AI Act w Polsce – co firmy muszą zrobić w 2026 roku?

AI Act nie jest już odległym projektem. Większość unijnego rozporządzenia zaczęła być stosowana 2 sierpnia 2026 roku, a polska ustawa o systemach sztucznej inteligencji została ogłoszona 27 lipca i wchodzi w życie etapami. Dla przedsiębiorców oznacza to przede wszystkim konieczność ustalenia, gdzie firma używa AI, w jakiej roli i z jakim ryzykiem.

Nie każda firma korzystająca z ChatGPT, Microsoft Copilot czy generatora grafik stanie się dostawcą systemu wysokiego ryzyka. Nie oznacza to jednak, że temat można odłożyć. Już dziś warto uporządkować narzędzia, zasady pracy z danymi, szkolenia i komunikację z klientami.

Najważniejsze: przesunięcie części wymagań dla systemów wysokiego ryzyka na lata 2027–2028 nie oznacza, że cały AI Act został odroczony.

AI Act 2026 w skrócie – co zrobić teraz?

Firma powinna zacząć od siedmiu działań:

1. Spisać używane narzędzia AI – również te wykorzystywane samodzielnie przez pracowników.
2. Opisać zastosowania – inne ryzyko ma korekta tekstu, a inne automatyczna selekcja kandydatów do pracy.
3. Ustalić swoją rolę – najczęściej będzie to podmiot stosujący, ale modyfikacja lub oferowanie systemu pod własną marką może zmienić zakres odpowiedzialności.
4. Sprawdzić praktyki zakazane – zakazy części zastosowań AI obowiązują już od 2 lutego 2025 roku.
5. Zapewnić kompetencje pracowników – osoby używające AI powinny rozumieć możliwości, ograniczenia i ryzyka narzędzia.
6. Zweryfikować przejrzystość – szczególnie w chatbotach, deepfake'ach i niektórych treściach generowanych przez AI.
7. Ustalić zasady danych i kontroli człowieka – pracownik nie powinien bezrefleksyjnie przekazywać do publicznego narzędzia danych osobowych, tajemnic firmy lub informacji klientów.

Czym jest AI Act?

AI Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, ustanawia wspólne zasady dotyczące sztucznej inteligencji w Unii Europejskiej. Rozporządzenie jest oparte na ryzyku: im poważniejszy możliwy wpływ systemu AI na człowieka, bezpieczeństwo lub prawa podstawowe, tym większe wymagania.

Przepisy obejmują różne role w łańcuchu AI, między innymi:

W praktyce większość małych i średnich firm korzystających z gotowych usług będzie podmiotem stosującym. Sytuacja może się jednak zmienić, jeżeli firma istotnie zmodyfikuje system, zmieni jego przeznaczenie albo zacznie udostępniać go klientom pod własną marką.

Najważniejsze terminy AI Act dla firm

Terminy dla systemów wysokiego ryzyka zostały zmienione przez rozporządzenie (UE) 2026/1744. Aktualny harmonogram publikuje także Komisja Europejska na stronie poświęconej AI Act.

Co zmienia polska ustawa o sztucznej inteligencji?

Unijny AI Act jest rozporządzeniem, dlatego obowiązuje bezpośrednio w państwach UE. Polska ustawa nie zastępuje go i nie tworzy osobnego „polskiego AI Act”. Jej głównym zadaniem jest zbudowanie krajowego systemu nadzoru, postępowań i egzekwowania unijnych zasad.

Ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Ma ona między innymi pełnić funkcje krajowego organu nadzoru rynku, rozpatrywać określone skargi i postępowania oraz współpracować z innymi organami krajowymi i unijnymi.

Ustawa została ogłoszona w Dzienniku Ustaw 27 lipca 2026 roku jako Dz.U. 2026 poz. 1003. Jej podstawowa data wejścia w życie to 11 sierpnia 2026 roku, natomiast część regulacji zacznie obowiązywać 28 października 2026 roku.

Czy AI Act dotyczy firmy używającej ChatGPT lub Copilota?

Tak, może dotyczyć, ale nie w każdym przypadku w taki sam sposób. O obowiązkach nie decyduje sama nazwa produktu, lecz to, do czego i w jaki sposób firma go używa.

Przykład 1: tworzenie szkicu oferty

Pracownik prosi asystenta AI o przygotowanie roboczego szkicu oferty, następnie sprawdza fakty, zmienia treść i bierze odpowiedzialność za dokument. Zwykle jest to zastosowanie o niskim ryzyku. Nadal potrzebne są jednak zasady dotyczące danych, praw autorskich, kontroli odpowiedzi i bezpieczeństwa konta.

Przykład 2: chatbot na stronie internetowej

Firma wdraża chatbota odpowiadającego klientom. W takim przypadku trzeba przeanalizować obowiązek poinformowania rozmówcy, że kontaktuje się z AI. Informacja powinna być jasna, dostępna i przekazana najpóźniej przy pierwszej interakcji, chyba że sztuczny charakter rozmówcy jest oczywisty z kontekstu.

Przykład 3: automatyczna selekcja kandydatów

System analizuje CV, ocenia kandydatów i decyduje, które osoby przejdą dalej. AI wykorzystywane w zatrudnieniu może zostać zaklasyfikowane jako system wysokiego ryzyka. Wymaga to znacznie głębszej analizy niż użycie asystenta do poprawienia ogłoszenia o pracę.

Przykład 4: AI w decyzjach kredytowych lub dostępie do usług

System ocenia zdolność kredytową osoby fizycznej albo wpływa na dostęp do podstawowych usług. To kolejny obszar, w którym AI Act przewiduje podwyższone wymagania ze względu na możliwy wpływ na prawa człowieka.

Cztery poziomy ryzyka AI

1. Ryzyko niedopuszczalne

AI Act zakazuje określonych praktyk, na przykład niektórych form manipulacji, punktacji społecznej, nieukierunkowanego pozyskiwania zdjęć twarzy z internetu lub monitoringu oraz rozpoznawania emocji w miejscu pracy, z przewidzianymi w przepisach wyjątkami.

Firma powinna sprawdzić ten obszar w pierwszej kolejności. Zakazy nie zostały przesunięte na 2027 rok – ich pierwsza część obowiązuje od lutego 2025 roku.

2. Wysokie ryzyko

Do tej grupy mogą należeć systemy wykorzystywane między innymi w rekrutacji, edukacji, infrastrukturze krytycznej, biometrii lub ocenie dostępu do określonych usług. Dostawcy i podmioty stosujące takie systemy muszą liczyć się z wymaganiami dotyczącymi zarządzania ryzykiem, dokumentacji, jakości danych, rejestrowania zdarzeń, nadzoru człowieka, dokładności i cyberbezpieczeństwa.

Daty rozpoczęcia stosowania części tych wymagań przesunięto na 2 grudnia 2027 roku oraz 2 sierpnia 2028 roku. Nie warto jednak czekać z inwentaryzacją i analizą zastosowania do ostatnich miesięcy przed terminem.

3. Ryzyko związane z przejrzystością

Ta grupa obejmuje sytuacje, w których człowiek powinien wiedzieć, że ma do czynienia z AI albo z treścią wygenerowaną lub zmanipulowaną przez AI. Dotyczy to między innymi części chatbotów, deepfake'ów, systemów rozpoznawania emocji i kategoryzacji biometrycznej oraz określonych treści dotyczących spraw interesu publicznego.

4. Ryzyko minimalne lub brak ryzyka

Większość popularnych zastosowań AI zalicza się do tej grupy. Przykładami mogą być filtry antyspamowe, podpowiedzi tekstu lub narzędzia wspomagające pracę, które nie podejmują decyzji mających poważny wpływ na człowieka. Nadal obowiązują jednak inne przepisy, umowy i dobre praktyki bezpieczeństwa.

Czy każdą treść stworzoną przez AI trzeba oznaczać?

Nie. AI Act nie wprowadza prostego nakazu podpisywania każdej wiadomości, grafiki roboczej lub tekstu przygotowanego przy pomocy AI. Zakres obowiązku zależy od rodzaju treści, roli firmy i sposobu publikacji.

Szczególnej uwagi wymagają:

• materiały typu deepfake,
• obrazy, nagrania audio, wideo i tekst syntetyczny, który dostawca systemu powinien umożliwić wykryć w formacie nadającym się do odczytu maszynowego,
• tekst wygenerowany lub zmanipulowany przez AI, publikowany w celu informowania opinii publicznej o sprawie leżącej w interesie publicznym,
• treści, przy których nie było kontroli człowieka ani osoby lub organizacji ponoszącej odpowiedzialność redakcyjną.

W praktyce firma powinna opisać w polityce AI, kiedy wymaga oznaczenia, kto zatwierdza publikację oraz jak dokumentowana jest weryfikacja treści. Komisja Europejska opublikowała wytyczne dotyczące obowiązków przejrzystości, które pomagają rozróżnić te sytuacje.

Kompetencje AI pracowników – obowiązek, nie tylko dobra praktyka

Od 2 lutego 2025 roku dostawcy i podmioty stosujące systemy AI powinni podejmować działania wspierające odpowiedni poziom kompetencji osób, które korzystają z AI w ich imieniu. Zakres szkolenia powinien uwzględniać wiedzę techniczną zespołu, doświadczenie, kontekst użycia oraz osoby, na które system może oddziaływać.

Nie musi to oznaczać kosztownego, wielodniowego szkolenia dla każdego pracownika. W małej firmie rozsądnym minimum może być:

• krótkie szkolenie wprowadzające,
• lista zatwierdzonych narzędzi i zastosowań,
• zasady dotyczące danych poufnych i osobowych,
• obowiązek weryfikacji faktów i wyników,
• wskazanie osoby, do której można zgłaszać wątpliwości lub incydenty,
• cykliczna aktualizacja zasad, gdy zmieniają się narzędzia lub sposób ich użycia.

Więcej przykładów Komisja zebrała w pytaniach i odpowiedziach o kompetencjach w zakresie AI.

ChatGPT w firmie a RODO, poufność i cyberbezpieczeństwo

Zgodność z AI Act nie zastępuje zgodności z RODO, prawem autorskim, zasadami ochrony tajemnicy przedsiębiorstwa ani obowiązkami branżowymi. Przed zatwierdzeniem narzędzia AI trzeba sprawdzić między innymi:

• jakie dane trafiają do usługi i w jakim celu,
• czy dostawca wykorzystuje dane wejściowe do rozwijania modeli,
• gdzie dane są przetwarzane i jak długo są przechowywane,
• czy organizacja ma odpowiednią umowę i podstawę przetwarzania,
• kto ma dostęp do konta oraz historii rozmów,
• czy dostępne są konta firmowe, logowanie wieloskładnikowe i kontrola administratora,
• jak użytkownik zweryfikuje błędną, stronniczą lub zmyśloną odpowiedź AI.

Pomocne będzie połączenie analizy AI z audytem IT, oceną ochrony danych oraz zasadami opisanymi w poradniku jak przygotować firmę do audytu RODO.

Checklista AI Act dla firmy na 30 dni

Tydzień 1: inwentaryzacja

• Spisz narzędzia AI kupione centralnie i używane samodzielnie przez pracowników.
• Zapisz właściciela biznesowego, dostawcę, cel i grupę użytkowników każdego narzędzia.
• Określ, jakie dane są wprowadzane i jakie decyzje wspiera system.
• Zidentyfikuj rozwiązania udostępniane klientom lub pracownikom.

Tydzień 2: klasyfikacja ryzyka

• Sprawdź, czy zastosowanie może należeć do praktyk zakazanych.
• Oceń, czy system może mieć wpływ na rekrutację, ocenę pracowników, kredyt, edukację, biometrię lub dostęp do ważnych usług.
• Ustal, czy firma jest podmiotem stosującym, dostawcą, importerem czy dystrybutorem.
• W razie wątpliwości dotyczących klasyfikacji skonsultuj przypadek ze specjalistą prawnym.

Tydzień 3: zasady i zabezpieczenia

• Określ dozwolone narzędzia i zastosowania.
• Zablokuj wprowadzanie danych poufnych do niezatwierdzonych usług.
• Wymagaj kontroli człowieka przed użyciem wyniku AI.
• Ustal zasady oznaczania chatbotów i odpowiednich treści syntetycznych.
• Włącz MFA, zarządzanie kontami i rejestrowanie dostępu tam, gdzie jest to możliwe.

Tydzień 4: ludzie i dokumentacja

• Przeszkol pracowników proporcjonalnie do sposobu korzystania z AI.
• Opublikuj krótką politykę korzystania z AI.
• Wyznacz właściciela procesu i kanał zgłaszania incydentów.
• Zaplanuj przegląd rejestru AI co najmniej raz na kwartał oraz po wdrożeniu nowego zastosowania.

Najczęstsze błędy firm

1. Brak wiedzy o nieoficjalnych narzędziach. Pracownicy używają prywatnych kont i rozszerzeń przeglądarki bez wiedzy działu IT.
2. Klasyfikowanie ryzyka po nazwie produktu. To samo narzędzie może służyć do niewinnej korekty tekstu albo wspierać decyzję wpływającą na zatrudnienie.
3. Wklejanie danych klientów do publicznych modeli. Wygoda nie zastępuje analizy poufności i podstaw prawnych.
4. Brak weryfikacji człowieka. Model może podać nieprawdziwą informację, nieaktualny przepis lub dyskryminującą rekomendację.
5. Założenie, że wszystkie terminy przesunięto. Obowiązki dotyczące zakazanych praktyk, kompetencji AI i przejrzystości mają własne daty stosowania.
6. Traktowanie AI wyłącznie jako problemu prawnego. Potrzebne są również zabezpieczenia techniczne, kontrola dostępu, procedura incydentów i odpowiedzialność właściciela procesu.

Jak nex-IT może pomóc?

Przygotowanie do AI Act warto zacząć od strony technicznej i organizacyjnej. Możemy pomóc w:

• inwentaryzacji narzędzi i usług AI,
• analizie przepływu danych oraz konfiguracji kont firmowych,
• ocenie bezpieczeństwa dostawców i integracji,
• wdrożeniu kontroli dostępu, MFA, logowania i monitoringu,
• przygotowaniu technicznych zasad bezpiecznego korzystania z AI,
• przeprowadzeniu audytu IT i zaplanowaniu działań naprawczych.

Klasyfikacja prawna konkretnego systemu może wymagać udziału prawnika specjalizującego się w nowych technologiach. nex-IT wspiera część techniczną, bezpieczeństwo i uporządkowanie środowiska, dostarczając informacje potrzebne do rzetelnej oceny zgodności.

Jeżeli chcesz sprawdzić, gdzie w firmie używane jest AI i czy dane są odpowiednio chronione, skontaktuj się z nami.

Źródła i stan prawny

Artykuł przedstawia stan prawny na 6 sierpnia 2026 roku i ma charakter informacyjny – nie stanowi porady prawnej. Przy ocenie konkretnego wdrożenia należy uwzględnić rolę organizacji, przeznaczenie systemu, instrukcje dostawcy oraz przepisy sektorowe.

• Rozporządzenie (UE) 2024/1689 – AI Act
• Komisja Europejska – aktualny harmonogram AI Act
• Rozporządzenie (UE) 2026/1744 zmieniające harmonogram AI Act
• Ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji – RCL
• AI Act Service Desk – pytania i odpowiedzi