AI w firmie – mapa obowiązków na lata 2026–2028

28 października 2026 r. polski nadzór nad sztuczną inteligencją dostaje realne narzędzia: kontrole, postępowania i kary. Przedsiębiorcy, którzy dotychczas postrzegali AI Akt jako odległą perspektywę, mają niewiele czasu na zapewnienie zgodności.

Ramy prawne są już znane. Podstawę stanowi unijne rozporządzenie 2024/1689 (AI Akt), a w Polsce jego egzekwowanie zapewnia ustawa o systemach sztucznej inteligencji (Ustawa o SI). Do tego dochodzą przepisy, które nie powstały z myślą o AI, ale w praktyce mają dla niej ogromne znaczenie: RODO, prawo autorskie i nowe zasady odpowiedzialności za produkty wadliwe. Poniżej przedstawiamy najważniejsze konsekwencje tych regulacji dla przedsiębiorców.

Zakres obowiązków: rola podmiotu i sposób wykorzystania AI

AI Akt nie reguluje sztucznej inteligencji jako takiej. Obowiązki zależą od trzech zmiennych: roli firmy (dostawca, podmiot stosujący, importer, dystrybutor), celu, w jakim AI jest wykorzystywana, oraz poziomu ryzyka.

Kluczowe jest odróżnienie modelu AI od systemu AI. Model to w uproszczeniu oprogramowanie wraz z parametrami (wagami) wypracowanymi w procesie uczenia. Model ogólnego przeznaczenia – jak ChatGPT, Claude czy Gemini – potrafi wykonywać bardzo szeroki zakres zadań. System AI to natomiast konkretne rozwiązanie maszynowe działające z pewną autonomią, które na podstawie danych wejściowych generuje predykcje, treści, rekomendacje lub decyzje.

W praktyce oznacza to, że ten sam model może napędzać zupełnie różne systemy. Narzędzie do pisania tekstów marketingowych i narzędzie do selekcji CV mogą korzystać z identycznego modelu, a mimo to podlegać skrajnie różnym wymogom. O kwalifikacji rozstrzyga zatem sposób zastosowania, a nie sama technologia.

Klasyfikacja systemów AI według poziomu ryzyka

AI Akt nie stosuje jednej miary do wszystkich rozwiązań. Im większy potencjalny wpływ na bezpieczeństwo i prawa ludzi, tym surowsze wymogi – a rozwiązania mało ryzykowne mogą rozwijać się bez dodatkowych barier.

Ryzyko niedopuszczalne (praktyki zakazane). Chodzi m.in. o scoring społeczny, masowe pozyskiwanie wizerunków z internetu lub monitoringu w celu budowy baz do rozpoznawania twarzy oraz rozpoznawanie emocji w miejscu pracy. Praktyki te są objęte bezwzględnym zakazem.

Ryzyko wysokie. Obejmuje m.in. rekrutację i zarządzanie pracownikami, przyjęcia na studia, ocenę zdolności kredytowej, infrastrukturę krytyczną, wyroby medyczne z AI oraz część narzędzi organów ścigania i straży granicznej. Te systemy są dopuszczalne, ale tylko po spełnieniu rozbudowanych wymogów regulacyjnych.

Ryzyko ograniczone. Dotyczy np. chatbotów prowadzących rozmowy z ludźmi i deepfake’ów. Wymagane jest wyraźne poinformowanie użytkownika, że wchodzi w interakcję z systemem AI.

Ryzyko minimalne. To większość zastosowań, np. filtry antyspamowe czy AI w grach wideo. AI Akt nie nakłada tu nowych wymogów poza ograniczoną przejrzystością, choć nadal obowiązują przepisy ogólne, np. konsumenckie.

Szczególne znaczenie praktyczne ma kategoria systemów wysokiego ryzyka. Narzędzia HR – od selekcji kandydatów po ocenę pracowników – trafiają do kategorii wysokiego ryzyka, a pracodawcy często korzystają z nich bez świadomości ich kwalifikacji regulacyjnej.

Harmonogram stosowania przepisów

Przepisy wchodzą etapami. Część obowiązków działa od ponad półtora roku, najważniejsze daty dla systemów wysokiego ryzyka przypadają jednak dopiero na lata 2027–2028.

Przepisy już stosowane:

• 2 lutego 2025 – przepisy ogólne AI Aktu i zakaz praktyk niedopuszczalnych.
• 2 sierpnia 2025 – obowiązki dotyczące modeli AI ogólnego przeznaczenia.
• 27 lipca 2026 – zmieniony art. 4 AI Aktu: firmy wspierają rozwój kompetencji AI personelu, ale nie muszą gwarantować określonego poziomu wiedzy każdej osoby.
• 2 sierpnia 2026 – większość przepisów AI Aktu, w tym obowiązki przejrzystości (wykrywalność treści syntetycznych po stronie dostawców, ujawnianie deepfake’ów po stronie podmiotów stosujących), oraz możliwość nakładania kar administracyjnych.
• 11 sierpnia 2026 – Ustawa o SI, co do zasady.

Terminy nadchodzące:

• 28 października 2026 – przepisy Ustawy o SI o opiniach indywidualnych, kontrolach, postępowaniach i sankcjach.
• 2 grudnia 2026 – termin na maszynowo odczytywalne oznaczanie treści (np. watermarking) dla systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r.
• 9 grudnia 2026 – termin wdrożenia dyrektywy 2024/2853 o odpowiedzialności za produkty wadliwe.
• 2 grudnia 2027 – wymogi dla systemów wysokiego ryzyka z załącznika III (m.in. HR, kredyty, edukacja).
• 2 sierpnia 2028 – wymogi dla produktów regulowanych z załącznika I.

Termin z grudnia 2027 r. nie powinien być traktowany jako odległy. Wdrożenie zgodności dla systemu wysokiego ryzyka – dokumentacja, nadzór człowieka, zarządzanie danymi – wymaga wielomiesięcznego procesu wdrożeniowego.

Sankcje i rola KRiBSI

Kary z AI Aktu liczy się jako wyższą z dwóch wartości: kwoty nominalnej albo procentu całkowitego światowego rocznego obrotu z poprzedniego roku. Dla MŚP przewidziano korzystniejsze zasady.

• Stosowanie praktyk zakazanych: do 35 mln euro lub 7% obrotu.
• Naruszenie obowiązków dostawców, upoważnionych przedstawicieli, importerów, dystrybutorów, podmiotów stosujących, jednostek notyfikowanych oraz obowiązków przejrzystości: do 15 mln euro lub 3% obrotu.
• Przekazanie nieprawidłowych, niepełnych lub wprowadzających w błąd informacji organom lub jednostkom notyfikowanym: do 7,5 mln euro lub 1% obrotu.

W Polsce organem właściwym jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Prowadzi kontrole i postępowania, wydaje opinie indywidualne i nakłada administracyjne kary pieniężne. Na jej czele stanęła Pamela Krzypkowska, wicedyrektor departamentu GovTech w Ministerstwie Cyfryzacji.

Postępowanie może ruszyć z urzędu – na przykład po kontroli albo w związku ze skargą – lub na wniosek uprawnionych podmiotów. Ustawa o SI przewiduje jednocześnie mechanizmy łagodzenia sankcji:

• w przypadkach wskazanych w ustawie KRiBSI może obniżyć karę o 10–50%;
• w ramach układu z organem obniżka wynosi 20–70%;
• jeżeli firma działała z własnej inicjatywy w rozumieniu ustawy, układ może przewidywać obniżkę o 30–90%.

Warunkiem układu jest m.in. zaprzestanie naruszenia lub usunięcie niezgodności oraz ujawnienie istotnych okoliczności i dowodów. W praktyce wczesne wykrycie nieprawidłowości, ich udokumentowanie i niezwłoczne usunięcie istotnie wzmacniają pozycję przedsiębiorcy w ewentualnym postępowaniu.

Należy również pamiętać, że kary z AI Aktu nie wyłączają odpowiedzialności na innych podstawach. System AI przetwarzający dane osobowe może jednocześnie stać się przedmiotem postępowania przed KRiBSI i przed organem ochrony danych – z karami nakładanymi niezależnie.

Regulacje horyzontalne: odpowiedzialność za produkt, prawo autorskie i RODO

Odpowiedzialność za wadliwy system AI

Nowa dyrektywa 2024/2853, którą państwa członkowskie muszą wdrożyć do 9 grudnia 2026 r., wprost uznaje oprogramowanie – w tym systemy AI – za produkt. Producent lub dostawca może więc odpowiadać na zasadzie ryzyka, czyli niezależnie od winy. Dotyczy to także szkód wynikających z braku aktualizacji bezpieczeństwa albo ze zmian w działaniu systemu już po wprowadzeniu go do obrotu.

Poszkodowani zyskają domniemanie wadliwości produktu, co znacznie ułatwi im dochodzenie roszczeń. Reżim ten nie obejmuje jednak strat czysto finansowych przedsiębiorców, takich jak utracone zyski czy przestoje w działalności – w tym zakresie kluczowe pozostają postanowienia umowne.

Prawo autorskie

Zagadnienia prawnoautorskie dotyczą dwóch etapów. Przy trenowaniu modeli chodzi o korzystanie z cudzych utworów w ramach eksploracji tekstów i danych oraz o prawo twórców do zastrzeżenia, że się na to nie zgadzają. Przy korzystaniu z wyników trzeba pamiętać, że treść wygenerowana wyłącznie przez AI z reguły nie jest utworem, a jej użycie może naruszać prawa osób trzecich.

Orzecznictwo w tym zakresie znajduje się na wczesnym etapie kształtowania. W wyroku z 11 listopada 2025 r. (sygn. 42 O 14139/24) Landgericht München I przyznał rację GEMA w sporze z OpenAI. Sąd uznał, że zapamiętanie przez modele GPT-4 i GPT-4o tekstów niemieckich piosenek było zwielokrotnieniem utworów, którego nie chroni wyjątek eksploracji tekstów i danych. Wyrok jest nieprawomocny.

Rozstrzygnięcie o znaczeniu dla całej Unii przyniesie sprawa C-250/25 Like Company przeciwko Google Ireland – pierwsza przed TSUE dotycząca generatywnej AI i prawa autorskiego. Węgierski wydawca kwestionuje odtwarzanie swoich publikacji przez chatbota Gemini. Trybunał ma przesądzić, czy trenowanie dużego modelu językowego jest zwielokrotnieniem, czy mieści się w wyjątku z art. 4 dyrektywy 2019/790 i czy odpowiedzi chatbota mogą naruszać prawa wydawców prasy.

RODO

Gdy system AI przetwarza dane osobowe, RODO stosuje się w całości: potrzebna jest podstawa prawna, minimalizacja danych, przejrzystość wobec osób, których dane dotyczą, oraz respektowanie ograniczeń dotyczących zautomatyzowanego podejmowania decyzji. Te kwestie – wraz z odpowiedzialnością i prawami do wyników – powinny być jasno uregulowane w umowach z dostawcami AI.

Rekomendowane działania

Priorytetowo należy potraktować trzy pierwsze działania, które powinny zostać zrealizowane przed 28 października 2026 r., tj. przed uzyskaniem przez KRiBSI uprawnień kontrolnych.

• Wyznaczyć osobę odpowiedzialną za kontakt z KRiBSI
• Przygotować procedurę na wypadek kontroli lub skargi: kto odpowiada, jakie dokumenty, w jakim terminie
• Uporządkować dokumentację dotyczącą wykorzystywanych rozwiązań AI
• Sporządzić inwentarz systemów AI w firmie – w tym narzędzi wykorzystywanych przez pracowników bez formalnej akceptacji organizacji – i określić rolę firmy wobec każdego z nich
• Zweryfikować, czy stosowane systemy nie wypełniają znamion praktyk zakazanych (np. analiza emocji pracowników)
• Zaklasyfikować systemy według poziomu ryzyka, ze szczególnym uwzględnieniem narzędzi HR i rekrutacyjnych
• Oznaczyć chatboty i treści typu deepfake zgodnie z obowiązkami przejrzystości
• Zaplanować działania wspierające kompetencje AI zespołu (art. 4 AI Aktu)
• Przejrzeć umowy z dostawcami AI pod kątem odpowiedzialności, praw do wyników i ochrony danych
• Zweryfikować zgodność z RODO, w tym podstawy prawne i zautomatyzowane decyzje
• Ustalić wewnętrzną ścieżkę zgłaszania i naprawiania niezgodności – ma ona istotne znaczenie dla możliwości obniżenia kary w ramach układu

Analiza ryzyka regulacyjnego związanego z AI przestaje być wyłącznie dobrą praktyką i staje się niezbędnym elementem bezpiecznego prowadzenia działalności.

Wsparcie ATL Law

ATL Law zapewnia kompleksowe wsparcie w zakresie zgodności z AI Aktem i Ustawą o SI – od audytu wykorzystywanych rozwiązań po przygotowanie organizacji do kontroli KRiBSI. Nasze doradztwo obejmuje w szczególności:

• identyfikację systemów AI w organizacji oraz określenie roli przedsiębiorcy wobec każdego z nich;
• ocenę poziomu ryzyka, w szczególności w odniesieniu do narzędzi HR i rekrutacyjnych;
• opracowanie dokumentacji, procedur postępowania na wypadek kontroli lub skargi oraz wewnętrznych zasad korzystania z AI;
• analizę i negocjowanie umów z dostawcami AI w zakresie odpowiedzialności, praw do wyników i ochrony danych;
• ocenę zgodności rozwiązań AI z RODO oraz przepisami prawa pracy;
• reprezentację przed KRiBSI, w tym w postępowaniach administracyjnych i przy zawieraniu układu.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej.