AI Act w małej firmie: co trzeba zrobić i do kiedy

Wizualizacja

Sprawdź w 2 minuty: test „Czy AI Act dotyczy mojej firmy?” pokaże, które z poniższych obowiązków dotyczą właśnie Ciebie.

AI Act to unijne rozporządzenie (UE) 2024/1689, stosowane bezpośrednio w każdym kraju UE. W lipcu 2026 r. zmieniło je rozporządzenie (UE) 2026/1744, nazywane aktem zbiorczym albo „Omnibusem” dotyczącym AI. Przesunęło część terminów i złagodziło obowiązek szkoleń. W Polsce od 11 sierpnia 2026 r. obowiązuje też ustawa o systemach sztucznej inteligencji, która ustanawia organ nadzoru i procedury. Poniżej to, co z tych przepisów wynika dla małej firmy. To informacja, nie porada prawna.

Czy AI Act dotyczy mojej firmy?

Najpewniej tak, jeśli ktokolwiek w firmie używa AI w pracy. Rozporządzenie rozróżnia dwie role, które w małej firmie spotyka się najczęściej:

• Podmiot stosujący: każdy, kto wykorzystuje system AI, nad którym sprawuje kontrolę, w działalności zawodowej. Firma, która korzysta z ChatGPT, Claude, Copilota albo asystenta AI w sklepie, jest podmiotem stosującym.
• Dostawca: ten, kto rozwija system AI albo zleca jego rozwój i oddaje go do użytku pod własną nazwą lub znakiem towarowym. Firma, która zamawia chatbota albo asystenta telefonicznego i uruchamia go pod swoją marką, zwykle jest w tym zakresie dostawcą.

Rozporządzenie nie obejmuje używania AI w ramach osobistej działalności pozazawodowej.

Terminy: co już obowiązuje, a co dopiero wejdzie

• 2 lutego 2025 r.: przepisy ogólne, w tym kompetencje w zakresie AI (art. 4), i zakazane praktyki (art. 5).
• 2 sierpnia 2025 r.: przepisy o karach i o modelach AI ogólnego przeznaczenia.
• 27 lipca 2026 r.: w mocy jest „Omnibus” (rozporządzenie 2026/1744) z nowym brzmieniem art. 4 i nowymi terminami.
• 2 sierpnia 2026 r.: większość AI Act, w tym obowiązki przejrzystości z art. 50.
• 11 sierpnia 2026 r.: polska ustawa o systemach sztucznej inteligencji. Przepisy o opiniach indywidualnych działają od 28 października 2026 r.
• 2 grudnia 2026 r.: nowe zakazy dotyczące intymnych materiałów generowanych bez zgody i materiałów przedstawiających wykorzystywanie dzieci. Tego dnia mija też termin oznaczania treści generowanych przez systemy wprowadzone na rynek przed 2 sierpnia 2026 r. (obowiązek dostawców).
• 2 grudnia 2027 r.: obowiązki dla systemów wysokiego ryzyka z załącznika III, m.in. w rekrutacji i zarządzaniu pracownikami.
• 2 sierpnia 2028 r.: obowiązki dla systemów wysokiego ryzyka wbudowanych w produkty z załącznika I.

Art. 4: kompetencje w zakresie AI

Po zmianie z lipca 2026 r. dostawcy i podmioty stosujące podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród personelu i innych osób, które w ich imieniu obsługują i wykorzystują systemy AI. Uwzględnia się przy tym wiedzę techniczną, doświadczenie i wykształcenie tych osób oraz kontekst użycia AI. Przepis wprost mówi, że nie chodzi o zapewnienie określonego poziomu kompetencji u każdej osoby. Komisja Europejska i państwa członkowskie mają w tym wspierać zwłaszcza MŚP.

W małej firmie zwykle wystarczą trzy rzeczy: krótkie szkolenie na Waszych zadaniach, spisane zasady korzystania z AI i ślad, że to zrobiliście (lista obecności, data, zakres). Gotowy dokument: wzór polityki korzystania z AI w firmie.

Art. 5: czego nie wolno

Zakazy obowiązują od 2 lutego 2025 r. Te, które mogą dotyczyć zwykłej firmy:

• techniki podprogowe, manipulacyjne albo wprowadzające w błąd, które znacząco zmieniają zachowanie ludzi i mogą wyrządzić poważną szkodę;
• wykorzystywanie słabości osób ze względu na wiek, niepełnosprawność albo trudną sytuację społeczną lub ekonomiczną;
• „scoring społeczny”, czyli ocenianie ludzi na podstawie ich zachowania społecznego lub cech osobistych, który prowadzi do krzywdzącego traktowania;
• rozpoznawanie emocji w miejscu pracy i w szkołach, chyba że ze względów medycznych lub bezpieczeństwa;
• kategoryzacja biometryczna, z której wnioskuje się np. o rasie, poglądach politycznych, przynależności do związków zawodowych, wyznaniu czy orientacji seksualnej;
• tworzenie baz do rozpoznawania twarzy przez masowe pobieranie zdjęć z internetu albo nagrań z kamer;
• od 2 grudnia 2026 r. także generowanie realistycznych intymnych materiałów przedstawiających rozpoznawalną osobę bez jej wyraźnej zgody oraz materiałów przedstawiających wykorzystywanie seksualne dzieci.

Art. 50: AI musi się przedstawić

• Chatbot, asystent telefoniczny, agent piszący do klientów: system AI, który wchodzi w bezpośrednią interakcję z ludźmi, ma być zaprojektowany tak, żeby wiedzieli, że rozmawiają z AI, chyba że jest to oczywiste. To obowiązek dostawcy, więc dotyczy też firmy, która zamówiła asystenta pod swoją nazwą.
• Deepfake: kto publikuje wygenerowane lub zmanipulowane przez AI obrazy, nagrania audio albo wideo, które przypominają istniejące osoby, przedmioty, miejsca lub zdarzenia i mogą zostać wzięte za prawdziwe, ujawnia, że są sztuczne. Przy treściach wyraźnie artystycznych, satyrycznych lub fikcyjnych wystarczy ujawnienie, które nie psuje odbioru utworu.
• Teksty o sprawach publicznych: tekst wygenerowany przez AI i publikowany, żeby informować społeczeństwo o sprawach leżących w interesie publicznym, trzeba oznaczyć, chyba że przeszedł weryfikację człowieka lub kontrolę redakcyjną, a ktoś ponosi za niego odpowiedzialność redakcyjną.
• Rozpoznawanie emocji i kategoryzacja biometryczna (tam, gdzie nie są zakazane): trzeba poinformować osoby, wobec których się je stosuje.

Informacja ma być jasna i wyraźna, przekazana najpóźniej przy pierwszej interakcji i dostępna także dla osób z niepełnosprawnościami. Gotowe zdania na czat, telefon, maile i komunikatory: komunikaty „rozmawiasz z AI”.

AI w rekrutacji i zarządzaniu ludźmi to wysokie ryzyko

Załącznik III AI Act zalicza do systemów wysokiego ryzyka AI używaną do rekrutacji i wyboru kandydatów (ogłoszenia kierowane do wybranych osób, filtrowanie i ocena podań) oraz do decyzji o warunkach pracy, awansie i zwolnieniu, przydzielania zadań na podstawie zachowania lub cech osobowości i do monitorowania pracowników. Firma, która używa takiego systemu, będzie od 2 grudnia 2027 r. m.in.:

• używać go zgodnie z instrukcją dostawcy;
• powierzać nadzór nad nim ludziom z odpowiednimi kompetencjami i uprawnieniami;
• dbać o to, żeby dane wejściowe, nad którymi ma kontrolę, były adekwatne do celu;
• monitorować jego działanie i zgłaszać problemy dostawcy oraz organowi nadzoru;
• jako pracodawca poinformować pracowników i ich przedstawicieli, zanim zacznie go używać w miejscu pracy.

Asystent, który odpowiada klientom o dostawie, raport sprzedaży o 7:00 czy szkic odpowiedzi na zapytanie nie są na tej liście.

Kary

Za stosowanie zakazanych praktyk grozi kara do 35 mln euro albo do 7% rocznego światowego obrotu, a za naruszenie innych obowiązków, w tym przejrzystości z art. 50 i obowiązków podmiotów stosujących systemy wysokiego ryzyka, do 15 mln euro albo do 3% obrotu. Dla dużych firm liczy się wyższa z tych kwot, a dla MŚP i start-upów niższa. Przy nakładaniu kar uwzględnia się interesy i sytuację ekonomiczną MŚP. W Polsce postępowania prowadzi i kary nakłada Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.

Kto pilnuje tego w Polsce?

Ustawa o systemach sztucznej inteligencji z 3 lipca 2026 r. ustanowiła Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Jest organem nadzoru rynku i pojedynczym punktem kontaktowym dla AI Act. Od 28 października 2026 r. firma, która stosuje AI albo dopiero to planuje, może poprosić Komisję o opinię indywidualną w swojej sprawie. Opłata wynosi 150 zł, a Komisja odpowiada w ciągu 30 dni, w sprawach szczególnie skomplikowanych w ciągu 60 dni. Opinia wiąże Komisję i inne organy państwowe.

Lista kontrolna dla małej firmy

1. Spisz, gdzie w firmie używacie AI: narzędzia, kto z nich korzysta i do czego.
2. Sprawdź, czy któreś użycie nie trafia na listę zakazów z art. 5.
3. Zrób krótkie szkolenie i spisz zasady korzystania z AI. Zachowaj listę obecności (art. 4).
4. Asystent, który rozmawia z klientami, przedstawia się jako AI w pierwszej wiadomości (art. 50).
5. Oznaczaj deepfake’i i publikowane przez AI teksty o sprawach publicznych, jeśli nie przechodzą redakcji.
6. Jeśli używasz albo planujesz AI w rekrutacji lub ocenie pracowników, przygotuj się na obowiązki od 2 grudnia 2027 r. i zapytaj dostawcę o instrukcję i dokumentację.
7. Pamiętaj, że AI Act nie zastępuje RODO: przy danych osobowych nadal potrzebujesz podstawy prawnej i, gdy dostawca przetwarza dane w Twoim imieniu, umowy powierzenia.

Jak robimy to u siebie i we wdrożeniach

Nasi asystenci przedstawiają się jako AI w pierwszej wiadomości, także ten w czacie na tej stronie. Akcje z pieniędzmi zatwierdza człowiek, a szkolenie zespołu jest w cenie każdego wdrożenia. Jeśli chcesz wdrożyć AI w zespole razem ze szkoleniem i zasadami, zobacz Claude w firmie.

Źródła

• Rozporządzenie (UE) 2024/1689 (AI Act), EUR-Lex, tekst polski.
• Rozporządzenie (UE) 2026/1744 zmieniające AI Act (akt zbiorczy dotyczący AI), EUR-Lex.
• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), ISAP.

Stan prawny na 18 października 2026 r. To informacja ogólna, nie porada prawna. Przy konkretnym wdrożeniu, zwłaszcza w HR, skonsultuj się z prawnikiem.

Najczęstsze pytania

Czy AI Act dotyczy mnie, jeśli w firmie tylko korzystamy z ChatGPT albo Claude?

Tak, jako podmiotu stosującego system AI. W praktyce to przede wszystkim trzy rzeczy: wspieranie kompetencji zespołu w zakresie AI (art. 4), nieużywanie zakazanych praktyk (art. 5) i oznaczanie deepfake’ów oraz tekstów o sprawach publicznych wygenerowanych przez AI, jeśli je publikujesz (art. 50 ust. 4).

Czy chatbot albo asystent telefoniczny musi mówić, że jest AI?

Tak. Od 2 sierpnia 2026 r. system AI, który rozmawia z ludźmi, ma być tak zaprojektowany, żeby rozmówca wiedział, że rozmawia z AI, chyba że jest to oczywiste. Informacja musi paść najpóźniej przy pierwszej interakcji. Gotowe zdania są we wzorze komunikatu z art. 50.

Czy wolno używać AI do selekcji CV?

Tak, to nie jest zakazane, ale AI do rekrutacji i oceny pracowników to system wysokiego ryzyka (załącznik III pkt 4). Obowiązki z tym związane stosuje się od 2 grudnia 2027 r.: m.in. nadzór człowieka z odpowiednimi kompetencjami i poinformowanie pracowników przed użyciem takiego systemu w miejscu pracy.

Gdzie w Polsce zapytać o interpretację przepisów o AI?

Organem nadzoru jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Od 28 października 2026 r. można złożyć do niej wniosek o opinię indywidualną (opłata 150 zł). Komisja wydaje ją w ciągu 30 dni, a w sprawach szczególnie skomplikowanych w ciągu 60 dni.

Czytaj dalej

• Test: czy AI Act dotyczy Twojej firmy?
• Wzór polityki korzystania z AI w firmie
• Komunikat „rozmawiasz z AI” (art. 50): gotowe wzory
• Co to jest agent AI
• Agent AI w sklepie: od czego zacząć