AI Act to rozporządzenie Unii Europejskiej, które porządkuje obowiązki wokół systemów sztucznej inteligencji według klasy ryzyka i według roli organizacji. Firma wdrażająca gotowe narzędzia jest podmiotem stosującym: wspiera kompetencje w zakresie AI osób obsługujących systemy, w określonych przypadkach zapewnia przejrzystość, a przy systemach wysokiego ryzyka odpowiada też za użycie zgodne z instrukcją i nadzór człowieka.
Na skróty
Czego dowiesz się z artykułu:
- Kim jest podmiot stosujący i czym różni się od dostawcy systemu
- Które klasy ryzyka nakładają obowiązki, a które zostawiają swobodę
- Co oznacza obowiązek wspierania kompetencji w zakresie AI dla zwykłego zespołu
- Od czego zacząć wdrożenie zgodności, żeby nie zacząć od dokumentu
Dla kogo jest ten artykuł:
- Osoby odpowiadające za zgodność i ryzyko w średnich organizacjach
- Menedżerowie wdrażający narzędzia AI w zespołach biznesowych
- Właściciele procesów, w których system AI wspiera decyzje o ludziach
Czas czytania: 7 minut
Dostawca czy podmiot stosujący: od tego zależy wszystko
Rozporządzenie rozdziela role i do każdej przypisuje inny ciężar obowiązków. Dostawca to podmiot, który system AI rozwija i wprowadza na rynek pod własną nazwą. Podmiot stosujący używa systemu pod własnym nadzorem w ramach swojej działalności. Importer i dystrybutor mają role pośrednie, istotne przy łańcuchu dostaw.
Rozróżnienie nie jest formalne. Firma, która kupuje narzędzie i używa go zgodnie z przeznaczeniem, pozostaje podmiotem stosującym. Ta sama firma staje się dostawcą, jeśli wprowadza system pod własną marką albo istotnie zmienia jego przeznaczenie — i wtedy przechodzą na nią obowiązki, które wcześniej należały do producenta. To rzadki moment, w którym decyzja marketingowa przenosi odpowiedzialność regulacyjną.
Drugi wymiar to klasa ryzyka. Rozporządzenie wyróżnia praktyki zakazane, systemy wysokiego ryzyka, systemy objęte obowiązkami przejrzystości oraz pozostałe, dla których nie przewiduje szczególnych wymagań. Większość narzędzi biurowych trafia do ostatniej grupy; do grupy wysokiego ryzyka wchodzą zastosowania dotyczące między innymi rekrutacji, oceny pracowników, dostępu do usług czy infrastruktury krytycznej.
Obowiązki, które dotyczą podmiotu stosującego
Tekst rozporządzenia (UE) 2024/1689 opublikowany w eur-lex.europa.eu w art. 26 nakłada na podmiot stosujący system AI wysokiego ryzyka obowiązek używania go zgodnie z instrukcją dostawcy, powierzenia nadzoru osobom o niezbędnych kompetencjach oraz monitorowania działania systemu. Art. 4 — w brzmieniu nadanym rozporządzeniem (UE) 2026/1744, które weszło w życie 27 lipca 2026 r. — zobowiązuje dostawców i podmioty stosujące do podejmowania środków wspierających rozwój kompetencji w zakresie AI wśród personelu i innych osób zajmujących się systemami AI w ich imieniu. Przepis zastrzega, że nie oznacza to obowiązku zapewnienia określonego poziomu kompetencji poszczególnych osób. Art. 50 nakłada obowiązki przejrzystości wobec osób wchodzących w interakcję z systemem oraz wobec treści generowanych maszynowo.
Dla systemów wysokiego ryzyka dochodzą obowiązki trudniejsze operacyjnie: przechowywanie rejestrów zdarzeń, informowanie pracowników o stosowaniu takiego systemu wobec nich, a w określonych przypadkach ocena wpływu na prawa podstawowe. Po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744 (eur-lex.europa.eu) przepisy o systemach wysokiego ryzyka (rozdział III sekcje 1–3, w tym art. 26 i 27) stosuje się od 2 grudnia 2027 r. do systemów z załącznika III, obejmującego m.in. rekrutację i ocenę pracowników, oraz od 2 sierpnia 2028 r. do systemów z załącznika I, związanych z produktami objętymi unijnym prawodawstwem harmonizacyjnym. Praktyczna konsekwencja jest taka, że klasyfikacja systemu nie jest ćwiczeniem akademickim — rozstrzyga, czy wystarczy instrukcja i szkolenie, czy potrzebna jest dokumentacja procesu.
Obowiązek dotyczący kompetencji bywa odczytywany jako obowiązek zakupu kursu. Przepis w obecnym brzmieniu mówi o czymś innym: o podejmowaniu środków wspierających rozwój kompetencji, z uwzględnieniem wiedzy technicznej, doświadczenia i wykształcenia tych osób oraz kontekstu, w którym system jest używany. Dobrym punktem odniesienia jest to, czy osoby obsługujące system rozumieją jego ograniczenia, wiedzą, kiedy wynik wymaga weryfikacji, i znają ścieżkę zgłoszenia nieprawidłowości. Szkolenie jest jednym z takich środków, a nie dowodem osiągniętego stanu.
Styk z RODO: gdzie ramy się spotykają
Tam, gdzie system AI przetwarza dane osobowe, obok AI Act obowiązuje rozporządzenie (UE) 2016/679 dostępne w eur-lex.europa.eu. Obie ramy pytają o inne rzeczy. RODO pyta o podstawę prawną przetwarzania, zakres danych, prawa osoby i ocenę skutków dla ochrony danych. AI Act pyta o klasę ryzyka systemu, nadzór człowieka, przejrzystość i kompetencje osób obsługujących.
Zgodność z jedną ramą nie oznacza zgodności z drugą, ale praca wykonana dla RODO zwykle zmniejsza nakład na AI Act. Rejestr czynności przetwarzania jest naturalnym punktem zaczepienia dla inwentaryzacji systemów AI, a ocena skutków dla ochrony danych bywa miejscem, w którym część analizy ryzyka już została zapisana. Po zmianie wprowadzonej rozporządzeniem (UE) 2026/1744 art. 27 ust. 4 AI Act wprost pozwala podmiotowi stosującemu, który przeprowadza ocenę wpływu na prawa podstawowe, odesłać do odpowiednich części oceny skutków dla ochrony danych albo włączyć je do swojej oceny; przepis stosuje się razem z całym art. 27, czyli od 2 grudnia 2027 r. albo od 2 sierpnia 2028 r., zależnie od kategorii systemu (tekst w eur-lex.europa.eu).
Rozdzielenie rejestrów bywa pragmatyczne, lecz przy jednym warunku: oba muszą wskazywać tego samego właściciela procesu. Dwa rejestry z dwiema różnymi osobami odpowiedzialnymi rozjeżdżają się w ciągu kwartału.
Od czego zacząć, żeby nie zacząć od polityki
Najczęstszy błąd wdrożenia to napisanie polityki używania AI przed ustaleniem, co w firmie w ogóle działa. Kolejność odwrotna jest szybsza i tańsza:
- Inwentaryzacja — lista narzędzi i funkcji AI faktycznie używanych, włącznie z tymi wbudowanymi w oprogramowanie, które firma już ma. Zwykle jest dłuższa, niż zakłada zarząd.
- Klasyfikacja — przypisanie każdej pozycji roli organizacji i klasy ryzyka, z zapisanym uzasadnieniem.
- Nadzór — wskazanie, kto zatwierdza użycie w procesach dotyczących ludzi i kto weryfikuje wyniki.
- Dokument — polityka napisana na podstawie trzech poprzednich kroków, czyli opisująca rzeczywistość, a nie intencję.
Przy każdej pozycji inwentaryzacji warto zapisać, czy system wspiera decyzję o człowieku. To jedno pytanie rozdziela narzędzia wymagające pełnej uwagi regulacyjnej od tych, które wystarczy objąć zwykłą polityką bezpieczeństwa informacji.
Czytaj także
- AI Act — co zmienia się dla zespołów IT? — kalendarz zmian i ich skutki dla pracy zespołu technicznego
- Etyka i regulacje AI (AI Act): jak przygotować firmę na nadchodzące zmiany? — warstwa etyczna i organizacyjna wdrożenia
- Zarządzanie ryzykiem IT w praktyce: plan wdrożenia dla menedżera zespołu — rejestr, w którym te obowiązki da się obsłużyć bez osobnego procesu
Rozwijaj kompetencje
Temat rozwijają szkolenia AI Governance i EU AI Act — zarządzanie ryzykiem systemów AI oraz Regulacje AI Act w praktyce biznesowej. Pierwsze pracuje na ryzyku i nadzorze, drugie na obowiązkach w procesach biznesowych. Skontaktuj się z nami, żeby dopasować zakres do roli, jaką pełni Twoja organizacja.
Najczęściej zadawane pytania (FAQ)
Kogo obejmuje AI Act, jeśli firma tylko korzysta z gotowych narzędzi?
Taka firma jest podmiotem stosującym. Niezależnie od klasy ryzyka obejmuje ją obowiązek podejmowania środków wspierających kompetencje w zakresie AI osób obsługujących systemy, a w przypadkach opisanych w art. 50 — obowiązki przejrzystości. Jeśli używa systemu wysokiego ryzyka, dochodzą obowiązki z art. 26, w tym zgodność z instrukcją dostawcy i nadzór człowieka, stosowane od 2 grudnia 2027 r. albo od 2 sierpnia 2028 r., zależnie od kategorii systemu, zgodnie ze zmianami opublikowanymi w eur-lex.europa.eu. Obowiązki dostawcy — dokumentacja techniczna, ocena zgodności — pozostają po stronie producenta, dopóki firma nie wprowadzi systemu pod własną marką.
Czy zgodność z RODO wystarczy, żeby spełnić wymogi AI Act?
Nie, bo obie ramy pytają o inne rzeczy. RODO dotyczy przetwarzania danych osobowych, AI Act — ryzyka systemu i sposobu jego używania. System AI może nie przetwarzać danych osobowych i nadal podlegać obowiązkom, a ocena skutków dla ochrony danych nie odpowiada na pytanie o klasę ryzyka systemu.
Od czego zacząć wdrożenie: od inwentaryzacji czy od polityki?
Od inwentaryzacji. Polityka napisana przed poznaniem stanu faktycznego opisuje wyobrażenie o firmie i rozjeżdża się z praktyką przy pierwszym audycie wewnętrznym. Inwentaryzacja jest też jedynym sposobem wychwycenia funkcji AI wbudowanych w narzędzia kupione wcześniej w innym celu.
Czy rozporządzenie wymaga audytu zewnętrznego?
Dla większości zastosowań nie. Procedury oceny zgodności dotyczą określonych kategorii systemów wysokiego ryzyka i w pierwszej kolejności obciążają dostawcę. Podmiot stosujący dokumentuje własne obowiązki: klasyfikację, kompetencje, a przy systemach wysokiego ryzyka także nadzór i monitorowanie — a przeglądu może dokonać wewnętrznie, jeśli zostawi po nim ślad.