Nowe przepisy AI Act od sierpnia 2026 - co oznaczają dla biznesu?

Przeczytaj także: Od 2 sierpnia 2026 r. firmy muszą ujawniać zastosowania AI - co musisz wiedzieć?

24 lipca została podpisana ustawa o systemach sztucznej inteligencji. To właśnie ona określa, jak unijny AI Act będzie funkcjonował w Polsce. Bez tych przepisów egzekwowanie nowych obowiązków byłoby w praktyce niemożliwe.

– To ważny krok w rozwoju sztucznej inteligencji w Polsce. To nie tylko wsparcie nowych technologii, ale także lepsze zrozumienie i kontrolowanie systemów AI – ocenia minister cyfryzacji Krzysztof Gawkowski. – Dzięki temu przepisy te z jednej strony tworzą dobre warunki rozwoju sztucznej inteligencji, a z drugiej – zwiększają bezpieczeństwo jej użytkowników – podkreśla wicepremier.

AI Act obowiązuje od sierpnia 2024 r., jednak jego przepisy są stosowane stopniowo. Od 2 sierpnia 2026 r. weszły w życie m.in. obowiązki dotyczące przejrzystości działania systemów AI, wymóg zapewnienia odpowiedniego poziomu kompetencji osób korzystających ze sztucznej inteligencji, regulacje dotyczące modeli AI ogólnego przeznaczenia oraz przepisy związane z nadzorem nad stosowaniem rozporządzenia.

Deepfake pod kontrolą: nowe zasady transparentności w sieci

Co to oznacza w praktyce? Z początkiem sierpnia zaczął obowiązywać m.in. wymóg podania do wiadomości, że określona grafika, film lub materiał audio zostały wygenerowane przy użyciu systemów sztucznej inteligencji. Nowe przepisy dotyczą przede wszystkim tzw. deepfake'ów. Nie oznaczają zakazu publikowania takich materiałów, ale wprowadzają obowiązek ich wyraźnego oznaczania. Dzięki temu odbiorcy dowiedzą się, że zostały utworzone lub zmodyfikowane przez AI. Zgodnie z wytycznymi Komisji Europejskiej obowiązek ten spoczywa na podmiotach korzystających z systemów sztucznej inteligencji, takich jak firmy, instytucje publiczne czy agencje, które mają kontrolę nad ich wykorzystaniem.

To sygnał, że unijne przepisy przestają być jedynie kierunkiem zmian, a stają się elementem codziennego funkcjonowania firm i organizacji.

Wadliwa decyzja AI? Nowa Komisja rozpatrzy skargi użytkowników

Nowa ustawa powołuje również instytucje, które mają nadzorować stosowanie przepisów oraz tworzy rozwiązania ułatwiające rozwój technologii AI. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji będzie mogła przyjmować skargi dotyczące działania systemów sztucznej inteligencji. Chodzi m.in. o sytuacje, w których algorytm podejmie błędną lub dyskryminującą decyzję, np. przy ocenie zdolności kredytowej, albo gdy narzędzie wykorzystujące sztuczną inteligencję nie działa zgodnie z deklarowanymi możliwościami. W przypadku systemów stwarzających zagrożenie dla życia lub zdrowia Komisja może nakazać ich wycofanie z rynku. Do zadań KRiBSI należy również wydawanie indywidualnych opinii dla przedsiębiorców. Dzięki temu firmy jeszcze przed wdrożeniem danego rozwiązania uzyskają ocenę jego zgodności z przepisami.

– Pierwsze miesiące działania KRiBSI będą miały ogromne znaczenie dla zaufania przedsiębiorców do nowego systemu. Komisja powinna od początku działać sprawnie, przewidywalnie i pozostawać otwarta na dialog. Ważne będzie również pozyskanie ekspertów, którzy rozumieją zarówno przepisy, jak i sposób wykorzystywania systemów AI – podkreśla Eliza Turkiewicz, dyrektorka departamentu rynku cyfrowego Konfederacji Lewiatan.

To szczególnie istotne dla pracodawców i firm HR, które w grudniu 2027 roku, czyli w kolejnym etapie wdrażania AI Act, zostaną objęte obowiązkami dotyczącymi wykorzystywania systemów wysokiego ryzyka, m.in. w rekrutacji czy selekcji CV. Wydłużony harmonogram implementacji pełnego rozporządzenia AI Act, oznacza, że branża HR zyskała więcej czasu na dostosowanie się do nowych regulacji i renegocjacje umów z dostawcami oprogramowania, aby zapewnić szczelne systemy.

Rekrutacja pod szczególną kontrolą. 68% organizacji doświadczyło wycieku danych przez AI

Według raportu Metomic z 2025 roku, cytowanego przez Security Magazine, 68% firm zetknęło się z incydentami bezpieczeństwa, w których pracownicy udostępniali wrażliwe informacje narzędziom AI (np. ChatGPT). Z analiz przywoływanych z kolei przez hcamag.com, branżowy serwis internetowy poświęcony tematyce zarządzania zasobami ludzkimi wynika, że dane HR znaleziono w 82% sprawdzonych wycieków danych, czyniąc je idealnym celem dla ataków wspomaganych AI.

Nie bez przyczyny Komisja Europejska w sekcji pytań i odpowiedzi dotyczących AI Act „Navigating the AI Act” wskazała, że rozwiązania bazujące na AI wykorzystywane do określonych zadań w obszarze HR, takich jak zarządzanie pracownikami i dostępu do samozatrudnienia mogą być uznawane za systemy wysokiego ryzyka. Dotyczy to m.in. narzędzi służących do targetowania ogłoszeń rekrutacyjnych, analizowania i filtrowania aplikacji oraz oceny kandydatów. Organizacje korzystające z takich rozwiązań muszą spełnić obowiązki wynikające z AI Act, odnoszące się do przejrzystości, nadzoru człowieka, jakości danych, cyberbezpieczeństwa i możliwości wyjaśnienia, jak doszło do danej rekomendacji lub decyzji.

W HR zawsze decydujemy o ludziach

– HR to nie jest marketing, tylko specyficzny obszar w działaniu każdego przedsiębiorstwa, który pracuje głównie na materiale ludzkim – komentuje Grzegorz Sadziak, Cloud Solution Architect i ekspert ds. cyberbezpieczeństwa z Supremo. I tłumaczy: – Sztuczna inteligencja w HR nie analizuje tylko procesów czy wyników, ale wpływa bezpośrednio na ludzi – ich karierę, dochody, poczucie własnej wartości i dalsze życie. Właśnie dlatego wymagania dotyczące cyberbezpieczeństwa i ochrony danych, muszą być tutaj wyjątkowo wysokie.

Przestrzeganie AI Act to nasza wspólna odpowiedzialność

W tym kontekście ważny jest też wymiar informacyjny. Komisja Europejska w opracowaniu „Navigating the AI Act” podkreśla, że jeżeli system wysokiego ryzyka jest wykorzystywany w miejscu pracy, organizacja musi wcześniej poinformować o tym pracowników i ich przedstawicieli. Jeżeli natomiast system ma służyć do podejmowania lub wspierania decyzji dotyczących osoby fizycznej, należy powiadomić także osobę, której taka decyzja dotyczy. AI Act przewiduje również prawo do uzyskania wyjaśnienia, gdy wynik systemu wysokiego ryzyka został wykorzystany przy decyzji wywołującej skutki prawne.

AI może rekomendować, ale nie powinna decydować

Dlatego unijny AI Act wzmacnia zasadę nadzoru człowieka nad działaniem technologii. Komisja Europejska wyjaśnia, że firma korzystająca z systemu wysokiego ryzyka musi wyznaczyć osobę lub osoby zdolne do sprawowania kontroli, monitorowania działania systemu oraz reagowania na zidentyfikowane ryzyka.

– AI Act to dla firm moment porównywalny z wejściem RODO – kończy się etap eksperymentów z AI bez jasnych zasad. Dla działów HR to szczególnie istotne, bo AI coraz częściej wspiera rekrutację, ocenę kandydatów czy zarządzanie personelem. Firmy, które przygotują się odpowiednio wcześnie, zyskają przewagę nie tylko regulacyjną, ale również reputacyjną – dodaje Kamil Jankowski, Dyrektor Marketingu i Komunikacji Gi Group Holding

Sztuczna inteligencja może wspierać rekrutera w porządkowaniu informacji, analizie kompetencji czy przygotowaniu rekomendacji, ale nie powinna przejmować roli osoby odpowiedzialnej za ostateczne rozstrzygnięcie.

- Dobrze zaprojektowany proces powinien wykorzystywać sztuczną inteligencję do wsparcia analizy, ale jednocześnie pozostawiać przestrzeń na ocenę kontekstu, niuansów i czynników, których system nie jest w stanie właściwie odczytać – podsumowuje Zuzanna Spaltenstein-Kotas, ekspertka ds. ochrony danych osobowych i compliance, Gi Group Holding.

Za naruszenie zapisów aktu o AI, w tym dotyczących przejrzystości, dostawcom grożą kary do 15 mln euro lub 3 proc. światowego rocznego obrotu przedsiębiorstwa, w zależności od tego która kwota jest wyższa.