Stosowanie większości przepisów AI Act zaczyna się 2 sierpnia 2026. Czy Twoja firma jest gotowa?

Tak. Jako „podmiot stosujący” (deployer) macie obowiązki: środki wspierające rozwój kompetencji AI pracowników (art. 4), nadzór nad sposobem użycia oraz — w zależności od zastosowania — dalsze wymogi. Kluczowe jest ustalenie, do czego naprawdę używane jest AI w firmie, włącznie z „shadow AI”.

Maksymalne kary sięgają 35 mln EUR lub 7% rocznego obrotu światowego (zakazane praktyki) i 15 mln EUR lub 3% (inne naruszenia). Poza karami realnym ryzykiem są spory z kontrahentami, którzy coraz częściej wymagają zgodności w umowach.

Od inwentaryzacji: co, gdzie i po co używa AI — w tym narzędzia, które pracownicy wdrożyli sami. Potem klasyfikacja ryzyka i plan domknięcia luk. Dokładnie taki jest zakres naszego audytu.

To narzędzia AI używane przez pracowników poza wiedzą i kontrolą firmy — prywatne konta ChatGPT, wtyczki, automatyzacje. Ryzyko: wyciek danych firmowych i klientów oraz trudniejsza zgodność z AI Act lub RODO, zwłaszcza gdy w grę wchodzą dane osobowe lub systemy wysokiego ryzyka. Inwentaryzacja shadow AI to pierwszy tydzień naszego audytu.

Standardowo 2–4 tygodnie, zależnie od liczby systemów i wielkości organizacji. Kończy się raportem z klasyfikacją ryzyka i planem działań — dokumentem roboczym, nie ozdobnym.

Każda firma w UE, która tworzy lub używa systemów AI w działalności zawodowej — w praktyce niemal każda firma korzystająca z narzędzi jak ChatGPT, Copilot czy własny model. Jesteś „podmiotem stosującym” nawet gdy używasz gotowego AI, a deployerzy mają własne obowiązki. Audyt jest najpilniejszy tam, gdzie AI dotyka danych osobowych, decyzji regulowanych lub zastosowań wysokiego ryzyka.

Inwentaryzację używanych systemów AI (łącznie z shadow AI), klasyfikację podmiot stosujący/dostawca i kategorię ryzyka dla każdego systemu, dowody działań na rzecz kompetencji AI pracowników (art. 4), polityki nadzoru ludzkiego i użycia AI oraz — dla systemów, których obowiązki obowiązują od tej daty — wymaganą dokumentację techniczną. Audyt zgodności mapuje, czego dokładnie wymaga każdy system i gdzie są luki, wraz z planem ich domknięcia.

GPAI (modele AI ogólnego przeznaczenia, general-purpose AI) to duże modele jak GPT czy Gemini. Ich obowiązki z AI Act — dokumentacja techniczna, polityka praw autorskich, podsumowanie danych treningowych — obowiązują od 2 sierpnia 2025 r. i co do zasady ciążą na dostawcy modelu (np. OpenAI, Google), nie na firmie, która z modelu tylko korzysta. Twoja firma może jednak sama stać się dostawcą GPAI, jeśli dotrenowuje lub istotnie modyfikuje taki model i wprowadza go na rynek pod własną marką. Modele o ryzyku systemowym mają dodatkowe obowiązki (ewaluacje, testy, zgłaszanie incydentów). Audyt ustala, czy jesteś tylko podmiotem stosującym, czy gdzieś przekraczasz próg dostawcy GPAI.

Ustawa o systemach sztucznej inteligencji została podpisana przez Prezydenta 27 lipca 2026 r. i oczekuje na publikację w Dzienniku Ustaw oraz wejście w życie, więc na dzień aktualizacji nie jest jeszcze prawem obowiązującym. Przewiduje powołanie krajowego organu nadzoru — Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), złożonej z przedstawicieli UOKiK, KNF, KRRiT i UKE — który będzie kontrolował stosowanie AI, rozpatrywał skargi i nadzorował systemy wysokiego ryzyka. Niezależnie od krajowej ustawy obowiązki samego AI Act zaczynają obowiązywać etapami, większość od 2 sierpnia 2026 r.

W cztery tygodnie da się zbudować fundament gotowości: rejestr używanych systemów AI (łącznie z shadow AI), klasyfikację roli i ryzyka, zakres kompetencji AI (art. 4) i nadzoru ludzkiego (art. 14) oraz priorytetyzowany backlog domknięcia luk. To nie jest gwarancja pełnej zgodności — same luki domyka się potem wdrożeniami i dokumentacją, a część obowiązków zaczyna obowiązywać dopiero 2 sierpnia 2026 r. 30-dniowy plan daje jednak jasny obraz, gdzie jesteś i co robić dalej.