Regulacje dotyczące sztucznej inteligencji: praktyczny przewodnik dla małej firmy

AI Act ustanawia unijne obowiązki dotyczące systemów sztucznej inteligencji, a ich zakres zależy od rodzaju systemu i roli firmy. Przepisy o danych osobowych, prawach konsumenta i prawach autorskich mogą mieć zastosowanie równolegle.

Dostawca rozwija system AI lub zleca jego opracowanie i wprowadza go na rynek albo oddaje do użytku pod własną nazwą. Podmiot wdrażający używa systemu AI w ramach działalności zawodowej. Firma może pełnić obie role, na przykład gdy tworzy własny chatbot i oferuje go klientom pod swoją marką.

Tabela pokazuje typową rolę małej firmy przy różnych sposobach korzystania z AI. Sama integracja nie przesądza, że wykonawca staje się dostawcą; znaczenie mają przeznaczenie systemu, zakres modyfikacji i sposób oferowania.

Wniosek: rolę ustala się na podstawie sposobu opracowania, oferowania i używania systemu, a nie wyłącznie na podstawie autorstwa kodu.

AI Act zobowiązuje dostawców i podmioty wdrażające do podejmowania działań wspierających kompetencje AI pracowników i innych osób obsługujących systemy w ich imieniu. Zakres wsparcia powinien odpowiadać narzędziom, zadaniom i kontekstowi użycia.

Mała firma używająca gotowego narzędzia może podlegać AI Act jako podmiot wdrażający, nawet jeśli nie tworzy modelu ani nie sprzedaje oprogramowania. Sama wielkość firmy nie rozstrzyga, czy konkretne obowiązki mają zastosowanie.

Zadaj cztery pytania:

1. Czy firma tylko używa systemu dostarczonego przez inną firmę?
2. Czy oferuje system klientom pod własną nazwą albo jako część własnej usługi?
3. Czy zmienia system lub jego przeznaczenie?
4. Czy wynik wspiera decyzję dotyczącą zatrudnienia, dostępu do istotnej usługi albo bezpieczeństwa produktu?

Sklep WooCommerce używający gotowego chatbota do odpowiedzi o statusie zamówienia zwykle działa jako podmiot wdrażający. Firma usługowa korzystająca z AI do streszczania własnych notatek powinna ustalić, jakie dane przekazuje i kto sprawdza wynik. Agencja oferująca klientowi chatbota z własną warstwą integracji powinna dodatkowo przeanalizować, czy modyfikacja i sposób oferowania systemu wiążą się z rolą dostawcy.

Dokładniejszej analizy wymagają zastosowania, w których AI wpływa na zatrudnienie, ocenę osoby, dostęp do istotnych usług albo bezpieczeństwo produktu. Nazwa funkcji w cenniku dostawcy nie wystarcza do oceny; liczą się przeznaczenie systemu, kontekst użycia i rzeczywisty wpływ wyniku.

Jeżeli do narzędzia trafiają informacje o możliwej do zidentyfikowania osobie, firma powinna także ocenić obowiązki dotyczące ochrony danych. Ochrona danych osobowych może mieć zastosowanie niezależnie od klasy ryzyka systemu w AI Act.

Spis zastosowań AI powinien łączyć proces, narzędzie, dane, wynik, właściciela i sposób kontroli. Dzięki temu firma ustali, gdzie system wpływa na klienta lub pracownika oraz kto reaguje na błąd.

Zacznij od rozmów z osobami wykonującymi zadania, a następnie porównaj odpowiedzi z listą aplikacji i integracji. W arkuszu dodaj pola: proces, narzędzie, dostawca, dane wejściowe, użytkownicy, wynik, odbiorca wyniku, właściciel procesu, kontrola człowieka, rola firmy i data przeglądu. Rozdziel użycie testowe od produkcyjnego, bo narzędzie może przejść z eksperymentu do codziennej pracy.

Przykładowy wpis dla chatbota może obejmować obsługę pytań o zamówienia, dostawcę narzędzia, dane o statusie przesyłki, klienta jako odbiorcę odpowiedzi i pracownika obsługującego eskalacje. Wpis dla opisów produktów może wskazywać źródło specyfikacji, osobę zatwierdzającą tekst oraz sposób sprawdzania twierdzeń o produkcie.

Z naszych wdrożeń wynika, że spis jest użyteczny, gdy właściciel procesu potrafi wskazać, kto sprawdza odpowiedź i co robi po wykryciu błędu. Zalecamy aktualizować rejestr przy zakupie aplikacji, zmianie integracji oraz przeniesieniu AI z testów do pracy produkcyjnej.

Jeśli firma potrzebuje połączyć zastosowania AI z istniejącymi procesami i narzędziami, wdrożenie AI w firmie może objąć analizę zastosowania, odpowiedzialności i integracji.

Wstępna ocena ryzyka powinna uwzględniać osoby objęte działaniem systemu, wpływ wyniku, rodzaj danych i możliwość kontroli przez człowieka. Ocena pomaga zdecydować o dalszych krokach, ale nie zastępuje prawnej kwalifikacji systemu.

Tabela porównuje zastosowania pod kątem pierwszego kroku kontrolnego. Wpływ na decyzje dotyczące ludzi wymaga dokładniejszej analizy niż wsparcie informacyjne.

Wniosek: tabela wskazuje zastosowania wymagające sprawdzenia, ale sama nie przypisuje systemowi kategorii prawnej.

System używany w rekrutacji może należeć do kategorii wysokiego ryzyka, ponieważ AI Act wymienia wybrane zastosowania związane z zatrudnieniem. Rekomendacja produktowa nie staje się systemem wysokiego ryzyka wyłącznie dlatego, że korzysta z AI. O kwalifikacji decydują przeznaczenie i konsekwencje użycia.

Sprawdź, czy pracownik potrafi zweryfikować podstawę odpowiedzi, poprawić ją przed użyciem i przejąć sprawę. Jeżeli kontrola istnieje tylko formalnie, a wynik systemu faktycznie przesądza o decyzji, opisz sposób pracy w rejestrze i skieruj zastosowanie do pogłębionej oceny.

Od 2 sierpnia 2026 stosują się wymogi przejrzystości z art. 50 AI Act dla objętych nimi interakcji i treści. Przy każdym obowiązku sprawdź, czy dotyczy dostawcy systemu, podmiotu wdrażającego czy obu tych ról.

Dostawca systemu przeznaczonego do bezpośredniej interakcji z człowiekiem ma zaprojektować go tak, aby osoba wiedziała, że rozmawia z AI, chyba że jest to oczywiste. Obowiązek z art. 50 ust. 1 przypisuje dostawcy systemu, a nie automatycznie każdej firmie, która dodaje gotowy chatbot do strony.

Firma wdrażająca gotowego chatbota powinna praktycznie sprawdzić konfigurację, miejsce i czytelność informacji dla użytkownika oraz działanie ścieżki kontaktu z człowiekiem. To zalecenie operacyjne pomaga ocenić wdrożenie i doświadczenie klienta; samo w sobie nie zmienia przypisania obowiązku dostawcy wynikającego z art. 50 ust. 1.

Przy deepfake'u, czyli obrazie, dźwięku lub filmie wygenerowanym albo zmanipulowanym przez AI, który może fałszywie wyglądać na autentyczny, podmiot wdrażający ma obowiązek ujawnienia sztucznego pochodzenia. Dostawcy objętych przepisem systemów generujących treści syntetyczne mają osobny obowiązek oznaczania i wykrywalności takich treści.

AI Act nie nakazuje automatycznego oznaczania każdego tekstu wygenerowanego przez AI. Obowiązek podmiotu wdrażającego dotyczy tekstu wygenerowanego lub zmanipulowanego przez AI, opublikowanego w celu informowania społeczeństwa o sprawach interesu publicznego, jeśli tekst nie przeszedł ludzkiej kontroli ani kontroli redakcyjnej. Wyjątek obejmuje publikowany tekst, który przeszedł ludzką kontrolę lub kontrolę redakcyjną, pod warunkiem że osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną za publikację. Sama korekta pisowni lub gramatyki nie jest taką kontrolą.

Dla materiałów firmowych ustal, kto sprawdza pochodzenie, zatwierdza treść i decyduje o wymaganym oznaczeniu. Dostawca oraz podmiot wdrażający mogą mieć różne obowiązki, dlatego w rejestrze zastosowania zapisz, kto dostarcza system, kto go używa i kto publikuje wynik.

Wdrożenie AI powinno mieć właściciela procesu, ograniczenia danych wejściowych i osobę zatwierdzającą wynik. Procedura musi opisywać codzienną pracę z narzędziem, a nie tylko ogólną deklarację firmy.

Przygotuj pięć elementów:

• Właściciela zastosowania odpowiedzialnego za cel, użytkowników i przegląd.
• Zasady użycia określające dozwolone zadania, dane zabronione i kontrolę wyniku.
• Testy jakości obejmujące błędne, niepełne i nietypowe dane wejściowe.
• Rejestr wersji narzędzia, zmian konfiguracji i incydentów.
• Szkolenie dopasowane do zadań oraz ścieżkę zgłaszania problemów.

Minimalne dowody wdrożenia to karta zastosowania, ocena ryzyka, instrukcja pracy, wyniki testów, zapis decyzji o uruchomieniu i historia istotnych zmian. Jeśli system przetwarza dane osobowe, dołącz ustalenia dotyczące umów, ról stron, podstawy przetwarzania i przepływu danych do dostawców.

Zalecamy opisać również sytuację awaryjną: kto może wstrzymać użycie systemu, jak pracownik zgłasza błędną odpowiedź i kto ocenia, czy narzędzie można ponownie uruchomić. Taka procedura łączy wymagania z codzienną odpowiedzialnością operacyjną.

Na 17 października 2026 wymogi przejrzystości z art. 50 stosują się od 2 sierpnia 2026, a wybrane wymogi dla systemów wysokiego ryzyka mają późniejsze terminy. Daty poniżej uwzględniają zmianę harmonogramu w rozporządzeniu (UE) 2026/1744.

Tabela porządkuje terminy stosowania wybranych obowiązków. Każdorazowo sprawdź konkretny przepis, kategorię systemu i rolę firmy.

Wniosek: okres przejściowy do 2 grudnia 2026 dotyczy obowiązku oznaczania i wykrywalności treści generowanych przez systemy wprowadzone na rynek przed 2 sierpnia 2026 i nie przesuwa pozostałych wymogów przejrzystości z art. 50.

Termin 2 grudnia 2027 obejmuje systemy wysokiego ryzyka wskazane w załączniku III, w tym wybrane zastosowania w zatrudnieniu, edukacji, infrastrukturze krytycznej oraz dostępie do usług. Termin 2 sierpnia 2028 dotyczy systemów AI będących elementami określonych produktów regulowanych. Zmiana harmonogramu dla tych systemów nie zawiesza obowiązków stosowanych wcześniej.

Oficjalna oś czasu stosowania AI Act Komisji Europejskiej oraz tekst rozporządzenia (UE) 2026/1744 zawierają harmonogram i zmianę terminów. Informacje zweryfikowaliśmy 17 października 2026.

Brak właściciela zastosowania utrudnia ustalenie, kto zatwierdza wynik i reaguje na problem. Sama lista narzędzi nie pokazuje, jak AI wpływa na klienta, pracownika ani decyzję biznesową.

Unikaj w szczególności:

• Wklejania danych klientów do narzędzia bez sprawdzenia zasad dostawcy i podstaw przetwarzania.
• Publikowania odpowiedzi chatbota bez testów błędów i ścieżki przekazania sprawy człowiekowi.
• Zakładania, że każde użycie gotowego modelu oznacza wyłącznie obowiązki dostawcy.
• Traktowania każdej treści wygenerowanej przez AI jako objętej identycznym obowiązkiem oznaczania.
• Uznawania ogólnej listy kontrolnej za indywidualną kwalifikację prawną.

Z naszych wdrożeń wynika, że ryzyko operacyjne rośnie, gdy pracownicy nie wiedzą, komu zgłosić błędną odpowiedź lub incydent. Zalecamy przypisać kanał zgłoszeń do właściciela procesu i określić, kiedy narzędzie należy wstrzymać do czasu sprawdzenia.

Jeśli chcesz przełożyć obowiązki na role, procesy i kontrolę narzędzi, wdrożenie AI dopasowane do procesów firmy może pomóc uporządkować konkretne zastosowanie. Warto osobno analizować AI Act dla polskich agencji oraz zastosowania sztucznej inteligencji w biznesie, gdy zakres firmy wykracza poza pojedyncze narzędzie.

• Rodzaje sztucznej inteligencji: które rozwiązania mają sens w firmie
• ChatGPT a prawa autorskie: kto może korzystać z treści wygenerowanej przez AI
• AI dla firm budowlanych: praktyczne zastosowania i plan wdrożenia
• Automatyzacja AI na Podhalu - jakie procesy warto wdrożyć w firmie?
• Google AI Studio: jak testować Gemini i tworzyć prototypy AI