AI Act: kogo dotyczy i co firma musi zrobić od 2 sierpnia 2026?

Większość małych i średnich firm jest podmiotem stosującym. Kupuje narzędzie AI i używa go w pracy, więc jej obowiązki są węższe niż obowiązki dostawcy. Rola może się zmienić, gdy firma udostępnia klientom własne narzędzie AI pod swoją nazwą.

1. 1

   Spisz systemy AI

   Jakie narzędzia, kto ich używa, do czego i na jakich danych. Bez listy nie da się ocenić ryzyka ani roli firmy.

2. 2

   Sprawdź zakazy z art. 5

   Na przykład wyciąganie wniosków o emocjach osoby w miejscu pracy jest zakazane od 2 lutego 2025 r., poza względami medycznymi i bezpieczeństwa (art. 5 ust. 1 lit. f).

3. 3

   Ustal rolę

   Czy jesteś tylko podmiotem stosującym, czy też dostawcą, bo wprowadzasz do obrotu system pod własną nazwą.

4. 4

   Zadbaj o kompetencje

   Art. 4 wymaga środków wspierających rozwój kompetencji w zakresie AI wśród personelu. Szczegóły są na osobnej stronie.

5. 5

   Wdróż art. 50

   Ujawniaj deepfake i teksty generowane przez AI, publikowane w sprawach interesu publicznego. Informuj osoby, wobec których działa rozpoznawanie emocji lub kategoryzacja biometryczna.

6. 6

   Sprawdź systemy wysokiego ryzyka

   Załącznik III obejmuje między innymi AI do rekrutacji, oceny kandydatów, decyzji o awansie i monitorowania pracowników. Obowiązki podmiotu stosującego opisuje art. 26.

• Ust. 1 (dostawca): systemy do bezpośredniej interakcji z ludźmi projektuje się tak, żeby człowiek wiedział, że rozmawia z AI.
• Ust. 2 (dostawca): wyniki systemów generujących dźwięk, obraz, wideo lub tekst oznacza się w formacie nadającym się do odczytu maszynowego.
• Ust. 3 (podmiot stosujący): przy rozpoznawaniu emocji lub kategoryzacji biometrycznej informuje się osoby, wobec których system jest stosowany.
• Ust. 4 (podmiot stosujący): deepfake trzeba ujawnić. Tekst w sprawach interesu publicznego też, chyba że przeszedł weryfikację przez człowieka lub kontrolę redakcyjną, a ktoś ponosi za publikację odpowiedzialność redakcyjną.
• Ust. 5: informację podaje się jasno i wyraźnie, najpóźniej przy pierwszej interakcji lub pierwszym stosowaniu.

Przykład: firma publikuje napisany przez AI komunikat w sprawie ważnej dla lokalnej społeczności. Jeśli tekst przed publikacją zweryfikował człowiek, a firma ponosi za niego odpowiedzialność redakcyjną, obowiązek ujawnienia z ust. 4 nie ma zastosowania. Wygenerowane wideo, które realistycznie pokazuje prawdziwą osobę, trzeba oznaczyć.

W praktyce ten sam spis systemów AI służy obu reżimom: pokazuje, jakie dane trafiają do narzędzia, kto je przetwarza i czy trzeba zawrzeć umowę powierzenia z art. 28 RODO.

• Dla MŚP stosuje się niższą z dwóch wartości: kwotę albo procent obrotu (art. 99 ust. 6).
• Za nieprawidłowe, niekompletne lub wprowadzające w błąd informacje dla organów grozi do 7,5 mln euro albo 1% obrotu (art. 99 ust. 5).
• Polska ustawa weszła w życie 11 sierpnia 2026 r., a jej przepisy o kontroli, postępowaniu i administracyjnych karach pieniężnych 28 października 2026 r. (art. 127).

• Systemy i narzędzia: nazwa, do czego służy, właściciel biznesowy i techniczny, dostawca, gdzie leżą dane.
• Polityki firmowe: system zapisuje potwierdzenie z datą, wersją i adresem IP, a nowa wersja wymaga nowego potwierdzenia.
• Szkolenia: materiały z oznaczeniem, że są obowiązkowe, i z oznaczaniem ukończenia.
• Własne funkcje AI w EXCORE mają znacznik AI, a asystent wiedzy podaje źródło odpowiedzi.

Tekst ma charakter informacyjny i nie zastępuje porady. Kwalifikację konkretnego systemu, zwłaszcza w rekrutacji i ocenie pracowników, warto skonsultować z prawnikiem. Stan prawny: rozporządzenie 2024/1689 po zmianach z rozporządzenia 2026/1744.