AI Act 2026 — obowiązki firm wdrażających sztuczną inteligencję

Firma kupuje gotowy system AI do rekrutacji pracowników — sprawdza CV i wstępnie ocenia kandydatów. Dostawca dostarczył system, przeprowadził wdrożenie i zostawił dokumentację techniczną. Firma jest przekonana, że odpowiedzialność za zgodność z prawem spoczywa na dostawcy. To błąd, który może kosztować do 15 milionów euro. AI Act — rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 — wyraźnie wskazuje, że firma wdrażająca system AI (tzw. operator, ang. deployer) ma własne, odrębne obowiązki prawne, niezależne od obowiązków dostawcy. I te obowiązki zaczęły obowiązywać w pełni od 2 grudnia 2027 roku.

Kiedy AI Act zaczyna obowiązywać — etapy wdrożenia

AI Act wchodzi w życie etapami, co jest celowym zabiegiem legislacyjnym mającym dać firmom czas na dostosowanie. Rozporządzenie zostało opublikowane w Dzienniku Urzędowym UE 12 lipca 2024 roku i weszło w życie 1 sierpnia 2024 roku. Jednak poszczególne przepisy stosuje się w różnych terminach, które firma musi znać.

Od 2 lutego 2025 roku obowiązuje zakaz stosowania systemów AI o niedopuszczalnym ryzyku (art. 5 AI Act) oraz obowiązki dotyczące kompetencji pracowników w zakresie AI. Od 2 sierpnia 2025 roku zaczęły obowiązywać przepisy dotyczące modeli AI ogólnego przeznaczenia (GPAI — General Purpose AI), w tym wymogi przejrzystości i dokumentacji dla modeli takich jak ChatGPT czy Claude. Od 2 grudnia 2027 roku stosuje się pełny zakres przepisów AI Act, w tym wszystkie obowiązki dotyczące systemów AI wysokiego ryzyka. Systemy AI wbudowane w produkty regulowane (np. wyroby medyczne, pojazdy autonomiczne) mają dodatkowy czas dostosowania do 2 sierpnia 2028 roku.

Co oznacza to dla Ciebie w 2026 roku? Jeśli wdrożyłeś lub wdrażasz system AI klasyfikowany jako wysokiego ryzyka, musisz już teraz spełniać pełen zakres wymagań AI Act. Brak działania to nie tylko ryzyko sankcji finansowych, ale też ryzyko wstrzymania operacji — organ nadzorczy może nakazać wycofanie systemu z rynku. Jako prawnik doradzający w zakresie prawa nowych technologii regularnie widzę, jak firmy odkładają analizę AI Act na później, sądząc, że dotyczy tylko dużych korporacji. Tymczasem AI Act dotyczy każdej firmy — niezależnie od rozmiaru — która wdraża system AI objęty jego zakresem.

Cztery poziomy ryzyka — jak sklasyfikować system AI swojej firmy

AI Act stosuje podejście oparte na ryzyku i dzieli systemy AI na cztery kategorie: niedopuszczalne ryzyko, wysokie ryzyko, ograniczone ryzyko i minimalne ryzyko. Klasyfikacja systemu decyduje o zakresie obowiązków — i jest to pierwsza rzecz, którą musisz ustalić dla każdego systemu AI, który wdrażasz lub planujesz wdrożyć.

Systemy AI o niedopuszczalnym ryzyku są zakazane i nie mogą być stosowane w UE. Przykłady: systemy oceny społecznej (social scoring) obywateli przez władze publiczne, systemy biometrycznej identyfikacji w czasie rzeczywistym w przestrzeni publicznej (z wyjątkami dla organów ścigania), systemy manipulowania zachowaniem osób z wykorzystaniem technik podprogowych, systemy eksploracji emocji w miejscu pracy i szkołach (z pewnymi wyjątkami), systemy przewidywania przestępstw na podstawie profilowania.

Systemy AI wysokiego ryzyka są dopuszczone, ale podlegają rygorystycznym wymaganiom. Dzielą się na dwie grupy. Pierwsza to systemy wbudowane w produkty objęte unijnym ustawodawstwem harmonizacyjnym (wyroby medyczne, urządzenia lotnicze, pojazdy silnikowe, sprzęt elektryczny). Druga to systemy wymienione w Załączniku III do AI Act: systemy biometryczne identyfikujące osoby, systemy zarządzania infrastrukturą krytyczną, systemy edukacyjne (ocenianie uczniów, rekrutacja), systemy wspomagające zatrudnienie i zarządzanie pracownikami (w tym systemy rekrutacyjne i oceniające pracowników), systemy dostępu do usług publicznych i prywatnych (kredyty, ubezpieczenia), systemy organów ścigania i wymiaru sprawiedliwości, systemy zarządzania migracją.

Dostawca AI a operator — kto odpowiada za co

AI Act rozróżnia dwie kluczowe role: dostawcę (provider) i operatora (deployer). Dostawca to podmiot, który opracowuje system AI i wprowadza go na rynek. Operator to podmiot, który wdraża system AI w swoich procesach biznesowych. W praktyce typowy przedsiębiorca nabywający gotowe oprogramowanie AI jest operatorem, a nie dostawcą — co nie zwalnia go z własnych obowiązków.

Dostawca jest odpowiedzialny za: zapewnienie zgodności systemu z wymaganiami technicznymi AI Act, sporządzenie dokumentacji technicznej, przeprowadzenie oceny zgodności, rejestrację systemu w bazie danych EU AI Act, opatrzenie systemu oznaczeniem CE, zapewnienie środków nadzoru po wprowadzeniu na rynek. Operator jest odpowiedzialny za: stosowanie systemu zgodnie z instrukcjami dostawcy, wdrożenie nadzoru ludzkiego nad systemem, ocenę ryzyka fundamentalnych praw przed wdrożeniem (dla systemów wysokiego ryzyka), prowadzenie własnych rejestrów i dokumentacji, informowanie dostawcy o poważnych incydentach, przestrzeganie obowiązków RODO w zakresie danych biometrycznych.

Operator staje się de facto dostawcą — z wszystkimi tego konsekwencjami prawnymi — jeśli modyfikuje system AI w sposób istotny, trenuje gotowy model na własnych danych zmieniając jego przeznaczenie lub wprowadza system na rynek pod własną nazwą. To scenariusz częsty w branży IT: firma kupuje podstawowy model AI i dostosowuje go do swoich potrzeb. Taka customizacja może przekształcić operatora w dostawcę i uruchomić obowiązki po stronie firmy, która pierwotnie była tylko nabywcą.

Obowiązki firmy kupującej i wdrażającej AI od dostawcy

Jako operator systemu AI wysokiego ryzyka masz konkretny katalog obowiązków, który musisz spełnić niezależnie od tego, co zapewnia dostawca. Pierwsze pytanie, które powinieneś zadać przed zakupem systemu AI, brzmi: czy ten system należy do kategorii wysokiego ryzyka? Jeśli tak — zanim przejdziesz do negocjacji cenowych, zadbaj o aspekty prawne.

Obowiązek oceny ryzyka dla praw podstawowych jest nałożony na operatorów instytucji publicznych oraz operatorów w sektorach finansowym, ubezpieczeniowym i bankowym. Ocena musi być przeprowadzona przed wdrożeniem systemu i dokumentowana. Obowiązek nadzoru ludzkiego oznacza, że musisz zapewnić, by decyzje podejmowane z pomocą AI były weryfikowane przez człowieka — AI nie może działać w pełni autonomicznie w obszarach wysokiego ryzyka. Pracownicy nadzorujący system muszą być odpowiednio przeszkoleni i mieć możliwość ingerencji, zawieszenia lub odrzucenia wyników systemu AI.

Obowiązek prowadzenia rejestrów oznacza, że operator musi przechowywać logi generowane przez system AI przez co najmniej 6 miesięcy (lub dłużej, jeśli wymagają tego inne przepisy). Obowiązek przejrzystości wobec osób oznacza informowanie o tym, że z daną osobą interakcję prowadzi lub o niej decyduje system AI. Dotyczy to m.in. systemów rekrutacyjnych — kandydat musi wiedzieć, że jego aplikacja jest wstępnie oceniana przez AI. Wreszcie obowiązek zgłaszania incydentów — poważne incydenty związane z systemem AI muszą być zgłaszane organowi nadzorczemu i dostawcy systemu.

Dokumentacja techniczna i wymogi przejrzystości

Jednym z filarów AI Act jest wymóg przejrzystości i dokumentowania. Dla systemów AI wysokiego ryzyka dostawca musi sporządzić dokumentację techniczną (Technical Documentation) zgodnie z Załącznikiem IV do rozporządzenia, obejmującą m.in. opis systemu, jego możliwości i ograniczeń, opis danych treningowych, walidacyjnych i testowych, opis środków zarządzania ryzykiem i monitorowania. Jako operator masz obowiązek zapoznać się z tą dokumentacją przed wdrożeniem i upewnić się, że system jest stosowany zgodnie z jego przeznaczeniem.

Wymóg przejrzystości dla operatorów obejmuje obowiązek informowania osób, które wchodzą w interakcję z systemem AI lub których decyzje są przez niego wspomagane. Dotyczy to w szczególności: chatbotów (użytkownik musi wiedzieć, że rozmawia z AI), systemów generowania syntetycznych treści (np. deepfake — musi być oznaczony), systemów emocji i biometrycznych (informacja o ich stosowaniu) oraz systemów rekrutacyjnych (kandydat musi być poinformowany o stosowaniu AI w procesie selekcji).

Firmy z sektora bankowego, ubezpieczeniowego i leasingowego stosujące AI do oceny zdolności kredytowej muszą zapewnić prawo do wyjaśnienia — osoba, wobec której podjęto decyzję z udziałem AI, ma prawo żądać wyjaśnienia, dlaczego taka decyzja zapadła. To nakłada na operatorów obowiązek posiadania systemu AI, który jest interpretowalny lub co najmniej audytowalny.

Systemy zakazane — czego nie wolno robić z AI w UE

Art. 5 AI Act zawiera bezwzględny zakaz stosowania określonych systemów AI — i zakaz ten obowiązuje od 2 lutego 2025 roku. Nie ma tutaj mowy o dostosowaniu ani okresach przejściowych. Zakazane systemy to te, które prowadzą do niedopuszczalnego zagrożenia dla wartości demokratycznych, praw podstawowych i godności ludzkiej.

Absolutnie zakazane jest stosowanie: systemów biometrycznej identyfikacji w czasie rzeczywistym w przestrzeni publicznej przez organy ścigania (z wąskimi wyjątkami dla ataków terrorystycznych i poszukiwania zaginionych dzieci), systemów kategoryzacji biometrycznej przypisujących osoby do grup na podstawie cech wrażliwych (rasa, płeć, orientacja seksualna, opinie polityczne), systemów oceny społecznej używanych przez władze publiczne do klasyfikowania obywateli na podstawie ich zachowania, systemów przewidywania popełnienia przestępstwa na podstawie profilowania bez obiektywnych dowodów, systemów manipulacji emocjonalnej opartych na technikach podprogowych lub wykorzystujących słabości konkretnych grup (dzieci, osoby z niepełnosprawnościami).

Dla przedsiębiorców szczególnie istotny jest zakaz systemów scoringu społecznego — firmy prywatne nie mogą stosować systemów, które klasyfikują klientów lub pracowników na podstawie ich zachowania w jednym kontekście i wykorzystują tę klasyfikację do odmowy usług w zupełnie innym. To ograniczenie ma wpływ na projektowanie systemów lojalnościowych, scoring klientów i systemy oceny reputacji w branży e-commerce i fintech.

AI Act a umowy IT i B2B — co zmienia się w kontraktach

AI Act ma bezpośredni wpływ na treść umów IT zawieranych między dostawcami a nabywcami systemów AI. Jeśli kupujesz system AI wysokiego ryzyka, umowa powinna zawierać szereg postanowień, które chronią Cię jako operatora i umożliwiają spełnienie obowiązków prawnych. Brak odpowiednich klauzul umownych może oznaczać, że nawet mając dobry system, nie jesteś w stanie udowodnić jego zgodności z AI Act.

Umowa z dostawcą systemu AI wysokiego ryzyka powinna zawierać: oświadczenie dostawcy o zgodności systemu z AI Act i wymaganiami technicznymi Załącznika IV, zobowiązanie do udostępnienia dokumentacji technicznej (Technical Documentation) i instrukcji dla operatora, zobowiązanie do informowania o aktualizacjach wpływających na ryzyko systemu, zobowiązanie do współpracy przy obsłudze incydentów i przy audytach organów nadzorczych, postanowienia dotyczące odpowiedzialności odszkodowawczej w przypadku naruszenia przez dostawcę obowiązków AI Act. Po stronie operatora umowa powinna precyzować zakres dozwolonego przetwarzania danych, zakres modyfikacji systemu (przekroczenie tego zakresu może zmienić operatora w dostawcę) oraz procedury obsługi żądań podmiotów danych.

Rola doradcy prawnego jest nieoceniona przy negocjowaniu umów AI. W Kancelarii Cenkier pomagam firmom przeanalizować, czy planowany system AI jest systemem wysokiego ryzyka, jakie obowiązki operator musi spełnić i jakie postanowienia umowne są niezbędne, by bezpiecznie wdrożyć AI w organizacji. Działam w Lublinie, ale obsługuję klientów z całej Polski — zapraszam do kontaktu przez stronę prawo nowych technologii.

AI Act 2026 — jak Kancelaria Cenkier doradza przy wdrożeniach AI

AI Act to regulacja, która wymaga interdyscyplinarnego podejścia — łączącego wiedzę prawną z rozumieniem technologii. Jako radca prawny specjalizujący się w prawie nowych technologii pomagam firmom przejść przez cały cykl wdrożenia AI w sposób zgodny z przepisami: od oceny, czy planowany system podlega AI Act i jakiej kategorii ryzyka, przez opiniowanie i negocjowanie umów z dostawcami systemów AI, przygotowanie dokumentacji operatora (rejestry, procedury nadzoru, procedury zgłaszania incydentów), po reprezentowanie firmy w kontaktach z organami nadzorczymi.

Szczególnie ważną rolą prawnika jest udział w procesie zakupowym systemu AI — na etapie, gdy można jeszcze wpłynąć na treść umowy i wymagania wobec dostawcy. Firmy, które przychodzą do mnie po wdrożeniu systemu i dopiero wtedy pytają o zgodność z prawem, są w trudniejszej sytuacji: zmiana umowy z dostawcą po podpisaniu jest trudna, a dostawca często nie jest skłonny do ustępstw. Dlatego zachęcam do skonsultowania wdrożeń AI przed podpisaniem kontraktu, nie po.

Działam przy ul. Krótkiej 4/3 w Lublinie, tel. +48 792 911 906, kancelaria@cenkier.pl. Porady prawne udzielam zarówno stacjonarnie, jak i zdalnie dla firm z całej Polski.