AI Act: co musi zrobić zarząd? Lista kontrolna według terminów

Co AI Act oznacza dla zarządu?

Zarząd odpowiada za to, by firma wiedziała, z jakich systemów AI korzysta, w jakiej roli i z jakim ryzykiem, oraz by umiała to wykazać dokumentami. AI Act (Artificial Intelligence Act), czyli rozporządzenie (UE) 2024/1689, reguluje systemy sztucznej inteligencji według poziomu ryzyka: od praktyk zakazanych, przez systemy wysokiego ryzyka, po obowiązki przejrzystości. Rozporządzenie 2026/1744, nazywane Digital Omnibus, weszło w życie 27 lipca 2026 roku i przesunęło terminy dla systemów wysokiego ryzyka.

W Polsce nadzór sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), powołana ustawą o systemach sztucznej inteligencji, która co do zasady weszła w życie 11 sierpnia 2026 roku. KRiBSI prowadzi kontrole i nakłada administracyjne kary pieniężne. Pełny kalendarz zawiera artykuł „Harmonogram AI Act”.

Czym różnią się obowiązki dostawcy i podmiotu stosującego?

Dostawca (provider) tworzy system AI i wprowadza go pod własną nazwą, a podmiot stosujący (deployer) używa systemu w ramach swojej działalności; większość firm jest podmiotem stosującym, ale może stać się dostawcą. Definicje zawiera art. 3 pkt 3 i 4 AI Act. Według art. 25 podmiot stosujący przejmuje obowiązki dostawcy systemu wysokiego ryzyka, gdy umieści na nim swoją nazwę lub znak towarowy, dokona istotnej zmiany albo zmieni przeznaczenie systemu tak, że staje się on systemem wysokiego ryzyka.

Podmiot stosujący system wysokiego ryzyka ma według art. 26 m.in.:

• używać systemu zgodnie z instrukcją dostawcy,
• powierzyć nadzór ludzki osobom z odpowiednimi kompetencjami, przeszkoleniem i uprawnieniami,
• dbać o adekwatność danych wejściowych, jeśli je kontroluje,
• monitorować działanie systemu i zawieszać jego użycie przy ryzyku,
• przechowywać generowane automatycznie logi co najmniej sześć miesięcy, o ile inne przepisy nie stanowią inaczej,
• poinformować przedstawicieli pracowników i pracowników przed użyciem systemu w miejscu pracy,
• poinformować osoby, wobec których system podejmuje decyzje lub w nich pomaga.

Co obowiązuje firmy już teraz?

Już teraz stosuje się obowiązek kompetencji AI z art. 4, zakazy z art. 5, przepisy o karach oraz obowiązki przejrzystości z art. 50.

• Art. 4, kompetencje w zakresie AI (AI literacy), od 2 lutego 2025 roku. Po zmianie z rozporządzenia 2026/1744 dostawcy i podmioty stosujące podejmują działania wspierające rozwój kompetencji AI personelu; przepis nie wymaga gwarantowania określonego poziomu kompetencji.
• Art. 5, zakazane praktyki, od 2 lutego 2025 roku. Zakazy obejmują m.in. techniki manipulacyjne, scoring społeczny i rozpoznawanie emocji w miejscu pracy i edukacji (poza celami medycznymi i bezpieczeństwa). Nowe zakazy generowania intymnych wizerunków bez zgody oraz materiałów przedstawiających seksualne wykorzystywanie dzieci stosuje się od 2 grudnia 2026 roku.
• Rozdział XII, kary, od 2 sierpnia 2025 roku.
• Art. 50, przejrzystość, od 2 sierpnia 2026 roku. Dostawca informuje, że rozmówca jest systemem AI, i oznacza treści syntetyczne w formacie odczytywalnym maszynowo. Podmiot stosujący ujawnia deepfake'i i teksty generowane przez AI publikowane w sprawach interesu publicznego, o ile tekst nie przeszedł redakcji z odpowiedzialnością wydawcy. Dla systemów wprowadzonych przed 2 sierpnia 2026 roku obowiązek oznaczania z art. 50 ust. 2 stosuje się od 2 grudnia 2026 roku.

Co przyniosą terminy 2 grudnia 2027 i 2 sierpnia 2028 roku?

Od 2 grudnia 2027 roku stosuje się główne obowiązki dla systemów wysokiego ryzyka z załącznika III, a od 2 sierpnia 2028 roku dla systemów AI w produktach regulowanych z załącznika I. Załącznik III obejmuje m.in. systemy używane w zatrudnieniu i edukacji, więc dotyczy także firm korzystających z AI w rekrutacji.

Jak wygląda lista kontrolna AI Act dla zarządu?

Lista kontrolna przypisuje każdemu obowiązkowi termin, właściciela w firmie i dowód, który firma pokaże organowi nadzoru.

Jakie kary przewiduje AI Act?

Za naruszenie zakazów z art. 5 grozi kara do 35 000 000 euro lub do 7% całkowitego rocznego światowego obrotu, za naruszenie innych obowiązków do 15 000 000 euro lub 3%, a za wprowadzające w błąd informacje dla organów do 7 500 000 euro lub 1%. Według art. 99 ust. 3⁠–⁠5 dla przedsiębiorstwa stosuje się wyższą z dwóch kwot. Dla małych i średnich przedsiębiorstw (MŚP), w tym start-upów, art. 99 ust. 6 przewiduje niższą z dwóch kwot. Dodany przez rozporządzenie 2026/1744 ust. 6a stosuje regułę niższej kwoty do małych spółek o średniej kapitalizacji (small mid-caps), ale tylko dla kar z ust. 4 i 5.

Przykład górnej granicy kary za naruszenie obowiązków podmiotu stosującego (art. 99 ust. 4):

Jakie błędy popełniają zarządy przy wdrażaniu AI Act?

Najczęstszym błędem jest odkładanie prac do 2027 roku, choć obowiązki z art. 4, 5 i 50 już obowiązują, a rejestr systemów wymaga danych z wielu działów.

• Pominięcie funkcji AI wbudowanych w narzędzia SaaS, z których firma korzysta jako podmiot stosujący.
• Traktowanie AI Act jako zadania wyłącznie działu prawnego, bez właścicieli procesów i HR.
• Rozbudowa gotowego systemu o nowe przeznaczenie bez oceny, czy firma staje się dostawcą.
• Szkolenia bez dopasowania do ról i bez dokumentacji uczestnictwa.
• Brak informacji dla pracowników przed użyciem systemu AI w rekrutacji lub ocenie pracy.

Artykuł opisuje stan prawny na 1 listopada 2026 roku i nie jest poradą prawną.

Źródła

• Komisja Europejska, AI Act Service Desk: art. 3, definicje
• AI Act, art. 4: kompetencje w zakresie AI (tekst po zmianach)
• Komisja Europejska, AI Act Service Desk: art. 5, zakazane praktyki
• Komisja Europejska, AI Act Service Desk: art. 25, odpowiedzialność w łańcuchu wartości
• Komisja Europejska, AI Act Service Desk: art. 26, obowiązki podmiotów stosujących
• Komisja Europejska, AI Act Service Desk: art. 50, obowiązki w zakresie przejrzystości
• Komisja Europejska, AI Act Service Desk: art. 99, kary
• AI Act, art. 113: wejście w życie i stosowanie (tekst po zmianach)
• Hunton: EU Digital Omnibus on AI enters into force (rozporządzenie 2026/1744)
• Gibson Dunn: EU AI Act Omnibus Agreement, postponed high-risk deadlines and other key changes
• ZG Legal: Ustawa o systemach sztucznej inteligencji podpisana przez Prezydenta