To pytanie decyduje o tym, jakie obowiązki konkretnie Cię dotyczą. Większość firm nie wie, że tworzy lub wdraża system AI wysokiego ryzyka — i że już powinna być zgodna z AI Act.
W praktyce granica jest płynna, firma może być jednocześnie dostawcą jednego systemu i operatorem innego. Klasyfikacja ma znaczenie dla całego modelu compliance — warto ją ustalić, zanim pojawi się kontrola lub spór z kontrahentem.
| Kryterium | Dostawca (provider) | Operator (deployer) |
|---|---|---|
|
Kto to jest |
Firma opracowująca system AI i wprowadzająca go do obrotu lub do użytku |
Firma stosująca cudzy system AI w swojej działalności zawodowej lub świadczeniu usług |
|
Kluczowe obowiązki dla systemów wysokiego ryzyka |
ocena zgodności (conformity assessment), dokumentacja techniczna, rejestracja w unijnej bazie (AI Act Database), znakowanie CE, monitorowanie po wprowadzeniu na rynek, zgłaszanie incydentów |
w przypadkach wymaganych przez AI Act – przeprowadzenie oceny skutków dla praw podstawowych (FRIA), zapewnienie nadzoru ludzkiego, monitoring działania systemu, przechowywanie logów |
|
Kluczowe obowiązki dla GPAI (modele AI ogólnego zastosowania) |
dokumentacja techniczna, polityka praw autorskich do danych treningowych, publikacja podsumowania danych; dla modeli o ryzyku systemowym: ocena modelu, zgłaszanie incydentów poważnych, cyberbezpieczeństwo |
Co do zasady nie dotyczy bezpośrednio (ale może mieć zastosowanie przy dostrajania modelu) |
|
Kary za naruszenie AI Act |
do 15 mln EUR lub 3% globalnego obrotu (systemy wysokiego ryzyka); do 35 mln EUR lub 7% (praktyki zakazane) |
do 15 mln EUR lub 3% globalnego obrotu (systemy wysokiego ryzyka) |
|
Typowy przykład |
software house, firma tech wbudowująca AI w produkt, producent z wbudowanym AI w maszynę |
firma HR używająca AI do rekrutacji, bank stosujący scoring kredytowy AI, szpital używający AI do diagnozy |
AI Act dzieli systemy AI na cztery kategorie według poziomu ryzyka. To nie jest podział abstrakcyjny — od niego zależy zakres obowiązków, konieczność oceny zgodności i poziom kar.
Najczęstszy błąd. Firma zakłada, że jej system AI nie jest „wysokiego ryzyka”, bo nie kwalifikuje go na podstawie nazwy produktu czy branży. Tymczasem kwalifikacja zależy od tego, do czego system jest faktycznie używany — nie od intencji producenta ani od nazwy modułu.
| Kategoria | Przyklad zastosowania | Obowiazkowe dzialania |
|---|---|---|
|
Systemy zakazane (art. 5 AI Act) |
Social scoring przez organy publiczne, manipulacja podprogowa, biometryczna kategoryzacja na podstawie cech wrażliwych, rozpoznawanie emocji w miejscu pracy (co do zasady) |
ZAKAZ wprowadzania do obrotu i stosowania od 2 lutego 2025 r. Kary do 35 mln EUR lub 7% obrotu. |
|
Systemy wysokiego ryzyka (zal. III AI Act) |
AI w rekrutacji i zarządzaniu pracownikami, scoring kredytowy, systemy biometrycznej identyfikacji, AI w kształceniu i szkoleniu zawodowym, AI w infrastrukturze krytycznej, AI wspomagające decyzje organów ścigania i wymiaru sprawiedliwości |
Ocena zgodności, dokumentacja techniczna, rejestracja w prowadzonej przez Komisję Europejską unijnej bazie AI Act Database, znakowanie CE (dostawca); FRIA, nadzór ludzki, monitoring, logi (operator). Stosuje się od 2 sierpnia 2026 r. |
|
Modele AI ogólnego zastosowania — GPAI (rozdział V) |
Duże modele językowe (LLM), systemy wielomodalne używane jako podstawa innych produktów |
Dokumentacja techniczna, polityka praw autorskich, informacje dla dalszych dostawców. Dla modeli o ryzyku systemowym (pow. 10^25 FLOP): ocena, zgłaszanie incydentów, cyberbezpieczeństwo. Stosuje się od 2 sierpnia 2025 r. |
|
System ograniczonego ryzyka |
Chatboty, deepfake, systemy rozpoznawania emocji |
Obowiązki przejrzystości (transparency): informacja, że użytkownik rozmawia z AI lub że treści są generowane przez AI. |
|
Systemy minimalnego ryzyka |
Filtry spamu, AI w grach wideo |
Brak obowiązkowych wymagań — stosowanie dobrych praktyk jest zalecane. |
24 lipca 2026 r. Prezydent RP podpisał ustawę o systemach sztucznej inteligencji, uzupełniającą AI Act na poziomie krajowym. Większość przepisów ustawy weszła w życie 11 sierpnia 2026 r.; część przepisów o charakterze organizacyjnym wejdzie w życie 28 października 2026 r. Reguluje w szczególności:
Przedsiębiorstwa wbudowujące AI w maszyny, urządzenia i systemy sterowania (embedded AI). Jeżeli AI decyduje o bezpieczeństwie lub funkcjonowaniu urządzenia, może to być system wysokiego ryzyka z Zał. III. Producent pełni rolę dostawcy i podlega pełnej procedurze oceny zgodności.
Podmioty używające systemów AI do przesiewania CV, oceny kandydatów, zarządzania pracownikami i oceny wyników. Zał. III pkt 4 AI Act wprost zalicza AI wspomagające decyzje kadrowe do systemów wysokiego ryzyka. Dotyczy to zarówno własnych systemów, jak i narzędzi kupowanych od zewnętrznych vendorów.
Spółki tworzące systemy AI dla klientów biznesowych lub wbudowujące AI w swoje produkty SaaS. Pełnią rolę dostawcy — i to od nich wymaga się dokumentacji technicznej, oceny zgodności i rejestracji w unijnej bazie. Klauzule umowne z klientem muszą precyzować podział obowiązków compliance.
Banki, firmy leasingowe, insurtech — stosujące AI do oceny zdolności kredytowej, scoringu ubezpieczeniowego lub wykrywania oszustw. Zał. III pkt 5 AI Act zalicza takie systemy do wysokiego ryzyka. Kumulują się tu wymogi AI Act, RODO i regulacji sektorowych (np. EBA guidelines on AI).
Podmioty, dla których status compliance z AI Act staje się elementem due diligence. Inwestorzy coraz częściej weryfikują, czy sprzedawany produkt AI spełnia wymogi regulacyjne — przed zamknięciem transakcji.
| Data | Co weszło w życie |
|---|---|
|
1 sierpnia 2024 r. |
AI Act wszedł w życie (Dz.Urz. UE L 2024/1689) |
|
2 lutego 2025 r. |
Zakaz stosowania systemów AI o niedopuszczalnym ryzyku (art. 5) — w tym social scoring, manipulacja podprogowa, biometryczna kategoryzacja na podstawie cech wrażliwych |
|
2 sierpnia 2025 r. |
Obowiązki dotyczące modeli AI ogólnego zastosowania — GPAI (rozdział V, art. 51-56 i powiązane przepisy Zal. XI i XII) |
|
24 lipca 2026 r. |
Polska ustawa o systemach sztucznej inteligencji podpisana przez Prezydenta RP — ustanowienie krajowego organu nadzoru i sankcji |
|
2 sierpnia 2026 r. |
Kolejna zasadnicza faza stosowania AI Act — w tym obowiązki dla systemów AI wysokiego ryzyka (Zał. III, rozdział III), obowiązki operatorów, rejestracja w AI Act Database, ocena zgodności, dokumentacja techniczna |
|
2 sierpnia 2027 r. |
Obowiązek funkcjonowania krajowych piaskownic regulacyjnych (ang. regulatory sandboxes) oraz pozostałe przepisy przewidziane na ten termin przez AI Act |
|
2 grudnia 2027 r. |
rozpoczęcie stosowania przepisów dotyczących systemów wysokiego ryzyka z Załącznika III (po zmianach AI Omnibus) |
|
2 sierpnia 2028 r. |
rozpoczęcie stosowania przepisów dotyczących systemów AI będących komponentami produktów z Załącznika I |
• Twoja firma tworzy, wdraża lub kupuje system AI — i nie wiesz, czy podlega przepisom AI Act i jakim.
• Stosujecie AI w rekrutacji, scoringu, zarządzaniu pracownikami lub infrastrukturze krytycznej — prawdopodobnie jesteście w obszarze systemów wysokiego ryzyka.
• Kupowaliście zewnętrzny system AI (SaaS, API) i nie wiecie, kto odpowiada za dokumentację i compliance: wy czy sprzedawca.
• Kontrahent, inwestor lub klient pyta o zgodność Waszego systemu z AI Act — a Wy nie macie dokumentacji.
• Rozwijacie lub stosujecie model GPAI i nie wiecie, czy ciąży na Was obowiązek rozdziału V AI Act.
• Łączenie AI z przetwarzaniem danych osobowych wymaga równoczesnego spełnienia wymogów AI Act i RODO.
w XX Rankingu firm i doradców podatkowych Dziennik Gazeta Prawna.
w Rankingu firm doradztwa podatkowego Rzeczypospolitej.
Za wkład w rozwój gospodarczy, zaangażowanie w ideę społecznej odpowiedzialności biznesu oraz stworzenie silnej i rozpoznawalnej marki.
Wyróżnienie dla firm kierujących się wysokimi standardami w działalności biznesowej, gwarantujących najwyższą jakość obsługi.
Opisz krótko, jaki system AI dostarczasz lub wdrażasz — odezwiemy się i wskażemy, w której kategorii ryzyka się znajdujesz, jakie obowiązki Cię obejmują i od kiedy.
Najważniejsze odpowiedzi dotyczące tej usługi.
AI Act (Rozp. PE i Rady (UE) 2024/1689 z 13 czerwca 2024 r.) to unijne rozporządzenie obowiązujące bezpośrednio we wszystkich państwach UE bez wdrażania do prawa krajowego. Weszło w życie 1 sierpnia 2024 r. Przepisy są wdrażane etapami: zakaz systemów o niedopuszczalnym ryzyku obowiązuje od 2 lutego 2025 r., przepisy o modelach GPAI — od 2 sierpnia 2025 r., a pełne obowiązki dla systemów wysokiego ryzyka — od 2 sierpnia 2026 r. Uzupełnia je polska ustawa o systemach sztucznej inteligencji z 3 lipca 2026 r.
Nie. AI Act stosuje się przede wszystkim do podmiotów działających w charakterze dostawcy (opracowującego system AI i wprowadzającego go do obrotu) lub operatora (stosującego cudzy system AI w działalności zawodowej). Szczegółowe obowiązki zależą od kategorii ryzyka systemu AI. Wiele firm stosujących narzędzia AI o minimalnym ryzyku (np. filtry spamu, AI w grach) nie jest objętych obowiązkowymi wymogami compliance — ale kwalifikacja wymaga analizy konkretnego systemu i sposobu jego użycia.
System AI wysokiego ryzyka to system wpisany do katalogu Zał. III AI Act lub wbudowany w produkt objęte odrębnymi regulacjami unijnymi dotyczącymi bezpieczeństwa. Zał. III obejmuje m.in.: systemy biometrycznej identyfikacji, AI w infrastrukturze krytycznej, AI w kształceniu i szkoleniu zawodowym, AI wspomagające decyzje kadrowe (rekrutacja, zarządzanie pracownikami), AI w dostępie do usług publicznych i świadczeń społecznych, AI wspomagające organy ścigania i wymiar sprawiedliwości, AI w zarządzaniu migracją. System wysokiego ryzyka wymaga przeprowadzenia oceny zgodności, przygotowania dokumentacji technicznej i rejestracji w unijnej bazie.
Kary są uzależnione od rodzaju naruszenia: za stosowanie systemów AI o niedopuszczalnym ryzyku (praktyki zakazane z art. 5) — do 35 mln EUR lub 7% globalnego rocznego obrotu; za naruszenie obowiązków dotyczących systemów wysokiego ryzyka — do 15 mln EUR lub 3% globalnego rocznego obrotu; za podanie nieprawdziwych lub wprowadzających w błąd informacji organom nadzoru — do 7,5 mln EUR lub 1,5% globalnego obrotu. Dla MMP i startupów stosuje się niższy z tych limitów (kwota bezwzględna lub procent obrotu).
Model AI ogólnego zastosowania (GPAI — General Purpose AI) to model wytrenowany na dużej ilości danych, zdolny do pełnienia różnych funkcji i stosowany jako podstawa dla różnych produktów. Dostawcy modeli GPAI mają obowiązki dokumentacyjne i muszą przestrzegać polityki praw autorskich dotyczącej danych treningowych. Modele o ryzyku systemowym (przekraczające progi obliczeniowe — ok. 10^25 FLOP przy treningu) mają dodatkowe obowiązki: ocena modelu, zgłaszanie poważnych incydentów Komisji Europejskiej, cyberbezpieczeństwo. Obowiązki GPAI mają zastosowanie od 2 sierpnia 2025 r.
