AI Act od 2 sierpnia 2026 r.: obowiązki firm korzystających z AI w rekrutacji, ocenie pracowników i obsłudze klientów

Automatyczna selekcja CV lub algorytmiczny scoring klienta to już nie tylko kwestia technologii, ale przede wszystkim odpowiedzialności prawnej

Wyobraź sobie sytuację, w której Twoja firma wdraża nowoczesny system do automatycznego filtrowania aplikacji o pracę. Narzędzie działa sprawnie, oszczędza czas działu HR i wydaje się idealnym rozwiązaniem. Jednak od 2 grudnia 2027 roku, jeśli taki system nie spełni rygorystycznych wymogów rozporządzenia AI Act, Twoje przedsiębiorstwo może narazić się na dotkliwe sankcje finansowe i konieczność natychmiastowego wycofania technologii z użytku. Problem polega na tym, że większość przedsiębiorców błędnie zakłada, iż obowiązki prawne spoczywają wyłącznie na twórcach oprogramowania (dostawcach). Tymczasem prawo nakłada szereg krytycznych zadań na tzw. deployerów, czyli podmioty, które wykorzystują te narzędzia w swojej codziennej działalności biznesowej.

Wprowadzenie sztucznej inteligencji do procesów decyzyjnych w Twojej firmie zmienia charakter relacji z pracownikiem i klientem. Nie jest to już tylko relacja oparta na umowie, ale proces podlegający ścisłemu nadzorowi cyfrowemu. Każdy algorytm, który ocenia wydajność pracownika, przyznaje rabaty w sklepie internetowym na podstawie profilowania, czy decyduje o zablokowaniu płatności odroczonej, staje się elementem infrastruktury krytycznej z punktu widzenia ochrony praw podstawowych. Brak zrozumienia mechanizmów działania tych systemów nie będzie stanowił linii obrony przed organami nadzoru.

Przygotowanie do nadchodzących zmian wymaga audytu nie tylko technicznego, ale przede wszystkim prawnego i operacyjnego. Musisz wiedzieć, że AI Act nie jest aktem prawnym funkcjonującym w próżni. Ściśle współgra on z przepisami o ochronie danych osobowych (RODO), tworząc kompleksowy system nadzoru nad automatyzacją. Jeśli Twoja firma korzysta z AI w obszarach takich jak rekrutacja, zarządzanie zasobami ludzkimi czy ocena zdolności kredytowej, czas na dostosowanie procedur właśnie się zaczął. Ignorowanie tych terminów może doprowadzić do sytuacji, w której zainwestowane w technologię środki staną się kosztem utraconym ze względu na brak zgodności z prawem unijnym.

Podstawa prawna: Rozporządzenie 2024/1689 i kluczowe powiązania z RODO

Fundamentem nowych obowiązków jest Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji, znane powszechnie jako AI Act. Choć rozporządzenie weszło w życie w 2024 roku, to kluczowe dla większości przedsiębiorców przepisy dotyczące systemów wysokiego ryzyka zaczną w pełni obowiązywać od 2 grudnia 2027 roku. Artykuł 6 tego rozporządzenia, w połączeniu z Załącznikiem III, precyzyjnie definiuje, które systemy AI są uznawane za niosące wysokie ryzyko dla praw i wolności osób fizycznych. W tej grupie znajdują się niemal wszystkie narzędzia AI stosowane w szeroko pojętym HR oraz przy ocenie wiarygodności konsumentów.

Warto zwrócić uwagę na art. 26 AI Act, który określa obowiązki podmiotów stosujących systemy AI (deployerów). Zgodnie z tym przepisem, Twoja firma jako użytkownik gotowego rozwiązania musi zapewnić, że system jest użytkowany zgodnie z instrukcją, a dane wprowadzane do systemu są odpowiednie i reprezentatywne. Co więcej, art. 4 AI Act nakłada na przedsiębiorców obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie sztucznej inteligencji (AI literacy) wśród personelu. Oznacza to, że Twoi pracownicy obsługujący te narzędzia muszą rozumieć, jak one działają, jakie generują ryzyka i jakie mają ograniczenia. Ten obowiązek obowiązuje już od 2 lutego 2025 roku.

Niezwykle istotna jest relacja AI Act do RODO. Artykuł 22 RODO już teraz zakazuje podejmowania decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, które wywołują skutki prawne wobec osoby lub w podobny sposób istotnie na nią wpływają, chyba że zachodzą określone wyjątki. AI Act uzupełnia te ramy, wprowadzając wymóg przejrzystości (art. 50) oraz konieczność przeprowadzenia oceny skutków dla praw podstawowych. W praktyce oznacza to, że wdrożenie AI w firmie będzie wymagało aktualizacji analizy DPIA (Data Protection Impact Assessment) zgodnie z art. 35 RODO, uwzględniając specyficzne ryzyka generowane przez algorytmy sztucznej inteligencji.

Orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej (TSUE) już teraz wyznacza kierunek interpretacji tych przepisów. Kluczowym wyrokiem jest sprawa C-634/21 (SCHUFA Holding), w której Trybunał uznał, że samo automatyczne ustalenie wartości punktowej (scoringu) dotyczącej zdolności kredytowej stanowi zautomatyzowane podejmowanie decyzji w rozumieniu art. 22 RODO, jeśli od tej oceny w decydującym stopniu zależy decyzja banku. To orzeczenie ma fundamentalne znaczenie dla każdego przedsiębiorcy stosującego algorytmy do oceny klientów czy pracowników – nie można zasłaniać się faktem, że ostateczną decyzję podpisuje człowiek, jeśli bezkrytycznie akceptuje on wynik wygenerowany przez maszynę.

Systemy wysokiego ryzyka w Twojej firmie – jak je rozpoznać?

Zgodnie z Załącznikiem III do AI Act, za systemy wysokiego ryzyka uznaje się narzędzia wykorzystywane w rekrutacji lub selekcji osób fizycznych, w szczególności do ogłaszania ofert pracy, filtrowania aplikacji oraz oceny kandydatów w toku rozmów kwalifikacyjnych lub testów. Jeśli Twoja firma korzysta z platformy, która automatycznie odrzuca CV na podstawie słów kluczowych lub analizuje próbki głosu kandydata pod kątem cech osobowościowych, operujesz systemem wysokiego ryzyka. Wiąże się to z koniecznością wdrożenia procedur nadzoru ludzkiego i zapewnienia, że system nie powiela uprzedzeń (np. dyskryminacji ze względu na płeć czy wiek).

Zarządzanie pracownikami i ocena wydajności

Kolejną kategorią wysokiego ryzyka są systemy AI przeznaczone do podejmowania decyzji dotyczących warunków stosunków pracy, awansów, rozwiązywania umów oraz do przydzielania zadań na podstawie zachowań pracowników lub ich cech osobistych. Jeśli monitorujesz wydajność kurierów za pomocą algorytmu optymalizującego trasy, który jednocześnie ocenia ich efektywność, podlegasz pod rygory AI Act. Musisz zagwarantować pracownikom prawo do wyjaśnienia, dlaczego system podjął taką, a nie inną decyzję, co wynika bezpośrednio z art. 86 rozporządzenia.

Dostęp do usług prywatnych i publicznych

Wysokie ryzyko obejmuje również systemy AI stosowane do oceny zdolności kredytowej osób fizycznych lub ustalania ich oceny punktowej (scoringu). Dotyczy to nie tylko banków, ale również firm oferujących płatności odroczone (BNPL) czy ubezpieczycieli. Jeśli Twój e-commerce automatycznie decyduje, któremu klientowi przyznać rabat lojalnościowy, a któremu zablokować możliwość zakupu na raty, musisz zweryfikować, czy algorytm nie narusza zasad równego traktowania. Przejrzystość procesu decyzyjnego staje się tu wymogiem prawnym, a nie tylko dobrą praktyką biznesową.

Ryzyka dla przedsiębiorcy: Kary finansowe i odpowiedzialność prawna

Naruszenie przepisów AI Act wiąże się z sankcjami, które mogą zachwiać stabilnością finansową nawet dużych przedsiębiorstw. System kar został skonstruowany podobnie do RODO, ale górne granice są jeszcze wyższe. Za stosowanie praktyk zakazanych (np. systemy oceny społecznej czy nieuprawnione rozpoznawanie emocji w miejscu pracy) kara może wynieść do 35 000 000 EUR lub do 7% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego. Dla większości firm korzystających z AI, kluczowe będą jednak kary za niedopełnienie obowiązków związanych z systemami wysokiego ryzyka.

Niedostosowanie się do wymogów art. 26 (obowiązki deployerów) lub brak zapewnienia nadzoru ludzkiego może skutkować karą do 15 000 000 EUR lub 3% obrotu. Należy pamiętać, że organy nadzorcze będą badać nie tylko to, czy doszło do naruszenia, ale również stopień zawinienia przedsiębiorcy. Brak przeszkolenia pracowników (naruszenie art. 4 o AI literacy) będzie traktowany jako rażące zaniedbanie. W polskim porządku prawnym organem nadzorczym prawdopodobnie zostanie nowo powołany urząd lub rozszerzone zostaną kompetencje Prezesa UODO, co oznacza realne kontrole i postępowania administracyjne.

Poza karami administracyjnymi, przedsiębiorca naraża się na odpowiedzialność cywilną wobec osób trzecich. Jeśli algorytm rekrutacyjny w Twojej firmie będzie dyskryminował kandydatów z określonej grupy społecznej, osoby te będą mogły dochodzić odszkodowań przed sądami powszechnymi. AI Act ułatwia dochodzenie roszczeń, wprowadzając domniemanie winy w określonych sytuacjach oraz nakładając na firmy obowiązek przechowywania logów (zapisów zdarzeń) generowanych przez system AI. Brak takich logów w razie sporu sądowego postawi Twoją firmę w bardzo trudnej sytuacji dowodowej.

Ostatnim, ale nie mniej ważnym ryzykiem, jest ryzyko reputacyjne oraz operacyjne. Konieczność nagłego wyłączenia systemu AI, który stał się kluczowy dla procesów biznesowych (np. obsługi reklamacji czy logistyki), może sparaliżować działanie firmy na wiele tygodni. Inwestycja w narzędzia, które nie posiadają certyfikacji CE i deklaracji zgodności UE, to ryzyko zakupu technologii, której legalne użytkowanie po grudniu 2027 roku będzie niemożliwe. Dlatego audyt dostawców AI powinien stać się priorytetem Twojego działu zakupów i IT już teraz.

Przykład z praktyki: Skutki braku nadzoru nad algorytmem rekrutacyjnym

Rozważmy przypadek średniej wielkości firmy technologicznej, która wdrożyła system AI do wstępnej selekcji programistów. System został wytrenowany na danych historycznych firmy z ostatnich 10 lat. Ponieważ w przeszłości większość zatrudnionych inżynierów stanowili mężczyźni, algorytm „nauczył się”, że płeć męska jest skorelowana z sukcesem zawodowym i zaczął automatycznie obniżać oceny kobietom, nawet jeśli miały wyższe kompetencje. Firma nie przeprowadziła audytu danych treningowych ani nie zapewniła realnego nadzoru człowieka nad wynikami selekcji.

Skutek? Grupa odrzuconych kandydatek złożyła skargę do organu nadzorczego oraz pozew zbiorowy o dyskryminację. W toku postępowania okazało się, że firma nie posiadała dokumentacji technicznej systemu, a pracownicy HR bezkrytycznie akceptowali listę „top 10 kandydatów” generowaną przez AI. Spółka została ukarana grzywną w wysokości 220 000 PLN przez krajowy organ ochrony danych (na podstawie RODO), a po wejściu w życie AI Act, taka sytuacja mogłaby skończyć się karą liczoną w milionach euro oraz nakazem publicznego przeproszenia i odszkodowaniami dla wszystkich poszkodowanych osób.

Najczęstsze błędy popełniane przez przedsiębiorców w tym obszarze to:

• Przyjmowanie zapewnień dostawcy o „pełnej zgodności z prawem” bez weryfikacji dokumentacji technicznej.
• Brak wyznaczenia konkretnej osoby odpowiedzialnej za nadzór nad działaniem systemu AI (tzw. human-in-the-loop).
• Traktowanie AI jako „czarnej skrzynki” i brak informowania osób, których decyzje dotyczą, o roli algorytmu w procesie.
• Nieuwzględnienie specyfiki AI w politykach prywatności i regulaminach pracy.
• Brak regularnego testowania systemu pod kątem błędów i uprzedzeń po jego wdrożeniu.

Co zrobić krok po kroku: Plan wdrożenia zgodności z AI Act

Przygotowanie firmy do nowych regulacji to proces, który należy podzielić na etapy. Nie czekaj do późna — część obowiązków (jak AI literacy) już obowiązuje, ponieważ niektóre obowiązki, jak AI literacy, zaczną obowiązywać wcześniej, a rzetelny audyt systemów zajmuje czas.

1. Inwentaryzacja systemów AI w organizacji: Stwórz pełną listę narzędzi, które wykorzystują algorytmy uczenia maszynowego lub inne techniki AI. Uwzględnij nie tylko duże systemy ERP, ale także mniejsze wtyczki do przeglądarek, chatboty i narzędzia analityczne używane przez poszczególne działy.

2. Klasyfikacja ryzyka: Dla każdego zidentyfikowanego narzędzia ustal, czy wpisuje się ono w kategorie wysokiego ryzyka wymienione w Załączniku III AI Act. Skonsultuj się z prawnikiem, aby ocenić, czy Twoje zastosowanie AI (np. w HR lub obsłudze klienta) wymaga spełnienia rygorystycznych wymogów art. 26.

3. Weryfikacja dostawców: Skontaktuj się z dostawcami używanych narzędzi i zażądaj deklaracji zgodności z AI Act oraz udostępnienia instrukcji obsługi dla deployerów. Jeśli dostawca nie planuje dostosowania narzędzia do norm unijnych, musisz rozważyć zmianę oprogramowania przed grudniem 2027 roku.

4. Wdrożenie nadzoru ludzkiego: Wyznacz osoby wewnątrz organizacji, które będą odpowiedzialne za monitorowanie wyników generowanych przez AI. Osoby te muszą mieć kompetencje do zignorowania lub nadpisania decyzji algorytmu, jeśli uznają ją za błędną lub stronniczą.

5. Aktualizacja dokumentacji RODO: Przeprowadź nową ocenę skutków dla ochrony danych (DPIA), uwzględniając specyfikę AI. Zaktualizuj klauzule informacyjne dla pracowników i klientów (art. 13 i 14 RODO), wyraźnie wskazując, gdzie i w jakim celu stosowana jest sztuczna inteligencja.

6. Program AI Literacy: Zorganizuj szkolenia dla pracowników, szczególnie tych z działów HR, marketingu i obsługi klienta. Muszą oni rozumieć podstawy działania AI, wiedzieć, jak rozpoznawać „halucynacje” modeli językowych i jak bezpiecznie wprowadzać dane do systemów.

7. Procedura logowania i monitorowania: Upewnij się, że systemy AI wysokiego ryzyka automatycznie generują logi z operacji. Musisz przechowywać te zapisy przez okres co najmniej 6 miesięcy (lub dłużej, jeśli wymagają tego inne przepisy), aby móc wykazać zgodność w razie kontroli.

8. Ustanowienie incydent-managementu: Stwórz procedurę zgłaszania błędów i incydentów związanych z AI. Jeśli system zacznie działać w sposób dyskryminujący lub niebezpieczny, musisz mieć jasny protokół jego natychmiastowego wyłączenia i powiadomienia dostawcy oraz organów nadzoru.

Checklista dla przedsiębiorcy: Czy Twoja firma jest gotowa na AI Act?

Zakończenie: AI to nie tylko technologia, to nowa kategoria ryzyka prawnego

Największym błędem, jaki możesz popełnić jako przedsiębiorca w nadchodzących latach, jest traktowanie sztucznej inteligencji jak zwykłego arkusza kalkulacyjnego czy edytora tekstu. AI Act zmienia reguły gry, przesuwając ciężar odpowiedzialności na podmioty, które czerpią korzyści z automatyzacji. Rok 2026 może wydawać się odległy, ale skala zmian w procesach wewnętrznych, konieczność renegocjacji umów z dostawcami oraz obowiązek przeszkolenia kadr wymagają działania już teraz. Pamiętaj, że zgodność z prawem to nie tylko unikanie kar, ale także budowanie zaufania u Twoich klientów i pracowników, którzy coraz częściej będą pytać o to, jak ich dane są przetwarzane przez algorytmy.

Czy Twoja firma jest gotowa na audyt algorytmów? A może wciąż polegasz na zapewnieniach dostawców, że „wszystko jest w porządku”? Zachęcam do krytycznego spojrzenia na każde narzędzie AI, które ma wpływ na życie i pracę drugiego człowieka. Jeśli masz wątpliwości, czy dany system kwalifikuje się jako wysokie ryzyko, warto skonsultować to z ekspertem, zanim mechanizmy AI Act wejdą w fazę restrykcyjnego egzekwowania. Jakie wyzwania związane z wdrażaniem AI w Twojej branży wydają Ci się najtrudniejsze do przeskoczenia w kontekście nowych przepisów?