AI Act w praktyce - co unijne przepisy oznaczają dla małej firmy

Wokół AI Act narosło tyle strachu, że łatwo przegapić najważniejszą informację: jeśli twoja firma po prostu używa ChatGPT, Claude czy Gemini do pisania maili i ofert, twoje obowiązki są minimalne. Ciężar rozporządzenia spada na tych, którzy budują systemy AI albo używają ich w obszarach wysokiego ryzyka. Ten przewodnik porządkuje, co naprawdę wynika z przepisów dla polskiej małej firmy.

Zastrzeżenie: tekst ma charakter informacyjny i nie jest poradą prawną. Przy konkretnych wdrożeniach - szczególnie w obszarach wysokiego ryzyka - skonsultuj się z prawnikiem.

Kalendarz: co już obowiązuje

AI Act wszedł w życie w sierpniu 2024 roku, ale jego przepisy startują etapami:

• Od lutego 2025 - zakaz praktyk niedopuszczalnych oraz obowiązek “kompetencji AI” (AI literacy) po stronie firm używających AI
• Od sierpnia 2025 - obowiązki dostawców modeli ogólnego przeznaczenia (GPAI), czyli głównie wielkich labów AI
• Od sierpnia 2026 - zasadnicza część rozporządzenia, w tym pełny reżim systemów wysokiego ryzyka i obowiązki przejrzystości

Czyli: rdzeń przepisów, które mogą dotyczyć twojej firmy, właśnie staje się wymagalny. Do tego dochodzi polska ustawa wdrożeniowa (wyznaczająca krajowy nadzór), nad którą prace w momencie publikacji wciąż trwają - śledź komunikaty Ministerstwa Cyfryzacji.

Piramida ryzyka: gdzie jest twoja firma

AI Act dzieli zastosowania AI na cztery poziomy i to od nich zależą obowiązki.

Praktyki zakazane - np. manipulacyjne techniki wyrządzające szkodę, scoring społeczny, rozpoznawanie emocji w miejscu pracy i szkole, zbieranie wizerunków z internetu do baz rozpoznawania twarzy. Kary są tu najwyższe: do 35 mln euro lub 7% światowego obrotu. Mała firma rzadko się o to ociera, ale uwaga na gotowe narzędzia typu “analiza emocji kandydata na rozmowie” - ich użycie w pracy jest po prostu nielegalne.

Wysokie ryzyko - AI używana m.in. w rekrutacji i zarządzaniu pracownikami (selekcja CV, ocena wyników), ocenie zdolności kredytowej, edukacji (ocenianie), dostępie do usług publicznych. Jeśli twoja firma używa takiego systemu, masz obowiązki użytkownika: stosować system zgodnie z instrukcją dostawcy, zapewnić nadzór człowieka, monitorować działanie, a w niektórych przypadkach informować osoby, których decyzje dotyczą. Jeśli taki system budujesz lub sprzedajesz - wchodzisz w pełny reżim: system zarządzania ryzykiem, dokumentacja techniczna, ocena zgodności, rejestracja w unijnej bazie.

Ograniczone ryzyko (przejrzystość) - chatboty i treści generowane przez AI. Obowiązek jest prosty: człowiek ma wiedzieć, że rozmawia z maszyną, a deepfake’i i niektóre treści syntetyczne muszą być oznaczone.

Ryzyko minimalne - cała reszta, czyli zdecydowana większość codziennych zastosowań: pisanie tekstów, analiza dokumentów, kod, grafiki do sociali. Brak dodatkowych obowiązków z AI Act (RODO oczywiście dalej obowiązuje - o tym pisaliśmy w osobnym przewodniku o danych osobowych w chatbotach).

Trzy obowiązki, które ma niemal każda firma

Z perspektywy typowej małej firmy AI Act sprowadza się do trzech konkretów:

1. Kompetencje AI w zespole. Firmy używające AI mają zapewnić, że pracownicy rozumieją narzędzia, z których korzystają - ich możliwości, ograniczenia i ryzyka. W praktyce wystarczy krótkie szkolenie plus wewnętrzna polityka AI (jakie narzędzia, na jakich danych, kto odpowiada). To ten sam dokument, który i tak warto mieć ze względu na RODO.

2. Przejrzystość wobec ludzi. Chatbot na stronie? Dodaj jasną informację “rozmawiasz z asystentem AI”. Publikujesz generowane obrazy lub wideo wyglądające jak prawdziwe? Oznacz je. Używasz AI do tekstów informacyjnych publikowanych publicznie? Zadbaj o rzetelność i - przy treściach mogących wprowadzać w błąd - o oznaczenie.

3. Higiena przy zastosowaniach kadrowych. Największa pułapka dla małych firm siedzi w rekrutacji. Narzędzie, które automatycznie filtruje CV albo ocenia kandydatów, to system wysokiego ryzyka - używając go, bierzesz na siebie obowiązki: nadzór człowieka nad decyzjami, poinformowanie kandydatów, weryfikacja, czy dostawca spełnia wymogi. Ręczna rekrutacja wspierana ChatGPT (“pomóż mi ułożyć pytania na rozmowę”) to co innego - to ryzyko minimalne.

Czego AI Act od ciebie NIE wymaga

Warto rozbroić kilka mitów, które krążą po polskim internecie:

• Nie musisz rejestrować firmy nigdzie tylko dlatego, że używasz ChatGPT. Rejestracja w bazie UE dotyczy dostawców systemów wysokiego ryzyka.
• Nie musisz oznaczać każdego tekstu napisanego z pomocą AI. Obowiązki przejrzystości dotyczą określonych przypadków (deepfake, treści publikowane w celu informowania o sprawach publicznych, chatboty), nie każdej oferty handlowej.
• Nie potrzebujesz “pełnomocnika ds. AI” - takiej funkcji rozporządzenie dla zwykłych użytkowników nie przewiduje.
• Małe firmy nie są zwolnione z przepisów, ale rozporządzenie przewiduje dla MŚP uproszczenia (np. w dokumentacji) i priorytet w dostępie do piaskownic regulacyjnych.

Plan minimum na ten kwartał

Jeśli prowadzisz małą firmę i chcesz spać spokojnie, wystarczą cztery kroki:

1. Zinwentaryzuj użycie AI: spisz, jakich narzędzi używacie i do czego. Godzina pracy.
2. Sprawdź listę zakazów i wysokiego ryzyka pod kątem swoich zastosowań - szczególnie rekrutacji, oceny pracowników i decyzji wobec klientów.
3. Spisz politykę AI i przeszkol zespół - dwie strony dokumentu, kwadrans spotkania. Załatwia obowiązek kompetencji AI i większość ryzyk RODO naraz.
4. Oznacz chatboty i treści syntetyczne tam, gdzie ich używasz.

AI Act bywa przedstawiany jako regulacyjny potwór, ale dla większości małych firm jest jak przepisy BHP: trzeba wiedzieć, że istnieją, spełnić kilka rozsądnych wymogów i wracać do nich, gdy zmienia się sposób pracy. Prawdziwa praca zaczyna się dopiero wtedy, gdy AI zaczyna podejmować decyzje o ludziach - i to jest granica, którą warto znać na pamięć.