Czego AI Act wymaga od firmy, która używa AI

„Kupujemy AI od dużego dostawcy, który deklaruje zgodność z AI Act. Czy to nie wystarczy?” Nie wystarczy. Rozporządzenie (UE) 2024/1689, nazywane AI Act, obowiązuje od sierpnia 2024 roku, a jego wymogi wchodzą w życie etapami. Część z nich już działa. Dla kadry zarządzającej w bankowości, farmacji, energetyce i innych branżach regulowanych pytanie brzmi dziś, na ile organizacja jest gotowa na obowiązki, które już obowiązują, i na te, których terminy dopiero nadejdą.

Konkretne obowiązki organizacji należy potwierdzić z doradcą prawnym.

Kalendarz obowiązków

W listopadzie 2025 Komisja Europejska zaproponowała w pakiecie Digital Omnibus przesunięcie terminów dla systemów wysokiego ryzyka, najpóźniej do 2 grudnia 2027 dla załącznika III i do 2 sierpnia 2028 dla załącznika I.¹ Wniosek jest przedmiotem prac Rady i Parlamentu Europejskiego. Dopóki nie zostanie przyjęty, obowiązują terminy z tabeli, a plan zgodności oparty na przesunięciu, które jeszcze nie zapadło, jest zakładem, a nie planem.

Komisja opublikowała już wytyczne do zakazanych praktyk i do definicji systemu AI, a kolejne, m.in. do klasyfikacji systemów wysokiego ryzyka, są w przygotowaniu. Infrastruktura egzekwowania powstaje teraz, a dyskusja o terminach jej nie zatrzymuje.

Mechanizm kar przypomina RODO: kara jest liczona jako kwota stała albo procent globalnego rocznego obrotu, zależnie od tego, która wartość jest wyższa, a poważniejsze naruszenia plasują się na surowszym końcu skali. Dla małych i średnich przedsiębiorstw oraz startupów pułapem jest wartość niższa z tych dwóch (art. 99 ust. 6).

Dostawca i podmiot stosujący

Rozporządzenie rozróżnia dostawców, czyli podmioty budujące systemy AI, oraz podmioty stosujące, czyli organizacje, które używają tych systemów w pracy zawodowej. Obowiązki podmiotu stosującego istnieją niezależnie od obowiązków dostawcy i nie da się ich przenieść umową na kogoś innego.

Zakup narzędzia zgodnego z przepisami od renomowanego dostawcy nie zwalnia organizacji wdrażającej z własnych obowiązków w zakresie nadzoru, monitorowania, zgłaszania incydentów i zarządzania ryzykiem. Odpowiedzialność spoczywa na tym, kto faktycznie używa systemu, a nie tylko na tym, kto go zbudował. To najczęstsze błędne założenie w rozmowach o AI Act na poziomie zarządu i zarazem najdroższe, bo ujawnia się dopiero przy pierwszym incydencie albo kontroli.

Kategorie ryzyka

Rozporządzenie porządkuje systemy AI według ryzyka, zamiast traktować każde zastosowanie tak samo.

Dla branż regulowanych największe znaczenie ma kategoria wysokiego ryzyka. Obejmuje systemy używane w decyzjach zatrudnieniowych, ocenie zdolności kredytowej, obsłudze infrastruktury krytycznej i innych sytuacjach, w których działanie systemu wpływa na prawa osób albo na obowiązki firmy w zakresie bezpieczeństwa. To, które systemy w danej organizacji się kwalifikują i od kiedy obejmują je konkretne obowiązki, zależy od systemu i sposobu jego użycia.

Klasyfikacja jest formalnym, udokumentowanym ćwiczeniem z udziałem osób technicznych i prawnych. Przeprowadzona nieformalnie, np. w arkuszu jednego zespołu, nie obroni się przed audytorem ani organem nadzoru, bo nie pokazuje, kto podjął decyzję i na jakiej podstawie.

Kompetencje w zakresie AI (art. 4)

Artykuł 4 dostaje znacznie mniej uwagi niż kategorie ryzyka. Dostawcy i podmioty stosujące mają podejmować środki, aby w możliwie największym stopniu zapewnić odpowiedni poziom kompetencji w zakresie AI u pracowników i innych osób obsługujących systemy w ich imieniu, z uwzględnieniem ich wiedzy, doświadczenia, wykształcenia i kontekstu użycia.² Wniosek Digital Omnibus przewiduje złagodzenie tego przepisu, ale do czasu jego przyjęcia przepis stosuje się w obecnym brzmieniu.¹

Obowiązek działa od 2 lutego 2025, nie ogranicza się do systemów wysokiego ryzyka i dotyczy całej organizacji. Rozporządzenie nie narzuca formy działań, więc dowodem ich podjęcia pozostaje udokumentowany program szkoleń dopasowany do roli i konkretnego systemu: kto, kiedy i w jakim zakresie przeszedł szkolenie.

Pięć kroków na start

Pierwsze kroki nie wymagają gotowego programu zgodności ani czekania na ostateczną opinię prawną. Wymagają właściciela tematu i działającego inwentarza.

1. Inwentarz systemów AI. Wszystkie systemy używane w organizacji, łącznie z narzędziami wdrożonymi nieformalnie przez pojedyncze zespoły.
2. Klasyfikacja ryzyka. Każdy system przypisany do kategorii z rozporządzenia, z osobą odpowiedzialną za tę decyzję.
3. Dokumentacja od dostawców. Przegląd informacji o przejrzystości udostępnianych przez dostawców modeli ogólnego przeznaczenia używanych produkcyjnie.
4. Ślad audytowy. Dokumentowanie decyzji wspieranych przez AI tam, gdzie wynik działania systemu dotyka ludzi, pieniędzy albo bezpieczeństwa.
5. Program kompetencji. Szkolenia dla pracowników mających kontakt z systemami AI, dopasowane do ich roli.

Organizacje najdalej w przygotowaniach traktują ten temat jako stałą funkcję operacyjną, a nie jednorazowy projekt prawny. Na kontrolę przychodzą z przejrzystym inwentarzem, klasyfikacją, której potrafią bronić, i dokumentacją, która wytrzyma weryfikację. Inwentarz, klasyfikację i plan zgodności przygotowujemy w ramach pakietu Strategia AI.

Najczęstsze pytania