Kategoria, która budzi najwięcej niepotrzebnego niepokoju
Systemy wysokiego ryzyka to najbardziej rozbudowana część AI Act pod względem obowiązków: ocena zgodności przed wprowadzeniem na rynek, dokumentacja techniczna, system zarządzania ryzykiem przez cały cykl życia, rejestracja w unijnej bazie, nadzór człowieka nad działaniem systemu i regularne monitorowanie po wdrożeniu. To właśnie ta kategoria najczęściej pojawia się w nagłówkach o AI Act, mimo że dla przeważającej większości małych i średnich firm w Polsce w ogóle nie ma zastosowania. Warto rozumieć zarówno pełny zakres tej kategorii, jak i to, dlaczego typowa firma usługowa czy e-commerce w nią nie wchodzi.
Załącznik III w uproszczeniu
Rozporządzenie w Załączniku III wymienia konkretne obszary, w których zastosowanie AI automatycznie kwalifikuje system jako wysokiego ryzyka (z pewnymi wyjątkami dla zastosowań o czysto pomocniczym, niewpływającym na decyzję charakterze). Główne kategorie:
- Biometria: identyfikacja biometryczna zdalna, kategoryzacja biometryczna na podstawie cech wrażliwych.
- Infrastruktura krytyczna: zarządzanie i eksploatacja sieci energetycznych, wodociągowych, gazowych, ruchu drogowego.
- Edukacja i szkolenie zawodowe: systemy decydujące o dostępie do edukacji, ocenianiu uczniów lub wykrywaniu nieuczciwych zachowań na egzaminach.
- Zatrudnienie, zarządzanie pracownikami, dostęp do samozatrudnienia: rekrutacja, selekcja kandydatów, podejmowanie decyzji o awansie lub zwolnieniu, monitorowanie i ocena wydajności pracowników.
- Dostęp do podstawowych usług prywatnych i publicznych: ocena zdolności kredytowej, scoring ubezpieczeniowy w zakresie ryzyka zdrowotnego i życiowego, priorytetyzacja usług ratunkowych.
- Egzekwowanie prawa: w zakresie działań organów ścigania korzystających z AI do oceny ryzyka lub dowodów.
- Zarządzanie migracją, azylem i kontrolą graniczną: systemy wspierające decyzje organów w tym obszarze.
- Wymiar sprawiedliwości i procesy demokratyczne: systemy wspomagające interpretację prawa lub wpływające na wyniki wyborów.
Rozporządzenie wyróżnia też osobną kategorię systemów wysokiego ryzyka związanych z bezpieczeństwem produktów regulowanych innymi przepisami UE (Załącznik I), np. zabawki, wyroby medyczne, maszyny czy sprzęt lotniczy. Ta kategoria wchodzi w życie później, od 2 sierpnia 2028, i dotyczy głównie producentów fizycznych produktów z wbudowanym komponentem AI, nie typowych usług cyfrowych.
Dlaczego zwykłej firmy to najczęściej nie dotyczy
Trzy typy firm w Polsce mają styczność z tą kategorią najczęściej:
- Firmy korzystające z AI w rekrutacji: automatyczna selekcja CV, ranking kandydatów, testy oceniające predyspozycje z wykorzystaniem AI. Nawet jeśli ostateczną decyzję podejmuje człowiek, samo istotne wspomaganie tej decyzji przez AI wystarcza, żeby system trafił w tę kategorię. Pełny scenariusz opisuje artykuł AI Act w rekrutacji.
- Firmy finansowe i ubezpieczeniowe stosujące scoring kredytowy lub ocenę ryzyka ubezpieczeniowego oparty na AI.
- Firmy monitorujące i oceniające pracowników przy pomocy systemów AI, np. do analizy produktywności czy wykrywania naruszeń.
Poza tymi obszarami typowa mała firma, korzystająca z chatbota na stronie, generatora grafik reklamowych czy ChatGPT do pisania ofert, nie wchodzi w kategorię wysokiego ryzyka. Te zastosowania mieszczą się w kategorii ryzyka ograniczonego, opisanej w artykule Cztery poziomy ryzyka w AI Act, z obowiązkiem przejrzystości zamiast pełnej certyfikacji.
Tabela: obszar zastosowania a typowa firma
| Obszar z Załącznika III | Typowa firma w tym obszarze | Dotyczy przeciętnego MŚP? |
|---|---|---|
| Rekrutacja i ocena kandydatów | Firmy używające AI do selekcji CV lub rankingu kandydatów | Tak, jeśli AI wspomaga decyzję rekrutacyjną |
| Ocena zdolności kredytowej | Banki, firmy pożyczkowe, część fintechów | Rzadko, głównie sektor finansowy |
| Infrastruktura krytyczna | Operatorzy sieci energetycznych, wodociągów | Prawie nigdy poza tym sektorem |
| Edukacja | Szkoły, platformy edukacyjne oceniające uczniów przez AI | Rzadko, głównie sektor edukacyjny |
| Monitorowanie pracowników | Firmy z systemami AI do oceny wydajności zespołu | Czasem, przy wdrożeniu takich narzędzi HR |
| Zwykły chatbot, generator treści, asystent biurowy | Większość MŚP | Nie, to ryzyko ograniczone, nie wysokie |
Co zrobić, jeśli podejrzewasz, że wchodzisz w tę kategorię
Częsty błąd: firma widzi w mediach hasła o “AI wysokiego ryzyka” i zakłada, że jej chatbot obsługi klienta się w to wpisuje, bo “obsługuje ludzi”. Kategoria wysokiego ryzyka jest wąska i konkretna, zdefiniowana przez Załącznik III, nie przez ogólne poczucie, że coś jest “poważne”.
Jeśli firma faktycznie stosuje AI w jednym z obszarów wymienionych wyżej, warto zacząć od dokładnej weryfikacji, czy konkretne zastosowanie spełnia kryteria z Załącznika III (niektóre wyjątki dotyczą np. systemów pełniących rolę czysto pomocniczą, niewpływającą na wynik decyzji), a następnie skonsultować pełny zakres obowiązków z prawnikiem specjalizującym się w tej tematyce, ponieważ ta kategoria niesie realne, kosztowne wymogi formalne.
Najczęściej zadawane pytania
Czy sam fakt korzystania z AI w HR automatycznie oznacza wysokie ryzyko?
Nie zawsze. Kluczowe jest, czy AI wpływa na decyzję dotyczącą konkretnej osoby (np. selekcja kandydatów, ocena awansu). Narzędzie porządkujące dokumenty kadrowe bez wpływu na decyzje personalne zwykle nie wchodzi w tę kategorię.
Czy mała firma może w ogóle podlegać obowiązkom systemu wysokiego ryzyka?
Tak, wielkość firmy nie zwalnia z tej kategorii, jeśli faktycznie stosuje system AI z Załącznika III. Rozporządzenie przewiduje pewne ułatwienia proceduralne dla MŚP, opisane w artykule AI Act a MŚP, ale nie zwalnia z samego obowiązku.
Czy korzystanie z gotowego, zewnętrznego narzędzia rekrutacyjnego z AI przenosi całą odpowiedzialność na jego dostawcę?
Nie w całości. Obowiązki dzielą się między dostawcę narzędzia (dokumentacja, ocena zgodności) a firmę stosującą (weryfikacja, że dostawca spełnił swoje obowiązki, nadzór człowieka nad decyzją, informowanie kandydatów).
Kiedy zaczynają obowiązywać przepisy o systemach wysokiego ryzyka z Załącznika III?
Od 2 grudnia 2027. Pierwotnie miał to być 2 sierpnia 2026, razem z większością pozostałych przepisów, ale omnibus cyfrowy z lipca 2026 przesunął ten termin o 16 miesięcy, bo nie były gotowe normy zharmonizowane. Osobna, węższa kategoria związana z produktami z Załącznika I (np. zabawki, wyroby medyczne) zaczyna obowiązywać od 2 sierpnia 2028. Pełny harmonogram opisuje artykuł Terminy AI Act.