Art. 4 AI Act: szkolenia AI dla firm - co musisz zrobić, program i dokumentacja

👁 202 przeczytań

Art. 4 AI Act, czyli obowiązek dbania o kompetencje w zakresie AI (ang. AI literacy), obowiązuje od 2 lutego 2025 i dotyczy praktycznie każdej firmy, w której ktoś używa w pracy ChatGPT, Copilota, Gemini czy narzędzia AI w CRM. Od 27 lipca 2026 przepis brzmi łagodniej: firma ma podejmować środki, które wspierają rozwój tych kompetencji, i nie musi gwarantować konkretnego poziomu wiedzy. Poniżej rozpisałem, co to znaczy w praktyce, jak ułożyć szkolenie AI dla firmy, jak je udokumentować przed kontrolami KRiBSI, które ruszają 28 października 2026, i dałem gotowy szablon listy kontrolnej.

Co dokładnie mówi art. 4 po zmianie z 27 lipca 2026

Nowe brzmienie nadało mu rozporządzenie (UE) 2026/1744, czyli Digital Omnibus (art. 1 pkt 5). Ust. 1 brzmi tak: „Dostawcy i podmioty stosujące systemy AI podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu”. Przy doborze tych środków trzeba uwzględnić:

• wiedzę techniczną, doświadczenie, wykształcenie i wyszkolenie tych osób,
• kontekst, w którym systemy AI mają być wykorzystywane (branża, cel, skala),
• osoby lub grupy osób, wobec których systemy AI są stosowane, np. klientów, kandydatów do pracy, uczniów.

Ostatnie zdanie ust. 1 jest nowe i dla firm najważniejsze: obowiązek „nie oznacza, że dostawcy lub podmioty mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby”. Do tego doszły dwa ustępy:

• ust. 2 - Komisja Europejska i państwa członkowskie mają wspierać firmy, zwłaszcza MŚP, a Komisja ma publikować praktyczne przykłady spełnienia obowiązku na jednolitej platformie informacyjnej (art. 62 ust. 3 lit. b),
• ust. 3 - Rada ds. AI przyjmie zalecenia oparte na europejskich ramach kompetencji, w tym wspólne cele.

Sama definicja kompetencji jest w art. 3 pkt 56: to umiejętności, wiedza i zrozumienie, które pozwalają świadomie wdrażać systemy AI oraz rozumieć szanse, ryzyka i szkody, jakie AI może wyrządzić.

Jak wygląda takie szkolenie w praktyce, ile kosztuje warsztat dla zespołu i jak samemu zacząć szkolić firmy, piszę w przewodniku szkolenia AI.

Było - jest

Komisja proponowała w listopadzie 2025 dalej idącą zmianę - przerzucenie obowiązku na państwa i samą Komisję. W przyjętym tekście obowiązek firm został, tylko złagodniał. Szerzej o całym pakiecie zmian piszę w tekście o Digital Omnibus AI Act.

Kogo dotyczy art. 4

Każdego dostawcy i każdego podmiotu stosującego system AI. Nie ma znaczenia, czy system jest wysokiego ryzyka, ani czy firma ma dwóch, czy dwa tysiące pracowników. W praktyce art. 4 obejmuje:

• firmę, w której pracownicy piszą w ChatGPT oferty, maile albo tłumaczenia - Komisja w swoich pytaniach i odpowiedziach podaje dokładnie taki przykład i wskazuje, że trzeba ich poinformować m.in. o halucynacjach,
• sklep internetowy z chatbotem obsługi klienta,
• agencję marketingową, która generuje grafiki i wideo,
• dział HR, który używa narzędzia do selekcji CV,
• szkołę, uczelnię i urząd, które korzystają z AI w pracy administracyjnej,
• software house, który buduje produkt na API dużego modelu.

„Inne osoby działające w imieniu firmy” to według Komisji nie tylko pracownicy na etacie, ale też wykonawcy, freelancerzy i usługodawcy. Jeśli zlecasz zewnętrznej agencji prowadzenie czatu z klientami na Twoim narzędziu AI, jej ludzie też powinni wiedzieć, z czym pracują.

Poza zakresem jest użytek czysto prywatny (art. 2 ust. 10 AI Act). Kto w domu generuje sobie obrazki, nie jest podmiotem stosującym. Jednoosobowa działalność, która pisze w czacie teksty dla klientów, już jest.

Od kiedy obowiązuje i kto to sprawdza

Nadzór nad art. 4 należy do krajowych organów nadzoru rynku, a nie do unijnego Urzędu ds. AI - tak pisze Komisja. W Polsce to Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Ustawa o systemach sztucznej inteligencji wprost przewiduje, że przewodnicząca KRiBSI określi w drodze zarządzenia „sposób i metodę sprawdzania poziomu wiedzy i kompetencji podmiotów kontrolowanych” (art. 25 pkt 3), a coroczne sprawozdanie dla Sejmu ma zawierać informacje o „ogólnym poziomie wiedzy oraz kompetencjach” kontrolowanych firm (art. 26 ust. 2 pkt 2). Czytam to tak: kompetencje w zakresie AI będą stałym punktem kontroli, nawet jeśli kontrola dotyczy czegoś innego. Szczegóły kontroli opisałem w tekście o ustawie o systemach sztucznej inteligencji.

Czy za brak szkoleń grozi kara?

Krótko: samodzielnej kary z AI Act za art. 4 nie ma, ale brak działań może firmę kosztować pośrednio. Rozpisałem to po kolei:

1. Art. 99 ust. 3-5 AI Act nie wymienia art. 4. Progi 35, 15 i 7,5 mln euro dotyczą zakazanych praktyk, konkretnych obowiązków operatorów i art. 50 oraz podawania organom nieprawdziwych informacji. Pełną tabelę mam w tekście o karach w AI Act.
2. Kary za inne naruszenia ustala prawo krajowe (art. 99 ust. 1). Polska ustawa w art. 104 odsyła do „przypadków, wysokości i warunków” z rozdziału XII AI Act i osobnej stawki za art. 4 nie wprowadza. Moim zdaniem samoistna kara pieniężna w Polsce za sam brak szkoleń jest mało prawdopodobna.
3. KRiBSI ma inne narzędzia. W postępowaniu może wydać ostrzeżenie z listą działań naprawczych, a firma ma 21 dni na odpowiedź (art. 61 ustawy). Wyniki kontroli trafią do sprawozdania dla Sejmu.
4. Brak kompetencji obciąża przy innych naruszeniach. Przy wymiarze kary organ bierze pod uwagę m.in. charakter, wagę i to, czy naruszenie było umyślne albo wynikało z zaniedbania (art. 99 ust. 7). Komisja Europejska pisze wprost, że sankcja jest bardziej prawdopodobna, gdy jest dowód, że incydent wynikł z braku przeszkolenia.
5. Odpowiedzialność cywilna. AI Act nie tworzy prawa do odszkodowania, ale szkoda wyrządzona przez źle użyte narzędzie podlega zwykłym przepisom. Udokumentowane szkolenie pomaga wykazać należytą staranność.

Co firma musi zrobić: 6 kroków

AI Act nie podaje listy działań. Poniższa kolejność opiera się na minimalnym programie, który Komisja Europejska opisała w pytaniach i odpowiedziach o art. 4, i na tym, czego - w mojej ocenie - może szukać kontrola.

1. Spisz narzędzia AI i ich użytkowników. Czaty, asystenci w pakiecie biurowym, AI w CRM i w systemie rekrutacyjnym, generatory grafik, tłumacze. Przy każdym: dostawca, cel, kto używa, jakie dane trafiają do narzędzia.
2. Ustal swoją rolę. Większość firm jest tylko podmiotem stosującym. Dostawcą jesteś, gdy wprowadzasz system pod własną marką albo istotnie zmieniasz cudzy (art. 25). Dostawca potrzebuje głębszych kompetencji technicznych.
3. Oceń ryzyko. Czy któreś narzędzie wchodzi w obszar systemów wysokiego ryzyka (rekrutacja, ocena kredytowa, edukacja)? Czy coś zbliża się do zakazanych praktyk, np. analiza emocji pracowników?
4. Podziel ludzi na grupy. Inaczej szkolisz zarząd, inaczej marketing, inaczej HR, inaczej programistów. Art. 4 każe uwzględnić wiedzę i doświadczenie, więc jedno szkolenie „dla wszystkich” zwykle nie wystarczy.
5. Przeprowadź szkolenie i wprowadź zasady. Krótka polityka korzystania z AI (co wolno wklejać, jak sprawdzać wyniki, kiedy oznaczać treści) plus szkolenie dopasowane do grupy.
6. Udokumentuj i odświeżaj. Rejestr szkoleń, materiały, wersja polityki z datą. Przegląd co najmniej raz w roku i przy każdym nowym narzędziu.

Szkolenia AI dla firm: jak ułożyć plan

Najczęstszy błąd to jedno dwugodzinne webinarium o możliwościach AI dla całej firmy. Art. 4 wymaga dopasowania do ról, więc proponuję trzy poziomy. To moja propozycja, nie wymóg prawny.

Przykładowy program szkolenia podstawowego

Tak ułożyłbym 120 minut dla pracowników, którzy na co dzień używają czatów AI. Program pokrywa cztery elementy minimalne z listy Komisji: ogólne zrozumienie AI, rolę organizacji, ryzyko używanych systemów i dopasowanie do odbiorców.

1. Jak działa model językowy (15 min). Przewidywanie kolejnych słów, dane treningowe, data odcięcia wiedzy, różnica między czatem z wyszukiwarką i bez niej.
2. Halucynacje i weryfikacja (25 min). Ćwiczenie na żywo: pytanie o przepis albo liczbę i sprawdzenie odpowiedzi w źródle. Dobry materiał to mój test 9 chatbotów z wiedzy o AI Act, w którym większość modeli podała nieaktualne terminy.
3. Dane i poufność (20 min). Czego nie wklejać: dane osobowe klientów, tajemnica przedsiębiorstwa, hasła, umowy. Różnica między kontem prywatnym a firmowym, ustawienia trenowania na danych.
4. Narzędzia używane w firmie (20 min). Konkretne aplikacje z rejestru, kto je zatwierdził, do czego wolno ich używać, a do czego nie.
5. AI Act w pigułce (15 min). Zakazane praktyki, oznaczanie deepfake’ów i treści AI, informowanie klienta, że rozmawia z chatbotem, kontrole KRiBSI od 28.10.2026.
6. Prawa autorskie i wizerunek (10 min). Grafiki z generatorów w materiałach firmy, cudze logo i twarze, głos.
7. Zgłaszanie problemów (5 min). Do kogo pisać, gdy AI zrobi coś dziwnego albo szkodliwego.
8. Krótki quiz i podpis pod zasadami (10 min). Quiz nie jest wymagany prawem, ale ułatwia wykazanie, że szkolenie się odbyło i coś z niego zostało.

Najwięcej czasu daję weryfikacji, bo to tam powstaje realne ryzyko: pracownik wkleja klientowi zmyśloną datę albo nieistniejący przepis. Dla działów z modułem rolowym dodaję ćwiczenia na własnych dokumentach, np. HR sprawdza, jak narzędzie ocenia CV i kto podejmuje ostateczną decyzję.

Jak udokumentować spełnienie art. 4

Komisja Europejska pisze, że certyfikat nie jest potrzebny, a firma może prowadzić wewnętrzny rejestr szkoleń i innych działań. Polska kontrola KRiBSI jest z zasady zdalna (art. 49 ust. 3 ustawy), więc dokumenty trzymaj w formie elektronicznej, w jednym folderze. Do teczki „Kompetencje AI” włożyłbym:

• rejestr narzędzi AI z dostawcą, celem, właścicielem i datą zatwierdzenia,
• politykę korzystania z AI z numerem wersji i datą,
• plan szkoleń z podziałem na grupy i uzasadnieniem, dlaczego tak (to odpowiada na wymóg uwzględnienia wiedzy, doświadczenia i kontekstu),
• listy obecności albo raport z platformy e-learningowej: kto, kiedy, jaki moduł,
• materiały szkoleniowe w wersji, która była użyta,
• wyniki quizów, jeśli je robisz (nieobowiązkowe),
• oświadczenia pracowników o zapoznaniu się z polityką AI,
• zapis przeglądu - data, co zmieniono, nowe narzędzia,
• wymagania wobec wykonawców - zapis w umowie albo potwierdzenie, że ich ludzie znają zasady pracy z Twoimi narzędziami.

Szablon listy kontrolnej art. 4

Możesz skopiować tę tabelę do arkusza. Kolumna „dowód” mówi, co pokażesz kontrolującemu.

Terminy w tabeli to moja propozycja. Data 28 października 2026 ma sens, bo od tego dnia działają przepisy o kontrolach. Termin na szkolenia daję do końca roku, bo realnie firma nie przeszkoli wszystkich w cztery tygodnie, a w razie kontroli plan z datami pokazuje, że działa.

Czego nie dać sobie wmówić

Wokół art. 4 narosło sporo mitów, a część z nich trafia do ofert szkoleniowych. Te warto znać przed zakupem:

• „Certyfikat jest obowiązkowy”. Nie jest. AI Act nie przewiduje certyfikatu z art. 4, a Komisja pisze to wprost.
• „Za brak szkolenia grozi 15 mln euro”. Art. 4 nie jest w katalogu art. 99 ust. 4. Taki argument w ofercie to dla mnie sygnał ostrzegawczy.
• „Musisz powołać AI officera”. AI Act nie wymaga takiej funkcji dla art. 4. Komisja: nie ma obowiązkowej struktury.
• „Wystarczy, że pracownicy przeczytają instrukcję narzędzia”. Komisja uważa, że samo odesłanie do instrukcji często jest nieskuteczne.
• „Po zmianie z lipca 2026 obowiązek zniknął”. Nie zniknął. Złagodniało brzmienie, obowiązek dalej dotyczy dostawców i podmiotów stosujących.
• „Jedno szkolenie wystarczy na lata”. Narzędzia zmieniają się co kilka miesięcy. Przegląd raz w roku to rozsądne minimum.

Jak wybrać szkolenie AI dla firmy

Nie polecam tu konkretnych firm szkoleniowych. Zamiast tego lista pytań, które zadałbym przed zakupem:

1. Czy program jest dopasowany do moich działów i narzędzi, czy to ogólny wykład o AI?
2. Czy trener zna aktualny stan prawny: Omnibus z 27.07.2026, art. 50 od 2.08.2026, polską ustawę i KRiBSI od 28.10.2026?
3. Czy są ćwiczenia na żywo z weryfikacji odpowiedzi modeli?
4. Czy dostanę materiały, listę obecności i zaświadczenia w formie, którą wepnę do teczki?
5. Czy cena obejmuje aktualizację materiałów po zmianach przepisów?
6. Czy oferta nie straszy nieistniejącymi karami za art. 4?

Dobrym punktem odniesienia jest też bezpłatne „żywe repozytorium” praktyk AI literacy prowadzone przez Urząd ds. AI. Komisja zastrzega, że skopiowanie tych praktyk nie daje domniemania zgodności, ale pokazuje, jak robią to inne organizacje.

Uczciwie o własnym produkcie: sam zrobiłem takie szkolenie. W moim serwisie Biegli w AI są szkolenia AI dla firm w formie kursu online z dokumentacją art. 4 - 13 lekcji, ścieżki ról, test i zaświadczenie. Jeśli ktoś obiecuje Ci „certyfikat AI Act”, przeczytaj najpierw, co naprawdę daje kurs AI z certyfikatem. Po żadnym szkoleniu firma nie „spełnia art. 4” raz na zawsze - podejmuje i dokumentuje środki, o których mówi przepis.

Art. 4 a systemy wysokiego ryzyka

Łagodniejszy art. 4 nie zmienia osobnego, twardszego obowiązku dla firm, które używają systemów wysokiego ryzyka. Art. 26 ust. 2 AI Act wymaga, żeby nadzór człowieka nad takim systemem sprawowały osoby, które mają niezbędne kompetencje, przeszkolenie i uprawnienia. Komisja podkreśla, że ten obowiązek pozostaje bez zmian. Przepisy o wysokim ryzyku z załącznika III zaczną obowiązywać 2 grudnia 2027, więc działy HR, kredytów i edukacji mają ponad rok, ale szkolenie zaawansowane dla nich warto zaplanować już w 2027 r. Naruszenie art. 26 podlega karze do 15 mln euro albo 3% obrotu (art. 99 ust. 4).

Jeśli firma chce przeszkolić zespół z dofinansowaniem, sprawdź Bazę Usług Rozwojowych PARP. Jak działa i co musi zrobić firma oraz trener, opisałem w tekście BUR: szkolenia z AI z dofinansowaniem.

Najczęstsze pytania

Co to jest AI literacy?

To angielska nazwa kompetencji w zakresie AI z art. 3 pkt 56 i art. 4 AI Act: umiejętności, wiedza i zrozumienie, które pozwalają świadomie używać systemów AI i znać ich ryzyka.

Czy szkolenie z AI Act jest obowiązkowe?

AI Act nie wymaga konkretnego szkolenia ani certyfikatu. Wymaga podejmowania środków, które wspierają kompetencje osób pracujących z AI. Szkolenie dopasowane do ról to najprostszy i najłatwiejszy do udokumentowania taki środek.

Od kiedy obowiązuje art. 4?

Od 2 lutego 2025. Nowe brzmienie obowiązuje od 27 lipca 2026. W Polsce KRiBSI może kontrolować jego przestrzeganie od 28 października 2026.

Czy art. 4 dotyczy firmy, która używa tylko ChatGPT?

Tak, jeśli pracownicy używają go w pracy zawodowej. Firma jest wtedy podmiotem stosującym system AI. Komisja Europejska podaje dokładnie taki przykład.

Czy muszę testować wiedzę pracowników?

Nie. Komisja pisze, że art. 4 nie nakłada obowiązku mierzenia wiedzy, a nowe brzmienie wprost mówi, że nie trzeba gwarantować konkretnego poziomu. Krótki quiz może jednak pomóc w dokumentacji.

Ile kosztuje dostosowanie się do art. 4?

Przepisy nie podają kwot. Koszt zależy od liczby osób i formy. Rejestr narzędzi i polityka AI to głównie czas pracy, a szkolenie podstawowe można zrobić wewnętrznie. Zewnętrzne szkolenie warto rozważyć dla działów z ryzykiem i dla zarządu.

Czy freelancer musi szkolić sam siebie?

Jednoosobowa firma, która używa AI zawodowo, jest podmiotem stosującym. Moim zdaniem wystarczy, że udokumentuje własną naukę: kurs, przeczytane wytyczne, zasady pracy z narzędziami.

Kto w Polsce kontroluje art. 4?

KRiBSI, czyli Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, od 28 października 2026. Unijny Urząd ds. AI się tym nie zajmuje.

Więcej o obowiązkach małych firm piszę w tekście AI Act dla małej firmy i twórcy, a cały obraz przepisów zebrałem w przewodniku po AI Act.

To nie jest porada prawna. Opisuję przepisy tak, jak je czytam, według stanu na 1 października 2026.

// czytaj dalejSieć kanapek Jersey Mike’s wspomniała o AI 22 razy w dokumentach do wejścia na giełdęNewsyDane paszportowe z Wakacje.pl w rękach włamywaczy. Jak zastrzec dokument i co zrobić dalejWarsztatTelefon z wirusem prosto z pudełka - jak to sprawdzić przed zakupem i co zrobić, jeśli już maszWarsztat