← Wszystkie artykuły

Wymagania wobec AI dla firm — stan na 15 września 2026

Wymagania wobec AI dla firm — stan na 15 września 2026

Wymagania wobec AI dla firm — stan na 15 września 2026

Od lipca słyszę w kółko to samo pytanie, tylko zadawane o różne rzeczy: o chatbota do pisania ofert, o narzędzie oceniające rozmowy handlowców, ostatnio o system, który wstępnie przegląda CV. Brzmi zawsze tak samo, „czy to wolno”, a odpowiedź trzeba za każdym razem składać z kilku aktów naraz, bo jednej ustawy o AI, którą da się przeczytać w godzinę i mieć z głowy, nie ma.

Składałem tę mapę dla siebie, bo co drugi projekt zatrzymywał mi się w tym samym miejscu. Omawiam cztery podstawowe akty istotne dla takich wdrożeń; zależnie od zastosowania dochodzą kolejne, na przykład przepisy sektorowe albo prawo autorskie. Przy każdym piszę, od kiedy działa i co z niego realnie wynika.

To autorska analiza praktyka wdrożeń AI, który nie jest prawnikiem. Materiał ogólny, nie rozstrzyga zgodności konkretnego wdrożenia. Stan przepisów na 15 września 2026 r. Przed wdrożeniem skonsultuj proces z prawnikiem lub inspektorem ochrony danych.

Spis treści

  1. 1. Co obowiązuje firmę używającą AI we wrześniu 2026
  2. 2. AI Act: co już działa, a co dopiero wejdzie
  3. 3. Polska ustawa o systemach sztucznej inteligencji i KRiBSI
  4. 4. Kodeks pracy: monitoring i analiza pracy przez algorytm
  5. 5. RODO: decyzje automatyczne i ocena skutków przed wdrożeniem
  6. 6. Co nadchodzi: dwie dyrektywy do wdrożenia w grudniu
  7. 7. Poza przepisami: tajemnica przedsiębiorstwa i prawa autorskie
  8. 8. Kalendarz dat, które mają znaczenie
  9. 9. Co zrobić w tym kwartale
  10. 10. Najczęstsze pytania
  11. 11. Źródła

Co obowiązuje firmę używającą AI we wrześniu 2026

Regulacje AI długo miały w firmach status tematu odłożonego: przez dwa lata o AI Act mówiło się jak o czymś, co „kiedyś wejdzie”. Część obowiązków działa jednak od lutego 2025 r., a latem 2026 zmienił się kalendarz pozostałych i doszły polskie przepisy o nadzorze.

Ze strony unijnej: 27 lipca 2026 r. weszło w życie rozporządzenie zmieniające AI Act, w skrócie nazywane pakietem omnibus. Przesunęło część terminów o kilkanaście miesięcy w przód, a część obowiązków zostawiło tam, gdzie były. Skutek jest paradoksalny, bo firmy usłyszały „przesunięto” i odłożyły temat w całości, choć przesunięcie dotyczy jednej warstwy, i to akurat tej, która obejmuje rekrutację i ocenę pracy. Zakazy, obowiązek kompetencji i przejrzystość zostały tam, gdzie były.

Ze strony krajowej: mamy własną ustawę o systemach sztucznej inteligencji i nowy organ nadzoru. Do sierpnia 2026 r. w Polsce nie było organu wyposażonego w kompetencje nadzorcze wynikające z tej ustawy. To nie znaczy, że użycie AI wobec ludzi leżało wcześniej poza kontrolą: RODO egzekwuje Prezes UODO, przepisy o monitoringu w miejscu pracy Państwowa Inspekcja Pracy, i obie instytucje działały przez cały ten czas.

Najbliższy mi przykład: w dużej firmie produkcyjnej, z którą pracowałem, pojawił się pomysł, żeby AI analizowała nagrania rozmów handlowców. Stanął na wymogach Kodeksu pracy dotyczących monitoringu: celu, zapisu w regulaminie albo obwieszczeniu, dwóch tygodni uprzedzenia i informacji na piśmie, czego wcześniej nikt nie sprawdził. Nie dlatego, że ktoś był przeciw, po prostu nie było mapy, do której można zajrzeć.

AI Act: co już działa, a co dopiero wejdzie

AI Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 r. Rozporządzenie znaczy tyle, że obowiązuje w Polsce bezpośrednio, bez przepisywania na polską ustawę. Dzieli zastosowania AI według ryzyka: wymienionych praktyk zakazuje, dla systemów wysokiego ryzyka stawia twarde wymogi, a poza tymi kategoriami nakłada mniej. Nie znaczy to, że nic: art. 50 dotyczy określonych funkcji i zastosowań, między innymi bezpośredniej interakcji z człowiekiem oraz generowania i ujawniania określonych treści.

Przy każdym narzędziu zaczynam od jednego pytania: czy firma tego systemu wyłącznie używa, czy zaczyna go też sprzedawać albo przerabiać pod własną marką. Od tego zależy reszta. Rozporządzenie inaczej traktuje dostawcę (tego, kto system rozwija i wprowadza do obrotu pod własną nazwą) i podmiot stosujący (firmę, która używa systemu pod własną kontrolą). Większość obowiązków projektowych i technicznych leży po stronie dostawcy. Firma kupująca gotowe narzędzie ma zestaw węższy, ale własny, i to on jest przedmiotem tego tekstu. Uwaga praktyczna: art. 25 przewiduje sytuacje, w których podmiot stosujący albo dystrybutor sam staje się dostawcą i przejmuje cięższe obowiązki. Dzieje się tak między innymi wtedy, gdy umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka wprowadzonym już do obrotu albo gdy zmieni przeznaczenie systemu, w tym systemu ogólnego przeznaczenia, tak że staje się on systemem wysokiego ryzyka.

O zakresie obowiązków nie decyduje nazwa narzędzia. Decyduje jego przeznaczenie, funkcje i rola, w jakiej występuje firma. Chatbot obsługujący klientów i chatbot wpięty w proces rekrutacji to z punktu widzenia rozporządzenia dwie różne sprawy, choć technicznie bywa to ten sam produkt.

Dla firmy, która AI używa, szczególnie istotne są dziś trzy grupy wymagań: jeden z zakazów z art. 5, obowiązek kompetencji z art. 4 i przejrzystość z art. 50.

Zakaz, który działa od lutego 2025 i nikt go nie przesunął

Artykuł 5 ust. 1 lit. f zakazuje wprowadzania do obrotu, oddawania do użytku i wykorzystywania systemów AI „do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy lub instytucjach edukacyjnych”, z wyjątkiem przypadków, w których system ma zostać wdrożony ze względów medycznych lub bezpieczeństwa. To nie jest kategoria wysokiego ryzyka z listą wymogów do spełnienia, tylko praktyka zabroniona. Katalog zakazów w art. 5 jest szerszy i obejmuje między innymi manipulację, ocenę społeczną czy zdalną identyfikację biometryczną; omnibus dołożył do niego dwie kolejne pozycje, dotyczące generowania materiałów intymnych i materiałów przedstawiających wykorzystywanie dzieci, które zaczną być stosowane od 2 grudnia 2026 r.

Zakres zakazu dotyczącego emocji jest węższy, niż sugerują nagłówki, i to akurat warto wiedzieć przed zakupem narzędzia. „System rozpoznawania emocji” rozporządzenie definiuje w art. 3 pkt 39 jako system służący do identyfikacji lub wywnioskowania emocji lub zamiarów osób fizycznych na podstawie danych biometrycznych tych osób. Analiza tonu wypowiedzi prowadzona wyłącznie na zapisie tekstowym rozmowy pod tę definicję wprost nie podpada. Prawnie obojętna przez to nie jest, bo wchodzi wtedy w Kodeks pracy i RODO, o czym niżej.

Jeśli dostawca narzędzia do analizy rozmów pokazuje funkcję nazwaną „poziom energii konsultanta”, „nastrój klienta z głosu” albo „wykrywanie frustracji”, to jest moment na pytanie, z czego dokładnie ten wskaźnik jest liczony. Odpowiedź „z barwy i tempa głosu” może oznaczać przetwarzanie danych biometrycznych i wnioskowanie o emocjach w rozumieniu rozporządzenia, więc wymaga sprawdzenia danych wejściowych i sposobu działania systemu, zanim ktokolwiek podpisze umowę. Osobno trzeba sprawdzić, kogo taka funkcja dotyczy, bo zakaz z lit. f mówi o miejscu pracy, a analiza emocji klienta w innych kontekstach wymaga własnej oceny. Najczęstszy błąd, jaki widzę: firma kupuje pakiet z pięcioma funkcjami, potrzebuje trzech, a dwie pozostałe włączają się domyślnie.

Obowiązek wobec własnych ludzi: kompetencje AI

Artykuł 4 mówi, że dostawcy i podmioty stosujące systemy AI „podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu”. Przepis obowiązuje od 2 lutego 2025 r., ale ma dziś inne brzmienie niż wtedy, bo pakiet omnibus nadał mu nową treść.

Różnica jest dla firmy wygodna. Wcześniej przepis czytano jako obowiązek zapewnienia odpowiedniego poziomu kompetencji, co brzmiało jak obowiązek rezultatu. Nowe brzmienie wprost dodaje, że obowiązek „nie oznacza, że dostawcy lub podmioty mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby”. Środki mają być dobrane z uwzględnieniem wiedzy technicznej, doświadczenia i wykształcenia tych osób oraz kontekstu, w którym systemy będą wykorzystywane.

Dotyczy to każdej firmy używającej AI pod własną kontrolą, łącznie z trzyosobowym biurem z jednym chatbotem, bo próg wielkości nie istnieje. W praktyce sprowadza się do szkolenia, instrukcji wewnętrznej, warsztatu albo materiałów do samodzielnej nauki, udokumentowanych i dopasowanych do tego, co ludzie faktycznie robią. Jedna prezentacja dla wszystkich plus lista obecności to najczęstsza wersja tego obowiązku, jaką widuję, i najsłabsza: dla księgowej, magazyniera i handlowca sensowne przykłady są różne, a to właśnie przykłady decydują, czy ktokolwiek zmieni sposób pracy.

Warto wiedzieć jedno: art. 4 nie ma własnej sankcji. Katalog kar z art. 99 wymienia naruszenia art. 5 oraz obowiązki dostawców, importerów, dystrybutorów, podmiotów stosujących z art. 26 i obowiązki przejrzystości z art. 50, ale nie art. 4. Nie znaczy to, że przepis jest ozdobą, bo stan kompetencji w firmie będzie miał znaczenie przy ocenie innych naruszeń i przy rozmowie z organem. Znaczy tylko, że art. 99 nie przewiduje odrębnej administracyjnej kary pieniężnej za samo naruszenie art. 4. Szkolenie nie jest też jedyną formą realizacji tego obowiązku.

Przejrzystość od sierpnia tego roku: kto właściwie ma co zrobić

Artykuł 50 obowiązuje od 2 sierpnia 2026 r. i pakiet omnibus go nie odroczył. Rozdziela obowiązki między dostawców i podmioty stosujące, zależnie od funkcji systemu, a mieszanie tych ról to najczęstsze źródło nieporozumień.

Po stronie dostawcy jest to, czego firma kupująca narzędzie i tak za niego nie zrobi. System przeznaczony do bezpośredniej interakcji z człowiekiem ma być zaprojektowany tak, żeby rozmówca był informowany, że rozmawia z AI, chyba że jest to oczywiste dla osoby „dostatecznie poinformowanej, uważnej i ostrożnej”. Treści syntetyczne mają być oznaczane w formacie nadającym się do odczytu maszynowego, z wyłączeniem sytuacji, w których system pełni funkcję wspomagającą przy standardowej edycji albo nie zmienia w istotny sposób danych wejściowych. Firma kupująca narzędzie nie wykona tego za dostawcę, ma za to interes w tym, żeby jego oświadczenie trafiło do umowy. Braki po stronie dostawcy potrafią utrudnić korzystanie z systemu, więc warto sprawdzić dokumentację i zobowiązania umowne.

Firma używająca narzędzia ma własne dwa obowiązki ujawnienia. Jeden dotyczy treści typu deepfake: obrazów, dźwięku i wideo łudząco przypominających rzeczywistość. Drugi wchodzi przy tekście publikowanym po to, by informować społeczeństwo o sprawach leżących w interesie publicznym; tu przepis przewiduje wyjątek, gdy treść przeszła weryfikację człowieka lub kontrolę redakcyjną, a osoba fizyczna lub prawna ponosi za publikację odpowiedzialność redakcyjną. O kwalifikacji decyduje cel i temat konkretnej publikacji, nie to, że stoi ona pod firmowym adresem; tekst, który właśnie czytasz, opisuje przepisy, więc sam wymaga takiej oceny. Gdy publikacja mieści się w tej kategorii, wchodzi wyjątek redakcyjny, ale dopiero po spełnieniu wszystkich jego przesłanek. I uwaga na skrót myślowy: to nie zdejmuje z firmy całego art. 50. Obowiązek dotyczący deepfake’ów działa niezależnie, a wideo z „wystąpieniem” prezesa, którego prezes nigdy nie wygłosił, jest dokładnie takim przypadkiem. Osobno art. 50 ust. 3 nakazuje podmiotom stosującym systemy rozpoznawania emocji albo kategoryzacji biometrycznej poinformować osoby, wobec których są stosowane; dotyczy to zastosowań dozwolonych i nie legalizuje praktyki zakazanej przez art. 5.

Niezależnie od podziału ról informacja ma dotrzeć do człowieka jasno i wyraźnie, najpóźniej przy pierwszej interakcji lub pierwszej ekspozycji na treść, stosownie do obowiązku. Czyli: pierwsza wiadomość czatu albo zapowiedź bota telefonicznego. Nie regulamin.

Dostawcy systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. mają czas na dostosowanie oznaczania do 2 grudnia 2026 r. Kupując takie narzędzie jesienią, warto wiedzieć, po której stronie tej daty jest produkt, który właśnie oglądasz.

Wysokie ryzyko w zatrudnieniu: grudzień 2027, ale decyzje zapadają dziś

Załącznik III pkt 4 zalicza do systemów wysokiego ryzyka AI używaną do rekrutacji i selekcji kandydatów, do decyzji o warunkach pracy, awansie i rozwiązaniu umowy, do przydzielania zadań na podstawie zachowania lub cech osobowości, a także „do monitorowania lub oceny wydajności i zachowania” pracowników. W tekście zmian z lipca 2026 r. załącznik III pkt 4 nie został zmieniony; poprawki w załącznikach objęły załącznik I, załącznik VIII i dodanie nowego załącznika XIV.

Sama przynależność do załącznika III nie przesądza jeszcze o kwalifikacji konkretnego systemu. Artykuł 6 ust. 3 pozwala uznać, że system z tego załącznika nie jest systemem wysokiego ryzyka, gdy nie stwarza „znaczącego ryzyka szkody dla zdrowia, bezpieczeństwa lub praw podstawowych osób fizycznych”, a przy tym spełnia jeden z czterech warunków, na przykład wykonuje wąsko określone zadanie proceduralne albo zadania przygotowawcze. System, który profiluje osoby fizyczne, zawsze pozostaje systemem wysokiego ryzyka. Ocenę dokumentuje dostawca przed wprowadzeniem systemu do obrotu i na żądanie organu ma ją przedstawić. Firma kupująca narzędzie może więc poprosić o tę dokumentację i po jej jakości poznać, czy dostawca w ogóle zajmował się tematem.

Obowiązki z rozdziału III dla systemów z załącznika III zaczną być stosowane 2 grudnia 2027 r., a dla AI wbudowanej w produkty regulowane, objętej załącznikiem I, 2 sierpnia 2028 r. Te obowiązki są rozdzielone między role: zarządzanie ryzykiem, dokumentacja techniczna, jakość danych treningowych i zaprojektowanie nadzoru człowieka obciążają dostawcę, natomiast firma stosująca system odpowiada za to, co opisuje art. 26, czyli między innymi za używanie systemu zgodnie z instrukcją, powierzenie nadzoru osobom o odpowiednich kompetencjach, monitorowanie działania i przechowywanie rejestrów zdarzeń. W tym samym artykule, w ust. 7, jest obowiązek szczególnie łatwy do przeoczenia: pracodawca informuje przedstawicieli pracowników i samych pracowników, zanim system wysokiego ryzyka zostanie wobec nich użyty. Ten obowiązek przesunął się razem z całym rozdziałem, więc publikacje podające przy nim sierpień 2026 r. powielają datę sprzed zmiany.

Co z systemem uruchomionym dziś? Tu warto znać art. 111 ust. 2 w brzmieniu po omnibusie, bo działa inaczej, niż podpowiada intuicja. Systemy wysokiego ryzyka wprowadzone do obrotu lub oddane do użytku przed datą rozpoczęcia stosowania rozdziału III podlegają tym wymogom tylko wtedy, gdy po tej dacie wprowadza się w nich istotne zmiany w projekcie. Osobna reguła dotyczy systemów przeznaczonych dla organów publicznych, gdzie zgodność trzeba osiągnąć do 2 sierpnia 2030 r. Praktyczny wniosek dla firmy jest taki, że „przesunięte na grudzień 2027″ nie oznacza automatycznego objęcia dzisiejszego wdrożenia nowym reżimem za rok, ale też nie daje spokoju: istotna zmiana w projekcie systemu może te wymogi uruchomić, a ocena zależy od charakteru zmiany. Zaprojektowanie dokumentacji i nadzoru od razu jest zwykle tańsze niż dokładanie ich do działającego procesu. Niezależnie od kalendarza AI Act system oceniający ludzi może podlegać przepisom o monitoringu i ochronie danych już dziś; zakres obowiązków trzeba ustalić dla konkretnego procesu.

Szerzej o podziale ról między dostawcę a firmę używającą narzędzia pisałem w przewodniku wdrożeniowym po EU AI Act. Uwaga przy lekturze: tamten tekst powstał przed lipcowym pakietem omnibus, więc kalendarz terminów traktuj jak nieaktualny i sprawdzaj go tutaj.

Polska ustawa o systemach sztucznej inteligencji i KRiBSI

To jest akt, o którym wie najmniej osób, a który określa krajowy nadzór i procedury egzekwowania AI Act: ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003. Weszła w życie 11 sierpnia 2026 r., w środku wakacji, i w rozmowach z firmami praktycznie się nie pojawia.

Nowych zakazów w niej nie ma, bo AI Act obowiązuje w Polsce wprost i nie było czego przepisywać. Ustawa powołuje organ, który ma te przepisy egzekwować, i opisuje, jak wygląda postępowanie. Organem jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Artykuł 5 ust. 1 czyni ją organem nadzoru rynku w rozumieniu art. 70 ust. 1 AI Act, a ust. 2 pojedynczym punktem kontaktowym wobec instytucji unijnych. Obsługę administracyjną i biurową zapewnia urząd obsługujący ministra właściwego do spraw informatyzacji (art. 43 ust. 1), a Przewodniczącego powołuje i odwołuje Sejm za zgodą Senatu, na pięcioletnią kadencję (art. 28 ust. 1).

Data, którą warto zapisać: 28 października

Ustawa wchodzi w życie etapami. Zgodnie z art. 127 pkt 2 artykuły 8–18 oraz rozdziały 3–5, 8 i 9, czyli przepisy o kontroli, o postępowaniu przed organem, o układzie, o karach i o zmianach w innych ustawach, zaczynają obowiązywać po upływie trzech miesięcy od ogłoszenia. Ustawę ogłoszono 27 lipca 2026 r., więc ta data wypada 28 października 2026 r. Do tego dnia Komisja istnieje i wykonuje część swoich zadań, ale przepisy o kontroli i karach jeszcze się nie stosują.

Kary ustawa przenosi wprost z rozporządzenia: art. 104 ust. 1 każe je nakładać w decyzji „w przypadkach, wysokości i na warunkach określonych w rozdziale XII rozporządzenia 2024/1689″. W art. 99 AI Act są trzy kategorie, nie dwie, choć dla firmy stosującej AI liczą się głównie pierwsze dwie. Za naruszenie zakazów z art. 5 górna granica to 35 mln euro albo 7 % całkowitego rocznego światowego obrotu, zależnie od tego, która kwota jest wyższa. Za naruszenie pozostałych wymienionych tam obowiązków, w tym obowiązków podmiotu stosującego z art. 26 i obowiązków przejrzystości z art. 50, jest to 15 mln euro albo 3 %. Trzecia kategoria, o której mówi się rzadziej, dotyczy dostarczania organom i jednostkom notyfikowanym informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd: do 7,5 mln euro albo 1 %.

To są maksima ustawowe, a nie stawki. Dla MŚP, w tym firm typu start-up, art. 99 ust. 6 odwraca zasadę: kara nie przekracza wartości procentowej albo kwoty, w zależności od tego, która z nich jest niższa. Omnibus dołożył analogiczną regułę dla małych spółek o średniej kapitalizacji. Przy wymiarze kary organ bierze pod uwagę przesłanki z art. 99 ust. 7, między innymi wagę i czas trwania naruszenia, wielkość operatora, stopień współpracy i to, czy naruszenie zostało zgłoszone samodzielnie. Polska ustawa dokłada do tego mechanizm układu, czyli nadzwyczajnego złagodzenia sankcji, opisany w rozdziale 5.

Kwoty w euro przelicza się na złote po średnim kursie ogłaszanym przez NBP na dzień 28 stycznia danego roku (art. 104 ust. 4). Od decyzji o karze przysługuje odwołanie do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów, za pośrednictwem Komisji (art. 109 ust. 1); postępowanie toczy się według przepisów Kodeksu postępowania cywilnego o sprawach z zakresu ochrony konkurencji.

Rzecz, której nie ma w żadnym nagłówku: opinia za 150 złotych

Od 28 października firma, która stosuje AI albo dopiero planuje działania obejmujące ją zakresem tych przepisów, może wystąpić do KRiBSI o opinię indywidualną w konkretnej sprawie. Wniosek może dotyczyć stanu faktycznego albo zdarzenia przyszłego i musi zawierać wyczerpujący opis jednego zagadnienia oraz własne stanowisko wnioskodawcy (art. 9). Opłata wynosi 150 zł (art. 11 ust. 1). Komisja wydaje i doręcza opinię nie później niż w 30 dni od złożenia wniosku, a w przypadkach szczególnie skomplikowanych nie później niż w 60 dni (art. 12 ust. 1). Niewydanie opinii w tych terminach uznaje się za wydanie opinii zgodnej ze stanowiskiem, które firma przedstawiła we wniosku (art. 12 ust. 3), a opłata wtedy wraca w całości.

Opinia jest wiążąca dla Komisji oraz dla innych organów państwowych i jednostek organizacyjnych, u których Komisja zasięgała opinii, w zakresie danej sprawy i dla opisanego we wniosku stanu (art. 13 ust. 1). Komisja może później opinię zmienić, uchylić albo stwierdzić jej wygaśnięcie, ale zastosowanie się do niej przed tą zmianą nie może szkodzić firmie, która o nią wystąpiła (art. 15 ust. 5).

Odpowiednik z prawa podatkowego to interpretacja indywidualna. Znajoma konstrukcja, przeniesiona żywcem. Zamiast sporu po fakcie, pytanie zadane przed wdrożeniem, i to na piśmie. Dla firmy, która waha się przy narzędziu z pogranicza, takim jak scoring rozmów, wstępna selekcja zgłoszeń czy automatyczne przydzielanie zadań, to droga do zmniejszenia niepewności w jednym, ściśle zakreślonym punkcie.

Trzy ograniczenia, żeby nie było rozczarowania. Opinii nie wydaje się w zakresie elementów stanu faktycznego, które w dniu złożenia wniosku są przedmiotem toczącego się postępowania przed Komisją lub innymi organami, także sądowego, ani gdy sprawa została już w tym zakresie rozstrzygnięta (art. 14). Wniosek dotyczy wyłącznie spraw objętych AI Act i tą ustawą, więc o Kodeksie pracy i RODO Komisja nie wypowie się za pracodawcę ani za inspektora ochrony danych. I trzecie: ten sam podmiot może złożyć kolejny wniosek dopiero po 30 dniach od poprzedniego (art. 9 ust. 5), co wyklucza traktowanie tej ścieżki jako serii szybkich konsultacji.

Kodeks pracy: monitoring i analiza pracy przez algorytm

Najwięcej wdrożeń zatrzymuje się nie na AI Act, tylko tutaj. Kodeks pracy nie wspomina o sztucznej inteligencji ani razu, a mimo to rozstrzyga o połowie pomysłów na AI wobec pracowników. Przepisy obowiązują od 2018 r., tekst jednolity to Dz.U. 2025 poz. 277.

Zacznijmy od rzeczy, która zaskakuje najczęściej. Art. 22² § 1 pozwala pracodawcy wprowadzić szczególny nadzór nad terenem zakładu pracy „w postaci środków technicznych umożliwiających rejestrację obrazu”, i to tylko wtedy, gdy jest to niezbędne do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji albo zachowania w tajemnicy informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Obrazu. Nie dźwięku. Monitoring wizyjny nie jest podstawą do nagrywania rozmów, a to, że kamera ma mikrofon, nie rozszerza uprawnień pracodawcy ani o milimetr. Nagrania obrazu przechowuje się maksymalnie trzy miesiące, chyba że stanowią dowód w postępowaniu.

Dalej jest przepis, który w praktyce dotyczy AI najczęściej. Art. 22³ § 1 dopuszcza kontrolę służbowej poczty elektronicznej, jeśli jest to niezbędne „do zapewnienia organizacji pracy umożliwiającej pełne wykorzystanie czasu pracy oraz właściwego użytkowania udostępnionych pracownikowi narzędzi pracy”, przy czym § 2 zastrzega, że taki monitoring nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. Paragraf 4 nakazuje stosować te zasady odpowiednio do innych form monitoringu, gdy ich zastosowanie jest konieczne do tych samych celów.

To odesłanie bywa czytane jako zbiorcze zezwolenie na wszystko, co mierzy pracę: analizę aktywności w systemach, zrzuty ekranu, liczniki produktywności, scoring rozmów handlowych, streszczanie spotkań z oceną zaangażowania. Tak nie jest. Paragraf 4 wyznacza ramy, ale każda funkcja wymaga własnej oceny celu, konieczności i proporcjonalności oraz tego, jak głęboko ingeruje w prawa pracownika. Licznik czasu spędzonego w systemie CRM i model oceniający ton wypowiedzi handlowca to dwie zupełnie różne ingerencje, choć oba mieszczą się w tym samym zdaniu przepisu.

Jeśli narzędzie mieści się w tej kategorii, Kodeks stawia warunki, które warto przeanalizować i udokumentować przed uruchomieniem. Cel musi mieścić się w tym, na co pozwala przepis, a „chcemy wiedzieć, jak pracują ludzie” celem w rozumieniu art. 22³ § 1 nie jest. Cele, zakres i sposób monitoringu ustala się w układzie zbiorowym pracy, regulaminie pracy albo w obwieszczeniu, jeśli pracodawca regulaminu nie ma. Pracowników trzeba poinformować o wprowadzeniu monitoringu w sposób u siebie przyjęty, nie później niż dwa tygodnie przed uruchomieniem, a informację przekazać na piśmie przed dopuszczeniem pracownika do pracy.

Na tej liście nie ma zgody pracownika i to nie jest przeoczenie. W relacji pracodawca–pracownik zgoda jest słabą podstawą, bo trudno uznać ją za dobrowolną, a Kodeks jej w tym miejscu nie wymaga. Sama podpisana zgoda „na nagrywanie” nie zastępuje wymogów Kodeksu pracy; ocenę podstawy i dokumentacji trzeba przeprowadzić dla konkretnego procesu.

Typowa sytuacja z demo: dostawca pokazuje „asystenta sprzedaży”, przez dwadzieścia minut mówi o podpowiedziach dla handlowca, a na ostatnim slajdzie pojawia się zakładka z rankingiem zespołu. Ta zakładka może istotnie zmienić kwalifikację procesu i zakres wymaganej dokumentacji. Nikt na sali zwykle o to nie pyta, bo nazwa produktu nie brzmi jak monitoring. Warto przy tym pamiętać, że monitoring nie zaczyna się dopiero w momencie, gdy wynik trafia do przełożonego: zbieranie i analizowanie danych o pracy samo w sobie może już nim być, a ranking jedynie ujawnia funkcję ocenną, której trudno potem zaprzeczyć.

Dwie rzeczy zostają po stronie pracodawcy niezależnie od tego, co potrafi narzędzie. Art. 22¹ Kodeksu pracy wyznacza katalog danych, których pracodawca może żądać od kandydata i pracownika, a narzędzie rekrutacyjne potrafi przetworzyć znacznie więcej, niż ten katalog obejmuje. Przepisy o równym traktowaniu w zatrudnieniu obowiązują tak samo, gdy selekcji dokonuje algorytm: odpowiedzialność za dyskryminujący skutek nie znika po zakupie oprogramowania.

Przed pilotażem najwięcej daje rozpisanie funkcji narzędzia pojedynczo: transkrypcja, streszczenie, podpowiedzi w trakcie rozmowy, ocena handlowca, ranking wpływający na premię. Przy każdej trzeba odpowiedzieć, kto zobaczy wynik i jaka decyzja od niego zależy. Zwykle okazuje się, że firma potrzebuje dwóch pierwszych, a cała trudność prawna siedzi w dwóch ostatnich. Dokładniej rozbierałem ten przypadek, razem z nagrywaniem rozmów i porównaniem z Niemcami i USA, w tekście o narzędziach AI a prawie.

RODO: decyzje automatyczne i ocena skutków przed wdrożeniem

RODO jest w tym zestawie najstarsze i najlepiej znane, więc rozwinę dwa przepisy, które przy AI wracają w każdym projekcie, i wymienię resztę, o której przy okazji AI zapomina się najczęściej.

Art. 22 daje człowiekowi prawo, by nie podlegać decyzji opierającej się wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli wywołuje ona skutki prawne lub w podobny sposób istotnie na niego wpływa. Odrzucenie kandydatury, ustalenie wysokości premii czy rozwiązanie umowy mogą wywoływać takie skutki, a przesądza o tym realny wpływ konkretnej decyzji oraz to, czy proces jest rzeczywiście w całości zautomatyzowany. Wyjątki są trzy: niezbędność do umowy, przepis prawa i wyraźna zgoda. Przy dwóch z nich administrator i tak musi zapewnić co najmniej prawo do interwencji człowieka, do wyrażenia własnego stanowiska i do zakwestionowania decyzji.

Całe pytanie sprowadza się do słowa „wyłącznie”, i tu jest pułapka, w którą sam wpadłem. Kierownik klikający „zatwierdź” pod gotowym rankingiem nie czyni decyzji nieautomatyczną, jeżeli nie ma dostępu do danych źródłowych, czasu na weryfikację ani realnej możliwości zmiany wyniku. Nadzór człowieka jest funkcją procesu, a nie przyciskiem w panelu. Przez dobre półtora roku projektowałem to na skróty: człowiek zatwierdza, czyli formalnie jest w pętli, więc temat zamknięty. Nie był zamknięty.

Drugi przepis to art. 35: przed rozpoczęciem przetwarzania, które z dużym prawdopodobieństwem może powodować wysokie ryzyko, administrator przeprowadza ocenę skutków dla ochrony danych, w skrócie DPIA. Ust. 3 lit. a wymienia wprost systematyczną, kompleksową ocenę czynników osobowych opartą na przetwarzaniu automatycznym, która jest podstawą decyzji istotnie wpływających na człowieka. Wykaz rodzajów operacji wymagających DPIA prowadzi Prezes UODO w komunikacie z 17 czerwca 2019 r. (M.P. 2019 poz. 666); monitorowanie w kontekście zatrudnienia jest tam jednym z kryteriów.

Słowo „przed” bywa ignorowane, a ma znaczenie. Pilotaż na realnych danych pracowników, nawet miesięczny i na jednym zespole, jest już przetwarzaniem. Jeżeli planowane przetwarzanie wymaga DPIA, ocenę trzeba przeprowadzić przed testem, a nie dopiero przy decyzji o zakupie po udanym teście. Gdy po DPIA zostaje wysokie ryzyko, którego nie da się ograniczyć dostępnymi środkami, art. 36 RODO nakazuje uprzednie konsultacje z organem nadzorczym.

Reszta RODO nie znika dlatego, że w projekcie pojawiła się AI. Trzeba mieć podstawę prawną przetwarzania i nie jest nią sam fakt, że narzędzie już kupiono. Obowiązuje zasada minimalizacji, więc model dostaje tyle danych, ile potrzebuje do zadania, a nie tyle, ile da się wyeksportować z systemu. Część projektów dotyka przy tym danych szczególnych kategorii z art. 9 RODO, na przykład danych o zdrowiu albo danych biometrycznych przetwarzanych w celu identyfikacji; ich przetwarzanie jest co do zasady zakazane i wymaga osobnej przesłanki z tego przepisu. Ludzie, których dane trafiają do narzędzia, mają dostać informację, co się z nimi dzieje. Dostawca przetwarzający dane w imieniu firmy wymaga umowy powierzenia, a przy danych opuszczających Europejski Obszar Gospodarczy trzeba sprawdzić nie tylko lokalizację serwerów, ale też dostęp odbiorców z państw trzecich i zastosować mechanizmy z rozdziału V RODO. Do tego dochodzą retencja i usuwanie danych, o których w pilotażach nikt nie myśli, dopóki nie trzeba pokazać, że po teście dane zniknęły. Praktyczne minimum opisałem wcześniej w tekście o wdrażaniu AI zgodnie z RODO.

16 lipca 2026 r. Prezes UODO wystąpił do ministerstwa pracy o przepisy chroniące kandydatów i pracowników przed dyskryminacyjnymi skutkami systemów AI. W piśmie jest kilka zdań, które warto przeczytać przed wdrożeniem w HR: że systemy mają tendencję do utrwalania uprzedzeń obecnych w danych treningowych, że narzędzia rekrutacyjne potrafią analizować znacznie więcej informacji, niż przewiduje katalog danych, których pracodawca może żądać od kandydata, i że dopuszczenie AI w zatrudnieniu powinno być poprzedzone oceną skutków dla ochrony danych. To wystąpienie o zmianę prawa, nie nowy obowiązek. Sygnalizuje jednak obszary, które mogą być istotne przy przyszłych pracach legislacyjnych i przy ocenie takich wdrożeń przez organ.

Co nadchodzi: dwie dyrektywy do wdrożenia w grudniu

Dwa akty unijne czekają na przełożenie na polskie przepisy: dyrektywa o odpowiedzialności za produkty wadliwe z terminem 9 grudnia 2026 r. i dyrektywa o pracy platformowej z terminem 2 grudnia 2026 r. Termin transpozycji nie oznacza, że od tego dnia wszystkie ich przepisy zadziałają wprost wobec prywatnych firm; to zależy od zakresu dyrektywy i od kształtu przepisów krajowych. Dyrektywa działa inaczej niż rozporządzenie: co do zasady wymaga transpozycji i przed nią nie tworzy wobec prywatnych firm obowiązków tak, jak robi to rozporządzenie stosowane bezpośrednio. Ma za to znaczenie dla wykładni przepisów krajowych, a po upływie terminu państwo odpowiada za brak wdrożenia. Warto je znać, bo zmieniają rachunek ryzyka przy narzędziach, które firma dopiero kupuje.

Dyrektywa o odpowiedzialności za produkty wadliwe (UE) 2024/2853 ma dla naszej branży znaczenie z powodu jednej definicji: produktem jest także oprogramowanie, a motywy dyrektywy wymieniają systemy AI wprost. To przenosi wadliwe oprogramowanie do reżimu odpowiedzialności niezależnej od winy, znanego dotąd z pralek i samochodów. Artykuł 11 wylicza okoliczności, które zwalniają podmiot gospodarczy z odpowiedzialności, między innymi wykazanie, że wadliwość nie istniała w chwili wprowadzenia produktu do obrotu albo że stan wiedzy naukowej i technicznej nie pozwalał jej wykryć. Ust. 2 zawęża jedną z tych dróg, konkretnie zwolnienie z ust. 1 lit. c, czyli wykazanie, że wadliwość powstała po wprowadzeniu produktu do obrotu. To zwolnienie nie działa, gdy wadliwość wynika z powiązanej usługi, z oprogramowania i jego aktualizacji, z braku aktualizacji niezbędnych do utrzymania bezpieczeństwa albo ze znaczącej modyfikacji produktu, o ile dany element pozostaje pod kontrolą producenta. Pozostałe przesłanki zwolnienia, w tym stan wiedzy naukowej i technicznej, zostają nietknięte. Termin transpozycji upływa 9 grudnia 2026 r., a polskiego projektu zmian w Kodeksie cywilnym na dzień pisania tego tekstu nie znalazłem; to rzecz do sprawdzenia za kilka tygodni.

Dyrektywa o pracy platformowej (UE) 2024/2831, z terminem 2 grudnia 2026 r., dotyczy wąskiej grupy firm, ale zawiera rozdział o zarządzaniu algorytmicznym, który jest ciekawy jako zapowiedź kierunku: platformy mają nadzorować zautomatyzowane systemy monitorujące i decyzyjne oraz regularnie, a w każdym razie co dwa lata, oceniać z udziałem przedstawicieli pracowników wpływ indywidualnych decyzji takich systemów na pracujących (art. 10 ust. 1). W Polsce projekt ustawy o pracy platformowej (numer w wykazie prac rządu UC160) jest w konsultacjach, a przyjęcie przez Radę Ministrów planowano na czwarty kwartał.

Warto przy tym wiedzieć o trzecim akcie, którego nie będzie. Projekt odrębnej dyrektywy o odpowiedzialności za sztuczną inteligencję, znany jako AILD, Komisja Europejska wycofała; projekt COM(2022) 496 final figuruje na liście wycofanych wniosków ogłoszonej 6 października 2025 r. (C/2025/5423). Dyrektywa o produktach wadliwych będzie więc jednym z istotnych reżimów oceny odpowiedzialności za wadliwe oprogramowanie i systemy AI, obok odpowiedzialności kontraktowej i deliktowej na zasadach ogólnych. Osobnego reżimu stworzonego specjalnie dla AI, o którym piszą starsze opracowania, nie będzie.

Jeśli kupujesz dziś narzędzie AI, które będzie podejmowało albo wspierało decyzje o ludziach, warto dać prawnikowi do oceny podział odpowiedzialności za wadę modelu i za aktualizacje. Dziś to kwestia negocjacji, z jednym zastrzeżeniem: umowa między firmami nie wyłącza ustawowych praw poszkodowanych.

Poza przepisami: tajemnica przedsiębiorstwa i prawa autorskie

Dwie rzeczy, które nie mają własnego „aktu o AI”, a wracają w rozmowach częściej niż połowa powyższych.

Tajemnica przedsiębiorstwa. Ustawa o zwalczaniu nieuczciwej konkurencji chroni informacje o wartości gospodarczej, ale pod warunkiem: tylko wtedy, gdy uprawniony „przy zachowaniu należytej staranności” podjął działania, żeby utrzymać je w poufności (art. 11 ust. 2). Ochrona zależy więc od tego, co firma zrobiła, żeby informacje utrzymać w tajemnicy. Stąd wniosek, który podaję jako wykładnię, nie jako przepis: firma bez żadnych zasad korzystania z AI, której pracownicy wklejają cenniki i warunki kontraktów do prywatnych kont w publicznych narzędziach, może mieć trudność z wykazaniem tej staranności. Polskiego orzeczenia wprost o AI w tym kontekście nie znalazłem, więc traktuję to jako ryzyko do zarządzenia, a nie pewnik.

Prawa autorskie. Utworem jest „przejaw działalności twórczej o indywidualnym charakterze”, a twórcą człowiek. Z tego doktryna wyprowadza wniosek, że wytwór wygenerowany wyłącznie przez AI utworem nie jest i nie korzysta z ochrony prawnoautorskiej. To również jest wykładnia: formalnego stanowiska ministerstwa ani orzeczenia sądu w tej sprawie nie znalazłem. Brak ochrony autorskiej samego wytworu nie oznacza jednak, że każde jego skopiowanie jest dozwolone ani że materiał jest całkiem bezbronny. Ochroną może być objęty twórczy wkład człowieka, oceniany indywidualnie; osobno wchodzą w grę znaki towarowe, tajemnica przedsiębiorstwa, przepisy o nieuczciwej konkurencji i warunki licencji narzędzia. Praktyczna konsekwencja jest niezależna od sporów doktrynalnych: przy materiałach, na których firmie zależy, jak identyfikacja wizualna czy kluczowe teksty marketingowe, warto dokumentować, co zrobił człowiek.

Kalendarz dat, które mają znaczenie

DataCo się dziejePodstawa
2 lutego 2025Zakazane praktyki z art. 5, w tym wnioskowanie o emocjach w miejscu pracy z danych biometrycznych; obowiązek działań na rzecz kompetencji AIAI Act, art. 5 ust. 1 lit. f, art. 4 (art. 113 akapit trzeci lit. a)
2 sierpnia 2025Stosuje się rozdział o karach oraz przepisy o modelach ogólnego przeznaczeniaAI Act, art. 113 akapit trzeci lit. b
27 lipca 2026Wchodzi w życie pakiet omnibus: nowy kalendarz, nowe brzmienie art. 4, zmiany w art. 99 i 111rozp. (UE) 2026/1744
2 sierpnia 2026Obowiązki przejrzystości: informowanie, że rozmówcą jest AI, oznaczanie i ujawnianie treściAI Act, art. 50
11 sierpnia 2026Wchodzi w życie polska ustawa o systemach AI; powstaje KRiBSIDz.U. 2026 poz. 1003
28 października 2026Zaczynają obowiązywać przepisy o kontroli, postępowaniu, układzie i karach; rusza tryb opinii indywidualnychustawa, art. 127 pkt 2
2 grudnia 2026Termin wdrożenia dyrektywy o pracy platformowej; dostawcy starszych systemów generatywnych dostosowują oznaczanie treści; zaczynają być stosowane dwa nowe zakazy z art. 5dyr. 2024/2831 art. 29; AI Act art. 111 ust. 4; art. 113 akapit trzeci lit. a
9 grudnia 2026Termin wdrożenia dyrektywy o odpowiedzialności za produkty wadliwedyr. 2024/2853, art. 22
2 grudnia 2027Obowiązki dla AI wysokiego ryzyka z załącznika III, w tym w zatrudnieniu, oraz informowanie pracowników z art. 26 ust. 7AI Act, art. 113 akapit trzeci lit. c ppkt (i) po zmianie
2 sierpnia 2028Obowiązki dla AI wysokiego ryzyka wbudowanej w produkty regulowane z załącznika IAI Act, art. 113 akapit trzeci lit. c ppkt (ii) po zmianie

Co zrobić w tym kwartale

Wstępny przegląd można zacząć niewielkim nakładem. Ile zajmie pełna analiza, zależy od liczby systemów, rodzaju danych i tego, czy narzędzia dotykają ludzi, więc nie podam tu liczby godzin, której i tak nie da się dotrzymać.

Wszystko zaczyna się od spisu tego, co już działa: nie planu wdrożeń, tylko listy zastosowań obecnych w firmie dzisiaj, razem z tymi, o których zarząd nie wie. Notatki ze spotkań, wtyczki do skrzynki, streszczanie dokumentów, prywatne konta w narzędziach generatywnych, funkcje AI w kupionym już CRM. Lista okazuje się zwykle dwa razy dłuższa, niż ktokolwiek zakładał, i to jest najcenniejszy moment całej pracy.

Tę listę dzielę potem na trzy kosze, przy czym liczy się głównie ostatni. Zastosowania, które nie dotykają ludzi ani danych osobowych, idą do pierwszego; zostają przy nich poufność, prawa do treści i obowiązki z AI Act, ale ryzyko jest najniższe. W drugim ląduje wszystko, co przetwarza dane osobowe: tam patrzymy na RODO, a jeśli narzędzie służy monitorowaniu pracowników, dodatkowo na Kodeks pracy. Trzeci kosz to rzeczy, przy których nie wiesz, po której stronie granicy leżą, i to w nim siedzą decyzje, które później najtrudniej cofnąć.

Największy porządek za najmniejsze pieniądze robi jedna kartka zasad: co wolno wkleić, czego nie wolno, w których narzędziach. Trzy akapity prostym językiem, podpisane przez zarząd, rozesłane do wszystkich. Ta kartka nie załatwia zgodności. Załatwia coś wcześniejszego: ludzie przestają zgadywać, co wolno wkleić do narzędzia. Przy okazji wspiera ochronę poufności, porządkuje przetwarzanie danych i dokumentuje działania na rzecz kompetencji AI. Razem z nią warto zaplanować szkolenie dopasowane do ról. Warsztat albo nagranie z ćwiczeniami na realnej pracy uczestników mogą wspierać realizację obowiązku z art. 4, jeśli zakres jest dobrany do ról i zastosowań, a przebieg udokumentowany: kto, kiedy, w jakim zakresie. Księgowa, magazynier i osoba decydująca o premiach potrzebują trzech różnych zestawów przykładów.

Zostaje kalendarz. Przegląd warto zacząć już teraz, a 28 października zapisać jako datę, od której dochodzą krajowe kontrole i kary; przy okazji rozstrzygnąć, czy któreś zastosowanie z trzeciego kosza nadaje się na wniosek o opinię indywidualną. W projektach dotykających oceny ludzi warto przed pilotażem zweryfikować z inspektorem ochrony danych albo prawnikiem, czy zachodzi obowiązek DPIA.

Czego tu celowo nie ma: powoływania inspektora ochrony danych „na wszelki wypadek”, kupowania oprogramowania do zarządzania zgodnością i pisania polityki na trzydzieści stron. Znam firmy, które zaczęły od polityki na trzydzieści stron i skończyły na tym, że nikt jej nie przeczytał.

Jeżeli chcesz przy tym pomocy, prowadzę bezpłatne szkolenie online „AI w firmie zgodnie z prawem”. Przechodzimy przez mapę z tego artykułu na przykładach z Twojej branży. Udział można udokumentować jako jeden z elementów działań na rzecz kompetencji AI; samo szkolenie nie przesądza o realizacji obowiązku. Zapisy przez formularz kontaktowy; wystarczy napisać „szkolenie AI” w wiadomości. W kolejnych tekstach serii rozbieram po jednym akcie: AI Act, ustawę o systemach AI i KRiBSI, Kodeks pracy przy monitoringu oraz RODO przy decyzjach o ludziach.

Najczęstsze pytania

Czy AI Act dotyczy małej firmy, która tylko używa ChatGPT?

Tak, choć w wąskim zakresie. Firma używająca AI pod własną kontrolą jest podmiotem stosującym i obowiązuje ją art. 4, czyli działania na rzecz kompetencji AI osób pracujących z tymi narzędziami. Nie ma progu wielkości ani wyłączenia dla mikrofirm. Obowiązki dla systemów wysokiego ryzyka to inna kategoria. W kontekście opisanym w tym tekście chodzi przede wszystkim o zastosowania kadrowe: rekrutację, decyzje o warunkach pracy, przydzielanie zadań oraz monitorowanie i ocenę wydajności. Kwalifikacja zależy jednak od konkretnego zastosowania z załącznika III, który obejmuje też obszary spoza zatrudnienia, na przykład zdolność kredytową, ubezpieczenia czy dostęp do usług publicznych. Jeśli firma publikuje treści generowane przez AI albo udostępnia chatbota klientom, dochodzi jeszcze art. 50.

Czy mogę nagrywać i analizować rozmowy handlowców przez AI?

Dopuszczalność nagrywania i analizy zależy od podstawy prawnej, celu, konieczności i zakresu ingerencji, a przesądzić jej bez oceny konkretnego procesu się nie da. Gdy narzędzie służy kontroli pracy, dochodzą warunki z Kodeksu pracy: dopuszczalnego celu, zapisu w regulaminie albo obwieszczeniu, uprzedzenia pracowników na dwa tygodnie przed uruchomieniem i informacji na piśmie. Każdą funkcję narzędzia trzeba ocenić osobno pod kątem celu, konieczności i proporcjonalności. Osobno reguluje się stronę klienta, czyli informację o nagrywaniu i podstawę przetwarzania. W tym przykładzie szczególnie istotny jest zakaz wnioskowania o emocjach pracownika z danych biometrycznych, na przykład z barwy głosu, z ustawowymi wyjątkami dla zastosowań medycznych i związanych z bezpieczeństwem. Nie jest to jedyny zakaz w AI Act.

Czy przesunięcie terminów na grudzień 2027 znaczy, że mam spokój?

Nie. Przesunięcie objęło obowiązki dla systemów wysokiego ryzyka z AI Act, w tym dla AI w rekrutacji i ocenie pracowników. Nie objęło zakazów, obowiązku kompetencji, obowiązków przejrzystości ani Kodeksu pracy i RODO, które obowiązują od lat i nie mają z tym kalendarzem nic wspólnego. System oceniający ludzi, uruchamiany dziś, może podlegać polskim przepisom o monitoringu i ochronie danych od pierwszego dnia; zakres obowiązków ustala się dla konkretnego procesu.

Co grozi firmie za naruszenie i od kiedy?

Kary za naruszenia AI Act nakłada w Polsce KRiBSI, w decyzji, a przepisy o karach stosuje się od 28 października 2026 r. Wysokość bierze się z rozporządzenia i są to maksima, nie stawki: do 35 mln euro albo 7 % obrotu za praktyki zakazane i do 15 mln euro albo 3 % za pozostałe wymienione obowiązki, przy czym dla MŚP obowiązuje niższa z tych dwóch wartości. Rzeczywista kara zależy od rodzaju naruszenia, podmiotu i okoliczności sprawy; przesłanki wymiaru wylicza art. 99 ust. 7. Osobno działa UODO, jeżeli naruszone zostało RODO, i Państwowa Inspekcja Pracy, jeżeli naruszone zostały przepisy o monitoringu. Kar nałożonych w Polsce za użycie AI wobec pracowników jeszcze nie było. Dla skali egzekwowania: 22 maja 2026 r. UODO nałożył karę 26 711 zł w sprawie monitoringu (decyzja DKE.561.4.2026). To sprawa o monitoring, nie kara za AI, ale pokazuje, że przepisy z tego obszaru bywają egzekwowane.

Źródła

Materiał ma charakter ogólny i nie rozstrzyga zgodności konkretnego wdrożenia; stan przepisów na 15 września 2026 r.