź przygotowała sztuczna inteligencja?

AI zmienia skalę cyberataków. Skutki dla bezpieczeństwa firm.

Mail wysłany do niewłaściwego odbiorcy, czy to zawsze naruszenie RODO?

zobacz więcej