Powszechne przekonanie o Unijnym Rozporządzeniu o Sztucznej Inteligencji (AI Act) sprowadza się do wizji dalekiej przyszłości, skomplikowanych audytów technologicznych i wielomilionowych kar dotyczących wyłącznie gigantów technologicznych. To niebezpieczny mit.
Jeden z ważniejszych z punktu widzenia biznesu przepis – art. 4 AI Act (kompetencje w zakresie sztucznej inteligencji, tzw. AI literacy) – obowiązuje już od 2 lutego 2025 r. Nie dotyczy on wyłącznie twórców oprogramowania. Nakłada konkretny prawny obowiązek na niemal każdego przedsiębiorcę, którego pracownicy w codziennej pracy korzystają z narzędzi opartych na AI.
Jeśli Twoja firma używa narzędzi takich jak ChatGPT, Midjourney, Copilot, Canva Pro, zaawansowany CRM czy zautomatyzowane systemy rekrutacyjne, ten artykuł dotyczy właśnie Ciebie.
Kogo dotyczy art. 4 Artificial Intelligence Act (AI Act)? (Spoiler: prawie każdego)
Rozporządzenie tworzy jasny podział na dwie główne kategorie podmiotów:
- Dostawców (providers): podmioty tworzące i wprowadzające systemy AI na rynek.
- Podmioty stosujące (deployers): firmy i organizacje, które wykorzystują systemy AI w ramach swojej działalności zawodowej lub gospodarczej.
Jeśli nie tworzysz własnych modeli algorytmicznych, ale udostępniasz pracownikom aplikacje wykorzystujące AI lub przyzwalasz na ich stosowanie do zadań służbowych, jesteś podmiotem stosującym.
Warto zapamiętać: Przekonanie „Nie tworzymy technologii AI, więc rozporządzenie nas nie dotyczy” to jeden z najczęstszych błędów zarządczych. Treść art. 4 AI Act wprost nakłada obowiązek zapewnienia odpowiedniego poziomu kompetencji wśród personelu.
Co w praktyce oznacza „wystarczający poziom kompetencji”? Czyli this regulation lays down…
Unijny ustawodawca nie stworzył jednego uniwersalnego programu szkoleniowego. Zamiast tego zastosował podejście oparte na ryzyku (risk-based approach). AI Act wprowadza harmonizowane zasady (rules) dla systemów AI w całej UE, wspiera funkcjonowanie rynku wewnętrznego (market) i daje firmom działającym w różnych państwach jednolite ramy prawne, co ułatwia compliance. Poziom wiedzy pracowników musi być proporcjonalny do tego, w jaki sposób i w jakim obszarze korzystają z technologii.
Oto od czego zależy zakres wymaganych kompetencji w zakresie sztucznej inteligencji:
- Rola i uprawnienia w organizacji: Innej wiedzy wymaga się od pracownika marketingu generującego grafiki, a innej od rekrutera korzystającego z algorytmów do oceny kandydatów czy analityka finansowego.
- Znajomość kluczowych zagrożeń: Pracownicy muszą rozumieć, np. zjawisko halucynacji AI (generowania błędnych informacji), zasady ochrony prywatności i danych osobowych, ograniczenia prawa autorskiego oraz ryzyko stronniczości algorytmicznej (bias).
- Kontekst branżowy: Podmioty działające w sektorach regulowanych (medycyna, finanse, prawo) podlegają znacznie surowszym rygorom niż branże o niższym stopniu ryzyka procesowego, ponieważ AI Act klasyfikuje systemy według czterech kategorii ryzyka. Obszary takie jak medycyna i edukacja są traktowane jako wrażliwe, a systemy wpływające na zdrowie i bezpieczeństwo mogą być uznane za wysokiego ryzyka. Ma to też znaczenie przy wprowadzaniu rozwiązań na rynek i ocenie obowiązków organizacji. Większość powszechnie stosowanych aplikacji biurowych ma jednak ryzyko minimalne lub niskie. Co jednak warto każdorazowo weryfikować.
Jak krok po kroku wdrożyć wymogi art. 4 AI Act w firmie?
Samo wysłanie pracownikom linku do ogólnego artykułu o AI nie spełnia wymogów prawnych. Organizacja musi być w stanie udowodnić accountability , czyli rozliczalność, że należycie wywiązała się z obowiązku. Zgodnie z harmonogramem obowiązki w AI Act będą wdrażane stopniowo od 2024 roku, a kolejne grupy przepisów mają swój początek w różnych terminach i nabierają mocy prawnej w różnych terminach, w tym od 2 sierpnia 2026 roku.
1. Audyt wykorzystania AI i mapowanie shadow AI
Przeprowadź przegląd narzędzi używanych w firmie. Zidentyfikuj nie tylko oficjalnie zakupione oprogramowanie, ale także tzw. shadow AI – darmowe i prywatne narzędzia, z których pracownicy korzystają bez oficjalnej zgody działu IT.
2. Opracowanie Wewnętrznej Polityki AI (AI Policy) (nawet u jednostek samorządu terytorialnego)
Spisz klarowne zasady określające:
- Z jakich narzędzi można korzystać i do jakich celów.
- Jakich danych (np. danych osobowych klientów, tajemnic handlowych) nigdy nie wolno wprowadzać do zewnętrznych modeli.
- Kto ponosi odpowiedzialność za weryfikację treści wygenerowanych przez AI oraz jak spełnić obowiązki przejrzystości przy narzędziach o ograniczonym ryzyku, takich jak chatboty i systemy generacji treści, czyli content.
3. Dedykowane szkolenia wewnętrzne
Zorganizuj warsztaty dostosowane do specyfiki poszczególnych działów. Pamiętaj, że AI Act nie ogranicza się wyłącznie do nakładania nakazów – przewiduje również środki zaradcze i wspierające (measures), które mają na celu wspieranie innowacyjności (support innovation). Należą do nich, w szczególności piaskownice regulacyjne (AI regulatory sandboxes, czyli kontrolowane środowiska testowe dla nowych technologii), stanowiące realne zaplecze wsparcia (support) dla MŚP oraz startupów, które dopiero planują swój rynkowy debiut i start w Unii Europejskiej. Podczas szkoleń kładź nacisk na praktykę: jak pisać bezpieczne prompty, jak weryfikować źródła i jak rozpoznawać błędy modeli.
4. Dokumentacja i weryfikacja
Prowadź rejestr przeszkolonych osób, zbieraj potwierdzenia zapoznania się z procedurami i regularnie odświeżaj wiedzę zespołu wraz z rozwojem stosowanych narzędzi. W przypadku systemów AI wysokiego ryzyka sama dokumentacja szkoleniowa nie wystarczy, bo przed wprowadzeniem wymagane są procedury oceny zgodności jako element compliance i formalny check przed dopuszczeniem rozwiązań do użycia. Warto też uporządkować terminy: te obowiązki weszły w życie od 2 sierpnia 2026 r., a kolejne wymagania dla takich systemów będą dochodzić etapami aż do 2 grudnia 2027 r.
Jakie są ryzyka braku zgodności z art. 4?
Choć sam art. 4 AI Act skupia się na budowaniu kompetencji, ignorowanie go generuje bezpośrednie zagrożenia biznesowe i prawne. Ustawa zakazuje też praktyk AI, które naruszają prawa podstawowe, w tym prawa, wolność i zakaz dyskryminacji, czyli rights, freedom i non discrimination:
- Wyciek tajemnic przedsiębiorstwa i danych osobowych: Nieświadomy pracownik wklejający poufny raport lub dane klientów do publicznej wersji modelu AI może doprowadzić do poważnego naruszenia RODO i utraty praw do informacji poufnych.
- Prawno-autorskie pułapki: Nieznajomość zasad działania AI zwiększa ryzyko naruszenia praw autorskich osób trzecich lub braku możliwości ochrony własnego unikalnego contentu.
- Błędy decyzyjne i strat finansowe: Bezrefleksyjne poleganie na sfałszowanych lub błędnych wyliczeniach („halucynacjach”) AI w analizach biznesowych czy prawnych.
- Odpowiedzialność zarządu: Wykazanie braku należytej staranności w zarządzaniu ryzykiem technologicznym w organizacji obejmuje też bezpieczeństwo, jakość danych (data) i użycie systemów zakazanych, np. manipulujących zachowaniem person lub wykorzystujących podatności dzieci i osób starszych, co może prowadzić do szkody i naruszać prawa do ochrony przed takimi praktykami.
Szczególnie problematyczne są także systemy oceny społecznej w oparciu o zachowania, przewidywanie przestępstw na podstawie profili, masowe zbieranie danych biometrycznych bez zgody oraz analiza emocji w miejscu pracy.
Buduj przewagę, wyprzedzając ryzyko
Art. 4 AI Act nie powinien być postrzegany wyłącznie jako kolejny biurokratyczny ciężar. To doskonały impuls do tego, aby uporządkować procesy w firmie, podnieść efektywność zespołu i wyeliminować niebezpieczne nawyki związane z niekontrolowanym użyciem technologii, a jednocześnie budować zaufanie do AI przez jasne zasady bezpieczeństwa (safety), ochronę praw (rights) obywateli oraz jednolite prawo dla unijnego rynku (market) chroniące także bezpieczeństwo publiczne.
Zapewnienie zgodności z AI Act wymaga połączenia wiedzy prawnej z praktycznym rozumieniem procesów technologicznych. To pierwsze na świecie kompleksowe rozporządzenie dotyczące sztucznej inteligencji i już bywa traktowane jako standard regulacyjny podobny do wpływu RODO.
Zadbaj o bezpieczeństwo prawne swojej firmy
Nie masz pewności, czy stosowane w Twojej organizacji procedury i szkolenia odpowiadają wymogom Art. 4 AI Act? Specjalizuję się w prawie nowych technologii i pomogę Ci przeprowadzić audyt wykorzystania AI oraz przygotuję kompleksową dokumentację i szkolenia dla Twojego zespołu.
