Kiedy pytamy klientów, czy AI Act ich dotyczy, odpowiedź brzmi zwykle: „chyba nie, my nic z AI nie robimy”. Po czym w tej samej rozmowie pada, że opisy produktów pisze ChatGPT, na stronie działa chatbot, a grafiki na Instagrama robi Midjourney.
Spis treści
Tu jest sedno: AI Act nie pyta, czy tworzysz sztuczną inteligencję. Pyta, czy jej używasz — i do czego. To zupełnie inne pytanie, a odpowiedź na nie w polskich małych firmach brzmi „tak” znacznie częściej, niż ich właściciele podejrzewają.
Czym jest AI Act
Formalnie: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 roku. Pierwsza na świecie kompleksowa regulacja sztucznej inteligencji — nie wytyczne, nie kodeks dobrych praktyk, tylko twarde prawo.
Dwie cechy warto zapamiętać. Po pierwsze, to rozporządzenie, a nie dyrektywa — co oznacza, że działa w Polsce bezpośrednio. Nie trzeba go do niczego „wdrażać”, żeby obowiązywał, i nie da się przeczekać, aż polski Sejm coś uchwali. Po drugie, jego celem nie jest hamowanie technologii, tylko ochrona zdrowia, bezpieczeństwa i praw podstawowych — logika jest tu bliższa przepisom o bezpieczeństwie produktów niż cenzurze.
Wszedł w życie 1 sierpnia 2024 roku, a jego przepisy uruchamiają się etapami — do czego wrócimy przy tabeli.
Logika, na której wszystko stoi: ryzyko, nie technologia
To najważniejsza rzecz do zrozumienia w całym AI Act, a jednocześnie najczęściej pomijana.
Rozporządzenie nie interesuje się tym, czy pod maską siedzi sieć neuronowa, model językowy czy zwykły algorytm decyzyjny. Interesuje się tym, co przy jego pomocy robisz i komu to może zaszkodzić. Ten sam model językowy może być kompletnie nieuregulowany, gdy podpowiada ci tytuły na bloga, i objęty pełnym reżimem, gdy odsiewa CV kandydatów do pracy.
Stąd cztery szuflady:
| Kategoria | Przykłady | Co z tego wynika |
| Niedopuszczalne | Scoring społeczny, manipulacja podprogowa, aplikacje „nudify” | Zakazane. Kropka. |
| Wysokie | Rekrutacja, ocena zdolności kredytowej, diagnostyka medyczna, edukacja, infrastruktura krytyczna | Pełny reżim: dokumentacja, nadzór człowieka, ocena zgodności |
| Ograniczone | Chatboty, generatory grafik, deepfake | Wymogi przejrzystości — trzeba powiedzieć, że to AI |
| Minimalne | Filtry antyspamowe, autokorekta, systemy rekomendacji | Brak dodatkowych obowiązków (poza kompetencjami AI) |
Przeciętna mała firma operuje w dwóch dolnych szufladach. Chatbot na stronie i generator opisów produktów to ryzyko ograniczone. Filtr antyspamowy w skrzynce to ryzyko minimalne. To dobra wiadomość — pod warunkiem, że ktoś powie ci, czego te dwie dolne szuflady wymagają, bo „ograniczone” nie znaczy „żadne”.
Kogo dotyczy: dwie role i jedno pytanie
Zakres podmiotowy AI Act jest szeroki — obejmuje każdy podmiot, który rozwija systemy AI, zleca ich rozwój, wprowadza je na rynek albo stosuje je w ramach swojej działalności. Ale żeby zrozumieć, co konkretnie musisz zrobić, trzeba najpierw odpowiedzieć na jedno pytanie: kim jesteś w oczach rozporządzenia?
AI Act dzieli świat głównie na dwie role. Dostawca (provider) to ten, kto system AI tworzy albo zleca jego stworzenie i wypuszcza pod własną nazwą lub marką. Podmiot stosujący (deployer) to ten, kto z systemu AI korzysta w działalności zawodowej i sprawuje nad nim kontrolę.
Analogia: dostawca to producent windy, podmiot stosujący to zarządca budynku. Producent musi ją zaprojektować zgodnie z normami, przebadać, udokumentować i dołączyć instrukcję. Zarządca nie musi projektować niczego — ale musi używać windy zgodnie z instrukcją, wyznaczyć kompetentną osobę do nadzoru i powiesić tabliczkę „maks. 6 osób”. Dwa zupełnie różne zestawy obowiązków wobec tego samego urządzenia.
| Dostawca | Podmiot stosujący | |
| Kto to | Tworzy system AI albo zleca jego stworzenie i wypuszcza go pod swoją marką | Używa systemu AI w działalności zawodowej i sprawuje nad nim kontrolę |
| Przykład | OpenAI, Google, software house wypuszczający własne narzędzie | Twoja firma używająca ChatGPT, chatbota, generatora grafik |
| Ciężar obowiązków | Duży — dokumentacja, zarządzanie ryzykiem, jakość danych, rejestracja | Umiarkowany — kompetencje personelu, informowanie użytkowników, nadzór człowieka |
| Twoja rola | — (chyba że wpadniesz w pułapkę z sekcji poniżej) | To prawie na pewno ty |
Jeśli kupujesz gotowe narzędzie i po prostu z niego korzystasz — jesteś podmiotem stosującym. Tak jest w zdecydowanej większości firm. Cały ciężki reżim AI Act, ten z dokumentacją techniczną i oceną zgodności, spoczywa głównie na dostawcach systemów wysokiego ryzyka. Nie na tobie.
Pułapka: kiedy przypadkiem stajesz się dostawcą
Role nie są przypisane raz na zawsze i można je na siebie nałożyć. Jedna firma bywa jednocześnie importerem, dystrybutorem i podmiotem stosującym. Dostawca korzystający z własnego narzędzia jest też podmiotem stosującym.
Ważniejsze jednak jest przejście w drugą stronę. Podmiot stosujący może stać się dostawcą — z całym bagażem obowiązków — jeśli wprowadzi system na rynek pod własną nazwą albo istotnie go zmodyfikuje. Przykład z życia agencji: jeśli software house buduje system AI na zlecenie klienta, a klient wdraża go pod swoją marką, to w rozumieniu AI Act dostawcą jest klient, nie wykonawca.
Praktyczny wniosek: warto uważnie czytać umowy z dostawcami narzędzi i sprawdzać, czy przy okazji wdrożenia nie awansujesz na rolę, której nie chciałeś. To pytanie, które trzeba zadać zanim podpiszesz, a nie po kontroli.
A jeśli mój dostawca jest z USA?
To niczego nie zmienia. AI Act obejmuje także podmioty spoza Unii — jeśli ich systemy trafiają na rynek UE, są oddawane do użytku na jej terytorium albo jeśli wyniki działania tych systemów są wykorzystywane w Unii. Ostatni warunek jest kluczowy: liczy się miejsce, w którym efekt lądowa, a nie siedziba serwera.
Jest za to realne wyłączenie po drugiej stronie: z definicji podmiotu stosującego wypadają osoby używające AI do działalności pozazawodowej. Jeśli generujesz sobie w niedzielę obrazek na urodziny cioci — AI Act cię nie dotyczy. Jeśli generujesz grafikę na firmowego Instagrama — dotyczy.
Obowiązek, który działa od ponad roku i nikt o nim nie mówi
Artykuł 4 AI Act nakłada na dostawców i podmioty stosujące obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie AI wśród personelu i innych osób obsługujących systemy AI w ich imieniu. To tak zwana AI literacy.
Trzy rzeczy, które robią z tego przepisu najbardziej niedoceniany fragment rozporządzenia. Obowiązuje od 2 lutego 2025 roku — czyli już, bez okresu przejściowego. Nie przewiduje wyłączeń dla MŚP ani dla firm używających wyłącznie narzędzi o minimalnym ryzyku — jeśli twoi ludzie używają ChatGPT, Copilota czy Gemini, przepis cię obejmuje. I dotyczy ludzi, nie systemów, więc działa przekrojowo, niezależnie od kategorii ryzyka.
Co to znaczy w praktyce? Że zespół ma rozumieć, czym jest narzędzie, którego używa, jakie niesie ryzyko w ich kontekście zawodowym i jakie są dobre praktyki — weryfikowanie wyników, ochrona danych zgodnie z RODO, zgłaszanie nieprawidłowości. Jednorazowe szkolenie „na odczep” nie wystarczy; rozporządzenie oczekuje podejścia dopasowanego do kontekstu. Ale dla ośmioosobowej firmy to nadal godzina rozmowy i notatka, a nie projekt na kwartał.
Drugi obowiązek: powiedz, że to AI
Od 2 sierpnia 2026 roku zaczyna obowiązywać artykuł 50 — obowiązki przejrzystości. Dla firmy w „ograniczonym ryzyku” to praktycznie cała lista.
Masz chatbota, wirtualnego asystenta albo automatyczną odpowiedź na czacie? Użytkownik musi się dowiedzieć, że rozmawia z systemem AI, a nie z człowiekiem — czytelnie i zanim rozmowa się zacznie, a nie w regulaminie na trzeciej podstronie. Publikujesz zdjęcia, grafiki lub wideo wygenerowane albo istotnie zmodyfikowane przez AI, które odbiorca mógłby wziąć za autentyczne? Musisz je oznaczyć.
Obejmuje to nie tylko firmy technologiczne — także redakcje, agencje marketingowe i sklepy internetowe wykorzystujące AI do tworzenia materiałów promocyjnych.
Kalendarium
AI Act uruchamia się etapami. Poniższa tabela uwzględnia zmiany wprowadzone pakietem Digital Omnibus, który w czerwcu 2026 przesunął część terminów dla systemów wysokiego ryzyka — bo normy techniczne, według których miały być oceniane, nie powstały na czas.
| Data | Co obowiązuje | Kogo dotyczy |
| 1.08.2024 | Wejście w życie rozporządzenia | Start zegara |
| 2.02.2025 | Zakazane praktyki + obowiązek kompetencji AI (art. 4) | Każdej firmy używającej AI — już działa |
| 2.08.2025 | Modele ogólnego przeznaczenia (GPAI), organy krajowe, kary | Dostawców modeli, państw |
| 2.08.2026 | Obowiązki przejrzystości (art. 50) + start egzekwowania | Każdego z chatbotem lub treściami AI |
| 2.12.2026 | Maszynowe oznaczanie treści AI w starszych narzędziach + zakaz „nudify” i CSAM | Dostawców narzędzi generatywnych |
| 2.08.2027 | Piaskownice regulacyjne w państwach członkowskich | Państw, firm testujących AI |
| 2.12.2027 | Systemy wysokiego ryzyka z Załącznika III | HR, scoring, edukacja, medycyna |
| 2.08.2028 | Systemy wysokiego ryzyka wbudowane w produkty (Załącznik I) | Producentów wyrobów regulowanych |
Zwróć uwagę, gdzie są podświetlone wiersze. Przesunięcia dotyczą wysokiego ryzyka — czyli tego, w czym twoja firma prawdopodobnie nie gra. Terminy, które cię dotyczą, nie ruszyły się ani o dzień.
Kary i wyjątek, o którym warto wiedzieć
Widełki są szerokie: od 7,5 mln euro do 35 mln euro, albo odpowiednio od 1 do 7 procent światowego rocznego obrotu, w zależności od rodzaju naruszenia. Za brak kompetencji AI — do 15 mln euro lub 3 procent.
Zanim jednak zacznie ci szumieć w uszach, dwie rzeczy. Zasadą ogólną jest stosowanie kwoty wyższej z dwóch — ale artykuł 99 ustęp 6 przewiduje wyjątek dla MŚP i startupów: wobec nich stosuje się kwotę niższą. To istotnie ogranicza realną ekspozycję mniejszych firm. Do tego polska ustawa dokłada mechanizm polubowny — kto sam zgłosi naruszenie i usunie jego skutki, może wynegocjować obniżenie kary nawet o 90 procent.
Kto to będzie sprawdzał w Polsce
AI Act mówi, co trzeba zrobić. Polska ustawa o systemach sztucznej inteligencji mówi, kto i jak będzie tego pilnował — bez niej rozporządzenie jest trudne do wyegzekwowania, bo choć przewiduje maksymalne kary, procedury ich nakładania muszą powstać na poziomie krajowym.
Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) — krajowy organ nadzoru rynku, w którego składzie znajdą się przedstawiciele UOKiK, KNF, KRRiT i UKE. Komisja będzie mogła kontrolować firmy, nakładać kary, wycofywać systemy z rynku i rozpatrywać skargi obywateli. Będzie też tworzyć piaskownice regulacyjne — kontrolowane środowiska, w których firmy przetestują nowe rozwiązania pod okiem państwa, przy czym MŚP mają być zwolnione z opłat za udział.
Ustawa przeszła całą ścieżkę parlamentarną 3 lipca 2026 i czeka na podpis prezydenta. Warto dodać dla uczciwości: zgodnie z AI Act organ nadzoru powinien działać w Polsce od 2 sierpnia 2025 roku.
AI Act to prawo o zastosowaniach, nie o technologii — liczy się, co robisz, a nie czym. Jesteś prawie na pewno podmiotem stosującym, więc ciężki reżim cię omija, ale dwa lekkie obowiązki już nie: kompetencje zespołu (od lutego 2025) i informowanie, że to AI (od sierpnia 2026). Wszystko poza tym — dokumentacja techniczna, oceny zgodności, grudzień 2027 — to nie twoja liga.
W praktyce cała twoja zgodność sprowadza się do kilku zdań na stronie, jednej wewnętrznej zasady i godziny rozmowy z zespołem. Łatwiej to wdrożyć, gdy masz realną kontrolę nad swoją stroną: na WordPressie dopisanie komunikatu w oknie czatu czy adnotacji pod grafiką to kwestia minut, bo zmieniasz coś, co jest twoje. Na zamkniętej platformie czekasz, aż dostawca łaskawie doda odpowiednie pole.
Nie masz pewności, do której szuflady trafiają twoje narzędzia? Napisz — przejdziemy przez to razem, bez straszenia karami z górnej półki. Aaa i jeszcze jedno, grafika w tle miniaturki artykułu to AI 😉
