AI Act w firmie to dziś nie tylko temat dla spółek technologicznych. To praktyczne wyzwanie dla przedsiębiorców, którzy korzystają ze sztucznej inteligencji w sprzedaży, obsłudze klienta, marketingu, HR, analizie danych, scoringu, AML, cyberbezpieczeństwie, przygotowywaniu dokumentów lub automatyzacji decyzji biznesowych.
Wiele organizacji korzysta już z AI, zanim zdąży nazwać ten proces formalnym wdrożeniem sztucznej inteligencji. Pracownik używa narzędzia generatywnego do przygotowania oferty. Dział HR testuje system do preselekcji kandydatów. Fintech analizuje transakcje pod kątem fraudów. Platforma e-commerce wdraża chatbota. Zarząd rozważa automatyzację oceny ryzyka kontrahentów.
Każdy z tych przykładów może mieć inne znaczenie prawne. Dlatego AI Act w firmie warto analizować nie tylko jako nową regulację unijną. To także element zarządzania ryzykiem, danymi, umowami i odpowiedzialnością za procesy biznesowe.
AI Act, czyli unijne rozporządzenie w sprawie sztucznej inteligencji, nie zakazuje przedsiębiorcom korzystania z AI. Nie sprowadza się też do prostego obowiązku oznaczania treści wygenerowanych przez sztuczną inteligencję. To regulacja oparta na ryzyku. Im większy wpływ systemu AI na ludzi, bezpieczeństwo lub prawa podstawowe, tym większe znaczenie mają obowiązki organizacyjne, techniczne i dokumentacyjne.
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 ustanawia jednolite zasady dotyczące rozwoju, wprowadzania na rynek, oddawania do użytku i wykorzystywania systemów AI w Unii Europejskiej. Jego celem jest wspieranie bezpiecznej i godnej zaufania sztucznej inteligencji oraz ochrona zdrowia, bezpieczeństwa i praw podstawowych.
AI Act wszedł w życie 1 sierpnia 2024 r., ale jego stosowanie rozłożono w czasie. Zakazane praktyki AI oraz obowiązki dotyczące AI literacy zaczęły być stosowane od 2 lutego 2025 r. Obowiązki dla dostawców modeli ogólnego przeznaczenia obowiązują od 2 sierpnia 2025 r. Zasadniczo AI Act ma być w pełni stosowany od 2 sierpnia 2026 r., z wyjątkami przewidzianymi w samym rozporządzeniu.
Dla przedsiębiorcy praktyczny wniosek jest prosty. AI Act w firmie nie powinien zaczynać się od pytania: „czy już grożą nam kary?”. Lepiej zacząć od czegoś bardziej podstawowego: gdzie w naszej organizacji faktycznie używamy AI i jaki wpływ ma to na klientów, pracowników, kontrahentów oraz dane?
Czy AI Act dotyczy Twojej firmy?
Jednym z najczęstszych błędów jest założenie, że AI Act dotyczy tylko podmiotów, które tworzą własne modele sztucznej inteligencji. To zbyt wąskie podejście.
AI Act rozróżnia kilka ról. Dla biznesu najważniejsze są dwie: dostawca oraz podmiot stosujący AI.
Dostawcą może być podmiot, który rozwija system AI albo zleca jego rozwój i wprowadza go na rynek lub oddaje do użytku pod własną nazwą albo znakiem towarowym. Podmiotem stosującym AI może być natomiast firma, która wykorzystuje system AI pod swoją kontrolą w działalności zawodowej lub gospodarczej. Te definicje wynikają z art. 3 AI Act.
To rozróżnienie ma duże znaczenie praktyczne.
Software house, który buduje i komercjalizuje własny system AI, może występować jako dostawca. Spółka, która kupuje gotowe narzędzie AI do obsługi klientów, może być podmiotem stosującym. Fintech, który zamawia dedykowany system scoringowy i wdraża go pod własną marką, powinien sprawdzić, czy nie przejmuje części obowiązków dostawcy.
Podobnie może być w sytuacji, gdy firma istotnie modyfikuje gotowe narzędzie AI albo zmienia jego cel użycia. Wtedy nie wystarczy powiedzieć: „to nie nasz system, tylko narzędzie zewnętrznego dostawcy”.
Trzeba ustalić, kto odpowiada za model, kto odpowiada za system, kto określa jego przeznaczenie i kto decyduje o danych wejściowych. Ważne jest też to, kto ponosi odpowiedzialność za wykorzystanie wyników w procesie biznesowym.
AI Act w firmie wymaga więc ustalenia, kto korzysta z systemów AI, w jakim celu i z jakim wpływem na klientów, pracowników lub kontrahentów.
Dostawca AI a podmiot stosujący AI
W praktyce wiele firm nie tworzy własnej sztucznej inteligencji. Korzysta z gotowych narzędzi. Nie oznacza to jednak, że AI Act można pominąć.
Podmiot stosujący AI również może mieć obowiązki. Ich zakres zależy od rodzaju systemu, celu wykorzystania, poziomu ryzyka i wpływu na ludzi.
Przykład? Firma wdraża chatbota na stronie internetowej. Jeżeli chatbot odpowiada na proste pytania organizacyjne, ryzyko może być ograniczone. Jeżeli jednak obsługuje reklamacje, udziela informacji o usługach finansowych albo wpływa na decyzje klienta, sytuacja wymaga dokładniejszej analizy.
Inny przykład to dział HR. Narzędzie AI, które pomaga uporządkować dokumenty, będzie oceniane inaczej niż system, który automatycznie selekcjonuje kandydatów do pracy.
Kiedy zwykłe narzędzie AI staje się ryzykiem prawnym?
Najważniejsze pytanie brzmi: czy AI tylko pomaga człowiekowi, czy faktycznie wpływa na decyzję wobec człowieka?
Jeżeli narzędzie AI podpowiada temat posta na bloga, ryzyko będzie zwykle inne niż przy systemie, który ocenia kandydata do pracy. Inaczej należy też spojrzeć na AI analizującą zdolność kredytową klienta, typującą transakcje jako podejrzane albo decydującą o dostępie do określonej usługi.
Właśnie dlatego AI Act w firmie nie powinien być wdrażany wyłącznie jako dokument prawny. To proces, który łączy prawo, technologię, bezpieczeństwo informacji, dane osobowe, HR, sprzedaż i zarządzanie ryzykiem.
Najważniejsze obowiązki przedsiębiorcy
AI Act opiera się na kilku poziomach ryzyka. Na samym szczycie znajdują się praktyki zakazane. Niżej są systemy wysokiego ryzyka, systemy objęte obowiązkami transparentności oraz zastosowania o ograniczonym albo minimalnym ryzyku.
Nie każda firma będzie miała takie same obowiązki. Dla wielu przedsiębiorców kluczowe będą trzy obszary: zakazane praktyki, AI literacy oraz transparentność.
Zakazane praktyki AI
Zakazane praktyki AI to takie zastosowania sztucznej inteligencji, które unijny ustawodawca uznał za nieakceptowalne. Chodzi o ryzyka dla ludzi, praw podstawowych, bezpieczeństwa i autonomii decyzji.
W praktyce większość przedsiębiorców nie będzie budować systemów, które wprost mieszczą się w katalogu zakazanych praktyk. Nie oznacza to jednak, że temat można pominąć.
Firma wdrażająca AI powinna sprawdzić, czy jej narzędzia nie prowadzą do niedozwolonej manipulacji, wykorzystywania podatności określonych osób, niektórych form scoringu społecznego albo niedopuszczalnych zastosowań biometrycznych.
Dla zarządu AI Act w firmie oznacza przede wszystkim konieczność kontroli nad procesami, które mogą wpływać na decyzje wobec ludzi. Dotyczy to zwłaszcza klientów, pracowników, kandydatów do pracy i użytkowników usług cyfrowych.
AI literacy, czyli obowiązek kompetencji
Drugi ważny obowiązek to AI literacy. W polskiej praktyce można mówić o kompetencjach w zakresie AI.
Art. 4 AI Act przewiduje, że dostawcy i podmioty stosujące systemy AI powinni podejmować działania, aby ich personel oraz inne osoby obsługujące lub wykorzystujące systemy AI w ich imieniu miały odpowiedni poziom wiedzy o sztucznej inteligencji.
Nie chodzi wyłącznie o szkolenie techniczne dla programistów. W wielu firmach większym ryzykiem jest brak świadomości po stronie działów biznesowych.
Pracownik powinien rozumieć, kiedy może korzystać z AI. Powinien też wiedzieć, jakich danych nie wolno wprowadzać do narzędzia, kiedy wynik wymaga weryfikacji człowieka i kiedy należy zgłosić problem przełożonemu.
W praktyce AI literacy może oznaczać krótką politykę korzystania z AI, szkolenia dla zespołów oraz instrukcje dla działów HR, sprzedaży, marketingu, compliance i obsługi klienta. Przydatne są też zasady weryfikacji wyników generowanych przez AI oraz procedura zatwierdzania nowych narzędzi przed ich użyciem w organizacji.
Dobrze wdrożony AI Act w firmie może ograniczyć ryzyko błędnych decyzji, naruszenia poufności, problemów z danymi osobowymi i sporów z klientami lub pracownikami.
Transparentność: chatboty, deepfake i treści AI
Trzeci obszar to transparentność. Od 2 sierpnia 2026 r. mają być stosowane obowiązki z art. 50 AI Act. Dotyczą one określonych systemów AI i sposobu informowania użytkowników. Komisja Europejska prowadzi prace nad wytycznymi, które mają pomóc w praktycznym stosowaniu tych zasad.
Dla przedsiębiorców szczególne znaczenie mogą mieć chatboty, voiceboty, systemy generujące treści, deepfake, systemy rozpoznawania emocji oraz systemy kategoryzacji biometrycznej.
AI Act zakłada m.in., że osoba powinna wiedzieć, kiedy wchodzi w interakcję z systemem AI, chyba że jest to oczywiste z okoliczności. W określonych przypadkach konieczne może być także oznaczanie treści sztucznie wygenerowanych albo zmanipulowanych.
Praktyczny przykład jest prosty. Firma wdraża chatbota na stronie internetowej. Chatbot obsługuje klientów, przyjmuje reklamacje albo odpowiada na pytania o usługę finansową. W takiej sytuacji nie warto ograniczać się do technicznego wdrożenia narzędzia.
Trzeba sprawdzić, czy użytkownik wie, że rozmawia z AI. Warto też ustalić, czy ma możliwość kontaktu z człowiekiem, czy odpowiedzi są monitorowane i czy chatbot nie udziela informacji wprowadzających w błąd.
Transparentność nie jest więc tylko komunikatem „treść wygenerowana przez AI”. W praktyce to element zaufania, ochrony klienta i zarządzania odpowiedzialnością.
Systemy wysokiego ryzyka
Najwięcej obowiązków AI Act dotyczy systemów wysokiego ryzyka. Nie każde użycie sztucznej inteligencji w firmie będzie takim systemem. Jeżeli jednak AI wpływa na istotne decyzje dotyczące ludzi, klasyfikacja powinna być dokładna.
Komisja Europejska wskazuje, że wytyczne dotyczące klasyfikacji systemów wysokiego ryzyka mają pomagać dostawcom, podmiotom stosującym AI oraz organom nadzoru w ocenie, czy dany system należy uznać za system wysokiego ryzyka w rozumieniu art. 6 AI Act.
W praktyce szczególną uwagę powinny zachować firmy, które wykorzystują AI w rekrutacji, ocenie pracowników, scoringu klientów, dostępie do usług finansowych, analizie ryzyka klienta, wykrywaniu nadużyć, systemach biometrycznych, edukacji lub infrastrukturze krytycznej.
AI w HR i rekrutacji
Wyobraźmy sobie firmę, która wdraża AI do preselekcji kandydatów. System analizuje CV i rekomenduje osoby, które powinny przejść do kolejnego etapu.
Z perspektywy biznesowej to oszczędność czasu. Z perspektywy prawnej pojawia się jednak kilka pytań.
Czy system może dyskryminować określone osoby? Na jakich danych został oparty? Czy kandydat wie, że AI bierze udział w procesie? Czy człowiek realnie nadzoruje wynik? Czy firma potrafi wyjaśnić, dlaczego kandydat został odrzucony?
W takim przypadku AI Act w firmie nie jest abstrakcyjną regulacją. Może bezpośrednio wpływać na sposób prowadzenia rekrutacji, dokumentowania procesu i komunikacji z kandydatami.
AI w fintechu, scoringu i AML
Szczególnej ostrożności wymaga AI w sektorach regulowanych. Dotyczy to fintechów, instytucji płatniczych, firm pożyczkowych, podmiotów krypto, marketplace’ów i dostawców usług finansowych.
AI może wspierać scoring, AML, KYC, analizę transakcji, fraud detection, ocenę ryzyka klienta lub personalizację usług. Samo wykorzystanie AI w tych obszarach nie musi być zakazane. Może być wręcz uzasadnione biznesowo i regulacyjnie.
Problem pojawia się wtedy, gdy wynik systemu wpływa na sytuację klienta. Przykładem może być odmowa usługi, ograniczenie funkcjonalności konta, dodatkowa weryfikacja, blokada transakcji albo negatywna ocena ryzyka.
W sektorach regulowanych pytanie nie brzmi tylko: „czy możemy używać AI?”. Ważniejsze jest coś innego. Czy potrafimy wykazać, że używamy AI w sposób kontrolowany, bezpieczny i zgodny z naszym modelem regulacyjnym?
W fintechu AI Act w firmie powinien być analizowany razem z RODO, AML, outsourcingiem, DORA, ochroną konsumentów i obowiązkami wobec organów nadzoru.
Dokumentacja, nadzór człowieka i odpowiedzialność
W przypadku systemów wysokiego ryzyka AI Act przewiduje rozbudowane obowiązki. Dotyczą one m.in. zarządzania ryzykiem, jakości danych, dokumentacji technicznej, prowadzenia logów, transparentności, nadzoru człowieka, dokładności, odporności i cyberbezpieczeństwa.
Dla przedsiębiorcy najważniejsze jest to, że system wysokiego ryzyka nie powinien być wdrażany „na próbę” w kluczowym procesie bez kontroli.
Jeżeli AI ma wpływać na decyzje wobec ludzi, firma powinna wiedzieć, jak system działa. Powinna też znać jego ograniczenia, sposób nadzoru, zasady obsługi błędów i sposób dokumentowania decyzji.
To ważne także w relacjach inwestorskich. W due diligence spółek technologicznych, fintechów i platform cyfrowych coraz częściej pojawiają się pytania o AI.
Inwestor może sprawdzać, gdzie spółka używa AI, czy ma prawa do danych i modeli, czy potrafi wykazać zgodność i czy jej rozwiązanie może zostać zakwalifikowane jako system wysokiego ryzyka.
AI Act to nie wszystko
Wdrożenie AI Act w firmie nie powinno odbywać się w oderwaniu od innych obszarów prawa. W praktyce AI dotyka wielu tematów jednocześnie.
Najczęściej są to dane osobowe, tajemnica przedsiębiorstwa, własność intelektualna, cyberbezpieczeństwo, prawo pracy, regulaminy usług, odpowiedzialność kontraktowa i compliance.
RODO i dane osobowe
Jeżeli system AI przetwarza dane klientów, pracowników, kandydatów, użytkowników albo kontrahentów, trzeba ocenić zgodność z RODO.
AI Act nie zastępuje RODO. Działa obok niego. Oznacza to, że firma nadal musi mieć podstawę prawną przetwarzania, spełniać obowiązki informacyjne, kontrolować zakres danych i dbać o ich bezpieczeństwo.
W określonych przypadkach konieczna może być także ocena skutków dla ochrony danych. Dotyczy to zwłaszcza procesów, które mogą istotnie wpływać na prawa lub wolności osób fizycznych.
Umowy z dostawcami AI
W wielu organizacjach AI pojawia się przez narzędzia SaaS, wtyczki, systemy CRM, systemy HR, rozwiązania analityczne albo usługi software house’ów.
Wtedy kluczowe jest sprawdzenie, co właściwie kupuje firma.
Umowa powinna odpowiadać na praktyczne pytania. Kto jest dostawcą systemu AI? Gdzie przetwarzane są dane? Czy dane klienta mogą być używane do trenowania modelu? Jakie są gwarancje bezpieczeństwa? Kto odpowiada za błędne wyniki? Czy dostawca zapewnia dokumentację potrzebną do zgodności?
Warto też sprawdzić, czy możliwy jest audyt, jak wygląda zgłaszanie incydentów i czy firma może zakończyć korzystanie z narzędzia bez utraty kontroli nad danymi.
AI Act w firmie nie kończy się więc na zgodzie działu IT na wdrożenie nowego narzędzia. Równie ważne są umowy, procedury i realna kontrola nad dostawcami.
Własność intelektualna i tajemnica przedsiębiorstwa
AI może generować teksty, grafiki, kod, analizy, oferty, dokumentację, materiały marketingowe albo elementy produktu.
Firma powinna ustalić, czy może komercyjnie wykorzystywać wygenerowane treści. Warto też sprawdzić ograniczenia licencyjne narzędzia oraz ryzyko naruszenia praw osób trzecich.
Osobny problem to poufność. Pracownicy nie powinni wprowadzać do publicznych narzędzi AI kodu źródłowego, know-how, danych klientów, dokumentów kontraktowych ani innych informacji objętych tajemnicą przedsiębiorstwa.
Dlatego polityka korzystania z AI powinna być praktyczna. Nie może być dokumentem, którego nikt nie czyta. Powinna jasno wskazywać, co wolno, czego nie wolno i kiedy trzeba poprosić o zgodę lub konsultację.
Praktyczna checklista AI Act w firmie
Firma, która chce przygotować się do AI Act, nie musi zaczynać od dużego projektu compliance. Dobrym pierwszym krokiem jest uporządkowanie kilku obszarów.
Mapa użycia AI
Sprawdź, jakie narzędzia AI są wykorzystywane w firmie oficjalnie i nieoficjalnie. Często zarząd wie o dużych systemach, ale nie wie o narzędziach używanych przez marketing, sprzedaż, HR albo obsługę klienta.
Cel wykorzystania AI
Ustal, do czego służy konkretny system. Inne ryzyko ma narzędzie wspierające redakcję tekstu, inne chatbot obsługujący klientów, a jeszcze inne system oceniający kandydata, klienta lub transakcję.
Rola firmy
Określ, czy firma jest dostawcą systemu, podmiotem stosującym, importerem, dystrybutorem, czy podmiotem, który istotnie modyfikuje gotowe rozwiązanie. Od tej kwalifikacji zależy zakres obowiązków.
Poziom ryzyka
Oceń, czy system może być zakazany, wysokiego ryzyka, objęty obowiązkami transparentności albo traktowany jako narzędzie minimalnego ryzyka.
Dane przekazywane do systemu
Sprawdź, czy do AI trafiają dane osobowe, dane finansowe, dane klientów, tajemnica przedsiębiorstwa, kod źródłowy albo dokumenty kontraktowe.
Umowy z dostawcami
Zweryfikuj regulamin, DPA, zasady bezpieczeństwa, lokalizację przetwarzania danych, możliwość używania danych do trenowania modelu, odpowiedzialność dostawcy i możliwość audytu.
AI literacy
Przygotuj krótką politykę korzystania z AI i przeszkol zespoły, które realnie używają tych narzędzi. Pracownicy powinni wiedzieć, jakich danych nie wolno wprowadzać do systemu i kiedy wynik AI wymaga weryfikacji.
Nadzór człowieka
Jeżeli AI wpływa na decyzję wobec klienta, pracownika lub kontrahenta, określ, kto weryfikuje wynik, kiedy można go zakwestionować i jak dokumentowana jest decyzja.
Transparentność
Przygotuj zasady informowania użytkowników o kontakcie z AI. Dotyczy to zwłaszcza chatbotów, voicebotów, deepfake, automatycznej obsługi klienta i treści generowanych przez AI.
Dowody zgodności
Zadbaj o dokumentację. Przydatne mogą być: mapa systemów AI, procedura zatwierdzania narzędzi, rejestr dostawców, wzory informacji dla użytkowników, zapisy umowne, potwierdzenia szkoleń i opis nadzoru człowieka.
Dla wielu firm AI Act w firmie będzie mniej problemem technologicznym, a bardziej problemem organizacyjnym. Ryzyko nie wynika z samego faktu używania AI. Ryzyko pojawia się wtedy, gdy firma nie wie, gdzie jej używa, na jakich danych, z jakim skutkiem i kto za to odpowiada.
FAQ – AI Act w firmie
Czy AI Act dotyczy każdej firmy korzystającej ze sztucznej inteligencji?
Nie każda firma będzie miała takie same obowiązki. Zakres obowiązków zależy od roli firmy, rodzaju systemu AI, celu wykorzystania, poziomu ryzyka i wpływu systemu na ludzi.
Nawet jeżeli firma korzysta tylko z gotowych narzędzi AI, powinna sprawdzić, czy występuje jako podmiot stosujący AI oraz czy dane użycie nie podlega obowiązkom transparentności albo innym wymogom AI Act.
Czy korzystanie z ChatGPT lub podobnych narzędzi w firmie podlega AI Act?
Samo korzystanie z narzędzia generatywnego nie oznacza automatycznie, że firma używa systemu wysokiego ryzyka. Znaczenie ma jednak sposób użycia.
Inaczej należy ocenić przygotowanie roboczej wersji tekstu marketingowego, a inaczej wykorzystanie AI do oceny klienta, pracownika, kandydata, transakcji albo ryzyka prawnego.
Firma powinna także sprawdzić kwestie danych osobowych, poufności, tajemnicy przedsiębiorstwa i zasad weryfikacji wyników.
Czy chatbot na stronie internetowej musi być oznaczony?
W wielu przypadkach tak. Art. 50 AI Act przewiduje obowiązki transparentności dla określonych systemów AI.
Co do zasady użytkownik powinien wiedzieć, że wchodzi w interakcję z systemem AI, chyba że jest to oczywiste z kontekstu. Dotyczy to zwłaszcza chatbotów i voicebotów wykorzystywanych w obsłudze klienta.
Czym jest AI literacy?
AI literacy oznacza odpowiedni poziom wiedzy i kompetencji w zakresie sztucznej inteligencji.
Firma korzystająca z AI powinna zadbać, aby osoby używające systemów AI w jej imieniu rozumiały ich możliwości, ograniczenia i ryzyka. W praktyce może to oznaczać szkolenia, politykę korzystania z AI, instrukcje dla pracowników i zasady kontroli wyników.
Kiedy system AI jest systemem wysokiego ryzyka?
System AI może być wysokiego ryzyka, gdy należy do kategorii wskazanych w AI Act i może wpływać na zdrowie, bezpieczeństwo lub prawa podstawowe.
W praktyce szczególnej analizy wymagają m.in. AI w rekrutacji, ocenie pracowników, edukacji, biometrii, infrastrukturze krytycznej, wybranych usługach finansowych i procesach wpływających na dostęp do istotnych usług.
Czy AI Act zastępuje RODO?
Nie. AI Act nie zastępuje RODO.
Jeżeli system AI przetwarza dane osobowe, firma musi równolegle ocenić obowiązki wynikające z przepisów o ochronie danych osobowych. W praktyce oznacza to m.in. ocenę podstawy prawnej, zakresu danych, obowiązków informacyjnych, retencji, bezpieczeństwa i potencjalnej konieczności przeprowadzenia oceny skutków dla ochrony danych.
Czy firma powinna mieć politykę korzystania z AI?
W wielu przypadkach tak.
Polityka AI pomaga ustalić, kto może korzystać z narzędzi AI, do jakich celów, jakich danych nie wolno wprowadzać, kiedy wynik wymaga weryfikacji człowieka i kto zatwierdza nowe narzędzia.
Taki dokument nie powinien być oderwany od praktyki. Powinien wynikać z realnej mapy użycia AI w firmie.
Czy AI Act ma znaczenie przy sprzedaży spółki albo wejściu inwestora?
Tak. W spółkach technologicznych, fintechach i firmach wykorzystujących AI zgodność z AI Act może stać się elementem due diligence.
Inwestor może pytać o dane treningowe, prawa do systemu, umowy z dostawcami, klasyfikację ryzyka, dokumentację, cyberbezpieczeństwo, RODO i to, czy produkt może być kwalifikowany jako system wysokiego ryzyka.
Czy przedsiębiorca powinien już teraz przygotować się do AI Act?
Tak. Nawet jeżeli część obowiązków będzie stosowana etapowo, uporządkowanie użycia AI wymaga czasu.
Warto zacząć od mapy systemów AI, klasyfikacji ryzyka, przeglądu umów, zasad korzystania z danych, obowiązków transparentności i szkoleń dla zespołu.
Podsumowanie
AI Act nie jest regulacją wyłącznie dla największych firm technologicznych. Może dotyczyć także zwykłych przedsiębiorców, którzy wdrażają sztuczną inteligencję w sprzedaży, marketingu, HR, obsłudze klienta, compliance, finansach, analizie danych albo automatyzacji procesów.
Największym błędem jest traktowanie AI jako niewinnego narzędzia, które „tylko pomaga”. W wielu przypadkach tak rzeczywiście będzie. Ale tam, gdzie AI wpływa na decyzje wobec ludzi, przetwarza istotne dane, generuje komunikację z klientem albo wspiera procesy regulowane, potrzebna jest świadoma ocena prawna i organizacyjna.
Dobrze przygotowana firma nie musi rezygnować z AI. Powinna jednak wiedzieć, gdzie jej używa, w jakim celu, na jakich danych, z jakim ryzykiem i pod czyją kontrolą.
W praktyce to właśnie mapa użycia AI będzie punktem wyjścia do dalszych działań. Na jej podstawie można przygotować politykę AI, szkolenia, zmiany w umowach, obowiązki informacyjne, dokumentację compliance i plan działania na wypadek kontroli, sporu albo due diligence inwestora.
AI Act w firmie może wydawać się kolejnym obowiązkiem regulacyjnym. W praktyce może jednak pomóc uporządkować wykorzystanie sztucznej inteligencji i ograniczyć ryzyka, które często powstają poza wiedzą zarządu.
Sztuczna inteligencja może być przewagą konkurencyjną. Ale tylko wtedy, gdy jej wdrożenie jest nie tylko szybkie, lecz także bezpieczne, przemyślane i zgodne z prawem.
Wykaz podstawowych aktów prawnych i dokumentów
Poniższy wykaz obejmuje najważniejsze akty prawne i dokumenty, które warto uwzględnić przy analizie obowiązków przedsiębiorcy związanych z wykorzystaniem sztucznej inteligencji w firmie. Nie jest to katalog zamknięty — w zależności od branży, modelu biznesowego, rodzaju danych i sposobu wykorzystania AI konieczna może być również analiza przepisów sektorowych, np. dotyczących usług finansowych, AML, cyberbezpieczeństwa, ochrony konsumentów, prawa pracy lub tajemnicy przedsiębiorstwa.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji, czyli tzw. AI Act. To podstawowy akt prawny regulujący rozwój, wprowadzanie na rynek, oddawanie do użytku i wykorzystywanie systemów sztucznej inteligencji w Unii Europejskiej.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r., czyli RODO. Ma znaczenie zawsze wtedy, gdy system AI przetwarza dane osobowe klientów, pracowników, kandydatów, użytkowników, kontrahentów lub innych osób fizycznych.
- Wytyczne i materiały Komisji Europejskiej dotyczące AI Act, w tym informacje o harmonogramie stosowania rozporządzenia, obowiązkach dla dostawców modeli ogólnego przeznaczenia, transparentności oraz systemach wysokiego ryzyka. Są to dokumenty pomocnicze, które ułatwiają praktyczne rozumienie i wdrażanie AI Act w organizacji.
- Wytyczne Komisji Europejskiej dotyczące klasyfikacji systemów AI wysokiego ryzyka. Mają znaczenie przy ocenie, czy konkretny system AI wykorzystywany przez firmę może podlegać szczególnym obowiązkom z AI Act, np. w obszarze zatrudnienia, edukacji, biometrii, infrastruktury krytycznej lub wybranych usług finansowych.
- Wytyczne Komisji Europejskiej dotyczące transparentności wybranych systemów AI, w szczególności w zakresie art. 50 AI Act. Mogą mieć znaczenie dla firm wdrażających chatboty, voiceboty, systemy generujące treści, deepfake albo inne narzędzia, w których użytkownik powinien wiedzieć, że ma kontakt z systemem AI.
Stan prawny i regulacyjny: artykuł został przygotowany według stanu dostępnych informacji na dzień 30 czerwca 2026 r. Ze względu na etapowe stosowanie AI Act, publikowanie kolejnych wytycznych oraz możliwe zmiany legislacyjne, przed wdrożeniem konkretnych rozwiązań w firmie warto zweryfikować aktualny stan prawny i przeanalizować dokumenty, umowy oraz rzeczywisty sposób wykorzystania AI w organizacji.
***
W Pasternak Business Law wspieramy przedsiębiorców w projektowaniu bezpiecznych struktur współpracy, inwestycji i wyjścia ze spółki. Możesz skontaktować się z nami TUTAJ.
Artykuł został przygotowany przez prawnika Pasternak Business Law zajmującego się obsługą spółek, sukcesji, umowami wspólników i dokumentacją transakcyjną. Materiał łączy analizę przepisów z praktyką.
Materiał ma charakter informacyjny i edukacyjny. Nie stanowi porady prawnej ani opinii prawnej w konkretnej sprawie. Każda sytuacja wymaga indywidualnej analizy, w szczególności pod kątem struktury udziałowej, treści umowy spółki, zasad finansowania, obowiązków wspólników, skutków podatkowych oraz planowanych transakcji.