Firma używa systemu AI wysokiego ryzyka - obowiązki z art. 26 AI Act

AI Act - Zakazane praktyki i systemy wysokiego ryzyka

Firma używa systemu AI wysokiego ryzyka - obowiązki z art. 26 AI Act

W skrócie

Obowiązki podmiotu stosującego dotyczą firmy, która nie tworzy systemu, tylko go używa: pożyczkodawcy z systemem oceny zdolności kredytowej, pracodawcy z narzędziem oceny wydajności, szkoły z systemem oceniania testów. Zarząd i compliance pytają, czego wymaga art. 26 AI Act, od kiedy i czego potrzebują od dostawcy. Art. 26 omawiamy ustęp po ustępie.

Jak to wygląda w praktyce

Katowicki pożyczkodawca konsumencki wdraża kupiony system oceny zdolności kredytowej klientów. Dostawca przekazał instrukcję obsługi, a zarząd pyta, kto w firmie odpowiada za system, co zrobić, gdy wyniki zaczną odbiegać od normy, jak długo trzymać logi i czy klienta trzeba informować o udziale AI w decyzji. Dział ryzyka pyta, czym jego obowiązki różnią się od obowiązków dostawcy.

Co mówią przepisy

Art. 26 AI Act, którego Digital Omnibus (rozporządzenie (UE) 2026/1744) nie zmienił, nakłada na podmiot stosujący system AI wysokiego ryzyka:

• ust. 1 środki techniczne i organizacyjne, żeby system był używany zgodnie z instrukcją obsługi,
• ust. 2-3 nadzór człowieka powierzony osobom, które mają niezbędne kompetencje, przeszkolenie, uprawnienia i wsparcie, przy swobodzie organizacji własnych zasobów,
• ust. 4 adekwatność i reprezentatywność danych wejściowych w zakresie, w jakim firma je kontroluje,
• ust. 5 monitorowanie działania według instrukcji, a przy ryzyku poinformowanie bez zbędnej zwłoki dostawcy lub dystrybutora i organu nadzoru rynku oraz zawieszenie użycia. Poważny incydent zgłasza się natychmiast: najpierw dostawcy, potem importerowi lub dystrybutorowi i organom,
• ust. 6 przechowywanie automatycznie generowanych logów, które firma kontroluje, przez okres stosowny do przeznaczenia, nie krótszy niż sześć miesięcy, o ile prawo, zwłaszcza o ochronie danych, nie stanowi inaczej,
• ust. 7 poinformowanie przedstawicieli pracowników i pracowników przed użyciem systemu w miejscu pracy,
• ust. 8 rejestrację w bazie UE tylko dla organów publicznych i instytucji Unii, a według art. 49 ust. 3 także działających w ich imieniu (system z załącznika III rejestruje dostawca, art. 49 ust. 1),
• ust. 9 wykorzystanie informacji od dostawcy przy ocenie skutków dla ochrony danych (DPIA) z art. 35 RODO (rozporządzenie (UE) 2016/679),
• ust. 11 informowanie osób fizycznych, że w decyzjach ich dotyczących wykorzystuje się system z załącznika III,
• ust. 12 współpracę z właściwymi organami.

Ust. 10 dotyczy zdalnej identyfikacji biometrycznej w postępowaniach karnych. Instytucje finansowe objęte unijnymi wymogami zarządzania wewnętrznego spełniają obowiązek monitorowania przez te wymogi i prowadzą logi w dokumentacji wymaganej przepisami o usługach finansowych (ust. 5 i 6, akapity drugie).

Zobacz też: Szkolenie Gotowość na AI ACT

Art. 26 należy do sekcji 3 rozdziału III. Do systemów z załącznika III stosuje się go od 2 grudnia 2027 r., a do systemów z sekcji A załącznika I od 2 sierpnia 2028 r. (art. 113 lit. c, art. 2 ust. 2). Do systemu wprowadzonego do obrotu lub oddanego do użytku przed datą stosowania rozdziału III rozporządzenie, poza zakazami z art. 5, stosuje się tylko wtedy, gdy później zmieni się istotnie jego projekt (art. 111 ust. 2). Systemy przeznaczone dla organów publicznych muszą jednak być zgodne do 2 sierpnia 2030 r. Rozdział III ma kilka dat, a przepis nie mówi wprost, którą przyjąć, więc to kwestia sporna.

Za naruszenie art. 26 grozi kara do 15 000 000 EUR albo 3% rocznego światowego obrotu, według kwoty wyższej (art. 99 ust. 4 lit. e). Dla MŚP (małych i średnich przedsiębiorstw) i małych spółek o średniej kapitalizacji liczy się kwota niższa (art. 99 ust. 6 i 6a). Organem nadzoru rynku jest w Polsce co do zasady KRiBSI (Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji), która nakłada kary. Przy instytucjach finansowych art. 74 ust. 6 wskazuje organ nadzoru finansowego, a ust. 7 pozwala wyznaczyć inny organ. Ustawa o systemach sztucznej inteligencji przewiduje tylko współpracę KRiBSI z Komisją Nadzoru Finansowego i nie powołuje ust. 7, co pozostaje niejasne. Przy ocenie zdolności kredytowej, ubezpieczeniach na życie i zdrowotnych oraz u podmiotów prawa publicznego i prywatnych świadczących usługi publiczne dochodzi ocena skutków dla praw podstawowych (FRIA) z art. 27.

Co zrobić krok po kroku

1. Wyznacz właściciela systemu. Zarząd decyzją wskazuje osobę odpowiedzialną za system, np. dyrektora ryzyka, i osoby sprawujące nadzór człowieka, z prawem do pominięcia wyniku systemu i wstrzymania jego użycia.
2. Zbierz od dostawcy instrukcję i dane. Zakupy wpisują do umowy dostęp do instrukcji obsługi, informacji z art. 13 potrzebnych do DPIA, logów i kanału zgłaszania incydentów. Ustal też, kiedy pierwszy egzemplarz danego rodzaju i modelu systemu wprowadzono do obrotu lub oddano do użytku, bo od tego zależy art. 111 ust. 2 (motyw 39 rozporządzenia 2026/1744).
3. Spisz procedurę użycia i nadzoru. Właściciel systemu opisuje, kto i jak korzysta z wyników, jakie dane wejściowe są dopuszczone i jak sprawdza się ich reprezentatywność, kiedy człowiek weryfikuje wynik i jak przebiega zawieszenie użycia.
4. Skonfiguruj przechowywanie logów. IT ustala, które logi firma kontroluje, gdzie są przechowywane i przez jaki okres, co najmniej sześć miesięcy, a okres uzgadnia z inspektorem ochrony danych.
5. Ustal ścieżkę zgłoszeń. Procedura wskazuje, kto informuje dostawcę i organ nadzoru rynku o ryzyku, w jakiej kolejności zgłasza się poważny incydent i kto współpracuje z KRiBSI. Terminy zgłoszeń opisujemy w poście o poważnym incydencie z systemem AI.
6. Przygotuj komunikaty. HR przygotowuje informację dla przedstawicieli pracowników i pracowników przed wdrożeniem systemu w miejscu pracy, a obsługa klienta klauzulę dla osób, wobec których system wspiera decyzje, z informacją o prawie do wyjaśnienia (art. 86).
7. Przeszkol osoby nadzorujące. Szkolenie obejmuje możliwości i ograniczenia systemu, ryzyko nadmiernego polegania na wyniku, interpretację wyników oraz decyzję o pominięciu lub odwróceniu wyniku, czyli elementy, które system ma umożliwiać według art. 14 ust. 4. Rejestr szkoleń zawiera daty i nazwiska. Środki wspierające kompetencje w zakresie AI opisujemy w poście o szkoleniu pracowników z AI według art. 4.

Jak sprawdzić, że sprawa jest załatwiona

Przed datą stosowania art. 26 teczka każdego systemu wysokiego ryzyka powinna zawierać:

• decyzję o właścicielu i osobach nadzorujących,
• procedurę użycia, nadzoru i zgłoszeń,
• umowę z dostawcą z dostępem do instrukcji i logów,
• konfigurację przechowywania logów,
• pismo do przedstawicieli pracowników, gdy system działa w miejscu pracy,
• klauzulę dla osób objętych decyzjami,
• DPIA i rejestr szkoleń osób nadzorujących.

Umowę i DPIA warto mieć już teraz, bo RODO obowiązuje niezależnie od dat AI Act. Do kontroli KRiBSI, co do zasady zdalnej (art. 49 ust. 3 polskiej ustawy), przygotuj też wyciąg z logów i notatki z zawieszeń lub zgłoszeń, jeśli do nich doszło.

Podstawa prawna i źródła

• art. 26 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 2 ust. 2, art. 13, art. 14 ust. 4, art. 27, art. 49, art. 74 ust. 6 i 7, art. 86, art. 99 ust. 4, 6 i 6a, art. 111 ust. 2 i art. 113 lit. c AI Act
• rozporządzenie (UE) 2026/1744, art. 1 pkt 39 i 40 oraz motyw 39 (art. 111 ust. 2 i daty dla systemów wysokiego ryzyka) (źródło)
• art. 35 RODO, rozporządzenie (UE) 2016/679 (źródło)
• art. 5, 20, 49 i 104 ustawy z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001