Art. 4 AI Act - czy firma musi szkolić pracowników z AI

AI Act - Obowiązki na co dzień: kompetencje, przejrzystość, dane i umowy

Art. 4 AI Act - czy firma musi szkolić pracowników z AI

W skrócie

Temat szkoleń z AI wraca przy każdym wdrożeniu Microsoft 365 Copilot, ChatGPT albo innego narzędzia, a od lipca 2026 r. także z powodu zmiany art. 4 AI Act. Rozpisujemy, co nakazuje ten przepis po Digital Omnibus, kogo obejmuje, czy grozi za niego kara i jak udokumentować szkolenia i inne działania na wypadek kontroli.

Jak to wygląda w praktyce

Kierowniczka HR w spółce logistycznej z Gdańska słyszała, że Digital Omnibus złagodził obowiązek szkoleń, i pyta zarząd, czy budżet na nie jest jeszcze potrzebny. Spółka kupiła licencje Microsoft 365 Copilot dla obsługi klienta i księgowości, a dział kadr używa narzędzia AI, które porządkuje zgłoszenia kandydatów. Dyrektor finansowy chce wiedzieć, czy wystarczy rozesłać instrukcję obsługi, czy zleceniobiorcy z firmy zewnętrznej, którzy pracują na tych samych narzędziach, też są objęci obowiązkiem i czy podczas kontroli trzeba pokazać certyfikaty.

Co mówią przepisy

Art. 4 ust. 1 AI Act w brzmieniu obowiązującym od 27 lipca 2026 r. dotyczy dostawców i podmiotów stosujących systemy AI. Przepis nakazuje im podejmować „środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu”. Środki dobiera się z uwzględnieniem wiedzy technicznej, doświadczenia, wykształcenia i wyszkolenia tych osób, kontekstu użycia oraz osób, wobec których systemy mają być wykorzystywane. Nowe zdanie dodaje, że obowiązek „nie oznacza, że dostawcy lub podmioty mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby”. Pierwotne brzmienie wymagało środków „w celu zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji”. Obowiązek nie zniknął, zmienił się jego zakres: art. 4 należy do rozdziału I, stosowanego od 2 lutego 2025 r. (art. 113 lit. a).

Przepis obejmuje każdy podmiot stosujący, czyli firmę, która wykorzystuje system AI pod swoją kontrolą (art. 3 pkt 4), a nie tylko użytkowników systemów wysokiego ryzyka. Komisja Europejska wyjaśnia w pytaniach i odpowiedziach o kompetencjach w zakresie AI (aktualizacja z 20 października 2026 r.), że osobą działającą w imieniu firmy może być np. wykonawca, usługodawca albo klient. Nie ma obowiązkowych szkoleń ani obowiązku mierzenia wiedzy pracowników. Certyfikat nie jest potrzebny, a organizacja może prowadzić wewnętrzny rejestr szkoleń i innych działań. Samo odesłanie pracowników do instrukcji obsługi w wielu przypadkach może być według Komisji nieskuteczne.

Zobacz też: Szkolenie Gotowość na AI ACT

Art. 99 ust. 3-5 AI Act, który określa górne granice kar, nie wymienia art. 4. Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji w sprawie kar odsyła do rozdziału XII AI Act (art. 104 ust. 1) i nie dodaje za ten przepis własnej kary. Polskie brzmienie art. 99 ust. 4 nie przesądza jednak wprost, czy wyliczenie przepisów zagrożonych karą jest zamknięte. Komisja Europejska zaznacza, że sankcje za naruszenie art. 4 mogą wynikać z prawa krajowego. KRiBSI (Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji), organ nadzoru rynku, od 28 października 2026 r. może kontrolować przestrzeganie AI Act, także art. 4 (art. 48 ust. 1 ustawy). Po stwierdzeniu nieprawidłowości wydaje zalecenia pokontrolne z terminem co do zasady nie krótszym niż 30 dni, a gdy firma ich nie wykona, może wszcząć postępowanie w sprawie naruszenia (art. 57). Komisja Europejska opisuje też sytuację, w której osoba poszkodowana pozywa organizację o odszkodowanie na podstawie prawa krajowego, uznając, że szkoda wynikła z niewykonania art. 4.

Ostrzejszy wymóg dotyczy systemów wysokiego ryzyka: podmiot stosujący powierza nadzór osobom, „które mają niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie” (art. 26 ust. 2). Stosuje się go od 2 grudnia 2027 r. dla systemów z załącznika III i od 2 sierpnia 2028 r. dla systemów z załącznika I.

Co zrobić krok po kroku

1. Mapa ról i narzędzi. Dział kadr razem z IT zestawia, kto i do czego używa systemów AI: pracownicy, zleceniobiorcy oraz osoby z firm zewnętrznych działające w imieniu firmy. Punktem wyjścia jest rejestr systemów AI w firmie. Powstaje macierz: rola, narzędzie, zastosowanie, dane, na których rola pracuje.
2. Zakres wiedzy dla ról. Osoba odpowiedzialna za compliance ustala, czego potrzebuje każda rola. Punktem wyjścia jest minimum wskazane przez Komisję Europejską: czym jest AI i jakie systemy działają w firmie, jaką rolę pełni firma (dostawca czy podmiot stosujący), jakie ryzyka niosą używane systemy i jak je ograniczać. Użytkownicy biurowi potrzebują zasad weryfikacji wyników i ochrony danych, osoby decydujące na podstawie wyników AI także wiedzy o ograniczeniach systemu, a zarząd wiedzy o obowiązkach firmy. Dokument: program kompetencji z poziomami dla ról, zatwierdzony przez zarząd.
3. Forma dopasowana do ryzyka. Dla każdej roli wybierz formę: szkolenie, warsztat na własnych przypadkach, instrukcję stanowiskową, materiał e-learningowy albo konsultacje. Tam, gdzie wynik AI wpływa na klientów albo pracowników, nie poprzestawaj na instrukcji obsługi narzędzia. Dokument: plan działań z terminami i budżetem.
4. Wewnętrzny rejestr działań. Kadry prowadzą rejestr: data, temat, forma, uczestnicy, prowadzący, materiały. Trafiają do niego także działania inne niż szkolenia, np. instrukcja rozesłana z potwierdzeniem zapoznania się.
5. Wpięcie w procesy firmy. Polityka korzystania z AI w firmie przewiduje, że nowa osoba z dostępem do narzędzia AI i każde nowe narzędzie uruchamiają działanie z planu, zanim zacznie się praca na danych firmy. Przegląd programu co najmniej raz w roku rekomendujemy, choć przepis go nie wymaga.
6. Systemy wysokiego ryzyka. Narzędzie, które analizuje i filtruje podania o pracę albo ocenia kandydatów, może być systemem wysokiego ryzyka z załącznika III pkt 4. Sprawdź to według opisu czy system AI jest wysokiego ryzyka. Już teraz wskaż osoby, które będą sprawować nadzór, a przed 2 grudnia 2027 r. udokumentuj ich kompetencje, przeszkolenie i uprawnienia (art. 26 ust. 2).

Jak sprawdzić, że sprawa jest załatwiona

Dwa testy pokazują, że program działa: każda osoba z dostępem do narzędzia AI ma w rejestrze co najmniej jedno działanie dopasowane do swojej roli, a każde narzędzie z rejestru systemów AI ma przypisany zakres wiedzy dla swoich użytkowników. Kontrola KRiBSI odbywa się co do zasady zdalnie, nie wcześniej niż po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2 i 3 ustawy). Przygotuj więc w formie elektronicznej macierz ról i narzędzi, program kompetencji z datą zatwierdzenia, rejestr działań z materiałami i listami obecności oraz notatkę z ostatniego przeglądu. Art. 4 nie wymaga natomiast, żeby każdy pracownik zdał test albo osiągnął określony wynik.

Podstawa prawna i źródła

• art. 4 i art. 113 lit. a) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 1 pkt 5 rozporządzenia (UE) 2026/1744 (nowe brzmienie art. 4 AI Act) (źródło)
• art. 26 ust. 2 i art. 99 ust. 3-5 AI Act
• art. 48, art. 49, art. 57 i art. 104 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• Komisja Europejska, pytania i odpowiedzi o kompetencjach w zakresie AI (art. 4), aktualizacja z 20 października 2026 r. (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001