Firma chce wdrożyć agenta AI do obsługi klientów. Marketing korzysta z ChatGPT. HR testuje narzędzie pomagające analizować CV. Dział sprzedaży chce połączyć AI z CRM, a zarząd otrzymał ofertę systemu, który ma automatycznie analizować dokumenty i przygotowywać rekomendacje.
Każdy z tych przypadków dotyczy sztucznej inteligencji. Prawnie mogą jednak oznaczać zupełnie inne ryzyka i obowiązki.
Bezpieczne wdrożenie AI w firmie nie polega więc wyłącznie na wyborze dobrego narzędzia. Trzeba ustalić, do czego AI będzie wykorzystywana, jakie dane otrzyma, kto będzie korzystał z jej wyników, jaką rolę firma pełni na gruncie AI Act oraz czy umowa z dostawcą rzeczywiście chroni przedsiębiorcę.
W 2026 r. ma to szczególne znaczenie. Od 2 sierpnia 2026 r. zaczęła być stosowana zasadnicza część unijnego AI Act, w tym obowiązki dotyczące przejrzystości niektórych systemów AI. Jednocześnie w lipcu 2026 r. wszedł w życie Digital Omnibus on AI, który zmienił między innymi harmonogram stosowania części przepisów dotyczących systemów wysokiego ryzyka.
Dlatego wdrożenie AI warto traktować jak projekt łączący technologię, umowę, dane, bezpieczeństwo i compliance, a nie jak zakup kolejnego programu.
Jak bezpiecznie wdrożyć AI w firmie? Najważniejsze w skrócie
Przed wdrożeniem AI firma powinna odpowiedzieć przynajmniej na osiem pytań:
- Do czego konkretnie AI będzie wykorzystywana?
- Jakie dane będą wprowadzane do systemu?
- Czy wśród nich znajdą się dane osobowe, poufne albo objęte tajemnicą przedsiębiorstwa?
- Jaką rolę firma pełni na gruncie AI Act?
- Czy sposób korzystania z AI podlega dodatkowym obowiązkom wynikającym z AI Act?
- Co dostawca AI może zrobić z danymi i promptami firmy?
- Kto odpowiada za błędny wynik systemu, awarię lub naruszenie bezpieczeństwa?
- Co stanie się z danymi i procesami firmy po zakończeniu współpracy z dostawcą?
To nie jest wyłącznie teoria.
6 sierpnia 2026 r. Urząd Ochrony Danych Osobowych opublikował materiał poświęcony pytaniom, które organizacje powinny zadać przed wdrożeniem narzędzia AI. UODO zwraca uwagę między innymi na analizę ryzyka, danych oraz zgodności projektowanego rozwiązania z RODO.
Przydatny jest tutaj materiał UODO dotyczący zgodności narzędzi AI z RODO.
Z perspektywy zarządu można przyjąć prostą zasadę:
im większy wpływ AI na ludzi, pieniądze, decyzje, dane lub podstawowe procesy firmy, tym dokładniejsza powinna być analiza przed uruchomieniem systemu.
Od czego zacząć wdrożenie AI w firmie?
Najgorszym momentem na analizę prawną systemu AI jest chwila, w której narzędzie zostało już kupione, zintegrowane z firmowymi bazami danych i udostępnione pracownikom.
Wtedy część najważniejszych decyzji została już podjęta.
Znacznie bezpieczniej zacząć od krótkiego audytu planowanego wykorzystania AI.
Krok 1. Ustal, gdzie firma naprawdę korzysta z AI
W wielu organizacjach oficjalna odpowiedź brzmi: „jeszcze nie wdrożyliśmy AI”.
Kilka pytań później okazuje się jednak, że:
- marketing korzysta z generatorów tekstu i grafiki,
- sprzedaż przygotowuje przy pomocy AI wiadomości i oferty,
- pracownicy przesyłają dokumenty do narzędzia w celu ich podsumowania,
- programiści korzystają z asystentów kodowania,
- HR testuje narzędzia do selekcji kandydatów,
- dział obsługi klienta uruchomił chatbota,
- zarząd używa AI do analizy danych i przygotowywania raportów.
Pierwszym etapem wdrożenia powinna być więc mapa wykorzystania AI.
Nie trzeba od razu tworzyć kilkudziesięciostronicowego rejestru. Na początek warto wiedzieć: jakie narzędzie jest używane, przez kogo, w jakim celu, na jakim koncie, z jakimi danymi i do podejmowania jakich decyzji.
Jeżeli z AI korzysta już kilka działów, warto równolegle uporządkować wewnętrzne zasady. Szerzej opisujemy to w poradniku Polityka AI w firmie – co powinna zawierać?.
Krok 2. Ustal rolę firmy na gruncie AI Act
Samo stwierdzenie „korzystamy ze sztucznej inteligencji” nie wystarcza.
AI Act rozróżnia różne role uczestników rynku. Dla większości przedsiębiorstw kupujących gotowe rozwiązanie szczególnie istotna będzie pozycja podmiotu stosującego, czyli deployera.
Sytuacja może wyglądać inaczej, gdy firma rozwija własny system, udostępnia rozwiązanie pod własną nazwą lub marką albo dokonuje zmian powodujących przejęcie obowiązków właściwych dostawcy.
To rozróżnienie ma znaczenie, ponieważ AI Act nie nakłada identycznych obowiązków na wszystkie podmioty korzystające ze sztucznej inteligencji.
Przykład
Spółka kupuje gotowego asystenta AI i używa go wewnętrznie do tworzenia podsumowań spotkań.
To zupełnie inny model niż sytuacja spółki, która integruje model z własnym produktem, tworzy własnego agenta AI, a następnie oferuje go klientom pod swoją marką.
Technologicznie oba rozwiązania mogą korzystać z podobnego modelu. Prawna rola przedsiębiorcy może być jednak inna.
Krok 3. Określ poziom ryzyka konkretnego zastosowania
AI Act opiera się na podejściu uwzględniającym ryzyko. Nie oznacza to, że każda firma korzystająca z ChatGPT automatycznie wdraża system wysokiego ryzyka.
Liczy się konkretny sposób wykorzystania systemu.
Inaczej należy oceniać AI pomagającą pracownikowi poprawić język wiadomości, a inaczej system wykorzystywany do rekrutacji, oceny pracowników czy podejmowania decyzji istotnie wpływających na konkretnych ludzi.
Po zmianach przyjętych w 2026 r. przepisy dotyczące systemów wykorzystywanych w określonych obszarach wysokiego ryzyka, w tym między innymi w zatrudnieniu, mają być stosowane od 2 grudnia 2027 r. Dla określonych systemów wysokiego ryzyka będących elementami produktów regulowanych przewidziano termin 2 sierpnia 2028 r.
Aktualny harmonogram można sprawdzić na oficjalnej stronie Komisji Europejskiej poświęconej AI Act.
Nie oznacza to jednak, że do tych dat przedsiębiorca może ignorować ryzyka związane z AI. Nadal mogą mieć zastosowanie RODO, prawo pracy, przepisy dotyczące konsumentów, tajemnicy przedsiębiorstwa, własności intelektualnej czy regulacje sektorowe.
AI Act w firmie w 2026 r. – co obowiązuje przedsiębiorców?
AI Act wszedł w życie w 2024 r., ale jego przepisy zaczęły być stosowane etapami.
Z punktu widzenia przedsiębiorcy szczególnie ważna jest data 2 sierpnia 2026 r., od której zaczęła być stosowana zasadnicza część regulacji, w tym obowiązki dotyczące przejrzystości określonych systemów AI.
Kompetencje AI pracowników
Jednym z tematów, o którym firmy często dowiadują się dopiero przy szerszym audycie AI, są kompetencje osób korzystających z systemów sztucznej inteligencji.
AI Act przewiduje obowiązki związane z zapewnianiem odpowiedniego poziomu kompetencji w zakresie AI wśród osób korzystających z takich systemów w imieniu organizacji. Podejście powinno uwzględniać między innymi wiedzę, doświadczenie i kontekst wykorzystania technologii.
Nie oznacza to, że każda firma musi kupić ten sam certyfikowany kurs „AI Act dla pracowników”.
Szkolenie dla osoby, która przy pomocy AI poprawia język prezentacji, może wyglądać zupełnie inaczej niż szkolenie zespołu korzystającego z AI przy analizowaniu transakcji finansowych, kandydatów do pracy albo dokumentacji klientów.
W praktyce działania firmy mogą obejmować:
- podstawowe szkolenie,
- zasady korzystania z zatwierdzonych narzędzi,
- instrukcję dotyczącą danych i poufności,
- wskazanie zastosowań zabronionych,
- procedurę zgłaszania incydentów,
- dodatkowe szkolenia dla zespołów wykorzystujących bardziej ryzykowne systemy.
Komisja prowadzi także repozytorium praktyk dotyczących AI literacy.
Chatbot i agent AI rozmawiający z klientem
Jeżeli system AI wchodzi bezpośrednio w interakcję z człowiekiem, trzeba zweryfikować obowiązki transparentności.
Art. 50 AI Act przewiduje między innymi zasadę, zgodnie z którą osoba powinna być poinformowana, że wchodzi w interakcję z systemem AI, chyba że jest to oczywiste z punktu widzenia odpowiednio poinformowanej, uważnej i rozsądnej osoby, z uwzględnieniem kontekstu.
Dlatego przedsiębiorca wdrażający chatbota, voicebota lub agenta AI nie powinien analizować wyłącznie jakości odpowiedzi systemu.
Trzeba także sprawdzić, co wie klient, jakie dane przekazuje, kiedy włącza się człowiek oraz kto odpowiada za działanie systemu.
Czy każdą treść stworzoną przy pomocy AI trzeba oznaczać?
Nie.
AI Act nie wprowadził ogólnego obowiązku dodawania etykiety „wygenerowano przez AI” do każdego tekstu, zdjęcia czy wiadomości przygotowanej przy wsparciu sztucznej inteligencji.
Art. 50 przewiduje konkretne obowiązki dla określonych sytuacji, w tym dotyczące technicznego oznaczania określonych treści syntetycznych, deepfake’ów, interakcji z systemami AI oraz niektórych tekstów publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym.
Komisja Europejska opublikowała w lipcu 2026 r. wytyczne poświęcone tym obowiązkom.
Szerzej omawiamy to w artykule AI Act – kiedy oznaczać treści AI, chatboty i deepfake?.
Umowa z dostawcą AI – na co zwrócić uwagę przed podpisaniem?
AI Act i RODO są ważne, ale przy wielu komercyjnych wdrożeniach najwięcej praktycznych problemów zaczyna się od… umowy.
Firma negocjuje cenę i liczbę użytkowników. IT sprawdza integrację. Biznes zachwyca się demonstracją produktu.
A dopiero później ktoś pyta:
Czy dostawca może używać naszych danych do trenowania modeli? Co jeżeli zmieni model? Kto odpowiada za błędną rekomendację AI? Czy możemy odzyskać swoje dane po zakończeniu współpracy?
Dlatego umowa z dostawcą AI powinna być analizowana równie uważnie jak klasyczna umowa wdrożeniowa IT albo umowa SaaS.
Zakres usługi – co właściwie kupuje firma?
Pierwszy problem pojawia się wtedy, gdy marketingowa prezentacja dostawcy obiecuje znacznie więcej niż umowa.
W dokumentach warto ustalić:
- jakie funkcje ma system,
- jakie modele są wykorzystywane,
- jakie integracje obejmuje wdrożenie,
- kto odpowiada za konfigurację,
- jakie rezultaty ma dostarczyć dostawca,
- co jest standardową funkcją usługi, a co dodatkowym developmentem,
- jakie ograniczenia systemu zostały ujawnione klientowi.
Jeżeli AI ma być elementem większego wdrożenia, zakres powinien być spójny z harmonogramem, testami i zasadami odbioru.
Czy dostawca może zmienić model AI?
To pytanie jest charakterystyczne dla projektów wykorzystujących AI.
Firma może wybrać rozwiązanie między innymi dlatego, że wykorzystuje ono konkretny model lub określone parametry.
Po kilku miesiącach dostawca może jednak zmienić dostawcę modelu bazowego, wersję modelu, sposób moderacji, limity albo architekturę produktu.
Z biznesowego punktu widzenia może to zmienić jakość, funkcjonalność, koszty, lokalizację przetwarzania danych lub profil ryzyka.
Dlatego w ważnych systemach warto ustalić:
- kiedy dostawca może dokonać istotnej zmiany,
- czy klient otrzyma wcześniejsze powiadomienie,
- co dzieje się w przypadku pogorszenia parametrów,
- czy zmiana może wpływać na przetwarzanie danych,
- czy klient ma prawo zrezygnować z usługi.
Dane wejściowe, prompty i dokumenty firmy
Jedną z pierwszych rzeczy, które warto sprawdzić, jest to, co dostawca może robić z materiałami przekazywanymi do systemu.
Nie wystarczy hasło „Twoje dane są bezpieczne”.
Umowa, regulamin i dokumentacja usługi powinny pozwalać ustalić między innymi:
- do jakiego celu dane są przetwarzane,
- jak długo są przechowywane,
- czy są wykorzystywane do trenowania lub ulepszania modeli,
- czy można takie wykorzystanie wyłączyć,
- kto ma do nich dostęp,
- gdzie odbywa się przetwarzanie,
- czy występują podwykonawcy,
- co dzieje się z danymi po rozwiązaniu umowy.
Szczególne znaczenie ma to wtedy, gdy pracownicy będą przesyłać do AI dokumenty klientów, umowy, kod, dane finansowe, informacje o transakcjach lub inne materiały niepubliczne.
Kto odpowiada za halucynacje i błędne wyniki AI?
System AI może wygenerować odpowiedź brzmiącą bardzo przekonująco i jednocześnie całkowicie błędną.
Dlatego zdanie dostawcy „AI może popełniać błędy” nie powinno kończyć analizy odpowiedzialności.
Trzeba ustalić, co się stanie, jeżeli system:
- poda nieprawidłowe informacje klientowi,
- błędnie przeanalizuje dokument,
- pominie istotne dane,
- wygeneruje nieprawidłowy kod,
- podejmie nieprzewidziane działanie przez integrację z innym systemem,
- spowoduje stratę w procesie biznesowym.
W wielu przypadkach nie chodzi o oczekiwanie, że dostawca zagwarantuje stuprocentową poprawność każdego outputu. Chodzi o rozsądne rozdzielenie odpowiedzialności i ustalenie, które decyzje wymagają kontroli człowieka.
SLA, awarie i dostępność systemu AI
Jeżeli AI ma odpowiadać klientom 24/7 albo obsługiwać istotny proces operacyjny, dostępność przestaje być dodatkiem technicznym.
Warto ustalić parametry SLA:
- oczekiwany poziom dostępności,
- sposób liczenia dostępności,
- czasy reakcji,
- kategorie incydentów,
- czasy naprawy,
- sposób eskalacji,
- planowane przerwy techniczne,
- konsekwencje niedotrzymania parametrów.
W przypadku systemu AI znaczenie może mieć nie tylko całkowita awaria. Problemem może być również znaczne pogorszenie jakości działania po aktualizacji modelu.
Incydenty bezpieczeństwa
Jeżeli system ma dostęp do firmowych danych, CRM, poczty, dokumentów lub innych aplikacji, procedura dotycząca incydentów powinna odpowiadać realnemu ryzyku.
Umowa powinna określać, w jakim czasie dostawca poinformuje o incydencie, jakie informacje przekaże i w jaki sposób będzie współpracował z klientem.
Samo zdanie „dostawca stosuje standardy branżowe” może być niewystarczające w projekcie, którego awaria może zatrzymać działalność firmy.
Podwykonawcy i zewnętrzne modele
Dostawca produktu AI nie zawsze jest podmiotem, który sam stworzył wszystkie elementy rozwiązania.
Pod spodem mogą działać:
- zewnętrzny model AI,
- chmura,
- baza wektorowa,
- dostawca speech-to-text,
- system OCR,
- narzędzia analityczne,
- dodatkowe API.
Firma powinna wiedzieć, które kluczowe podmioty uczestniczą w świadczeniu usługi, szczególnie jeżeli otrzymują dostęp do danych.
Vendor lock-in – co jeżeli firma będzie chciała odejść?
Dobry czas na negocjowanie wyjścia z systemu jest przed jego wdrożeniem, a nie dwa lata później.
Jeżeli AI zostanie głęboko połączona z procesami firmy, zmiana dostawcy może okazać się trudna i kosztowna.
Dlatego należy ustalić:
- format eksportu danych,
- termin ich wydania,
- zasady usuwania kopii,
- dokumentację integracji,
- dostęp do konfiguracji,
- okres przejściowy,
- wsparcie migracyjne,
- możliwość dalszego działania procesu po zakończeniu umowy.
Podobne ryzyka występują przy klasycznych projektach technologicznych. Więcej na ten temat opisujemy w sekcji dotyczącej umów z software house’em.
AI a RODO – czy można wprowadzać dane osobowe do ChatGPT i innych narzędzi?
Nie ma jednej odpowiedzi „tak” albo „nie”.
Samo korzystanie z AI do przetwarzania danych osobowych nie jest automatycznie zakazane, ale przedsiębiorca powinien ustalić, jakie dane są przetwarzane, w jakim celu, na jakiej podstawie, przez jakie podmioty i z jakimi zabezpieczeniami.
Europejska Rada Ochrony Danych w opinii 28/2024 analizowała między innymi zagadnienia związane z anonimowością modeli, podstawą prawnie uzasadnionego interesu oraz skutkami wykorzystania danych osobowych przetwarzanych niezgodnie z prawem.
Pełną opinię można znaleźć na stronie Europejskiej Rady Ochrony Danych.
„Nie wpisuj danych osobowych do AI” to zbyt prosta zasada
Taka instrukcja może działać jako rozwiązanie tymczasowe, ale w większej organizacji szybko okazuje się niewystarczająca.
Przecież właśnie przetwarzanie danych może być celem systemu.
AI może analizować korespondencję, pomagać obsługiwać klienta, podsumowywać dokumentację, klasyfikować zgłoszenia albo wykrywać anomalie.
Prawidłowe pytanie brzmi więc nie:
„Czy AI może przetwarzać dane?”
lecz:
„Na jakich warunkach konkretny system może przetwarzać konkretne dane w konkretnym procesie?”
Umowa powierzenia danych
Jeżeli dostawca AI przetwarza dane osobowe w imieniu firmy będącej administratorem, trzeba przeanalizować role stron oraz to, czy potrzebna jest umowa powierzenia przetwarzania danych.
Sama nazwa dokumentu „DPA” nie oznacza jeszcze, że wszystko zostało prawidłowo uregulowane.
Znaczenie mogą mieć między innymi:
- instrukcje administratora,
- zakres i cel przetwarzania,
- poufność,
- bezpieczeństwo,
- podprocesorzy,
- transfery danych,
- pomoc przy realizacji praw osób,
- incydenty,
- usuwanie lub zwrot danych.
Czy potrzebna jest DPIA?
Nie każde wykorzystanie AI automatycznie wymaga oceny skutków dla ochrony danych.
RODO wymaga jej jednak wtedy, gdy planowane przetwarzanie może z dużym prawdopodobieństwem powodować wysokie ryzyko naruszenia praw lub wolności osób fizycznych.
UODO wskazuje w tym kontekście między innymi na znaczenie nowych technologii, profilowania, automatycznego podejmowania istotnych decyzji, danych przetwarzanych na dużą skalę czy systematycznego monitorowania.
Praktyczne wyjaśnienia można znaleźć w poradniku UODO dotyczącym DPIA.
AI nie powinna automatycznie podejmować każdej decyzji
Szczególnej uwagi wymagają procesy, w których decyzja dotycząca człowieka jest podejmowana wyłącznie automatycznie i wywołuje wobec niego skutki prawne albo w podobny sposób istotnie na niego wpływa.
RODO przewiduje w tym zakresie szczególne zasady i zabezpieczenia. Komisja Europejska jako przykład wskazuje automatyczne decyzje kredytowe.
Dlatego „człowiek w procesie” nie powinien być wyłącznie podpisem pod wynikiem wygenerowanym przez system.
Jeżeli human review ma być zabezpieczeniem, osoba dokonująca kontroli powinna mieć rzeczywistą możliwość oceny, zakwestionowania i zmiany rekomendacji systemu.
AI, prawa autorskie i tajemnica przedsiębiorstwa
Kolejne ryzyko pojawia się wtedy, gdy firma patrzy wyłącznie na dane osobowe.
Dokument może nie zawierać ani jednego imienia i nazwiska, a nadal może być niezwykle poufny.
Do systemów AI trafiają między innymi:
- kod źródłowy,
- dokumentacja techniczna,
- warunki negocjowanych umów,
- niepubliczne ceny,
- marże,
- strategie biznesowe,
- informacje o planowanych produktach,
- bazy klientów,
- analizy transakcji,
- know-how przedsiębiorstwa.
Dlatego polityka korzystania z AI powinna uwzględniać nie tylko RODO, lecz również poufność i tajemnicę przedsiębiorstwa.
Prosta zasada organizacyjna może brzmieć:
jeżeli pracownik nie może przesłać dokumentu przypadkowemu zewnętrznemu podmiotowi, nie powinien automatycznie zakładać, że może przesłać go do dowolnego narzędzia AI.
Najpierw trzeba sprawdzić warunki korzystania z usługi.
Kto ma prawa do treści wygenerowanej przez AI?
To pytanie jest bardziej skomplikowane, niż sugerują niektóre regulaminy usług.
Fakt, że dostawca w umowie przyznaje użytkownikowi określone prawa do outputu, nie oznacza jeszcze automatycznie, że każdy wygenerowany rezultat będzie samodzielnym utworem chronionym prawem autorskim.
Znaczenie może mieć rzeczywisty twórczy wkład człowieka w powstanie rezultatu.
Problematyka generatywnej AI i prawa autorskiego jest nadal intensywnie rozwijana. EUIPO opublikował poświęcone temu zagadnieniu opracowanie obejmujące zarówno wykorzystywanie treści przy rozwoju GenAI, jak i status treści generowanych przez systemy AI.
Warto zajrzeć do Copyright Knowledge Centre EUIPO dotyczącego generatywnej AI.
Jeżeli AI służy do tworzenia produktu, kodu, grafik, materiałów reklamowych albo innych kluczowych zasobów przedsiębiorstwa, kwestię IP warto przeanalizować przed komercyjnym wykorzystaniem rezultatów.
W projektach technologicznych pomocne może być również uporządkowanie praw do kodu i IP.
Checklista wdrożenia AI w firmie – 20 pytań przed uruchomieniem systemu
Przed produkcyjnym uruchomieniem AI zarząd lub zespół projektowy powinien być w stanie odpowiedzieć na poniższe pytania.
1. Jaki problem biznesowy rozwiązuje AI?
Jeżeli nie da się jasno wyjaśnić celu wdrożenia, trudno prawidłowo określić zakres danych, odpowiedzialność i akceptowalny poziom ryzyka.
2. Kto będzie korzystał z systemu?
Pracownicy, kontraktorzy, klienci, kandydaci do pracy, partnerzy biznesowi?
3. Jakie dane otrzyma AI?
Trzeba rozróżnić dane publiczne, dane osobowe, dane klientów, materiały poufne, kod, dane finansowe i informacje objęte dodatkowymi ograniczeniami.
4. Czy AI zostanie połączona z innymi systemami?
Integracja z CRM, pocztą, dyskiem czy ERP może znacząco zmienić skalę ryzyka.
5. Jaką rolę firma pełni według AI Act?
Nie zawsze będzie wyłącznie użytkownikiem gotowego narzędzia.
6. Czy zastosowanie AI wymaga szczególnej analizy ryzyka?
Znaczenie mają między innymi procesy HR, scoring, biometria, infrastruktura krytyczna czy inne zastosowania ujęte przez AI Act.
7. Czy pracownicy wiedzą, jak bezpiecznie korzystać z AI?
Samo wysłanie maila z hasłem „nie wpisujcie poufnych danych” zwykle nie tworzy działającego systemu zarządzania.
8. Czy firma ma politykę AI?
Nie każda firma musi posiadać dokument dokładnie o takiej nazwie, ale zasady korzystania z AI powinny być jasne i możliwe do stosowania w praktyce.
9. Czy sprawdzono regulamin i umowę z dostawcą?
Szczególnie postanowienia dotyczące danych, odpowiedzialności, zmian usługi i zakończenia współpracy.
10. Czy dane firmy mogą być używane do trenowania modelu?
Nie należy tego zakładać ani w jedną, ani w drugą stronę. Trzeba sprawdzić warunki konkretnej usługi i konfigurację konta.
11. Czy potrzebna jest DPA?
Jeżeli dostawca przetwarza dane osobowe w imieniu firmy, trzeba przeanalizować role oraz dokumentację przetwarzania.
12. Czy potrzebna jest DPIA?
W szczególności przy przetwarzaniu, które może powodować wysokie ryzyko dla osób fizycznych.
13. Kto weryfikuje wyniki AI?
Im ważniejsza decyzja, tym istotniejsza rzeczywista kontrola człowieka.
14. Co się stanie, gdy AI się pomyli?
Firma powinna mieć odpowiedź zanim pierwszy błąd dotknie klienta.
15. Co się stanie, gdy AI przestanie działać?
Dla krytycznego procesu potrzebny może być scenariusz awaryjny.
16. Czy system wymaga oznaczenia lub poinformowania użytkownika?
Szczególnie gdy człowiek wchodzi w interakcję z AI albo firma publikuje określone treści syntetyczne.
17. Kto posiada prawa do rezultatów?
Trzeba odróżnić warunki kontraktowe dostawcy od odpowiedzi na pytanie o ochronę konkretnego rezultatu prawem autorskim.
18. Jak firma zareaguje na incydent?
Powinno być wiadomo, do kogo trafia zgłoszenie i kiedy angażowane są IT, bezpieczeństwo, prawnik, IOD lub zarząd.
19. Czy można łatwo zmienić dostawcę?
Warto znać zasady eksportu danych, integracji i migracji.
20. Kto jest właścicielem procesu AI w organizacji?
Bez wskazania odpowiedzialności polityka i procedury szybko stają się dokumentami, których nikt nie aktualizuje.
AI w fintech, HR i innych sektorach regulowanych wymaga dodatkowej analizy
Niektóre wdrożenia AI należy oceniać szerzej niż wyłącznie przez AI Act.
Fintech wykorzystujący AI do analizy transakcji może jednocześnie podlegać regulacjom finansowym, AML, RODO i wymogom dotyczącym ICT.
Podmiot objęty DORA powinien dodatkowo patrzeć na dostawców technologii przez pryzmat zarządzania ryzykiem ICT, outsourcingu, incydentów i ciągłości działania. Więcej na ten temat znajduje się w materiale dotyczącym DORA i compliance.
Z kolei przedsiębiorcy objęci krajowym systemem cyberbezpieczeństwa powinni przeanalizować AI również w szerszym modelu zarządzania cyberbezpieczeństwem i dostawcami. Aktualne omówienie polskich przepisów znajduje się w artykule NIS2 w Polsce 2026 – czy Twoja firma podlega KSC?.
W sektorach regulowanych pytanie nie powinno więc brzmieć wyłącznie:
„Czy jesteśmy zgodni z AI Act?”
Lepsze pytanie brzmi:
„Jak wdrożenie AI wpływa na wszystkie obowiązki regulacyjne, które już dotyczą naszego przedsiębiorstwa?”
Najczęstsze pytania o wdrożenie AI w firmie
Czy firma może legalnie korzystać z ChatGPT?
Tak. Korzystanie z ChatGPT lub innego narzędzia generatywnej AI przez firmę nie jest samo w sobie zakazane. Trzeba jednak ocenić konkretny sposób wykorzystania narzędzia, rodzaj przekazywanych danych, warunki dostawcy, obowiązki wynikające z RODO, AI Act, poufności, własności intelektualnej oraz ewentualnych regulacji sektorowych.
Czy każda firma korzystająca z AI podlega AI Act?
AI Act ma szeroki zakres zastosowania, ale obowiązki przedsiębiorcy zależą między innymi od jego roli oraz rodzaju i sposobu wykorzystania systemu. Firma korzystająca z prostego narzędzia generatywnego może mieć zupełnie inne obowiązki niż przedsiębiorca oferujący własny system AI albo wykorzystujący AI w procesach szczególnie wrażliwych.
Czy polityka AI w firmie jest obowiązkowa?
AI Act nie nakazuje każdej firmie posiadania dokumentu o nazwie „polityka AI”. Organizacja powinna jednak wdrożyć odpowiednie zasady i środki wynikające z faktycznego sposobu wykorzystywania systemów. W wielu firmach polityka AI jest praktycznym sposobem uporządkowania tych zasad.
Czy można wpisywać dane klientów do ChatGPT?
Odpowiedź zależy od konkretnego narzędzia, rodzaju konta, konfiguracji, rodzaju danych, celu ich wykorzystania i zasad przetwarzania przez dostawcę. Przed umożliwieniem pracownikom przesyłania danych klientów warto przeanalizować RODO, poufność, umowy z klientami oraz dokumentację dostawcy AI.
Czy potrzebna jest umowa z dostawcą AI?
Przy rozwiązaniach B2B warunki korzystania z systemu powinny regulować co najmniej zakres usługi, odpowiedzialność, dane, prawa, bezpieczeństwo oraz zakończenie współpracy. Przy większych wdrożeniach standardowy regulamin dostawcy może być niewystarczający i potrzebna może być negocjowana umowa SaaS lub umowa wdrożeniowa.
Kto odpowiada za błąd sztucznej inteligencji?
Nie istnieje jedna zasada, zgodnie z którą za każdy błąd zawsze odpowiada dostawca albo zawsze użytkownik systemu. Odpowiedzialność zależy od okoliczności, roli poszczególnych podmiotów, przepisów oraz umowy. Dlatego warto z góry ustalić odpowiedzialność za działanie systemu, obowiązek jego nadzorowania i sposób reagowania na błędy.
Czy AI może samodzielnie podejmować decyzje dotyczące klientów?
Szczególnej analizy wymagają decyzje oparte wyłącznie na automatycznym przetwarzaniu, które wywołują skutki prawne wobec osoby lub w podobny sposób istotnie na nią wpływają. W takich procesach zastosowanie mogą mieć między innymi szczególne przepisy RODO dotyczące zautomatyzowanego podejmowania decyzji.
Czy treść wygenerowana przez AI jest chroniona prawem autorskim?
Nie należy automatycznie zakładać, że każdy output wygenerowany przez AI jest utworem chronionym prawem autorskim. Znaczenie ma między innymi zakres rzeczywistego twórczego wkładu człowieka. Dlatego przy komercyjnie ważnych rezultatach warto analizować zarówno regulamin dostawcy, jak i sposób powstania konkretnego materiału.
Czy trzeba oznaczać tekst napisany przy pomocy ChatGPT?
Nie każdy tekst przygotowany przy pomocy narzędzia AI podlega obowiązkowi publicznego oznaczenia. Art. 50 AI Act przewiduje konkretne obowiązki i wyjątki, a od 2 sierpnia 2026 r. obowiązują szczegółowe zasady transparentności.
Jak zacząć wdrożenie AI w firmie?
Najlepiej zacząć od mapy zastosowań AI: narzędzia, użytkownicy, cel, dane, integracje i sposób wykorzystania wyników. Następnie można określić role na gruncie AI Act, ryzyko, wymagania RODO, zasady wewnętrzne oraz wymagania wobec dostawcy i umowy.
Bezpieczne wdrożenie AI to nie jeden dokument
Największym błędem byłoby sprowadzenie całego wdrożenia AI do przygotowania jednej polityki albo podpisania regulaminu dostawcy.
Dobrze przeprowadzony proces łączy kilka elementów:
technologia → zastosowanie biznesowe → dane → AI Act → RODO → umowa → bezpieczeństwo → ludzie → odpowiedzialność → monitoring.
Nie każda firma potrzebuje przy tym kilkuset stron dokumentacji.
Niewielka organizacja korzystająca z kilku prostych narzędzi może potrzebować przede wszystkim jasnych zasad, podstawowego szkolenia i przeglądu wykorzystywanych usług.
Inaczej wygląda sytuacja przedsiębiorstwa, które łączy agenta AI z CRM, pozwala mu wykonywać działania w innych aplikacjach, przetwarza dane klientów albo wykorzystuje wyniki systemu przy istotnych decyzjach.
Dobra dokumentacja AI powinna odpowiadać rzeczywistemu ryzyku firmy. Nie może być ani za mała, ani tworzona wyłącznie po to, aby „mieć politykę”.
W Pasternak Business Law wspieramy przedsiębiorców, founderów i zarządy przy projektach technologicznych, wdrożeniach AI, umowach IT i SaaS oraz zagadnieniach związanych z danymi, IP i compliance.
Przy wdrożeniu AI możemy zacząć od analizy konkretnego zastosowania: co firma chce wdrożyć, jakie dane będą wykorzystywane, jak wygląda umowa z dostawcą i które ryzyka rzeczywiście wymagają zabezpieczenia. Dopiero na tej podstawie można określić potrzebne dokumenty, klauzule i procedury.
Planujesz wdrożenie AI albo otrzymałeś umowę od dostawcy rozwiązania AI? Warto przeanalizować ją przed uruchomieniem systemu, szczególnie jeżeli AI ma dostęp do danych klientów, firmowych systemów lub wpływa na istotne procesy przedsiębiorstwa.
Stan prawny i regulacyjny: 10 września 2026 r.
Materiał ma charakter ogólny i edukacyjny. Nie stanowi indywidualnej porady prawnej. Zakres obowiązków związanych z wykorzystaniem sztucznej inteligencji zależy od rodzaju systemu, roli przedsiębiorcy, sposobu jego wykorzystania, przetwarzanych danych oraz przepisów sektorowych mających zastosowanie do konkretnej działalności.