Kiedy organizacja stosująca AI staje się dostawcą systemu?

Dlaczego to pytanie w ogóle powstaje

Sztuczna inteligencja rzadko wchodzi do organizacji decyzją zarządu. Wchodzi jako nowa funkcja w kupionym wcześniej oprogramowaniu albo jako narzędzie zbudowane wewnętrznie na modelu ogólnego przeznaczenia. W obu przypadkach nikt nie zadaje pytania o rolę, bo nikt nie ma poczucia, że coś wprowadza do obrotu.

Rozporządzenie nie pyta, czy organizacja zajmuje się sztuczną inteligencją. Pyta o rolę wobec konkretnego systemu. Ta sama organizacja bywa podmiotem stosującym wobec jednego narzędzia i dostawcą wobec drugiego.

Do tego dochodzi nieporozumienie wokół zmiany harmonogramu z lipca 2026 r. Odroczenie objęło rozdział III sekcje 1, 2 i 3. Są to klasyfikacja, wymogi oraz obowiązki dostawców i podmiotów stosujących systemy wysokiego ryzyka. Nie objęło zakazanych praktyk, obowiązku wspierania kompetencji ani obowiązków przejrzystości. Rynek przyjął z tego jedno zdanie — „AI Act przesunięto” — i przestał liczyć terminy.

Co trzeba ustalić przed decyzją

Trzy okoliczności, w których rola się zmienia

Art. 25 ust. 1 wymienia dystrybutora, importera, podmiot stosujący i inną stronę trzecią. Każdy z nich zostaje uznany za dostawcę systemu AI wysokiego ryzyka, jeżeli zachodzi którakolwiek z trzech okoliczności.

Własna nazwa lub znak towarowy. Organizacja umieszcza swoją markę w systemie wysokiego ryzyka wprowadzonym już do obrotu. Przepis dodaje tu zastrzeżenie. Dzieje się tak bez uszczerbku dla ustaleń umownych przewidujących inny podział obowiązków.

Istotna zmiana. Organizacja zmienia system wysokiego ryzyka w taki sposób, że pozostaje on systemem wysokiego ryzyka. Chodzi więc o modyfikację w obrębie tej samej kategorii, a nie o wyjście z niej.

Zmiana przeznaczenia. Organizacja używa systemu, który nie był sklasyfikowany jako wysokiego ryzyka, w sposób czyniący z niego taki system. Przepis wymienia tu wprost systemy AI ogólnego przeznaczenia.

Trzecia okoliczność jest w praktyce najczęstsza i najtrudniejsza do zauważenia. Zespół buduje asystenta na modelu ogólnego przeznaczenia, a potem kieruje go do wsparcia decyzji o kandydatach do pracy. Model się nie zmienił. Zmieniło się przeznaczenie, a wraz z nim rola organizacji.

Co pierwotny dostawca jest winien nowemu

Ta część przepisu bywa pomijana, a jest najbardziej praktyczna. Po zmianie roli pierwotnego dostawcy nie uznaje się już za dostawcę tego konkretnego systemu. Ma za to obowiązek ścisłej współpracy z nowym dostawcą.

Art. 25 ust. 2 wylicza trzy elementy tej współpracy.

• dokumentacja techniczna wystarczająca do oceny zgodności z wymogami z art. 16;
• informacja o znanych ograniczeniach systemu i o trybach awaryjnych;
• ukierunkowany dostęp techniczny, w tym do celów testowania i walidacji.

Dla organizacji, która zmieniła rolę, jest to jedyna realna droga do wykonania obowiązków dostawcy. Bez dokumentacji technicznej nie da się przeprowadzić oceny zgodności, a bez dostępu technicznego nie da się jej udowodnić.

Zdanie w umowie, które wyłącza cały ten mechanizm

Tu przepis zamyka pętlę. Obowiązku współpracy nie stosuje się w przypadkach, gdy pierwotny dostawca wyraźnie określił, że jego systemu nie wolno zmienić w system wysokiego ryzyka. Wtedy nie ciąży na nim ani obowiązek współpracy, ani obowiązek przekazania dokumentacji.

Konsekwencja jest praktyczna i nieprzyjemna. Organizacja, która takie zastrzeżenie zaakceptowała, bierze na siebie całe ryzyko zmiany przeznaczenia. Po takiej zmianie zostaje z obowiązkami dostawcy i bez materiału do ich wykonania. Umowa nie chroni jej przed zmianą roli. Pozbawia ją natomiast wsparcia.

Dlatego to pytanie należy do etapu zakupu, a nie do etapu wdrożenia. W tym samym kierunku idzie art. 25 ust. 4, dodany zmianą z lipca 2026 r. Nakazuje on dostawcy systemu wysokiego ryzyka i osobie trzeciej dostarczającej komponenty wskazać w pisemnej umowie informacje, dostęp techniczny i pomoc potrzebne do wykonania obowiązków. Wyłączone są komponenty udostępniane publicznie na bezpłatnej licencji otwartego oprogramowania. Wyłączenie nie obejmuje modeli ogólnego przeznaczenia.

Od kiedy to wiąże i dlaczego termin nie zwalnia z pracy

Art. 25 i art. 26 leżą w rozdziale III sekcja 3, więc obejmuje je odroczenie. Zaczną być stosowane 2 grudnia 2027 r. wobec systemów wysokiego ryzyka z załącznika III oraz 2 sierpnia 2028 r. wobec systemów z załącznika I.

Ta data nie jest terminem rozpoczęcia pracy. Jest terminem, na który praca ma być skończona. Umowy z dostawcami narzędzi AI podpisywane dziś obowiązują zwykle dłużej niż piętnaście miesięcy. To one przesądzą, czy organizacja będzie miała dostęp do dokumentacji w chwili wejścia przepisu w życie.

Osobno warto pamiętać, że część rozporządzenia działa już teraz. Obowiązek wspierania kompetencji w zakresie AI z art. 4 wiąże od 2 lutego 2025 r. Zakazane praktyki z art. 5 również. Dwa nowe zakazy wchodzą 2 grudnia 2026 r. Obowiązki przejrzystości z art. 50 obowiązują od 2 sierpnia 2026 r.

Najczęstsze błędy

• Pytanie o rolę zadane raz, na poziomie organizacji. Rola dotyczy systemu, nie firmy. Ustalenie „jesteśmy podmiotem stosującym” bez wskazania, wobec którego narzędzia, nie rozstrzyga niczego.
• Uznanie, że zakup gotowego narzędzia wyklucza rolę dostawcy. Wyklucza ją tylko dopóty, dopóki organizacja nie zmieni przeznaczenia narzędzia. Zmiana przeznaczenia bywa decyzją zespołu produktowego, a nie decyzją zarządu.
• Odczytanie odroczenia jako zawieszenia całego rozporządzenia. Odroczenie objęło wymogi i obowiązki dotyczące systemów wysokiego ryzyka. Pozostałe przepisy działają.
• Przeczytanie art. 25 ust. 1 bez zastrzeżenia umownego z lit. a) i bez wyłączenia z ust. 2. Oba zdania zmieniają wynik analizy, a oba łatwo pominąć przy pobieżnej lekturze.
• Odłożenie przeglądu umów do czasu, gdy przepis zacznie wiązać. W grudniu 2027 r. warunki będą już uzgodnione, a renegocjacja umowy trwa dłużej niż jej zawarcie.

Wnioski i dalsze kroki

Ustalenie roli jest czynnością powtarzalną, nie jednorazową. Powtarza się przy każdym nowym zastosowaniu i przy każdej zmianie sposobu użycia istniejącego.

Kolejność, która porządkuje tę pracę.

1. Zestaw zastosowania sztucznej inteligencji w organizacji wraz z ich przeznaczeniem. Bez tego wykazu pytanie o rolę nie ma do czego się odnieść.
2. Dla każdego zastosowania odpowiedz, czy zachodzi którakolwiek z trzech okoliczności z art. 25 ust. 1.
3. Sprawdź w umowach, czy dostawca zastrzegł zakaz zmiany systemu w system wysokiego ryzyka. To zastrzeżenie zmienia ocenę ryzyka projektu.
4. Przy nowych umowach uzgodnij zakres dokumentacji i dostępu technicznego przed podpisaniem, zgodnie z art. 25 ust. 4.
5. Wprowadź ocenę roli do procedury uruchamiania nowych narzędzi, żeby zmiana przeznaczenia nie nastąpiła poza wiedzą zarządu.

Dowodem wykonania tej pracy jest wykaz zastosowań z przypisaną rolą oraz zapis oceny przy każdym z nich. Ten sam materiał odpowiada na pytanie klienta, ubezpieczyciela i audytora.

Materiały powiązane

• Co powinien zawierać rejestr zastosowań AI? — wykaz, bez którego pytania o rolę nie da się zadać.
• Kto odpowiada za obowiązki przejrzystości z AI Actu? — druga oś podziału obowiązków między dostawcę a podmiot stosujący.
• Czy każda organizacja podlega NIS2? — ta sama logika kwalifikacji w drugim reżimie.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), wersja skonsolidowana na 27 lipca 2026 r., art. 4, art. 25, art. 26 i art. 113 — eur-lex.europa.eu (dostęp: 01.09.2026).
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8 lipca 2026 r. zmieniające rozporządzenie (UE) 2024/1689 — Dz.Urz. UE L 1744 z 24 lipca 2026 r. (dostęp: 01.09.2026).
• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) (dostęp: 01.09.2026).