Dostawca czy podmiot stosujący - jak ustalić rolę firmy w AI Act

AI Act - Czy AI Act dotyczy Twojej firmy i w jakiej roli

Dostawca czy podmiot stosujący - jak ustalić rolę firmy w AI Act

W skrócie

Dostawca a podmiot stosujący to pierwsze rozróżnienie, które zarząd, CTO albo osoba od compliance muszą zrobić, zanim policzą obowiązki z AI Act. Pokazujemy, jak przypisać rolę do każdego systemu, kiedy rola się zmienia i jaki dokument zostawić na kontrolę.

Jak to wygląda w praktyce

Spółka z Wrocławia sprzedaje sieciom handlowym oprogramowanie z własnym modułem prognoz opartym na uczeniu maszynowym. Jako pierwsza wprowadza też na rynek UE system analizy dokumentów, który stworzyła firma z USA i który nosi jej markę. Wewnętrznie spółka korzysta z Microsoft 365 Copilot i z kupionego narzędzia do selekcji CV. W przetargu klient pyta o rolę wykonawcy w AI Act, a zarząd nie wie, co odpowiedzieć. Tymczasem spółka pełni różne role przy różnych systemach.

Co mówią przepisy

Definicje. Dostawca to podmiot, który rozwija system AI lub model AI ogólnego przeznaczenia albo zleca ich rozwój. Ponadto odpłatnie lub nieodpłatnie wprowadza system do obrotu lub oddaje go do użytku „pod własną nazwą lub własnym znakiem towarowym” (art. 3 pkt 3 AI Act). Podmiot stosujący wykorzystuje system AI, nad którym sprawuje kontrolę, poza osobistą działalnością pozazawodową (pkt 4). Importer ma siedzibę w Unii i wprowadza do obrotu system opatrzony nazwą lub znakiem towarowym podmiotu z państwa trzeciego (pkt 6). Dystrybutor to inny niż dostawca lub importer uczestnik łańcucha dostaw, który udostępnia system na rynku Unii (pkt 7).

Rynek i użytek własny. Wprowadzenie do obrotu to pierwsze udostępnienie systemu na rynku Unii (pkt 9). Oddanie do użytku to dostarczenie systemu do pierwszego użycia bezpośrednio podmiotowi stosującemu „lub do użytku własnego” (pkt 11). Dlatego firma, która zbuduje albo zleci zbudowanie systemu i uruchomi go pod swoją nazwą dla własnych pracowników, jest jego dostawcą i zarazem podmiotem stosującym. Podobnie jest z chatbotem na cudzym modelu, co opisuje post o własnym chatbocie na modelu ogólnego przeznaczenia.

Zobacz też: Szkolenie Gotowość na AI ACT

Kiedy rola się zmienia. Art. 25 ust. 1 uznaje dystrybutora, importera, podmiot stosujący lub inną stronę trzecią za dostawcę systemu wysokiego ryzyka, z obowiązkami z art. 16, gdy:

• umieszcza swoją nazwę lub znak towarowy w systemie wysokiego ryzyka już wprowadzonym do obrotu lub oddanym do użytku, bez uszczerbku dla umów, które dzielą obowiązki inaczej,
• dokonuje w takim systemie istotnej zmiany, po której pozostaje on systemem wysokiego ryzyka,
• zmienia przeznaczenie systemu, także systemu AI ogólnego przeznaczenia, tak że staje się on systemem wysokiego ryzyka.

Pierwotny dostawca przestaje być dostawcą tego systemu, ale współpracuje z nowym: udostępnia dokumentację techniczną i informuje o znanych ograniczeniach. Nie musi tego robić, jeśli wyraźnie zastrzegł, że jego systemu nie wolno zmienić w system wysokiego ryzyka (art. 25 ust. 2 w brzmieniu nadanym przez Digital Omnibus, czyli rozporządzenie (UE) 2026/1744).

Obowiązki według roli. Importer przed wprowadzeniem systemu wysokiego ryzyka do obrotu sprawdza m.in., czy dostawca przeprowadził ocenę zgodności (art. 23 ust. 1). Dystrybutor przed udostępnieniem sprawdza oznakowanie CE, kopię deklaracji zgodności UE i instrukcję obsługi (art. 24 ust. 1). Obowiązki z art. 16-27 stosuje się od 2 grudnia 2027 r. dla systemów z załącznika III i od 2 sierpnia 2028 r. dla systemów z załącznika I (art. 113 lit. c)). Kompetencje w zakresie AI (art. 4) i zakazy (art. 5) dotyczą już dziś dostawców i podmiotów stosujących. Obowiązki przejrzystości z art. 50, stosowane od 2 sierpnia 2026 r., przypisano do ról: ust. 1 i 2 dostawcy, ust. 3 i 4 podmiotowi stosującemu.

Co zrobić krok po kroku

1. Lista systemów. CTO razem z osobą od compliance spisuje wszystkie systemy AI, z którymi firma ma do czynienia: budowane we własnym zakresie, zamawiane u zewnętrznego wykonawcy, odsprzedawane klientom i używane wewnętrznie. Efekt: lista w rejestrze, którego budowę opisuje post o rejestrze systemów AI w firmie.
2. Pytania o rolę. Przy każdym systemie zespół ustala, kto go rozwinął albo zlecił rozwój i pod czyją nazwą trafia do klientów lub do użytku wewnętrznego. Sprawdza też, czy firma jako pierwsza wprowadza na rynek UE system z marką podmiotu spoza Unii, czy tylko go odsprzedaje i czy sama z niego korzysta. Efekt: przypisana rola, a czasem kilka ról, przy każdej pozycji.
3. Przesłanki z art. 25 ust. 1. Przy systemach wysokiego ryzyka i nowych zastosowaniach z załącznika III dział produktu i prawnik zadają trzy pytania. Czy firma umieszcza na systemie swoją nazwę? Czy wprowadza w nim istotną zmianę? Czy zmienia przeznaczenie systemu, także ogólnego przeznaczenia, tak że staje się on systemem wysokiego ryzyka? Każde „tak” oznacza obowiązki dostawcy z art. 16. Efekt: notatka z odpowiedziami i wnioskiem.
4. Umowy. Przy odsprzedaży pod własną marką albo przy modyfikacji cudzego systemu dział prawny zapisuje w umowie podział obowiązków i zakres współpracy pierwotnego dostawcy z art. 25 ust. 2: dokumentację techniczną, znane ograniczenia i tryby awaryjne, dostęp techniczny do testów. Efekt: aneks do umowy z dostawcą albo klientem.
5. Uzasadnienie na piśmie. Osoba odpowiedzialna za compliance podpisuje notatkę o roli: opis systemu, przeznaczenie według dostawcy, odpowiedzi z kroków 2 i 3, wniosek i datę. Przy wątpliwościach firma składa do Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) wniosek o opinię indywidualną, co opisuje post o opinii indywidualnej KRiBSI. Opłata wynosi 150 zł, a opinia zapada w 30 dni, w sprawach szczególnie skomplikowanych w 60 dni.
6. Przegląd przy każdej zmianie. Procedura zmian w produkcie i procedura zakupu narzędzi AI zawierają pytanie, czy zmienia się rola w AI Act: nowa funkcja, nowe przeznaczenie, nowa marka, nowy rynek. Efekt: aktualizowana notatka o roli z historią zmian.

Jak sprawdzić, że sprawa jest załatwiona

W przykładzie spółki rejestr pokazuje trzy role przy czterech systemach: dostawca modułu prognoz, importer systemu analizy dokumentów z USA oraz podmiot stosujący Microsoft 365 Copilot i narzędzie do selekcji CV. Każda pozycja ma podpisaną notatkę z uzasadnieniem i datą, a przy systemach wysokiego ryzyka także wynik sprawdzenia przesłanek z art. 25 ust. 1. Umowy opisują podział obowiązków wszędzie tam, gdzie firma odsprzedaje, oznacza swoją marką albo modyfikuje cudzy system. Rejestr, notatki o roli, umowy i ewentualna opinia indywidualna tworzą teczkę, którą firma pokaże przy kontroli. Opinia wiąże KRiBSI, a zastosowanie się do niej przed jej zmianą lub uchyleniem nie może szkodzić firmie (art. 13 ust. 1 i art. 15 ust. 5 ustawy o systemach sztucznej inteligencji).

Podstawa prawna i źródła

• art. 3 pkt 3-11, art. 4, art. 5, art. 16, art. 23-26, art. 50 i art. 113 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• rozporządzenie (UE) 2026/1744 (Digital Omnibus), art. 1 pkt 12 (zmiany art. 25 ust. 2 i 4 AI Act) (źródło)
• art. 9, 11, 12, 13 i 15 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)
• Złóż wniosek o wydanie opinii indywidualnej przez Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, usługa na gov.pl (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001