AI Act dla małych i średnich firm. Co musisz zrobić, a co Cię nie dotyczy

AI Act nie zwalnia małych i średnich firm z obowiązków - ich zakres zależy od tego, jak firma korzysta ze sztucznej inteligencji, a nie od liczby pracowników. Rozporządzenie daje za to MŚP niższy pułap kar, wsparcie państw członkowskich, a po Digital Omnibusie także kilka nowych ułatwień.

Poniżej sprawdzisz, czy Twoja firma jest MŚP w rozumieniu AI Act, co obowiązuje ją już dziś, czego zwykle nie musi robić i od czego zacząć.

Która firma jest MŚP w rozumieniu AI Act?

Od 27 lipca 2026 roku AI Act ma własną definicję MŚP (art. 3 pkt 14a), która odsyła do zalecenia Komisji 2003/361/WE. Liczy się liczba pracowników oraz obrót albo suma bilansowa:

• mikroprzedsiębiorstwo - mniej niż 10 osób i obrót lub suma bilansowa do 2 mln euro;
• małe przedsiębiorstwo - mniej niż 50 osób i obrót lub suma bilansowa do 10 mln euro;
• średnie przedsiębiorstwo - mniej niż 250 osób i obrót do 50 mln euro albo suma bilansowa do 43 mln euro.

Digital Omnibus dodał też kategorię SMC, czyli małych firm o średniej kapitalizacji (art. 3 pkt 14b): to firmy, które nie są już MŚP, ale zatrudniają mniej niż 750 osób i mają obrót do 150 mln euro albo sumę bilansową do 129 mln euro. Przy liczeniu progów uwzględnia się powiązania kapitałowe, więc spółka z dużej grupy zwykle nie jest MŚP.

Co obowiązuje małą firmę już dziś?

Większość małych i średnich firm nie tworzy AI, tylko z niej korzysta. W rozumieniu art. 3 pkt 4 jest wtedy podmiotem stosującym, a to oznacza konkretny zestaw obowiązków:

Wielkość firmy nie zmienia żadnego z tych obowiązków. Zmienia tylko to, jak bardzo rozbudowane muszą być działania, bo art. 4 każe je dopasować do kontekstu i ludzi, którzy z AI korzystają.

Czego mała firma zwykle nie musi robić?

Najcięższe obowiązki z AI Act dotyczą dostawców systemów wysokiego ryzyka: ocena zgodności, system zarządzania jakością, dokumentacja techniczna, rejestracja w unijnej bazie. Firma, która takiego systemu nie tworzy, tych obowiązków nie ma.

AI Act nie wymaga też od żadnej firmy certyfikatu ze szkolenia. Komisja Europejska odpowiedziała wprost, że wystarczy wewnętrzny rejestr działań, o czym piszemy w tekście czy certyfikat ze szkolenia z AI Act jest wymagany. Rozporządzenie nie tworzy też obowiązkowego stanowiska w rodzaju inspektora ochrony danych.

Uwaga na jeden wyjątek: jeśli mała firma używa AI do oceny kandydatów albo pracowników, może stosować system wysokiego ryzyka. Szczegóły są na stronie o systemach wysokiego ryzyka.

Jakie ulgi daje AI Act małym i średnim firmom?

Najważniejsza ulga dotyczy kar. Dla dużej firmy pułap kary to wyższa z dwóch wartości: kwota albo procent rocznego obrotu. Dla MŚP, w tym start-upów, odwrotnie: niższa z nich (art. 99 ust. 6).

Przykład modelowy: średnia firma z obrotem 20 mln euro. Za praktykę zakazaną pułap wynosi dla niej 7 procent obrotu, czyli 1,4 mln euro, a nie 35 mln euro. Za naruszenie innych obowiązków - 3 procent, czyli 600 tys. euro zamiast 15 mln euro. To górne granice, a nie wysokość kary, którą organ ustala, biorąc pod uwagę m.in. interes i rentowność MŚP.

Firmy SMC dostały po Digital Omnibusie podobną ulgę, ale węższą: niższy pułap dotyczy kar z art. 99 ust. 4 i 5, nie dotyczy praktyk zakazanych (art. 99 ust. 6a).

Jakie wsparcie przewiduje rozporządzenie?

Art. 62 zobowiązuje państwa członkowskie do konkretnych działań dla MŚP: pierwszeństwa w dostępie do piaskownic regulacyjnych, szkoleń dopasowanych do ich potrzeb, kanałów komunikacji do zadawania pytań i ułatwień w udziale w normalizacji. Opłaty za ocenę zgodności mają uwzględniać ich możliwości.

Art. 4 ust. 2 w nowym brzmieniu mówi, że Komisja i państwa członkowskie wspierają firmy w budowaniu kompetencji w zakresie AI, w szczególności MŚP. Firmy tworzące systemy wysokiego ryzyka mogą z kolei spełnić część wymogów systemu zarządzania jakością w sposób uproszczony (art. 63). Przed Digital Omnibusem ta ulga dotyczyła tylko mikroprzedsiębiorstw, teraz obejmuje wszystkie MŚP.

Od czego zacząć w małej firmie?

Mała firma przechodzi tę samą ścieżkę co duża, tylko krótszą. Wystarczy jedna osoba odpowiedzialna, lista narzędzi na jedną stronę, przegląd pod kątem zakazów, szkolenie dopasowane do tego, z czego ludzie faktycznie korzystają, krótkie zasady i zapis tego, co zrobiono.

Całą ścieżkę rozpisaliśmy w tekście AI Act w firmie krok po kroku, a przegląd obowiązków według sytuacji jest na stronie AI Act dla firm.

Samodzielnie czy z narzędziem?

W firmie na kilka osób arkusz i krótki dokument zwykle wystarczą. Narzędzie zaczyna mieć sens, gdy ludzi i narzędzi AI jest więcej, a ktoś musi pilnować, kto przeszedł szkolenie i kto potwierdził zasady.

W AI TrustCERT mała firma może kupić licencje szkoleniowe pojedynczo, a od 10 osób dostaje w cenie platformę AI Governance z rejestrem, politykami i raportami. Na początek wystarczy bezpłatna diagnoza AI Ready Check.

Podsumowanie

AI Act dotyczy małych i średnich firm tak samo jak dużych, jeśli korzystają z AI. Od lutego 2025 roku działają obowiązek z art. 4 i zakazy z art. 5, od sierpnia 2026 obowiązki przejrzystości z art. 50. Obowiązki dla systemów wysokiego ryzyka zaczną się później i dotkną tylko firm, które takich systemów używają.

Różnica leży gdzie indziej: MŚP mają niższy pułap kar, prawo do wsparcia państwa i uproszczenia, które Digital Omnibus częściowo rozszerzył na firmy SMC. Dla większości małych firm przygotowanie to uporządkowanie kilku spraw, a nie duży projekt wdrożeniowy.

Ten tekst opisuje ogólne zasady i nie zastępuje oceny prawnej sytuacji konkretnej firmy.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.