AI Act w firmie krok po kroku. Od czego zacząć w siedmiu krokach

Przygotowanie firmy do AI Act to uporządkowanie tego, jak pracownicy korzystają ze sztucznej inteligencji: kto za to odpowiada, z jakich narzędzi korzystamy, czego nie wolno, czego ludzie muszą się nauczyć i jak to wszystko udowodnić. Dotyczy także firm, które AI nie tworzą, tylko używają gotowych narzędzi.

Poniżej siedem kroków w kolejności, w jakiej warto je zrobić, z pytaniami kontrolnymi i odnośnikami do szczegółowych procedur.

Czy AI Act dotyczy firmy, która tylko korzysta z AI?

Tak. Rozporządzenie (UE) 2024/1689 nazywa taką firmę podmiotem stosującym (art. 3 pkt 4) i wyłącza tylko użycie osobiste, pozazawodowe. Od 2 lutego 2025 roku podmiot stosujący ma obowiązek z art. 4, czyli działania rozwijające kompetencje w zakresie AI, i musi przestrzegać zakazów z art. 5. Od 2 sierpnia 2026 roku dochodzi część obowiązków przejrzystości z art. 50. W Polsce przepisy o kontrolach, skargach i karach wchodzą 28 października 2026 roku. Wtedy pytanie „co zrobiliście" może zadać nie tylko regulator, ale też klient, kandydat do pracy albo pracownik. Pełny przegląd obowiązków jest na stronie AI Act dla firm.

Krok 1: Odpowiedzialność - kto w firmie pilnuje AI?

AI Act nie tworzy stanowiska w rodzaju inspektora ochrony danych. Bez właściciela tematu żaden z kolejnych kroków nie ma jednak kto dopilnować, więc zaczyna się od decyzji zarządu.

Pytania kontrolne: Kto odpowiada za korzystanie z AI w firmie i czy ma to na piśmie? Czy ta osoba może zatrzymać wdrożenie nowego narzędzia? Kto ją zastępuje? Czy HR, IT i dział prawny wiedzą, do kogo kierować pytania o AI?

Jeśli odpowiedź brzmi „wszyscy" albo „IT", w praktyce oznacza to, że nikt.

Krok 2: Inwentaryzacja - z jakich narzędzi AI korzystamy?

Wszystkie dalsze obowiązki zależą od tego, jakich narzędzi firma używa i do czego. Lista musi obejmować to, co faktycznie działa, a nie tylko to, co kupił dział IT.

Pytania kontrolne: Czy wiemy, z jakich narzędzi AI korzystają pracownicy, także na prywatnych kontach? Czy przy każdym jest cel użycia i właściciel? Jakie dane do niego trafiają? Czy funkcje AI wbudowane w zwykłe programy, jak pakiet biurowy czy CRM, też są na liście?

Jak zbudować taką listę, opisaliśmy w tekście o rejestrze systemów AI w firmie.

Krok 3: Rola - czy jesteśmy podmiotem stosującym, czy dostawcą?

Rola decyduje o zakresie obowiązków i ustala się ją dla każdego narzędzia osobno. Większość firm jest podmiotem stosującym. Firma, która udostępnia klientom własnego chatbota, przy tym systemie bywa dostawcą (art. 3 pkt 3).

Pytania kontrolne: Które narzędzia tylko kupujemy, a które budujemy lub udostępniamy pod własną nazwą? Czy nasz chatbot informuje rozmówcę, że rozmawia z AI (art. 50 ust. 1)? Czy któreś zastosowanie dotyczy rekrutacji, oceny pracowników albo zdolności kredytowej osób fizycznych? Kto przy każdym narzędziu podjął tę ocenę?

Zastosowania z ostatniej grupy mogą być systemami wysokiego ryzyka z załącznika III, z osobnymi terminami.

Krok 4: Zakazy - czy nic nie podpada pod art. 5?

Praktyki zakazane obowiązują od 2 lutego 2025 roku i mają najwyższy próg kar w rozporządzeniu: do 35 mln euro albo 7 procent rocznego obrotu (art. 99 ust. 3). Firmy najczęściej zaskakuje zakaz wnioskowania o emocjach w miejscu pracy.

Pytania kontrolne: Czy któreś narzędzie analizuje mimikę, ton głosu albo „zaangażowanie" pracowników lub kandydatów? Czy coś ocenia ludzi na podstawie danych zebranych w zupełnie innym celu? Czy komunikaty generowane przez AI nie wykorzystują słabości odbiorców? Czy dostawcy potwierdzili na piśmie, skąd mają dane biometryczne?

Przy zakazie nie ma ścieżki naprawczej, funkcję się wyłącza. Szczegóły w tekście o praktykach zakazanych krok po kroku.

Krok 5: Kompetencje - czy ludzie wiedzą, jak bezpiecznie używać AI?

Art. 4 wymaga od firmy działań, które rozwijają kompetencje w zakresie AI u osób korzystających z niej w jej imieniu. Po zmianie z lipca 2026 roku to obowiązek starannego działania, więc liczy się to, co da się pokazać.

Pytania kontrolne: Kto w firmie korzysta z AI i czy przeszedł szkolenie? Czy zakres szkolenia pasuje do narzędzi i roli tej osoby? Czy szkolenie uwzględnia ryzyka, dane i osoby, których dotyczą wyniki AI? Czy nowi pracownicy przechodzą je przy wdrożeniu?

Jedno nagranie dla całej firmy rzadko odpowiada na pytanie, dlaczego dział kadr i marketing dostały ten sam zakres. Tak budujemy szkolenia z AI Act dla zespołów.

Krok 6: Zasady - co wolno i kiedy oznaczamy treści?

AI Act nie nakazuje wprost polityki korzystania z AI, ale bez spisanych zasad trudno wykazać staranność. Polityka mówi, jakich narzędzi i danych wolno używać, kto zatwierdza nowe i jak firma ujawnia udział AI w publikacjach.

Pytania kontrolne: Czy pracownicy wiedzą, jakich danych nie wolno wklejać do narzędzi AI? Kto zatwierdza nowe narzędzie? Czy publikujemy deepfake albo teksty w sprawach interesu publicznego, które wymagają ujawnienia udziału AI (art. 50 ust. 4)? Czy pracownicy potwierdzili zapoznanie się z zasadami?

Wzór polityki jest w tekście jak napisać politykę AI w firmie, a zasady oznaczania w tekście o oznaczaniu treści AI.

Krok 7: Dowody - czy umiemy to wszystko pokazać?

Ostatni krok zamienia działania w ślad, który przetrwa pytanie z zewnątrz. Po nim firma powinna mieć:

• decyzję o osobie odpowiedzialnej za AI;
• rejestr narzędzi z rolą firmy i właścicielem przy każdej pozycji;
• zapisaną ocenę pod kątem praktyk zakazanych;
• listę przeszkolonych osób z datą, zakresem i wynikiem;
• politykę z potwierdzeniami pracowników;
• termin kolejnego przeglądu.

Jak ułożyć tę dokumentację, opisaliśmy w tekście o dowodach należytej staranności. Jeśli część z tego już macie, audyt zgodności z AI Act krok po kroku pokaże, na jakim etapie jesteście.

Samodzielnie czy z narzędziem?

Wszystkie siedem kroków da się zrobić w arkuszu i edytorze tekstu. Trudność zaczyna się po kilku miesiącach: pojawiają się nowi pracownicy i nowe narzędzia, a dokumenty przestają odpowiadać rzeczywistości.

Tę część obsługuje platforma AI TrustCERT, którą firma dostaje w cenie licencji szkoleniowej: rejestr z historią decyzji, polityki z potwierdzeniami i szkolenia z egzaminem. Na początek wystarczy bezpłatna diagnoza AI Ready Check, która w kilka minut pokazuje, które obowiązki mogą Was dotyczyć. Jeśli firma jest mała, przeczytaj też, co AI Act oznacza dla małych i średnich firm.

Podsumowanie

AI Act w firmie, która tylko korzysta z AI, sprowadza się do siedmiu kroków. Najpierw wyznacz osobę odpowiedzialną i spisz narzędzia. Potem ustal swoją rolę przy każdym z nich i wyklucz praktyki zakazane. Następnie przeszkol ludzi w zakresie dopasowanym do ich pracy i spisz zasady razem z regułami oznaczania treści. Na końcu zbierz dowody.

Obowiązki z art. 4 i art. 5 działają od lutego 2025 roku, obowiązki przejrzystości od sierpnia 2026. Od 28 października 2026 w Polsce działa też tryb skarg. Firma, która przejdzie te kroki teraz, na pytanie z zewnątrz odpowie dokumentem, a nie obietnicą.

Ten tekst porządkuje przygotowanie, ale nie zastępuje oceny prawnej konkretnych zastosowań AI w Twojej firmie.

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.