W polskim biznesie i administracji właśnie trwa najbardziej intensywny od lat „remont generalny” procesów związanych z technologią. AI Act – pierwsza kompleksowa regulacja sztucznej inteligencji na świecie – wchodzi w życie etapami i wymusza nowe zasady gry: klasyfikację ryzyka, dokumentację techniczną, oceny wpływu, governance i audyty zgodności. Pierwsze przepisy już obowiązują, a kolejne terminy zbliżają się szybko. Dla zarządów to test gotowości, dla compliance to czas przyspieszenia, a dla działów technologii konieczność porządków w „piwnicy z danymi”.
Co już obowiązuje i co nadchodzi
Od 2 lutego 2025 r. zaczęły obowiązywać pierwsze przepisy AI Act, w tym zakazane praktyki (np. manipulacyjne systemy niewspółmiernie ingerujące w zachowania) i wstępne mechanizmy podnoszące kompetencje w zakresie AI. To sygnał: zegar regulacyjny ruszył, a organizacje nie mogą czekać do „ostatniej chwili”. Harmonogram wdrożeń przewiduje dalsze etapy obejmujące m.in. . obowiązki dla systemów wysokiego ryzyka, zasady dla modeli ogólnego przeznaczenia (GPAI) i pełne ramy oceny zgodności – wszystkie stosowane bezpośrednio we wszystkich państwach UE. Dla polskich podmiotów oznacza to ściśle określone daty i check-listy zmian w politykach, procesach i produktach.
Jednocześnie Komisja Europejska zaproponowała pakiet usprawnień („Cyfrowy Omnibus”) mający uprościć wdrożenia: doprecyzować role AI Office, uelastycznić harmonogram dla systemów wysokiego ryzyka, rozjaśnić zasady oceny zgodności i piaskownic regulacyjnych. To odpowiedź na praktyczne wyzwania zgłaszane od wejścia w życie pierwszych przepisów: mniej biurokracji, więcej przejrzystości i przewidywalności dla biznesu.
Nowe obowiązki: od klasyfikacji ryzyka po governance
Największa zmiana? Przeniesienie ciężaru odpowiedzialności z „dobrych intencji” na dowody i procesy.
- Klasyfikacja ryzyka: organizacje muszą zmapować użycia AI i określić, czy dany system wpada w kategorię wysokiego ryzyka (np. rekrutacja, edukacja, infrastruktura krytyczna), a następnie wdrożyć adekwatne zabezpieczenia, nadzór ludzki i testy. To nie jest jednorazowy exercise – klasyfikacja powinna żyć wraz z produktem.
- Dokumentacja techniczna i ścieżka audytu: AI Act kładzie nacisk na „audytowalność” – od opisu danych treningowych i metryk po decyzje projektowe i wyniki walidacji. Dobrze prowadzona dokumentacja staje się tarczą ochronną w razie kontroli lub incydentu.
- Oceny wpływu (impact assessment): dla zastosowań AI kluczowe są oceny skutków (np. dla osób, procesów, danych), spójne z zasadami ochrony prywatności i przejrzystości. Tu praktyka styka się z RODO: DPIA i oceny dla AI muszą się uzupełniać, nie dublować.
- Governance i nadzór ludzki: zarządy i rady nadzorcze powinny zapewnić jasne role i odpowiedzialności (właściciele modeli, kontrolerzy jakości, zespoły etyki), mechanizmy eskalacji i plan reagowania na incydenty. To zmiana kultury: AI nie może być „czarną skrzynką” poza kontrolą.
Wskazówka praktyczna: firmy, które już wdrożyły ramy compliance dla danych i cyberbezpieczeństwa, są już o krok do przodu. Mogą zaadaptować istniejące szablony kontroli, KPI i rejestry systemów.
GPAI na celowniku: szczególne wymagania dla modeli ogólnego przeznaczenia
Modele ogólnego przeznaczenia (GPAI), z których korzysta dziś większość narzędzi genAI, podlegają dedykowanym obowiązkom: przejrzystości, udokumentowanych ograniczeń, bezpiecznego łańcucha dostaw i zgodności z europejskimi standardami. Dla polskich firm to praktycznie „podwójna zgodność”: własne procesy plus weryfikacja dostawców modeli. Wraz z wejściem wymogów dla GPAI rynek odczuje realne koszty integracji i nową odpowiedzialność za to, „co dzieje się pod maską” narzędzi AI.
Jak wygląda „plan na 2026”: szybkie kroki wdrożeniowe
Doradcy wskazują, że 2026 r. to rok fundamentów: mapowanie ryzyka, porządkowanie dokumentacji, budowa minimalnych mechanizmów governance i przygotowanie do pełnych audytów. W praktyce najskuteczniejsze są trzy równoległe ścieżki:
- Mapa użyć AI i rejestr systemów: Zakres: katalog aplikacji i scenariuszy, klasy ryzyka, właściciele procesów. Efekt: przejrzystość i podstawa do dalszych kontroli.
- Polityki i standardy techniczne: Zakres: zasady danych, walidacji, monitoringu, interwencji człowieka. Efekt: spójność między IT, biznesem, compliance i bezpieczeństwem.
- Gotowość na audyt i incydenty: Zakres: checklisty dowodów zgodności, plany reagowania, role i eskalacje. Efekt: krótszy czas reakcji, mniejsze ryzyko sankcji i reputacyjnych strat.
Ryzyka, na które firmy najczęściej „wpadają”
- Niewidoczna „dzika” AI: projekty pilotażowe poza formalnymi procesami zgodności. Rozwiązanie: szybki spis i „legalizacja” sandboxów.
- Brak spójnej dokumentacji: rozproszone artefakty, brak wersjonowania modeli. Rozwiązanie: centralny repozytorium i standard metadanych.
- Zaufanie do dostawców bez weryfikacji: brak wymogów dot. audytów, danych treningowych, benchmarków bezpieczeństwa. Rozwiązanie: klauzule zgodności i checklisty due diligence.
Dobry benchmark dla zarządów: czy potrafimy w 48 godzin odtworzyć ścieżkę decyzji i testów dla dowolnego modelu produkcyjnego?
Co to oznacza dla konkurencyjności
AI Act bywa postrzegany jako „hamulec”. W praktyce, dobrze wdrożony, działa jak pas bezpieczeństwa: pozwala przyspieszać tam, gdzie ryzyko jest kontrolowane. Firmy z przejrzystą architekturą danych, jasnymi zasadami nadzoru i przygotowaną dokumentacją będą szybciej uruchamiać produkty, łatwiej zdobywać klientów korporacyjnych i redukować ryzyko prawne. Uproszczenia proponowane przez Komisję mają dodatkowo zmniejszyć koszt zgodności i zwiększyć przewidywalność ścieżki certyfikacji. To realny sygnał pro-biznesowy.
Od „projektów” do odpowiedzialnej infrastruktury
W 2025 r. polskie organizacje przechodzą z fazy eksperymentów do budowy trwałej infrastruktury odpowiedzialnej AI. Na poziomie zarządów to decyzja strategiczna: inwestować w porządek, dokumentację i governance teraz, aby później móc skalować AI szybciej i bezpieczniej. AI Act nie kończy innowacji – uczy, jak ją robić z głową i dowodami. I to właśnie jest przewaga konkurencyjna, która będzie miała znaczenie w latach 2026–2027.
CZYTAJ TEŻ: Google pod lupą Komisji Europejskiej. Chodzi o AI
CZYTAJ TEŻ: TOP 50 dostawców AI w Polsce – kto tworzy przyszłość biznesu