Baza wiedzy

AI Act dla firm — jakie obowiązki nakłada unijne rozporządzenie o AI

Aktualizacja: 20 sierpnia 2026 · Sprint0

W skrócie

AI Act (rozporządzenie UE 2024/1689) to pierwsze kompleksowe prawo o sztucznej inteligencji — obowiązuje wprost w całej Unii, bez krajowej transpozycji, i jest stosowane etapami: od lutego 2025 zakazy praktyk niedopuszczalnych i obowiązek kompetencji AI, a od sierpnia 2026 — kluczowa część wymogów dla systemów wysokiego ryzyka. Dla typowej firmy wdrażającej AI najważniejsze są trzy rzeczy: ustalenie własnej roli (dostawca czy podmiot stosujący), sprawdzenie, czy któryś przypadek użycia nie wpada w wysokie ryzyko (np. AI w rekrutacji i ocenach pracowników), oraz udokumentowane szkolenia z AI dla personelu.

Czym jest AI Act i od kiedy obowiązuje?

Rozporządzenie weszło w życie 1 sierpnia 2024 r. i — w przeciwieństwie do dyrektywy NIS2 — działa bezpośrednio, bez ustawy wdrażającej. Stosowanie rozłożono w czasie:

od 2 lutego 2025 — zakazy praktyk niedopuszczalnych (m.in. manipulacja podprogowa, scoring społeczny, część zastosowań rozpoznawania emocji w pracy) oraz obowiązek zapewnienia kompetencji AI personelu (art. 4).
od 2 sierpnia 2025 — przepisy o modelach ogólnego przeznaczenia (GPAI), organach nadzoru i karach.
od 2 sierpnia 2026 — zasadnicza część rozporządzenia, w tym wymogi dla systemów wysokiego ryzyka z załącznika III i obowiązki przejrzystości (chatboty, treści generowane).
od 2 sierpnia 2027 — wysokie ryzyko w produktach objętych odrębnymi regulacjami (załącznik I).

Kary są wyższe niż w RODO: do 35 mln EUR lub 7% światowego obrotu za praktyki zakazane, do 15 mln EUR lub 3% za naruszenie pozostałych obowiązków.

Poziomy ryzyka — gdzie wpada Twój przypadek użycia?

AI Act reguluje intensywniej to, co bardziej ryzykowne. Praktyki zakazane są po prostu wyłączone z użycia. Wysokie ryzyko to zamknięta lista zastosowań — dla firm najistotniejsze są systemy używane w zatrudnieniu: rekrutacja i selekcja kandydatów, decyzje o awansach i rozwiązaniu umów, przydzielanie zadań na podstawie profilowania, ocena pracowników; do tego m.in. ocena zdolności kredytowej. Ograniczone ryzyko to obowiązki przejrzystości: użytkownik ma wiedzieć, że rozmawia z AI, a treści generowane (w tym deepfake) mają być oznaczone. Minimalne ryzyko — większość firmowych zastosowań: wyszukiwanie po wiedzy, streszczanie, przetwarzanie dokumentów — nie podlega dodatkowym wymogom poza ogólnymi zasadami.

Dostawca czy podmiot stosujący — jaka jest Twoja rola?

Firma wdrażająca u siebie system AI jest zwykle podmiotem stosującym (deployer) — i to z tej roli wynikają jej obowiązki. Dostawcą (provider) jest ten, kto system rozwija i wprowadza na rynek. Uwaga na niuans: istotna modyfikacja systemu wysokiego ryzyka albo oferowanie go dalej pod własną marką może przenieść na firmę obowiązki dostawcy — to jedna z rzeczy, które warto rozstrzygnąć na etapie projektowania, nie audytu.

Obowiązki podmiotu stosującego system wysokiego ryzyka

używanie systemu zgodnie z instrukcją dostawcy i w przewidzianym celu,
rzeczywisty nadzór człowieka — z kompetencjami i możliwością interwencji,
monitorowanie działania i zgłaszanie poważnych incydentów,
przechowywanie logów generowanych przez system,
poinformowanie pracowników, gdy system wysokiego ryzyka jest stosowany wobec nich,
zapewnienie kompetencji AI (art. 4) — udokumentowane szkolenia dopasowane do ról, o czym piszemy szerzej w przewodniku o szkoleniach AI.

Co z tym wspólnego ma architektura wdrożenia?

Uczciwie: AI Act obowiązuje niezależnie od tego, czy model działa w chmurze, czy on-premise. Ale spełnianie obowiązków wygląda inaczej. We własnej infrastrukturze masz pełne logi bez zależności od dostawcy, kontrolujesz wersję modelu (system nie zmieni się w nocy, bo dostawca podmienił model pod API — a stabilność wersji to warunek sensownej dokumentacji i ewaluacji) i możesz wykazać, jak dane przepływają przez system. Przy zewnętrznych API te same obowiązki wymagają umów, zaufania i nadzoru nad podmiotem trzecim — co łączy się z wymogami łańcucha dostaw z NIS2.

Ten artykuł opisuje rozporządzenie na poziomie ogólnym i nie jest poradą prawną. Klasyfikację konkretnych systemów i zakres obowiązków skonsultuj z prawnikiem — my zajmujemy się stroną techniczną: architekturą, logowaniem, ewaluacją i nadzorem, które te obowiązki czynią wykonalnymi.

Najczęstsze pytania o AI Act

Czy AI Act dotyczy też małych firm?

Tak — AI Act nie ma progu wielkości takiego jak NIS2. Obowiązki zależą od tego, JAK używasz AI, a nie od rozmiaru firmy: zakazy praktyk niedopuszczalnych i obowiązki przejrzystości dotyczą wszystkich, a wymogi dla systemów wysokiego ryzyka — każdego, kto taki system dostarcza lub stosuje. Rozporządzenie przewiduje jedynie pewne ułatwienia dokumentacyjne dla MŚP.

Czy wdrożenie on-premise zwalnia z AI Act?

Nie. AI Act — inaczej niż kwestie transferu danych w RODO — obowiązuje niezależnie od tego, gdzie system fizycznie działa. Wdrożenie lokalne ułatwia jednak spełnienie obowiązków: masz pełną kontrolę nad wersją modelu, logami i dokumentacją oraz pewność, że system nie zmieni się bez Twojej wiedzy, co przy zewnętrznych API bywa realnym problemem.

Używamy AI w rekrutacji — co to dla nas znaczy?

Systemy AI używane do rekrutacji, selekcji kandydatów, decyzji o awansach czy ocen pracowników należą do kategorii wysokiego ryzyka (załącznik III). Jako podmiot stosujący musisz m.in. używać systemu zgodnie z instrukcją dostawcy, zapewnić nadzór człowieka i monitorować działanie, a o stosowaniu AI wobec pracowników — poinformować ich.

Co to jest obowiązek „AI literacy"?

Artykuł 4 AI Act (stosowany od lutego 2025) wymaga, by osoby obsługujące i wykorzystujące systemy AI w organizacji miały odpowiedni poziom kompetencji w zakresie AI — rozumiały możliwości, ograniczenia i ryzyka. W praktyce oznacza to udokumentowane szkolenia dopasowane do ról, nie jednorazowy wykład.