AI Act — co musi wiedzieć firma używająca sztucznej inteligencji

Nie zaczynaj od dokumentu. Zacznij od mapy zastosowań

Pierwszym krokiem nie powinna być uniwersalna polityka AI pobrana z internetu. Organizacja musi najpierw wiedzieć, gdzie rzeczywiście korzysta ze sztucznej inteligencji: w sprzedaży, HR, obsłudze klienta, analizie danych, tworzeniu kodu czy procesach decyzyjnych.

Dopiero taka mapa pozwala określić rolę organizacji, kategorię systemu, poziom ryzyka, przepływ danych oraz właściciela biznesowego każdego zastosowania. Nie każde użycie AI powoduje ten sam zakres obowiązków.

• nazwa i dostawca narzędzia
• cel biznesowy i użytkownicy
• rodzaj przetwarzanych danych
• wpływ wyniku AI na człowieka lub decyzję
• osoba odpowiedzialna za zatwierdzenie użycia

Rola organizacji ma znaczenie

AI Act rozróżnia m.in. dostawcę, podmiot stosujący, importera, dystrybutora i upoważnionego przedstawiciela. Firma korzystająca z gotowego narzędzia najczęściej będzie podmiotem stosującym, ale jej rola może się zmienić, jeżeli oznaczy system własną nazwą lub znakiem, dokona w nim istotnej modyfikacji albo zmieni jego przeznaczenie w sposób przewidziany w rozporządzeniu.

Klasyfikacja powinna wynikać z faktycznego modelu działania, przeznaczenia systemu i czynności wykonywanych przez organizację, a nie wyłącznie z nazwy użytej w umowie handlowej.

Harmonogram AI Act po zmianach z 2026 r.

Od 2 sierpnia 2026 r. AI Act jest co do zasady stosowany, w tym w zakresie obowiązków przejrzystości dla określonych systemów. Część regulacji obowiązywała już wcześniej: od 2 lutego 2025 r. stosowano m.in. zakazy określonych praktyk i przepisy dotyczące kompetencji w zakresie AI, a od 2 sierpnia 2025 r. część przepisów dotyczących modeli AI ogólnego przeznaczenia.

Rozporządzenie (UE) 2026/1744 zmieniło harmonogram dotyczący systemów wysokiego ryzyka. Wymagania dla systemów kwalifikowanych na podstawie art. 6 ust. 2 i załącznika III mają być stosowane od 2 grudnia 2027 r., a dla systemów związanych z produktami objętymi załącznikiem I — od 2 sierpnia 2028 r. Dla niektórych systemów wprowadzonych do obrotu wcześniej przewidziano dodatkowe okresy dostosowawcze.

Plan wdrożenia powinien zatem uwzględniać nie tylko kategorię systemu, lecz również rolę organizacji, datę wprowadzenia systemu do obrotu lub oddania go do użytku oraz właściwe przepisy przejściowe.

Minimum organizacyjne, które warto uporządkować

Dobra struktura governance łączy prawo, bezpieczeństwo, zakup technologii i odpowiedzialność biznesową. Powinna działać przed wdrożeniem narzędzia, a nie dopiero po incydencie.

• proces akceptacji nowych narzędzi AI
• zasady używania danych i informacji poufnych
• ocenę dostawcy i postanowienia umowne
• nadzór człowieka oraz ścieżkę eskalacji
• środki wspierające rozwój kompetencji personelu w zakresie AI
• okresowy przegląd zastosowań i ryzyk

Najczęstszy błąd: polityka oderwana od praktyki

Polityka, której nie rozumie zespół i której nie wspiera proces zakupowy, pozostaje deklaracją. Znacznie ważniejsze jest jasne określenie: czego nie wolno wprowadzać do narzędzia, kto zatwierdza zastosowanie, kiedy wynik wymaga weryfikacji i jak zgłaszać problem.

Sama polityka nie przesądza o zgodności. Zakres wymaganych działań zależy od konkretnego systemu, roli organizacji, sposobu użycia i właściwego harmonogramu stosowania przepisów.