AI Act po 2 sierpnia 2026 r. — co musi zrobić firma korzystająca z AI?

Czy każda firma korzystająca z AI podlega takim samym obowiązkom?

Nie. AI Act rozróżnia między innymi dostawcę systemu, podmiot stosujący, importerem i dystrybutorem. Firma kupująca gotowe narzędzie do własnych procesów będzie zwykle podmiotem stosującym. Może jednak stać się dostawcą, jeżeli wprowadza system na rynek pod własną nazwą, dokonuje istotnej modyfikacji albo zmienia jego przeznaczenie w sposób istotny dla kwalifikacji.

Oceny nie dokonuje się dla całej organizacji jednym zdaniem. Ta sama firma może być podmiotem stosującym w odniesieniu do asystenta biurowego, a dostawcą wobec modułu AI wbudowanego we własny produkt. Również ten sam model może służyć do zastosowania o minimalnym ryzyku, np. porządkowania wewnętrznych notatek, oraz do zastosowania podlegającego dodatkowym obowiązkom, np. komunikacji z klientami albo wspierania decyzji kadrowych.

Co rzeczywiście zaczęło obowiązywać 2 sierpnia 2026 r.?

Najbardziej praktyczna zmiana dla wielu przedsiębiorców dotyczy art. 50 AI Act. Osoba korzystająca z chatbota lub innego systemu zaprojektowanego do bezpośredniej interakcji powinna zostać poinformowana, że komunikuje się z AI, chyba że jest to oczywiste dla rozsądnie poinformowanej i uważnej osoby w danych okolicznościach. Informacja powinna pojawić się najpóźniej przy pierwszej interakcji, a nie dopiero w długim regulaminie.

Podmiot stosujący system generujący albo modyfikujący obraz, dźwięk lub wideo stanowiące deepfake powinien ujawnić, że materiał został wygenerowany lub zmieniony przez AI. Dla utworów ewidentnie artystycznych, satyrycznych lub fikcyjnych sposób oznaczenia może być mniej ingerujący, ale nie znosi to potrzeby ujawnienia sztucznego charakteru ingerencji.

Szczególna zasada dotyczy tekstu generowanego lub zmienionego przez AI i publikowanego w celu informowania opinii publicznej o sprawach interesu publicznego. Co do zasady trzeba ujawnić użycie AI. Wyjątek może mieć zastosowanie, gdy tekst przeszedł proces weryfikacji lub kontroli redakcyjnej, a osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną za publikację. Nie należy rozszerzać tego wyjątku automatycznie na każdy wpis firmowy albo materiał marketingowy.

Czego AI Omnibus nie przesunął?

Rozporządzenie (UE) 2026/1744 nie przesunęło obowiązków przejrzystości z art. 50. Nie odroczyło również zakazów stosowanych od 2 lutego 2025 r., takich jak określone praktyki manipulacyjne, niektóre formy social scoringu czy co do zasady rozpoznawanie emocji w miejscu pracy i instytucjach edukacyjnych. Od 2 grudnia 2026 r. zaczną być stosowane także nowe zakazy dotyczące systemów generujących niekonsensualne treści intymne oraz materiały przedstawiające seksualne wykorzystywanie dzieci.

Nie warto więc przyjmować, że „AI Act został przesunięty”. Przesunięto ważną, ale określoną część harmonogramu. Obowiązki już stosowane mogą dotyczyć również przedsiębiorców, którzy nie tworzą własnych modeli i używają narzędzi dostawców zewnętrznych.

Które obowiązki dla systemów wysokiego ryzyka przesunięto?

Zasadnicze wymagania dla systemów wysokiego ryzyka z załącznika III — obejmujących m.in. określone zastosowania w zatrudnieniu, edukacji, biometrii, infrastrukturze krytycznej oraz dostępie do istotnych usług — będą stosowane od 2 grudnia 2027 r. Dla systemów wysokiego ryzyka związanych z produktami objętymi unijnymi regulacjami wskazanymi w załączniku I termin przypada zasadniczo na 2 sierpnia 2028 r.

To dodatkowy czas na przygotowanie, a nie zwolnienie z analizy. Firma planująca zakup systemu do preselekcji kandydatów, oceny pracowników albo podejmowania decyzji dotyczących dostępu do usług powinna już teraz ustalić przeznaczenie systemu, dokumenty dostawcy, zasady nadzoru człowieka, jakość danych, logowanie zdarzeń oraz podział odpowiedzialności. Wielomiesięczne wdrożenie technologiczne i kontraktowe może być trudne do przeprowadzenia dopiero bezpośrednio przed terminem.

Jak zmienił się obowiązek wspierania kompetencji AI?

Po AI Omnibus dostawcy i podmioty stosujące mają podejmować środki wspierające rozwój kompetencji w zakresie AI osób, które obsługują lub wykorzystują systemy w ich imieniu. Nie muszą zagwarantować, że każda osoba osiągnie jeden, z góry określony poziom wiedzy.

Wymóg prawny dotyczy podjęcia adekwatnych działań. Formę trzeba dobrać do wiedzy zespołu, kontekstu użycia i osób, na które system oddziałuje. Krótkie zasady korzystania z zatwierdzonych narzędzi mogą być wystarczające dla części administracyjnej. Zespół HR używający AI do analizy aplikacji potrzebuje jednak bardziej szczegółowej instrukcji, mechanizmu kontroli wyniku i świadomości ryzyka dyskryminacji. Certyfikat z ogólnego szkolenia nie tworzy automatycznie zgodności.

Od czego zacząć przegląd AI w firmie?

Pierwszym krokiem jest rejestr zastosowań, a nie lista nazw dostawców. Dla każdego przypadku warto zapisać cel, właściciela biznesowego, użytkowników, osoby dotknięte wynikiem, rodzaj danych wejściowych, sposób wykorzystania rezultatu, dostawcę oraz możliwość podjęcia decyzji przez człowieka.

Następnie trzeba przypisać rolę firmy i wstępnie sklasyfikować ryzyko. Szczególnej uwagi wymagają procesy rekrutacyjne i pracownicze, scoring, obsługa świadczeń i usług, biometria, systemy bezpieczeństwa oraz funkcje wbudowane w produkty oferowane klientom.

W trzecim kroku organizacja powinna sprawdzić, czy interfejsy i publikacje wymagają oznaczeń, czy procedury pracownicze wspierają AI literacy oraz czy umowy dają informacje i uprawnienia potrzebne do zgodnego korzystania z systemu. Dopiero na tej podstawie warto zbudować plan wdrożenia na teraz, 2 grudnia 2026 r., 2027 r. i 2028 r.

Jak sprawdzić umowy i przepływy danych?

Umowa z dostawcą AI powinna odpowiadać faktycznej roli obu stron. Trzeba sprawdzić przeznaczenie i ograniczenia systemu, sposób zmiany modelu lub funkcji, bezpieczeństwo, wykorzystywanie danych do uczenia, lokalizację przetwarzania, podwykonawców, zasady obsługi incydentów, dostęp do dokumentacji oraz możliwość zakończenia usługi i eksportu danych.

Jeżeli narzędzie przetwarza dane osobowe w imieniu firmy, potrzebna może być umowa powierzenia zgodna z art. 28 RODO. Gdy dostawca sam wyznacza cele wykorzystania danych, sama nazwa „processor” w umowie nie przesądza prawidłowej kwalifikacji. Oddzielnej oceny wymagają tajemnice przedsiębiorstwa, dane klientów oraz prawa do wyników. Praktyczne kwestie praw, poufności i danych w procesie kreatywnym opisuje także artykuł AI w agencji marketingowej — jak uregulować prawa, poufność i dane klienta?.

Jeżeli AI jest elementem produktu oferowanego klientom, warunki dostawcy trzeba skoordynować z własną umową SaaS z klientem biznesowym. Wykorzystanie AI wobec pracowników lub do analizy ich aktywności wymaga natomiast odrębnego sprawdzenia zasad opisanych w artykule o monitoringu pracowników i służbowej poczty.