Jeśli Twoi pracownicy piszą z ChatGPT oferty, streszczają w Copilocie dokumenty albo przygotowują w Gemini posty, Twoja firma jest dla AI Act „podmiotem stosującym” (ang. deployer). Nie tworzysz modeli, nie sprzedajesz systemów AI, tylko ich używasz. Dobra wiadomość: obowiązków jest niewiele. Gorsza: część z nich obowiązuje już dziś, a w Polsce od 28 października 2026 r. mogą je sprawdzać kontrolerzy.
Co się zmieniło w 2026 roku
W lipcu 2026 r. UE przyjęła rozporządzenie 2026/1744, nazywane Digital Omnibus on AI. Weszło w życie 27 lipca 2026 r. i zmieniło dwie rzeczy, które dotyczą zwykłej firmy:
- Obowiązki dla systemów wysokiego ryzyka z załącznika III (m.in. AI w rekrutacji i ocenie pracowników) przesunięto z 2 sierpnia 2026 r. na 2 grudnia 2027 r.
- Art. 4 o kompetencjach w zakresie AI złagodzono: zamiast „zapewnić wystarczający poziom” wiedzy firma ma „podejmować środki wspierające rozwój kompetencji”. Rozporządzenie dodaje wprost, że nie musi gwarantować określonego poziomu wiedzy żadnej osoby.
Ogólna data stosowania AI Act, 2 sierpnia 2026 r., się nie zmieniła. Od tego dnia obowiązują też zasady przejrzystości z art. 50.
W Polsce uchwalono ustawę o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Powołuje ona organ nadzoru: Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Przepisy o kontrolach i karach stosuje się od 28 października 2026 r., a według Ministerstwa Cyfryzacji Komisja ma rozpocząć działalność w listopadzie 2026 r.
Co dotyczy Twojej firmy już teraz
1. Kompetencje pracowników (art. 4)
Obowiązuje od 2 lutego 2025 r. i dotyczy każdej firmy, która używa AI w pracy, także ChatGPT do tekstów. Komisja Europejska w swoich pytaniach i odpowiedziach pisze wprost, że nie ma wymaganego certyfikatu ani jednego obowiązkowego szkolenia. Liczy się to, czy ludzie znają ryzyka narzędzi, których używają, np. to, że model potrafi zmyślać fakty (tzw. halucynacje), i czy masz o tym wewnętrzny zapis.
Art. 99 AI Act, który wylicza naruszenia zagrożone karą pieniężną, nie wymienia art. 4. To jednak nie znaczy, że obowiązku nie ma — oznacza tylko, że kara nie wynika z samego rozporządzenia. Szczegóły w tekście Kompetencje AI: jak to udokumentować w małej firmie.
2. Zakazy (art. 5)
Zakazy obowiązują od 2 lutego 2025 r. i dotyczą także używania, nie tylko sprzedaży systemów. Dla małej firmy najważniejszy jest zakaz rozpoznawania emocji w miejscu pracy (art. 5 ust. 1 lit. f), z wyjątkiem względów medycznych i bezpieczeństwa. Jeśli ktoś proponuje Ci narzędzie, które „ocenia zaangażowanie” pracowników z kamery, nagrań rozmów albo wideokonferencji, to jest właśnie ten zakaz.
Zakazane są też m.in. techniki manipulacyjne wyrządzające znaczną szkodę i wykorzystywanie słabości ze względu na wiek, niepełnosprawność albo trudną sytuację. Omnibus dodał od 2 grudnia 2026 r. zakaz systemów generujących intymne materiały bez zgody osoby i materiały przedstawiające wykorzystywanie seksualne dzieci.
3. Przejrzystość (art. 50)
Od 2 sierpnia 2026 r. firma, która używa AI, musi:
- oznaczać deepfake'i, czyli wygenerowane albo przerobione przez AI realistyczne zdjęcia, nagrania głosu i wideo (art. 50 ust. 4). Dotyczy to np. reklamy z wygenerowanym „klientem” albo głosem lektora, który brzmi jak prawdziwa osoba. Przy treściach artystycznych i satyrycznych oznaczenie może nie zakłócać odbioru;
- ujawniać tekst wygenerowany przez AI, jeśli informuje opinię publiczną o sprawach interesu publicznego. Ten obowiązek odpada, gdy tekst przeszedł ludzką weryfikację lub kontrolę redakcyjną i ktoś bierze za niego odpowiedzialność. Zwykłe teksty marketingowe i oferty tego obowiązku zwykle nie uruchamiają;
- informować osoby, wobec których używa systemu rozpoznawania emocji lub kategoryzacji biometrycznej (tam, gdzie to w ogóle dozwolone).
Informacja ma być jasna i podana najpóźniej przy pierwszym kontakcie z treścią. Komisja Europejska opublikowała 20 lipca 2026 r. wytyczne do art. 50.
Czatbot na stronie. Obowiązek poinformowania, że klient rozmawia z maszyną (art. 50 ust. 1), formalnie ciąży na dostawcy systemu. Jeśli jednak sam konfigurujesz czatbota i wystawiasz go pod swoją marką, bezpieczniej założyć, że dotyczy też Ciebie. Wystarczy jedno zdanie na początku rozmowy.
Czego jeszcze nie musisz, ale musisz wiedzieć
Wysokie ryzyko od 2 grudnia 2027 r. Załącznik III AI Act wymienia zastosowania, które czynią z systemu AI system wysokiego ryzyka. W małych firmach najczęściej chodzi o:
- rekrutację: targetowanie ogłoszeń, analizę i filtrowanie CV, ocenę kandydatów (pkt 4 lit. a);
- decyzje o warunkach pracy, awansie i zwolnieniu, przydział zadań na podstawie zachowania lub cech osobistych, monitorowanie i ocenę pracowników (pkt 4 lit. b);
- ocenę zdolności kredytowej osób fizycznych (pkt 5 lit. b).
Od 2 grudnia 2027 r. firma, która stosuje taki system, musi m.in. używać go zgodnie z instrukcją, przydzielić nadzór kompetentnym osobom, przechowywać logi przez co najmniej 6 miesięcy i przed uruchomieniem w miejscu pracy poinformować pracowników i ich przedstawicieli (art. 26).
Uwaga na „przerobiony” czat. Jeśli użyjesz ogólnego narzędzia, np. ChatGPT, tak, że zaczyna pełnić funkcję systemu wysokiego ryzyka, AI Act może uznać Cię za dostawcę (art. 25 ust. 1 lit. c) — z dużo cięższymi obowiązkami. Przykład: automatyczny odsiew kandydatów przez wklejanie CV do czatu z poleceniem „odrzuć słabszych”. Przy rekrutacji lepiej wybrać narzędzie od dostawcy, który bierze te obowiązki na siebie.
Kary — ile i kto
Kary określa art. 99 AI Act; polska ustawa nie tworzy własnych stawek i odsyła do rozporządzenia (art. 104 ustawy).
| Naruszenie | Kara maksymalna |
|---|---|
| Zakazane praktyki (art. 5) | 35 mln EUR lub 7% światowego obrotu |
| Obowiązki podmiotu stosującego (art. 26) i przejrzystość (art. 50) | 15 mln EUR lub 3% obrotu |
| Nieprawdziwe informacje dla organów | 7,5 mln EUR lub 1% obrotu |
Dla dużych firm liczy się wyższa z dwóch wartości, ale dla MŚP — niższa (art. 99 ust. 6). Polska ustawa przewiduje też, że przed karą KRiBSI może wydać ostrzeżenie z czasem na poprawę, a wykonanie zaleceń w ciągu 3 miesięcy obniża karę o 10–50% (art. 61 i 107 ustawy).
Co możesz zrobić, zanim zapytasz prawnika
Ustawa daje dwie możliwości, z których mała firma może skorzystać:
- opinia indywidualna KRiBSI w sprawie stosowania AI Act w Twojej sytuacji (art. 8–18 ustawy, stosowane od 28 października 2026 r.);
- piaskownica regulacyjna, w której udział mikro-, małych i średnich firm jest bezpłatny (art. 93 ustawy).
Co zrobić w tym miesiącu
- Spisz, z jakich narzędzi AI korzysta zespół i do czego. Wystarczy tabela: narzędzie, kto, do czego, czy na koncie firmowym czy prywatnym.
- Przeprowadź krótkie szkolenie i zapisz je: co to są halucynacje, czego nie wklejać do czatu, kiedy sprawdzać wynik. Data, uczestnicy, zakres — to Twój ślad dla art. 4.
- Sprawdź, czy nic w firmie nie odczytuje emocji pracowników i czy reklamy z wygenerowanymi ludźmi lub głosem mają oznaczenie AI.
- Jeśli planujesz AI w rekrutacji albo ocenie pracowników, zapisz to w kalendarzu na 2027 rok: przed 2 grudnia 2027 r. musisz mieć gotowy nadzór, logi i informację dla pracowników.
AI Act nie zastępuje RODO. Dane klientów i pracowników wklejane do narzędzi AI nadal podlegają RODO — o tym piszemy w tekście Dane w ChatGPT i shadow AI.