Regulacje ai act: jak przygotować firmę

AI Act w praktyce: kogo naprawdę dotyczy

Pierwsza rzecz, którą warto zrozumieć: AI Act nie jest tylko dla big techu. To rozporządzenie UE obejmujące cały łańcuch wartości AI – od twórców algorytmów po zwykłych przedsiębiorców wdrażających gotowe narzędzia.

Jeśli Twoja firma używa systemu scoringowego do oceny klientów, wdrożyła CRM z funkcją predykcyjną, stosuje narzędzie AI do preselekcji kandydatów w rekrutacji, korzysta z chatbota obsługującego klientów lub buduje własne rozwiązanie AI (nawet jako komponent większego produktu) – AI Act Cię dotyczy.

Regulacja wprowadza podejście oparte na ryzyku (risk-based approach): im większe zagrożenie dla ludzi, tym ostrzejsze wymagania dla firm. Kluczowe role biznesowe to:

• provider – dostawca rozwijający system AI i wprowadzający go na rynek pod własnym brandem,
• deployer – użytkownik biznesowy wykorzystujący system w swojej działalności,
• importer/dystrybutor – firma sprowadzająca lub dystrybuująca system na rynek UE,
• manufacturer – producent integrujący komponent AI w swoim produkcie, np. maszynie czy urządzeniu medycznym.

Dla polskiego przedsiębiorcy oznacza to, że nawet korzystanie z gotowego narzędzia AI może rodzić obowiązki wynikające z AI Act.

Protip: Zacznij od podstawowego pytania: czy jesteś twórcą rozwiązania AI (provider), czy jego użytkownikiem (deployer)? Ta odpowiedź determinuje 80% Twoich obowiązków.

Kiedy faktycznie musisz być gotowy: harmonogram wdrożenia

AI Act nie wchodzi w życie „z dnia na dzień” – zobowiązania rozkładają się w czasie, dając przestrzeń na przygotowanie.

Data	Co zaczyna obowiązywać	Kogo dotyczy
2 lutego 2025	zakaz praktyk o niedopuszczalnym ryzyku i obowiązek AI literacy	wszystkie podmioty; firmy wdrażające AI muszą zapewnić szkolenia
2 sierpnia 2025	obowiązki dla modeli GPAI, dokumentacja, podsumowanie danych treningowych, wymogi copyright	dostawcy generatywnej AI i modeli ogólnego przeznaczenia
2 sierpnia 2026	kluczowe obowiązki dla systemów wysokiego ryzyka, transparentność (art. 50), ocena zgodności, CE, nadzór ludzki	dostawcy i użytkownicy systemów high-risk (scoring, HR, sektor publiczny)
2 grudnia 2027	pełne obowiązki dla samodzielnych systemów high-risk z Załącznika III	dostawcy i deployerzy high-risk w sektorze prywatnym i publicznym
2 sierpnia 2028	wymogi dla komponentów AI wbudowanych w produkty regulowane innymi przepisami	producenci produktów z komponentem AI

Modele GPAI uznane za stwarzające systemowe ryzyko to takie, których trenowanie wymaga ponad 10²⁵ operacji zmiennoprzecinkowych (FLOPs) – to pokazuje skalę mocy obliczeniowej, przy której pojedynczy model może wpływać na cały ekosystem.

Zamiast myśleć „mamy czas do 2026″, potraktuj 2025–2026 jako okres pilotażu compliance: wprowadź roadmapę AI z kamieniami milowymi powiązanymi z harmonogramem – łatwiej będzie rozmawiać z zarządem, inwestorami i dostawcami technologii.

Cztery kategorie ryzyka: gdzie jest Twoja firma

AI Act dzieli systemy na cztery poziomy według stopnia zagrożenia:

1. Niedopuszczalne ryzyko – systemy manipulujące użytkownikami w sposób podprogowy, social scoring przez władze publiczne, real-time biometryczna identyfikacja w przestrzeni publicznej (z wyjątkami dla organów ścigania) oraz generowanie nielegalnych treści.

2. Wysokie ryzyko – rozwiązania w obszarze zatrudnienia, edukacji, kredytowania, dostępu do usług publicznych, wymiaru sprawiedliwości, a także komponenty AI pełniące funkcję bezpieczeństwa w produktach (maszyny, wyroby medyczne).

3. Ograniczone ryzyko – wymogi dotyczą głównie transparentności: informowania, że użytkownik ma do czynienia z AI (chatboty), oraz oznaczania treści jako wygenerowanych (deep fake).

4. Minimalne ryzyko – systemy o niskim wpływie: rekomendacje produktów, wsparcie pisania, narzędzia zwiększające produktywność.

Praktyczne pytania dla Twojej firmy: czy używamy systemów z katalogu high-risk (Załącznik III)? Czy nasze narzędzia mogą podpadać pod zakazane praktyki? Czy mamy chatboty, generatory contentu wymagające oznaczania?

Protip: Stwórz prostą macierz: po lewej stronie wypisz wszystkie rozwiązania AI w firmie, po prawej przypisz kategorię ryzyka i rolę (provider/deployer). To podstawa dalszych działań.

Gotowy prompt AI do oceny zgodności z AI Act

Skopiuj poniższy prompt i wklej go do ChatGPT, Gemini, Perplexity lub skorzystaj z naszych autorskich generatorów biznesowych dostępnych na stronie bemagazyn.pl/narzedzia:

Jestem [ROLA W FIRMIE, np. CEO / CTO / Compliance Officer] w firmie działającej w branży [BRANŻA]. Używamy/rozwijamy następujące rozwiązania AI: [OPIS ROZWIĄZAŃ, np. chatbot obsługi klienta, system scoringowy, platforma rekrutacyjna].

Na podstawie AI Act:
1. Określ kategorię ryzyka dla każdego z wymienionych rozwiązań (unacceptable, high-risk, limited, minimal).
2. Wskaż, czy w kontekście tych rozwiązań jesteśmy providerem czy deployerem.
3. Wymień 5 najważniejszych obowiązków, które muszę spełnić do [DATA, np. sierpnia 2026].
4. Zaproponuj 3 konkretne pierwsze kroki do wdrożenia w ciągu najbliższych 30 dni.

Zmienne do uzupełnienia:

• [ROLA W FIRMIE],
• [BRANŻA],
• [OPIS ROZWIĄZAŃ],
• [DATA].

Obowiązki „horyzontalne”: czego nie możesz zignorować

AI Act nakłada ogólne wymogi, które dotyczą szerokiego grona firm – nie tylko tych rozwijających własne modele high-risk.

AI literacy – podnoszenie kompetencji pracowników

Musisz zapewnić odpowiedni poziom „alfabetyzmu AI” wśród osób projektujących, wdrażających lub nadzorujących systemy AI. Chodzi o uwzględnienie wiedzy technicznej, doświadczenia, kontekstu użycia oraz grup, na które AI oddziałuje.

Zakaz niedopuszczalnych praktyk

Wszystkie podmioty muszą upewnić się, że nie stosują systemów z kategorii unacceptable risk.

Transparentność i oznaczanie treści (art. 50)

Systemy w bezpośredniej interakcji z osobami muszą informować, że użytkownik ma do czynienia z AI. Dostawcy systemów generujących audio, obraz, wideo lub tekst zobowiązani są do oznaczania wyjść jako sztucznie wygenerowanych, a deployerzy rozwiązań typu deep fake muszą ujawniać, że treść została wytworzona przez AI.

Współpraca z organami

Firmy muszą być przygotowane na przekazywanie informacji o używanych systemach i reagowanie na incydenty.

Potraktuj AI literacy jak kolejną warstwę „cyberhigieny”: wdrażaj krótkie, cykliczne szkolenia o ryzykach i obowiązkach AI, połączone z realnymi case studies – np. jak błędnie zaprojektowany scoring może naruszyć prawa klientów.

Jesteś użytkownikiem systemów high-risk? To Twoje obowiązki

Wielu polskich przedsiębiorców nie będzie budować własnych systemów wysokiego ryzyka, ale będzie je wykorzystywać – np. platformy HR, scoringowe, narzędzia do oceny klientów. Wtedy stajesz się deployerem.

Kluczowe zobowiązania deployera:

• używanie systemu zgodnie z instrukcjami dostawcy – w przewidzianym kontekście i według dokumentacji,
• dobór i zarządzanie danymi wejściowymi – odpowiedzialność za to, jakie informacje wprowadza się do systemu; konieczność minimalizowania ryzyka dyskryminacji,
• monitorowanie działania i prowadzenie logów – obserwowanie pracy systemu, identyfikowanie anomalii, utrzymywanie zapisów użycia,
• transparentność wobec użytkowników końcowych – informowanie osób, których dotyczą decyzje AI (kandydatów, klientów) o wykorzystaniu systemu high-risk,
• ocena skutków dla praw podstawowych – wymagana przed wdrożeniem dla podmiotów publicznych.

Protip: Jeśli korzystasz z zewnętrznego rozwiązania high-risk, wprowadzaj klauzule w umowach dotyczące zgodności z AI Act, praw do audytu, dostępu do logów i dokumentacji. Opracuj wewnętrzną politykę human-in-the-loop – określ, w jakich przypadkach decyzja AI zawsze musi być zatwierdzana przez człowieka.

Tworzysz systemy high-risk? Przygotuj się na pełen compliance

Jeśli Twoja firma rozwija system wysokiego ryzyka (np. własny silnik scoringowy, rozwiązanie do oceny kandydatów), AI Act nakłada rozbudowany zestaw wymogów:

• system zarządzania ryzykiem – cały cykl życia systemu, od projektowania po monitoring,
• jakość danych treningowych – zapewnienie reprezentatywności i minimalizacja dyskryminacji,
• dokumentacja techniczna – szczegółowy opis systemu, architektury, danych, ograniczeń,
• logowanie pracy systemu – automatyczne zapiski umożliwiające prześledzenie działania,
• przejrzystość i nadzór ludzki – jasna informacja o działaniu + możliwość ingerencji człowieka,
• cyberbezpieczeństwo – odporność na ataki, zapewnienie integralności,
• rejestracja i oznakowanie – rejestracja w bazie EU AI, ocena zgodności, oznakowanie CE.

Provider spoza UE musi powołać upoważnionego przedstawiciela w UE.

Generatywna AI: dodatkowe obowiązki dla modeli GPAI

Rozdział V AI Act wprowadza szczególne zasady dla general-purpose AI models (GPAI) – modeli ogólnego przeznaczenia, często będących bazą dla rozwiązań generatywnych.

Najważniejsze wymogi dla dostawców GPAI:

• dokumentacja techniczna – informacje o architekturze, parametrach, trenowaniu,
• podsumowanie danych treningowych – publikowanie opisów zbiorów danych,
• zgodność z prawem autorskim,
• testy odporności na ataki – dla modeli o systemowym ryzyku (powyżej 10²⁵ FLOPs),
• transparentność wygenerowanych treści – obowiązek oznaczania syntezy jako AI-generated.

Dla polskich firm budujących produkty na bazie dużych modeli oznacza to, że wybór dostawcy GPAI przestaje być wyłącznie kwestią techniczną – trzeba brać pod uwagę jego poziom zgodności z AI Act.

Protip: Już teraz pytaj swoich dostawców AI o ich plan compliance z AI Act. Brak odpowiedzi lub ogólniki to czerwona flaga.

Praktyczna roadmapa: co zrobić w firmie w 2025 roku

Z perspektywy przedsiębiorcy najważniejsze pytanie brzmi: co konkretnie zrobić w latach 2025–2026, aby AI nie była źródłem ryzyka, lecz przewagi konkurencyjnej.

Krok 1: Mapowanie zastosowań AI. Zinwentaryzuj wszystkie obecne i planowane zastosowania AI, przypisując do każdego wstępną kategorię ryzyka i rolę firmy (provider/deployer/importer).

Krok 2: Diagnoza luk zgodności. Sprawdź, które wymagania są już spełnione (np. polityki bezpieczeństwa danych) i zidentyfikuj obszary wymagające nowych procesów (np. AI literacy, ocena skutków, rejestracja systemów).

Krok 3: Governance dla AI. Powołaj komitet ds. AI lub wyznacz odpowiedzialnych. Zdefiniuj zasady: kto może inicjować projekty AI, jak ocenia się ryzyko, kto zatwierdza wdrożenia.

Krok 4: Polityki „by design”. Twórz nowe systemy z wbudowaną zgodnością – risk management by design, privacy i non-discrimination by design, human-in-the-loop by design. Wykorzystaj design thinking do projektowania interakcji człowiek–AI, tak aby były zrozumiałe, transparentne i wspierające decyzyjność.

Krok 5: Vendor management. Wymagaj od dostawców AI informacji o klasyfikacji ryzyka, dokumentacji, logach, oznaczaniu treści. Włącz zapisy o zgodności z AI Act do umów i SLA.

Krok 6: Program AI literacy. Przygotuj dedykowane ścieżki szkoleniowe dla zarządu, product ownerów, zespołów sprzedaży, HR i compliance. Połącz wiedzę prawną z praktyką biznesową.

AI Act jako przewaga konkurencyjna

Dla świadomego przedsiębiorcy AI Act to nie tylko zbiór obowiązków, ale ramy myślenia o roli AI w nowoczesnej organizacji.

Kluczowe konsekwencje strategiczne:

• przejście od „dzikiego eksperymentowania” do świadomego skalowania – każda inicjatywa AI powinna być powiązana z oceną ryzyka i planem nadzoru,
• zaufanie jako przewaga konkurencyjna – klienci będą coraz bardziej wrażliwi na sposób, w jaki AI ich ocenia; firmy komunikujące transparentność zyskają przewagę,
• nowe kompetencje w organizacji – rośnie znaczenie ról łączących technologię, prawo i design (AI product owner, AI ethics lead),
• zmiana kultury decyzji – decyzje wspierane przez AI wymagają umiejętności kwestionowania rekomendacji modelu, świadomości jego ograniczeń.

Z perspektywy psychologii biznesu projektowanie interakcji człowiek–AI staje się procesem projektowania zaufania. Wymagania AI Act (transparentność, human oversight, dokumentacja) wspierają budowę mentalnych modeli, dzięki którym użytkownicy rozumieją, co robi system i kiedy powinni zareagować.

Traktuj AI Act nie tylko jako obowiązek regulacyjny, ale jako ramę projektowania nowoczesnych usług: wykorzystaj wymagane procesy (dokumentowanie, analiza danych, human oversight) jako narzędzia do budowania przewagi – lepszych decyzji, większego zaufania klientów, wyższej jakości produktów. Pokaż klientom i partnerom, że Twoja firma ma świadomą strategię AI – to coraz częściej element due diligence i rozmów inwestycyjnych.