AI Act dla małej firmy i twórcy: pięć obowiązków, które naprawdę Cię dotyczą

👁 113 przeczytań

AI Act, czyli unijne rozporządzenie 2024/1689 o sztucznej inteligencji, od 2 sierpnia 2026 obowiązuje w większości przepisów i po raz pierwszy dotyka zwykłych firm i twórców, a nie tylko laboratoriów budujących modele. Ten tekst nie jest komentarzem prawnym do 113 artykułów; to lista pięciu rzeczy, które realnie dotyczą małej firmy, agencji, sklepu i twórcy treści używających ChatGPT, Gemini czy Claude, w kolejności od najczęstszej. Harmonogram i to, co przesunięto, opisuję osobno na stronie AI Act: co obowiązuje od 2 sierpnia 2026. To jest omówienie, nie porada prawna: w konkretnej sprawie decyduje treść rozporządzenia i polskiej ustawy.

Najpierw: kim jesteś według AI Act

Rozporządzenie rozróżnia dostawcę (kto buduje system lub model i wprowadza go na rynek) i podmiot stosujący (kto go używa w działalności). Firma, która pisze oferty w ChatGPT, prowadzi chatbota na stronie albo generuje grafiki, jest podmiotem stosującym. To ważne, bo większość ciężkich obowiązków (dokumentacja techniczna, ocena zgodności, rejestracja) spada na dostawców. Stajesz się dostawcą, gdy sprzedajesz własny system AI pod swoją marką albo istotnie zmieniasz cudzy, na przykład dostrajając model i oferując go klientom.

1. Oznaczanie treści AI (art. 50): to dotyczy każdego twórcy

Od 2 sierpnia 2026 trzy obowiązki przejrzystości. Chatbot na Twojej stronie musi dać do zrozumienia, że rozmawia maszyna, chyba że to oczywiste. Deepfake, czyli wygenerowany lub zmanipulowany obraz, dźwięk albo wideo pokazujący realne osoby, miejsca lub zdarzenia jako prawdziwe, musi być oznaczony jako sztucznie wygenerowany, z wyjątkiem oczywistej satyry i twórczości artystycznej, gdzie wystarczy oznaczenie niezaburzające odbioru. Tekst wygenerowany przez AI i opublikowany, by informować opinię publiczną o sprawach interesu publicznego, musi być oznaczony, chyba że przeszedł redakcję człowieka, który bierze za niego odpowiedzialność. W praktyce dla bloga i mediów społecznościowych: ilustracje AI podpisuj, wideo z syntetycznym głosem oznaczaj, a tekstów z czatu nie publikuj bez własnej redakcji. Jak działają znaki wodne i po czym poznać treść AI, opisałem w tekstach o deepfake’ach i o SynthID i C2PA.

2. Kompetencje w zakresie AI (art. 4): od lutego 2025

Każda firma używająca systemów AI ma zapewnić, że jej pracownicy mają „wystarczający poziom kompetencji w zakresie AI” odpowiedni do roli. Przepis obowiązuje od 2 lutego 2025 i nie ma za niego osobnej kary, ale organy nadzoru biorą go pod uwagę przy ocenie innych naruszeń. Wystarczy udokumentowane szkolenie: co model potrafi, gdzie zmyśla, jakich danych nie wolno wklejać. Materiał na takie szkolenie masz w tekstach o halucynacjach i o tym, co widzi ChatGPT.

3. Praktyki zakazane (art. 5): od lutego 2025, kary najwyższe

Zakazane bezwzględnie są m.in. manipulacja podprogowa wyrządzająca szkodę, wykorzystywanie słabości grup (wiek, niepełnosprawność, sytuacja ekonomiczna), scoring społeczny, rozpoznawanie emocji w pracy i szkole (poza medycyną i bezpieczeństwem) oraz masowe zbieranie twarzy z internetu do baz biometrycznych. Dla małej firmy praktyczne znaczenie ma jedno: żadnych narzędzi „analizy emocji kandydata” w rekrutacji i żadnego scrapowania zdjęć ludzi do własnych modeli. Kary: do 35 mln euro lub 7% światowego obrotu.

4. Systemy wysokiego ryzyka (załącznik III): rekrutacja, kredyt, edukacja

Jeśli AI u Ciebie decyduje lub istotnie wpływa na decyzje o zatrudnieniu, awansie, zwolnieniu, ocenie zdolności kredytowej, dostępie do edukacji lub usług publicznych, to system wysokiego ryzyka. Jako podmiot stosujący masz m.in. używać go zgodnie z instrukcją dostawcy, zapewnić nadzór człowieka, prowadzić logi i informować pracowników. Większość obowiązków z załącznika III obowiązuje od 2 sierpnia 2026, a dla AI wbudowanego w produkty regulowane (maszyny, urządzenia medyczne) od 2 sierpnia 2027. Filtr CV oparty na AI to najczęstszy przypadek w polskich firmach, o którym właściciele nie wiedzą, że podlega tym przepisom.

5. Kto pilnuje w Polsce i jakie kary

Polska ustawa o systemach sztucznej inteligencji powołuje krajowy organ nadzoru rynku (w projekcie nazwany Komisją Rozwoju i Bezpieczeństwa Sztucznej Inteligencji); o pierwszych karach i wytycznych pisałem w tekście AI Act: pierwsze grzywny. Widełki kar z rozporządzenia: do 35 mln euro lub 7% obrotu za praktyki zakazane, do 15 mln lub 3% za większość innych naruszeń, do 7,5 mln lub 1% za podanie nieprawdziwych informacji organom; dla małych i średnich firm stosuje się niższą z dwóch kwot. Dla porównania kara RODO to do 20 mln euro lub 4%.

Lista kontrolna na jedną kartkę

Spisz, jakich narzędzi AI używa firma i do czego. Oznacz treści AI publikowane pod marką (obrazy, wideo, głos, nieredagowane teksty). Dodaj informację o AI do chatbota na stronie. Przeszkol zespół i zachowaj potwierdzenie. Sprawdź, czy któreś narzędzie wpływa na decyzje o ludziach (rekrutacja, kredyt, oceny); jeśli tak, poproś dostawcę o dokumentację zgodności. Nie wklejaj danych osobowych klientów do czatów bez umowy powierzenia. To jest moja lista z praktyki, nie oficjalny wzór; pełny tekst rozporządzenia jest w EUR-Lex pod numerem 2024/1689.

Najczęstsze pytania

Czy AI Act dotyczy jednoosobowej firmy używającej ChatGPT?

Tak, w zakresie przejrzystości (oznaczanie treści, chatbot) i kompetencji. Nie nakłada obowiązków rejestracji ani dokumentacji, jeśli nie budujesz własnego systemu ani nie używasz AI do decyzji o ludziach.

Czy muszę oznaczać każdy tekst napisany z pomocą AI?

Nie. Obowiązek dotyczy tekstów publikowanych, by informować o sprawach interesu publicznego, i znika, gdy tekst przeszedł redakcję człowieka odpowiedzialnego za publikację. Obrazy i wideo realistycznie pokazujące ludzi i zdarzenia oznaczasz zawsze.

Od kiedy grożą kary?

Za praktyki zakazane od 2 sierpnia 2025, za pozostałe naruszenia od 2 sierpnia 2026, przy czym polski organ dopiero rozwija praktykę egzekwowania. Szczegóły harmonogramu na stronie AI Act: co obowiązuje od 2 sierpnia 2026.

Źródła sprawdzone 18 września 2026: rozporządzenie (UE) 2024/1689 (EUR-Lex), art. 4, 5, 50, 99 i załącznik III; komunikat Ministerstwa Cyfryzacji o stosowaniu AI Act od 2 sierpnia; nasze wcześniejsze teksty o polskiej ustawie i pierwszych karach.