Jeżeli twoja strategia zgodności z AI Act brzmi „mamy przecież politykę prywatności”, mam złą wiadomość. Jeżeli brzmi „kupiliśmy teczkę z napisem AI Act”, mam drugą: teczka nie wie, które narzędzia faktycznie używa twój zespół.
Od 2 sierpnia 2026 zaczęły obowiązywać kluczowe reguły ogólne AI Act i uprawnienia egzekwcyjne organów. Nie oznacza to, że każda firma korzystająca z czatu musi zatrudnić dział prawny ani że każda treść stworzona z pomocą modelu wymaga wielkiej etykiety. Oznacza natomiast, że trzeba znać swoje zastosowania, rolę i obowiązki. Część wymagań dotyczących systemów wysokiego ryzyka ma późniejsze terminy, a zmiany wprowadzone w 2026 roku wymagają sprawdzania aktualnych oficjalnych wyjaśnień, nie przepisywania starych infografik.
Ten tekst jest praktycznym przewodnikiem informacyjnym, nie poradą prawną dla konkretnego przypadku. Pokazuje porządek pracy, z którego możesz wyjść do rozmowy z prawnikiem lub audytorem.
Zacznij od inwentarza, nie od klasyfikacji na ślepo
Spisz narzędzia i zastosowania. Nie tylko oficjalne subskrypcje. Uwzględnij funkcje AI wbudowane w CRM, edytory, rekrutację, obsługę klienta, analizę dokumentów i transkrypcje spotkań. Zapytaj zespół, z czego korzysta prywatnie do zadań służbowych. Shadow AI, czyli nieoficjalne używanie narzędzi, nie staje się zgodne przez sam fakt, że nikt nie wystawił faktury.
Dla każdego zastosowania zapisz: właściciela, dostawcę, dane wejściowe, odbiorców wyniku, wpływ na decyzję i to, czy człowiek sprawdza rezultat. Nie potrzebujesz od razu dokładnej kwalifikacji prawnej każdego systemu. Potrzebujesz wiedzieć, co w ogóle stoi na stole.
Podziel listę na trzy koszyki robocze: codzienna produktywność, komunikacja zewnętrzna oraz decyzje dotyczące ludzi lub bezpieczeństwa. Ostatni koszyk wymaga największej uwagi. Generowanie listy pomysłów na warsztat nie jest tym samym co automatyczna ocena kandydata do pracy.
Ustal swoją rolę
W AI Act znaczenie ma, czy dostarczasz system, wdrażasz go w swojej organizacji, importujesz albo zmieniasz jego przeznaczenie. Typowa firma korzystająca z gotowego czatu będzie przede wszystkim wdrażającym, ale jeśli buduje własny system pod marką lub istotnie go modyfikuje, sytuacja może się zmienić.
Nie zakładaj roli po nazwie produktu. Ta sama firma może wdrażać cudzy model do podsumowań i jednocześnie dostarczać klientom własnego agenta. Zapisz rolę osobno dla każdego zastosowania. To porządkuje umowy, dokumentację i odpowiedzialność.
W przypadku systemów gotowych sprawdź instrukcję dostawcy, ograniczenia i warunki użycia. Dokumentacja nie zdejmuje z ciebie odpowiedzialności za sposób użycia, ale pomaga zrozumieć, do czego system został zaprojektowany i gdzie kończy się rozsądne zaufanie.
Przejrzystość dotyczy konkretnych sytuacji
Reguły przejrzystości obowiązujące od 2 sierpnia 2026 wymagają m.in. informowania osób, kiedy rozmawiają z systemem AI, oraz oznaczania określonych treści syntetycznych, z uwzględnieniem warunków i wyjątków przewidzianych w przepisach. Dostawcy systemów generatywnych mają obowiązki związane z maszynowo czytelnym oznaczaniem, a wdrażający z informowaniem o deepfake'ach i określonych publikacjach tekstowych dotyczących spraw publicznego interesu. Według wyjaśnień Komisji dostawcy systemów generujących syntetyczne audio, obrazy, wideo lub tekst, wprowadzonych na rynek przed 2 sierpnia 2026, mają czas do 2 grudnia 2026 na spełnienie obowiązku oznaczania i wykrywania z art. 50 ust. 2. Ten termin dotyczy tylko tego obowiązku, nie wszystkich wymagań art. 50. Wytyczne Komisji opisują też zakres obowiązków i wyjątki.
W praktyce: jeśli klient rozmawia z voicebotem, powinien wiedzieć, że nie jest to człowiek. Jeśli publikujesz realistyczny film pokazujący wydarzenie, które nie miało miejsca, nie chowaj informacji w stopce wielkości ziarenka. Jeśli redagujesz zwykły artykuł z pomocą AI, nie zakładaj automatycznie, że każdy taki tekst podlega tej samej regule co deepfake — sprawdź zakres konkretnego obowiązku.
Najprostszy porządek to trzy pytania: czy człowiek wie, że ma kontakt z AI? Czy treść może być pomylona z autentycznym zapisem? Czy publikacja dotyczy spraw publicznego interesu? Odpowiedzi prowadzą do dalszej analizy, a nie do uniwersalnej etykiety na wszystko.
Kompetencje AI to nie obowiązkowy certyfikat dla każdego
Artykuł 4 dotyczący kompetencji AI obowiązuje od 2 lutego 2025, a nadzór i egzekwowanie rozpoczęły się 2 sierpnia 2026. Po zmianach wprowadzonych w 2026 roku Komisja wyjaśnia, że nadal istnieje obowiązek podejmowania działań wspierających kompetencje, ale nie ma jednego narzuconego poziomu ani ogólnego wymogu mierzenia wiedzy pracowników. Nadzór należy do krajowych organów, nie do samego AI Office. Sprawdź aktualne pytania i odpowiedzi Komisji.
Nie kupuj więc kursu wyłącznie po to, żeby mieć dyplom w aktach. Dopasuj szkolenie do pracy. Osoba pisząca maile powinna rozumieć zmyślanie faktów i zasady danych. Osoba obsługująca agenta musi znać eskalację i uprawnienia. Osoba używająca AI w rekrutacji potrzebuje znacznie szerszego kontekstu prawnego i kontroli.
Minimum to instrukcja bezpiecznego użycia, lista dozwolonych danych, zasady weryfikacji i kontakt do osoby odpowiedzialnej. Dobrym uzupełnieniem jest krótkie ćwiczenie na przykładach z firmy. Test „rozpoznaj trzy błędy w odpowiedzi modelu” mówi więcej niż slajd o definicji sieci neuronowej.
RODO nie odeszło na emeryturę
AI Act nie zastępuje RODO, prawa autorskiego, tajemnicy zawodowej ani przepisów branżowych. Jeżeli wprowadzasz dane osobowe do narzędzia, nadal potrzebujesz podstawy, zasady minimalizacji, informacji o przetwarzaniu i oceny dostawcy. Przy danych wrażliwych lub tajemnicy zawodowej zwykłe „model nie zapisuje rozmów” nie wystarczy jako cała analiza.
Sprawdź, gdzie dane są przetwarzane, jak długo są przechowywane, czy służą do trenowania, kto ma dostęp i jak usunąć historię. Oddziel konta prywatne od firmowych. Nie wklejaj pełnych akt pacjenta, sprawy czy dokumentacji klienta do narzędzia, którego warunków nie sprawdzono.
W wielu przypadkach wystarczy zmiana procesu: anonimizacja przed analizą, praca na fragmencie, lokalne przetwarzanie albo model wdrożony w kontrolowanym środowisku. Najbezpieczniejsza dana jest często ta, której nie trzeba było wysyłać.
Wysokie ryzyko zaczyna się od funkcji
AI Act stosuje podejście oparte na ryzyku. Systemy mogą być uznane za wysokiego ryzyka m.in. wtedy, gdy wpływają na dostęp do pracy, kredytu, leczenia albo są elementami bezpieczeństwa określonych produktów. Po zmianach AI Omnibus sekcje 1-3 rozdziału III, z wyjątkiem art. 6 ust. 5, mają zastosowanie od 2 grudnia 2027 do systemów wysokiego ryzyka z art. 6 ust. 2 i załącznika III, a od 2 sierpnia 2028 do systemów z art. 6 ust. 1 i załącznika I. Inne przepisy mogą mieć odmienne terminy. Klasyfikację konkretnego zastosowania, rolę firmy i przepisy przejściowe trzeba ocenić osobno. Komisja podkreśla, że większość zastosowań minimalnego ryzyka nie otrzymuje nowych obowiązków tylko dlatego, że używa AI. Zobacz przewodnik Komisji.
Nie oceniaj po branży, tylko po zadaniu. AI w kancelarii może pomagać formatować notatki albo oceniać sytuację człowieka. AI w sklepie może proponować opis produktu albo decydować o dostępie do finansowania. To różne światy.
Jeżeli system wpływa na prawa, zdrowie, bezpieczeństwo lub dostęp do istotnych usług, zatrzymaj automatyzację i wykonaj szczegółową analizę. Nie polegaj na artykule z internetu jako ostatecznej klasyfikacji. Również tym.
Umowa z dostawcą: dziewięć pytań
Zapytaj o lokalizację i podmioty przetwarzające dane, retencję, wykorzystanie treści do treningu, zabezpieczenia, możliwość eksportu i usunięcia, informacje o zmianach modelu, dostępność oraz kanał zgłaszania incydentów. Przy agentach dodaj zakres uprawnień, logi działań i możliwość natychmiastowego wyłączenia.
Nie wystarczy logo certyfikatu na stronie. Certyfikaty mogą dotyczyć konkretnego produktu, regionu i zakresu. Sprawdź dokument i datę. Przy małych narzędziach czasem najlepszą decyzją jest nie wprowadzać ich do wrażliwego procesu, nawet jeśli interfejs ma piękny gradient i obiecuje dziesięć godzin tygodniowo.
Zapisz właściciela odnowienia umowy. Subskrypcja bez właściciela to sposób na wieczne finansowanie narzędzia, z którego firma przestała korzystać, ale dane nadal pamięta.
Procedura incydentu dla zwykłej firmy
Co robisz, kiedy model wysłał błędną informację do klienta, ujawnił dane albo wykonał nieoczekiwaną akcję? Zapisz krótką ścieżkę: zatrzymaj proces, zabezpiecz logi, ogranicz dostęp, oceń skutki, poinformuj właściwe osoby, popraw przyczynę i dopiero wtedy uruchom ponownie.
Wskazuj jedną osobę odpowiedzialną za decyzję. W małej firmie może to być właściciel, ale rola musi być znana przed incydentem. „Wszyscy” zwykle oznacza, że nikt nie wie, kto ma wyłączyć integrację.
Testuj scenariusz raz na jakiś czas. Nie potrzebujesz symulacji wojennej. Wystarczy pytanie: „Agent wysłał nie ten dokument — kto i gdzie go zatrzymuje?” Jeśli odpowiedź brzmi „sprawdzimy w grupie”, masz konkretny punkt do poprawy.
Rejestr decyzji zamiast półki dokumentów
Dokumentuj nie tylko zasady, ale decyzje: dlaczego wybrano narzędzie, jakie dane może przetwarzać, kto zatwierdził, jakie testy wykonano i kiedy następuje przegląd. Dzięki temu zmiana modelu nie wymaga zbierania wiedzy od zera.
Prosty rejestr może mieć kolumny: system, proces, właściciel, rola, dane, odbiorcy, nadzór człowieka, źródło prawne, data przeglądu. To jedna strona arkusza dla małej firmy. Nie potrzebujesz systemu do zarządzania systemami, chyba że skala go uzasadnia.
Podobny porządek pomaga przy bazie wiedzy i testach. Jeżeli chcesz zbudować fundament pod taką dokumentację, zobacz system wiedzy AI dla jednoosobowej firmy. Przy samych uprawnieniach pomocny będzie przewodnik bezpieczeństwa agentów.
Kiedy potrzebujesz prawnika, a kiedy audytu procesu?
Prawnik jest potrzebny przy klasyfikacji ryzyka, obowiązkach dla konkretnej roli, umowach i sporach. Audyt procesu porządkuje fakty: systemy, właścicieli, dane, integracje i rzeczywiste zachowanie zespołu. Jedno nie zastępuje drugiego.
Najlepiej przygotować mapę przed konsultacją. Zamiast pytać „czy możemy używać AI?”, pytasz: „Używamy tego modelu do klasyfikacji zgłoszeń, zawiera dane kontaktowe, odpowiedź zatwierdza pracownik, dostawca przechowuje logi przez określony czas — jakie obowiązki i zmiany umowy dotyczą tego przypadku?”. Oszczędzasz czas i dostajesz użyteczniejszą odpowiedź.
Nie czekaj z porządkiem na rozstrzygnięcie każdej wątpliwości prawnej. Inwentarz, minimalizacja danych i jasny właściciel są dobre niezależnie od klasyfikacji.
Plan na trzydzieści dni
W pierwszym tygodniu zrób inwentarz i zatrzymaj najbardziej oczywiste przypadki wklejania wrażliwych danych do niezweryfikowanych narzędzi. W drugim przypisz właścicieli, sprawdź przejrzystość rozmów i publikacji, oraz przejrzyj umowy. W trzecim przygotuj szkolenie dopasowane do ról i procedurę incydentu. W czwartym uruchom test najważniejszych procesów i ustal kalendarz przeglądów.
Nie próbuj klasyfikować całego wszechświata w jeden dzień. Zacznij od zastosowań, które wpływają na ludzi, dane i komunikację zewnętrzną. W razie wątpliwości zbierz fakty i skonsultuj konkretny przypadek.
Jeśli potrzebujesz uporządkowania narzędzi, kosztów i przepływu informacji przed dalszą budową, Aeneia Audit odpowiada dokładnie na ten etap. Najpierw mapa faktów, potem decyzje. Prawnik dostaje konkret zamiast opowieści „chyba mamy jakiś czat”.
Najlepszy compliance nie jest najgrubszy. Jest używalny. Zespół wie, co wolno, kiedy zatrzymać proces i kto podpisuje decyzję. Dzięki temu AI pozostaje narzędziem pracy, a nie nowym sposobem na odkrywanie obowiązków metodą prób i incydentów.
Sprawdź nas. To zdrowe.
Temat zmienia się szybko. Linki prowadzą do źródeł pierwotnych i stron, na których możesz zweryfikować kontekst.
