Polska ustawa o AI już obowiązuje. Co powinna wiedzieć firma korzystająca ze sztucznej inteligencji?
11 sierpnia 2026 r. weszła w życie polska ustawa o systemach sztucznej inteligencji. Jej znaczenie dla przedsiębiorców warto jednak oceniać razem z unijnym AI Act. Polska regulacja nie tworzy bowiem odrębnego, konkurencyjnego systemu zasad dla sztucznej inteligencji. Jej głównym zadaniem jest zorganizowanie w Polsce nadzoru nad stosowaniem unijnych przepisów. Dla przedsiębiorców oznacza to przede wszystkim konieczność uporządkowania sposobu, w jaki AI jest wykorzystywana w organizacji.
Nowy organ będzie nadzorował rynek AI
Jedną z najważniejszych zmian jest utworzenie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). To właśnie ten organ ma odpowiadać za wykonywanie części zadań związanych z nadzorem nad AI w Polsce.
Nie oznacza to jednak, że od 11 sierpnia wszystkie kompetencje kontrolne Komisji są już w praktyce wykonywane. Ustawa przewiduje okres organizacyjny, a część przepisów dotyczących m.in. kontroli, postępowań i kar zacznie obowiązywać 28 października 2026 r. Dla biznesu istotne jest więc nie tyle samo powołanie nowego organu, ile to, że korzystanie z AI będzie podlegało coraz bardziej konkretnemu systemowi nadzoru.
AI używane przez pracownika też może mieć znaczenie
Obowiązki wynikające z AI Act nie dotyczą wyłącznie firm budujących własne modele sztucznej inteligencji. Przedsiębiorstwo może być objęte regulacjami również wtedy, gdy kupuje gotowe rozwiązanie i wykorzystuje je w swojej działalności. Przykładami mogą być narzędzia wspierające rekrutację, analizę kandydatów, obsługę klienta, tworzenie treści, analizę dokumentów czy automatyzację procesów.
Nie oznacza to oczywiście, że każde użycie ChatGPT lub innego narzędzia AI automatycznie powoduje powstanie rozbudowanych obowiązków prawnych. Kluczowe znaczenie ma sposób wykorzystania konkretnego systemu oraz jego rola w procesie biznesowym. Z praktycznego punktu widzenia przedsiębiorca powinien zacząć od stworzenia wewnętrznej mapy wykorzystywanych narzędzi AI.
Warto ustalić w szczególności: (i) z jakich systemów korzystają poszczególne działy, (ii) jakie zadania wykonuje AI, (iii) czy system przetwarza dane osobowe lub informacje poufne, (iv) czy jego działanie wpływa na decyzje dotyczące klientów, pracowników lub kandydatów, (v) kto odpowiada za korzystanie z danego rozwiązania, (vi) na jakiej podstawie firma korzysta z konkretnego systemu.
Taki przegląd pozwala odróżnić zwykłe zastosowania AI, np. pomoc w przygotowaniu tekstu, od wdrożeń, które mogą wiązać się z istotniejszymi obowiązkami wynikającymi z AI Act.
Przejrzystość staje się obowiązkiem biznesowym
Jednym z obszarów, na które firmy powinny zwrócić szczególną uwagę, są obowiązki dotyczące transparentności działania AI. Od 2 sierpnia 2026 r. obowiązują m.in. przepisy AI Act dotyczące informowania użytkowników o określonych zastosowaniach sztucznej inteligencji oraz oznaczania niektórych treści wygenerowanych lub zmodyfikowanych przez AI. Dotyczy to m.in. określonych zastosowań chatbotów oraz treści typu deepfake. W praktyce oznacza to, że firma powinna przeanalizować swoje strony internetowe, chatboty, materiały marketingowe i inne kanały komunikacji, w których AI może być wykorzystywana.
Szczególnej uwagi wymagają systemy wysokiego ryzyka
Największe znaczenie regulacyjne mają systemy zakwalifikowane przez AI Act jako wysokiego ryzyka. Jeżeli przedsiębiorstwo wykorzystuje AI np. w procesach związanych z zatrudnieniem, oceną pracowników lub innymi decyzjami mogącymi istotnie wpływać na sytuację człowieka, konieczna może być znacznie dokładniejsza analiza zgodności.
W takich przypadkach samo stwierdzenie, że „korzystamy z legalnego narzędzia AI”, zdecydowanie nie wystarcza. Należy ustalić, jaką funkcję pełni system, jakie decyzje wspiera i jakie obowiązki przypadają przedsiębiorcy jako użytkownikowi systemu.
Co przedsiębiorca powinien zrobić teraz?
Wejście w życie polskiej ustawy warto potraktować jako dobry moment na uporządkowanie firmowego podejścia do AI. Minimum, które warto zrobić w celu uniknięcia ryzyk, to:
- Zidentyfikować narzędzia AI - sprawdzić, z jakich rozwiązań korzystają pracownicy i poszczególne działy,
- Określić zastosowanie każdego systemu - nie wystarczy wiedzieć, że firma korzysta z danego narzędzia. Trzeba wiedzieć, do czego dokładnie jest ono wykorzystywane,
- Zweryfikować dane przekazywane do AI - szczególnej uwagi wymagają dane osobowe, informacje poufne, tajemnica przedsiębiorstwa oraz dane klientów,
- Ocenić ryzyko regulacyjne - należy sprawdzić, czy dane zastosowanie może podlegać szczególnym wymaganiom AI Act,
- Wprowadzić wewnętrzne zasady korzystania z AI - prosta polityka AI może określać, jakie narzędzia są dopuszczone, jakich informacji nie wolno do nich wprowadzać oraz kto odpowiada za ich wykorzystywanie.
Nowe przepisy to nie tylko dodatkowe obowiązki
Ustawa przewiduje również możliwość funkcjonowania piaskownic regulacyjnych, czyli kontrolowanych środowisk, w których można testować innowacyjne rozwiązania AI przy wsparciu regulacyjnym. Jest to szczególnie interesujące dla firm rozwijających własne produkty wykorzystujące sztuczną inteligencję. Dla przedsiębiorców regulacje dotyczące AI mogą więc oznaczać nie tylko dodatkowe wymagania, ale również większą przewidywalność zasad prowadzenia działalności w obszarze nowych technologii.
Co zatem zmienia się dla przedsiębiorcy?
Najważniejsza zmiana nie polega na tym, że od 11 sierpnia 2026 r. każda firma musi wdrożyć skomplikowany system compliance AI. Zmienia się przede wszystkim otoczenie prawne, w którym przedsiębiorcy wykorzystują sztuczną inteligencję. AI przestaje być wyłącznie kwestią technologiczną. Przy niektórych zastosowaniach staje się również kwestią prawną, organizacyjną i biznesową.
Dlatego przedsiębiorca powinien dziś zadać sobie trzy podstawowe pytania: gdzie w naszej firmie wykorzystujemy AI? Jakie ryzyka się z tym wiążą? Kto za nie odpowiada? Im wcześniej firma odpowie na te pytania, tym łatwiej będzie jej dostosować się do kolejnych obowiązków wynikających z AI Act i polskich przepisów.
