Wymagania AI Act zależą od dwóch rzeczy, nie od branży

Wymagania AI Act (Rozporządzenie 2024/1689) wynikają z odpowiedzi na dwa pytania: czy w danym systemie AI jesteś dostawcą czy stosującym, oraz w którym poziomie ryzyka ten system się mieści. Dla większości polskich MŚP wychodzą z tego trzy wymagania: nie stosować praktyk zakazanych z art. 5, zadbać o kompetencje AI z art. 4 i spełnić obowiązki przejrzystości z art. 50. Pozostałe rozdziały rozporządzenia takiej firmy nie dotyczą.

Branża jest tu drugorzędna. Ta sama agencja marketingowa może mieć trzy proste wymagania, jeśli tylko generuje grafiki reklamowe, i pełen reżim wysokiego ryzyka, jeśli zbuduje własne narzędzie do selekcji kandydatów. Rozstrzyga zastosowanie systemu AI, nie kod PKD firmy.

Stan prawny: co zmieniło się latem 2026

Ten artykuł opisuje wymagania AI Act w brzmieniu obowiązującym w sierpniu 2026 roku. To zastrzeżenie ma znaczenie, bo harmonogram zmienił się kilka tygodni wcześniej. Rozporządzenie (UE) 2026/1744, zwane omnibusem cyfrowym, zostało opublikowane w Dzienniku Urzędowym UE 24 lipca 2026 i weszło w życie 27 lipca 2026.

Omnibus przesunął w czasie wymagania dla systemów wysokiego ryzyka, ale nie ruszył daty 2 sierpnia 2026 dla reszty przepisów. Wymagania przejrzystości z art. 50 obowiązują więc od 2 sierpnia 2026 bez zmian, a pełny reżim wysokiego ryzyka dla systemów z Załącznika III zaczyna obowiązywać dopiero 2 grudnia 2027, zamiast 2 sierpnia 2026.

Znaczna część polskich materiałów o AI Act powstała przed tą zmianą i nadal podaje sierpień 2026 jako termin wymagań wysokiego ryzyka. Przy weryfikowaniu terminów sprawdź datę publikacji tekstu, który czytasz.

Wymaganie 1: nie stosować praktyk zakazanych (art. 5)

Pierwsze wymaganie AI Act jest zakazem, nie obowiązkiem dokumentacyjnym: art. 5 wymienia praktyki niedopuszczalne, których nie wolno stosować w żadnych okolicznościach. Należą do nich scoring społeczny, manipulacja podprogowa, nieukierunkowane pobieranie wizerunków twarzy z internetu i rozpoznawanie emocji w miejscu pracy.

Ten zakaz obowiązuje od 2 lutego 2025 i nie ma dla niego ścieżki legalizacji przez dokumentację ani zgodę użytkownika. W typowej firmie handlowej czy usługowej żadna z tych praktyk zwykle nie występuje, ale sprawdzenie tego zajmuje kwadrans i jest pierwszym krokiem każdego audytu. Pełną listę opisuje artykuł Zakazane praktyki AI.

Wymaganie 2: kompetencje AI w zespole (art. 4)

Art. 4 AI Act dotyczy każdej firmy, w której ktokolwiek używa narzędzi AI w pracy, także wtedy, gdy firma nie ma chatbota ani nie publikuje treści generowanych przez AI. Wystarczy, że handlowiec pisze oferty w ChatGPT, a księgowa streszcza dokumenty w Copilocie.

Omnibus cyfrowy złagodził brzmienie tego przepisu. Zamiast bezwarunkowego wymogu zapewnienia wystarczającego poziomu kompetencji AI, art. 4 mówi dziś o podejmowaniu środków wspierających rozwój tych kompetencji i o zapewnieniu ich wystarczającego poziomu w miarę możliwości. Wymaganie nie zniknęło, zmienił się jego ciężar: łatwiej wykazać, że firma zrobiła to, co w jej warunkach rozsądne.

Praktycznie oznacza to nadal ten sam zestaw: przeszkolić osoby korzystające z AI z ograniczeń tych narzędzi, w tym z halucynacji i ryzyka wycieku danych, oraz zostawić po szkoleniu dowód. Zakres i formę opisuje artykuł Art. 4 i kompetencje AI, a sposób udokumentowania Szkolenie zespołu z art. 4.

Wymaganie 3: przejrzystość wobec użytkownika (art. 50)

Art. 50 to zestaw wymagań, który w praktyce dotyczy największej liczby małych i średnich firm. Obowiązuje od 2 sierpnia 2026 i dzieli się inaczej, niż zwykle się zakłada: część wymagań spoczywa na dostawcy systemu AI, część na stosującym, czyli na firmie, która z systemu korzysta.

Po stronie dostawcy systemu AI leżą dwa wymagania: zaprojektowanie systemu tak, żeby użytkownik został poinformowany, że rozmawia z maszyną, oraz oznaczenie wyniku generatywnego w formacie odczytywalnym maszynowo, żeby dało się go wykryć jako wygenerowany sztucznie.

Po stronie stosującego leżą wymagania widoczne dla człowieka: ujawnienie treści typu deepfake, ujawnienie tekstów publikowanych w celu informowania opinii publicznej o sprawach będących przedmiotem zainteresowania publicznego oraz poinformowanie osób poddanych rozpoznawaniu emocji lub kategoryzacji biometrycznej.

Rozróżnienie ma bezpośredni skutek finansowy: jeśli chatbot na Twojej stronie pochodzi od zewnętrznego dostawcy, wymaganie ujawnienia z art. 50 ust. 1 jest wymaganiem tego dostawcy, nie Twoim. Twoim zadaniem jest to sprawdzić i udokumentować. Wzór pisma daje artykuł E-mail do dostawcy chatbota, a całość obowiązku opisuje Art. 50 i obowiązki przejrzystości.

Jedno odroczenie warto znać: wymaganie znakowania maszynowego po stronie dostawcy ma okres przejściowy do 2 grudnia 2026, ale wyłącznie dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026. Wymagania po stronie stosującego nie mają żadnego okresu przejściowego i obowiązują od 2 sierpnia 2026.

Wymagania dla systemów wysokiego ryzyka i nowy termin grudnia 2027

Jeżeli firma używa systemu AI z Załącznika III, na przykład do selekcji kandydatów w rekrutacji, oceny zdolności kredytowej albo oceny pracowników, wchodzi w reżim wysokiego ryzyka. To zupełnie inna klasa wymagań: system zarządzania ryzykiem, jakość danych treningowych, dokumentacja techniczna, rejestrowanie zdarzeń, nadzór człowieka, ocena zgodności i rejestracja w bazie unijnej.

Po zmianie z lipca 2026 te wymagania obejmują systemy z Załącznika III od 2 grudnia 2027, a systemy AI będące elementem bezpieczeństwa produktów regulowanych osobno, z Załącznika I, od 2 sierpnia 2028. Powodem przesunięcia był brak gotowych norm zharmonizowanych, według których firmy miałyby wykazywać zgodność.

Dla typowego MŚP praktyczny wniosek jest taki: to jest kategoria, w którą wchodzi się rzadko, ale wtedy kosztownie, i lepiej sprawdzić to teraz niż w 2027 roku. Kryteria kwalifikacji opisuje artykuł Systemy wysokiego ryzyka, a cztery poziomy ryzyka porównuje Poziomy ryzyka w AI Act.

Tabela: kto ma jakie wymagania i od kiedy

Twoja rola Sytuacja Wymaganie Podstawa Od kiedy
Stosujący Ktokolwiek w firmie używa AI w pracy Kompetencje AI w zespole, w miarę możliwości art. 4 02.02.2025
Każdy Dowolne zastosowanie AI Nie stosować praktyk zakazanych art. 5 02.02.2025
Stosujący Chatbot od zewnętrznego dostawcy Zweryfikować ujawnienie u dostawcy i udokumentować art. 50 ust. 1 02.08.2026
Stosujący Deepfake, awatar, lektor AI w materiałach Widoczne ujawnienie dla odbiorcy art. 50 ust. 4 02.08.2026
Stosujący Rozpoznawanie emocji lub kategoryzacja biometryczna Poinformować osoby objęte systemem art. 50 ust. 3 02.08.2026
Dostawca Własny system generatywny lub własny chatbot Ujawnienie maszyny i znakowanie maszynowe wyniku art. 50 ust. 1 i 2 02.08.2026, znakowanie do 02.12.2026 dla systemów sprzed 02.08.2026
Dostawca lub stosujący System z Załącznika III, np. rekrutacja, scoring Pełen reżim wysokiego ryzyka rozdz. III 02.12.2027
Dostawca AI jako komponent bezpieczeństwa produktu, Załącznik I Ocena zgodności w ramach przepisów produktowych art. 6 ust. 1 02.08.2028

Jeśli nie wiesz, w której roli jesteś, zacznij od artykułu Dostawca czy stosujący. Ta jedna etykieta przesądza o połowie tabeli powyżej.

Przykład: sklep internetowy, 40 osób

Firma handlowa zatrudniająca 40 osób, sprzedająca przez własny sklep na WooCommerce. Używa chatbota Tidio na stronie, generuje część zdjęć aranżacyjnych w Midjourney, a zespół obsługi klienta pisze odpowiedzi z pomocą ChatGPT.

Wymagania tej firmy w sierpniu 2026 wyglądają tak:

  1. Praktyki zakazane: sprawdzone, nie występują. Czas: 15 minut.
  2. Art. 4: szkolenie dla 12 osób realnie używających AI, z listą obecności i krótkim testem. Czas: pół dnia raz w roku.
  3. Art. 50 wobec chatbota: pisemne potwierdzenie od dostawcy widgetu, że ujawnia się on jako AI, odłożone do dokumentacji. Czas: jeden e-mail plus oczekiwanie na odpowiedź.
  4. Art. 50 wobec grafik: zdjęcia aranżacyjne generowane przez AI nie są treściami typu deepfake w rozumieniu przepisu, bo nie przedstawiają realnych osób ani zdarzeń, więc wymaganie widocznego ujawnienia z art. 50 ust. 4 się do nich nie stosuje. Oznaczenie bywa jednak wymagane przez prawo konsumenckie i regulaminy platform, co jest osobną podstawą.
  5. Wysokie ryzyko: nie dotyczy, firma nie prowadzi rekrutacji ani scoringu z użyciem AI.

Efekt: trzy realne wymagania, nie trzydzieści. Największym nakładem jest szkolenie, największym ryzykiem brak dokumentu potwierdzającego cokolwiek z powyższych.

Checklista wymagań do odhaczenia

  1. Wypisz wszystkie narzędzia AI faktycznie używane w firmie, łącznie z tymi używanymi nieformalnie przez pracowników.
  2. Przypisz każdemu narzędziu rolę: jesteś jego dostawcą czy stosującym.
  3. Sprawdź listę praktyk zakazanych z art. 5 i potwierdź na piśmie, że żadna nie występuje.
  4. Zweryfikuj, czy któryś system trafia do Załącznika III, ze szczególną uwagą na rekrutację i ocenę pracowników.
  5. Przeszkol osoby korzystające z AI i zachowaj dowód: datę, listę obecności, zakres.
  6. Uzyskaj od dostawców chatbotów potwierdzenie, jak realizują ujawnienie z art. 50.
  7. Oznacz treści, które tego wymagają, i zapisz zasadę oznaczania w dokumencie wewnętrznym.
  8. Zbierz powyższe w jednym miejscu, żeby dało się to pokazać w całości, a nie odtwarzać z pamięci.

Punkty od pierwszego do czwartego składają się na rejestr systemów AI, punkt ósmy na teczkę dowodową. Pełniejszą wersję przeglądu daje checklista audytu AI Act.

Najczęstsze błędy przy ustalaniu wymagań

Szukanie wymagań dla swojej branży zamiast dla swojego zastosowania. AI Act nie ma rozdziałów branżowych. Skutek: firma odhacza wymagania, których nie ma, i pomija te, które ma. Naprawa: zacznij od inwentaryzacji narzędzi, nie od nazwy branży.

Założenie, że wymagania art. 50 realizuje dostawca chatbota w całości. Dostawca odpowiada za ujawnienie w widgecie, ale nie za treści publikowane pod Twoją marką ani za materiały reklamowe. Skutek: luka dokładnie tam, gdzie odpowiedzialność jest Twoja. Naprawa: rozdziel wymagania według tabeli powyżej.

Przyjęcie, że wymagania wysokiego ryzyka obowiązują od sierpnia 2026. To była prawda przed omnibusem cyfrowym, dziś właściwą datą dla Załącznika III jest 2 grudnia 2027. Skutek: wydatek na dokumentację, która nie jest jeszcze wymagana, albo przeciwnie, zignorowanie tematu jako spóźnionego. Naprawa: sprawdź datę publikacji źródła, z którego korzystasz.

Potraktowanie kary 35 mln euro jako stawki za każde uchybienie. To górna granica dla praktyk zakazanych z art. 5, a dla MŚP art. 99 ust. 6 nakazuje stosować niższą z dwóch wartości, kwotę albo procent obrotu. Skutek: decyzje podejmowane pod wpływem liczby, która tej firmy nie dotyczy. Naprawa: zobacz Kary za naruszenie AI Act.

Najczęściej zadawane pytania

Czy wymagania AI Act dotyczą firmy, która używa tylko ChatGPT?

Tak, ale w wąskim zakresie. Firma używająca wyłącznie ChatGPT do pisania ofert i maili jest stosującym, nie dostawcą, więc ma wymaganie kompetencji AI z art. 4 i zakaz praktyk z art. 5. Wymagania przejrzystości z art. 50 pojawiają się dopiero wtedy, gdy publikuje treści wymagające ujawnienia.

Ile kosztuje spełnienie wymagań AI Act w małej firmie?

Nie ma tu jednej stawki, bo koszt zależy od liczby narzędzi i tego, ile dokumentacji już istnieje. W typowym MŚP bez systemów wysokiego ryzyka największym nakładem jest szkolenie zespołu i zebranie dokumentacji, liczone w dniach pracy, nie w miesiącach. Stawki za audyt i pakiety wdrożeniowe są jawne w cenniku.

Czym wymagania AI Act różnią się od wymagań RODO?

RODO reguluje przetwarzanie danych osobowych, AI Act reguluje systemy AI niezależnie od tego, czy przetwarzają dane osobowe. Zakresy się nakładają, ale dokumentacja RODO nie zaspokaja wymagań AI Act. Firma może spełniać RODO wzorowo i nie spełniać ani jednego wymagania z art. 50.

Kto w firmie odpowiada za spełnienie wymagań AI Act?

Rozporządzenie nie wymaga powołania osobnej funkcji, odpowiednika inspektora ochrony danych z RODO. Odpowiedzialność spoczywa na przedsiębiorcy jako podmiocie, a w praktyce wskazanie jednej osoby koordynującej temat, zwykle z IT lub compliance, jest jedynym sposobem, żeby dokumentacja realnie powstała.

Czy wymagania AI Act są takie same w każdym kraju UE?

Same wymagania merytoryczne tak, bo AI Act jest rozporządzeniem stosowanym bezpośrednio. Różni się warstwa proceduralna: który organ kontroluje, w jakim trybie i jak nakłada kary. W Polsce reguluje to ustawa o systemach sztucznej inteligencji, obowiązująca od 11 sierpnia 2026, opisana w artykule Polska ustawa o systemach AI.

Czy to jest porada prawna?

Nie. Ten artykuł opisuje wymagania AI Act w stanie prawnym na sierpień 2026 i służy do zorientowania się w zakresie obowiązków. Kwalifikacja konkretnego systemu AI do poziomu ryzyka i ocena ryzyka prawnego w konkretnej sprawie wymagają analizy prawnej. Teksty źródłowe: Rozporządzenie (UE) 2024/1689 oraz Rozporządzenie (UE) 2026/1744.