AI Act od sierpnia 2026 — co zmienia w małej firmie

Zacznijmy od zdania, które musi tu paść: to praktyka przedsiębiorcy, nie porada prawna. Opisuję, jak sam czytam te przepisy i co robię u siebie w firmie. Jeśli Twoje zastosowanie AI dotyka rekrutacji, kredytów, zdrowia albo danych wrażliwych — idź z tym do prawnika, nie do bloga.

Co się właściwie stało 2 sierpnia 2026

AI Act — unijne rozporządzenie o sztucznej inteligencji — wchodził w życie etapami. Najpierw zakazane praktyki, potem obowiązki dla dostawców modeli ogólnego przeznaczenia, aż wreszcie 2 sierpnia 2026 zaczął działać pełny reżim egzekwowania: krajowe organy nadzoru mają komplet narzędzi, a za naruszenia grożą kary liczone w milionach euro lub w procentach światowego obrotu.

Brzmi groźnie i tak jest zaprojektowane — ale te górne kary są przewidziane dla praktyk zakazanych i dla dostawców systemów wysokiego ryzyka. Mikrofirma, która wstawiła chatbota na stronę i pisze posty z pomocą AI, jest w zupełnie innej lidze. Rozporządzenie wprost przewiduje łagodniejsze podejście do MŚP i uproszczoną dokumentację.

Praktyczny wniosek: nie musisz się bać, ale musisz wiedzieć, w której kategorii jesteś. I umieć to pokazać, gdyby ktoś zapytał.

Dostawca czy podmiot stosujący? To pierwsze rozróżnienie

AI Act nakłada zupełnie różne obowiązki w zależności od tego, kim jesteś wobec systemu AI.

• Dostawca — budujesz system AI i wypuszczasz go pod swoją marką. Tu leży gros obowiązków: dokumentacja techniczna, zarządzanie ryzykiem, ocena zgodności.
• Podmiot stosujący — używasz cudzego narzędzia we własnej firmie. To rola większości małych firm: kupujesz chatbota, agenta głosowego, narzędzie do tekstów. Twoje obowiązki są dużo węższe.

Uwaga na pułapkę: jeśli bierzesz gotowy model, nakładasz na niego własną markę i sprzedajesz jako swój produkt — możesz zostać uznany za dostawcę. Dla firmy, która po prostu korzysta z narzędzi w swojej obsłudze klienta, ten problem nie występuje.

Cztery poziomy ryzyka — gdzie realnie jest mała firma

Cała konstrukcja AI Act opiera się na klasyfikacji ryzyka: minimalne, ograniczone, wysokie, niedopuszczalne. Im wyżej, tym więcej obowiązków. Zdecydowana większość zastosowań w mikrofirmie ląduje w dwóch dolnych kategoriach.

Zakazane praktyki — lista, którą warto znać na pamięć

Ta część obowiązuje najdłużej i jest najostrzej sankcjonowana. Zakazane jest m.in.:

• wykorzystywanie technik podprogowych lub manipulacyjnych, które celowo zaburzają decyzje ludzi na ich szkodę,
• żerowanie na słabości konkretnych grup — wieku, niepełnosprawności, sytuacji ekonomicznej,
• ocenianie i klasyfikowanie ludzi na podstawie zachowań społecznych (social scoring),
• rozpoznawanie emocji w miejscu pracy i w edukacji,
• masowe zbieranie wizerunków z internetu i monitoringu do budowy baz rozpoznawania twarzy.

W praktyce mała firma potyka się o to bardzo rzadko — najczęściej przy pomysłach typu „chatbot, który udaje realną osobę i wywiera presję zakupową" albo „narzędzie oceniające nastrój pracowników z kamery". Jeśli taki pomysł pada na spotkaniu, to jest ten moment, żeby powiedzieć „nie".

Obowiązek informowania, że to AI — najważniejsza rzecz dla mikrofirmy

Rdzeń tego, co Cię dotyczy, sprowadza się do jednego: człowiek ma wiedzieć, że po drugiej stronie jest maszyna. Nie musi to być prawniczy elaborat — wystarczy jasny komunikat w naturalnym miejscu.

Chatbot na stronie

Krótka informacja w oknie czatu przy pierwszej wiadomości: to asystent AI, odpowiada automatycznie, a w każdej chwili można poprosić o kontakt z człowiekiem. To wszystko. Jeśli zastanawiasz się, czy w ogóle warto uruchamiać czat, opisałem to w tekście o tym, kiedy chatbot na stronie ma sens.

Agent głosowy na telefonie

Pierwsze zdanie rozmowy powinno przedstawiać asystenta jako asystenta. „Dzień dobry, tu asystent AI firmy X, w czym mogę pomóc?" — brzmi lepiej niż udawanie recepcjonistki, a przy okazji ucina zarzut wprowadzania w błąd. Jak to wygląda w praktyce, pokazuję w tekście o tym, jak AI odbiera telefon.

Treści generowane

Tu zdrowy rozsądek: post na social media napisany z pomocą AI nie wymaga stempla. Ale materiał, który mógłby uchodzić za autentyczne nagranie lub zdjęcie realnej osoby albo zdarzenia — czyli wszystko, co ociera się o deepfake — powinien być oznaczony. Granica jest prosta: czy odbiorca może pomyśleć, że to się naprawdę wydarzyło?

Kompetencje AI — obowiązek, o którym mało kto mówi

Rozporządzenie wymaga, żeby osoby zajmujące się w firmie systemami AI miały wystarczający poziom wiedzy o nich. To nie jest obowiązek certyfikatu ani szkolenia u licencjonowanego dostawcy. To wymóg, żeby ludzie, którzy klikają w te narzędzia, rozumieli, co narzędzie potrafi, gdzie się myli i czego nie wolno do niego wklejać.

Dla trzyosobowej firmy realizacja jest banalna: godzinne wewnętrzne omówienie, notatka z datą i listą obecności, jedna strona zasad. Wystarczy jako dowód, że temat nie leży odłogiem.

Co spisać: rejestr użyć AI i jedna strona polityki

Formalnie mikrofirma stosująca narzędzia minimalnego i ograniczonego ryzyka nie musi prowadzić rozbudowanej dokumentacji. Ale dwie kartki papieru zmieniają rozmowę z kontrahentem, ubezpieczycielem czy urzędem z „nie wiem" na „proszę bardzo".

Rejestr użyć AI — zwykła tabela w arkuszu, po jednym wierszu na narzędzie:

• Narzędzie i dostawca — co konkretnie, czyje, w jakiej wersji.
• Do czego używamy — obsługa zapytań, teksty na bloga, transkrypcje, segregowanie maili.
• Kto odpowiada — imię i nazwisko, nie „dział".
• Jakie dane tam trafiają — czy w ogóle dane osobowe, czy tylko treści firmowe.
• Gdzie jest komunikat o AI — link do miejsca na stronie, formułka powitalna agenta.
• Data ostatniego przeglądu — raz na kwartał wystarczy.

Polityka korzystania z AI — jedna, maksymalnie dwie strony: jakie narzędzia są dozwolone, czego nie wolno do nich wklejać (dane klientów, umowy, hasła), kto zatwierdza publikację treści powstałych z pomocą AI, jak zgłaszać błędy narzędzia. Jeśli przetwarzasz w tych narzędziach dane klientów, przeczytaj też tekst o RODO w obsłudze klienta z AI — te dwa reżimy trzeba czytać razem, bo AI Act nie zastępuje RODO.

Czego NIE musisz robić

Wokół AI Act narosło sporo strachu, na którym da się sprzedać usługi. Dla mikrofirmy używającej typowych narzędzi:

• nie musisz rejestrować się w żadnej unijnej bazie systemów AI — to obowiązek dostawców systemów wysokiego ryzyka,
• nie musisz przeprowadzać oceny zgodności ani wystawiać deklaracji CE dla chatbota,
• nie musisz powoływać „oficera AI" ani kupować certyfikacji,
• nie musisz oznaczać każdego maila i każdego posta, przy którym AI pomogła w redakcji.

Musisz natomiast wiedzieć, gdzie w Twojej firmie AI podejmuje albo podpowiada decyzje dotyczące ludzi — i tam być ostrożny. Reszta to higiena, nie biurokracja.

Plan na jedno popołudnie

Realna kolejność, jeśli chcesz zamknąć temat w kilka godzin:

• Spisz, gdzie w firmie działa AI — łącznie z narzędziami, których używa Twój zespół bez pytania Cię o zdanie. To zwykle najbardziej zaskakująca część.
• Przypisz każdemu wpisowi kategorię ryzyka z tabeli wyżej.
• Sprawdź komunikaty — czy chatbot i agent głosowy mówią wprost, że są AI.
• Wypisz, co jest zakazane u Ciebie w firmie i powiedz o tym zespołowi.
• Zrób godzinne omówienie i zapisz notatkę z datą.
• Wpisz do kalendarza przegląd kwartalny — narzędzia się zmieniają szybciej niż przepisy.

Jeśli dopiero zaczynasz układać automatyzacje i chcesz od razu zrobić to porządnie, przyda się tekst o tym, od czego zacząć automatyzację firmy — łatwiej wpisać zgodność w projekt na starcie niż doklejać ją później. A jeśli myślisz o czymś więcej niż pojedynczym chatbocie, opisałem to w tekście o agentach AI w firmie.

FAQ — najczęstsze pytania o AI Act w małej firmie

Czytaj też

← wszystkie wpisy