Obowiązki z AI Act nie dotyczą wyłącznie dostawców modeli. Jeśli Twoi ludzie używają chatbota, generatora treści albo narzędzia wspierającego rekrutację — jesteś podmiotem stosującym system AI i masz własny zestaw obowiązków. Porządkujemy to od strony formalnej: rejestry, polityki, umowy, procedury i szkolenia, które trzeba mieć na papierze.
albo 7% obrotu globalnegoGórny pułap kar administracyjnych za praktyki zakazane. Dla naruszeń pozostałych obowiązków — do 15 mln € lub 3% obrotu.
odpowiedzialność osobistaBrak nadzoru nad wykorzystaniem AI to luka w systemie zgodności spółki — z konsekwencjami dla członków organu.
ryzyko umowne i przetargoweKlauzule AI w umowach B2B i wymogi w postępowaniach zakupowych już się pojawiają. Brak dokumentacji = brak oferty.
Sześć pytań o to, co realnie dzieje się w Twojej organizacji. Odpowiedz szczerze — najczęstszym problemem nie jest zły system AI, tylko brak wiedzy zarządu o tym, ile ich w firmie działa.
Nie prowadzimy wykładu o rozporządzeniu. Przechodzimy przez firmę obszar po obszarze i wskazujemy, co trzeba zmienić w dokumentach, umowach i procedurach — oraz kto ma za to odpowiadać.
W większości firm AI wchodzi oddolnie. Działy same wdrażają chatboty, generatory tekstu, asystentów kodu i tłumaczenia. Zarząd nie wie, ile tych narzędzi jest ani jakie dane do nich trafiają — a bez tej wiedzy nie da się ocenić zgodności.
Centralny rejestr narzędzi AI z przypisaną odpowiedzialnością i trybem aktualizacji.
Do publicznych modeli trafiają projekty umów, dokumentacja handlowa, kod źródłowy, dane finansowe i informacje objęte tajemnicą przedsiębiorstwa. Ryzyko nie kończy się na RODO — to również utrata poufności i niekontrolowane wykorzystanie danych przez dostawcę.
Katalog danych zakazanych, procedura anonimizacji, lista umów do renegocjacji.
Chatboty, voiceboty i wirtualni asystenci wymagają przejrzystości działania i spełnienia obowiązków informacyjnych. To najbardziej widoczny obszar — niedopełnienie oznacza nie tylko naruszenie przepisów, ale i utratę zaufania klientów.
Komunikaty informacyjne, aneksy do regulaminu i polityki prywatności, procedura nadzoru.
Rekrutacja, ocena kandydatów i pracowników, przydzielanie zadań, decyzje o zatrudnieniu — to najwrażliwsze zastosowania AI. Część rozwiązań może zostać zakwalifikowana jako systemy wysokiego ryzyka, a niektóre praktyki (np. rozpoznawanie emocji w miejscu pracy) są wprost zakazane.
Klasyfikacja regulacyjna systemów HR, model realnego nadzoru człowieka, obowiązki informacyjne wobec pracowników.
Materiały marketingowe, opisy produktów, grafiki, prezentacje i wideo powstają dziś z udziałem AI. Publikowane treści muszą podlegać kontroli merytorycznej, a w przypadkach przewidzianych przepisami — również odpowiedniemu oznaczeniu.
Procedura publikacji, zasady oznaczania treści, checklista kontroli merytorycznej.
Obowiązek zapewnienia odpowiedniego poziomu wiedzy o AI wynika wprost z rozporządzenia i obowiązuje niezależnie od kategorii ryzyka. Zakres wiedzy ma odpowiadać charakterowi obowiązków i poziomowi ryzyka używanych narzędzi.
Program szkoleń dopasowany do ról, materiały instruktażowe, dokumentacja potwierdzająca realizację obowiązku.
Kolejność ma znaczenie: bez rzetelnej inwentaryzacji ocena ryzyka jest zgadywanką, a dokumentacja opisuje stan, którego nie ma.
Wywiady z działami, przegląd narzędzi i wydatków IT, ustalenie faktycznego zakresu wykorzystania AI i przepływu danych.
1–2 tygodniePrzypisanie każdego systemu do kategorii, weryfikacja roli firmy (podmiot stosujący / dostawca), identyfikacja praktyk zakazanych.
1–2 tygodniePolityki, rejestry, klauzule informacyjne, aneksy do umów z dostawcami, procedury nadzoru i zgłaszania incydentów.
3–6 tygodniSzkolenia, aktualizacja rejestru przy nowych wdrożeniach, monitoring zmian w prawie, gotowość na kontrolę organu.
staleZgodność z AI Act udowadnia się dokumentami. To jest lista tego, co zostaje w firmie po zakończeniu wdrożenia.
Rejestr systemów AI wykorzystywanych w organizacji
Polityka korzystania z narzędzi AI
Katalog danych zakazanych do wprowadzania do modeli
Procedura anonimizacji przed użyciem narzędzi
Klauzule informacyjne dla klientów i użytkowników
Aneksy i klauzule AI do umów z dostawcami
Aktualizacja regulaminów i polityki prywatności
Zasady stosowania AI w procesach kadrowych
Procedura publikacji i oznaczania treści
Model nadzoru człowieka nad systemami
Procedura zgłaszania incydentów
Program szkoleń z dokumentacją realizacji
Widełki dotyczą typowych wdrożeń w firmach do ok. 250 pracowników, o standardowym poziomie złożoności. Ostateczna wycena zależy od liczby systemów AI, liczby lokalizacji i stanu wyjściowego dokumentacji.
Tak, choć w ograniczonym zakresie. Obowiązek zapewnienia odpowiedniego poziomu wiedzy pracowników o AI obowiązuje niezależnie od kategorii ryzyka. Dochodzi do tego kwestia danych — jeśli do publicznego modelu trafiają dane osobowe, treści umów albo informacje objęte tajemnicą przedsiębiorstwa, to realne ryzyko niezależne od samego AI Act. Minimum to rejestr narzędzi, zasady korzystania i przeszkoleni ludzie.
Nie. Obowiązki dostawcy i podmiotu stosującego są odrębne. Nawet w pełni zgodne narzędzie użyte niezgodnie z przeznaczeniem określonym przez producenta przenosi ryzyko na Twoją firmę. Weryfikujemy dokumentację dostawcy i sprawdzamy, czy sposób użycia mieści się w jej zakresie.
Nie warto. Obowiązki przejrzystości — dotyczące chatbotów, treści generowanych przez AI i deepfake'ów — oraz nadzór rynku zaczynają obowiązywać 2 sierpnia 2026 r. Przesunięte terminy dotyczą wyłącznie części wymagań dla systemów wysokiego ryzyka. Poza tym samo przygotowanie dokumentacji, uporządkowanie danych i zaprojektowanie nadzoru człowieka zajmuje kilka miesięcy — czas na przesunięte terminy nie jest czasem wolnym.
Obie regulacje się przecinają, ale nie pokrywają. RODO odpowiada na pytanie, czyje dane przetwarzasz i na jakiej podstawie. AI Act pyta, jaki system podejmuje lub wspiera decyzje, jakie stwarza ryzyko i kto nad nim czuwa. Dokumentacja RODO jest dobrym punktem wyjścia — wykorzystujemy ją, ale nie zastępuje ona wymaganych przez AI Act rejestrów i procedur.
Najwięcej pracy przypada na etap inwentaryzacji: potrzebujemy krótkich rozmów z kierownikami działów i dostępu do informacji o narzędziach oraz wydatkach IT. Realnie to kilkanaście godzin po stronie klienta w całym projekcie. Dokumentację przygotowujemy my — zadaniem firmy jest jej zatwierdzenie i wdrożenie.
Tak. Wsparcie w postępowaniu kontrolnym wchodzi w zakres Opieki stałej, a dla pozostałych klientów prowadzimy je na podstawie odrębnego zlecenia.
Na rozmowie ustalamy, w jakiej roli występuje Twoja firma, jakie narzędzia realnie są używane i co wymaga pilnego działania. Wynikiem jest zakres prac i wycena — nie prezentacja o rozporządzeniu.
[NAZWA KANCELARII]
[ADRES, KOD POCZTOWY, MIASTO]
[E-MAIL]
[TELEFON]
[IMIĘ I NAZWISKO], [TYTUŁ ZAWODOWY]
[OKRĘGOWA IZBA RADCÓW PRAWNYCH / ADWOKACKA], nr [XXX]