AI Act 2026 — checklista gotowości dla zarządu

Ogólne stosowanie AI Act (rozporządzenie UE 2024/1689) zaczyna się 2 sierpnia 2026. Przepisy dotyczą także firm, które „tylko używają” gotowych narzędzi AI. Przyjęty tekst Digital Omnibus przewiduje późniejsze terminy dla pełnych obowiązków dotyczących systemów wysokiego ryzyka: 2 grudnia 2027 dla systemów z załącznika III i 2 sierpnia 2028 dla systemów z załącznika I. Rozporządzenie (UE) 2026/1744 opublikowano 24 lipca 2026 r.; weszło w życie 27 lipca 2026 r. Poniżej dziesięć pytań, na które zarząd powinien umieć odpowiedzieć — i co zrobić z każdym „nie wiem”.

Zmiana art. 4 wymaga, aby dostawcy i podmioty stosujące podejmowali środki wspierające rozwój kompetencji AI. Nie wymaga gwarantowania konkretnego poziomu kompetencji AI. Art. 50 nie został przesunięty. Tekst rozporządzenia w EUR-Lex.

1. Co i gdzie w firmie używa AI?

Zacznij od inwentaryzacji: systemy produkcyjne, integracje, ale też prywatne konta ChatGPT i wtyczki, których IT nie widzi („shadow AI”). Bez tej listy żadna klasyfikacja ryzyka nie ma sensu.

2. Które systemy są „wysokiego ryzyka”?

AI Act klasyfikuje systemy według ryzyka. Większość zastosowań biznesowych to ryzyko ograniczone lub minimalne, ale rekrutacja, scoring czy systemy wpływające na bezpieczeństwo bywają „wysokiego ryzyka” — z pełną dokumentacją i nadzorem.

Przyjęty tekst Digital Omnibus przesuwa termin pełnych obowiązków dla systemów z załącznika III na 2 grudnia 2027, a dla systemów z załącznika I na 2 sierpnia 2028. Rozporządzenie zmieniające już obowiązuje. Zakres zmian i obowiązki, które nadal stosuje się od 2 sierpnia 2026, opisuje analiza Digital Omnibus.

3. Czy pracownicy mają wymagane kompetencje AI?

Artykuł 4 wymaga środków wspierających rozwój kompetencji AI. Ich zakres powinien uwzględniać wiedzę, doświadczenie, kontekst użycia oraz osoby, wobec których system jest stosowany. Przepis nie narzuca gwarantowanego poziomu.

4. Czy na pewno nie stosujemy praktyk zakazanych?

Część zakazów obowiązuje już od lutego 2025 r. (art. 5): m.in. scoring społeczny, techniki manipulacyjne czy rozpoznawanie emocji w pracy i szkole. To pytanie zamknij najpierw — zakazu nie da się „udokumentować”, trzeba go po prostu nie łamać.

5. Czy ludzie wiedzą, że rozmawiają z AI?

Artykuł 50 wymaga przejrzystości: użytkownik musi wiedzieć, że rozmawia z chatbotem, a treści generowane przez AI (w tym deepfake) muszą być oznaczone. Sprawdź każdy punkt styku z klientem — to zwykle najtańsza zgodność do wdrożenia.

6. Kto nadzoruje system i może go zatrzymać?

Pełne obowiązki dla systemów AI wysokiego ryzyka obejmują realny nadzór człowieka (art. 14) — nie przycisk-atrapę. Firma musi wskazać osobę, która rozumie wynik systemu, może go zakwestionować i wyłączyć system, zanim zrobi szkodę.

7. Skąd pochodzą dane i co trafia do modeli?

Jakość i pochodzenie danych decydują o zgodności i o tym, czy model nikogo nie dyskryminuje. Druga strona medalu: pilnuj, co pracownicy wklejają do publicznych modeli — dane osobowe i tajemnice firmy nie powinny opuszczać organizacji bez kontroli (tu AI Act spotyka RODO).

8. Na jakich modelach (GPAI) stoją nasze narzędzia?

Większość firm używa AI przez modele ogólnego przeznaczenia (GPT, Gemini, Llama). Część obowiązków leży po stronie ich dostawców, ale to Ty odpowiadasz za to, jak ich używasz. Musisz wiedzieć, jaki model stoi pod każdym narzędziem i na jakich warunkach.

9. Czy przejdziemy kontrolę — i co robimy, gdy AI zawiedzie?

Pełne obowiązki dla systemów wysokiego ryzyka obejmują dokumentację techniczną i logi działania (art. 11–12). Niezależnie od poziomu ryzyka warto mieć prostą procedurę: kto reaguje, gdy model się myli, i jak zgłaszamy poważny incydent. Zgodność to proces, nie segregator.

10. Kto w firmie odpowiada za AI?

Wskaż właściciela: osobę lub rolę odpowiedzialną za nadzór nad AI, decyzje i kontakt z regulatorem. Sprawdź też umowy z dostawcami — kto bierze na siebie którą część zgodności. Bez jasnej odpowiedzialności każdy z powyższych punktów zostaje niczyj.

Cztery pojęcia, które musisz znać

Podmiot stosujący (deployer) — firma lub instytucja, która wykorzystuje system AI pod swoją kontrolą w działalności zawodowej, także gdy jest to gotowe narzędzie jak ChatGPT. Większość firm używających AI to deployerzy i mają własne obowiązki z AI Act.

Kompetencje w zakresie AI (AI literacy, art. 4) — art. 4 wymaga, by firmy podejmowały środki wspierające rozwój kompetencji AI u osób obsługujących te systemy. Zakres zależy od wiedzy, doświadczenia i kontekstu użycia; przepis nie wymaga gwarantowania konkretnego poziomu kompetencji.

Nadzór ludzki (human oversight, art. 14) — dla systemów AI wysokiego ryzyka musi istnieć osoba, która rozumie działanie systemu, może zakwestionować jego wynik i — gdy to właściwe — zatrzymać system, zanim wyrządzi szkodę.

Shadow AI — narzędzia AI używane przez pracowników poza wiedzą i kontrolą firmy (prywatne konta ChatGPT, wtyczki, automatyzacje). Zwiększają ryzyko wycieku danych i mogą utrudniać zgodność z AI Act lub RODO, zwłaszcza gdy dotyczą danych osobowych lub systemów wysokiego ryzyka.

Co dalej

Audyt zgodności z AI Act zamyka temat inwentaryzacji i klasyfikacji w kilka tygodni i od razu daje plan działań. To dokument roboczy, nie ozdobny segregator. Aby przejść tę checklistę na własnych systemach, zacznij od audytu.

Podstawa prawna: rozporządzenie (UE) 2024/1689 (AI Act); przywołane przepisy: art. 4 (kompetencje AI), art. 5 (praktyki zakazane), art. 14 (nadzór ludzki), art. 50 (przejrzystość), art. 11–12 (dokumentacja i logi).