AI Act w streszczeniu
AI Act (Rozporządzenie 2024/1689) to unijne prawo regulujące systemy sztucznej inteligencji według poziomu ryzyka: praktyki niedopuszczalne są zakazane, systemy wysokiego ryzyka wymagają certyfikacji i dokumentacji, systemy o ryzyku ograniczonym wymagają ujawnienia wobec użytkownika, a reszta nie ma dodatkowych obowiązków. Dotyczy każdej firmy w UE, która dostarcza albo stosuje system AI.
Streszczenie w siedmiu punktach, stan na sierpień 2026:
- Co to jest. Rozporządzenie unijne, obowiązuje bezpośrednio we wszystkich krajach członkowskich, weszło w życie 1 sierpnia 2024.
- Logika. Cztery poziomy ryzyka, im wyższe ryzyko zastosowania, tym więcej obowiązków. Technologia sama w sobie nie przesądza o niczym.
- Kogo dotyczy. Dostawców systemów AI i stosujących, czyli firm, które z takich systemów korzystają. Rola przesądza o zestawie obowiązków.
- Co jest zakazane. Praktyki z art. 5, między innymi scoring społeczny i manipulacja podprogowa. Obowiązuje od 2 lutego 2025.
- Co musi zrobić zwykła firma. Kompetencje AI w zespole (art. 4, od lutego 2025) i przejrzystość wobec użytkownika (art. 50, od 2 sierpnia 2026).
- Kiedy robi się poważnie. Reżim wysokiego ryzyka, na przykład przy rekrutacji czy scoringu, od 2 grudnia 2027 dla Załącznika III.
- Ile kosztuje naruszenie. Trzy progi kar: do 35, 15 i 7,5 mln euro, przy czym dla MŚP obowiązuje niższa z dwóch wartości, kwota albo procent obrotu.
Reszta artykułu rozwija każdy z tych punktów.
Czym formalnie jest AI Act
AI Act to rozporządzenie Unii Europejskiej 2024/1689, pierwsze na świecie kompleksowe prawo regulujące systemy sztucznej inteligencji. Zostało przyjęte w 2024 roku i weszło w życie 1 sierpnia 2024, ale jego przepisy nie zaczęły obowiązywać wszystkie naraz. Ustawodawca rozłożył je na kilka etapów, żeby firmy i organy nadzoru zdążyły się przygotować (pełny harmonogram znajdziesz w artykule Pełny kalendarz wejścia w życie AI Act).
Jako rozporządzenie, AI Act obowiązuje bezpośrednio w każdym kraju członkowskim UE, bez potrzeby przepisywania go na nowo w prawie krajowym. Polska mimo to przyjęła własną ustawę o systemach sztucznej inteligencji, która głównie ustanawia krajowy organ nadzoru (KRiBSI) i tryb kontroli. Więcej o tym w artykule Kto egzekwuje AI Act w Polsce.
Najważniejsza rzecz do zrozumienia na start: AI Act nie zakazuje sztucznej inteligencji. Reguluje sposób jej stosowania, proporcjonalnie do ryzyka, jakie dane zastosowanie niesie.
Podejście oparte na ryzyku
Zamiast jednego zestawu zasad dla wszystkich systemów AI, rozporządzenie dzieli je na cztery poziomy ryzyka i każdemu przypisuje inny zestaw obowiązków. Skrócony przegląd:
| Poziom ryzyka | Przykład | Główny obowiązek |
|---|---|---|
| Niedopuszczalne | Scoring społeczny, manipulacja podprogowa | Zakaz stosowania |
| Wysokie | Rekrutacja, ocena zdolności kredytowej | Certyfikacja, dokumentacja, nadzór człowieka |
| Ograniczone | Chatboty, treści generowane przez AI | Obowiązek przejrzystości (ujawnienie) |
| Minimalne | Filtry spamu, systemy rekomendacji produktów | Brak dodatkowych obowiązków |
Pełne omówienie każdego poziomu, wraz z przykładami z życia firm, znajdziesz w artykule Cztery poziomy ryzyka w AI Act. Dla zdecydowanej większości małych i średnich firm w Polsce istotne są dwa poziomy: ograniczone (bo niemal każda firma ma dziś jakiś kontakt z chatbotem albo generowaną grafiką) i, rzadziej, wysokie (typowo w rekrutacji, ocenie pracowników czy scoringu klientów).
Kogo dotyczy: dostawca i stosujący
AI Act rozróżnia dwie główne role, i to rozróżnienie decyduje o tym, jakie obowiązki faktycznie masz.
Dostawca (provider) to podmiot, który tworzy system AI albo wprowadza go na rynek pod własną marką. Jeśli korzystasz z gotowego chatbota od zewnętrznej firmy (np. Tidio, Smartsupp) albo z modelu OpenAI czy Anthropic przez API, zwykle nie jesteś dostawcą tego modelu bazowego.
Stosujący (deployer) to podmiot, który używa systemu AI w ramach własnej działalności. Większość firm w Polsce, które korzystają z ChatGPT do pisania ofert, mają chatbota na stronie albo generują grafiki reklamowe przez AI, to właśnie stosujący.
To rozróżnienie ma znaczenie praktyczne: część obowiązków (np. techniczna dokumentacja modelu) spoczywa na dostawcy, a część (np. poinformowanie klienta, że rozmawia z botem) na stosującym, niezależnie od tego, kto zbudował samą technologię. Pełne wyjaśnienie, łącznie z sytuacjami granicznymi, gdy firma staje się dostawcą przez samo dostosowanie cudzego systemu, opisuje artykuł Dostawca vs stosujący.
Rozporządzenie ma też zasięg eksterytorialny: dotyczy również firm spoza UE, jeśli wynik działania ich systemu AI jest wykorzystywany na terenie Unii.
Czy to dotyczy Twojej firmy
W praktyce najczęstsze pytanie brzmi nie “czy AI Act mnie dotyczy”, tylko “w jakim zakresie”. Kilka typowych sytuacji:
- Masz chatbota na stronie internetowej: dotyczy Cię obowiązek przejrzystości z art. 50, choć część odpowiedzialności formalnie leży po stronie dostawcy widgetu.
- Ktoś w zespole używa ChatGPT, Copilota albo podobnego narzędzia do pracy: dotyczy Cię obowiązek kompetencji w zakresie AI z art. 4, niezależnie od branży.
- Generujesz grafiki reklamowe albo zdjęcia produktowe przez AI: dotyczy Cię obowiązek oznaczania treści syntetycznych.
- Używasz AI do oceny kandydatów w rekrutacji albo do scoringu klientów: możesz wpaść w kategorię systemów wysokiego ryzyka, ze znacznie szerszymi obowiązkami.
Najczęstszy błąd firm to zakładanie, że skoro nie budują własnego modelu AI, to rozporządzenie ich nie dotyczy. W rzeczywistości większość obowiązków, z którymi w praktyce ma do czynienia MŚP, dotyczy właśnie stosujących, nie dostawców modeli.
Co musisz zrobić już teraz
Dla typowej małej lub średniej firmy w Polsce dwa obowiązki mają dziś realne znaczenie:
- Kompetencje AI (art. 4), obowiązujące od lutego 2025. Każda firma, w której ktokolwiek używa narzędzi AI w pracy, powinna zadbać o to, żeby zespół rozumiał podstawy działania tych narzędzi, ich ograniczenia i ryzyka. W praktyce oznacza to udokumentowane szkolenie, nie tylko nieformalną wiedzę.
- Przejrzystość (art. 50), obowiązująca od 2 sierpnia 2026. Chatboty muszą ujawniać, że rozmówca ma do czynienia z maszyną, a treści generowane przez AI (grafika, wideo, audio, tekst publikowany jako dziennikarski) powinny być odpowiednio oznaczone.
Szczegółowe, praktyczne instrukcje dla obu obowiązków znajdziesz w kategorii Wdrożenie krok po kroku w bazie wiedzy, między innymi w artykułach o oznaczaniu chatbota i budowie rejestru systemów AI.
Kary za brak zgodności
Rozporządzenie przewiduje trzy progi kar, zależnie od wagi naruszenia. Najwyższy, do 35 milionów euro lub 7% globalnego rocznego obrotu firmy, dotyczy stosowania praktyk zakazanych z art. 5. Pozostałe naruszenia mają niższe progi.
Istotny szczegół dla małej firmy: w regule ogólnej stosuje się kwotę wyższą z dwóch, ale art. 99 ust. 6 odwraca to dla MŚP i startupów, dla których obowiązuje kwota niższa. Pełne rozbicie progów opisuje artykuł Jakie kary za naruszenie AI Act.
Warto podkreślić: kary to ostateczność, a nie pierwszy krok organu nadzoru. Realne ryzyko dla większości firm to raczej czas i koszt reagowania na kontrolę bez przygotowanej wcześniej dokumentacji, niż sama kara finansowa.
Najczęściej zadawane pytania
Czy AI Act dotyczy tylko dużych firm technologicznych?
Nie. Obowiązek kompetencji w zakresie AI z art. 4 dotyczy każdej firmy, w której ktokolwiek korzysta z narzędzi AI w pracy, niezależnie od wielkości i branży. Obowiązki związane z wysokim ryzykiem dotyczą węższej grupy zastosowań, ale mogą objąć również małą firmę, jeśli np. używa AI w rekrutacji.
Czy sam fakt korzystania z ChatGPT oznacza, że jestem dostawcą systemu AI?
Nie. Korzystanie z gotowego narzędzia AI innej firmy zwykle czyni Cię stosującym, nie dostawcą. Dostawcą jest podmiot, który tworzy dany system albo wprowadza go na rynek pod własną marką.
Od kiedy realnie trzeba spełniać obowiązki z AI Act?
Część obowiązków, w tym zakaz praktyk niedopuszczalnych i kompetencje w zakresie AI, obowiązuje już od lutego 2025. Kolejne, w tym przejrzystość wobec użytkowników, obowiązują od 2 sierpnia 2026. Pełny harmonogram znajdziesz w artykule Pełny kalendarz wejścia w życie AI Act.
Czy to jest porada prawna?
Nie. Ten artykuł ma charakter informacyjny i edukacyjny. Ocenę zgodności konkretnej firmy z AI Act powinien przeprowadzić radca prawny lub adwokat, najlepiej po zapoznaniu się ze szczegółami danego przypadku.