AI Act po polsku: co mała firma powinna zrobić teraz

Rozmowy o AI Act często zaczynają się od kar, a kończą na stresie. Tymczasem dla typowej polskiej firmy pierwszy krok jest znacznie prostszy: sporządzić listę miejsc, w których AI już pracuje. Także tych mniej widowiskowych, jak sortowanie kandydatów, chatbot na stronie czy generowanie opisów produktów.

#Najpierw rola, potem obowiązek

Firma może być dostawcą systemu, wdrażającym go użytkownikiem albo jednym i drugim. Kupienie dostępu do modelu i używanie go wewnętrznie nie jest tym samym co wypuszczenie własnego systemu pod swoją marką. Obowiązki zależą od roli, zastosowania i ryzyka, nie od samego faktu korzystania z popularnego modelu.

Komisja rozróżnia cztery poziomy: ryzyko niedopuszczalne, wysokie, transparencyjne oraz minimalne lub brak ryzyka. Większość codziennych zastosowań biurowych znajduje się w ostatniej grupie. To nie zwalnia jednak od zdrowego rozsądku, ochrony danych i wymogu kompetencji.

#Daty, które warto mieć przed oczami

Nie skracaj harmonogramu do zdania „AI Act obowiązuje od sierpnia 2026”. To prawda zbyt ogólna, by dobrze zarządzać wdrożeniem. Część obowiązków działa wcześniej, część później, a dla niektórych modeli i systemów istnieją przejścia.

#Chatbot musi przyznać, że jest chatbotem

Od sierpnia 2026 r. zasady transparentności wymagają, aby człowiek wiedział, że rozmawia z systemem AI. To dotyczy również agenta głosowego. Informacja powinna pojawić się naturalnie i na początku kontaktu, nie w czwartym akapicie regulaminu.

Dodatkowo dostawcy generatywnej AI mają zapewnić identyfikowalność treści syntetycznych, a określone materiały — np. deepfake’i — wymagają wyraźnego oznaczenia. W praktyce marketing powinien wiedzieć nie tylko, jak treść wygenerować, lecz także kiedy i jak ją oznaczyć.

#HR to nie jest „zwykły chatbot z CV”

Sortowanie kandydatów i inne zastosowania związane z zatrudnieniem mogą należeć do obszarów wysokiego ryzyka. Nie zmienia tego fakt, że narzędzie jest łatwo dostępne w przeglądarce. Im większy wpływ wyniku na dostęp człowieka do pracy, kredytu, edukacji lub usługi publicznej, tym mniej właściwe jest podejście „podłączymy i zobaczymy”.

W takich obszarach Komisja wymaga m.in. zarządzania ryzykiem, jakości danych, rejestrowania aktywności, dokumentacji, informacji dla wdrażającego, nadzoru człowieka oraz odporności i cyberbezpieczeństwa. To projekt organizacyjny, nie zakup licencji.

#Minimalny porządek dla małej firmy

1. Zrób rejestr: nazwa narzędzia, właściciel, cel, użytkownicy i dane wejściowe.
2. Oznacz zastosowania wrażliwe: ludzie, pieniądze, zdrowie, edukacja, dostęp do usług.
3. Sprawdź komunikaty: czy klient wie, że rozmawia z AI, i czy treści są odpowiednio oznaczone.
4. Zadbaj o kompetencje zespołu: ograniczenia modeli, weryfikacja, prywatność i eskalacja błędów.
5. Zapisz, kto może zatwierdzić nowe użycie i kto przegląda je po wdrożeniu.

AI literacy nie musi oznaczać akademickiego kursu. Dla sprzedawcy może to być praktyka sprawdzania faktów i zakaz wklejania poufnych danych. Dla rekrutera — rozpoznawanie uprzedzeń i granic automatycznej decyzji. Dla administratora — uprawnienia, logi i procedura awaryjna.

„Najlepsza polityka AI mieści się w codziennej pracy. Jeśli nikt nie wie, co zmieniła w poniedziałek, jest tylko dokumentem.”

#Spokojnie, ale nie później

Mała firma nie musi kopiować struktury banku. Potrzebuje natomiast świadomej mapy użyć i odpowiedzialnych ludzi. Zacznij od rejestru i dwóch rozmów: z osobą, która zna proces, oraz z osobą, która rozumie ryzyko. Dopiero potem dokumentuj więcej tam, gdzie wymaga tego klasa zastosowania.