AI Act a ChatGPT w małej firmie: co musisz zrobić

Firma, która używa ChatGPT albo Claude do maili, ofert i analiz, ma dziś z AI Act dwa obowiązki: zadbać o kompetencje zespołu w korzystaniu z AI i oznaczać deepfake’i oraz niektóre teksty publikowane jako informacja dla społeczeństwa. Do tego jeden zakaz, który warto znać: AI nie może oceniać emocji pracowników. Ciężkie obowiązki „wysokiego ryzyka” zaczną obowiązywać dopiero 2 grudnia 2027 r. i dotyczą konkretnych zastosowań, głównie rekrutacji i oceny ludzi.

To nie jest porada prawna. Przepisy są nowe, a urząd, który ma je egzekwować w Polsce, dopiero zaczyna działać. Jeśli używasz AI przy decyzjach o pracownikach albo kandydatach, porozmawiaj z radcą prawnym, zanim zbudujesz na tym stały proces. Stan na październik 2026.

Kim jest Twoja firma w AI Act

AI Act, czyli rozporządzenie (UE) 2024/1689, dzieli firmy na tych, którzy systemy AI tworzą (dostawcy), i tych, którzy z nich korzystają. Twoja firma jest w drugiej grupie. Przepis nazywa ją „podmiotem stosującym”: to każdy, kto wykorzystuje system AI pod swoją kontrolą, z wyjątkiem użytku prywatnego, pozazawodowego (art. 3 pkt 4).

Większość obowiązków z AI Act spada na dostawców. Obowiązki twórców modeli ogólnego przeznaczenia, czyli OpenAI czy Anthropic, obowiązują od 2 sierpnia 2025 r. i ich nie musisz wykonywać za nich. Ty odpowiadasz za to, jak Twoja firma używa narzędzia.

Obowiązek 1: kompetencje zespołu w korzystaniu z AI

Art. 4 każe podmiotom stosującym podejmować środki, które wspierają rozwój kompetencji w zakresie AI wśród personelu. Obowiązuje od 2 lutego 2025 r.

W lipcu 2026 r. UE złagodziła ten przepis aktem zbiorczym 2026/1744, opublikowanym 24 lipca 2026 r. Wcześniej trzeba było zapewnić „w możliwie największym stopniu odpowiedni poziom” kompetencji. Teraz wystarczą środki, które je wspierają, a przepis wprost mówi, że nie musisz gwarantować określonego poziomu u poszczególnych osób. Komisja Europejska i państwa członkowskie mają w tym wspierać zwłaszcza MŚP, a Komisja publikuje praktyczne przykłady, jak spełnić ten obowiązek.

Przepis nie podaje formy szkolenia ani liczby godzin. Ma uwzględniać wiedzę i doświadczenie ludzi oraz kontekst, w którym używają AI. W małej firmie zwykle wystarczy:

• krótkie spotkanie: do czego używamy czatu, czego do niego nie wklejamy, jak sprawdzamy odpowiedzi;
• spisane zasady na jedną stronę, dostępne dla każdego;
• notatka, kto i kiedy przeszedł takie wprowadzenie, żeby mieć co pokazać przy kontroli.

Co wolno wklejać do czatu, to w dużej mierze sprawa RODO, nie AI Act. Opisaliśmy ją w tekście czy AI w firmie łamie RODO.

Obowiązek 2: oznaczanie deepfake’ów i niektórych tekstów

Art. 50 ust. 4 obowiązuje podmioty stosujące od 2 sierpnia 2026 r. Akt zbiorczy tego terminu nie przesunął: odroczenie do 2 grudnia 2026 r. dotyczy tylko dostawców i technicznego znakowania plików.

Obowiązek ma dwie części:

• Deepfake. Jeśli AI generuje albo przerabia obraz, dźwięk lub wideo, które przypomina istniejące osoby, miejsca czy zdarzenia i które odbiorca mógłby wziąć za prawdziwe, musisz ujawnić, że to treść sztucznie wygenerowana. Przykład z firmy: film reklamowy, w którym „mówi” wygenerowany głos prezesa, albo realistyczne zdjęcie Twojego sklepu pełnego klientów z dnia, który nigdy się nie wydarzył.
• Tekst o sprawach publicznych. Tekst z AI publikowany, żeby informować społeczeństwo o sprawach interesu publicznego, też oznaczasz. Wyjątek: tekst przeszedł weryfikację człowieka albo kontrolę redakcyjną i ktoś ponosi za publikację odpowiedzialność redakcyjną.

Zwykły mail do klienta, oferta czy opis produktu napisany z pomocą czatu nie jest deepfake’iem ani tekstem o sprawach publicznych. Gdy firmowy wpis albo komunikat przed publikacją czyta i zatwierdza konkretna osoba, mieści się w wyjątku redakcyjnym.

Czego nie wolno w ogóle

Zakazy z art. 5 w pierwotnym brzmieniu obowiązują od 2 lutego 2025 r. (nowe zakazy dodane aktem zbiorczym - od 2 grudnia 2026 r.). Większość dotyczy rzeczy, których mała firma nie robi. Jeden może dotknąć zwykłego pracodawcy: zakaz używania AI do wyciągania wniosków o emocjach osoby w miejscu pracy, z wyjątkiem względów medycznych i bezpieczeństwa (art. 5 ust. 1 lit. f).

W praktyce: nie wrzucasz do czatu nagrań rozmów handlowców z prośbą o ocenę, czy pracownik był zdenerwowany albo znudzony, i nie kupujesz narzędzia, które robi to automatycznie. Za naruszenie zakazów grozi najwyższa kara w całym rozporządzeniu: do 35 000 000 EUR albo 7% rocznego obrotu.

Kiedy zwykły czat zamienia się w wysokie ryzyko

AI Act wymienia w załączniku III zastosowania wysokiego ryzyka. Dla małej firmy liczy się pkt 4, zatrudnienie:

• rekrutacja: analizowanie i filtrowanie podań o pracę, ocena kandydatów;
• decyzje o awansie i zwolnieniu, przydział zadań na podstawie cech osobowości, monitorowanie i ocena wydajności pracowników.

ChatGPT i Claude same w sobie nie są systemami wysokiego ryzyka. Art. 25 ust. 1 lit. c mówi jednak, że kto zmienia przeznaczenie systemu ogólnego przeznaczenia tak, że staje się on systemem wysokiego ryzyka, jest traktowany jak jego dostawca, z pełnymi obowiązkami dostawcy. Czy jednorazowe wklejenie kilku CV do czatu to już taka zmiana, przepis wprost nie rozstrzyga. Stały proces selekcji kandydatów zbudowany na AI to sytuacja, w której warto zapytać prawnika.

Czas na to jest. Akt zbiorczy przesunął obowiązki dla systemów z załącznika III, w tym art. 25 i art. 26, z 2 sierpnia 2026 r. na 2 grudnia 2027 r. Od tej daty firma, która używa takiego systemu, musi m.in. powierzyć nadzór nad nim przeszkolonym osobom i uprzedzić pracowników, że system będzie wobec nich stosowany. O tym, gdzie człowiek powinien zatwierdzać pracę AI także poza przepisami, piszemy w tekście co agent AI robi sam, a co zatwierdza człowiek.

Kto sprawdza i ile grozi

W Polsce AI Act uzupełnia ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Organem nadzoru jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Przepisy ustawy o karach wchodzą w życie 28 października 2026 r.

Ta komisja nakłada kary w wysokości z AI Act, przeliczając euro na złote po kursie NBP z 28 stycznia danego roku. Za naruszenie obowiązków z art. 26 albo art. 50 grozi do 15 000 000 EUR albo 3% rocznego obrotu. Dla MŚP liczy się niższa z tych dwóch wartości.

Przykład: firma z obrotem 2 000 000 EUR. 3% obrotu to 60 000 EUR i to jest górna granica kary za brak oznaczenia deepfake’a. To maksimum, nie stawka: przy ustalaniu kary urząd bierze pod uwagę wszystkie okoliczności sprawy.

Co zrobić w tym tygodniu

1. Spisz na jednej stronie, do czego firma używa ChatGPT albo Claude i czego nie wolno do nich wklejać. Omów to z zespołem i zanotuj, kto był na spotkaniu.
2. Sprawdź, czy publikujecie wygenerowane obrazy, głosy albo wideo, które ktoś mógłby wziąć za prawdziwe. Jeśli tak, dodaj do nich informację, że powstały z AI.
3. Upewnij się, że nikt nie używa AI do oceny emocji pracowników.
4. Jeśli AI pomaga w rekrutacji albo ocenie pracowników, zapisz to jako temat do rozmowy z prawnikiem przed grudniem 2027 r.

Jeśli chcesz uporządkować zasady korzystania z AI w firmie razem z kimś, kto wdraża takie narzędzia na co dzień, umów bezpłatną konsultację.