Firma korzysta z ChatGPT albo Copilota - jakie obowiązki ma z AI Act

AI Act - Czy AI Act dotyczy Twojej firmy i w jakiej roli

Firma korzysta z ChatGPT albo Copilota - jakie obowiązki ma z AI Act

W skrócie

ChatGPT w firmie, Microsoft 365 Copilot albo Gemini to dziś zwykłe narzędzia działów sprzedaży, marketingu i obsługi klienta. Zarząd pyta, czy samo korzystanie z gotowych narzędzi rodzi obowiązki z AI Act. Rodzi, ale przy typowej pracy biurowej są one wąskie: kompetencje pracowników, zakazy i dwa przypadki przejrzystości. Rozpisujemy, co obowiązuje już dziś, kiedy zwykłe narzędzie wchodzi w wysokie ryzyko i jakie dokumenty przygotować.

Jak to wygląda w praktyce

Dystrybutor części samochodowych z Opola kupił licencje Microsoft 365 Copilot dla działu sprzedaży, a marketing przygotowuje w ChatGPT szkice tekstów i grafik do kampanii. Na posiedzeniu zarządu pada pytanie, czy firma musi coś zgłosić, zarejestrować albo certyfikować. Wraca ono w ankiecie bezpieczeństwa od klienta korporacyjnego i przy audycie wewnętrznym. Kierowniczka HR chciałaby, żeby ChatGPT porządkował napływające CV, a dział komunikacji pyta, czy każdy tekst przygotowany z pomocą AI trzeba podpisywać.

Co mówią przepisy

Rola firmy. Podmiot stosujący to podmiot, który wykorzystuje system AI, nad którym sprawuje kontrolę, z wyjątkiem użycia „w ramach osobistej działalności pozazawodowej” (art. 3 pkt 4 i art. 2 ust. 10 AI Act). Firma, która decyduje, jakich narzędzi i do czego używają pracownicy, mieści się w tej definicji. Samo korzystanie z narzędzi nie wymaga zgłoszenia. W unijnej bazie danych rejestrują się dostawcy systemów wysokiego ryzyka z załącznika III, a podmioty stosujące tylko jako organy publiczne lub w ich imieniu (art. 49 ust. 1 i 3).

Co obowiązuje już dziś. Art. 4 stosuje się od 2 lutego 2025 r., a od 27 lipca 2026 r. w brzmieniu nadanym przez Digital Omnibus (rozporządzenie (UE) 2026/1744). Podmioty stosujące „podejmują środki, które wspierają rozwój kompetencji w zakresie AI” wśród personelu, a obowiązek nie oznacza zapewnienia określonego poziomu kompetencji poszczególnych osób. Zakazy z art. 5 stosuje się od 2 lutego 2025 r., a dwa nowe od 2 grudnia 2026 r. Dotyczą także użytkownika gotowego narzędzia, np. zakaz wyciągania wniosków na temat emocji osoby w miejscu pracy, poza względami medycznymi lub bezpieczeństwa (art. 5 ust. 1 lit. f)). Od 2 sierpnia 2026 r. stosuje się art. 50 ust. 4: podmiot stosujący ujawnia, że obraz, dźwięk albo wideo typu deepfake zostały sztucznie wygenerowane lub zmanipulowane. To samo dotyczy tekstu publikowanego, by informować społeczeństwo o sprawach interesu publicznego, chyba że tekst przeszedł weryfikację przez człowieka lub kontrolę redakcyjną, a odpowiedzialność redakcyjną ponosi osoba fizyczna lub prawna. Informowanie o rozmowie z AI i oznakowanie wyników w formacie do odczytu maszynowego (art. 50 ust. 1 i 2) to obowiązki dostawcy narzędzia, nie firmy, która z niego korzysta.

Zobacz też: Szkolenie Gotowość na AI ACT

Kiedy dochodzą obowiązki wysokiego ryzyka. Załącznik III pkt 4 lit. a) obejmuje systemy przeznaczone do rekrutacji, w tym do „analizowania i filtrowania podań o pracę oraz do oceny kandydatów”. Obowiązki podmiotu stosującego taki system z art. 26, m.in. korzystanie zgodnie z instrukcją obsługi, nadzór człowieka i informowanie pracowników, stosuje się od 2 grudnia 2027 r. (art. 113 lit. c)). Gdy firma sama kieruje narzędzie ogólnego przeznaczenia do takiego zadania, wchodzi w grę art. 25 ust. 1 lit. c). Kto zmienia przeznaczenie systemu AI, w tym systemu AI ogólnego przeznaczenia, tak że staje się on systemem wysokiego ryzyka, jest uznawany za jego dostawcę. Przepisy RODO (rozporządzenie (UE) 2016/679) stosuje się niezależnie, bo AI Act nie ma na nie wpływu (art. 2 ust. 7).

Co zrobić krok po kroku

1. Spis zastosowań. Osoba odpowiedzialna za compliance razem z działem IT ustala, kto korzysta z ChatGPT, Microsoft 365 Copilot, Gemini i podobnych narzędzi, na jakim koncie (firmowym czy prywatnym) i do jakich zadań. Efekt: wykaz narzędzi i zastosowań, opisany szerzej w poście o rejestrze systemów AI w firmie.
2. Ocena każdego zastosowania. Prawnik albo osoba od compliance odpowiada przy każdej pozycji na trzy pytania. Czy to praktyka zakazana z art. 5? Czy zastosowanie mieści się w obszarze z załącznika III (np. rekrutacja, ocena pracowników, zdolność kredytowa, edukacja)? Czy powstają treści objęte art. 50 ust. 4? Efekt: krótka notatka klasyfikacyjna przy każdej pozycji wykazu.
3. Decyzja o zastosowaniach z załącznika III. Jeśli HR chce selekcjonować CV narzędziem ogólnego przeznaczenia, zarząd wybiera: wstrzymać ten pomysł, kupić system przeznaczony przez dostawcę do rekrutacji albo świadomie przyjąć obowiązki dostawcy z art. 25 ust. 1 lit. c). Decyzję warto podjąć już teraz, bo obowiązki dla systemów z załącznika III zaczną się stosować 2 grudnia 2027 r. Więcej w poście o AI w rekrutacji i ocenie pracowników. Efekt: uchwała zarządu z wybranym wariantem.
4. Środki z art. 4. Dział HR z kierownikami zespołów planuje szkolenia i instrukcje dopasowane do ról, inne dla osób piszących teksty dla klientów, inne dla analityków. Komisja Europejska wyjaśnia w pytaniach i odpowiedziach do art. 4, że certyfikat nie jest potrzebny, a organizacja może prowadzić wewnętrzny rejestr szkoleń i innych działań. Efekt: plan szkoleń i rejestr uczestników z datami i tematami.
5. Zasady korzystania. Zarząd przyjmuje zasady: dozwolone narzędzia i konta firmowe, dane, których nie wolno wprowadzać, weryfikacja wyników przez człowieka, ujawnianie treści deepfake i redakcja tekstów publikowanych w sprawach interesu publicznego. Dane osobowe ocenia osobno inspektor ochrony danych na podstawie RODO, co opisuje post o danych osobowych w narzędziach AI. Efekt: zarządzenie albo regulamin znany pracownikom.
6. Przegląd przy zmianie. Każde nowe narzędzie i każde nowe zastosowanie trafia do wykazu przed uruchomieniem, a wykaz przegląda się przy zmianie licencji, dostawcy albo procesu. Efekt: data przeglądu i podpis osoby odpowiedzialnej w wykazie.

Jak sprawdzić, że sprawa jest załatwiona

Każde narzędzie AI używane w firmie, od ChatGPT po Copilota, ma wpis w wykazie z oceną (zakaz, załącznik III, art. 50 ust. 4) i datą. Zasady korzystania są przyjęte i znane pracownikom, a rejestr szkoleń pokazuje, kto, kiedy i z czego był szkolony. AI Act nie przewiduje tu wzoru dokumentu ani zgłoszenia, więc dowodem wykonania obowiązków są te trzy dokumenty wewnętrzne. W Polsce organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI, art. 5 ust. 1 ustawy o systemach sztucznej inteligencji). Od 28 października 2026 r. może ona prowadzić kontrole, więc wykaz, zasady i rejestr szkoleń warto mieć gotowe już teraz. Katalog kar w art. 99 ust. 3-5 AI Act nie wymienia art. 4, a ustawa nie dodaje własnej kary, choć Komisja Europejska zaznacza, że sankcje mogą wynikać z prawa krajowego.

Podstawa prawna i źródła

• art. 2 ust. 7 i 10, art. 3 pkt 4, art. 4, art. 5, art. 25, art. 26, art. 49, art. 50 i art. 113 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• rozporządzenie (UE) 2026/1744 (Digital Omnibus), art. 1 pkt 5 (nowe brzmienie art. 4 AI Act) i art. 4 (wejście w życie) (źródło)
• art. 5 ust. 1 i art. 127 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• Komisja Europejska, AI Literacy - Questions & Answers, pytania i odpowiedzi o art. 4 AI Act (aktualizacja 20.10.2026) (źródło)
• rozporządzenie (UE) 2016/679 (RODO) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001