# AI Act a firma: obowiązki, terminy i od czego zacząć

Adres: https://sebastianmusial.pl/blog/ai-act-firma/ · Opublikowano: 2026-11-13

AI Act to unijne przepisy o sztucznej inteligencji. Najwięcej obowiązków mają firmy, które systemy AI tworzą, ale część dotyczy też tych, które z nich korzystają: przy chatbocie, treściach z AI czy rekrutacji. Wyjaśniam, co i od kiedy obowiązuje, z odnośnikami do przepisów.

**W skrócie**

- AI Act dzieli obowiązki według roli i ryzyka: najwięcej ma dostawca, czyli firma, która tworzy system AI, mniej podmiot stosujący, czyli firma, która z AI korzysta w pracy.
- Firmę korzystającą z AI dotyczą zakazy niektórych praktyk i dbanie o kompetencje zespołu (od 2 lutego 2025 roku) oraz przejrzystość: informowanie o rozmowie z AI i ujawnianie deepfake’ów (od 2 sierpnia 2026 roku).
- AI do wyboru kandydatów i oceny pracowników to obszar wysokiego ryzyka; po zmianie z 2026 roku obowiązki dla takich systemów obowiązują od 2 grudnia 2027 roku.

**Definicja.** AI Act to unijne rozporządzenie 2024/1689 o sztucznej inteligencji, które obowiązuje bezpośrednio we wszystkich krajach UE. Dzieli zastosowania AI według ryzyka: niektóre praktyki zakazuje, przy zastosowaniach wysokiego ryzyka, np. w rekrutacji, stawia wymagania, przy chatbotach i treściach generowanych wymaga przejrzystości, a większość zwykłych narzędzi zostawia bez nowych obowiązków.

## Czy AI Act dotyczy firmy, która tylko korzysta z AI?

Tak, ale w mniejszym stopniu niż firm, które AI tworzą. [AI Act](https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX:02024R1689-20260727), czyli unijne rozporządzenie o sztucznej inteligencji, obowiązuje bezpośrednio w całej UE i rozdziela obowiązki według roli (art. 3):

- **Dostawca**: Firma, która tworzy system AI albo zleca jego zbudowanie i udostępnia go pod własną nazwą, np. twórca ChatGPT czy producent programu do rekrutacji. Ma najwięcej obowiązków.
- **Podmiot stosujący**: Firma, która korzysta z AI w pracy: pisze oferty w ChatGPT albo ma chatbota od zewnętrznej firmy. Prywatne użycie się nie liczy.

Granica bywa cienka. Gdy zlecasz zbudowanie chatbota i uruchamiasz go pod nazwą swojej firmy, według definicji możesz być jego dostawcą. Obowiązki dostawcy przejmuje też firma, która podpisuje się pod cudzym systemem wysokiego ryzyka albo zmienia przeznaczenie narzędzia tak, że staje się takim systemem (art. 25).

## Jak AI Act dzieli zastosowania AI?

Według ryzyka. [Komisja Europejska](https://digital-strategy.ec.europa.eu/pl/policies/regulatory-framework-ai) opisuje cztery poziomy:

- **Zakazane praktyki (art. 5).** M.in. szkodliwa manipulacja, wykorzystywanie słabości, np. wieku, ocenianie ludzi za zachowanie społeczne (tzw. scoring społeczny) i rozpoznawanie emocji w pracy i w szkołach, poza celami medycznymi i bezpieczeństwa.
- **Wysokie ryzyko (art. 6 i załącznik III).** AI, która wpływa na ważne sprawy ludzi, np. rekrutacja, ocena pracowników, ocena zdolności kredytowej. Tu są największe wymagania.
- **Przejrzystość (art. 50).** Chatboty i treści generowane przez AI: ludzie powinni wiedzieć, że rozmawiają z AI albo oglądają treść z AI.
- **Minimalne ryzyko.** Większość narzędzi, np. filtry spamu czy AI w grach. AI Act nie dodaje tu obowiązków poza dbaniem o kompetencje zespołu.

Liczy się to, do czego AI służy, a nie nazwa aplikacji. Szkic maila z ChatGPT to minimalne ryzyko; narzędzie, które ocenia i odsiewa kandydatów do pracy, to obszar wysokiego ryzyka.

## Od kiedy obowiązują przepisy AI Act?

Etapami (art. 113). Część terminów zmieniło [rozporządzenie (UE) 2026/1744](https://eur-lex.europa.eu/eli/reg/2026/1744/oj/pol), tzw. akt zbiorczy prawa cyfrowego dotyczący AI (ang. *Digital Omnibus on AI*), obowiązujące od 27 lipca 2026 roku. Daty ważne dla firmy korzystającej z AI:

- **2 lutego 2025:** zakazane praktyki i obowiązek dbania o kompetencje w zakresie AI.
- **2 sierpnia 2026:** obowiązki przejrzystości, m.in. informowanie, że rozmówca rozmawia z AI.
- **2 grudnia 2026:** nowy zakaz generowania materiałów seksualnych z udziałem rozpoznawalnych osób bez ich zgody; do tego dnia dostawcy narzędzi sprzed 2 sierpnia 2026 mają czas na oznaczanie generowanych treści (art. 111 ust. 4).
- **2 grudnia 2027:** obowiązki dla systemów wysokiego ryzyka z załącznika III, np. AI w rekrutacji. Pierwotnie był to 2 sierpnia 2026.

*Ilustracja: Po zmianie z lipca 2026 roku informowanie o rozmowie z AI obowiązuje bez przesunięcia, a obowiązki przy AI w rekrutacji 16 miesięcy później, niż zakładał pierwotny tekst.*

## Co AI Act wymaga przy chatbocie i treściach z AI?

Przejrzystości: ludzie mają wiedzieć, że rozmawiają z AI albo że materiał jest sztucznie wygenerowany (art. 50). Informacja ma być jasna i podana najpóźniej przy pierwszym kontakcie.

- **Chatbot:** ma informować rozmówcę, że to AI, chyba że jest to oczywiste. Formalnie to obowiązek dostawcy, ale gdy chatbot działa pod nazwą Twojej firmy, najprościej napisać to w oknie czatu. Wdrożenie opisuję w artykule [Chatbot AI na stronie firmy](https://sebastianmusial.pl/blog/chatbot-ai-na-stronie/).
- **Deepfake**, czyli wygenerowany albo przerobiony przez AI obraz, nagranie lub film, który przypomina prawdziwe osoby, miejsca czy zdarzenia i może uchodzić za autentyczny: firma, która go publikuje, ujawnia, że jest sztuczny. Przy satyrze czy sztuce wystarczy dyskretna informacja.
- **Teksty o sprawach publicznych:** tekst wygenerowany przez AI i publikowany, żeby informować o sprawach interesu publicznego, też trzeba oznaczyć. Wyjątek: przeszedł ludzką redakcję i ktoś odpowiada za publikację.
- **Znaki w plikach:** oznaczanie treści w formacie czytelnym dla programów to zadanie dostawców narzędzi, np. generatorów obrazów.

## Czy AI w rekrutacji to system wysokiego ryzyka?

Tak. Załącznik III (pkt 4) wymienia AI do rekrutacji, np. filtrowania CV i oceny kandydatów, oraz do decyzji o awansie, zwolnieniu i ocenie pracowników. Wyjątkiem może być narzędzie do wąskiego zadania pomocniczego, które nie wpływa istotnie na decyzję, ale system profilujący ludzi, czyli oceniający ich cechy na podstawie danych, zawsze jest wysokiego ryzyka (art. 6 ust. 3).

Firma, która korzysta z takiego systemu, ma m.in. (art. 26):

- używać go zgodnie z instrukcją dostawcy i monitorować jego działanie,
- powierzyć nadzór osobie z odpowiednimi kompetencjami i uprawnieniami,
- przechowywać automatyczne rejestry zdarzeń co najmniej sześć miesięcy, jeśli ma je pod kontrolą,
- uprzedzić pracowników przed wdrożeniem i informować osoby, o których system pomaga decydować.

Te obowiązki obowiązują od 2 grudnia 2027 roku; dla systemów wprowadzonych na rynek wcześniej są przepisy przejściowe (art. 111). Niezależnie od AI Act [RODO](https://eur-lex.europa.eu/eli/reg/2016/679/oj) już dziś daje ludziom prawo, by nie podlegać decyzji opartej wyłącznie na automatycznym przetwarzaniu, która istotnie na nich wpływa (art. 22).

## Co oznacza obowiązek kompetencji w zakresie AI?

To dbanie o to, żeby osoby korzystające w firmie z AI rozumiały, jak jej używać i jakie ma ograniczenia (art. 4). Dotyczy każdej firmy, która używa AI w pracy, niezależnie od poziomu ryzyka.

Od 2 lutego 2025 roku przepis wymagał zapewnienia „w możliwie największym stopniu” odpowiedniego poziomu kompetencji. Po zmianie z lipca 2026 roku firma ma podejmować środki, które wspierają ich rozwój, i nie musi gwarantować określonego poziomu u każdej osoby. W praktyce może to być krótkie szkolenie, spisane zasady i osoba, którą można zapytać; przykład zasad jest w artykule [Dane firmy w ChatGPT](https://sebastianmusial.pl/blog/dane-firmy-w-chatgpt/).

## Jakie kary przewiduje AI Act?

Kary ustalają państwa członkowskie, a AI Act wyznacza ich górne granice (art. 99). Za zakazane praktyki to do 35 mln euro albo 7% rocznego światowego obrotu, za naruszenie m.in. obowiązków przejrzystości do 15 mln euro albo 3%. Co do zasady liczy się wyższa z tych kwot, a w przypadku MŚP, czyli mikro, małych i średnich przedsiębiorstw, niższa.

W Polsce przestrzegania AI Act pilnuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji ([ustawa z 3 lipca 2026 roku o systemach sztucznej inteligencji](https://isap.sejm.gov.pl/isap.nsf/DocDetails.xsp?id=WDU20260001003), art. 5).

## Od czego zacząć w firmie?

Od spisania, gdzie i do czego używasz AI. Reszta wynika z tej listy.

1. **Lista narzędzi:** ChatGPT, chatbot na stronie, funkcje AI w CRM czy programie do rekrutacji; przy każdym: do czego służy i kto z niego korzysta. Taką mapę robi się też w [audycie AI](https://sebastianmusial.pl/blog/audyt-ai/).
2. **Poziom ryzyka:** sprawdź, czy zastosowanie nie dotyka zakazanych praktyk, czy pomaga decydować o ludziach i czy rozmawia z klientami albo tworzy treści.
3. **Informacja o AI:** w oknie czatu i przy każdej rozmowie z AI, od pierwszej wiadomości.
4. **Oznaczanie treści:** realistyczne obrazy, nagrania i filmy z AI publikuj z informacją, że są wygenerowane.
5. **Człowiek przy decyzjach o ludziach:** AI może pomagać przy rekrutacji, ale wynik sprawdza i decyzję podejmuje człowiek.
6. **Umowy z dostawcami:** przeznaczenie narzędzia, instrukcja, miejsce przetwarzania danych; przy danych osobowych także umowa powierzenia.
7. **Kompetencje:** krótkie szkolenie i spisane zasady dla każdego, kto korzysta z AI.

Ten artykuł opisuje przepisy w brzmieniu po zmianie z lipca 2026 roku i nie jest poradą prawną. Przy systemach wysokiego ryzyka i nietypowych zastosowaniach zapytaj prawnika.

## O co zapytać dostawcę AI

- Do czego Twoje narzędzie jest przeznaczone i czy według AI Act jest systemem wysokiego ryzyka?
- Jak chatbot informuje rozmówców, że rozmawiają z AI?
- Czy generowane obrazy, nagrania i filmy są oznaczane jako sztuczne?
- Jaką instrukcję dostanę i jak ma wyglądać nadzór człowieka nad wynikami?
- Gdzie przetwarzane są dane i czy podpiszesz umowę powierzenia przetwarzania danych?

## Najczęstsze pytania

**Czy korzystanie z ChatGPT w firmie jest zgodne z AI Act?**
Tak, AI Act nie zakazuje korzystania z asystentów AI. Firma ma dbać o kompetencje osób, które z nich korzystają, ujawniać deepfake’i, jeśli je publikuje, i nie używać AI do zakazanych praktyk. Osobną sprawą są dane osobowe, które podlegają RODO.

**Czy muszę oznaczać teksty napisane z pomocą AI?**
AI Act wymaga tego przy tekstach publikowanych, żeby informować o sprawach interesu publicznego, i tylko wtedy, gdy nie przeszły ludzkiej redakcji, za którą ktoś odpowiada (art. 50 ust. 4). Tekst, który ktoś w firmie sprawdza i publikuje pod jej nazwą, ma taką redakcję. Ujawnienia wymagają za to deepfake’i, czyli realistyczne obrazy, nagrania i filmy.

**Czy AI Act dotyczy jednoosobowej działalności?**
Tak, jeśli AI jest używana zawodowo: definicja podmiotu stosującego obejmuje także osoby fizyczne, a wyłącza tylko prywatne, pozazawodowe użycie. Zakres obowiązków zależy od tego, do czego AI służy, a nie od wielkości firmy. Wielkość ma znaczenie m.in. przy karach, które dla MŚP są niższe.

---

Zaktualizowano: 2026-11-13. Sebastian Musiał, kontakt@sebastianmusial.pl, rozmowa 30 min: https://calendly.com/sebastianmusial/30min. Wycena po rozmowie, bez cennika na stronie.
Spis wszystkich stron: https://sebastianmusial.pl/llms.txt · Cała treść w jednym pliku: https://sebastianmusial.pl/llms-full.txt