Czego wymaga obowiązek kompetencji w zakresie AI?

Dlaczego to pytanie w ogóle powstaje

Art. 4 jest krótki i nie zawiera własnej procedury. Nie wskazuje formy, częstotliwości ani dokumentu do przygotowania. Organizacje odczytują go na dwa przeciwne sposoby. Jedne uznają obowiązek za deklarację bez treści, a drugie przekładają go na cykliczne szkolenie z testem końcowym.

Drugie źródło nieporozumienia jest kalendarzowe. Obowiązek nie ma okresu przejściowego i działa od lutego 2025 r. Lipcowy pakiet przesunął wymogi dla systemów wysokiego ryzyka i dopisał do art. 5 dwa nowe zakazy stosowane od 2 grudnia 2026 r. Terminu art. 4 nie ruszył.

Trzecie źródło jest najświeższe. Rozporządzenie zmieniające z lipca 2026 r. przeredagowało cały art. 4. Omówienia oparte na brzmieniu pierwotnym opisują obowiązek surowiej, niż wynika z tekstu obowiązującego.

Co trzeba ustalić przed decyzją

Co zmieniło się w lipcu 2026 roku

Brzmienie pierwotne mówiło o środkach podejmowanych „w celu zapewnienia, w możliwie największym stopniu, odpowiedniego poziomu kompetencji w zakresie AI”. Punktem odniesienia był poziom.

Brzmienie obowiązujące mówi o środkach, „które wspierają rozwój kompetencji w zakresie AI”. Punktem odniesienia jest działanie. Obowiązek przestał więc być opisywany poziomem do osiągnięcia u poszczególnych osób. Sama definicja z art. 3 pkt 56 pozostała bez zmian. Przepis dodaje zdanie rozstrzygające, że taki obowiązek nie oznacza zapewniania osiągnięcia określonego poziomu przez poszczególne osoby.

Skutek jest dowodowy. Organizacja nie musi wykazywać, że konkretna osoba osiągnęła określony poziom. Warto natomiast, żeby umiała pokazać, jakie działania podjęła i dlaczego uznała je za adekwatne.

Czym są kompetencje w zakresie AI według rozporządzenia

Definicja stoi w art. 3 pkt 56 i bywa pomijana. Kompetencje w zakresie AI to umiejętności, wiedza oraz zrozumienie pozwalające w przemyślany sposób wdrażać systemy sztucznej inteligencji. Definicja dodaje świadomość możliwości i ryzyk oraz potencjalnych szkód. Obejmuje przy tym dostawców, podmioty stosujące i osoby, na które AI ma wpływ. Wiąże te kompetencje z odnośnymi prawami i obowiązkami tych osób w kontekście rozporządzenia.

Definicja nie zawęża więc kompetencji do obsługi narzędzia. W mojej ocenie szkolenie produktowe prowadzone przez dostawcę samo obowiązku nie wypełnia, bo odpowiada na pytanie o obsługę.

Kogo obejmują kompetencje w zakresie AI

Przepis wskazuje personel dostawcy albo podmiotu stosującego oraz inne osoby zajmujące się działaniem i wykorzystaniem systemów AI w ich imieniu. Drugi człon wykracza poza stosunek pracy. Obejmuje więc także współpracowników i podwykonawców, jeżeli w imieniu organizacji zajmują się działaniem i wykorzystaniem systemów AI.

Art. 4 ust. 1 wymienia okoliczności doboru działań w trzech grupach. Pierwsza to wiedza techniczna, doświadczenie, wykształcenie i wyszkolenie tych osób. Druga to kontekst, w którym systemy AI mają być wykorzystywane. Trzecia to osoby lub grupy osób, wobec których systemy AI mają być wykorzystywane.

Trzecia grupa bywa pomijana, a niesie najwięcej treści. Ten sam asystent tekstowy wymaga innego przygotowania w zespole marketingu i innego w zespole obsługującym sprawy kandydatów do pracy. Różnicę tworzy odbiorca wyniku, a nie narzędzie.

Punktem wyjścia jest wykaz zastosowań, który opisuje materiał Co powinien zawierać rejestr zastosowań AI?.

Repozytorium praktyk Komisji Europejskiej i granica domniemania zgodności

Art. 4 ust. 2 nakazuje Komisji Europejskiej i państwom członkowskim wspierać wysiłki dostawców i podmiotów stosujących, w szczególności MŚP. W tym celu Komisja ma publikować praktyczne przykłady spełnienia obowiązku na jednolitej platformie informacyjnej.

Komisja prowadzi repozytorium praktyk zebranych w dwóch naborach. Pierwszy objął sygnatariuszy paktu na rzecz AI, drugi był otwarty dla każdej zainteresowanej organizacji. Zebrano w nim ponad czterdzieści inicjatyw, a Komisja zapowiada wykorzystanie repozytorium do publikacji z art. 4 ust. 2.

Repozytorium ma jednak wyraźną granicę. Powielenie zebranej w nim praktyki nie daje samo z siebie domniemania zgodności z art. 4. Komisja zastrzega to wprost na stronie repozytorium. Repozytorium jest więc punktem odniesienia, a nie listą do odhaczenia.

Art. 4 ust. 3 dokłada zalecenia Rady ds. AI, przyjmowane z uwzględnieniem europejskich ram kompetencji. Mają one wspierać Komisję Europejską i państwa członkowskie w promowaniu kompetencji w zakresie AI. Żadne z tych źródeł nie tworzy obowiązku dla organizacji.

Co grozi za naruszenie art. 4

Art. 99 ust. 4 wylicza obowiązki objęte administracyjną karą pieniężną. Wyliczenie obejmuje obowiązki dostawców z art. 16 i upoważnionych przedstawicieli z art. 22. Obejmuje też obowiązki importerów z art. 23, dystrybutorów z art. 24 oraz obowiązki z art. 25 ust. 2 i 4. Dalej wymienia obowiązki podmiotów stosujących z art. 26, wymogi i obowiązki jednostek notyfikowanych oraz obowiązki przejrzystości z art. 50. Art. 4 nie występuje w żadnej z liter tego wyliczenia.

Wprowadzenie do ust. 4 prowadzi po dwukropku do liter a–g i nie zawiera zwrotu „w szczególności”. Wersja angielska mówi wprost o „any of the following provisions”, czyli o przepisach wymienionych dalej. Katalog jest więc zamknięty. Pośrednio potwierdza to art. 75c ust. 4, dodany w lipcu 2026 r. Pozwala on Urzędowi ds. AI nakładać kary z art. 99 ust. 4 także za naruszenie przepisów niewymienionych w tym ustępie. Dotyczy to jednak tylko systemów pod wyłącznym nadzorem Urzędu z art. 75 ust. 1. Należą do nich co do zasady systemy oparte na modelu AI ogólnego przeznaczenia tego samego dostawcy lub dostawców z tego samego przedsiębiorstwa oraz systemy bardzo dużych platform i wyszukiwarek internetowych. Wyłączna kompetencja Urzędu obejmuje dostawców tych systemów. Podmiot stosujący podlega jej tylko wtedy, gdy jest zarazem dostawcą lub należy do tego samego przedsiębiorstwa co dostawca (art. 75 ust. 1 akapit drugi).

Art. 99 ust. 1 nakazuje państwom członkowskim ustanowić kary i inne środki egzekwowania prawa wobec wszelkich naruszeń rozporządzenia przez operatorów. Przepis wymienia wśród nich administracyjne kary pieniężne, ostrzeżenia i środki niepieniężne. Ustawa krajowa dokłada narzędzia nadzorcze, ale z odroczonym startem. Art. 104 ust. 1 nie rozszerza podstawy kary na art. 4, tylko przenosi katalog z rozdziału XII rozporządzenia. Rozdział XII podaje kwoty kar nakładanych przez organ krajowy tylko dla naruszeń z art. 99 ust. 3–5, a art. 4 nie mieści się w żadnym z tych ustępów. Za naruszenie samego art. 4 ustawa nie przewiduje więc administracyjnej kary pieniężnej. Przewiduje natomiast kontrolę, ostrzeżenie i decyzję nakazującą usunięcie skutków naruszenia.

Organem nadzoru rynku w zakresie systemów sztucznej inteligencji jest w Polsce Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Art. 48 ust. 1 pozwala KRiBSI prowadzić kontrolę przestrzegania rozporządzenia i ustawy, z uwzględnieniem art. 2 ust. 2 ustawy. Art. 61 ust. 1 pozwala jej wydać stronie ostrzeżenie w drodze postanowienia, przy uzasadnionym podejrzeniu naruszenia i w toku postępowania.

Art. 62 ust. 1 nakazuje wydać decyzję, gdy KRiBSI stwierdzi naruszenie obowiązków wynikających z rozporządzenia lub ustawy przez podmiot z art. 2 ust. 1 lit. a–f rozporządzenia. Drugim warunkiem jest niezawarcie układu z rozdziału 5 ustawy. Ust. 2 każe zawrzeć w decyzji środki nakazujące usunięcie skutków naruszenia w terminie czternastu dni od doręczenia.

Art. 48 ustawy leży w rozdziale 3, art. 61 i 62 w rozdziale 4, a art. 104 w rozdziale 8. Te rozdziały wchodzą w życie po upływie trzech miesięcy od ogłoszenia (art. 127 pkt 2). Ustawę ogłoszono 27 lipca 2026 r., więc z obliczenia wychodzi 28 października 2026 r. Art. 5 ust. 1 i art. 6 leżą w rozdziale 2 i obowiązują od 11 sierpnia 2026 r. Kontrola, postępowanie, ostrzeżenie i decyzja nakazująca usunięcie skutków naruszenia działają dopiero od 28 października 2026 r.

Osobno działa art. 26 ust. 2 rozporządzenia, adresowany do podmiotu stosującego system AI wysokiego ryzyka. Nakazuje on powierzyć nadzór ze strony człowieka osobom fizycznym mającym niezbędne kompetencje, przeszkolenie i uprawnienia oraz niezbędne wsparcie. Art. 26 ust. 3 zastrzega przy tym swobodę organizowania zasobów własnych i działań w celu wdrożenia wskazanych przez dostawcę środków nadzoru. Zastrzega też, że obowiązki z ust. 1 i 2 pozostają bez uszczerbku dla innych obowiązków z prawa Unii i prawa krajowego. Kompetencje przestają tam być obowiązkiem starannego działania i stają się warunkiem powierzenia osobie nadzoru. Przepis stosuje się od 2 grudnia 2027 r. do systemów z załącznika III i od 2 sierpnia 2028 r. do systemów z załącznika I (art. 113 akapit trzeci lit. c).

Obowiązek środków a obowiązek rezultatu

Sąsiednie reżimy pokazują, dlaczego gotowy program szkoleń nie przenosi się wprost.

Przepis	Czego wymaga	Wyjątki i ograniczenia	Od kiedy
Art. 4 AI Act	od dostawcy i podmiotu stosującego — środków wspierających rozwój kompetencji w zakresie AI	przepis wprost wyłącza zapewnianie określonego poziomu u poszczególnych osób; wiąże dostawcę i podmiot stosujący w rozumieniu art. 3 pkt 3 i 4, a podmiotem stosującym jest każdy, kto wykorzystuje system AI pod swoją kontrolą inaczej niż w osobistej działalności pozazawodowej	obowiązek od 2 lutego 2025 r., opisane brzmienie od 27 lipca 2026 r.
Art. 32 ust. 1 lit. d RODO	regularnego testowania, mierzenia i oceniania skuteczności środków technicznych i organizacyjnych mających zapewnić bezpieczeństwo przetwarzania	wyliczenie lit. a–d jest otwarte („w tym między innymi”) i stosuje się „w stosownym przypadku”; środki dobiera się z uwzględnieniem stanu wiedzy technicznej i kosztu wdrażania oraz charakteru, zakresu, kontekstu i celów przetwarzania, a także ryzyka naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze	25 maja 2018 r.
Art. 8d pkt 4 ustawy o KSC	od kierownika podmiotu — zapewnienia, że personel jest świadomy obowiązków z zakresu cyberbezpieczeństwa i zna wewnętrzne regulacje w tym zakresie	adresatem jest kierownik podmiotu kluczowego albo ważnego, który odpowiada za wykonanie obowiązku przez podmiot (art. 8c ust. 1)	3 kwietnia 2026 r., z 12-miesięcznym terminem realizacji dla podmiotów spełniających przesłanki w tym dniu

Art. 4 i art. 32 ust. 1 każą ważyć środki, a art. 8d pkt 4 formułuje wymóg kategorycznie. Różnią się też tym, czym się je wykazuje. Art. 4 wykazuje się opisem działań, art. 32 ust. 1 lit. d wynikiem testu i oceny, a art. 8d pkt 4 stanem świadomości personelu. Organizacja objęta wszystkimi trzema reżimami może połączyć działania, ale w mojej ocenie nie połączy dowodów.

Co dokumentować

Przepis nie zawiera własnej reguły dowodowej. Dlatego rekomenduję wykazywać wykonanie obowiązku opisem środków wspierających kompetencje w zakresie AI, a nie pomiarem wiedzy. Na taki opis składają się trzy elementy.

1. Wykaz ról stykających się z systemami AI wraz z opisem, na co te systemy wpływają.
2. Opis działań przypisanych do ról, od instruktażu przy wdrożeniu po zasady korzystania i konsultacje.
3. Uzasadnienie doboru, czyli odpowiedź na pytanie, dlaczego akurat te działania uznano za adekwatne.

Trzeci element bywa pomijany, a to on odróżnia dokumentację od listy obecności. Zakres i formę dobiera się do ról, co obejmuje także szkolenia dopasowane do ról i procesów.

Najczęstsze błędy

• Przyjęcie, że obowiązek wymaga określonego poziomu kompetencji. Przepis stanowi wprost, że tak nie jest.

• Cytowanie brzmienia pierwotnego art. 4. Od lipca 2026 r. obowiązuje inne, a omówienia oparte na tekście z 2024 r. opisują obowiązek surowiej.

• Zawężenie kręgu do pracowników. Przepis obejmuje także inne osoby, które w imieniu organizacji zajmują się działaniem i wykorzystaniem systemów AI.

• Uznanie szkolenia produktowego dostawcy za całość działań. Zwykle uczy ono obsługi, a kompetencje w zakresie AI obejmują według art. 3 pkt 56 także świadomość możliwości, ryzyk i potencjalnych szkód.

• Potraktowanie repozytorium Komisji jak listy do odhaczenia. Powielenie praktyki nie daje samo z siebie domniemania zgodności.

• Odłożenie tematu do 2027 r. Obowiązek działa od lutego 2025 r. Lipcowe odroczenie objęło wymogi dla systemów wysokiego ryzyka, a nie art. 4.

Wnioski i dalsze kroki

Art. 4 jest krótki, ale bywa odczytywany niewłaściwie. Nie wymaga programu certyfikacji ani pomiaru wiedzy. Wymaga świadomego doboru działań do ról i do tego, na kogo wyniki systemów oddziałują. Podmiot stosujący system AI wysokiego ryzyka przygotowuje się w ten sposób także do wymogu z art. 26 ust. 2.

Pięć kroków, które ustawiają ten obszar w organizacji.

1. Ustal, w których rolach ludzie stykają się dziś z systemami AI.
2. Dopisz do każdej roli, na co dany system wpływa i kogo dotyczą jego wyniki.
3. Sprawdź, czy wśród tych osób są współpracownicy spoza stosunku pracy.
4. Dobierz działania do ról, rozdzielając instruktaż narzędziowy od świadomości ryzyk i ograniczeń.
5. Zapisz uzasadnienie doboru, bo to ono wyjaśnia, dlaczego działania uznano za adekwatne.

Do wykazu ról wracaj przy każdym nowym wdrożeniu. Nowe zastosowanie zmienia kontekst i krąg odbiorców, a kompetencje starzeją się razem z narzędziami.

Materiały powiązane

• Kto odpowiada za obowiązki przejrzystości z AI Actu? — obowiązek przejrzystości stosowany od 2 sierpnia 2026 r., z terminem 2 grudnia 2026 r. na dostosowanie starszych systemów generatywnych do art. 50 ust. 2.
• Kiedy organizacja stosująca AI staje się dostawcą systemu? — rola przesądzająca o pozostałych obowiązkach.
• Co powinien zawierać rejestr zastosowań AI? — wykaz, od którego zaczyna się dobór działań.
• Kogo w organizacji trzeba przeszkolić z NIS2 poza zarządem? — analogiczne pytanie o krąg osób w reżimie cyberbezpieczeństwa.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), wersja skonsolidowana na 27 lipca 2026 r. — art. 2 ust. 1 lit. a–f i ust. 10, art. 3 pkt 3, 4 i 56, art. 4, art. 26 ust. 2 i 3, art. 75 ust. 1, art. 75c ust. 4, art. 99 ust. 1 i 3–5, art. 111 ust. 4 oraz art. 113 — eur-lex.europa.eu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, wersja ogłoszona — pierwotne brzmienie art. 4 — eur-lex.europa.eu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8 lipca 2026 r. — nowe brzmienie art. 4 — eur-lex.europa.eu.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO), wersja skonsolidowana — art. 32 ust. 1 lit. d — eur-lex.europa.eu.
• Ustawa z dnia 5 lipca 2018 r. o krajowym systemie cyberbezpieczeństwa, tekst ujednolicony — art. 8c ust. 1 i art. 8d pkt 4 — isap.sejm.gov.pl.
• Ustawa z dnia 23 stycznia 2026 r. o zmianie ustawy o krajowym systemie cyberbezpieczeństwa oraz niektórych innych ustaw (Dz.U. 2026 poz. 252) — art. 33 ust. 1 i art. 49 — isap.sejm.gov.pl.
• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) — art. 2 ust. 2, art. 5 ust. 1, art. 6, art. 48 ust. 1, art. 61 ust. 1, art. 62 ust. 1 i 2, art. 104 ust. 1 oraz art. 127 — isap.sejm.gov.pl.
• Komisja Europejska, Repository of AI literacy practices — digital-strategy.ec.europa.eu.