Firmy w Polsce łamią unijne przepisy o AI, choć nie ma jeszcze polskiej ustawy

Polskie firmy zakładają, że przepisy unijnego rozporządzenia o sztucznej inteligencji zaczną ich obowiązywać dopiero po uchwaleniu krajowej ustawy wdrożeniowej. To błąd, który już teraz naraża je na kary sięgające milionów euro - AI Act jako unijne rozporządzenie obowiązuje bezpośrednio, niezależnie od tego, na jakim etapie są prace legislacyjne w Sejmie.

Co już obowiązuje

Od 2 lutego 2025 roku unijne rozporządzenie o sztucznej inteligencji jest bezpośrednio stosowanym prawem we wszystkich krajach członkowskich, w tym w Polsce. Oznacza to zakaz stosowania określonych praktyk uznanych za niedopuszczalne, takich jak rozpoznawanie emocji pracowników i uczniów, techniki podprogowego oddziaływania na decyzje ludzi, scoring społeczny czy kategoryzacja biometryczna według pochodzenia etnicznego, poglądów politycznych lub orientacji seksualnej. Zakazane jest też masowe pozyskiwanie wizerunków twarzy z internetu do baz rozpoznawania.

Od tego samego dnia obowiązuje też wymóg tzw. AI literacy - firmy muszą zapewnić pracownikom, którzy korzystają z systemów sztucznej inteligencji, odpowiednie kompetencje i wiedzę na temat działania tych narzędzi oraz wdrożyć wewnętrzne zasady ich stosowania. To właśnie ten obowiązek najczęściej jest ignorowany, ponieważ firmy nie kojarzą go z AI Act, tylko traktują jako element ogólnych szkoleń wewnętrznych albo pomijają całkowicie.

Przedsiębiorcy błędnie zakładają, że obowiązki zaczną obowiązywać po uchwaleniu polskiej ustawy - Krzysztof Rożko, radca prawny

Skąd bierze się nieporozumienie

Źródłem błędu jest sposób, w jaki AI Act trafia do polskiego systemu prawnego. To rozporządzenie unijne, a nie dyrektywa - obowiązuje więc wprost, bez potrzeby przyjmowania krajowej ustawy transponującej. Polska ustawa, nad którą pracuje Sejm, ma jedynie wskazać krajowy organ nadzoru i doprecyzować procedury egzekwowania przepisów, ale sama treść obowiązków dla firm wynika już z tekstu rozporządzenia przyjętego przez Unię Europejską.

Prawnicy porównują obecną sytuację do początków wdrażania RODO, kiedy firmy również czekały na krajowe przepisy wykonawcze, zanim zaczęły dostosowywać swoje procesy do unijnego rozporządzenia o ochronie danych - mimo że ono również obowiązywało od razu w całości.

Kolejny etap od sierpnia

2 sierpnia 2026 roku wchodzi w życie kolejna, istotniejsza część AI Act, dotycząca systemów wysokiego ryzyka. Firmy stosujące takie systemy będą musiały zapewnić zgodność z instrukcją dostawcy, wdrożyć nadzór człowieka sprawowany przez kompetentne osoby, prowadzić bieżące monitorowanie działania systemu, a w niektórych przypadkach przeprowadzić ocenę skutków dla praw podstawowych.

Według dr Judyty Latymowicz największym wyzwaniem dla biznesu nie będzie samo wdrożenie wymogów AI Act, lecz wcześniejszy krok - ustalenie, gdzie w organizacji w ogóle działa sztuczna inteligencja. Wiele firm nie prowadzi żadnego rejestru narzędzi AI używanych przez pracowników, systemów HR i rekrutacyjnych, programów biurowych z wbudowanymi funkcjami AI, CRM-ów czy kamer monitoringu z analizą obrazu.

Co powinny sprawdzić firmy

Eksperci rekomendują firmom odpowiedź na pięć pytań: czy wiadomo, z jakich narzędzi AI korzystają pracownicy, czy sztuczna inteligencja jest wykorzystywana w procesach HR i rekrutacji, czy istnieją wewnętrzne zasady korzystania z AI, czy zweryfikowano umowy z dostawcami takich rozwiązań oraz czy wyznaczono osoby odpowiedzialne za nadzór nad tymi systemami.

Dane pokazują skalę problemu z gotowością. Według cytowanych szacunków 42,2 proc. firm w Polsce deklaruje korzystanie z automatyzacji i sztucznej inteligencji, najczęściej w handlu i usługach, a aż 77 proc. stosuje już AI w obszarze cyberbezpieczeństwa. Mimo to większość z nich nie potrafi jednoznacznie wskazać, w których dokładnie procesach systemy AI są używane - co jest warunkiem wstępnym do spełnienia obowiązków rozporządzenia.

Kary za naruszenia AI Act należą do najsurowszych w unijnym prawie gospodarczym - do 35 mln euro lub 7 proc. globalnego rocznego obrotu przedsiębiorstwa, w zależności od tego, która wartość jest wyższa. Organ nadzoru będzie mógł też nakazać natychmiastowe wdrożenie pełnych wymogów dla systemów wysokiego ryzyka oraz działania naprawcze, zanim w ogóle dojdzie do nałożenia kary finansowej.

Co dalej

Dla polskich firm oznacza to, że czekanie na finalny kształt krajowej ustawy nie zwalnia z obowiązków, które już obowiązują od blisko półtora roku. Do 2 sierpnia 2026 roku zostało niewiele czasu na przegląd wykorzystywanych narzędzi AI, uzupełnienie szkoleń pracowniczych i przygotowanie dokumentacji zgodności - zwłaszcza w firmach korzystających z systemów uznawanych za wysokiego ryzyka.