Czego wymaga obowiązek kompetencji w zakresie AI?

Dlaczego to pytanie w ogóle powstaje

Art. 4 jest krótki i nie zawiera własnej procedury. Nie wskazuje formy, częstotliwości ani dokumentu do przygotowania. Organizacje odczytują go na dwa przeciwne sposoby. Jedne uznają obowiązek za deklarację bez treści, a drugie przekładają go na cykliczne szkolenie z testem końcowym.

Drugie źródło nieporozumienia jest kalendarzowe. Obowiązek nie ma okresu przejściowego i działa od lutego 2025 r. Lipcowy pakiet przesunął wymogi dla systemów wysokiego ryzyka oraz dwa nowe zakazy z art. 5, a terminu tego przepisu nie ruszył.

Trzecie źródło jest najświeższe. Rozporządzenie zmieniające z lipca 2026 r. przeredagowało cały art. 4. Omówienia oparte na brzmieniu pierwotnym opisują obowiązek surowiej, niż wynika z tekstu obowiązującego.

Co trzeba ustalić przed decyzją

Co zmieniło się w lipcu 2026 roku

Brzmienie pierwotne mówiło o środkach podejmowanych „w celu zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI”. Punktem odniesienia był poziom.

Brzmienie obowiązujące mówi o środkach, „które wspierają rozwój kompetencji w zakresie AI”. Punktem odniesienia jest działanie. Obowiązek przestał więc być opisywany poziomem do osiągnięcia u poszczególnych osób. Sama definicja z art. 3 pkt 56 pozostała bez zmian. Przepis dodaje zdanie rozstrzygające, że taki obowiązek nie oznacza zapewniania osiągnięcia określonego poziomu przez poszczególne osoby.

Skutek jest dowodowy. Organizacja nie musi wykazywać, że konkretna osoba osiągnęła określony poziom. W mojej ocenie musi natomiast umieć pokazać, jakie działania podjęła i dlaczego uznała je za adekwatne.

Czym są kompetencje w zakresie AI według rozporządzenia

Definicja stoi w art. 3 pkt 56 i bywa pomijana. Kompetencje w zakresie AI to umiejętności, wiedza oraz zrozumienie pozwalające w przemyślany sposób wdrażać systemy sztucznej inteligencji. Definicja dodaje świadomość możliwości i ryzyk oraz potencjalnych szkód. Obejmuje przy tym dostawców, podmioty stosujące i osoby, na które AI ma wpływ. Wiąże te kompetencje z odnośnymi prawami i obowiązkami tych osób w kontekście rozporządzenia.

Definicja otwiera się słowem „umiejętności” i nie zawęża ich do obsługi narzędzia. W mojej ocenie szkolenie produktowe prowadzone przez dostawcę samo obowiązku nie wypełnia, bo odpowiada na pytanie o obsługę.

Kogo obejmują kompetencje w zakresie AI

Przepis wskazuje personel dostawcy albo podmiotu stosującego oraz inne osoby zajmujące się działaniem i wykorzystaniem systemów AI w ich imieniu. W mojej ocenie drugi człon obejmuje także współpracowników i podwykonawców, bo jest szerszy niż stosunek pracy.

Art. 4 ust. 1 wymienia okoliczności doboru działań w trzech grupach. Pierwsza to wiedza techniczna, doświadczenie, wykształcenie i wyszkolenie tych osób. Druga to kontekst, w którym systemy AI mają być wykorzystywane. Trzecia to osoby lub grupy osób, wobec których systemy AI mają być wykorzystywane.

Trzecia grupa bywa pomijana, a niesie najwięcej treści. Ten sam asystent tekstowy wymaga innego przygotowania w zespole marketingu i innego w zespole obsługującym sprawy kandydatów do pracy. Różnicę tworzy odbiorca wyniku, a nie narzędzie.

Punktem wyjścia jest wykaz zastosowań, który opisuje materiał Co powinien zawierać rejestr zastosowań AI?.

Praktyczne przykłady Komisji i granica domniemania zgodności

Art. 4 ust. 2 nakazuje Komisji i państwom członkowskim wspierać wysiłki dostawców i podmiotów stosujących, w szczególności MŚP. W tym celu Komisja publikuje praktyczne przykłady na jednolitej platformie informacyjnej.

Komisja prowadzi repozytorium praktyk zebranych w dwóch naborach. Pierwszy objął sygnatariuszy paktu na rzecz AI, drugi był otwarty dla każdej zainteresowanej organizacji. Zebrano w nim ponad czterdzieści inicjatyw, a Komisja zapowiada wykorzystanie repozytorium do publikacji z art. 4 ust. 2.

Repozytorium ma jednak wyraźną granicę. Powielenie zebranej w nim praktyki nie daje samo z siebie domniemania zgodności z art. 4. Dokument mówi o tym wprost, więc przykład Komisji jest punktem odniesienia, a nie listą do odhaczenia.

Art. 4 ust. 3 dokłada zalecenia Rady ds. AI, przyjmowane z uwzględnieniem europejskich ram kompetencji. W mojej ocenie żadne z tych źródeł nie tworzy obowiązku, ale oba wyznaczają oczekiwania organów.

Dlaczego brak art. 4 w katalogu kar niczego nie zamyka

Art. 99 ust. 4 wylicza obowiązki objęte administracyjną karą pieniężną. Wyliczenie obejmuje obowiązki dostawców, upoważnionych przedstawicieli, importerów i dystrybutorów. Obejmuje też obowiązki z art. 25 ust. 2 i 4, obowiązki podmiotów stosujących z art. 26, wymogi i obowiązki jednostek notyfikowanych oraz obowiązki przejrzystości z art. 50. Art. 4 nie występuje w żadnej z liter tego wyliczenia.

Wprowadzenie do ustępu opisuje wyliczone przepisy ogólnie, jako przepisy dotyczące operatorów lub jednostek notyfikowanych, innych niż art. 5. Zamyka jednak wyliczenie zwrotem „któregokolwiek z przepisów”. Mocniej brzmi art. 99 ust. 1, który nakazuje państwom członkowskim ustanowić kary i inne środki egzekwowania prawa wobec wszelkich naruszeń rozporządzenia przez operatorów. W mojej ocenie sam brak art. 4 w wyliczeniu nie przesądza więc o wyłączeniu tego obowiązku spod kary.

Ustawa krajowa dokłada narzędzia nadzorcze, ale z odroczonym startem. Art. 104 ust. 1 nie rozszerza podstawy kary na art. 4, tylko przenosi katalog z rozdziału XII rozporządzenia. Własne narzędzia stoją gdzie indziej.

Art. 48 ust. 1 pozwala Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji prowadzić kontrolę przestrzegania rozporządzenia i ustawy, z uwzględnieniem art. 2 ust. 2 ustawy. Art. 61 ust. 1 pozwala jej wydać stronie ostrzeżenie w drodze postanowienia, przy uzasadnionym podejrzeniu naruszenia i w toku postępowania.

Art. 62 ust. 1 nakazuje wydać decyzję, gdy Komisja stwierdzi naruszenie obowiązków wynikających z rozporządzenia lub ustawy przez podmiot z art. 2 ust. 1 lit. a–f rozporządzenia. Drugim warunkiem jest niezawarcie układu z rozdziału 5 ustawy. Ust. 2 każe zawrzeć w decyzji środki nakazujące usunięcie skutków naruszenia w terminie czternastu dni od doręczenia.

Wszystkie cztery przepisy leżą w rozdziałach 3, 4 i 8 ustawy, a te wchodzą w życie po upływie trzech miesięcy od ogłoszenia (art. 127 pkt 2). Ustawę ogłoszono 27 lipca 2026 r., więc z obliczenia wychodzi 28 października 2026 r. Do tego dnia ustawa daje Komisji samą podstawę ustrojową. Art. 5 ust. 1 i art. 6 leżą w rozdziale 2 i obowiązują od 11 sierpnia 2026 r. Odroczone są natomiast narzędzia proceduralne, od kontroli i postępowania po ostrzeżenie i decyzję z karą.

Osobno działa art. 26 ust. 2 rozporządzenia, adresowany do podmiotu stosującego system AI wysokiego ryzyka. Nakazuje on powierzyć nadzór ze strony człowieka osobom fizycznym mającym niezbędne kompetencje, przeszkolenie i uprawnienia oraz niezbędne wsparcie. Art. 26 ust. 3 zastrzega przy tym swobodę organizowania zasobów własnych i działań w celu wdrożenia wskazanych przez dostawcę środków nadzoru. Zastrzega też, że obowiązki z ust. 1 i 2 pozostają bez uszczerbku dla innych obowiązków z prawa Unii i prawa krajowego. W mojej ocenie kompetencje przestają tam być obowiązkiem starannego działania i stają się warunkiem dopuszczenia osoby do roli. Przepis stosuje się od 2 grudnia 2027 r. albo od 2 sierpnia 2028 r., bo art. 113 lit. c rozdziela systemy z załącznika III i z załącznika I.

Obowiązek środków a obowiązek rezultatu

Zestawienie z sąsiednimi reżimami pokazuje, dlaczego gotowy program szkoleń nie przenosi się wprost.

Przepis	Czego wymaga	Wyjątki i ograniczenia	Od kiedy
Art. 4 AI Act	od dostawcy i podmiotu stosującego — środków wspierających rozwój kompetencji w zakresie AI	przepis wprost wyłącza zapewnianie określonego poziomu u poszczególnych osób; wiąże dostawcę i podmiot stosujący w rozumieniu art. 3 pkt 3 i 4, a podmiotem stosującym jest każdy, kto wykorzystuje system AI pod swoją kontrolą inaczej niż w osobistej działalności pozazawodowej	obowiązek od 2 lutego 2025 r., opisane brzmienie od 27 lipca 2026 r.
Art. 32 ust. 1 lit. d RODO	regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania	wyliczenie lit. a–d jest otwarte („w tym między innymi”) i stosuje się „w stosownym przypadku”; środki dobiera się z uwzględnieniem stanu wiedzy technicznej i kosztu wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania, a także ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze	25 maja 2018 r.
Art. 8d pkt 4 ustawy o KSC	od kierownika podmiotu — zapewnienia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje w tym zakresie	adresatem jest kierownik podmiotu kluczowego albo ważnego, nie sam podmiot	3 kwietnia 2026 r., z 12-miesięcznym terminem realizacji dla podmiotów spełniających przesłanki w tym dniu

Art. 4 i art. 32 ust. 1 każą ważyć środki, a art. 8d pkt 4 formułuje wymóg kategorycznie. W mojej ocenie różnią się też tym, czym się je wykazuje. Art. 4 wykazuje się opisem działań, art. 32 ust. 1 lit. d wynikiem testu i oceny, a art. 8d pkt 4 stanem świadomości personelu. Organizacja objęta wszystkimi trzema reżimami może połączyć działania, ale w mojej ocenie nie połączy dowodów.

Co dokumentować

Przepis nie zawiera własnej reguły dowodowej. W mojej ocenie kompetencje w zakresie AI wykazuje się opisem środków, a nie pomiarem wiedzy. Składają się na niego trzy elementy.

1. Wykaz ról stykających się z systemami AI wraz z opisem, na co te systemy wpływają.
2. Opis działań przypisanych do ról, od instruktażu przy wdrożeniu po zasady korzystania i konsultacje.
3. Uzasadnienie doboru, czyli odpowiedź na pytanie, dlaczego akurat te działania uznano za adekwatne.

Trzeci element bywa pomijany, a to on odróżnia dokumentację od listy obecności. Zakres i formę dobiera się do ról, co obejmuje także szkolenia dopasowane do ról i procesów.

Najczęstsze błędy

• Przyjęcie, że obowiązek wymaga określonego poziomu kompetencji. Przepis stanowi wprost, że tak nie jest.

• Cytowanie brzmienia pierwotnego art. 4. Od lipca 2026 r. obowiązuje inne, a omówienia oparte na tekście z 2024 r. opisują obowiązek surowiej.

• Zawężenie kręgu do pracowników. Przepis obejmuje także osoby działające w imieniu organizacji na innej podstawie.

• Uznanie szkolenia produktowego dostawcy za wykonanie obowiązku. W mojej ocenie to za mało, bo definicja z art. 3 pkt 56 mówi także o świadomości możliwości, ryzyk i potencjalnych szkód.

• Potraktowanie repozytorium Komisji jak listy do odhaczenia. Powielenie praktyki nie daje samo z siebie domniemania zgodności.

• Odłożenie tematu do 2027 r. Obowiązek działa od lutego 2025 r., a lipcowe odroczenie objęło wymogi dla systemów wysokiego ryzyka i dwa nowe zakazy z art. 5.

Wnioski i dalsze kroki

Art. 4 jest najprostszym obowiązkiem AI Actu i jednocześnie najczęściej odczytywanym niewłaściwie. Nie wymaga programu certyfikacji ani pomiaru wiedzy. Wymaga świadomego doboru działań do ról i do tego, na kogo wyniki systemów oddziałują. Organizacja, która to zrobi, przygotowuje się przy okazji do wymogu z art. 26 ust. 2.

Pięć kroków, które ustawiają ten obszar w organizacji.

1. Ustal, w których rolach ludzie stykają się dziś z systemami AI.
2. Dopisz do każdej roli, na co dany system wpływa i kogo dotyczą jego wyniki.
3. Sprawdź, czy wśród tych osób są współpracownicy spoza stosunku pracy.
4. Dobierz działania do ról, rozdzielając instruktaż narzędziowy od świadomości ryzyk i ograniczeń.
5. Zapisz uzasadnienie doboru, bo to ono jest dowodem podjęcia środków.

Do tego wykazu wracaj przy każdym nowym wdrożeniu. Nowe zastosowanie zmienia kontekst i krąg odbiorców, a kompetencje starzeją się razem z narzędziami.

Materiały powiązane

• Kto odpowiada za obowiązki przejrzystości z AI Actu? — obowiązek przejrzystości stosowany od 2 sierpnia 2026 r., z terminem 2 grudnia 2026 r. na dostosowanie starszych systemów generatywnych do art. 50 ust. 2.
• Kiedy organizacja stosująca AI staje się dostawcą systemu? — rola przesądzająca o pozostałych obowiązkach.
• Co powinien zawierać rejestr zastosowań AI? — wykaz, od którego zaczyna się dobór działań.
• Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem? — analogiczne pytanie o krąg osób w reżimie cyberbezpieczeństwa.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), wersja skonsolidowana na 27 lipca 2026 r. — art. 2 ust. 10, art. 3 pkt 3, 4 i 56, art. 4, art. 26 ust. 2 i 3, art. 99 ust. 1 i 4, art. 111 ust. 4 oraz art. 113 — eur-lex.europa.eu (dostęp: 13.09.2026).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, wersja ogłoszona — pierwotne brzmienie art. 4 — eur-lex.europa.eu (dostęp: 13.09.2026).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8 lipca 2026 r. — nowe brzmienie art. 4 — eur-lex.europa.eu (dostęp: 13.09.2026).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 32 ust. 1 lit. d — eur-lex.europa.eu (dostęp: 13.09.2026).
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony — art. 8c ust. 1 i art. 8d pkt 4 — isap.sejm.gov.pl (dostęp: 13.09.2026).
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — art. 33 ust. 1 i art. 49 — isap.sejm.gov.pl (dostęp: 13.09.2026).
• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) — art. 5 ust. 1, art. 6, art. 48 ust. 1, art. 61 ust. 1, art. 62 ust. 1 i 2, art. 104 ust. 1 oraz art. 127 — isap.sejm.gov.pl (dostęp: 13.09.2026).
• Komisja Europejska, Repository of AI literacy practices — digital-strategy.ec.europa.eu (dostęp: 13.09.2026).