AI Act w małej firmie. Jakie obowiązki masz już dziś, gdy korzystasz z ChatGPT czy Claude, a jakie przyjdą później

W wielu firmach słychać dziś dwie skrajne reakcje. Pierwsza brzmi „to dotyczy tylko gigantów technologicznych”, druga „lepiej przestać używać AI, zanim ktoś nałoży karę”. Obie są błędne. AI Act dotyczy także małej firmy, która korzysta z gotowych narzędzi, ale obowiązki na tym poziomie są ograniczone, konkretne i do spełnienia bez kancelarii prawnej na etacie. W tym tekście przechodzimy przez to, co obowiązuje już dziś, co zmieniło się w lipcu 2026 roku i co przyjdzie w kolejnych latach.

Ten artykuł porządkuje przepisy z perspektywy właścicielki małej firmy i nie zastępuje porady prawnej. Jeżeli Twoja firma tworzy własne systemy AI albo stosuje je w rekrutacji czy ocenie pracowników, skonsultuj szczegóły z prawniczką specjalizującą się w nowych technologiach.

Kalendarz, który warto mieć przed oczami

AI Act wchodzi w życie etapami. W lipcu 2026 roku część terminów zmieniło rozporządzenie nazywane Digital Omnibus on AI, czyli rozporządzenie (UE) 2026/1744, które weszło w życie 27 lipca 2026 roku. Poniżej stan po tych zmianach.

Pierwotnie obowiązki dla systemów wysokiego ryzyka miały wejść w sierpniu 2026 roku. Digital Omnibus przesunął je o ponad rok, co daje firmom korzystającym z AI w obszarze personalnym czas na spokojne przygotowanie.

Kim jesteś w AI Act

Rozporządzenie rozdziela obowiązki między kilka ról. Dla małej firmy liczą się przede wszystkim dwie.

Zdecydowana większość małych firm jest podmiotem stosującym. Ta rola ma znacznie mniej obowiązków niż rola dostawcy. Uwaga na jeden wyjątek: jeżeli na bazie modelu AI zbudujesz własne narzędzie i zaczniesz je sprzedawać albo udostępniać klientkom pod własną marką, możesz stać się dostawcą. Wtedy warto skonsultować swoją sytuację z prawniczką.

Cztery poziomy ryzyka i gdzie jest Twoja firma

AI Act nie reguluje wszystkich zastosowań AI tak samo. Obowiązki rosną wraz z ryzykiem.

Jeżeli używasz AI głównie do pracy z tekstem, analizy i przygotowywania materiałów, Twoja firma jest w ostatnim wierszu tabeli. Jeżeli publikujesz wygenerowane wizerunki ludzi albo masz czat z AI na stronie, dochodzi przedostatni wiersz. Obowiązki z drugiego wiersza dotyczą tylko firm, które z pomocą AI podejmują decyzje o ludziach.

Obowiązek pierwszy: kompetencje w zakresie AI

Artykuł 4 AI Act obowiązuje od 2 lutego 2025 roku i dotyczy każdej firmy, która korzysta z AI zawodowo. Po zmianach wprowadzonych przez Digital Omnibus brzmi łagodniej niż w pierwotnej wersji: dostawcy i podmioty stosujące mają podejmować działania wspierające rozwój kompetencji w zakresie AI wśród swoich pracowników i osób, które w ich imieniu korzystają z systemów AI. Przepis wprost zaznacza, że nie wymaga osiągnięcia przez nikogo określonego poziomu kompetencji. Jednocześnie Komisja Europejska i państwa członkowskie mają wspierać firmy w tych działaniach, zwłaszcza małe i średnie.

W praktyce dla małej firmy oznacza to cztery rzeczy, które warto mieć udokumentowane.

To obowiązek o charakterze organizacyjnym, a nie biurokratycznym. Chodzi o to, żeby osoby korzystające z AI rozumiały, na czym opiera się narzędzie, gdzie popełnia błędy, jakie dane są bezpieczne do wprowadzenia i kiedy trzeba sprawdzić wynik.

Obowiązek drugi: przejrzystość

Artykuł 50 AI Act obowiązuje od 2 sierpnia 2026 roku i nie został przesunięty przez Digital Omnibus. Dzieli obowiązki między dostawców i podmioty stosujące.

Informacja ma być podana w jasny i wyraźny sposób najpóźniej przy pierwszym kontakcie z treścią lub rozmówcą.

Co to znaczy dla Twojej firmy? Jeżeli w kampanii pokazujesz wygenerowaną przez AI „klientkę” albo „ekspertkę”, która wygląda jak prawdziwa osoba, musisz to oznaczyć. Jeżeli masz na stronie czat z AI, sprawdź, czy dostawca zapewnia informację o tym, że rozmowa toczy się z automatem, a najlepiej dopisz ją sama w pierwszym zdaniu okna czatu. Jeżeli piszesz z pomocą AI artykuły eksperckie, sprawdzasz je, poprawiasz i publikujesz pod swoim nazwiskiem, to zgodnie z wyjątkiem redakcyjnym ponosisz za nie odpowiedzialność jak za każdy inny tekst.

Zakazy, które mogą dotyczyć także małej firmy

Zakazane praktyki obowiązują od 2 lutego 2025 roku. Większość z nich dotyczy działań, których mała firma usługowa nie prowadzi, na przykład masowego scoringu społecznego. Kilka warto jednak znać.

Zakazane jest stosowanie systemów AI do rozpoznawania emocji w miejscu pracy i w placówkach edukacyjnych, z wyjątkiem zastosowań medycznych i związanych z bezpieczeństwem. Jeżeli ktoś zaproponuje Ci narzędzie, które na podstawie kamery albo głosu ocenia zaangażowanie lub nastrój pracownic podczas spotkań, takiego narzędzia nie wolno stosować.

Zakazane są też systemy, które stosują techniki podprogowe albo celowo manipulacyjne, wykorzystując słabości określonych grup, na przykład ze względu na wiek, w sposób, który może wyrządzić im istotną szkodę.

Od 2 grudnia 2026 roku dochodzą zakazy dotyczące systemów generujących intymne deepfake’i bez zgody osoby, której dotyczą, oraz treści przedstawiających wykorzystywanie seksualne dzieci.

Wysokie ryzyko: rekrutacja i zarządzanie ludźmi

Jeżeli zatrudniasz albo planujesz zatrudniać, ten fragment jest dla Ciebie najważniejszy. Załącznik III AI Act zalicza do systemów wysokiego ryzyka AI używane do rekrutacji i selekcji kandydatów, w tym do filtrowania aplikacji i oceny kandydatek, a także do podejmowania decyzji o warunkach pracy, awansie i rozwiązaniu umowy, przydzielania zadań na podstawie zachowań lub cech osobistych oraz monitorowania i oceny pracy.

Po zmianach z Digital Omnibus obowiązki dla tych systemów zaczną obowiązywać 2 grudnia 2027 roku. Firma, która z nich korzysta jako podmiot stosujący, będzie musiała między innymi używać systemu zgodnie z instrukcją dostawcy, zapewnić nadzór człowieka sprawowany przez kompetentną osobę, monitorować działanie systemu, przechowywać generowane przez niego logi oraz poinformować pracowników i ich przedstawicieli, zanim zacznie stosować taki system w miejscu pracy.

Warto zauważyć różnicę, która często umyka. Poproszenie ChatGPT o pomoc w napisaniu ogłoszenia o pracę to zwykłe zastosowanie o minimalnym ryzyku. Wklejenie stu CV do narzędzia AI i poproszenie go o wybranie dziesięciu najlepszych kandydatek to już obszar, w którym od grudnia 2027 roku obowiązki będą znacznie większe. Do tego czasu warto przynajmniej zadbać, żeby ostateczną decyzję zawsze podejmował człowiek, który przeczytał dokumenty kandydatki.

Co zmienia polska ustawa

Ustawa z dnia 3 lipca 2026 roku o systemach sztucznej inteligencji została opublikowana w Dzienniku Ustaw 27 lipca 2026 roku pod pozycją 1003 i wchodzi w życie 28 października 2026 roku. Nie dodaje nowych obowiązków dla firm ponad te z AI Act, ale tworzy instytucje, które będą je egzekwować, i narzędzia, z których możesz skorzystać.

Opinia indywidualna za 150 zł to narzędzie, o którym warto pamiętać. Jeżeli nie masz pewności, czy Twoje zastosowanie AI mieści się w kategorii wysokiego ryzyka, możesz uzyskać wiążącą odpowiedź od organu nadzoru, zamiast zgadywać.

Kary, czyli o czym mówią liczby z nagłówków

Nagłówki o karach sięgających dziesiątek milionów euro budzą niepokój, więc warto zobaczyć, jak są zbudowane.

Dla dużych firm liczy się kwota wyższa z dwóch. Dla małych i średnich przedsiębiorstw, a po zmianach także dla małych spółek o średniej kapitalizacji, rozporządzenie przewiduje zasadę odwrotną: górną granicą jest niższa z dwóch wartości. Państwa członkowskie, ustalając kary, mają uwzględniać interesy i sytuację ekonomiczną małych firm. Kwoty z nagłówków to więc pułapy dla największych naruszeń w największych firmach, a nie typowa stawka za brak oznaczenia jednej grafiki.

Nie zapominaj o RODO

AI Act nie zastępuje przepisów o ochronie danych osobowych. Jeżeli wklejasz do narzędzia AI dane klientek, pracownic albo kandydatek, nadal obowiązuje Cię RODO. Sprawdź, czy narzędzie, z którego korzystasz, ma wersję firmową z umową powierzenia przetwarzania danych i czy dane nie są wykorzystywane do trenowania modeli. W wielu przypadkach to RODO, a nie AI Act, jest pierwszym przepisem, który może zostać naruszony przy codziennej pracy z AI.

Natalia, agencja marketingowa i jedno popołudnie porządków

Natalia prowadzi pięcioosobową agencję marketingową. Cały zespół korzysta z ChatGPT i Claude do pisania tekstów, a jedna z graficzek generuje obrazy do kampanii. Na stronie agencji od pół roku jest dostępny czat oparty na AI, który odpowiada na pytania potencjalnych klientek.

Natalia poświęciła jedno popołudnie na przegląd. Spisała wszystkie narzędzia AI, z których korzysta zespół, i do czego służą. Okazało się, że trzy osoby używają prywatnych kont, do których wklejają briefy klientek z danymi kontaktowymi, więc przeniosła zespół na wersje firmowe z umową powierzenia. Napisała dwustronicową politykę korzystania z AI i zorganizowała dwugodzinne szkolenie, z listą obecności i datą.

Przy czacie na stronie dopisała w pierwszej wiadomości zdanie, że klientka rozmawia z asystentem AI i w każdej chwili może poprosić o kontakt z człowiekiem. W kampanii dla klientki z branży beauty, w której wykorzystano wygenerowany wizerunek kobiety, dodała oznaczenie, że grafika powstała z użyciem AI. Rekrutację nowej copywriterki postanowiła prowadzić bez narzędzi do automatycznej selekcji CV.

Całość zajęła jej kilka godzin. Agencja nie przestała korzystać z AI, ale teraz robi to w sposób, który Natalia potrafi opisać i obronić.

Polityka korzystania z AI w małej firmie

Nie musi mieć dwudziestu stron. Wystarczy dokument, który odpowiada na sześć pytań.

Test. Na ile Twoja firma jest przygotowana

Odpowiedz tak lub nie.

Mam spisane narzędzia AI, z których korzysta moja firma. Wszyscy w zespole korzystają z firmowych kont, a nie prywatnych. Mam pisemne zasady korzystania z AI. Zespół przeszedł szkolenie z korzystania z AI i mam to udokumentowane. Wiem, czy narzędzia, których używam, wykorzystują wprowadzane dane do trenowania modeli. Oznaczam wygenerowane przez AI wizerunki ludzi w materiałach marketingowych. Jeżeli mam czat z AI na stronie, klientka wie od pierwszej wiadomości, że rozmawia z automatem. Nie używam AI do automatycznej selekcji kandydatek ani oceny pracownic, a jeżeli używam, decyzję zawsze podejmuje człowiek.

Najczęstsze pytania

Czy muszę oznaczać każdy tekst napisany z pomocą AI? Nie. Obowiązek ujawnienia dotyczy przede wszystkim deepfake’ów oraz tekstów publikowanych w celu informowania o sprawach publicznych, i to z wyjątkiem tekstów, które przeszły redakcję człowieka i za które ktoś ponosi odpowiedzialność. Oferta, mail do klientki czy post napisany z pomocą AI, sprawdzony i wysłany przez Ciebie, nie wymaga oznaczenia na podstawie AI Act.

Czy grafika wygenerowana przez AI zawsze wymaga oznaczenia? Obowiązek ujawnienia dotyczy treści, które realistycznie przedstawiają istniejące osoby, miejsca, przedmioty lub zdarzenia i mogą zostać uznane za prawdziwe. Abstrakcyjna ilustracja czy ewidentnie graficzny motyw to inna sytuacja niż fotorealistyczne zdjęcie „klientki”. W razie wątpliwości lepiej oznaczyć.

Czy za brak szkolenia z AI grozi kara? Przepis o kompetencjach w zakresie AI po zmianach z lipca 2026 roku nakłada obowiązek podejmowania działań, a nie osiągnięcia określonego poziomu wiedzy. Udokumentowane szkolenie i zasady to najprostszy sposób, żeby pokazać, że takie działania podjęłaś.

Czy korzystanie z AI do pisania ogłoszeń o pracę to wysokie ryzyko? Nie. Wysokie ryzyko dotyczy systemów używanych do selekcji i oceny kandydatek oraz podejmowania decyzji o pracownikach. Napisanie treści ogłoszenia jest zwykłym zastosowaniem.

Co, jeżeli zbudowałam własnego asystenta AI dla klientek? Wtedy możesz być nie tylko podmiotem stosującym, ale też dostawcą, a ta rola wiąże się z większymi obowiązkami. To dobry moment na opinię indywidualną Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji albo konsultację z prawniczką.

Co zrobić do końca roku

Do końca października spisz narzędzia AI, z których korzysta Twoja firma, i przenieś zespół na konta firmowe. W listopadzie napisz krótką politykę korzystania z AI i zorganizuj szkolenie dla zespołu, z datą i listą uczestników. Do 2 grudnia sprawdź materiały marketingowe pod kątem wygenerowanych wizerunków ludzi i okno czatu na stronie pod kątem informacji o AI. Jeżeli zatrudniasz, zaplanuj na przyszły rok przegląd narzędzi używanych w rekrutacji, zanim w grudniu 2027 roku wejdą obowiązki dla systemów wysokiego ryzyka.

Wróćmy do liczby z początku. Ponad jedenaście milionów osób w Polsce korzysta z ChatGPT, a 28 października rusza krajowy nadzór nad stosowaniem AI. Dla małej firmy nie oznacza to rezygnacji z narzędzi, które oszczędzają godziny pracy. Oznacza jedno uporządkowane popołudnie, po którym wiesz, z czego korzystasz, na jakich zasadach i jak to udowodnić, gdyby ktoś zapytał.

Chcesz, żeby Twój zespół korzystał z AI bezpiecznie, skutecznie i zgodnie z obowiązkiem dbania o kompetencje w zakresie AI? Napisz do nas. Przygotujemy szkolenie dopasowane do Twojej firmy oraz wzór polityki korzystania z AI.

Materiał przygotowała Agnieszka Marzęda