AI Act 2026: jakie obowiązki czekają Twoją firmę?

Czym jest AI Act i kiedy wchodzi w życie

AI Act to pierwsze na świecie kompleksowe rozporządzenie regulujące wykorzystanie sztucznej inteligencji, obowiązujące we wszystkich krajach Unii Europejskiej, w tym w Polsce. W przeciwieństwie do RODO, które koncentruje się na danych osobowych, AI Act reguluje same systemy AI - sposób ich projektowania, wdrażania i nadzorowania nad nimi.

Przepisy wchodzą w życie stopniowo. Od lutego 2025 roku obowiązuje zakaz praktyk uznanych za niedopuszczalne, takich jak masowa inwigilacja biometryczna czy manipulacyjne techniki wpływające na decyzje ludzi. Od sierpnia 2025 roku dostawcy modeli ogólnego przeznaczenia (tzw. GPAI, jak duże modele językowe) musieli spełnić dodatkowe wymogi transparentności. Najważniejszy dla większości firm jest jednak sierpień 2026 roku - wtedy w pełni zaczynają obowiązywać wymogi dla systemów wysokiego ryzyka, z którymi styka się na co dzień coraz więcej przedsiębiorstw.

Klasyfikacja ryzyka - które systemy AI dotyczą małej firmy

AI Act dzieli systemy sztucznej inteligencji na cztery kategorie ryzyka, a od tej klasyfikacji zależy skala obowiązków. Większość narzędzi używanych w małych firmach - jak asystenci pisania czy proste chatboty - trafia do kategorii ryzyka minimalnego lub ograniczonego. Problem pojawia się tam, gdzie AI wpływa na istotne decyzje dotyczące ludzi, na przykład w rekrutacji, ocenie zdolności kredytowej czy monitoringu pracowników.

Jeśli firma korzysta z narzędzia do automatycznej selekcji CV, systemu scoringowego oceniającego klientów albo oprogramowania analizującego wydajność pracowników, może nieświadomie używać systemu wysokiego ryzyka. Warto to zweryfikować, zanim regulator zrobi to za nas.

Obowiązki dostawcy a obowiązki użytkownika systemu AI

AI Act rozróżnia dostawców systemów AI (firmy tworzące i sprzedające narzędzia) od tzw. deployerów, czyli podmiotów, które te narzędzia wdrażają i wykorzystują w swojej działalności. Zdecydowana większość polskich MŚP jest właśnie deployerami - korzysta z gotowych rozwiązań, takich jak Microsoft Copilot, narzędzia HR-owe czy platformy do obsługi klienta wspierane przez AI.

Dla deployera systemu wysokiego ryzyka obowiązki obejmują między innymi zapewnienie ludzkiego nadzoru nad działaniem systemu, monitorowanie jego pracy i reagowanie na nieprawidłowości, dbałość o jakość danych wejściowych oraz informowanie osób, których dotyczą decyzje wspierane przez AI. To podobne podejście do tego, jakie firmy znają już z regulacji NIS2 - odpowiedzialność nie kończy się na wyborze dostawcy, tylko trwa przez cały cykl użytkowania technologii.

Kary za brak zgodności z AI Act

Sankcje przewidziane w AI Act są dotkliwe i skonstruowane podobnie jak w RODO - jako procent globalnego obrotu firmy lub konkretna kwota, w zależności od tego, która wartość jest wyższa. Za stosowanie praktyk zakazanych grozi kara do 35 milionów euro lub 7 procent rocznego światowego obrotu. Za pozostałe naruszenia, w tym niedopełnienie obowiązków wobec systemów wysokiego ryzyka, kary sięgają 15 milionów euro lub 3 procent obrotu.

Dla małej firmy realne ryzyko rzadko dotyczy maksymalnych kwot, ale sam fakt kontroli, konieczność wstrzymania używanego narzędzia AI czy utrata zaufania klientów mogą być kosztowniejsze niż sama kara finansowa.

Jak przygotować firmę na wymogi AI Act

Pierwszym krokiem jest inwentaryzacja - spisanie wszystkich narzędzi AI używanych w firmie, od oczywistych jak chatboty, po mniej oczywiste, wbudowane w systemy HR, marketingowe czy księgowe. Kolejny krok to klasyfikacja ryzyka każdego z nich i sprawdzenie dokumentacji dostarczonej przez producenta oprogramowania.

• Sporządź rejestr narzędzi AI wykorzystywanych w firmie wraz z ich przeznaczeniem
• Sprawdź, czy dostawca informuje o klasyfikacji ryzyka danego systemu
• Wprowadź procedurę ludzkiego nadzoru nad decyzjami wspieranymi przez AI
• Przeszkol pracowników korzystających z narzędzi AI w codziennej pracy
• Zaktualizuj polityki wewnętrzne i klauzule informacyjne dla klientów i kandydatów

Wiele firm myli ryzyko związane z AI Act z ryzykiem operacyjnym, jakie niosą błędy generowane przez modele językowe - a to zagadnienia uzupełniające się, opisane szerzej w artykule o zarządzaniu ryzykiem błędów AI. Jeśli nie masz pewności, jak Twoja firma wypada na tle nowych wymogów, dobrym punktem wyjścia jest audyt IT obejmujący przegląd wykorzystywanych narzędzi AI i ich zgodności z przepisami, podobnie jak firmy podchodzą już do wymogów wynikających z Cyber Resilience Act.