AI Act od sierpnia 2026: co powinna sprawdzić firma korzystająca ze sztucznej inteligencji?

AI Act obejmuje różne role i poziomy ryzyka

Zakres obowiązków zależy od tego, czy firma tworzy system, wprowadza go na rynek, integruje z własnym produktem czy korzysta z narzędzia jako podmiot stosujący. Znaczenie ma również przeznaczenie systemu i sposób użycia, a nie wyłącznie technologia wykorzystana przez dostawcę.

Nie każde użycie AI jest systemem wysokiego ryzyka. Część zastosowań podlega obowiązkom przejrzystości, część ogólnym zasadom organizacyjnym, a określone praktyki są zakazane.

1. Zbuduj rejestr zastosowań AI

Inwentaryzacja powinna objąć narzędzia kupione centralnie i używane samodzielnie przez zespoły: generowanie treści, analizę dokumentów, rekrutację, scoring, obsługę klienta, marketing, bezpieczeństwo i funkcje w produktach oferowanych klientom.

Dla każdego zastosowania warto wskazać właściciela biznesowego, dostawcę, dane wejściowe, odbiorców wyniku oraz wpływ na decyzje dotyczące osób.

2. Ustal rolę firmy

Firma korzystająca z gotowego narzędzia zwykle będzie podmiotem stosującym, ale modyfikacja systemu, oznaczenie go własną marką lub włączenie do własnego rozwiązania może wpływać na kwalifikację. Nie należy automatycznie przyjmować roli opisanej w materiałach marketingowych dostawcy.

Role mogą się różnić między projektami, dlatego ocena powinna dotyczyć konkretnego sposobu wykorzystania.

3. Oceń poziom ryzyka i zakazy

Szczególnej uwagi wymagają zastosowania związane z rekrutacją, zarządzaniem pracownikami, dostępem do usług, oceną osób, biometrią i infrastrukturą krytyczną. Trzeba także sprawdzić, czy planowana praktyka nie należy do katalogu zastosowań zakazanych.

Klasyfikacja powinna być udokumentowana i aktualizowana, gdy zmienia się funkcja systemu albo sposób użycia wyniku.

4. Sprawdź obowiązki przejrzystości

Od 2 sierpnia 2026 r. znaczenia nabierają obowiązki informowania w określonych przypadkach o interakcji z AI oraz oznaczania niektórych treści wygenerowanych lub zmanipulowanych. Dotyczy to między innymi określonych chatbotów, deepfake'ów i publikacji dotyczących spraw interesu publicznego.

Komunikat powinien być zrozumiały i pojawiać się we właściwym momencie. Sam zapis ukryty w regulaminie może nie realizować celu przejrzystości.

5. Zapewnij kompetencje osób korzystających z AI

Obowiązek zapewniania odpowiedniego poziomu wiedzy o AI jest stosowany już od 2025 r. Zakres szkolenia powinien odpowiadać roli, doświadczeniu zespołu oraz ryzyku zastosowania.

Innego przygotowania potrzebuje osoba tworząca kampanię marketingową, a innego zespół używający systemu do wspierania decyzji o kandydatach lub klientach.

6. Ustal zasady nadzoru człowieka

Firma powinna określić, kiedy wynik AI jest wyłącznie materiałem pomocniczym, kto może go zatwierdzić i w jakich sytuacjach trzeba go zakwestionować. Nadzór nie powinien być fikcyjny: osoba odpowiedzialna musi mieć wiedzę, czas i uprawnienie do zmiany decyzji.

7. Przejrzyj dane, prywatność i prawa autorskie

AI Act nie zastępuje RODO, zasad poufności ani prawa autorskiego. Przed wprowadzeniem danych do zewnętrznego narzędzia trzeba ustalić, czy firma ma odpowiednią podstawę, czy dostawca wykorzystuje dane do trenowania i gdzie odbywa się przetwarzanie.

Należy także ocenić możliwość korzystania z wygenerowanych rezultatów, ryzyko naruszenia praw osób trzecich oraz zasady oznaczania i weryfikacji treści.

8. Sprawdź umowy z dostawcami

Umowa powinna zapewniać informacje potrzebne do zgodnego używania systemu, określać dostępność, bezpieczeństwo, odpowiedzialność, korzystanie z danych, podwykonawców i zasady zakończenia usługi. Warto także ustalić, jak dostawca będzie informował o zmianach modelu i funkcji.

Jeżeli system jest elementem produktu oferowanego klientom, firma potrzebuje również odpowiednich praw, dokumentacji i możliwości reagowania na incydenty.

9. Zbuduj prosty model zarządzania AI

Nie każda organizacja potrzebuje rozbudowanego komitetu. Potrzebuje jednak właściciela procesu, zasad dopuszczania nowych narzędzi, kryteriów oceny ryzyka, rejestru decyzji i ścieżki zgłaszania problemów.

Model powinien łączyć prawo, bezpieczeństwo, technologię, HR i biznes. Pozwala to uniknąć sytuacji, w której każde zastosowanie jest oceniane osobno i według innych standardów.

Co zrobić przed 2 sierpnia 2026 r.

Priorytetem jest inwentaryzacja, wstępna klasyfikacja zastosowań, sprawdzenie zakazów i obowiązków przejrzystości oraz przypisanie odpowiedzialności. Następnie można przejść do umów, procedur, szkoleń i planu uzupełnienia dokumentacji.

Harmonogram stosowania poszczególnych przepisów AI Act jest zróżnicowany, a część regulacji dotyczących systemów wysokiego ryzyka ma odrębne terminy. Plan wdrożenia powinien więc wynikać z konkretnego portfela zastosowań firmy.