AI Act - co musi wiedzieć właściciel firmy

AI Act (Rozporządzenie UE 2024/1689) obowiązuje każdą polską firmę, której pracownicy korzystają z ChatGPT, Gemini, Copilota lub innych narzędzi AI - niezależnie od wielkości firmy. Od 2 lutego 2025 obowiązuje art. 4: masz wspierać osoby używające AI w tym, by rozumiały działanie narzędzia, jego ograniczenia i ryzyka. Od 2 sierpnia 2026 rusza egzekwowanie - przy naruszeniach obowiązków operatora kary sięgają 15 mln EUR lub 3% obrotu, a najwyższy próg (35 mln EUR lub 7%) dotyczy wyłącznie praktyk zakazanych, nie zwykłego używania AI w firmie. Trzy konkretne obowiązki dla małej firmy: 1) udokumentowane szkolenie z AI Literacy dla każdej osoby używającej AI, 2) rejestr narzędzi AI w firmie (Shadow AI też się liczy), 3) zgodność z RODO przy wpisywaniu danych klientów - darmowy ChatGPT trenuje na Twoich promptach. Przygotowanie audytu, szkolenia i dokumentacji zajmuje 2-4 tygodnie.

Jeśli Twoi pracownicy używają ChatGPT do pisania maili, Gemini do analizy danych albo Copilota w Excelu - od lutego 2025 roku podlegasz przepisom AI Act. Nie ma znaczenia, czy masz 3 osoby w firmie czy 300.

Większość właścicieli firm w Polsce - małych, średnich, MŚP - nie wie o tym obowiązku. A kluczowe terminy zaczynają się już 2 sierpnia 2026 roku. Ten artykuł wyjaśnia co musisz zrobić, ile masz czasu i jak się przygotować - bez prawniczego żargonu.

Aktualizacja: sierpień 2026. Pakiet Digital Omnibus został opublikowany jako rozporządzenie (UE) 2026/1744 - systemy wysokiego ryzyka z Aneksu III mają termin 2 grudnia 2027. Wcześniej doprecyzowaliśmy zakres art. 50 (co wymaga oznaczenia, a co nie), dodaliśmy rozróżnienie czatu opartego na modelu AI od zwykłego drzewka decyzyjnego oraz zaktualizowaliśmy status ustawy o systemach sztucznej inteligencji.

Co to jest AI Act i dlaczego Cię dotyczy

AI Act (Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, Dz.U. L z 12.7.2024) to pierwsze na świecie kompleksowe prawo regulujące sztuczną inteligencję. Przyjęły je wspólnie Parlament Europejski i Rada - akt sporządzono 13 czerwca 2024 roku, opublikowano 12 lipca 2024. Obowiązuje we wszystkich krajach UE - w tym w Polsce.

Przepis nie dotyczy wyłącznie firm, które tworzą systemy AI. Dotyczy każdego podmiotu, który z AI korzysta. Jeśli Twój pracownik używa narzędzia AI w pracy - nawet darmowego ChatGPT - Twoja firma jest „podmiotem wdrażającym" w rozumieniu AI Act.

To oznacza konkretne obowiązki. Najważniejszy z nich dla małych firm to art. 4 - obowiązek wspierania rozwoju kompetencji AI u osób, które z tych narzędzi korzystają.

Art. 4 - obowiązek AI Literacy

Artykuł 4 AI Act mówi wprost: dostawcy i podmioty stosujące systemy AI mają podejmować działania wspierające rozwój kompetencji AI (AI Literacy) u osób obsługujących te systemy lub z nich korzystających. To brzmienie po zmianie wprowadzonej pakietem Digital Omnibus (rozporządzenie (UE) 2026/1744) - wcześniej przepis mówił o „zapewnieniu wystarczającego poziomu" kompetencji.

W praktyce oznacza to, że:

• Musisz wiedzieć, jakie narzędzia AI są używane w Twojej firmie - nawet te, które pracownicy zainstalowali samodzielnie (Shadow AI).
• Każda osoba korzystająca z AI powinna rozumieć podstawy działania tych narzędzi, ich ograniczenia i potencjalne ryzyka.
• Powinieneś to udokumentować - nie wystarczy powiedzieć „no wiedzą". Potrzebujesz dowodów: szkolenia, materiałów, list obecności.

Art. 4 nie wymaga akredytacji prowadzącego - wymaga udokumentowanych kompetencji zespołu i jakości szkolenia. Liczy się praktyczna wiedza, kompletna dokumentacja i realne przygotowanie pracowników do pracy z AI.

Co konkretnie musisz zrobić

Przygotowanie do wymogów art. 4 AI Act składa się z trzech kroków.

Krok 1: Audyt narzędzi AI w firmie

Zrób listę wszystkich narzędzi AI, z których korzysta Twoja firma. Nie tylko tych oficjalnych - sprawdź też co pracownicy zainstalowali sami. Typowe miejsca, gdzie „ukrywa się" AI:

• ChatGPT, Claude, Gemini - do pisania maili, ofert, treści
• Microsoft Copilot - wbudowany w Office 365
• Canva AI, Adobe Firefly - do grafik
• Grammarly, DeepL - do tłumaczeń i korekty
• Narzędzia CRM z funkcjami AI (np. HubSpot, Salesforce Einstein)
• Wtyczki przeglądarki z AI

Przy każdym narzędziu zapisz: kto go używa, do czego, jakie dane przetwarza. To będzie podstawa do określenia zakresu szkolenia. Audyt narzędzi to też dobry moment, żeby zaplanować automatyzację procesów AI -- które z tych narzędzi można połączyć w spójny workflow.

Krok 2: Szkolenie pracowników

Szkolenie powinno obejmować:

• Podstawy działania AI - czym jest model językowy, dlaczego „halucynuje", co to prompt
• Ograniczenia narzędzi - kiedy AI się myli, jakie dane można podawać, a jakich nie
• Bezpieczeństwo danych - co się dzieje z danymi wpisanymi do ChatGPT, różnica między wersją darmową a płatną
• Praktyczne zastosowania - jak efektywnie promptować, jak weryfikować wyniki, kiedy nie ufać AI
• Kontekst prawny - podstawowe informacje o AI Act i obowiązkach firmy

Szkolenie nie musi trwać tygodnia. Dla większości małych firm wystarczy warsztat jednodniowy dopasowany do branży i narzędzi, które faktycznie używacie. Sprawdź też, czy kwalifikujesz się na dofinansowanie szkoleń AI z KFS lub BUR -- pokrywa do 80% kosztów.

Krok 3: Dokumentacja

Po szkoleniu powinieneś mieć:

1. Plan szkoleniowy - program dopasowany do ról w firmie (inne szkolenie dla sprzedawcy, inne dla księgowej)
2. Materiały szkoleniowe - prezentacja, ćwiczenia, checklisty
3. Lista obecności - kto uczestniczył, kiedy
4. Zaświadczenie o ukończeniu szkolenia - dla każdego uczestnika
5. Raport po szkoleniu - wnioski, rekomendacje, plan follow-up

Ta dokumentacja jest Twoim dowodem zgodności z art. 4. W razie kontroli pokazujesz konkretne pliki, nie obietnice.

Harmonogram wejścia w życie

AI Act nie wchodzi w życie jednego dnia. Poszczególne przepisy mają różne terminy:

• 2 lutego 2025

  Art. 4 - AI Literacy oraz zakazane praktyki AI. Rozdziały I i II rozporządzenia: obowiązek wspierania rozwoju kompetencji AI plus zakaz scoringu społecznego, manipulacji podprogowej i rozpoznawania emocji w pracy.

• 2 sierpnia 2025

  Przepisy o karach i organy nadzoru. Rozdział XII (kary z art. 99) plus zasady dla modeli ogólnego przeznaczenia i struktura nadzoru. Od tego dnia sankcje za zakazane praktyki są wykonalne.

• 2 sierpnia 2026

  Główna data stosowania rozporządzenia. Wchodzi art. 50 (przejrzystość) i obowiązki podmiotów stosujących AI - a wraz z nimi kary za ich naruszenie. To ten termin, na który musisz się przygotować.

• 2 grudnia 2027

  Systemy AI wysokiego ryzyka. Pełne wymogi dla systemów AI w rekrutacji, kredytach, opiece zdrowotnej. Termin przesunięty z sierpnia 2026 przez pakiet Digital Omnibus (Parlament przyjął go 16 czerwca, Rada 29 czerwca, opublikowany jako rozporządzenie (UE) 2026/1744). AI wbudowana w produkty z Aneksu I ma termin jeszcze późniejszy: 2 sierpnia 2028.

Polski organ nadzoru - KRiBSI

AI Act egzekwowany jest na poziomie krajowym. W Polsce nadzór nad rynkiem AI ma sprawować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) - nowy organ powołany ustawą o systemach sztucznej inteligencji.

Stan prawny: Sejm uchwalił ustawę 11 czerwca 2026 roku, Senat zgłosił poprawki, Sejm przyjął niemal wszystkie, a Prezydent podpisał ją 24 lipca 2026 roku. Ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) obowiązuje od 11 sierpnia 2026 roku, a przepisy o samej KRiBSI stosuje się od 28 października 2026. Przewodniczący ma być powołany w ciągu dwóch miesięcy, pełny skład Komisji w ciągu trzech, więc KRiBSI ma rozpocząć pracę w listopadzie. Do tego czasu funkcję organu nadzoru w zakresie swoich kompetencji pełnią organy sektorowe - UODO (dane osobowe), UOKiK (konsumenci), KNF (sektor finansowy).

Co robi KRiBSI:

• Wydawać decyzje administracyjne - w tym nakładać kary za naruszenia AI Act
• Prowadzić piaskownice regulacyjne - bezpieczne testowanie systemów AI przed wdrożeniem na rynek
• Wydawać opinie indywidualne - firmy mogą pytać o interpretację konkretnych przypadków
• Prowadzić działania edukacyjne - szkolenia, materiały, kampanie informacyjne dla rynku

Kary za brak zgodności

AI Act przewiduje trzy poziomy kar:

• Zakazane praktyki AI: do 35 mln euro lub 7% rocznego obrotu
• Obowiązki operatora (m.in. art. 50 - przejrzystość) i systemy wysokiego ryzyka: do 15 mln euro lub 3% rocznego obrotu
• Podanie nieprawdziwych informacji organom nadzoru: do 7,5 mln euro lub 1% rocznego obrotu

Dla małej firmy te kwoty wydają się abstrakcyjne - i rozporządzenie to uwzględnia. Art. 99 ust. 6 mówi wprost: w przypadku MŚP i start-upów kara nie przekracza niższej z dwóch wartości, kwoty albo procentu obrotu. Dla dużej korporacji liczy się wyższa, dla małej firmy niższa. Dodatkowo art. 99 ust. 7 nakazuje organowi wziąć pod uwagę wagę i czas trwania naruszenia, wielkość operatora, jego obrót oraz wszelkie czynniki łagodzące - a udokumentowane szkolenie i rejestr narzędzi to dokładnie taki czynnik.

Najgorsza sytuacja to nie zrobić nic. Firma, która wykaże plan szkoleniowy, dokumentację i zaświadczenia - nawet jeśli nie jest idealna - jest w dużo lepszej pozycji niż firma, która nie wie o obowiązku.

ChatGPT a RODO - czy Twoja firma narusza prawo

Wpisując dane osobowe (nazwiska klientów, NIP, dane kadrowe, treść maili) do ChatGPT w wersji konsumenckiej naruszasz RODO. ChatGPT, Gemini i Claude w darmowych wersjach używają Twoich promptów do treningu modeli, co kwalifikuje się jako transfer danych poza EOG i przetwarzanie bez podstawy prawnej. Rozwiązanie: wersje "Team/Enterprise" wyłączają trening lub wybierz narzędzia z opcją "data privacy".

Szczegóły sprawdziliśmy u źródła w artykule o tym, gdzie trafiają dane Twojej firmy, gdy korzystasz z AI.

Najczęstszy błąd właściciela firmy: pracownik wkleja do ChatGPT mail od klienta z prośbą "napisz uprzejmiejszą odpowiedź". W mailu są imię, nazwisko, adres e-mail, czasem numer telefonu. To dane osobowe w rozumieniu RODO. ChatGPT (Free, Plus konsumencki) zapisuje je i może użyć do trenowania modelu. Narusza to art. 6 RODO (brak podstawy prawnej do przetwarzania) oraz art. 44-49 (transfer danych poza Europejski Obszar Gospodarczy bez gwarancji).

3 najczęstsze wycieki danych przez ChatGPT w polskich firmach

• Listy klientów do analizy: "Pomóż mi pogrupować tych klientów" + arkusz z imionami, telefonami, adresami. Cały arkusz trafia do treningu modelu.
• Treść maili biznesowych: "Napisz odpowiedź na ten mail" + wklejona wiadomość z danymi nadawcy. Imię, e-mail, podpis z firmą - wszystko idzie do OpenAI.
• Dokumenty kadrowe: "Streść mi tę umowę o pracę". Imię, nazwisko, PESEL, adres pracownika - całość w prompcie, całość w treningu.

Skala problemu: badanie Cyberhaven z 2024 wykazało, że 11% danych wklejanych do ChatGPT przez pracowników to dane wrażliwe (klienci, finanse, kadrowe). W przeciętnej polskiej firmie 30-osobowej oznacza to kilka wycieków tygodniowo - całkowicie nieumyślnych.

Co zrobić, żeby używać ChatGPT zgodnie z RODO

1. Wybierz wersję biznesową: ChatGPT Team/Enterprise, Claude Team, Gemini Business. Te wersje mają domyślnie wyłączone trenowanie na Twoich danych oraz umowy powierzenia DPA. Koszt: od ok. 100 PLN/użytkownik/mies.
2. Stwórz politykę AI dla pracowników: jedna strona A4. Co wolno wpisywać (treść anonimowa, kod, koncepty). Czego nie (dane osobowe klientów, dokumenty kadrowe, dane finansowe, hasła). Pracownik podpisuje, że zapoznał się z polityką. Jak zbudować pełny dokument - osiem sekcji, koszty, aktualizacje - rozpisaliśmy w artykule o polityce AI w firmie.
3. Przeprowadź szkolenie z bezpiecznego użycia AI: 90% wycieków to nie atak hakerski, tylko nieświadomość pracownika. Szkolenie + checklist + konkretne przykłady "tak/nie" = redukcja ryzyka o 80%.

Compliance z RODO i AI Act idą w parze. Art. 4 AI Act wymaga przeszkolenia pracowników z używania AI - to samo szkolenie pokrywa kwestie RODO. Zobacz nasze szkolenia AI dla małych firm - obejmują obie regulacje w jednym warsztacie.

Art. 50 - kiedy musisz oznaczać treści AI (a kiedy nie)

Drugi obowiązek, który dotyczy małych firm, to przejrzystość - art. 50 AI Act. Obowiązuje od 2 sierpnia 2026 i nie został przesunięty pakietem Digital Omnibus (przesunięto systemy wysokiego ryzyka - na grudzień 2027).

Tu jest najczęstsze nieporozumienie: sam fakt, że tekst powstał z pomocą AI, nie rodzi obowiązku oznaczania go. Opis produktu, mail do klienta, artykuł na firmowy blog - to zostaje bez etykiety. Obowiązek obejmuje węższy zakres:

• Deepfake - obrazy, wideo lub audio przedstawiające osoby albo zdarzenia w sposób, który nie miał miejsca, a które ktoś może wziąć za autentyczne
• Tekst informujący opinię publiczną o sprawach interesu publicznego (zdrowie, prawa podstawowe, środowisko, ochrona konsumentów). Czysta reklama produktu i komunikacja firmowa są poza tym zakresem. Dodatkowo: jeśli treść przeszła weryfikację człowieka, który bierze za nią odpowiedzialność redakcyjną, etykieta nie jest wymagana
• Czat rozmawiający z klientem - klient ma prawo wiedzieć, że rozmawia z AI, najpóźniej przy pierwszej interakcji
• Materiały marketingowe z syntetycznymi twarzami lub głosami - jeśli mogą uchodzić za prawdziwe osoby

Uwaga - nie każdy czat na stronie jest systemem AI. Jeśli Twój czat działa na regułach napisanych przez człowieka (klikasz „1 - godziny otwarcia", „2 - kontakt"), AI Act nie traktuje go jako systemu AI. Motyw 12 wyłącza systemy oparte wyłącznie na regułach określonych przez osoby fizyczne, a cechą przesądzającą jest zdolność wnioskowania. Jeśli natomiast pod czatem siedzi model językowy, który sam układa odpowiedzi - to jest system AI i obowiązek Cię dotyczy.

Co to znaczy praktycznie: jeśli masz na stronie czat oparty na modelu językowym, dodaj informację „Rozmawiasz z asystentem AI". Jeśli używasz wygenerowanego przez AI głosu lub twarzy w reklamie - oznacz to. Zwykłych firmowych tekstów pisanych z pomocą AI oznaczać nie musisz. Odpowiedzialność spoczywa na Twojej firmie jako podmiocie wdrażającym, nie na dostawcy narzędzia.

Jak 30Elevate może pomóc

Łączymy praktyczną wiedzę o AI z potrzebami małych firm. Nasze szkolenia z AI obejmują zarówno umiejętności praktyczne, jak i przygotowanie dokumentacji pod art. 4 AI Act.

Co dostajesz po warsztacie:

• Plan szkoleniowy dopasowany do Twojej branży i ról w firmie
• Materiały szkoleniowe (prezentacja + checklisty)
• Praktyczne ćwiczenia z narzędzi AI, których używacie
• Lista obecności i zaświadczenia o ukończeniu szkolenia
• Raport po szkoleniu z rekomendacjami

Jeden warsztat - i masz kompetencje zespołu podniesione i dokumentację uporządkowaną. Nie obiecujemy „certyfikatu AI Act compliance" (bo taki formalnie nie istnieje), ale dajemy Ci wszystko, czego wymaga art. 4.

Prowadzący posiada certyfikaty Google AI i doświadczenie we wdrażaniu systemów AI w firmach. Szkolenie prowadzone jest w języku zrozumiałym dla właściciela firmy - nie dla programisty.

Najczęstsze pytania

Czy AI Act dotyczy mojej małej firmy?

Tak. Jeśli Twoi pracownicy używają jakichkolwiek narzędzi AI - nawet ChatGPT do pisania maili - art. 4 AI Act nakłada na Ciebie obowiązek wspierania rozwoju kompetencji AI u tych osób. Nie ma znaczenia wielkość firmy ani branża.

Jakie kary grożą za brak AI Literacy?

Art. 99 AI Act nie wymienia art. 4 wśród przepisów objętych osobną stawką kary. Braki kompetencji działają jako czynnik przy innych naruszeniach - organ nadzoru bierze pod uwagę, czy firma zadbała o przygotowanie zespołu, a przeszkolony zespół gra na Twoją korzyść. Dla małych i średnich firm kara liczy się od niższej z dwóch wartości (kwoty albo procentu obrotu), nie wyższej.

Czy potrzebuję certyfikatu AI Act?

Formalny „certyfikat AI Act compliance" nie istnieje. Art. 4 wymaga udokumentowanych kompetencji - plan szkoleniowy, materiały, lista obecności i zaświadczenie o ukończeniu szkolenia. Kluczowe jest doświadczenie prowadzącego i jakość dokumentacji.

Od kiedy egzekwują AI Act w Polsce?

Art. 4 (AI Literacy) obowiązuje w Polsce od 2 lutego 2025, bo rozporządzenie stosuje się bezpośrednio. Przepisy o karach z rozdziału XII działają od 2 sierpnia 2025, a od 2 sierpnia 2026 dochodzi art. 50 i obowiązki podmiotów stosujących AI. Polski organ nadzoru KRiBSI powstaje na mocy ustawy o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), obowiązującej od 11 sierpnia 2026, i ma rozpocząć pracę w listopadzie.

Co to jest obowiązek AI Literacy z art. 4?

Art. 4 AI Act wymaga, aby firma wspierała rozwój kompetencji AI u każdej osoby obsługującej system AI. Obejmuje to wiedzę o działaniu narzędzi AI, rozpoznawanie ograniczeń i ryzyk oraz umiejętność krytycznej oceny wyników. Obowiązek dotyczy zarówno pracowników, jak i właściciela.

Jak przeprowadzić audyt narzędzi AI w firmie?

Zrób listę wszystkich narzędzi AI używanych w firmie - od ChatGPT przez Canva AI po automatyzacje w CRM. Dla każdego zapisz: kto używa, do czego, jakie dane przetwarza i jaką kategorię ryzyka ma według AI Act. Większość narzędzi małych firm to kategoria minimalna lub ograniczona.

Jaką dokumentację AI musi prowadzić firma?

Art. 4 wymaga udokumentowania: listy narzędzi AI w firmie, planu szkoleniowego z zakresem i harmonogramem, materiałów szkoleniowych, listy obecności ze szkoleń oraz zaświadczeń o ukończeniu. Prosty folder z tymi elementami wystarczy na wypadek kontroli.