Obowiązek, o którym najmniej firm wie, choć dotyczy wszystkich
Art. 4 AI Act zobowiązuje dostawców i stosujących systemów AI do podejmowania środków na rzecz kompetencji w zakresie AI (AI literacy) wśród personelu i innych osób zajmujących się obsługą i wykorzystywaniem systemów AI w ich imieniu. Obowiązuje od 2 lutego 2025, czyli dłużej niż większość pozostałych przepisów rozporządzenia, a mimo to jest jednym z najmniej rozpoznanych, bo nie towarzyszy mu żadna widoczna zmiana w interfejsie strony czy produktu.
Brzmienie tego przepisu zmieniło się w lipcu 2026. Pierwotnie art. 4 kazał wprost zapewnić wystarczający poziom kompetencji. Po zmianie wprowadzonej Rozporządzeniem (UE) 2026/1744 mówi o podejmowaniu środków wspierających rozwój tych kompetencji i o zapewnieniu ich wystarczającego poziomu w miarę możliwości. Obowiązek nie zniknął, obniżył się próg dowodowy: łatwiej wykazać, że firma zrobiła to, co w jej warunkach rozsądne, trudniej postawić zarzut samego nieosiągnięcia poziomu.
Zakres podmiotowy jest szeroki celowo: dotyczy każdej firmy, w której ktokolwiek, niezależnie od stanowiska, korzysta z narzędzia AI w ramach obowiązków zawodowych. Nie ma tu progu wielkości firmy ani wyłączenia dla mikroprzedsiębiorstw, w przeciwieństwie do części ułatwień opisanych w artykule AI Act a MŚP.
Co konkretnie oznacza “wystarczający poziom kompetencji”
Rozporządzenie nie podaje sztywnej listy godzin szkoleniowych ani jednego wzoru certyfikatu. Wymaga, żeby poziom kompetencji uwzględniał: wiedzę techniczną, doświadczenie, wykształcenie i szkolenie osób obsługujących AI, a także kontekst, w jakim systemy AI mają być wykorzystywane, oraz osoby lub grupy osób, wobec których systemy te będą stosowane. W praktyce sprowadza się to do trzech elementów:
- Zrozumienie, czym jest i czym nie jest dane narzędzie AI: jego możliwości i ograniczenia, np. że model językowy może “halucynować” fakty.
- Świadomość ryzyk związanych z konkretnym zastosowaniem: np. ryzyko błędnej informacji przekazanej klientowi przez chatbota albo ryzyko naruszenia poufności danych wklejonych do publicznego narzędzia AI.
- Znajomość podstawowych obowiązków firmy wynikających z AI Act: przynajmniej na poziomie ogólnym, żeby pracownik rozumiał, dlaczego pewne treści trzeba oznaczać, a innych praktyk unikać.
Kogo dotyczy w praktyce
Obowiązek nie ogranicza się do działu IT ani do osób technicznych. Dotyczy każdego, kto w pracy używa narzędzia AI, niezależnie od tego, czy jest to:
- handlowiec piszący oferty przy pomocy ChatGPT,
- osoba obsługująca chatbota na stronie firmowej,
- grafik generujący materiały reklamowe w Midjourney,
- księgowa korzystająca z asystenta AI do wstępnej analizy dokumentów,
- właściciel jednoosobowej działalności gospodarczej, który sam wykonuje wszystkie te czynności.
Praktyczny scenariusz dla najczęstszego przypadku, czyli zespołu piszącego oferty i maile przy pomocy AI, opisuje artykuł ChatGPT do ofert i maili.
Dlaczego to obowiązuje już od lutego 2025
Ustawodawca uznał kompetencje personelu za fundament, na którym opierają się wszystkie pozostałe obowiązki rozporządzenia. Zanim firma zacznie oznaczać treści syntetyczne czy budować rejestr systemów AI, potrzebny jest zespół, który w ogóle rozumie, z czym ma do czynienia. Dlatego ten przepis wszedł w życie razem z zakazanymi praktykami z art. 5, najwcześniej ze wszystkich merytorycznych obowiązków rozporządzenia, na długo przed przepisami o przejrzystości czy systemami wysokiego ryzyka.
Praktyczne minimum a pełne wdrożenie
| Poziom | Co obejmuje | Dla kogo wystarczy |
|---|---|---|
| Minimum | Krótkie wewnętrzne szkolenie (nawet 30–60 minut), lista obecności, podstawowa polityka korzystania z AI | Mikrofirmy i zespoły z ograniczonym, rutynowym użyciem AI |
| Pełne wdrożenie | Szkolenie dopasowane do realnych narzędzi zespołu, quiz lub egzamin sprawdzający wiedzę, certyfikat imienny, sprawozdanie z zakresu szkolenia | Firmy z szerszym lub bardziej ryzykownym użyciem AI, firmy przygotowujące się na kontrolę |
Kluczowa różnica między poziomami nie leży w formie szkolenia, tylko w tym, co zostaje jako dowód. Samo “przeszkolenie ustne” bez śladu dokumentacyjnego jest trudne do wykazania podczas ewentualnej kontroli. Praktyczny format i zakres szkolenia opisuje artykuł Szkolenie zespołu z art. 4.
Częsty błąd: traktowanie kompetencji AI jako czegoś, co “każdy i tak wie”, bo korzysta z ChatGPT prywatnie. Rozporządzenie nie pyta o ogólną biegłość cyfrową, tylko o świadomość ryzyk i ograniczeń konkretnych narzędzi używanych w konkretnym kontekście zawodowym, co jest czymś innym niż umiejętność wpisania dobrego promptu.
Jak zacząć bez przesadnego nakładu pracy
Dla większości małych firm punktem wyjścia jest krótka inwentaryzacja: jakie narzędzia AI faktycznie są używane w zespole, w tym te stosowane nieformalnie, bez wiedzy zarządu (zjawisko opisane w artykule Shadow AI w firmie). Na tej podstawie łatwiej zaprojektować szkolenie, które odpowiada realnym narzędziom, a nie ogólnikowej teorii sztucznej inteligencji.
Co powinno zostać jako dowód
Podczas ewentualnej kontroli organ nadzoru pyta zwykle nie o to, czy pracownicy “coś wiedzą” o AI, tylko o to, czy firma potrafi to wykazać. Trzy elementy tworzą minimalny, wiarygodny ślad dokumentacyjny:
- lista obecności z datą i zakresem szkolenia, podpisana przez uczestników,
- materiały szkoleniowe, choćby w formie prostej prezentacji, dopasowane do faktycznie używanych w firmie narzędzi,
- potwierdzenie zrozumienia, np. krótki quiz lub test, nawet nieformalny, pokazujący, że wiedza faktycznie została przekazana, a nie tylko odczytana.
Brak tych trzech elementów nie oznacza automatycznie, że firma nie spełnia obowiązku, ale znacząco utrudnia jego wykazanie w razie pytania ze strony organu nadzoru. To odróżnia art. 4 od wielu innych obowiązków “miękkich”: sama dobra wola i wiedza w głowach pracowników nie wystarczy, potrzebny jest fizyczny ślad.
Najczęściej zadawane pytania
Czy jednoosobowa działalność gospodarcza też musi spełnić art. 4?
Tak, jeśli właściciel firmy sam korzysta z narzędzi AI w pracy. Obowiązek dotyczy osoby wykonującej czynności związane z systemem AI, niezależnie od formy prawnej działalności.
Czy wystarczy, że pracownicy sami poczytają o AI w internecie?
Nieformalna, nieudokumentowana wiedza nie spełnia w praktyce wymogu wykazania zgodności podczas kontroli. Potrzebny jest jakiś ślad: lista obecności, materiały szkoleniowe, quiz, sprawozdanie.
Czy obowiązek trzeba powtarzać cyklicznie?
Rozporządzenie nie narzuca sztywnego cyklu, ale poziom kompetencji powinien nadążać za zmieniającymi się narzędziami i zastosowaniami AI w firmie. W praktyce warto odświeżać szkolenie przy istotnych zmianach w wykorzystywanych narzędziach, nie tylko raz na zawsze.
Czy to jest to samo co szkolenie z RODO?
Nie, choć oba obowiązki mają podobną logikę dokumentacyjną. Szkolenie z art. 4 dotyczy specyficznie ryzyk i ograniczeń związanych z systemami AI, nie ogólnej ochrony danych osobowych, choć oba tematy mogą się częściowo pokrywać przy narzędziach przetwarzających dane klientów.