Sztuczna inteligencja w coraz większym stopniu wpływa na sposób funkcjonowania przedsiębiorstw. Wspiera procesy sprzedażowe, analizę dokumentów, rekrutację, zarządzanie pracownikami i obsługę klientów. Pozwala ograniczać koszty, przyspieszać podejmowanie decyzji i automatyzować zadania, które jeszcze niedawno wymagały zaangażowania wielu osób. Rozwój tych możliwości sprawia jednak, że rośnie również znaczenie odpowiedzialności prawnej i organizacyjnej związanej z wykorzystaniem nowych technologii.
28 października 2026 r. jest istotną datą dla polskiego systemu nadzoru nad sztuczną inteligencją. Wchodzą wówczas w życie kolejne przepisy krajowej ustawy o systemach sztucznej inteligencji, dotyczące między innymi mechanizmów nadzorczych, postępowań i sankcji. Dla przedsiębiorców jest to dobry moment, aby zweryfikować nie tylko sposób wdrażania nowych rozwiązań, lecz przede wszystkim to, czy organizacja zachowuje nad nimi rzeczywistą kontrolę. Z perspektywy AI Governance, czyli zarządzania sztuczną inteligencją, najważniejsze pytanie nie brzmi już, czy firma korzysta z AI. Należy ustalić, w jakim zakresie to robi, na jakich zasadach, z jakimi konsekwencjami i kto odpowiada za rezultaty jej działania. Podstawą europejskich regulacji pozostaje Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, znane jako AI Act. Jego celem jest stworzenie ram prawnych, które umożliwią rozwój sztucznej inteligencji przy jednoczesnym ograniczeniu zagrożeń dla praw podstawowych, bezpieczeństwa i interesów obywateli. W Polsce regulacje te uzupełnia ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji. Ustawa weszła zasadniczo w życie 11 sierpnia 2026 r., natomiast 28 października zaczynają obowiązywać kolejne przepisy wzmacniające krajowy mechanizm nadzoru, w tym dotyczące kontroli, postępowań i administracyjnych kar pieniężnych. Istotną rolę w tym systemie przewidziano dla Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Zmiany te należy rozpatrywać w szerszym kontekście. Nie oznaczają one, że wszystkie obowiązki wynikające z AI Act zaczynają obowiązywać jednocześnie. Rozporządzenie jest wdrażane etapami, a część jego przepisów znajduje zastosowanie już od 2025 r. Kolejne terminy obejmują następne kategorie wymagań, w zależności między innymi od rodzaju systemu i roli podmiotu uczestniczącego w jego opracowaniu lub wykorzystywaniu. Dla przedsiębiorcy zasadnicze znaczenie ma jednak nie sama data wejścia w życie określonego przepisu, lecz możliwość wykazania, że stosowane rozwiązania zostały właściwie ocenione i są wykorzystywane zgodnie z obowiązującymi wymaganiami[1].
Firma często nie wie, gdzie faktycznie wykorzystuje AI
W praktyce gospodarczej sztuczna inteligencja nie zawsze jest wdrażana w ramach formalnego projektu, z udziałem działu IT, zarządu i obsługi prawnej. Niejednokrotnie, ale też nie ukrywajmy że najczęściej zaczyna się od indywidualnej inicjatywy pracownika, który chce szybciej przygotować dokument, przeanalizować umowę, uporządkować dane lub opracować odpowiedź dla klienta. Takie zastosowania mogą być korzystne, ale stają się problematyczne, gdy odbywają się poza wiedzą i kontrolą organizacji. Zjawisko to określa się mianem Shadow AI. Obejmuje ono korzystanie z narzędzi sztucznej inteligencji bez odpowiedniej autoryzacji, ustalonych zasad bezpieczeństwa lub świadomości konsekwencji takiego działania. Wyobraźmy sobie pracownika, który wprowadza do publicznego narzędzia AI fragment umowy zawierającej informacje o warunkach handlowych, dane klienta albo dokumentację dotyczącą zatrudnienia. Chce jedynie przyspieszyć pracę, nie analizuje jednak, jakie zasady przetwarzania danych stosuje dostawca narzędzia ani czy przekazane informacje powinny w ogóle zostać udostępnione zewnętrznej usłudze. Z punktu widzenia przedsiębiorstwa nie jest to już wyłącznie kwestia wygody pracownika. Może powstać ryzyko naruszenia poufności, ochrony danych osobowych, zobowiązań umownych lub wewnętrznych zasad bezpieczeństwa. Jeżeli wygenerowany rezultat zostanie następnie wykorzystany w relacji z klientem albo jako podstawa decyzji biznesowej, konsekwencje mogą wykraczać daleko poza samo przekazanie informacji do narzędzia. Dlatego pierwszym zadaniem przedsiębiorstwa powinno być ustalenie rzeczywistego zakresu wykorzystania sztucznej inteligencji. Nie wystarczy lista systemów zakupionych przez firmę. Należy również zweryfikować narzędzia wykorzystywane samodzielnie przez pracowników, sposób przetwarzania danych oraz procesy, w których wyniki generowane przez AI mają znaczenie dla działalności organizacji. Brak takiej wiedzy oznacza, że przedsiębiorstwo może nie dostrzegać ryzyka, zanim pojawi się problem. Nie oznacza to automatycznie naruszenia prawa w każdym przypadku, ale istotnie utrudnia świadome zarządzanie zgodnością i bezpieczeństwem.
Odpowiedzialność finansowa i prawna nie kończy się na dostawcy technologii
W dyskusji o AI Act wiele uwagi poświęca się wysokości potencjalnych kar. Nie bez powodu. Rozporządzenie przewiduje wysokie maksymalne sankcje za określone naruszenia, w tym do 35 mln euro lub 7 proc. całkowitego światowego rocznego obrotu za wskazane zakazane praktyki związane z AI. Dla innych kategorii naruszeń przewidziano między innymi pułapy do 15 mln euro lub 3 proc. obrotu oraz do 7,5 mln euro lub 1 proc. obrotu. Warto jednak podkreślić, że nie są to automatyczne kary za samo korzystanie ze sztucznej inteligencji ani uniwersalne sankcje za każdy błąd organizacyjny. Właściwy limit zależy od konkretnego naruszenia i podstawy prawnej. Znaczenie mają również zasady obliczania kar, status danego podmiotu i okoliczności sprawy. Z perspektywy zarządzania przedsiębiorstwem równie istotne są konsekwencje, które mogą wystąpić niezależnie od postępowania administracyjnego. Błędna analiza dokumentacji, nieprawidłowa rekomendacja systemu, ujawnienie informacji poufnych czy wadliwie przeprowadzony proces rekrutacyjny mogą prowadzić do sporów z klientami, pracownikami lub kontrahentami, a także do strat finansowych czy chociażby utraty reputacji. Nie należy również zakładać, że odpowiedzialność za wszystkie nieprawidłowości ponosi dostawca narzędzia. AI Act rozróżnia obowiązki poszczególnych kategorii podmiotów, a zakres odpowiedzialności zależy od ich rzeczywistej roli. Przedsiębiorstwo wykorzystujące system powinno zatem ustalić, jakie obowiązki dotyczą go jako podmiotu stosującego AI i czy warunki współpracy z dostawcą pozwalają bezpiecznie realizować procesy biznesowe. W praktyce oznacza to konieczność weryfikacji nie tylko samej technologii, lecz również umów, zasad przetwarzania informacji, zakresu dostępu do danych i możliwości wyjaśnienia działania systemu w sytuacji spornej.
Obszar szczególnie wrażliwy
Jednym z obszarów wymagających szczególnej uwagi jest wykorzystanie AI w zarządzaniu personelem. Systemy te mogą wspierać selekcję kandydatów, analizę aplikacji, ocenę wyników pracy, przydzielanie zadań, planowanie grafików czy podejmowanie decyzji dotyczących rozwoju zawodowego, często jest to przedmiotem naszych prelekcji na konferencjach i rzeczywiście temat wymaga szczególnego omówienia. Bowiem nie wszystkie takie zastosowania są zakazane, ale część z nich może podlegać szczególnym wymaganiom przewidzianym dla systemów wysokiego ryzyka. Kwalifikacja zależy od funkcji rozwiązania, jego przeznaczenia oraz kryteriów określonych w AI Act. Sam fakt, że producent określa narzędzie jako system wspierający HR, nie przesądza o jego statusie prawnym. Odrębną kwestią są praktyki zakazane przez rozporządzenie. Przykładem jest co do zasady rozpoznawanie emocji w miejscu pracy, z wyjątkiem zastosowań związanych z względami medycznymi lub bezpieczeństwem. Nie można zatem uznać, że każda metoda analizy pracowników jest dopuszczalna tylko dlatego, że została zautomatyzowana. Przyjrzyjmy się sytuacji, w której przedsiębiorstwo wykorzystuje algorytm do oceny efektywności pracowników. System analizuje liczbę wykonanych zadań, czas ich realizacji oraz historię aktywności, a następnie rekomenduje obniżenie premii określonej osobie. Jeżeli firma przyjmuje wynik bez sprawdzenia jego podstaw, może nie zauważyć, że algorytm nie uwzględnia specyfiki obowiązków, różnic w przydzielonych zadaniach lub innych istotnych okoliczności. Problem nie polega wyłącznie na ewentualnym błędzie technologicznym. Dotyczy również obiektywności kryteriów oceny, możliwości zakwestionowania wyniku i zgodności całego procesu z prawem pracy. Automatyzacja nie przenosi odpowiedzialności pracodawcy na algorytm. Jeżeli decyzja dotycząca pracownika narusza przepisy, sam fakt wykorzystania systemu AI nie stanowi usprawiedliwienia. Z tego względu przedsiębiorstwa powinny analizować nie tylko to, czy dany system działa prawidłowo z technicznego punktu widzenia, ale także to, jakie konsekwencje jego wykorzystanie wywołuje dla osób, których dotyczy. Nadzór człowieka musi mieć rzeczywiste znaczenie i co za tym idzie jednym z istotnych elementów AI Governance jest właśnie określenie granic automatyzacji i zasad nadzoru nad wynikami generowanymi przez systemy. W praktyce nie wystarczy, że w procedurze zostanie wskazana osoba odpowiedzialna za kontrolę, jeżeli nie ma ona odpowiednich kompetencji, dostępu do informacji ani możliwości zakwestionowania rezultatu. AI Act przewiduje szczególne wymagania dotyczące nadzoru człowieka w przypadku systemów wysokiego ryzyka. Obejmują one między innymi możliwość zrozumienia ograniczeń systemu, właściwej interpretacji jego wyników i reagowania na ryzyko niepożądanych skutków. Nie oznacza to bezwzględnego obowiązku ręcznego zatwierdzania każdej czynności wykonywanej przez AI. Zakres nadzoru powinien wynikać z rodzaju systemu, jego przeznaczenia i właściwych wymagań prawnych. Istotne jest jednak, aby tam, gdzie nadzór jest wymagany, nie miał wyłącznie formalnego charakteru. Przedsiębiorstwo powinno wiedzieć, kto odpowiada za dany proces, w jakich sytuacjach wynik wymaga dodatkowej weryfikacji i w jaki sposób można odtworzyć podstawę podjętej decyzji. Konieczne jest także określenie procedury postępowania w razie błędu, incydentu lub podejrzenia naruszenia praw osoby, której dotyczy wynik działania systemu. Bez takich mechanizmów firma może stopniowo uzależnić swoje decyzje od technologii, której ograniczeń nie rozumie i nad którą nie sprawuje skutecznej kontroli.
AI Governance jako element zarządzania ryzykiem w przedsiębiorstwie
Zarządzanie sztuczną inteligencją nie powinno ograniczać się do przygotowania regulaminu korzystania z chatbotów co jak pokazuje praktyka często w przekonaniu organizacji jest wystarczające. AI Governance to szersze podejście obejmujące zasady wdrażania technologii, podział odpowiedzialności, ocenę ryzyka, ochronę informacji, kompetencje pracowników i monitorowanie działania systemów. Punktem wyjścia powinna być inwentaryzacja narzędzi i zastosowań AI. Następnie należy ustalić, jakie funkcje realizują poszczególne rozwiązania, jakie dane przetwarzają i czy mogą wpływać na prawa pracowników, klientów lub innych osób. Na tej podstawie możliwe jest określenie obowiązków prawnych oraz ustalenie priorytetów działań. Kolejnym krokiem jest wprowadzenie zasad korzystania z AI dostosowanych do specyfiki przedsiębiorstwa. Powinny one wskazywać, jakie narzędzia są dopuszczone do użytku, jakie informacje mogą być do nich przekazywane, kiedy konieczna jest weryfikacja wygenerowanego wyniku i w jaki sposób należy zgłaszać nieprawidłowości. Istotne znaczenie ma również przygotowanie pracowników. Obowiązek podejmowania działań zapewniających odpowiedni poziom kompetencji w zakresie AI wynika z art. 4 AI Act i jest stosowany od 2 lutego 2025 r. Nie chodzi wyłącznie o znajomość funkcji poszczególnych aplikacji. Pracownicy powinni rozumieć ograniczenia technologii, zasady bezpiecznego przetwarzania informacji oraz ryzyko związane z bezkrytycznym wykorzystywaniem wygenerowanych odpowiedzi. Równolegle należy zweryfikować relacje z dostawcami. Warunki przetwarzania danych, zasady przechowywania informacji, możliwość wykorzystywania ich do trenowania modeli, bezpieczeństwo oraz dostępność dokumentacji mogą mieć bezpośredni wpływ na możliwość zgodnego z prawem korzystania z narzędzia. W zależności od rodzaju systemu i roli przedsiębiorstwa konieczne mogą być również dodatkowe oceny ryzyka, dokumentacja techniczna, procedury monitorowania czy inne mechanizmy przewidziane w przepisach. Nie istnieje jeden uniwersalny zestaw dokumentów, który zapewni zgodność każdej organizacji. Zakres działań należy ustalać na podstawie rzeczywistych zastosowań AI i obowiązków danego podmiotu. Zdecydowanie warto rozpocząć od przeglądu obecnego sposobu wykorzystywania sztucznej inteligencji. Nie oznacza to, że każda firma musi natychmiast wdrożyć pełny system zarządzania zgodnością, niezależnie od skali działalności i rodzaju używanych narzędzi. Takie podejście byłoby nie tylko nieproporcjonalne, lecz także nie uwzględniałoby zróżnicowania obowiązków przewidzianych w AI Act. Inne wymagania mogą dotyczyć przedsiębiorstwa korzystającego z narzędzia do redagowania ogólnych tekstów, a inne organizacji stosującej system do oceny kandydatów, zarządzania pracownikami lub podejmowania decyzji wpływających na dostęp do określonych usług. Znaczenie ma również to, czy firma jedynie wykorzystuje gotowy system, czy sama go opracowuje, udostępnia lub wprowadza na rynek. Różne są także terminy stosowania poszczególnych obowiązków. Zgodnie z harmonogramem AI Act zasadnicze wymagania dla systemów wysokiego ryzyka wymienionych w załączniku III mają być stosowane od 2 grudnia 2027 r., a dla systemów wysokiego ryzyka będących elementami produktów regulowanych, objętych odpowiednimi przepisami unijnymi, od 2 sierpnia 2028 r. Nie zwalnia to przedsiębiorców z przestrzegania wymagań, które już obowiązują, ani z konieczności odpowiednio wczesnego przygotowania się do kolejnych etapów regulacji. W pierwszej kolejności warto więc ustalić, czy organizacja wie, z jakich narzędzi AI korzysta, czy kontroluje przekazywane im dane, czy rozpoznała ryzyka związane z poszczególnymi zastosowaniami i czy pracownicy wiedzą, w jaki sposób korzystać z technologii. Istotne jest również określenie, kto odpowiada za ocenę zgodności, reagowanie na błędy i aktualizację wewnętrznych zasad. Jeżeli przedsiębiorstwo nie potrafi udzielić jasnej odpowiedzi na te pytania, powinno potraktować to jako sygnał do przeprowadzenia przeglądu.
Właściwie zaprojektowane AI Governance pozwala nie tylko ograniczać ryzyko naruszeń. Ułatwia także podejmowanie decyzji o wdrażaniu nowych rozwiązań, poprawia kontrolę nad procesami, chroni informacje i wzmacnia wiarygodność przedsiębiorstwa wobec klientów oraz kontrahentów. Zgodność z prawem i odpowiedzialne wykorzystanie technologii nie są przy tym pojęciami tożsamymi. Rozwiązanie może nie naruszać konkretnego zakazu, a mimo to generować istotne ryzyko operacyjne, finansowe lub starty wizerunkowe. Dlatego ocena AI powinna uwzględniać zarówno obowiązujące przepisy, jak i rzeczywisty wpływ technologii na działalność organizacji. 28 października 2026 r. stanowi ważny etap rozwoju krajowego systemu nadzoru nad sztuczną inteligencją. Dla przedsiębiorców powinien być przede wszystkim impulsem do uporządkowania zasad korzystania z tej technologii i zweryfikowania, czy jej wdrażanie odbywa się w sposób świadomy. Sztuczna inteligencja może stać się źródłem przewagi konkurencyjnej, ale tylko wtedy, gdy przedsiębiorstwo rozumie nie tylko jej możliwości, lecz także ograniczenia i konsekwencje jej wykorzystania. Odpowiedzialne wdrażanie AI wymaga połączenia wiedzy prawnej, świadomości technologicznej i skutecznego zarządzania ryzykiem. To właśnie na tym polega istota AI Governance.
Kancelaria wspiera przedsiębiorców w analizie prawnych aspektów wykorzystania sztucznej inteligencji, identyfikacji ryzyk oraz opracowywaniu zasad i procedur dostosowanych do specyfiki ich działalności. Celem jest umożliwienie organizacjom korzystania z nowych technologii w sposób bezpieczny, przemyślany i zgodny z właściwymi wymaganiami regulacyjnymi.
Jeżeli Państwa firma korzysta ze sztucznej inteligencji lub planuje wdrożenie nowych rozwiązań opartych na AI, zachęcamy do współpracy z Kancelarią Prawną Viggen. Pomożemy zidentyfikować potencjalne ryzyka prawne i organizacyjne oraz dobrać rozwiązania w zakresie AI Governance do specyfiki działalności przedsiębiorstwa, tak aby rozwój technologiczny szedł w parze z bezpieczeństwem i zgodnością z obowiązującymi przepisami.
Przygotowała:
Anna Nieć-Mrzygłód
Dyrektor Generalna
Kancelaria Prawna Viggen sp.j.
Zapraszamy do współpracy:
tel.: 509-982-577
e-mail: biuro1@viggen.pl
Źródła:
- Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. z 2026 r. poz. 1003. Tekst aktu prawnego – Dziennik Ustaw.
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji (AI Act). Tekst rozporządzenia – EUR-Lex.
- Komisja Europejska, The enforcement framework of the AI Act. Informacje dotyczące organów nadzoru, egzekwowania przepisów, sankcji oraz harmonogramu stosowania AI Act. Oficjalna strona Komisji Europejskiej.
- Komisja Europejska, AI Act – Regulatory framework. Informacje dotyczące celów regulacji, podejścia opartego na ryzyku, obowiązków podmiotów oraz harmonogramu stosowania rozporządzenia. Oficjalna strona Komisji Europejskiej.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej w indywidualnej sprawie. Zakres obowiązków należy oceniać z uwzględnieniem konkretnego zastosowania systemu AI, roli przedsiębiorstwa oraz aktualnego stanu prawnego.
[1] Ustawa o systemach sztucznej inteligencji, Dz.U. z 2026 r. poz. 1003, Komisja Europejska, AI Act.