AI Act od sierpnia 2026 r. – nowe obowiązki dla przedsiębiorców.

Sztuczna inteligencja coraz szybciej staje się częścią działalności przedsiębiorstw. Wykorzystują ją nie tylko duże koncerny, ale również małe i średnie firmy, m.in. do przygotowywania dokumentów, obsługi klientów, marketingu, analizy danych czy rekrutacji. Od sierpnia 2026 r. przedsiębiorcy muszą liczyć się z kolejnym etapem stosowania unijnych przepisów dotyczących AI. Czy polskie firmy są na to przygotowane?

Dzisiaj z narzędzi wykorzystujących AI może korzystać praktycznie każdy przedsiębiorca. Może to być program do tworzenia treści, chatbot na stronie internetowej, system analizujący dokumenty albo narzędzie wspierające rekrutację. Popularność takich rozwiązań powoduje jednak, że przedsiębiorca powinien wiedzieć nie tylko, czy korzysta ze sztucznej inteligencji, ale również w jaki sposób ją wykorzystuje i jakie obowiązki prawne się z tym wiążą.

Znaczenie ma tutaj Akt w sprawie sztucznej inteligencji (AI Act), czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689. Rozporządzenie weszło w życie 1 sierpnia 2024 r., a jego przepisy są stosowane etapami. Od 2 lutego 2025 r. obowiązują m.in. przepisy dotyczące zakazanych praktyk oraz kompetencji w zakresie AI, od 2 sierpnia 2025 r. - regulacje dotyczące modeli ogólnego przeznaczenia (GPAI), natomiast 2 sierpnia 2026 r. rozpoczął się zasadniczy etap stosowania AI Act.

AI Act - kogo dotyczą przepisy?

AI Act nie jest regulacją skierowaną wyłącznie do producentów zaawansowanych technologii. Może dotyczyć również przedsiębiorstwa korzystającego z gotowego systemu AI dostarczanego przez zewnętrznego dostawcę.

Rozporządzenie przyjmuje podejście oparte na poziomie ryzyka. W uproszczeniu wyróżnia się:

• zakazane praktyki związane z AI,
• systemy AI wysokiego ryzyka,
• systemy objęte obowiązkami dotyczącymi przejrzystości,
• pozostałe systemy, wiążące się z mniejszym zakresem obowiązków.

Dlatego samo korzystanie z AI nie przesądza jeszcze o zakresie obowiązków. Kluczowe jest ustalenie, jaki system jest wykorzystywany, do czego służy oraz jaką rolę pełni przedsiębiorca.

2 sierpnia 2026 r. nie oznacza przy tym, że wszystkie obowiązki zaczęły obowiązywać jednocześnie. Część regulacji dotyczących systemów wysokiego ryzyka została przesunięta przez AI Omnibus. Nie oznacza to jednak, że przedsiębiorcy powinni odkładać przygotowania do takich systemów. W przypadku bardziej złożonych wdrożeń dostosowanie organizacji, umów i procedur może wymagać czasu.

Najpierw trzeba ustalić, gdzie firma korzysta z AI

Podstawowym krokiem powinno być zidentyfikowanie wszystkich wykorzystywanych w przedsiębiorstwie narzędzi AI. Warto ustalić:

• z jakich systemów korzystają pracownicy;
• do jakich celów są wykorzystywane;
• jakie dane są do nich wprowadzane;
• kto jest dostawcą danego rozwiązania;
• czy AI wpływa na decyzje dotyczące osób fizycznych;
• czy system jest wykorzystywany np. w rekrutacji.

Jest to szczególnie ważne w przypadku tzw. shadow AI, czyli korzystania przez pracowników z narzędzi AI bez formalnej zgody lub wiedzy pracodawcy.

Pracownicy muszą wiedzieć, jak korzystać z AI

Jednym z obowiązków przedsiębiorców jest zapewnienie odpowiedniego poziomu kompetencji w zakresie AI (AI literacy). Art. 4 AI Act obowiązuje już od 2 lutego 2025 r. i został zmieniony przez AI Omnibus. Nie oznacza to konieczności organizowania specjalistycznych szkoleń dla wszystkich pracowników. Zakres działań powinien odpowiadać sposobowi wykorzystywania AI w danym przedsiębiorstwie.

Pracownicy korzystający z generatywnej AI powinni wiedzieć przede wszystkim, że:

• odpowiedzi AI mogą zawierać błędy,
• wyniki należy odpowiednio weryfikować,
• nie wszystkie informacje można wprowadzać do zewnętrznych narzędzi,
• należy chronić dane osobowe i tajemnicę przedsiębiorstwa,
• w określonych sytuacjach konieczna jest kontrola człowieka.

Warto również dokumentować szkolenia, instrukcje i inne działania podejmowane w tym zakresie.

Obowiązki dotyczące przejrzystości

Od 2 sierpnia 2026 r. stosowane są m.in. obowiązki wynikające z art. 50 AI Act, dotyczące przejrzystości. Obejmują one określone sytuacje związane z interakcją człowieka z AI oraz treściami wygenerowanymi lub zmanipulowanymi przez AI, w tym niektórymi deepfake'ami.

Przykładowo przedsiębiorstwo wykorzystujące w kampanii reklamowej materiał wygenerowany przez AI powinno sprawdzić, czy w konkretnym przypadku istnieje obowiązek odpowiedniego oznaczenia treści. Nie każde wykorzystanie AI będzie jednak wiązało się z takim samym obowiązkiem. Konieczna jest ocena konkretnego przypadku.

AI w rekrutacji – szczególna ostrożność

Szczególnej uwagi wymaga wykorzystywanie AI w zatrudnieniu. Systemy mogą być stosowane m.in. do:

• analizy CV,
• selekcji kandydatów,
• oceny kandydatów i pracowników,
• rekomendowania osób do zatrudnienia,
• podejmowania decyzji dotyczących awansów.

Przedsiębiorca korzystający z takiego rozwiązania ma określone obowiązki związane m.in. z prawidłowym wykorzystaniem systemu, nadzorem człowieka i monitorowaniem jego działania. Sam fakt zakupu rozwiązania od renomowanego dostawcy nie oznacza więc, że przedsiębiorca jest zwolniony z odpowiedzialności za sposób jego wykorzystania.

AI Act i RODO - dwie regulacje, które trzeba stosować jednocześnie

AI Act nie zastępuje RODO. Jeżeli przedsiębiorstwo wykorzystuje AI do analizy danych klientów, pracowników czy kandydatów, powinno jednocześnie ocenić zgodność takiego działania z przepisami o ochronie danych osobowych.

Urząd Ochrony Danych Osobowych w raporcie opublikowanym w styczniu 2026 r. zwrócił uwagę na rosnące zainteresowanie wykorzystaniem AI. Badanie pokazało również, że część organizacji dopiero testuje lub planuje wdrożenie takich rozwiązań.

Kary za naruszenie AI Act

AI Act przewiduje administracyjne kary pieniężne. Za najpoważniejsze naruszenia, w szczególności związane z zakazanymi praktykami AI, kara może sięgać 35 mln euro albo 7 proc. całkowitego światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego w zależności od tego, która wartość jest wyższa.

W przypadku innych naruszeń przewidziano niższe maksymalne poziomy kar. Przy ustalaniu sankcji znaczenie mają m.in. charakter, waga i czas trwania naruszenia oraz jego umyślny lub nieumyślny charakter.

AI Act nie jest więc jedynie zbiorem zaleceń dotyczących etycznego korzystania ze sztucznej inteligencji. Jest wiążącym aktem prawnym, którego przestrzeganie podlega nadzorowi.

Czy firma jest gotowa na AI Act?

Odpowiedź powinna wynikać z konkretnej analizy, a nie tylko z posiadania polityki AI.

Przedsiębiorca powinien wiedzieć:

• jakie systemy AI wykorzystuje;
• w jakich procesach są stosowane;
• jakie dane trafiają do AI;
• czy któryś z systemów podlega szczególnym wymaganiom;
• kto odpowiada za nadzór nad AI;
• czy pracownicy wiedzą, jak bezpiecznie korzystać z tych narzędzi;
• jak firma reaguje na błędy i incydenty.

Podstawa prawna

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act), Dz.U. UE L, 2024/1689, 12.7.2024.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z dnia 8 lipca 2026 r. w sprawie zmiany rozporządzeń (UE) 2024/1689, (UE) 2018/1139 i (UE) 2023/1230 w odniesieniu do uproszczenia wdrażania zharmonizowanych przepisów dotyczących sztucznej inteligencji (akt zbiorczy prawa cyfrowego dotyczący AI), Dz.U. UE L, 2026/1744, 24.7.2026.

Materiał opracowany przez zespół „Tak Prawnik”.

Właścicielem marki „Tak Prawnik” jest BZ Group Sp. z o.o.