AI Act dla firm: 4 poziomy ryzyka i milionowe kary

Twoja firma już korzysta ze sztucznej inteligencji, nawet jeśli tego nie wie. Aż 69% pracowników używa narzędzi AI bez wiedzy przełożonych, co od 2 sierpnia 2026 roku może sprowadzić na twoją firmę kary wyższe niż w przypadku RODO. Jeśli generujesz treści za pomocą chatbota, przetwarzasz CV przez algorytm lub wdrażasz voicebota, musisz natychmiast sprawdzić, na który z czterech poziomów ryzyka AI Act się kwalifikujesz.

TL;DR: Najważniejsze wnioski

• 4 poziomy ryzyka AI w UE: od minimalnego (filtry antyspamowe) do zakazanego (monitoring emocji), z różnymi wymogami dla każdego poziomu
• Poziom 2 (ograniczone ryzyko): obowiązek oznaczania treści AI i przeprowadzenia szkoleń pracowników, jednak bez konieczności posiadania certyfikatów
• Artykuł 50: wymóg transparentności przy chatbotach, voicebotach i deepfake’ach, w tym maszynowo czytelne znaki wodne
• Kary finansowe: do 35 mln euro lub 7% globalnego obrotu za naruszenia wysokiego ryzyka, a nawet 15 mln lub 3% za błędy w oznaczaniu treści
• Rozwiązanie: audyt treści, szkolenia zespołu oraz rozważenie wdrożenia lokalnych modeli AI dla eliminacji problemów z transferem danych poza EOG

Cztery poziomy ryzyka AI Act – gdzie znajduje się twoja firma?

Unijne rozporządzenie dzieli systemy sztucznej inteligencji na cztery kategorie ryzyka. To klasyfikacja decyduje o tym, jakie obowiązki cię dotyczą i jak szybko musisz działać. Większość przedsiębiorstw w Polsce znajdzie się na poziomie drugim, ale warto rozumieć całą skalę.

Poziom minimalny i ograniczony – tu jesteś prawdopodobnie ty

Pierwszy poziom to minimalne ryzyko. Tutaj mieszczą się filtry antyspamowe w twojej poczcie czy systemy rekomendacji produktów w sklepie internetowym. Te narzędzia nie wymagają żadnych działań z twojej strony.

Jednak drugi poziom (ograniczone ryzyko) to już strefa, w której operuje większość nowoczesnych firm. Wchodzą tu wszystkie systemy AI wchodzące w interakcję z ludźmi: chatboty na stronach www, voiceboty obsługujące telefony w biurze obsługi klienta, a także generowanie treści tekstowych, wideo i grafik.

To rozwiązanie sprawdzi się też świetnie u osób, których działalność opiera się na masowej komunikacji z klientami, np. w salonach kosmetycznych rezerwujących wizyty przez asystenta głosowego, serwisach samochodowych automatyzujących przyjmowanie zgłoszeń czy kancelariach prawnych wykorzystujących boty do wstępnej kwalifikacji spraw.

Na tym etapie musisz przede wszystkim oznaczać treści stworzone przez AI oraz przeprowadzać szkolenia dla zespołu. Przykład: jeśli używasz telefonicznej recepcjonistki AI, musi ona jasno informować rozmówcę, że jest wirtualną asystentką i że rozmowa jest nagrywana.

Poziom wysoki i zakazany – rekrutacja i monitoring

Trzeci poziom to wysokie ryzyko. Tutaj lądują np. systemy wspierające procesy rekrutacyjne, gdzie algorytm analizuje CV kandydatów. To samo dotyczy narzędzi oceniających pracowników, algorytmów przydzielających zadania w zależności od wydajności czy automatycznego screenowania aplikacji w branży IT i HR. W tym przypadku potrzebujesz rozpisanych procedur, zasad działania i pełnej zgodności z RODO, ponieważ przetwarzasz dane osobowe.

Czwarty poziom to niedopuszczalne ryzyko, czyli systemy zakazane. Są to na przykład rozwiązania monitorujące emocje i zachowania ludzi w czasie rzeczywistym w miejscu pracy lub przestrzeni publicznej. Jeśli korzystasz z takich narzędzi, musisz je natychmiast wyłączyć.

Artykuł 50 i oznaczanie treści – co konkretnie musisz zrobić?

Artykuł 50 AI Act to zestaw zasad transparentności. Najprościej mówiąc, odpowiada za to, aby użytkownicy wiedzieli, że wchodzą w interakcję ze sztuczną inteligencją, a nie człowiekiem. Dotyczy to zarówno bezpośredniej komunikacji, jak i publikowanych materiałów.

Cztery typy materiałów podlegających oznaczeniu

Jeśli działasz jako deployer (czyli wykorzystujesz gotowe modele AI, a nie tworzysz ich od zera), musisz oznaczać cztery kategorie treści:

• Obrazy i wideo wygenerowane lub zmodyfikowane przez AI – muszą mieć widoczne oznaczenie już przy pierwszym kontakcie użytkownika z materiałem
• Pliki audio i nagrania głosu z AI – wymagają ostrzeżenia, że materiał został wygenerowany sztucznie
• Teksty publikowane w sprawach publicznych – np. artykuły polityczne (wyjątek: treści z ludzką korektą)
• Deepfake udające prawdziwe osoby – nie tylko znanych aktorów, ale każdego, kto wygląda jak człowiek

Oznaczenia muszą być nie tylko widoczne dla ludzi, ale także maszynowo czytelne. To tzw. znaki wodne niewidoczne dla oka, metadane lub tagi meta, które platformy i inne systemy AI mogą odczytać.

Wyjątki od oznaczania – kiedy możesz pominąć etykietę?

Przepisy przewidują furtki dla określonych zastosowań. Po pierwsze, jeśli tworzysz treści oczywiście sztuczne – kreskówkowe strategie meczów, smoki czy coś co nie wygląda realistycznie -nie musisz dodawać dodatkowych oznaczeń.

Komidor, który wygląda realistycznie, musi zostać oznaczony jako wygenerowany. Z kolei fikcyjny rycerz, który widać, że nie jest prawdziwy – inaczej mówiąc nie ma możliwości wprowadzenia w błąd, nie wymaga oznaczenia.

Po drugie, treści artystyczne. Jeśli tworzysz satyryczne filmiki, gdzie wyskakuje kot z głową prezydenta, wystarczy informacja w opisie, że materiał został zmodyfikowany przez AI. To otwiera pole dla kreatywnego wykorzystania technologii jako formy sztuki.

Po trzecie, teksty z ludzką korektą. Jeśli masz system automatycznego odpowiadania na maile, który przygotowuje drafty, ale wysyła je człowiek po weryfikacji, nie musisz oznaczać takiej korespondencji jako wygenerowanej przez AI. Ty oszczędzasz 80-90% czasu, a unikasz obowiązku transparentności.

Szkolenia i procedury – jak przygotować zespół bez certyfikacji?

Jednym z najważniejszych wymogów AI Act jest obowiązek szkolenia pracowników. Chodzi o to, aby zespół wiedział, z czego korzysta, jak działa algorytm, jakie dane może, a jakich nie może wrzucić do modelu.

Obowiązkowe szkolenia z AI – co musisz udokumentować?

Tutaj pojawia się ciekawa luka w przepisach. Szkolenia są obowiązkowe, ale nie jest zdefiniowany sposób ich przeprowadzenia ani wymóg posiadania certyfikatów. Nie musisz wysyłać zespołu na płatne kursy z egzaminem. Musisz jednak w razie kontroli wykazać, że takie szkolenia miały miejsce.

Przetwarzanie danych osobowych w AI (RODO + AI Act)

Jeśli przetwarzasz dane klientów za pomocą sztucznej inteligencji, potrzebujesz podwójnej ochrony. Po pierwsze, zgody na przetwarzanie danych przez systemy AI. Po drugie, umowy z dostawcami modeli gwarantujące, że twoje dane nie będą używane do trenowania algorytmów.

Tutaj pojawia się problem z dostawcami spoza Europejskiego Obszaru Gospodarczego. Większość znanych modeli działa w Stanach Zjednoczonych, co wymaga dodatkowych umów o przekazywaniu danych poza EOG. Rozwiązaniem może być instalacja lokalnego modelu AI, który działa na twoim serwerze lub komputerze. Do podstawowego użytku wystarczy przeciętny sprzęt, a eliminujesz ryzyko nielegalnego transferu danych.

Kary za nieprzestrzeganie AI Act – realne zagrożenie dla biznesu

Przejdźmy do tego, co boli najbardziej, czyli konsekwencji finansowych. AI Act przewiduje kary administracyjne, które mogą zniszczyć nawet średnie przedsiębiorstwo.

Skala kar administracyjnych

System sankcji jest progresywny:

• Do 35 milionów euro lub 7% rocznego globalnego obrotu – najwyższa kara za naruszenia w obszarze zakazanego ryzyka lub szczególnie poważne wykroczenia wysokiego ryzyka
• Do 15 milionów euro lub 3% globalnego obrotu – za błędy w oznaczaniu treści lub naruszenia związane z wysokim ryzykiem, np. przetwarzanie CV bez odpowiednich procedur
• Nakaz usunięcia lub wstrzymania działalności – natychmiastowe wyłączeneniedozwolonego systemu AI

Pamiętaj, że te kary są wyższe niż w przypadku RODO. Wystarczy, że raz wrzucisz CV kandydata do publicznego modelu językowego bez zgody i odpowiednich zabezpieczeń, aby narazić firmę na milionowe straty.

Kiedy grozi ci najwyższa kara?

Najwyższe sankcje dotyczą głównie twórców systemów AI, ale jako deployer możesz odpowiadać finansowo, jeśli świadomie wdrażasz rozwiązania z kategorii wysokiego ryzyka bez procedur, dokumentacji i zgód. Szczególnie niebezpieczne jest łamanie zakazu stosowania AI do monitoringu emocji w miejscu pracy.

Checklista wdrożenia AI Act w firmie

Przygotowałem dla ciebie praktyczną listę działań, które powinieneś wykonać w najbliższych tygodniach, pobierzesz ją tutaj.

Najczęściej zadawane pytania

Czy muszę oznaczać tekst napisany przez ChatGPT jako treść AI?

Jeśli publikujesz tekst w 100% wygenerowany przez sztuczną inteligencję w sprawach publicznych (np. artykuły polityczne), tak. Jeśli masz automatycznego bloga na inne tematy np, sport, muzyka to nie musisz tego oznaczać.

Co się stanie, jeśli mój pracownik użyje AI bez mojej wiedzy?

Odpowiedzialność ponosi pracodawca. Dlatego tak ważne są szkolenia i wewnętrzne regulaminy. Jeśli pracownik wrzuci poufne dane firmy do publicznego modelu AI, co doprowadzi do wycieku, twoja firma może zostać ukarana zgodnie z AI Act i RODO. Dobrą praktyką jest wprowadzenie zakazu używania nieautoryzowanych narzędzi AI do celów zawodowych.

Czy filtry antyspamowe wymagają zgody lub oznaczenia zgodnie z AI Act?

Nie. Systemy filtrujące spam, zaawansowane wyszukiwarki w sklepach internetowych czy proste algorytmy rekomendujące produkty na podstawie historii przeglądania należą do kategorii minimalnego ryzyka. Nie wymagają żadnych dodatkowych działań, szkoleń ani oznaczeń.

Czy wdrożenie lokalnego modelu AI naprawdę chroni przed karami?

Lokalny model eliminuje problem transferu danych osobowych poza Europejski Obszar Gospodarczy, co znacząco redukuje ryzyko naruszenia RODO i AI Act. Jednak nadal musisz przestrzegać pozostałych wymogów, takich jak szkolenia pracowników czy oznaczanie wygenerowanych treści. Lokalne wdrożenie to nie tarcza antykarna, ale solidne zabezpieczenie w obszarze ochrony danych.

Twoja opinia ma znaczenie

AI Act to przepisy, które budzą skrajne emocje. Jedni uważają, że wreszcie ktoś postawił jasne granice i wymogi bezpieczeństwa. Inni widzą w tym tylko biurokratyczne utrudnienie dla innowacji. Niezależnie od twojego zdania, przepisy wchodzą w życie i trzeba się do nich dostosować.

Jak wygląda sytuacja w twojej firmie? Macie już wdrożone procedury, szkolenia i oznaczenia, czy dopiero zaczynacie audyt? A może uważasz, że te regulacje są przesadzone lub wręcz przeciwnie – za słabe? Podziel się swoją opinią w komentarzu, chętnie przeczytam, jak wygląda to w różnych branżach.