Materiały dla zarządów oraz zespołów zgodności w organizacjach, które korzystają z gotowych narzędzi AI. Wyjaśniam, które obowiązki działają już dziś, kto je wykonuje i co przesądza o roli organizacji wobec konkretnego systemu.
Stan prawny: sierpień 2026
Zobacz też: DPO i RODO NIS2 i KSC Incydenty i naruszenia Szkolenia i warsztaty
Przegląd zastosowań AI i ustalenie roli organizacjiZakres obowiązków zależy od tego, w jakiej roli organizacja występuje wobec danego narzędzia i co robi z jego wynikiem. Zacznijmy od wykazu zastosowań, które już u Ciebie działają — bez zobowiązań i bez ofertowego wstępu. Poznaj usługę
Od 2 grudnia 2026 r. AI Act obejmuje zakazem systemy AI generujące realistyczne materiały intymne osoby bez jej zgody oraz materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych. Dostawcę zakaz obejmuje, gdy takie generowanie jest celem systemu albo przewidywalnym wynikiem przy braku zabezpieczeń. Organizację korzystającą z narzędzia obejmuje tylko wtedy, gdy sama generuje takie materiały.
Art. 4 AI Actu po zmianie z lipca 2026 r. opisuje obowiązek przez środki, a nie przez poziom wiedzy u poszczególnych osób. Wiąże dostawcę i podmiot stosujący, działa od 2 lutego 2025 r., a wykazuje się go opisem podjętych działań oraz uzasadnieniem ich doboru.
O tym, czy narzędzie to system AI wysokiego ryzyka, rozstrzyga przeznaczenie i sposób użycia, a nie nazwa produktu. Do wysokiego ryzyka prowadzą dwie drogi z art. 6 AI Actu, a odstępstwo dla zastosowań z załącznika III zamyka profilowanie osób fizycznych.
Art. 25 ust. 1 AI Actu wskazuje trzy okoliczności, w których podmiot stosujący staje się dostawcą systemu wysokiego ryzyka. Zmiana roli następuje z mocy sposobu użycia i nie wymaga decyzji zarządu. Obowiązki zaczną wiązać w grudniu 2027 r., ale rozstrzygają o nich umowy podpisywane dzisiaj.
AI Act nie nakazuje prowadzenia rejestru zastosowań sztucznej inteligencji. Centralny wykaz jest jednak silnym dowodem przy trzech obowiązkach — kompetencje z art. 4, praktyki zakazane z art. 5 i przejrzystość z art. 50. Zakres rejestru wyznaczają te obowiązki, a nie gotowy szablon.
Art. 50 AI Actu dzieli obowiązki według roli wobec systemu, a nie według poziomu ryzyka. Dwa z czterech obowiązków adresowane są wprost do organizacji, która AI tylko stosuje — i dostawca nie wykona ich za nią.
