Od 2 sierpnia 2026 roku pełne przepisy AI Act obowiązują we wszystkich krajach Unii Europejskiej. Większość dużych firm jest na to przygotowana, albo przynajmniej wie, że powinna być. Małe firmy w większości jeszcze nie wiedzą, że to ich dotyczy.
Dobre wieści: jeśli nie budujesz systemów AI wysokiego ryzyka (diagnostyki medycznej, scoringu kredytowego, rekrutacji na dużą skalę), zakres wymogów dla Ciebie jest znacznie węższy. Złe wieści: węższy nie znaczy żaden.
Czego wymaga AI Act od typowej małej firmy
AI Act klasyfikuje systemy AI według ryzyka. Dla zdecydowanej większości MSĘP relevantne są wymogi dla systemów niskiego i ograniczonego ryzyka. To oznacza cztery konkretne obowiązki: (1) rejestr systemów AI: lista narzędzi AI używanych w firmie, do czego służą i na jakich danych działają; (2) politykę korzystania z AI: zasady dla zespołu: co wolno wkleić do ChatGPT, czego nie wolno, kto może używać jakich narzędzi; (3) szkolenie zespołu z dokumentacją: AI Act wymaga śladu dokumentacyjnego, że pracownicy wiedzą kiedy mają do czynienia z systemem AI; (4) procedury nadzoru: kto odpowiada za monitoring, co się dzieje przy incydencie.
Co oznacza rejestr systemów AI w praktyce
Nie potrzebujesz dedykowanej platformy. Rejestr może być arkuszem kalkulacyjnym z kolumnami: nazwa narzędzia, cel użycia, rodzaj danych, kto używa, od kiedy, kto nadzoruje. ChatGPT, Midjourney, Notion AI, Copilot w Outlooku: każde z tych narzędzi powinno się tam znaleźć. Większość firm jest zaskoczona, gdy okazuje się, że ma 10-15 narzędzi AI w użyciu, często bez wiedzy właściciela.
Kiedy zaczyna się kontrola i kto kontroluje
Kontrolę przeprowadzają organy nadzoru rynku wyznaczone przez każde państwo członkowskie. W Polsce to UODO i UKE, w zależności od branży. Ale zanim dojdzie do formalnej kontroli: pierwsze pytania zadaje korporacyjny klient albo inwestor. Due diligence przed podpisaniem kontraktu coraz częściej zawiera pytania o używane systemy AI. Brak odpowiedzi nie wstrzymuje kontroli. Wstrzymuje kontrakt.
Co możesz zrobić w ciągu tygodnia
Realnie, bez projektu konsultingowego: dzień 1, wypisz wszystkie narzędzia AI używane przez zespół, oficjalnie i nieoficjalnie. Dzień 2-3, stwórz prostą politykę korzystania z AI, jedna strona A4 wystarczy. Dzień 4-5, przeprowadź krótkie szkolenie i zanotuj kto był obecny. Nie musi być certyfikowane, wystarczy spotkanie z notatką. Dzień 6-7, wyznacz osobę odpowiedzialną za monitoring i zapisz procedurę incydentu.
Czego sam nie zrobisz
Klasyfikacja systemów AI według kategorii ryzyka wymaga znajomości rozporządzenia. Ocena, czy dany system kwalifikuje się jako wysokiego ryzyka, nie jest oczywista. Jeśli firma świadczy usługi B2B dla dużych klientów albo szuka inwestora, przygotowanie do AI Act warto zrobić porządnie, nie byle zaliczyć. Tu zwykle warto mieć kogoś z zewnątrz. Nie dlatego, że to skomplikowane, ale dlatego, że nie widzisz własnych narzędzi takim wzrokiem jak ktoś, kto ma listę kontrolną z regulacji.
Podsumowanie
AI Act dotyczy każdej firmy używającej narzędzi AI, a to w 2026 roku oznacza praktycznie każdą firmę z zespołem. Zakres wymogów dla typowego MSĘP jest do zarządzenia w kilka dni. Pytanie nie brzmi, czy to zrobić. Brzmi, kiedy i jak dokładnie.