AI Act w firmie — co zrobić jeśli używasz AI w HR lub obsłudze klienta

AI Act — rozporządzenie UE 2024/1689 o sztucznej inteligencji — to pierwsza na świecie kompleksowa regulacja systemów AI. Obowiązuje od 1 sierpnia 2024, ale poszczególne kategorie obowiązków wchodzą w życie stopniowo do 2027 roku. Zakazy praktyk AI obowiązują od 2 lutego 2025 (art. 113 lit. a rozporządzenia), a obowiązki dla systemów wysokiego ryzyka mają według rozporządzenia ruszyć 2 sierpnia 2026.

Artykuł wyjaśnia, jakie obowiązki spadają na zwykłą firmę używającą AI w HR, marketingu, obsłudze klienta czy analizie ryzyka. To nie jest artykuł dla dostawców modeli LLM (dużych modeli językowych) — to jest artykuł dla Ciebie, jeśli Twoja firma wdrożyła firmowego asystenta AI albo narzędzie AI do CV.

Architektura AI Act — 4 kategorie ryzyka

AI Act klasyfikuje systemy AI na podstawie ryzyka, jakie niosą dla praw podstawowych obywateli UE:

| Kategoria | Opis | Status | |-----------|------|--------| | Zakazane | Praktyki z art. 5 | Od 02.02.2025 | | Wysokiego ryzyka | Załącznik III (HR, edukacja, zdrowie itp.) | Od 02.08.2026 | | Ograniczonego ryzyka | Chatboty, deepfake’y — obowiązki transparentności | Od 02.08.2026 | | Minimalnego ryzyka | Filtry spam, silniki w grach | Bez dodatkowych wymogów |

Firma może mieć systemy z różnych kategorii — narzędzie rekrutacyjne jest „wysokiego ryzyka”, a chatbot na stronie „ograniczonego”. Każda kategoria ma osobne obowiązki.

Kategoria 1 — praktyki zakazane (od 02.02.2025)

Art. 5 AI Act wylicza praktyki, których żadna firma w UE nie może stosować — pod karą do 35 mln EUR. Lista obejmuje m.in.:

1. Manipulacja podświadoma — systemy wpływające na zachowania bez świadomej zgody użytkownika
2. Wykorzystywanie luk poznawczych — AI celujący w osoby starsze, dzieci, niepełnosprawne
3. Scoring społeczny — przez organy publiczne (jak w Chinach)
4. Predictive policing na podstawie cech osobistych
5. Rozpoznawanie emocji w pracy i szkołach — poza względami medycznymi lub bezpieczeństwa
6. Nieukierunkowane scraping twarzy z internetu do baz biometrycznych
7. Kategoryzacja biometryczna na podstawie danych wrażliwych (rasa, wyznanie, orientacja)

Dla zwykłej polskiej firmy najistotniejsze są punkty 5 i 7 — jeśli używasz AI do analizy emocji pracowników (np. system monitorujący „zadowolenie” zespołu) albo klasyfikacji klientów na podstawie cech chronionych, musisz wyłączyć te funkcje.

Kategoria 2 — systemy wysokiego ryzyka (od 02.08.2026)

Załącznik III AI Act wymienia 8 obszarów systemów wysokiego ryzyka:

1. Biometria — identyfikacja osób, kategoryzacja biometryczna
2. Infrastruktura krytyczna — zarządzanie ruchem, sieciami energetycznymi
3. Edukacja — ocena kandydatów, egzaminowanie, alokacja do klas
4. Zatrudnienie — rekrutacja, selekcja CV, ocena, promocja, zwolnienia
5. Dostęp do usług — scoring kredytowy, ocena ryzyka ubezpieczeń zdrowotnych, ocena uprawnień do świadczeń publicznych
6. Egzekwowanie prawa — ocena ryzyka, analiza dowodów, profilowanie
7. Migracja i granice — wnioski wizowe, ocena ryzyka
8. Wymiar sprawiedliwości — wsparcie decyzji sądowych, procesy demokratyczne

Dla biznesu najistotniejsze są obszary 4 (zatrudnienie) i 5 (usługi). Jeśli Twoja firma:

• Używa AI do filtrowania CV lub scoringu kandydatów
• Stosuje AI do oceny pracowników (performance, promocje)
• Wdrożyła scoring klientów dla decyzji kredytowych
• Ma narzędzia AI do oceny ryzyka ubezpieczeniowego

— prawdopodobnie jesteś w kategorii wysokiego ryzyka i od sierpnia 2026 masz konkretne obowiązki.

Obowiązki użytkownika systemu wysokiego ryzyka

Jako użytkownik (nie dostawca) systemu AI wysokiego ryzyka musisz:

| Obowiązek | Praktyczne działanie | |-----------|----------------------| | Używać zgodnie z instrukcją dostawcy | Dokumentacja techniczna, zalecenia użytkowania | | Zapewnić nadzór człowieka | Osoba kwalifikowana monitoruje decyzje AI | | Monitorować działanie | Log zdarzeń, anomalii, incydentów | | Logować działania | Minimum 6 miesięcy, często dłużej | | Informować osoby objęte decyzjami AI | Kandydat rekrutacji, klient ocenie kredytowej | | Zgłaszać incydenty | Do dostawcy i organu nadzorczego |

Ocenę skutków dla praw podstawowych (FRIA) muszą przeprowadzić podmioty prawa publicznego i prywatne podmioty świadczące usługi publiczne, a także użytkownicy systemów do oceny zdolności kredytowej oraz do wyceny ubezpieczeń na życie i zdrowotnych.

Kategoria 3 — systemy ograniczonego ryzyka

Chatboty, deepfake’y i systemy generatywne (asystenci AI piszący teksty i generujący obrazy) wpadają w kategorię ograniczonego ryzyka. Obowiązki są mniejsze, ale konkretne:

• Informowanie użytkownika — że rozmawia z AI, nie z człowiekiem
• Oznaczanie treści — zdjęcia, filmy i audio wygenerowane przez AI muszą być oznakowane („made by AI”)
• Obowiązki dostawcy GPAI — modele ogólnego przeznaczenia (Foundation Models), na których działają asystenci AI, mają osobne obowiązki dostawcy

Dla Twojej firmy oznacza to, że chatbot na stronie musi mieć komunikat „Odpowiada asystent AI” lub podobny. Generatory treści AI (np. teksty i obrazy tworzone przez AI) używane w marketingu B2C powinny być oznaczane, żeby klient wiedział.

AI w HR — specjalna uwaga

Najczęstsze wdrożenia AI w polskich firmach to właśnie HR — screening CV, chatboty rekrutacyjne, scoring kandydatów. To wszystko wpada w kategorię wysokiego ryzyka i wymaga:

1. Dokumentacji zgodności dostawcy (otrzymanej i zatwierdzonej)
2. Informowania kandydatów — że CV ocenia AI, prawo do odwołania
3. Nadzoru człowieka — rekruter zatwierdza decyzje AI, nie tylko je akceptuje
4. Logowania — każda decyzja AI z uzasadnieniem
5. Regularnych audytów bias — czy system nie dyskryminuje pewnych grup

Co zrobić teraz

Jeśli Twoja firma jeszcze nie ma planu wdrożenia AI Act:

1. Inwentaryzacja systemów AI — które narzędzia używają AI, jakie kategorie ryzyka
2. Check zakazów — czy nie używasz praktyk zakazanych od lutego 2025
3. Check dostawców — ich zgodność z AI Act, dokumentacja techniczna
4. Aktualizacja polityki RODO — uwzględnienie przetwarzania przez AI
5. Szkolenie kadry — osoby podejmujące decyzje wspomagane AI muszą wiedzieć, jak ingerować

Podsumowanie

AI Act wszedł w fazę realnych obowiązków — zakazy od lutego 2025, wysokie ryzyko od sierpnia 2026 (według rozporządzenia; sprawdź aktualne terminy). Firmy, które nie robią nic, narażają się na kary do 35 mln EUR za zakazane praktyki i 15 mln EUR za niewłaściwe wdrożenie systemów wysokiego ryzyka. Zobacz też artykuł o NIS2 — równolegle wdrażane obowiązki cyfrowe.

Firma, która ma narzędzie AI do oceny CV, myśli czasem, że to tylko dodatek do systemu rekrutacyjnego. Z perspektywy AI Act to jest pełnoprawny system wysokiego ryzyka z własnymi obowiązkami. Wystarczy, że dostawca nie ma odpowiedniej dokumentacji — firma używająca ponosi konsekwencje.

Źródła: digital-strategy.ec.europa.eu/ai-act, Rozporządzenie UE 2024/1689, Załącznik III AI Act.