AI Act w Polsce: co realnie dotyczy Twojej firmy

Większość polskich firm nie zbudowała ani jednego systemu AI. Kupiła licencje, włączyła asystenta w pakiecie biurowym, może postawiła chatbota na stronie. Mimo to w nagłówkach AI Act wygląda jak przepis, który zaraz zatrzyma pracę działu marketingu i HR.

Jest spokojniej, niż sugerują nagłówki, ale nie bez obowiązków. Nie omawiamy tu 113 artykułów. Pokazujemy mapę: co już obowiązuje, co dopiero przyjdzie, gdzie stoi typowa firma i jak w pięciu pytaniach sprawdzić, które przepisy dotyczą Ciebie. Szczegóły każdego wątku znajdziesz w osobnych artykułach, do których prowadzą linki.

Traktuj ten tekst jako orientację w przepisach, a nie opinię prawną. Gdy Twoja firma buduje własne systemy AI albo używa ich do decyzji o ludziach, konkretne zastosowanie powinien ocenić prawnik.

Czym jest AI Act i czy obowiązuje w Polsce?

AI Act to rozporządzenie Unii Europejskiej (UE) 2024/1689, które ustala zasady wprowadzania na rynek i stosowania systemów sztucznej inteligencji według poziomu ryzyka. Weszło w życie 1 sierpnia 2024 roku i jako rozporządzenie działa w Polsce bezpośrednio, tak jak RODO.

Tak, AI Act obowiązuje w Polsce, ale stopniowo: każda grupa przepisów ma własną datę stosowania. Część działa od 2025 roku, część od sierpnia 2026, a obowiązki dla systemów wysokiego ryzyka przyjdą w latach 2027 i 2028.

W lipcu 2026 roku Unia zmieniła AI Act tzw. pakietem Digital Omnibus, czyli rozporządzeniem 2026/1744. Zmiana weszła w życie 27 lipca 2026 roku. Przesunęła terminy dla systemów wysokiego ryzyka, złagodziła brzmienie obowiązku kompetencji i dodała dwa nowe zakazy. Dlatego wiele tekstów sprzed tej daty podaje dziś nieaktualne terminy.

Polska ma też własną ustawę o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Nie dokłada ona firmom nowych obowiązków materialnych. Wyznacza organ nadzoru, czyli Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), oraz procedury kontroli, skarg i kar.

Co ta ustawa oznacza w praktyce, opisujemy w artykule Ustawa o systemach sztucznej inteligencji: co zmienia dla firm.

Kogo dotyczy AI Act: dostawca czy podmiot stosujący?

AI Act dotyczy każdej firmy, która tworzy systemy AI albo używa ich zawodowo na terenie UE, ale zakres obowiązków zależy od roli. Rozporządzenie rozróżnia kilka ról, a dla typowej firmy liczą się dwie.

• Dostawca rozwija system AI albo zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem towarowym. Na nim spoczywa większość obowiązków: dokumentacja, ocena zgodności, oznaczanie treści generowanych przez system.
• Podmiot stosujący używa systemu AI, nad którym sprawuje kontrolę, w ramach działalności zawodowej. Ma mniej obowiązków, ale nie zero: przejrzystość wobec ludzi, a od grudnia 2027 roku zasady korzystania z systemów wysokiego ryzyka.

Siedziba dostawcy nie ma znaczenia. AI Act obejmuje dostawców spoza UE, którzy wprowadzają systemy na rynek unijny, oraz firmy spoza UE, gdy wyniki działania ich systemu są wykorzystywane w Unii (art. 2 ust. 1). Amerykańskie pochodzenie narzędzia nie zwalnia więc ani jego producenta, ani Ciebie jako użytkownika z obowiązków przypisanych Twojej roli.

Firma, która kupuje Copilota i ChatGPT dla zespołu, jest podmiotem stosującym. Firma, która buduje aplikację z AI i sprzedaje ją klientom, jest dostawcą. Trudniej z firmami, które są gdzieś pomiędzy.

Kiedy firma niechcący zostaje dostawcą

Rola nie wynika z tego, kto napisał kod. Wynika z tego, pod czyim szyldem i do czego system działa. Według art. 25 ust. 1 AI Act podmiot stosujący staje się dostawcą systemu wysokiego ryzyka, gdy:

1. umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka, który jest już na rynku,
2. wprowadzi w nim istotną zmianę, a system nadal jest wysokiego ryzyka,
3. zmieni przeznaczenie systemu, także ogólnego przeznaczenia, tak że staje się on systemem wysokiego ryzyka.

Trzeci punkt jest najmniej intuicyjny. Ogólny asystent AI nie jest systemem wysokiego ryzyka. Jeśli jednak dział HR zacznie go używać do rankingu CV, zastosowanie trafia do obszaru wysokiego ryzyka. Czy firma wchodzi wtedy w rolę dostawcy, to otwarte zagadnienie: przepis na to wskazuje, ale nie ma jeszcze ostatecznych wytycznych ani orzecznictwa, więc taki przypadek wymaga oceny prawnej.

Podobny mechanizm dotyczy chatbota. Według wytycznych Komisji Europejskiej do art. 50 z lipca 2026 roku firma, która wdraża chatbota pod własną nazwą lub znakiem, może być jego dostawcą, nawet jeśli pod spodem działa model innej firmy.

Stan prawny na 3 października 2026 roku. Kwalifikacja zależy od szczegółów zastosowania.

Kiedy co zaczyna obowiązywać: kalendarz po zmianach z 2026 roku

Na 3 października 2026 roku obowiązują już zakazy, przepisy ogólne, zasady dla modeli ogólnego przeznaczenia oraz przejrzystość z art. 50, a obowiązki dla systemów wysokiego ryzyka zaczną się 2 grudnia 2027 roku. Daty pochodzą z art. 113 AI Act w brzmieniu nadanym przez rozporządzenie 2026/1744 oraz z art. 127 polskiej ustawy.

Stan na 3 października 2026 roku. Rozporządzenie 2026/1744 już raz przesunęło terminy, więc przed ważną decyzją sprawdź aktualne brzmienie art. 113 w EUR-Lex.

Okres przejściowy do 2 grudnia 2026 roku dotyczy wąskiej grupy: dostawców systemów generujących syntetyczny tekst, obraz, dźwięk lub wideo, wprowadzonych do obrotu przed 2 sierpnia 2026 roku, i tylko oznaczania w formacie do odczytu maszynowego. Nie przesuwa obowiązku informowania, że klient rozmawia z chatbotem.

Jest też druga zasada przejściowa: systemy wysokiego ryzyka wprowadzone do obrotu przed 2 grudnia 2027 roku podlegają nowym obowiązkom dopiero wtedy, gdy po tej dacie ktoś istotnie zmieni ich projekt (art. 111 ust. 2). Co to oznacza dla kupionego oprogramowania HR, oceni prawnik.

Cztery poziomy ryzyka: gdzie jest typowa firma?

Większość zastosowań AI w typowej firmie, takich jak pisanie maili, podsumowania czy analiza dokumentów, mieści się w poziomie minimalnego ryzyka, który nie nakłada nowych obowiązków poza art. 4. Wyjątki pojawiają się tam, gdzie AI rozmawia z klientem, tworzy realistyczne treści albo wpływa na decyzje o ludziach.

AI Act nie przypisuje ryzyka narzędziu, tylko zastosowaniu. Ten sam model językowy może być ryzykiem minimalnym w dziale marketingu i wysokim w dziale HR.

Stan prawny na 3 października 2026 roku. Kwalifikacja zależy od szczegółów zastosowania i wyjątków z art. 6 ust. 3.

Granica wysokiego ryzyka jest mniej oczywista, niż sugeruje tabela. Artykuł 6 ust. 3 wyłącza z niej np. wąskie zadania proceduralne i czynności przygotowawcze, ale profilowanie osób fizycznych w obszarach z załącznika III kwalifikuje system jako wysokiego ryzyka bez względu na te wyjątki. Jak przejść ten test krok po kroku, wyjaśniamy w artykule Systemy AI wysokiego ryzyka: jak sprawdzić, czy Twoje zastosowanie się kwalifikuje.

Czego zakazuje AI Act i czy to dotyczy zwykłej firmy?

AI Act zakazuje kilku praktyk uznanych za niedopuszczalne, m.in. manipulacji, która wyrządza poważną szkodę, oceny społecznej i rozpoznawania emocji w miejscu pracy; zakazy obowiązują od 2 lutego 2025 roku. Większość z nich dotyczy państw, policji albo bardzo specyficznych produktów. Dla zwykłej firmy realne są dwa.

Pierwszy to wnioskowanie o emocjach osób w miejscu pracy i w edukacji (art. 5 ust. 1 lit. f), z wyjątkiem celów medycznych i bezpieczeństwa. Narzędzie do rozmów sprzedażowych, które ocenia z głosu „zaangażowanie” handlowca, albo kamera analizująca nastrój zespołu, może tu podpadać.

Drugi to ocena społeczna, czyli punktowanie ludzi na podstawie ich zachowania lub cech osobistych, gdy prowadzi do krzywdzącego traktowania w niezwiązanych sytuacjach albo traktowania nieproporcjonalnego do zachowania. Program lojalnościowy, który z danych z wielu źródeł buduje „wynik klienta” i na tej podstawie odmawia usług w innym obszarze, wymaga ostrożnej oceny.

Pozostałe zakazy z art. 5 to m.in. wykorzystywanie słabości osób ze względu na wiek lub niepełnosprawność, przewidywanie ryzyka popełnienia przestępstwa wyłącznie na podstawie profilowania, nieukierunkowane pozyskiwanie wizerunków twarzy z internetu do baz rozpoznawania twarzy oraz kategoryzacja biometryczna w celu ustalenia np. poglądów politycznych czy orientacji seksualnej.

Od 2 grudnia 2026 roku dochodzą dwa zakazy dodane przez rozporządzenie 2026/1744. Dotyczą systemów do tworzenia intymnych obrazów realnych osób bez ich zgody oraz materiałów przedstawiających seksualne wykorzystywanie dzieci.

Przejrzystość: chatbot i treści z AI w jednym akapicie

Od 2 sierpnia 2026 roku osoba rozmawiająca z chatbotem ma wiedzieć, że rozmawia z AI, chyba że jest to oczywiste.

Według wytycznych Komisji chatbot w obsłudze klienta, którego odpowiedzi mogą wyglądać na ludzkie, nie korzysta z wyjątku oczywistości, a wewnętrzny asystent dla przeszkolonych pracowników zwykle tak.

Nie każdą grafikę czy tekst z AI trzeba oznaczać: obowiązek dotyczy przede wszystkim deepfake'ów i tekstów publikowanych w celu informowania o sprawach publicznych bez kontroli redakcyjnej.

Tabelę decyzyjną i wzory komunikatów znajdziesz w artykule Oznaczanie treści AI i chatbota na stronie: co wynika z art. 50 AI Act.

AI Act a RODO: które przepisy wygrywają?

AI Act nie zastępuje RODO; oba akty stosuje się równolegle, a AI Act pozostaje bez uszczerbku dla przepisów o ochronie danych osobowych (art. 2 ust. 7), z wyjątkami z art. 4a (dane szczególnych kategorii do wykrywania stronniczości) i art. 59. Jeśli do narzędzia AI trafiają dane osobowe klientów albo pracowników, nadal potrzebujesz podstawy prawnej, umowy powierzenia z dostawcą i oceny, czy zastosowanie wymaga analizy skutków (art. 35 RODO).

W praktyce RODO dotyczy Twojej firmy dziś i dużo częściej niż przepisy o wysokim ryzyku. Co dzieje się z danymi w popularnych narzędziach i jakie ustawienia sprawdzić, opisujemy w artykule Czy ChatGPT jest bezpieczny dla firmy? Dane, RODO i ustawienia.

Jakie kary grożą i ile naprawdę może zapłacić mała firma?

Najwyższe kary w AI Act sięgają 35 mln euro lub 7% światowego rocznego obrotu, ale dla mikro, małych i średnich przedsiębiorstw stosuje się niższą z dwóch kwot, a nie wyższą. Stawki określa art. 99 AI Act. Są to maksymalne pułapy, a organ ustala karę z uwzględnieniem m.in. wagi i czasu trwania naruszenia, współpracy i wielkości firmy (art. 99 ust. 7).

Stan prawny na 3 października 2026 roku. Rozporządzenie 2026/1744 rozszerzyło zasadę niższej kwoty także na małe spółki o średniej kapitalizacji, ale tylko dla kar z ust. 4 i 5; za zakazane praktyki płacą one według pułapu ogólnego (art. 99 ust. 6a).

Przykład liczbowy (hipotetyczny): firma z sektora MŚP z rocznym obrotem 10 mln euro nie wdrożyła informacji o chatbocie. Pułap to niższa z kwot 15 mln euro i 3% obrotu, czyli 300 tys. euro. Przy zakazanej praktyce pułap wyniósłby 700 tys. euro (7% obrotu). To pułapy, a nie kwota, której należy się spodziewać.

W Polsce kary nakłada KRiBSI, a przepisy o kontrolach i karach zaczną działać 28 października 2026 roku. Ustawa nie wprowadza własnych stawek, odsyła do AI Act. Przewiduje za to ostrzeżenie z czasem na naprawę i mechanizmy obniżenia kary, opisane w artykule o polskiej ustawie.

Sprawdź swoją sytuację w pięciu pytaniach

Ten test nie zastępuje analizy prawnej, ale w kilka minut pokaże, które bloki AI Act dotyczą Twojej firmy. Odpowiadaj osobno dla każdego zastosowania AI, a nie dla firmy jako całości.

1. Czy używasz AI do decyzji o ludziach? Chodzi o rekrutację, ocenę pracowników, przydział zadań, awanse, scoring kredytowy klientów albo ceny ubezpieczeń na życie i zdrowotnych.

• Tak: to kandydat na system wysokiego ryzyka. Obowiązki od 2 grudnia 2027 roku, ale decyzję o narzędziu i jego dostawcy podejmujesz dziś.
• Nie: przejdź dalej.

2. Czy AI ocenia emocje pracowników albo punktuje ludzi za zachowanie?

• Tak: sprawdź zakazy z art. 5. Obowiązują od lutego 2025 roku i mają najwyższe kary.
• Nie: przejdź dalej.

3. Czy AI rozmawia z klientem albo kandydatem? Chatbot na stronie, asystent w poczcie wysyłający odpowiedzi bez udziału człowieka, voicebot.

• Tak: art. 50 ust. 1, obowiązuje od 2 sierpnia 2026 roku. Ustal, kto odpowiada za komunikat: Ty czy dostawca.
• Nie: przejdź dalej.

4. Czy publikujesz realistyczne obrazy, nagrania lub głosy, które mogą uchodzić za prawdziwe, albo teksty o sprawach publicznych bez weryfikacji redakcyjnej?

• Tak: art. 50 ust. 4, obowiązek oznaczenia po Twojej stronie jako podmiotu stosującego.
• Nie: przejdź dalej.

5. Czy budujesz system AI, sprzedajesz go pod swoją marką albo zmieniasz przeznaczenie gotowego narzędzia?

• Tak: możesz wejść w rolę dostawcy. To otwarte zagadnienie, które zmienia zakres obowiązków i wymaga oceny prawnej.
• Nie: jesteś podmiotem stosującym.

Wynik: jeśli przy każdym zastosowaniu odpowiedziałeś „nie”, jesteś w poziomie minimalnego ryzyka. Zostaje Ci art. 4 (kompetencje), RODO i porządek w narzędziach. Każde „tak” wskazuje konkretny blok przepisów i artykuł, w którym go opisujemy.

Co zrobić teraz, jeśli Twoja firma „tylko używa ChatGPT i Copilota”?

Zacznij od listy zastosowań AI w firmie, bo bez niej nie da się ustalić ani roli, ani poziomu ryzyka. Poniższe kroki nie dają zgodności z prawem same z siebie, ale porządkują to, o co zapyta prawnik, audytor albo kontroler.

1. Spisz zastosowania, nie narzędzia. „ChatGPT” to za mało. Zapisz: kto, do czego, na jakich danych, czy wynik trafia do klienta albo wpływa na decyzję o człowieku.
2. Przypisz rolę i poziom ryzyka. Użyj testu pięciu pytań i tabeli poziomów. Zaznacz zastosowania niepewne.
3. Zatrzymaj to, co może być zakazane. Rozpoznawanie emocji pracowników i ukryte punktowanie klientów sprawdź przed wszystkim innym.
4. Uporządkuj przejrzystość. Chatbot na stronie powinien informować, że jest AI, najpóźniej przy pierwszej interakcji.
5. Zadbaj o kompetencje zespołu. Art. 4 wymaga od dostawców i podmiotów stosujących środków wspierających rozwój kompetencji w zakresie AI, dopasowanych do pracy ludzi. Jak to zrobić rozsądnie, opisujemy w artykule AI literacy: obowiązek kompetencji z art. 4 AI Act w praktyce.
6. Spisz zasady. Zatwierdzone narzędzia, dozwolone dane i weryfikację wyników warto zebrać w jednym dokumencie. Wzór i plan wdrożenia znajdziesz w artykule Polityka AI w firmie: co powinna zawierać i jak ją wdrożyć (ze wzorem).
7. Przejrzyj umowy z dostawcami. Sprawdź, kto odpowiada za komunikaty AI, oznaczanie treści i dokumentację, zwłaszcza przy narzędziach HR i chatbotach budowanych na zamówienie.

Jeśli przy kroku 2 masz zastosowanie, którego nie umiesz zakwalifikować, od 28 października 2026 roku możesz zapytać KRiBSI o opinię indywidualną. Procedurę, koszt i terminy opisujemy w artykule Ustawa o systemach sztucznej inteligencji: co zmienia dla firm.

Trzy mity o AI Act

„AI Act zakazuje ChatGPT w firmie.” Nie zakazuje. Ogólny asystent AI używany do pisania i analizy to ryzyko minimalne. Problem może pojawić się przy konkretnym zastosowaniu, np. przy rankingu kandydatów.

„AI Act dotyczy tylko firm technologicznych.” Dotyczy każdego, kto zawodowo używa AI. Obowiązki podmiotu stosującego są lżejsze niż dostawcy, ale firma z chatbotem na stronie albo AI w rekrutacji ma je niezależnie od branży.

„Polska ustawa dokłada nowe obowiązki.” Nie dokłada obowiązków materialnych. Uruchamia egzekwowanie: organ, kontrole, skargi i kary. Daje też narzędzia dla firm, np. opinię indywidualną i piaskownicę regulacyjną.