AI Act – co to jest i co oznacza dla firm w Polsce?

AI Act to unijne rozporządzenie, które reguluje tworzenie, oferowanie i wykorzystywanie systemów sztucznej inteligencji. Nie zakazuje zwykłego korzystania z AI, lecz uzależnia obowiązki od konkretnego zastosowania systemu, poziomu ryzyka oraz roli organizacji.

Samo używanie ChatGPT, Copilota lub innego asystenta nie oznacza więc automatycznie, że firma korzysta z systemu wysokiego ryzyka. Znaczenie ma to, do czego narzędzie służy, jakie dane otrzymuje, czy wpływa na ludzi oraz kto podejmuje ostateczną decyzję.

Pierwszym krokiem nie powinien być zakup rozbudowanego systemu compliance. Firma powinna najpierw sporządzić rejestr używanych narzędzi i opisać ich rzeczywiste zastosowania. Dopiero wtedy można ustalić, które procesy wymagają prostych zasad wewnętrznych, a które pogłębionej analizy prawnej i technicznej.

AI Act – co to jest i kogo dotyczy?

AI Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 ustanawiające zharmonizowane przepisy dotyczące sztucznej inteligencji. Jako unijne rozporządzenie jest stosowane bezpośrednio w państwach członkowskich, w tym w Polsce.

Regulacja nie dotyczy wyłącznie firm tworzących modele lub sprzedających systemy AI. Może obejmować również organizacje, które kupują gotowe rozwiązania i wykorzystują je w swojej działalności.

AI Act rozróżnia kilka ról. Dostawca rozwija system AI albo wprowadza go na rynek pod własną nazwą. Podmiot stosujący korzysta z systemu w ramach działalności zawodowej. W łańcuchu mogą pojawić się także importerzy i dystrybutorzy.

Firma korzystająca z gotowego narzędzia najczęściej nie przejmuje obowiązków producenta, ale nadal może odpowiadać za sposób użycia systemu. Dotyczy to między innymi przestrzegania instrukcji, organizacji nadzoru człowieka oraz monitorowania działania systemu w zakresie pozostającym pod kontrolą firmy.

Trzeba też odróżnić model AI od systemu AI. Model sztucznej inteligencji ogólnego przeznaczenia, określany skrótem GPAI, może być podstawą wielu różnych produktów. System AI wykorzystuje model w konkretnym procesie, na przykład do obsługi klienta, tworzenia treści lub oceny kandydatów.

Ten sam model może więc działać jako prosty asystent tekstowy albo element systemu wspierającego decyzje rekrutacyjne. O poziomie ryzyka decyduje przede wszystkim funkcja i wpływ danego zastosowania, a nie sama technologia.

AI Act nie zastępuje ogólnego rozporządzenia o ochronie danych, czyli RODO. Obie regulacje mogą mieć zastosowanie jednocześnie. RODO koncentruje się na danych osobowych, natomiast AI Act obejmuje szersze ryzyka związane z systemami sztucznej inteligencji.

Polska ustawa o systemach sztucznej inteligencji nie zastępuje unijnego rozporządzenia. Ma organizować krajowy nadzór i stosowanie jego przepisów. Według informacji Ministerstwa Cyfryzacji z 27 lipca 2026 roku Prezydent RP podpisał tę ustawę.

Od kiedy obowiązuje AI Act? Aktualny harmonogram

AI Act wszedł w życie 1 sierpnia 2024 roku, ale jego przepisy nie zaczęły być stosowane jednocześnie. Poszczególne obowiązki mają odrębne terminy przypadające na lata 2025–2028.

Trzeba rozróżnić wejście rozporządzenia w życie od rozpoczęcia stosowania konkretnych przepisów. AI Act nie zaczyna więc obowiązywać jednego dnia dla wszystkich systemów i organizacji.

Data	Co zaczyna być stosowane	Co oznacza dla firmy
1 sierpnia 2024 r.	AI Act wchodzi w życie	Rozpoczyna się formalny okres wdrażania rozporządzenia
2 lutego 2025 r.	Pierwsze zakazane praktyki i przepisy dotyczące kompetencji AI	Firma musi unikać zakazanych zastosowań i zadbać o wiedzę osób korzystających z AI
2 sierpnia 2025 r.	Obowiązki dotyczące dostawców modeli GPAI	Termin istotny głównie dla dostawców modeli ogólnego przeznaczenia
2 sierpnia 2026 r.	Między innymi zasady przejrzystości i mechanizmy egzekwowania	Mogą pojawić się obowiązki informowania o interakcji z AI lub oznaczania określonych treści
2 grudnia 2026 r.	Kolejne określone zakazy	Rozszerza się zakres stosowanych zakazanych praktyk
2 grudnia 2027 r.	Wymagania dla systemów wysokiego ryzyka z załącznika III	Termin istotny między innymi dla części zastosowań w HR, edukacji i dostępie do usług
2 sierpnia 2028 r.	Wymagania dla systemów wysokiego ryzyka z załącznika I	Termin dotyczący systemów związanych z regulowanymi produktami

Harmonogram został zmieniony przez AI Omnibus, który wszedł w życie 27 lipca 2026 roku. Wymagania dla systemów wysokiego ryzyka z załącznika III przesunięto na 2 grudnia 2027 roku, a dla systemów związanych z produktami z załącznika I na 2 sierpnia 2028 roku.

Przesunięcie tych terminów nie oznacza, że firmy do 2027 roku nie mają żadnych obowiązków. Zakazane praktyki, wymagania dotyczące kompetencji AI, część zasad dla modeli GPAI i obowiązki przejrzystości mają wcześniejsze daty rozpoczęcia stosowania.

Jak AI Act dzieli systemy według poziomu ryzyka?

AI Act dzieli zastosowania sztucznej inteligencji przede wszystkim według potencjalnego wpływu na bezpieczeństwo, prawa i sytuację ludzi. Najważniejsza jest funkcja systemu, a nie poziom jego zaawansowania lub nazwa produktu.

Uproszczona mapa kategorii wygląda następująco:

Zakazane: zastosowania uznane za niedopuszczalne ze względu na ryzyko naruszenia podstawowych praw.

Wysokie ryzyko: zastosowania dozwolone, ale objęte wymaganiami dotyczącymi między innymi danych, dokumentacji, nadzoru człowieka i monitorowania.

Obowiązki przejrzystości: systemy lub treści wymagające poinformowania odbiorcy o wykorzystaniu AI albo oznaczenia sztucznego charakteru materiału.

Minimalne ryzyko: zastosowania, wobec których AI Act nie nakłada szczególnych wymagań właściwych systemom wysokiego ryzyka.

Według Komisji Europejskiej większość systemów AI używanych w Unii Europejskiej należy do kategorii minimalnego lub niskiego ryzyka. Nie oznacza to jednak, że firma może pominąć bezpieczeństwo danych, ocenę dostawcy i szkolenie pracowników.

Praktyki zakazane przez AI Act

AI Act zakazuje określonych zastosowań uznanych za nieakceptowalne. Należą do nich między innymi wybrane formy manipulacji, wykorzystywanie podatności określonych osób, scoring społeczny, niektóre systemy przewidujące ryzyko popełnienia przestępstwa oraz część zastosowań biometrii.

Zakazy obejmują także rozpoznawanie emocji w miejscu pracy i edukacji, nieukierunkowane zbieranie wizerunków twarzy oraz wrażliwą kategoryzację biometryczną. Od 2 grudnia 2026 roku zakres ma objąć również określone systemy służące do tworzenia treści przedstawiających nagość bez zgody osoby.

Każdy zakaz ma szczegółowe warunki i wyjątki, dlatego nie należy upraszczać przepisów do hasła, że AI Act zakazuje biometrii albo stosowania AI w pracy.

Systemy wysokiego ryzyka i obowiązki przejrzystości

Do systemów wysokiego ryzyka mogą należeć rozwiązania wykorzystywane w rekrutacji, zarządzaniu pracownikami, edukacji, biometrii, migracji, wymiarze sprawiedliwości lub dostępie do istotnych usług. Klasyfikacja zależy od konkretnego zastosowania i warunków wskazanych w rozporządzeniu.

Dostawcy takich systemów mogą odpowiadać między innymi za dokumentację, logi, zarządzanie jakością, ocenę zgodności i oznakowanie CE. Podmiot stosujący ma inny zakres obowiązków, obejmujący między innymi używanie systemu zgodnie z instrukcją, nadzór człowieka i monitorowanie jego działania.

Obowiązki przejrzystości dotyczą odrębnych sytuacji. Mogą obejmować poinformowanie człowieka, że rozmawia z systemem AI, oraz oznaczanie określonych deepfake’ów i treści syntetycznych. Nie każda treść wspomagana przez AI wymaga jednak identycznego oznaczenia.

Co AI Act oznacza dla firm korzystających ze sztucznej inteligencji?

Firma korzystająca z AI powinna najpierw ustalić, jakie systemy działają w organizacji, do czego służą i na kogo wpływają. Nie klasyfikuj całej organizacji jako niskiego lub wysokiego ryzyka. Oceniaj każde zastosowanie osobno.

Szczególnego podejścia wymagają procesy związane z kandydatami, pracownikami, uczniami, biometrią i dostępem do ważnych usług. Proste redagowanie niewrażliwego tekstu roboczego najprawdopodobniej nie jest zastosowaniem wysokiego ryzyka, o ile system nie podejmuje decyzji dotyczących konkretnych osób.

Przygotowanie organizacji można uporządkować w 6 krokach:

1. Spisz wszystkie systemy i narzędzia AI używane przez pracowników.
2. Opisz ich rzeczywiste zastosowania, zamiast ograniczać się do nazw produktów.
3. Ustal rolę organizacji oraz osobę odpowiedzialną za każdy proces.
4. Oceń wpływ systemu na ludzi, dane i podejmowane decyzje.
5. Sprawdź dokumentację dostawcy, instrukcje, zabezpieczenia i dostępne mechanizmy nadzoru.
6. Wprowadź zasady korzystania, szkolenia, monitoring i procedurę zgłaszania incydentów.

Po wykonaniu tych kroków proste zastosowania można objąć podstawową polityką korzystania z AI. Procesy wpływające na prawa lub sytuację ludzi należy skierować do pogłębionej analizy prawnej, technicznej i organizacyjnej.

Szkolenie pracowników powinno odpowiadać ich rzeczywistym zadaniom. Innej wiedzy potrzebuje osoba poprawiająca teksty w asystencie AI, a innej rekruter korzystający z systemu porządkującego aplikacje kandydatów.

W przypadku systemu wysokiego ryzyka używanego w miejscu pracy pracodawca może mieć również obowiązek poinformowania przedstawicieli pracowników i osób objętych jego działaniem. Zakres tego obowiązku zależy od sposobu wykorzystania systemu.

Mini-case: dlaczego dane historyczne mogą wypaczyć rekrutację

Amazon zrezygnował w 2018 roku z eksperymentalnego narzędzia wspierającego rekrutację po wykryciu, że system faworyzował wzorce częściej występujące w aplikacjach mężczyzn. Dane historyczne odzwierciedlały wcześniejsze nierówności i wpłynęły na sposób oceniania kandydatur.

Przypadek ten miał miejsce przed przyjęciem AI Act i nie był naruszeniem tego rozporządzenia. Pokazuje jednak, że automatyzacja nie usuwa uprzedzeń, jeżeli system uczy się na danych zawierających wcześniejsze niekorzystne wzorce.

Nadzór człowieka nie może więc polegać na mechanicznym zatwierdzaniu wyniku. Osoba odpowiedzialna musi rozumieć ograniczenia narzędzia i mieć realną możliwość zakwestionowania jego rekomendacji.

Kary i nadzór nad AI Act w Polsce

AI Act jest egzekwowany przez instytucje unijne i krajowe organy nadzoru. Europejski Urząd ds. AI, nazywany również AI Office, odpowiada między innymi za koordynację wdrażania przepisów i nadzór nad modelami GPAI.

W Polsce krajowy system nadzoru ma zostać zorganizowany przez ustawę o systemach sztucznej inteligencji. Zakres kompetencji konkretnych organów zależy od krajowych przepisów wykonawczych i podziału odpowiedzialności między instytucjami.

Najwyższy pułap administracyjnej kary za naruszenie zakazanych praktyk wynosi do 35 mln euro albo do 7% całkowitego światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku finansowego. Dla innych wskazanych naruszeń maksymalna kara może wynosić do 15 mln euro albo do 3% obrotu.

Są to maksymalne pułapy, a nie automatyczne sankcje za brak polityki AI lub pojedynczy błąd organizacyjny. Wysokość i podstawa kary zależą od rodzaju naruszenia oraz zasad określonych w rozporządzeniu.

Nie każda firma potrzebuje rozbudowanego audytu. Pilnej konsultacji wymaga jednak sytuacja, gdy:

• AI ocenia kandydatów, uczniów, pracowników lub zdolność kredytową;
• system wykorzystuje dane biometryczne albo analizuje emocje;
• AI wpływa na dostęp do ważnej usługi;
• firma modyfikuje gotowy system lub oferuje go pod własną marką;
• dostawca nie udostępnia informacji o przeznaczeniu, danych i nadzorze;
• w organizacji nie wiadomo, kto odpowiada za dane zastosowanie.

Celem konsultacji nie powinno być uzyskanie ogólnego zapewnienia, że narzędzie jest zgodne z AI Act. Analiza powinna wskazać rolę firmy, kategorię zastosowania, obowiązujące terminy oraz konkretne działania do wykonania.

FAQ