AI Act — co musi wiedzieć każda firma w Polsce

Szef IT w średniej firmie logistycznej zapytał mnie w zeszłym tygodniu: "Słyszałem, że jest jakieś nowe prawo o AI. Czy muszę coś z tym zrobić?" Odpowiedź brzmi: to zależy. Ale jeśli używasz AI do oceny CV, analizy ryzyka kredytowego czy monitoringu pracowników — prawdopodobnie tak.

EU AI Act to pierwsze na świecie kompleksowe rozporządzenie regulujące sztuczną inteligencję. Weszło w życie 1 sierpnia 2024 roku, ale pełne wdrożenie rozłożono w czasie. Dla większości firm kluczowe terminy przypadają na lata 2025-2027. To nie jest kolejna dyrektywa, którą można zignorować — to rozporządzenie, które obowiązuje bezpośrednio we wszystkich krajach UE, w tym w Polsce.

Kogo dotyczy AI Act?

Rozporządzenie dzieli systemy AI na cztery kategorie ryzyka: niedopuszczalne, wysokie, ograniczone i minimalne. Od tej kategorii zależy, czy musisz cokolwiek robić.

Systemy niedopuszczalne to te, które manipulują zachowaniem ludzi (np. subliminal techniques), wykorzystują słabości konkretnych grup (dzieci, osoby niepełnosprawne) lub służą do social scoringu przez władze publiczne. Takie systemy są po prostu zakazane. Jeśli Twoja firma używa czegoś takiego — przestań. Kary sięgają 35 milionów euro lub 7% globalnego obrotu, w zależności która kwota jest wyższa.

Systemy wysokiego ryzyka to te, które mogą wpłynąć na bezpieczeństwo ludzi lub ich prawa podstawowe. Lista jest konkretna:

• Rekrutacja i ocena pracowników (screening CV, analiza video-rozmów, monitoring wydajności)
• Ocena zdolności kredytowej i scoring kredytowy
• Systemy biometryczne (rozpoznawanie twarzy, głosu)
• Zarządzanie infrastrukturą krytyczną (energia, transport, woda)
• Dostęp do edukacji i szkoleń zawodowych
• Egzekwowanie prawa i wymiar sprawiedliwości

Jeśli Twoja firma używa AI w którymkolwiek z tych obszarów — masz obowiązki. Konkretne, wymierne, sprawdzalne.

Systemy ograniczonego ryzyka to głównie chatboty i generatory treści (tekst, obraz, audio, video). Tu obowiązek jest prosty: musisz poinformować użytkownika, że rozmawia z AI, nie z człowiekiem. Albo że treść została wygenerowana przez AI. Dotyczy to każdej firmy, która używa chatbota na stronie czy generuje treści marketingowe z pomocą AI.

Systemy minimalnego ryzyka to wszystko inne — filtry spamu, rekomendacje produktów w e-commerce, narzędzia do edycji zdjęć. Tu AI Act nie nakłada żadnych obowiązków. Możesz używać ich bez ograniczeń.

Jakie obowiązki mają firmy?

Jeśli Twój system AI wpadł w kategorię wysokiego ryzyka, czeka Cię lista zadań. To nie są sugestie — to wymogi prawne, których naruszenie kosztuje do 15 milionów euro lub 3% globalnego obrotu.

Ocena ryzyka i dokumentacja. Musisz przeprowadzić analizę, jakie ryzyka niesie Twój system dla praw podstawowych i bezpieczeństwa ludzi. Dokumentacja musi zawierać: cel systemu, dane treningowe, architekturę modelu, procedury testowania, środki zarządzania ryzykiem. To nie jest jednostronicowy PDF — to kompletna dokumentacja techniczna.

Jakość danych. Dane treningowe muszą być reprezentatywne, wolne od błędów i bias. Jeśli trenujesz model do oceny CV na danych z ostatnich 10 lat, w których 90% menedżerów to mężczyźni — masz problem. System będzie dyskryminował kobiety, a Ty odpowiadasz za to prawnie.

Nadzór człowieka. Systemy wysokiego ryzyka nie mogą działać w pełni autonomicznie. Musi być osoba, która może interweniować, zatrzymać system, zrozumieć jego decyzje. Nie wystarczy "ktoś sprawdza wyniki raz w miesiącu". Nadzór musi być ciągły i skuteczny.

Transparentność. Użytkownicy muszą wiedzieć, że decyzję podjął system AI, jak działa, jakie dane przetwarza. Jeśli odrzucasz CV kandydata na podstawie AI — musisz mu to powiedzieć i wyjaśnić, na jakiej podstawie.

Cyberbezpieczeństwo. System musi być odporny na ataki, manipulacje, wycieki danych. To nie jest "mamy firewall i będzie dobrze". To konkretne wymogi dotyczące szyfrowania, kontroli dostępu, logowania działań.

W artykule o prawie AI w 2026 pokazuję, jak firmy radzą sobie z tymi wymogami w praktyce — i gdzie popełniają najwięcej błędów.

Harmonogram wdrażania

AI Act nie wszedł w życie z dnia na dzień. Ustawodawca przewidział okresy przejściowe, żeby firmy miały czas na dostosowanie. Kluczowe daty:

• 2 lutego 2025 — zakaz systemów niedopuszczalnych (manipulacja, social scoring)
• 2 sierpnia 2025 — obowiązki dla dostawców modeli ogólnego przeznaczenia (GPT, Claude, Gemini)
• 2 sierpnia 2026 — pełne wymogi dla systemów wysokiego ryzyka wprowadzanych na rynek PO tej dacie
• 2 sierpnia 2027 — pełne wymogi dla systemów wysokiego ryzyka, które były na rynku PRZED 2 sierpnia 2026

Jeśli używasz systemu AI do rekrutacji, który wdrożyłeś w 2023 roku — masz czas do sierpnia 2027. Jeśli planujesz wdrożyć nowy system w 2026 — musisz spełnić wszystkie wymogi od razu.

Ile to kosztuje?

Kary za naruszenie AI Act są proporcjonalne do wagi przewinienia:

• 35 milionów euro lub 7% globalnego obrotu — za używanie zakazanych systemów AI
• 15 milionów euro lub 3% globalnego obrotu — za naruszenie wymogów dla systemów wysokiego ryzyka
• 7,5 miliona euro lub 1,5% globalnego obrotu — za podanie nieprawdziwych informacji organom nadzoru

Dla małej firmy z obrotem 2 miliony złotych rocznie, 3% to "tylko" 60 tysięcy złotych. To dolna granica — organ nadzoru może nałożyć karę wyższą, jeśli uzna, że naruszenie było poważne. Dla dużej firmy z obrotem 500 milionów euro, 3% to 15 milionów euro. I to boli.

Koszty to nie tylko kary. To także:

• Audyty systemów AI (10-50 tysięcy euro za system, w zależności od złożoności)
• Dokumentacja i compliance (czas prawników, konsultantów, zespołu IT)
• Szkolenia pracowników
• Modyfikacje systemów, żeby spełniały wymogi
• Ciągły monitoring i raportowanie

Dla średniej firmy wdrożenie compliance z AI Act to koszt rzędu 50-200 tysięcy złotych. Raz. Plus koszty bieżące (monitoring, audyty, aktualizacje dokumentacji) — około 20-50 tysięcy złotych rocznie.

Konkretne kroki dla Twojej firmy

Jeśli Twoja firma używa AI — nie czekaj do ostatniej chwili. Oto plan działania:

Krok 1: Zinwentaryzuj systemy AI. Zrób listę wszystkich narzędzi i systemów, które używają AI. Chatbot na stronie? Dopisz. System do analizy CV? Dopisz. Algorytm rekomendacji produktów? Dopisz. Nie pomijaj niczego — lepiej mieć za dużo na liście niż przegapić coś istotnego.

Krok 2: Sklasyfikuj ryzyko. Dla każdego systemu określ, w którą kategorię wpada: niedopuszczalne, wysokie, ograniczone, minimalne. Jeśli nie jesteś pewien — lepiej załóż wyższe ryzyko i skonsultuj z prawnikiem specjalizującym się w AI.

Krok 3: Sprawdź dostawców. Jeśli używasz gotowych rozwiązań (np. platformy do rekrutacji z AI) — zapytaj dostawcę, czy system jest zgodny z AI Act. Poproś o dokumentację. Jeśli dostawca nie wie, o co pytasz — to czerwona flaga.

Krok 4: Przygotuj dokumentację. Dla systemów wysokiego ryzyka musisz mieć kompletną dokumentację techniczną. Zacznij ją tworzyć teraz, nie na miesiąc przed terminem. To nie jest praca na weekend — to proces, który może zająć kilka miesięcy.

Krok 5: Wdróż nadzór człowieka. Upewnij się, że każdy system wysokiego ryzyka ma przypisaną osobę odpowiedzialną za monitoring i interwencję. Ta osoba musi rozumieć, jak system działa, jakie decyzje podejmuje, kiedy interweniować.

W kursie AI Evolution pokazuję krok po kroku, jak firmy przygotowują się do AI Act — od inwentaryzacji systemów po wdrożenie procedur compliance. Moduł ADVANCED zawiera praktyczne szablony dokumentacji i checklisty audytowe, które możesz użyć w swojej firmie.

Najczęstsze pytania (FAQ)

Czy AI Act dotyczy małych firm?

Tak, jeśli używasz systemów AI wysokiego ryzyka. Rozporządzenie nie robi wyjątków dla małych firm — wymogi są takie same dla startupu z 5 osobami i korporacji z 10 tysiącami pracowników. Jedyna różnica: małe firmy mogą liczyć na wsparcie regulatora (tzw. regulatory sandboxes), gdzie mogą testować rozwiązania pod nadzorem.

Co jeśli używam ChatGPT do generowania treści marketingowych?

To system ograniczonego ryzyka. Musisz tylko poinformować odbiorców, że treść została wygenerowana przez AI. Wystarczy dopisek "Treść wygenerowana z pomocą AI" albo podobny disclaimer. Nie musisz przeprowadzać audytów ani tworzyć dokumentacji technicznej.

Kto w Polsce nadzoruje zgodność z AI Act?

Głównym organem nadzoru będzie Prezes Urzędu Ochrony Danych Osobowych (PUODO). Dla systemów w konkretnych sektorach (np. finanse, zdrowie) mogą być dodatkowe organy branżowe. Struktura nadzoru w Polsce jest jeszcze doprecyzowywana, ale PUODO już zaczął przygotowania.

Czy mogę zignorować AI Act, jeśli moja firma działa tylko w Polsce?

Nie. AI Act to rozporządzenie unijne, które obowiązuje bezpośrednio we wszystkich krajach członkowskich, w tym w Polsce. Nie musisz mieć klientów za granicą — jeśli działasz w UE, musisz przestrzegać AI Act. Podobnie jak RODO dotyczy każdej firmy przetwarzającej dane osobowe, tak AI Act dotyczy każdej firmy używającej systemów AI wysokiego ryzyka.