Piszesz posty z pomocą ChatGPT? Robisz grafiki w Midjourney? Twoja księgowa wrzuciła OCR faktur do jakiegoś „innowacyjnego” narzędzia? Gratulacje – jesteś już w polu zainteresowania AI Act. I zanim spanikujesz: nie, unijni urzędnicy nie zapukają jutro z mandatem. Ale kilka rzeczy warto ogarnąć, żeby nie zorientować się o tym po fakcie 😉
Czym w ogóle jest AI Act i po co się nim martwić?
AI Act (Rozporządzenie 2024/1689) to pierwsze na świecie tak szerokie prawo o sztucznej inteligencji. Unia podzieliła systemy AI na cztery kategorie ryzyka: niedozwolone (te wyleciały z rynku), wysokiego ryzyka (rekrutacja, scoring kredytowy, urządzenia medyczne), ograniczonego ryzyka (chatboty, deepfake) i minimalnego ryzyka (cała reszta – filtry spamu, generatory tekstów, autouzupełnianie).
Większość narzędzi, których używasz na co dzień – ChatGPT do maili, Canva AI do grafik, Notion AI do notatek – siedzi w koszyku minimalnego lub ograniczonego ryzyka. To dobra wiadomość, bo obowiązki są minimalne. Zła: „minimalne” nie oznacza „żadne”.
Co już obowiązuje, a co dopiero wchodzi – kalendarz AI Act
Rozporządzenie weszło w życie 1 sierpnia 2024 roku, ale kolejne transze obowiązków odpalają się etapami. Stan na dziś:
- 2 lutego 2025 – już obowiązuje. Zakaz systemów o niedozwolonym ryzyku (social scoring w stylu chińskim, masowe zbieranie zdjęć twarzy z internetu, manipulacja emocjonalna). Od tej samej daty obowiązuje też artykuł 4 – AI literacy, o którym za chwilę.
- 2 sierpnia 2025 – już obowiązuje. Wystartowały zasady dla modeli ogólnego przeznaczenia (GPAI) – to problem OpenAI, Google i Anthropica, nie Twój. Ty jako użytkownik ich narzędzi masz z tego głównie prawo do przejrzystej informacji.
- 2 sierpnia 2026 – wystartowało niedawno. Odpaliły obowiązki dla systemów wysokiego ryzyka (Aneks III) oraz artykuł 50 – obowiązek oznaczania treści wygenerowanych przez AI i informowania, że użytkownik rozmawia z botem, a nie z człowiekiem. Ten punkt dotyczy Cię wprost, jeśli masz chatbota na stronie albo publikujesz obrazy z Midjourney.
- 2 sierpnia 2027 – zostało niecałe 12 miesięcy. Wchodzą pozostałe obowiązki dla systemów wysokiego ryzyka wbudowanych w produkty regulowane (np. medyczne).
Dostawca czy wdrażający? Sprawdź, po której stronie jesteś
To pytanie decyduje o wszystkim. AI Act rozróżnia dwie główne role:
- Dostawca (provider) – tworzy system AI i wypuszcza go na rynek pod swoją marką. To OpenAI, Anthropic, Google, ale też startup, który trenuje własny model.
- Podmiot stosujący (deployer) – używa gotowego systemu w ramach działalności zawodowej. Czyli Ty, kiedy prosisz ChatGPT o post na LinkedIna dla klienta.
Freelancer, JDG, mikrofirma – prawie zawsze jesteś podmiotem stosującym. To dużo lżejszy pakiet obowiązków niż u dostawcy. Ale nie zerowy.
Konkretne obowiązki, które Cię dotyczą
AI literacy – przeszkól siebie i zespół
Artykuł 4 mówi wprost: masz zapewnić „wystarczający poziom kompetencji w zakresie AI” u siebie i osób, które używają AI w Twoim imieniu. Tłumacząc z prawniczego: Ty i Twoi podwykonawcy macie rozumieć, jak działają narzędzia, których używacie – jakie są ich ograniczenia, jak halucynują, co robić z danymi wrażliwymi.
W praktyce dla jednoosobowej firmy to pół dnia nauki i notatka „przerobiłem podstawy”. Dla firmy z zespołem – krótkie szkolenie i wpis w dokumentacji. Nikt nie sprawdza, czy zrobiłeś kurs za 3000 zł. Ale w razie kontroli musisz wykazać, że wiesz, co robisz.
Przejrzystość – powiedz ludziom, że mówią z botem
Od 2 sierpnia 2026 masz obowiązek informować użytkowników, że wchodzą w interakcję z systemem AI, jeśli sami by tego nie zauważyli. Dotyczy to głównie:
- Chatbotów na stronie www – wystarczy jedna linijka „Rozmawiasz z asystentem AI. Zawsze możesz przełączyć się na człowieka.”.
- Treści generowanych przez AI, które mogą wprowadzać w błąd (deepfake, syntetyczne wideo, obrazy udające fotografie).
- Automatycznych ocen kandydatów, wniosków, klientów.
Post na blogu napisany częściowo przez AI? Nie musisz go oznaczać, dopóki nie udaje reportażu ani nie manipuluje faktami.
Nadzór nad danymi i tym, co AI wypluje
Odpowiadasz za dwie rzeczy: co wrzucasz do modelu (RODO, tajemnica handlowa, dane klientów) i co z niego wyciągasz. Bezkrytyczne wklejanie odpowiedzi ChatGPT na maila do klienta bez sprawdzenia? To Twoja odpowiedzialność, nie OpenAI.
Jeśli AI zacznie się dziwnie zachowywać albo generować treści łamiące prawo – masz obowiązek przerwać jego używanie i zgłosić sprawę dostawcy.
Kary – ile to boli i kto ich uniknie
Najwyższe stawki w AI Act są kosmiczne: do 35 mln euro lub 7% globalnego obrotu za stosowanie zakazanych systemów. Ale spokojnie – to widełki dla korporacji. Dla małych i średnich firm oraz startupów rozporządzenie wprowadza łagodniejsze limity kar: stosuje się niższą z dwóch kwot (procentową albo kwotową). Dla mikrofirmy to nadal może być bolesne, ale nie oznacza końca świata.
Największe ryzyko to nie kara, tylko utrata reputacji. Klient, który dowiaduje się z newsa, że jego dane wpadły do modelu, którego szkolenie było w szarej strefie prawa – nie wróci.
Od czego zacząć – checklista
Nie musisz zatrudniać kancelarii. Wystarczą trzy ruchy:
- Wypisz narzędzia AI, których używasz Ty i Twój zespół. Notion, ChatGPT, Midjourney, Perplexity, Grammarly – wszystko na listę.
- Sprawdź w regulaminach każdego narzędzia, czy dane wprowadzane do niego są używane do trenowania modelu. Jeśli tak – nie wrzucaj tam nic wrażliwego.
- Jeśli masz chatbota lub publikujesz treści generowane przez AI, które mogą kogoś zmylić – dodaj oznaczenie.
Dobra wiadomość: małe firmy mają w AI Act przewidziane wsparcie. UE i polski nadzór (docelowo Komisja Rozwoju i Technologii jako organ notyfikujący) mają udostępniać uproszczone wzory i piaskownice regulacyjne dla mikroprzedsiębiorców.
A koszt ogarnięcia tego wszystkiego?
Szkolenie, konsultacja z prawnikiem specjalizującym się w AI, może dokumentacja procesów – to wszystko wymaga budżetu. A budżet w mikrofirmie to często kwestia tego, co można obciąć gdzie indziej.
My u siebie widzimy to codziennie – klienci przychodzą po wirtualny adres w Warszawie właśnie dlatego, że fizyczne biuro w centrum stolicy to koszt kilku tysięcy złotych miesięcznie, a firma i tak pracuje głównie z domu. Ścięcie tej pozycji zwalnia budżet na rzeczy, które faktycznie coś zmieniają – w tym na zgodność z nowymi przepisami. Adres prawny w Śródmieściu (u nas: al. Solidarności 68/121, prowadzone przez Avega sp. z o.o.) załatwia obowiązek posiadania siedziby, korespondencja jest odbierana i skanowana, a Ty masz spokojną głowę.
Ale to tylko jeden z pomysłów na oszczędność. Ważniejsze: zacznij traktować AI Act poważnie, ale bez paniki. Trzy godziny w tym miesiącu wystarczą, żeby ogarnąć podstawy.
FAQ – najczęściej zadawane pytania o AI Act
1. Czy AI Act dotyczy mikroprzedsiębiorców i freelancerów?
Tak. Rozporządzenie stosuje się do każdego podmiotu prowadzącego działalność, niezależnie od wielkości. Dla mikrofirm przewidziano jednak łagodniejsze limity kar i wsparcie w postaci uproszczonych wzorów oraz piaskownic regulacyjnych.
2. Muszę oznaczać każdy post napisany z pomocą ChatGPT?
Nie. Obowiązek oznaczania dotyczy treści, które mogą wprowadzać w błąd (np. deepfake udający prawdziwą osobę) oraz sytuacji, w których użytkownik nie zorientuje się, że rozmawia z botem. Zwykły blog post nie wchodzi w ten zakres.
3. Czy dane wrzucane do ChatGPT są bezpieczne?
To zależy od planu. W darmowej wersji OpenAI może wykorzystywać treść rozmów do trenowania modeli. W ChatGPT Team i Enterprise – nie. Zawsze sprawdź politykę prywatności konkretnego narzędzia przed wgraniem tam danych klientów.
4. Kto w Polsce nadzoruje przestrzeganie AI Act?
Docelowo Komisja Rozwoju i Technologii ma pełnić rolę koordynatora, a poszczególne obszary trafią do wyspecjalizowanych organów (np. UODO dla danych osobowych, UOKiK dla praktyk konsumenckich). Struktura nadzoru wciąż się dopina.
