Kara z AI Act kosztuje polską firmę 150,5 mln zł. Policzyłem, od jakiego obrotu próg procentowy bije kwotowy

👁 121 przeczytań

Rozporządzenie 2024/1689, w obiegu funkcjonujące jako AI Act, od 2 sierpnia 2025 roku ma już działające przepisy o karach. Media piszą o nich skrótem „do 35 mln euro albo 7 proc. globalnego obrotu”, co brzmi groźnie i jednocześnie nic nie mówi właścicielowi firmy z Poznania, która wdrożyła narzędzie do przesiewania CV. Usiadłem więc nad tabelą progów i przeliczyłem je na złote, a potem sprawdziłem, który z dwóch członków alternatywy faktycznie zadziała przy polskiej skali przychodów.

Najwyższy próg dotyczy praktyk zakazanych z artykułu 5 - scoringu społecznego, zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeni publicznej, systemów rozpoznawania emocji w pracy i w szkole. Artykuł 99 ustęp 3 mówi o 35 mln euro lub 7 proc. całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa. Po kursie 4,30 zł to 150,5 mln zł. Drugi próg, z ustępu 4, obejmuje naruszenia obowiązków dostawców i podmiotów stosujących systemy wysokiego ryzyka: 15 mln euro lub 3 proc. obrotu, czyli 64,5 mln zł. Trzeci, z ustępu 5, dotyczy podawania organom nieprawdziwych informacji - 7,5 mln euro lub 1 proc., po przeliczeniu 32,25 mln zł.

Przy jakim obrocie procent przebija kwotę ryczałtową

To jest ta liczba, której nie widziałem nigdzie indziej, a wynika z prostego dzielenia. Skoro organ bierze wyższą z dwóch wartości, to próg procentowy zaczyna dominować dopiero wtedy, gdy 7 proc. obrotu przekroczy 35 mln euro. Dzielę 35 przez 0,07 i wychodzi 500 mln euro rocznego światowego obrotu, czyli 2,15 mld zł. Dla drugiego progu rachunek daje identyczny wynik: 15 podzielone przez 0,03 to też 500 mln euro. Dla trzeciego: 7,5 podzielone przez 0,01 - znowu 750 mln euro, tu granica jest wyżej.

Z tego wynika rzecz dość istotna dla polskiego rynku. Firma o przychodach poniżej 2,15 mld zł nigdy nie zapłaci procentu, bo kwota ryczałtowa zawsze będzie wyższa. A takich firm w Polsce jest według danych GUS o działalności przedsiębiorstw niefinansowych zdecydowana większość - mikro, małe i średnie podmioty to ponad 99 proc. populacji przedsiębiorstw, a próg 2,15 mld zł przekracza w kraju kilkadziesiąt grup kapitałowych. Dla reszty komunikat brzmi: nie licz procentu od swoich przychodów, bo i tak dostaniesz kwotę.

Tyle że tu wchodzi ustęp 6 tego samego artykułu, o którym w podsumowaniach prawie się nie wspomina. Dla MŚP, w tym startupów, w przypadku każdej z trzech kategorii naruszeń kara ma być ograniczona do niższej z dwóch wartości - procentu albo kwoty. Przeliczyłem to na konkretnym przykładzie. Spółka z sektora rekrutacyjnego o przychodach 40 mln zł rocznie, która narusza obowiązki dotyczące systemu wysokiego ryzyka, przy standardowym mechanizmie patrzyłaby na 64,5 mln zł. Przy mechanizmie dla MŚP liczy 3 proc. z 40 mln zł, czyli 1,2 mln zł. Różnica między jednym a drugim odczytaniem to 53-krotność. Tak samo przy praktyce zakazanej - 7 proc. z 40 mln zł to 2,8 mln zł, nie 150,5 mln zł.

Co właściwie jest w polskiej firmie systemem wysokiego ryzyka

Lista z załącznika III jest zamknięta i węższa, niż sugerują nagłówki. W kontekście zatrudnienia obejmuje systemy używane do rekrutacji - zwłaszcza do zamieszczania ukierunkowanych ogłoszeń, analizy i filtrowania zgłoszeń oraz oceny kandydatów - a także do podejmowania decyzji o awansie i rozwiązaniu umowy, do przydzielania zadań na podstawie zachowania lub cech osobistych oraz do monitorowania i oceny wydajności. W obszarze finansowym: ocena zdolności kredytowej osób fizycznych, z wyłączeniem systemów do wykrywania oszustw finansowych, oraz ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych.

Przełożenie na realia jest takie, że narzędzie do automatycznego rankingowania CV w firmie rekrutacyjnej - owszem. Model scoringowy w firmie pożyczkowej dla klientów indywidualnych - owszem. System mierzący czas pracy przy obsłudze zgłoszeń i na tej podstawie rozdzielający premie - też, jeśli ocenia wydajność. Natomiast ChatGPT użyty do napisania ogłoszenia o pracę, generator grafik do social mediów czy asystent do streszczania maili nie wpadają do tej kategorii wcale. Granicą jest funkcja, nie technologia.

„W przypadku MŚP, w tym przedsiębiorstw typu start-up, każda kara pieniężna, o której mowa w niniejszym artykule, nie może przekraczać wartości procentowych lub kwot, o których mowa w ust. 3, 4 i 5, przy czym zastosowanie ma niższa z tych wartości.” - art. 99 ust. 6 rozporządzenia 2024/1689, tekst polski w EUR-Lex

Kto w Polsce będzie to egzekwował i dlaczego wciąż nikt

Rozporządzenie zobowiązało państwa członkowskie do wyznaczenia organu notyfikującego i organu nadzoru rynku do 2 sierpnia 2025 roku. Polska tego terminu nie dotrzymała. Projekt ustawy o systemach sztucznej inteligencji, nad którym pracuje Ministerstwo Cyfryzacji, przewiduje powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji - nowego, kolegialnego organu, a nie przekazanie kompetencji Prezesowi UODO, jak początkowo spekulowano. Stan prac można śledzić w wykazie prac legislacyjnych Ministerstwa Cyfryzacji. Oznacza to, że w październiku 2026 roku w Polsce formalnie nie ma jeszcze organu, który wystawi mandat z AI Act - ale nie oznacza, że nie ma żadnych obowiązków.

Bo tu jest sedno, które ginie w dyskusji o milionach euro. Przepisy o karach stosuje się od sierpnia 2025, obowiązki dotyczące systemów wysokiego ryzyka z załącznika III - dopiero od 2 sierpnia 2026 roku, czyli od niecałych trzech miesięcy. Zakaz praktyk z artykułu 5 i obowiązek zapewnienia kompetencji w zakresie AI wśród personelu działają od 2 lutego 2025. Ten ostatni, z artykułu 4, jest najbardziej lekceważony, a dotyczy dosłownie każdej firmy, która daje pracownikom narzędzia AI do pracy - trzeba zadbać, by umieli ich używać ze zrozumieniem ryzyka.

RODO i Kodeks pracy już teraz robią to, czego firmy się boją po AI Act

Polska firma, która przesiewa CV algorytmem, już dziś podlega artykułowi 22 RODO - zakazowi podejmowania decyzji wyłącznie w oparciu o zautomatyzowane przetwarzanie, jeśli wywołuje ona skutki prawne lub podobnie istotnie wpływa na osobę. Kandydat ma prawo żądać interwencji człowieka, wyrazić własne stanowisko i zakwestionować decyzję. Kary z RODO sięgają 20 mln euro albo 4 proc. obrotu, czyli po przeliczeniu 86 mln zł - a te przepisy egzekwuje UODO od ośmiu lat i ma na koncie decyzje.

Do tego dochodzi artykuł 18^3a Kodeksu pracy, który zakazuje dyskryminacji także pośredniej, i tu algorytm wyuczony na historycznych danych o zatrudnieniu jest podręcznikowym zagrożeniem. Trybunał Sprawiedliwości w wyroku C-634/21 (SCHUFA) z grudnia 2023 roku uznał, że samo wygenerowanie wartości scoringowej przez biuro informacji gospodarczej jest już zautomatyzowaną decyzją w rozumieniu artykułu 22, jeśli odbiorca tej wartości w praktyce się nią kieruje. To orzeczenie dotyczy wprost polskich firm pożyczkowych i ich dostawców scoringu.

Co zrobić w tym tygodniu, jeśli prowadzisz polską firmę

Zacznij od inwentaryzacji, nie od prawnika. Wypisz, gdzie w firmie algorytm dotyka decyzji o człowieku - rekrutacja, awans, premia, zwolnienie, przyznanie pożyczki, składka ubezpieczeniowa. Jeśli nie dotyka nigdzie, a AI służy do pisania tekstów i robienia grafik, cały reżim wysokiego ryzyka cię nie dotyczy i możesz przestać się nim martwić. Jeśli dotyka, sprawdź w umowie z dostawcą narzędzia, kto jest dostawcą systemu w rozumieniu rozporządzenia, bo obowiązki podmiotu stosującego z artykułu 26 są znacznie lżejsze niż obowiązki dostawcy z artykułu 16 - i są to przede wszystkim nadzór człowieka, przechowywanie logów przez co najmniej sześć miesięcy oraz poinformowanie pracowników i ich przedstawicieli przed wdrożeniem. Ten obowiązek informacyjny wobec załogi to najtańsza rzecz do zrobienia i najczęściej pomijana.

Drugi ruch: udokumentuj szkolenie z kompetencji AI. Artykuł 4 nie wymaga certyfikatu ani zewnętrznego dostawcy, wymaga podjęcia środków - notatka ze szkolenia wewnętrznego, lista obecności i materiał wystarczą jako dowód, że obowiązek został wykonany. Przy kontroli to będzie pierwsza rzecz, o którą organ zapyta, bo jest najprostsza do zweryfikowania.

Trzeci: jeśli korzystasz z narzędzia, które mierzy emocje pracowników w czasie rozmów z klientami - a takie wtyczki do call center sprzedaje się w Polsce - wyłącz to dzisiaj. Rozpoznawanie emocji w miejscu pracy jest praktyką zakazaną z artykułu 5, nie wysokiego ryzyka, i dla MŚP o przychodach 40 mln zł oznacza sufit kary 2,8 mln zł bez żadnej procedury naprawczej. To jedyna kategoria, w której nie ma czego dokumentować, bo nie wolno jej stosować w ogóle.

Fakty sprawdzone 25 października 2026 roku. Kwoty przeliczone po kursie 4,30 zł za euro i 3,78 zł za dolara. Progi kar i daty wejścia w życie poszczególnych rozdziałów zweryfikowane w tekście rozporządzenia 2024/1689 w wersji polskiej.

Źródła:

• Bezprawnik - Nie każda AI jest bezpieczna dla firmy
• EUR-Lex - rozporządzenie (UE) 2024/1689 (AI Act), tekst polski
• AI Act Explorer - artykuł 99 o karach administracyjnych
• TSUE - wyrok C-634/21 (SCHUFA Holding)
• GUS - działalność przedsiębiorstw niefinansowych
• Ministerstwo Cyfryzacji - prace nad ustawą o systemach sztucznej inteligencji