Sztuczna inteligencja w ciągu kilku lat przeszła w przedsiębiorstwach drogę od technologicznej ciekawostki do narzędzia wykorzystywanego niemal codziennie. Firmy generują za jej pomocą treści marketingowe, grafiki i opisy produktów, automatyzują obsługę klientów, analizują dokumenty, przygotowują podsumowania spotkań, wspierają rekrutację, tworzą rekomendacje produktowe i wykorzystują modele językowe do pracy na wewnętrznych danych.

W wielu organizacjach rozwój ten następował jednak oddolnie. Najpierw pracownik zakładał konto w popularnym narzędziu AI, później korzystał z niego cały dział, a dopiero na kolejnym etapie firma zaczynała zastanawiać się, jakie dane trafiają do systemu, kto zaakceptował jego wykorzystanie i jakie obowiązki prawne wynikają z takiego procesu.

AI Act zmienia znaczenie tych pytań. Korzystanie ze sztucznej inteligencji przestaje być wyłącznie decyzją technologiczną lub operacyjną. W określonych przypadkach staje się obszarem regulowanym, który wymaga ustalenia roli przedsiębiorcy, oceny sposobu wykorzystania systemu AI, zapewnienia odpowiedniej transparentności, rozwijania kompetencji personelu oraz – w bardziej zaawansowanych przypadkach – przygotowania znacznie szerszego systemu compliance.

Dlatego wsparcie prawne AI Act nie powinno polegać wyłącznie na przygotowaniu jednego regulaminu korzystania ze sztucznej inteligencji. Punktem wyjścia musi być ustalenie, gdzie AI rzeczywiście występuje w organizacji, do czego jest wykorzystywana i jakie konsekwencje wywołuje jej działanie.

Czym jest AI Act?

AI Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, ustanawia wspólne dla Unii Europejskiej zasady dotyczące opracowywania, wprowadzania na rynek oraz wykorzystywania systemów sztucznej inteligencji. 

Regulacja nie wychodzi z założenia, że każda sztuczna inteligencja jest tak samo niebezpieczna. Fundamentem AI Act jest podejście oparte na ryzyku. Im większy potencjalny wpływ konkretnego zastosowania AI na bezpieczeństwo, prawa człowieka lub sytuację konkretnej osoby, tym dalej idą obowiązki regulacyjne. 

To oznacza, że system używany do filtrowania spamu nie będzie oceniany w taki sam sposób jak rozwiązanie podejmujące decyzje w procesie rekrutacji. Podobnie zwykły generator tekstu wykorzystywany przez dział marketingu nie wywołuje automatycznie takich samych obowiązków jak system służący do oceny zdolności kredytowej osoby fizycznej.

Pierwszym błędem popełnianym przez przedsiębiorców jest więc pytanie: „Czy używamy AI?”. Z perspektywy prawnej istotniejsze pytanie brzmi: „Jakiej AI używamy, do czego jej używamy i jaką rolę pełnimy względem tego systemu?”

Czy AI Act dotyczy zwykłej firmy, która tylko korzysta z narzędzi AI?

Tak. AI Act nie jest regulacją skierowaną wyłącznie do producentów modeli językowych, firm technologicznych czy startupów tworzących własne algorytmy.

Rozporządzenie rozróżnia kilka kategorii podmiotów. Dostawcą jest co do zasady podmiot, który rozwija system AI albo zleca jego rozwój i wprowadza go na rynek lub do użytku pod własną nazwą lub znakiem. Z kolei „deployer”, czyli podmiot stosujący system AI, to osoba lub organizacja wykorzystująca system pod swoją kontrolą w ramach działalności innej niż czysto osobista i niezawodowa. Regulacja obejmuje również m.in. importerów i dystrybutorów.

W praktyce oznacza to, że przedsiębiorstwo nie musi tworzyć własnego modelu sztucznej inteligencji, aby AI Act miał dla niego znaczenie.

Sklep internetowy korzystający z chatbota AI może być podmiotem stosującym system. Firma wykorzystująca sztuczną inteligencję w procesie rekrutacji również może podlegać odpowiednim obowiązkom. Tak samo organizacja generująca przy pomocy AI materiały wizualne, automatyzująca kontakt z klientem lub wdrażająca rozwiązania analizujące zachowania użytkowników.

Zakres obowiązków będzie jednak różny. Właśnie dlatego prawnik zajmujący się AI Act nie powinien rozpoczynać analizy od przygotowania gotowego pakietu dokumentów, lecz od ustalenia roli przedsiębiorcy względem poszczególnych narzędzi oraz przypadków ich wykorzystania.

AI Act nie zaczyna się od dokumentacji. Zaczyna się od mapy wykorzystania AI

W wielu firmach zarząd nie posiada pełnej informacji o tym, gdzie wykorzystywana jest sztuczna inteligencja. Marketing używa jednego generatora tekstów, dział graficzny kolejnego narzędzia, sprzedaż automatyzuje transkrypcje spotkań, HR analizuje CV, a pracownicy administracyjni przesyłają dokumenty do publicznie dostępnych modeli językowych.

Każdy z tych procesów może rodzić inne ryzyko.

Dlatego pierwszym elementem prawidłowego wdrożenia powinien być rejestr lub mapa wykorzystywanych systemów AI. Takie podejście jest również wskazywane w aktualnych opracowaniach dotyczących przygotowania organizacji do AI Act - obok polityki korzystania z AI, dokumentowania oceny ryzyka i określenia osób odpowiedzialnych za nadzór.

Rejestr nie powinien kończyć się na nazwie narzędzia. Z punktu widzenia compliance znaczenie ma to, jaki dział go wykorzystuje, do jakiego celu, jakie dane są do niego wprowadzane, jakie wyniki generuje, czy wynik AI podlega kontroli człowieka, czy wpływa na decyzję dotyczącą konkretnej osoby oraz czy klient albo pracownik ma bezpośredni kontakt z systemem.

Dopiero taki obraz pozwala określić, jakie przepisy rzeczywiście znajdują zastosowanie.

Kategorie ryzyka w AI Act – dlaczego sposób wykorzystania AI jest ważniejszy niż nazwa narzędzia?

AI Act opiera się na zróżnicowaniu zastosowań według ryzyka. W uproszczeniu można mówić o praktykach zakazanych, systemach wysokiego ryzyka, systemach podlegających szczególnym obowiązkom transparentności oraz rozwiązaniach, dla których AI Act nie przewiduje równie rozbudowanego reżimu.

Kluczowe jest jednak to, że klasyfikowany jest przede wszystkim przypadek wykorzystania systemu, a nie sama marka technologii. Ten sam model może być wykorzystywany do napisania opisu produktu, analizy dokumentu albo jako element znacznie bardziej zaawansowanego systemu podejmującego decyzje dotyczące ludzi. Regulacyjne znaczenie każdego z tych scenariuszy będzie inne. Podejście oparte na konkretnym przypadku użycia jest jednym z centralnych założeń AI Act.

Praktyki uznane przez rozporządzenie za niedopuszczalne podlegają zakazom. Część tych przepisów jest stosowana już od 2 lutego 2025 r. Dotyczą one między innymi określonych form manipulowania zachowaniem człowieka, wykorzystywania szczególnej podatności określonych osób czy niedozwolonego scoringu społecznego.

Znacznie bardziej rozbudowany system obowiązków przewidziany został dla systemów wysokiego ryzyka. Do tej grupy mogą należeć między innymi określone rozwiązania wykorzystywane przy rekrutacji i zarządzaniu pracownikami, w edukacji, przy ocenie zdolności kredytowej, w niektórych obszarach biometrii, infrastruktury krytycznej czy dostępu do istotnych usług.

Istotna zmiana nastąpiła jednak w 2026 r. W wyniku przyjęcia AI Omnibus termin stosowania najważniejszych obowiązków dotyczących systemów wysokiego ryzyka został przesunięty. Dla systemów klasyfikowanych jako wysokiego ryzyka na podstawie art. 6 ust. 2 i załącznika III zasadnicza data została wyznaczona na 2 grudnia 2027 r., natomiast dla systemów wysokiego ryzyka będących elementami określonych produktów objętych unijnymi przepisami harmonizacyjnymi – na 2 sierpnia 2028 r.

Przesunięcie terminów nie oznacza jednak, że przedsiębiorstwa powinny odłożyć analizę AI do 2027 r. Jeżeli firma już wykorzystuje rozwiązanie w rekrutacji, ocenie pracowników albo innym obszarze potencjalnie wysokiego ryzyka, dzisiejsza decyzja dotycząca wyboru dostawcy, sposobu integracji i przepływu danych może przesądzić o tym, jak kosztowne będzie późniejsze dostosowanie.

Co zmieniło się od 2 sierpnia 2026 r.?

2 sierpnia 2026 r. był istotnym momentem w harmonogramie AI Act. Od tej daty rozpoczęto stosowanie kolejnych części rozporządzenia oraz egzekwowanie nowych obowiązków transparentności.

Dla wielu przedsiębiorstw właśnie transparentność będzie najbardziej widocznym skutkiem nowych regulacji.

Jeżeli system AI został zaprojektowany do bezpośredniej interakcji z człowiekiem, jego dostawca powinien zapewnić rozwiązanie pozwalające poinformować osobę, że kontaktuje się z systemem AI, chyba że jest to oczywiste dla odpowiednio poinformowanego i uważnego odbiorcy w danych okolicznościach. Dotyczy to w praktyce chociażby wielu chatbotów obsługujących klientów.

Szczególne obowiązki dotyczą również treści syntetycznych. Dostawcy systemów generujących sztuczny tekst, obraz, audio lub wideo mają obowiązki dotyczące oznaczenia wyników w formacie maszynowo czytelnym i umożliwiającym wykrycie ich sztucznego pochodzenia. Jednocześnie podmioty stosujące AI mają odrębne obowiązki dotyczące ujawniania wykorzystania AI m.in. w przypadku deepfake'ów oraz określonych treści tekstowych dotyczących spraw leżących w interesie publicznym.

To rozróżnienie jest ważne. Hasło „od 2 sierpnia każdy materiał z AI trzeba oznaczać” byłoby zbyt daleko idącym uproszczeniem. Obowiązek zależy od rodzaju treści, roli przedsiębiorcy i konkretnego sposobu jej wykorzystania.

Zdjęcia produktów, grafiki i deepfake - czy każdy materiał przygotowany z AI trzeba oznaczyć?

To pytanie ma szczególne znaczenie dla e-commerce, ponieważ generatywna sztuczna inteligencja jest już powszechnie wykorzystywana przy tworzeniu tła zdjęć, aranżacji produktowych, wizualizacji wariantów produktów czy materiałów reklamowych.

AI Act definiuje deepfake jako wygenerowany lub zmanipulowany przy użyciu AI obraz, materiał audio lub wideo, który przypomina istniejące osoby, obiekty, miejsca, podmioty lub wydarzenia i może fałszywie sprawiać wrażenie autentycznego lub prawdziwego. Jeżeli materiał spełnia tę definicję, podmiot stosujący system ma obowiązek ujawnić, że treść została sztucznie wygenerowana lub zmanipulowana.

Nie oznacza to jednak, że każdy retusz wykonany z wykorzystaniem AI automatycznie staje się deepfake'iem. Sam AI Act przewiduje przy obowiązku technicznego oznaczania treści wyjątek dotyczący systemów pełniących funkcję pomocniczą przy standardowej edycji lub takich, które nie zmieniają istotnie danych wejściowych albo ich znaczenia.

Dla sklepu internetowego istotna jest więc skala ingerencji. Czym innym jest automatyczna korekta ekspozycji, a czym innym stworzenie wizualizacji produktu w nieistniejącej scenerii w sposób, który może zostać odebrany jako rzeczywiste zdjęcie. Granica powinna być oceniana z uwzględnieniem konkretnego materiału, sposobu jego publikacji i tego, jakie wyobrażenie o produkcie może uzyskać konsument.

W tym miejscu wsparcie prawne AI Act powinno być połączone także z analizą prawa konsumenckiego i zasad dotyczących rzetelnego przedstawiania produktu. Nawet wtedy, gdy dany materiał nie spełni technicznej definicji deepfake'u, sposób wykorzystania AI nadal nie może prowadzić do wprowadzenia konsumenta w błąd co do właściwości oferowanego towaru.

AI w obsłudze klienta - chatbot to nie tylko kwestia technologiczna

Drugim obszarem, w którym przedsiębiorcy stosunkowo szybko spotkają się z AI Act, jest obsługa klienta.

Jeżeli klient rozpoczyna rozmowę z systemem, który wygląda i odpowiada jak człowiek, powinien wiedzieć, że po drugiej stronie znajduje się sztuczna inteligencja, jeżeli fakt ten nie jest oczywisty z okoliczności. Informacja powinna być przekazana jasno i najpóźniej przy pierwszej interakcji lub ekspozycji na system.

Na tym obowiązki firmy się jednak nie kończą.

Chatbot często otrzymuje od klienta informacje dotyczące zamówienia, adresu e-mail, reklamacji, płatności, problemu z produktem albo innych danych pozwalających zidentyfikować konkretną osobę. W takim przypadku projekt nie może być analizowany wyłącznie pod kątem AI Act. Konieczne staje się również sprawdzenie zasad przetwarzania danych osobowych, relacji z dostawcą technologii, zakresu przekazywanych informacji, okresów przechowywania i bezpieczeństwa.

Dlatego dobry prawnik AI Act powinien analizować system nie jako odizolowane narzędzie, ale jako element całego procesu. Polityka prywatności może wymagać aktualizacji, ale sama aktualizacja dokumentu nie wystarczy, jeżeli wewnętrzny sposób korzystania z narzędzia pozostaje nieuporządkowany.

AI Act i RODO - dlaczego zgodność z jednym rozporządzeniem nie oznacza zgodności z drugim?

AI Act nie zastępuje RODO.

To jedna z najważniejszych zasad przy wdrażaniu narzędzi AI w przedsiębiorstwie. System może być poprawnie sklasyfikowany na gruncie AI Act, a jednocześnie sposób zasilania go danymi może naruszać przepisy o ochronie danych osobowych. Analogicznie zgodność procesu z RODO nie przesądza o wykonaniu obowiązków wynikających z AI Act.

Problem jest szczególnie widoczny przy publicznie dostępnych modelach generatywnych. Pracownik może wkleić do narzędzia listę klientów, fragment korespondencji, umowę, CV kandydata albo dane z reklamacji, nie zastanawiając się wcześniej, czy organizacja zaakceptowała takie przetwarzanie i jakie zasady wynikają z umowy z dostawcą rozwiązania.

Z perspektywy firmy potrzebna jest więc wspólna analiza przynajmniej trzech warstw: AI Act, ochrony danych oraz warunków kontraktowych korzystania z konkretnego systemu. W zależności od zastosowania dochodzić mogą również regulacje prawa pracy, prawa konsumenckiego, tajemnicy przedsiębiorstwa czy prawa autorskiego. Deloitte również zwraca uwagę, że AI Act należy analizować jako część szerszego unijnego krajobrazu regulacji cyfrowych, a nie jako zamknięty, samodzielny akt prawny.

Kompetencje pracowników w zakresie AI – obowiązek, który już istnieje

Jednym z mniej spektakularnych, ale bardzo praktycznych elementów AI Act są obowiązki dotyczące kompetencji w zakresie sztucznej inteligencji.

Artykuł 4 rozporządzenia wymaga od dostawców i podmiotów stosujących systemy AI podejmowania działań wspierających rozwój kompetencji personelu oraz innych osób zajmujących się obsługą i wykorzystywaniem systemów AI w ich imieniu. Zakres takich działań powinien uwzględniać wiedzę techniczną, doświadczenie, wykształcenie, kontekst wykorzystania technologii oraz osoby, na które system może oddziaływać.

W praktyce nie chodzi więc o przeprowadzenie jednego identycznego szkolenia dla wszystkich pracowników.

Innego poziomu wiedzy potrzebuje osoba używająca generatora tekstu do przygotowania roboczej wersji posta, innego pracownik HR wykorzystujący AI w procesie rekrutacyjnym, a jeszcze innego osoba odpowiedzialna za wdrażanie systemu obsługującego klientów.

Dobrze przygotowany program AI literacy powinien wynikać z rzeczywistej mapy wykorzystania AI. Dzięki temu szkolenia nie stają się teoretycznym obowiązkiem, lecz częścią systemu ograniczającego ryzyko operacyjne.

Polityka AI w firmie – dokument czy realny system działania?

Wraz ze wzrostem zainteresowania AI Act wiele firm zaczęło tworzyć wewnętrzne „polityki AI”. Sam dokument może być dobrym punktem wyjścia, ale jego wartość zależy od tego, czy opisuje proces rzeczywiście funkcjonujący w organizacji.

Polityka powinna odpowiadać na praktyczne pytania. Czy pracownik może samodzielnie założyć konto w narzędziu AI? Jakich danych nie wolno wprowadzać do publicznych modeli? Kto zatwierdza nowe narzędzie? Czy efekty AI muszą być weryfikowane przez człowieka? Jak postępujemy z materiałami generowanymi dla klientów? Kiedy trzeba konsultować zastosowanie z osobą odpowiedzialną za compliance lub ochronę danych?

Bez takich zasad firma może posiadać formalny dokument, a równocześnie nie mieć żadnej kontroli nad faktycznym wykorzystaniem AI.

Dlatego wsparcie prawne AI Act powinno obejmować nie tylko przygotowanie polityki, lecz również jej powiązanie z rejestrem narzędzi, procesem zatwierdzania nowych rozwiązań, zasadami zakupowymi, bezpieczeństwem informacji oraz szkoleniami pracowników. W aktualnych opracowaniach dotyczących AI Act właśnie zarządzanie AI jako częścią szerszego systemu compliance wskazywane jest jako praktyczny kierunek przygotowania organizacji.

AI w rekrutacji i zarządzaniu pracownikami – obszar wymagający szczególnej uwagi

Jednym z przykładów, które dobrze pokazują logikę AI Act, jest rekrutacja.

Załącznik III rozporządzenia obejmuje określone systemy AI przeznaczone do rekrutacji lub selekcji osób fizycznych, w tym rozwiązania służące do analizowania i filtrowania aplikacji czy oceny kandydatów. W katalogu znajdują się również określone systemy wykorzystywane do podejmowania decyzji dotyczących warunków zatrudnienia, awansów, zakończenia współpracy, przydzielania zadań oraz monitorowania i oceny pracowników.

Nie oznacza to, że każda pomoc ChatGPT przy napisaniu ogłoszenia rekrutacyjnego automatycznie tworzy system wysokiego ryzyka. Znaczenie ma rzeczywista funkcja systemu i wpływ jego działania na człowieka.

Jeżeli jednak AI zaczyna selekcjonować kandydatów, nadawać im scoring albo rekomendować, z kim przedsiębiorca powinien kontynuować proces, sytuacja prawna jest już zupełnie inna.

Choć najważniejsze obowiązki dotyczące tej kategorii wysokiego ryzyka zostały przesunięte do 2 grudnia 2027 r., przedsiębiorca planujący obecnie zakup takiego systemu powinien brać przyszłe wymogi pod uwagę już przy wyborze dostawcy i negocjowaniu umowy.

Umowy z dostawcami AI – compliance zaczyna się przed zakupem

Jednym z częściej pomijanych elementów wdrożenia sztucznej inteligencji są warunki kontraktowe.

Firmy często analizują funkcjonalność narzędzia i jego cenę, ale dopiero po rozpoczęciu korzystania sprawdzają, gdzie przechowywane są dane, czy dostawca wykorzystuje wprowadzane informacje do dalszego trenowania modelu, jak wygląda odpowiedzialność za dostępność systemu oraz jakie prawa przedsiębiorca ma do wygenerowanych treści.

W przypadku istotnych procesów biznesowych takie podejście jest ryzykowne.

Analiza prawna narzędzia powinna odbywać się przed jego wdrożeniem. Im bardziej system wpływa na klientów, pracowników lub kluczowe decyzje przedsiębiorstwa, tym większe znaczenie mają zapisy dotyczące danych, bezpieczeństwa, dokumentacji technicznej, zmian funkcjonalności systemu, odpowiedzialności stron i dostępu do informacji potrzebnych później do wykazania zgodności.

To również miejsce, w którym prawnik AI Act może mieć znaczenie jeszcze przed powstaniem jakiegokolwiek obowiązku raportowego. Źle skonstruowana relacja z dostawcą może bowiem sprawić, że przedsiębiorstwo nie będzie dysponowało informacjami potrzebnymi do prawidłowej oceny systemu lub zarządzania jego ryzykiem.

Co firma powinna zrobić, aby przygotować się do AI Act?

Przygotowanie organizacji można uporządkować w trzy następujące po sobie etapy:

1. Zidentyfikować AI i ustalić role. Firma powinna zinwentaryzować używane systemy, ich dostawców, użytkowników, rodzaje przetwarzanych danych i cele wykorzystania, a następnie określić swoją rolę na gruncie AI Act.

2. Ocenić ryzyko i obowiązki. Każdy istotny przypadek wykorzystania powinien zostać sklasyfikowany pod kątem praktyk zakazanych, potencjalnego wysokiego ryzyka, wymogów transparentności, RODO, praw konsumentów, prawa pracy, własności intelektualnej oraz bezpieczeństwa informacji.

3. Wdrożyć rozwiązania operacyjne. Ostatni etap to przygotowanie potrzebnych komunikatów, procedur, zasad wewnętrznych i umów, rozwój kompetencji pracowników, określenie odpowiedzialności oraz stworzenie mechanizmu regularnego przeglądu wykorzystywanych systemów.

Najważniejsze jest zachowanie tej kolejności. Firma, która zacznie od napisania polityki AI bez ustalenia, w jaki sposób technologia jest faktycznie używana, może przygotować dokument kompletnie oderwany od rzeczywistości.

Jak wygląda audyt zgodności z AI Act?

Audyt AI Act nie powinien być ograniczony do pytania, czy firma korzysta z ChatGPT.

Prawidłowa analiza obejmuje cały cykl wykorzystania sztucznej inteligencji: od wyboru i zakupu technologii, przez dane wprowadzane do systemu, sposób działania oraz nadzór człowieka, aż po wynik generowany przez AI i jego wpływ na klienta, pracownika lub inną osobę.

Przykładowo dział marketingu może generować grafikę produktu. Trzeba wtedy ocenić charakter ingerencji AI i sposób wykorzystania treści. Dział obsługi klienta może używać chatbota – wtedy dochodzi problem transparentności i przepływu danych. HR może wykorzystywać narzędzie do analizy kandydatów – tu może pojawić się kwalifikacja wysokiego ryzyka. Zarząd może natomiast używać modelu do analizy dokumentów zawierających tajemnice przedsiębiorstwa.

Jedno przedsiębiorstwo może więc jednocześnie posiadać kilka systemów należących do zupełnie różnych kategorii regulacyjnych.

To właśnie dlatego wsparcie prawne AI Act musi być procesem, a nie pojedynczym dokumentem.

Kary za naruszenie AI Act

AI Act przewiduje wysokie maksymalne poziomy administracyjnych kar pieniężnych.

Za naruszenie zakazanych praktyk z art. 5 kara może wynieść do 35 mln euro albo – w przypadku przedsiębiorstwa – do 7% całkowitego rocznego światowego obrotu z poprzedniego roku finansowego, w zależności od tego, która wartość znajduje zastosowanie zgodnie z zasadami rozporządzenia. Za naruszenie szeregu innych obowiązków, w tym obowiązków transparentności z art. 50, przewidziano maksymalnie 15 mln euro albo 3% obrotu. Za przekazanie właściwym organom określonych nieprawidłowych, niepełnych lub wprowadzających w błąd informacji maksymalny próg wynosi 7,5 mln euro albo 1% obrotu. W odniesieniu do MŚP rozporządzenie przewiduje zastosowanie niższego z odpowiednich progów kwotowego i procentowego.

Takie wartości nie oznaczają oczywiście, że każde naruszenie skończy się maksymalną karą. Przy ocenie sankcji znaczenie mają okoliczności konkretnej sprawy, a kary mają być skuteczne, proporcjonalne i odstraszające. Nie zmienia to jednak faktu, że skala potencjalnej odpowiedzialności powoduje, iż zarządzanie AI nie powinno być pozostawione wyłącznie nieformalnym decyzjom poszczególnych pracowników.

AI Act w Polsce – kto będzie nadzorował przedsiębiorców?

Sam AI Act jest rozporządzeniem Unii Europejskiej, a więc stosuje się bezpośrednio. Polska potrzebowała jednak krajowych regulacji dotyczących organizacji nadzoru, procedur oraz instytucji odpowiedzialnych za stosowanie przepisów.

Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji weszła w życie 11 sierpnia 2026 r. Ustanawia ona między innymi ramy funkcjonowania polskiego systemu nadzoru oraz Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji – KRiBSI.

KRiBSI ma być niezależnym organem nadzorującym stosowanie przepisów dotyczących AI w Polsce. Ministerstwo Cyfryzacji wskazuje, że Komisja będzie między innymi rozpatrywać zgłoszenia dotyczące nieprawidłowości w działaniu systemów AI, wspierać rozwój piaskownic regulacyjnych oraz wydawać opinie indywidualne. Przewodniczący Komisji ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, a cała Komisja w ciągu trzech miesięcy; według informacji Ministerstwa oznacza to rozpoczęcie jej działalności w listopadzie 2026 r.

Dla przedsiębiorców jest to istotna zmiana. AI Act przestaje funkcjonować wyłącznie jako europejski akt prawny, o którym mówi się w kontekście przyszłych regulacji. Powstaje krajowa infrastruktura jego nadzoru i egzekwowania.

Prawnik od AI Act - kiedy firma rzeczywiście potrzebuje wsparcia?

Nie każda firma korzystająca z prostego narzędzia AI potrzebuje wielomiesięcznego projektu wdrożeniowego. Jednocześnie nie można oceniać skali obowiązków wyłącznie na podstawie wielkości przedsiębiorstwa.

Mały sklep internetowy może korzystać z chatbota, automatycznie generować fotografie produktów i przekazywać dane klientów zewnętrznym narzędziom. Duża organizacja może natomiast wykorzystywać AI jedynie do wewnętrznego przygotowywania roboczych podsumowań dokumentów.

To przypadek wykorzystania, a nie sam obrót przedsiębiorstwa, pokazuje rzeczywistą skalę problemu.

Prawnik AI Act jest szczególnie potrzebny wtedy, gdy przedsiębiorstwo nie potrafi jednoznacznie ustalić swojej roli, wykorzystuje wiele narzędzi w różnych działach, AI wpływa na klientów lub pracowników, do systemów trafiają dane osobowe albo poufne, organizacja tworzy własne rozwiązanie lub wdraża system mogący należeć do kategorii wysokiego ryzyka.

Rolą prawnika nie powinno być jednak blokowanie technologii. Prawidłowo przygotowane wsparcie prawne AI Act powinno pomóc oddzielić zastosowania rzeczywiście wymagające rozbudowanych zabezpieczeń od tych, w których wystarczają prostsze rozwiązania organizacyjne.

Celem jest stworzenie takiego modelu korzystania z AI, który pozwoli firmie rozwijać automatyzację bez budowania ryzyka prawnego, którego nikt wcześniej nie zidentyfikował.

Wsparcie prawne AI Act a e-commerce

W e-commerce problem jest szczególnie wielowymiarowy. Sztuczna inteligencja coraz częściej występuje jednocześnie w marketingu, prezentacji produktów, obsłudze klienta, analizie zachowań użytkowników, rekomendacjach, personalizacji, tworzeniu treści i wewnętrznej pracy zespołu.

Dlatego wdrożenie AI Act w sklepie internetowym nie może ograniczyć się do dopisania jednego akapitu do polityki prywatności.

Trzeba sprawdzić, czy klient wie, kiedy rozmawia z AI, jakie dane przekazuje chatbotowi, jak wykorzystywane są generowane zdjęcia i treści, na jakich zasadach narzędzia AI przetwarzają informacje o użytkownikach i czy automatyzacja wpływa na podejmowanie decyzji wobec konkretnych osób.

Jednocześnie dokumentacja musi odpowiadać rzeczywistemu procesowi. Regulamin, polityka prywatności i komunikat przy chatbocie nie rozwiążą problemu, jeżeli pracownicy nadal przesyłają do publicznych modeli dane klientów bez ustalonych zasad.

W tym obszarze szczególne znaczenie ma więc połączenie prawa, technologii i praktyki operacyjnej – dokładnie tak, jak przy innych regulacjach dotyczących e-commerce.

Najczęstszy błąd: firma analizuje tylko oficjalnie wdrożone systemy

W organizacjach coraz częściej występuje zjawisko określane jako shadow AI. Pracownicy zaczynają korzystać z narzędzi sztucznej inteligencji bez formalnego wdrożenia, często przy użyciu własnych kont albo darmowych wersji usług.

Zarząd może być więc przekonany, że firma „nie używa jeszcze AI”, podczas gdy technologia jest już wykorzystywana do codziennej pracy w kilku działach.

Takie sytuacje są szczególnie problematyczne, ponieważ organizacja nie kontroluje tego, jakie dane trafiają do systemów i na jakich warunkach są one przetwarzane.

Dlatego audyt AI powinien obejmować nie tylko narzędzia kupione przez IT lub wpisane do rejestru oprogramowania. Powinien również sprawdzić rzeczywiste praktyki pracowników.

Dopiero wtedy możliwe jest przygotowanie procedury, która odpowiada rzeczywistości.

Czy firma może po prostu zakazać korzystania z AI?

Technicznie przedsiębiorstwo może ograniczyć korzystanie z określonych narzędzi. W praktyce całkowity zakaz często nie rozwiązuje problemu.

Jeżeli AI realnie zwiększa efektywność pracowników, zbyt szeroki zakaz może doprowadzić do przeniesienia wykorzystania technologii poza oficjalne kanały. Firma traci wtedy widoczność i kontrolę nad procesem.

Bardziej dojrzałym rozwiązaniem jest określenie, jakich narzędzi wolno używać, do jakich celów, z jakimi danymi i przy jakim poziomie kontroli człowieka.

AI governance powinno więc wspierać bezpieczne wykorzystanie technologii, a nie sprowadzać się do zakazów. Właśnie w tym miejscu regulacje prawne, bezpieczeństwo informacji i potrzeby biznesowe powinny zostać połączone w jeden proces.

Czy każda firma powinna mieć politykę AI?

AI Act nie wprowadza jednego uniwersalnego przepisu nakazującego każdemu przedsiębiorcy stworzenie dokumentu zatytułowanego „Polityka AI”.

Nie oznacza to jednak, że wewnętrzne zasady nie są potrzebne.

Jeżeli w organizacji z AI korzysta wiele osób, do systemów trafiają dane klientów lub pracowników albo narzędzia mają znaczenie dla procesów biznesowych, udokumentowane zasady stają się praktycznym sposobem zarządzania ryzykiem i wykazania, że przedsiębiorstwo nie pozostawiło wykorzystania sztucznej inteligencji przypadkowi.

Zakres dokumentacji powinien być proporcjonalny do działalności firmy. Mały sklep korzystający z kilku standardowych narzędzi będzie potrzebował innego rozwiązania niż organizacja budująca własne systemy AI lub stosująca algorytmy w procesach kadrowych.

Czy korzystanie z ChatGPT automatycznie oznacza podleganie AI Act?

Samo korzystanie z popularnego modelu generatywnego w ramach działalności zawodowej oznacza, że przedsiębiorstwo może być podmiotem stosującym system AI w rozumieniu rozporządzenia. Nie wynika z tego jednak automatycznie rozbudowany zestaw obowiązków właściwy systemom wysokiego ryzyka.

Znaczenie ma sposób wykorzystania.

Jeżeli pracownik używa modelu do przygotowania roboczej propozycji tytułu artykułu, sytuacja jest inna niż w przypadku zintegrowania modelu z procesem automatycznie oceniającym kandydatów do pracy.

Dlatego analiza powinna dotyczyć zastosowania, a nie samego faktu posiadania konta w określonej usłudze.

Czy materiały stworzone przez AI zawsze trzeba oznaczać?

Nie.

AI Act przewiduje konkretne obowiązki transparentności, ale ich zakres zależy od rodzaju systemu, treści oraz roli przedsiębiorcy. Obowiązki dostawcy generatywnego systemu dotyczące maszynowo czytelnego oznaczania jego wyników są inne niż obowiązek podmiotu stosującego AI dotyczący ujawniania określonych deepfake'ów. Inne zasady dotyczą także tekstów publikowanych w celu informowania opinii publicznej o sprawach leżących w interesie publicznym.

Dlatego automatyczne oznaczanie wszystkiego komunikatem „stworzono przy pomocy AI” nie wynika wprost z AI Act jako uniwersalna zasada dla każdej treści.

Z drugiej strony brak jakiejkolwiek analizy może prowadzić do pominięcia obowiązku tam, gdzie oznaczenie rzeczywiście jest wymagane.

Czy AI Act ogranicza możliwość korzystania ze sztucznej inteligencji?

Podstawowym założeniem rozporządzenia nie jest zakazanie przedsiębiorcom używania sztucznej inteligencji.

AI Act tworzy system, w którym zakres ograniczeń i obowiązków zależy od ryzyka konkretnego zastosowania. Większość codziennych zastosowań technologii nie jest zakazana. Problem pojawia się wtedy, gdy system wchodzi w obszary uznane za szczególnie wrażliwe albo gdy firma nie wykonuje obowiązków związanych z jego zastosowaniem.

Dlatego compliance powinno odpowiadać na pytanie „jak korzystać z AI zgodnie z prawem?”, a nie „jak przestać korzystać z AI?”.

Wsparcie prawne AI Act - jak może wyglądać współpraca z ecommerce.legal?

Dostosowanie firmy do AI Act powinno odpowiadać jej rzeczywistemu modelowi działania.

W ecommerce.legal analizę zaczynamy od sposobu, w jaki sztuczna inteligencja jest wykorzystywana w organizacji. Sprawdzamy procesy, narzędzia, role przedsiębiorcy, przepływ danych oraz obszary, w których działanie AI może wpływać na klientów, pracowników lub inne osoby.

Na tej podstawie możliwe jest określenie, jakie obowiązki rzeczywiście mają zastosowanie i które elementy wymagają uporządkowania. W zależności od projektu wsparcie prawne AI Act może obejmować audyt wykorzystywanych rozwiązań, klasyfikację systemów, przygotowanie polityk i procedur, analizę transparentności, weryfikację dokumentacji RODO i umów z dostawcami, a także wsparcie przy wdrażaniu nowych systemów.

Takie podejście pozwala uniknąć dwóch skrajności. Pierwszą jest ignorowanie regulacji, ponieważ firma „tylko korzysta z gotowych narzędzi”. Drugą – tworzenie rozbudowanego systemu dokumentacji tam, gdzie charakter zastosowania AI tego nie uzasadnia.

AI Act - podsumowanie

Sztuczna inteligencja jest już częścią zwykłej działalności przedsiębiorstw. Właśnie dlatego AI Act nie jest regulacją dotyczącą wyłącznie firm technologicznych.

Dla większości organizacji pierwszym zadaniem nie powinno być poszukiwanie gotowego wzoru polityki AI, ale uzyskanie wiedzy o tym, gdzie i w jaki sposób sztuczna inteligencja jest faktycznie wykorzystywana. Dopiero na tej podstawie można ustalić role wynikające z rozporządzenia, poziom ryzyka poszczególnych zastosowań, obowiązki transparentności i relację AI Act z RODO, prawem pracy, prawami konsumentów czy własnością intelektualną.

Od 2 sierpnia 2026 r. zastosowanie mają między innymi istotne wymogi transparentności. Jednocześnie po zmianach wprowadzonych przez AI Omnibus najważniejsze obowiązki dotyczące systemów wysokiego ryzyka będą stosowane później – odpowiednio od 2 grudnia 2027 r. oraz 2 sierpnia 2028 r.

Polska ma już również własną ustawę organizującą krajowy system nadzoru nad AI, która weszła w życie 11 sierpnia 2026 r.

To dobry moment, aby firmy przeszły od spontanicznego korzystania ze sztucznej inteligencji do świadomego zarządzania nią. Im wcześniej zostaną uporządkowane procesy, odpowiedzialność i zasady korzystania z AI, tym łatwiej będzie wdrażać kolejne rozwiązania bez konieczności naprawiania całego systemu dopiero wtedy, gdy pojawi się kontrola albo problem z konkretnym zastosowaniem.

Jeżeli Państwa firma korzysta już z narzędzi sztucznej inteligencji albo planuje ich szersze wdrożenie, zespół ecommerce.legal może przeanalizować obecny model wykorzystania AI, określić obowiązki wynikające z AI Act oraz przygotować odpowiednie rozwiązania prawne i organizacyjne.