AI Act w firmie – jakie obowiązki ma przedsiębiorca korzystający ze sztucznej inteligencji?

AI Act w firmie narzuca przedsiębiorcom korzystającym ze sztucznej inteligencji szereg nowych obowiązków, uzależnionych od roli w łańcuchu dostaw. Opublikowane w 2024 roku rozporządzenie unijne, zmodyfikowane pakietem Digital Omnibus on AI z lipca 2026 roku, ostatecznie ukształtowało europejski rynek cyfrowy. Dla większości polskich firm kluczowe jest zrozumienie, że odpowiedzialność prawna nie dotyczy już tylko twórców algorytmów. Jako podmioty stosujące nowoczesne technologie, organizacje muszą wdrożyć odpowiednią dokumentację, dbać o edukację personelu i raportować ryzyka. Jak wskazuje praktyka rynkowa analizowana przez [Źródło 1], brak dostosowania wewnętrznych regulaminów może skutkować wielomilionowymi karami.

Kto jest kim w AI Act? Deployer a Provider

Zrozumienie własnej roli w ekosystemie AI to absolutny fundament prawny dla każdej organizacji. Przepisy unijne precyzyjnie rozdzielają odpowiedzialność techniczną od odpowiedzialności za faktyczne zastosowanie narzędzia.

Przedsiębiorca w świetle AI Act występuje zazwyczaj w jednej z dwóch głównych ról: jako Dostawca (Provider) lub Podmiot stosujący (Deployer). Dostawca to podmiot, który tworzy system AI lub wprowadza go na rynek pod własnym logo. To na nim spoczywa ciężar certyfikacji, testów technicznych i oceny zgodności. Z kolei Deployer to firma, która wdraża gotowe rozwiązania w swojej codziennej pracy – na przykład wykorzystuje algorytmy do wstępnej selekcji CV kandydatów do pracy. Zdecydowana większość polskich przedsiębiorstw z sektora MŚP kwalifikuje się właśnie jako Deployerzy, co potwierdzają zestawienia publikowane przez [Źródło 2].

Jakie są poziomy ryzyka systemów AI i co oznaczają dla firm?

Rozporządzenie AI Act opiera się na podejściu bazującym na analizie ryzyka (risk-based approach). Obowiązki nakładane na przedsiębiorcę rosną proporcjonalnie do potencjalnego zagrożenia, jakie dany system stwarza dla praw obywateli.

Poniższa tabela szczegółowo kategoryzuje systemy sztucznej inteligencji, wskazując konkretne obowiązki prawne dla podmiotów wdrażających.

Czego nie dowiesz się ze zwykłych poradników? Audytorskie sekrety wdrożeń AI

Standardowe opracowania prawne często pomijają ukryte wyzwania operacyjne, z którymi firmy mierzą się na etapie wdrożenia. W mojej codziennej audytorskiej praktyce zauważyłam, że organizacje potykają się o detale, które nie są widoczne na pierwszy rzut oka.

Pierwszym unikalnym wyzwaniem jest proces FRIA (Fundamental Rights Impact Assessment). Choć ocena wpływu na prawa podstawowe kojarzy się z korporacyjnymi gigantami, AI Act nakłada ten obowiązek również na niektóre podmioty wdrażające systemy wysokiego ryzyka w sektorach wrażliwych. Wymaga to zaangażowania nie tylko działów IT, ale i zewnętrznych etyków biznesu oraz specjalistów od praw człowieka [Źródło 3]. Ignorowanie tego aspektu to najkrótsza droga do problemów podczas kontroli.

Kolejnym potężnym mechanizmem ukrytym w przepisach jest procedura wykrywania i korygowania stronniczości (Bias detection and correction). Zgodnie z art. 10 ust. 5 AI Act, podmioty pracujące nad systemami wysokiego ryzyka mogą, w ściśle określonych warunkach, przetwarzać szczególne kategorie danych osobowych (wrażliwych), aby zapobiegać dyskryminacji w algorytmach. Jest to rewolucyjny punkt styku z RODO, który wymaga perfekcyjnego zaprojektowania zabezpieczeń kryptograficznych i prawnych [Źródło 4]. To potężne narzędzie naprawcze dla działów data science.

Wreszcie, ogromnym wyzwaniem jest implementacja modeli General Purpose AI (GPAI) do wewnętrznych systemów firmy. Jeśli przedsiębiorstwo integruje wielki model językowy (LLM) z własną bazą klientów, zacierają się granice między rolą stosującego a dostawcą, jeśli firma znacząco modyfikuje wagi (weights) modelu. Wymaga to niezwykle ostrożnego formułowania umów licencyjnych z dostawcami infrastruktury chmurowej [Źródło 5].

Harmonogram wdrożeń: Co zmienia „Digital Omnibus on AI” z lipca 2026 r.?

Unijny pakiet „Digital Omnibus on AI” przyniósł rynkowi ogromną ulgę, racjonalizując terminy dla małych i średnich przedsiębiorstw. Zrozumienie najnowszego kalendarza to podstawa prawidłowego zarządzania budżetem compliance w firmie.

• 2 lutego 2025 r. – Wejście w życie zakazów dla praktyk niedopuszczalnych oraz obowiązek podnoszenia kompetencji cyfrowych pracowników w zakresie AI (tzw. AI Literacy – Art. 4).
• 2 sierpnia 2025 r. – Rozpoczęcie obowiązywania restrykcji dotyczących modeli GPAI.
• 2 sierpnia 2026 r. – Wejście w życie wymogów przejrzystości (Art. 50 AI Act). Od tego momentu każda interakcja z chatbotem musi być jawna dla klienta.
• 2 grudnia 2026 r. – Przesunięty termin na obowiązkowe oznaczanie treści deepfake oraz wdrożenie znaków wodnych dla systemów generujących funkcjonujących już na rynku [Źródło 6].
• 2 grudnia 2027 r. – Przełożone o ponad rok wejście w życie obowiązków dla samodzielnych systemów wysokiego ryzyka (np. systemy rekrutacyjne opisane w Załączniku III).

Jak polska ustawa o AI wpływa na krajowy biznes?

Polska ustawa o systemach sztucznej inteligencji, wchodząca w pełne stosowanie 28 października 2026 roku, nie powiela prawa unijnego, lecz tworzy ramy do jego egzekwowania. Przedsiębiorcy otrzymują zupełnie nowe narzędzia dialogu z administracją państwową.

Głównym organem nadzorczym staje się KRiBSI (Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji). To właśnie do tej instytucji przedsiębiorcy będą zgłaszać incydenty związane z działaniem algorytmów. Co kluczowe, KRiBSI została upoważniona do wydawania opinii indywidualnych w terminie od 30 do 60 dni. Dzięki temu firmy mogą uzyskać oficjalną wiążącą interpretację, czy ich autorski system scoringowy wpisuje się w ramy „wysokiego ryzyka” [Źródło 7]. Taki mechanizm znacząco obniża niepewność inwestycyjną.

Uruchomione zostały również piaskownice regulacyjne (regulatory sandboxes) nadzorowane przez Ministerstwo Cyfryzacji. Polscy przedsiębiorcy mogą w nich w warunkach kontrolowanych testować innowacyjne rozwiązania, będąc chronionym przed natychmiastowymi sankcjami na etapie badań i rozwoju [Źródło 8]. Zauważyłem, że to absolutny game-changer dla lokalnych start-upów technologicznych.

Jakie kary finansowe grożą za złamanie przepisów AI Act?

Sankcje przewidziane w unijnym rozporządzeniu ustanawiają nowy historyczny rekord w prawodawstwie gospodarczym Europy. Kary są obliczane jako procent globalnego rocznego obrotu przedsiębiorstwa, co ma stanowić czynnik silnie odstraszający.

Katalog sankcji finansowych (Art. 99 AI Act) dzieli się na trzy potężne filary uderzające w budżety niepokornych firm. Za wykorzystywanie zakazanych praktyk (np. oceny społecznej) grozi grzywna w wysokości do 35 000 000 EUR lub 7% rocznego światowego obrotu. Naruszenie obowiązków związanych z systemami wysokiego ryzyka, a także niedopełnienie obowiązku przejrzystości (np. ukrywanie faktu, że klient pisze z chatbotem) kosztować może do 15 milionów EUR lub 3% obrotu. Z kolei przekazanie wprowadzających w błąd informacji organom takim jak KRiBSI to ryzyko kary rzędu 7,5 miliona EUR lub 1% obrotu [Źródło 9].

Obowiązek AI Literacy, czyli edukacja załogi to już wymóg prawny

Wdrożenie sztucznej inteligencji to nie tylko zakup licencji oprogramowania, ale przede wszystkim konieczność zbudowania odpowiedniej świadomości w zespole. AI Literacy to pojęcie, które musi na stałe wejść do żargonu menedżerów HR.

Zgodnie z art. 4 AI Act, który obowiązuje już od 2 lutego 2025 roku, każdy pracodawca korzystający z AI jest zobligowany do zapewnienia pracownikom edukacji w zakresie bezpiecznego użytkowania tych narzędzi [Źródło 10]. Obejmuje to świadomość ryzyka halucynacji AI, ochrony tajemnicy przedsiębiorstwa (nie wprowadzania wrażliwych danych do ogólnodostępnych modeli GPAI) oraz poszanowania praw autorskich przy generowaniu treści. Przedsiębiorcy, którzy zignorują ten obowiązek i poprzestaną na luźnych wytycznych mailowych, narażają się na bolesne konsekwencje w przypadku wycieku danych.

Bibliografia i źródła

• [Źródło 1] Wolters Kluwer (wolterskluwer.com)
• [Źródło 2] Traple Konarski Podrecki i Wspólnicy (traple.pl)
• [Źródło 3] Stephenson Harwood (stephensonharwood.com)
• [Źródło 4] GDPR.pl (gdpr.pl)
• [Źródło 5] CyberDefence24 (cyberdefence24.pl)
• [Źródło 6] Oficjalny portal Unii Europejskiej (europa.eu)
• [Źródło 7] Prawo.pl (prawo.pl)
• [Źródło 8] Portal Rzeczypospolitej Polskiej (www.gov.pl)
• [Źródło 9] Krajowa Izba Radców Prawnych (kirp.pl)
• [Źródło 10] CyberDefence24 (cyberdefence24.pl)

FAQ – najczęściej zadawane pytania