AI Act i RODO w małej firmie korzystającej z AI: obowiązki, terminy i co zrobić w tym tygodniu

Krótka odpowiedź: co obowiązuje dziś, a co później

Dla firmy, która tylko korzysta z gotowych narzędzi AI, AI Act sprowadza się do kilku przepisów: art. 4, 5 i 50, a przy rekrutacji z pomocą AI od grudnia 2027 r. także art. 26. Więcej konkretnych zadań, takich jak umowy powierzenia i klauzule informacyjne, wynika z RODO.

AI Act, czyli rozporządzenie (UE) 2024/1689, odróżnia dostawcę, który rozwija system AI, od podmiotu stosującego, czyli firmy, która używa systemu AI pod swoją kontrolą. Jeśli Twoje biuro sortuje pocztę gotowym narzędziem z AI, jesteś podmiotem stosującym. Jeśli zlecasz zbudowanie własnego systemu AI, na przykład czatu na swoją stronę, i uruchamiasz go pod swoją nazwą, możesz zostać także dostawcą: art. 3 pkt 3 obejmuje również tego, kto zleca rozwój systemu, a według art. 3 pkt 11 oddaniem do użytku jest także dostarczenie systemu do użytku własnego. Wyłączenie z art. 2 ust. 10 obejmuje tylko czysto osobiste, pozazawodowe użycie AI, więc jednoosobowa działalność pracująca z AI przy zleceniach się w nim nie mieści; co taka firma może oddać automatowi, opisuję w przewodniku automatyzacja jednoosobowej działalności.

Wśród zakazanych praktyk z art. 5, obowiązujących od 2 lutego 2025 r., jest wyciąganie wniosków o emocjach osoby w miejscu pracy, poza względami medycznymi lub bezpieczeństwa (art. 5 ust. 1 lit. f). Nie kupujesz więc narzędzia, które ocenia nastrój zespołu z kamery albo z głosu.

Daty w tabeli i w całym przewodniku sprawdziłem w tekście skonsolidowanym AI Act z 27 lipca 2026 r. na EUR-Lex, w harmonogramie AI Act Service Desk Komisji Europejskiej i w tekście ustawy o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Przewodnik nie dotyczy firm, które same trenują modele albo budują systemy AI na sprzedaż; dla nich obowiązki dostawcy są znacznie szersze.

Co obowiązuje małą firmę korzystającą z gotowych narzędzi AI i od kiedy

Tabela jest szersza niż ekran: przesuń ją palcem w bok.

Po AI Omnibusie: co się zmieniło, a co zostało

Jeśli czytałeś o AI Act przed lipcem 2026 roku, część dat masz nieaktualną. Kilka najważniejszych dla małej firmy się jednak nie ruszyło.

Rozporządzenie (UE) 2026/1744 z 8 lipca 2026 r., potocznie AI Omnibus, weszło w życie 27 lipca 2026 r. Przesunęło przepisy o systemach wysokiego ryzyka z załącznika III, między innymi rekrutacyjnych, na 2 grudnia 2027 r., a o AI w produktach z załącznika I na 2 sierpnia 2028 r. Uprościło art. 4: firma wspiera rozwój kompetencji, ale nie musi zapewnić określonego poziomu u każdej osoby. Dodało też dwa zakazy stosowane od 2 grudnia 2026 r.: systemów generujących bez zgody realistyczne materiały intymne z rozpoznawalną osobą oraz materiały przedstawiające seksualne wykorzystywanie dzieci (art. 5 ust. 1 lit. ba i bb). Firmy, która używa AI do poczty i faktur, te zakazy w praktyce nie dotykają.

Bez zmian zostały daty, które w małej firmie są najważniejsze: art. 4 obowiązuje od 2 lutego 2025 r., art. 50 od 2 sierpnia 2026 r., a według harmonogramu Komisji Europejskiej od tego dnia zaczyna się egzekwowanie przepisów o zakazach, przejrzystości i kompetencjach. Jak oznaczyć czat, opisuję w przewodniku czat AI na stronie firmy.

W Polsce nadzór sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, utworzona ustawą z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), obowiązującą od 11 sierpnia 2026 r. Przepisy o opiniach indywidualnych (art. 8–⁠18), kontroli, postępowaniu i karach zaczynają działać 28 października 2026 r. (art. 127).

AI Omnibus nie zmienił RODO. EUR-Lex pokazuje przy RODO tylko sprostowania i dwa wnioski Komisji z 2025 roku o jego zmianę, a wniosek to jeszcze nie prawo.

Przepływ po przepływie: która reguła czego dotyczy

Weź listę swoich automatyzacji i przy każdej zapytaj o trzy rzeczy: jakie dane idą do modelu, czy wynik dotyka człowieka i kto go zatwierdza.

Sortowania poczty, odczytu faktur z PDF czy streszczeń w CRM-ie nie ma w załączniku III, czyli na liście obszarów wysokiego ryzyka, więc obowiązki wynikają tu z art. 4 AI Act i z RODO. Więcej wymagają czat rozmawiający z klientem bez człowieka i każdy przepływ, który dotyka decyzji o ludziach.

To Ty decydujesz, co wychodzi do modelu: przepływ może odciąć stopkę, telefon i cytowaną historię wątku, a art. 5 ust. 1 lit. c RODO wymaga właśnie danych ograniczonych do niezbędnych. Jak zbudować sortowanie poczty i szkice z akceptacją, opisuję w przewodniku automatyczne odpowiedzi na maile z AI.

Typowe przepływy z AI w małej firmie i obowiązki, które ich dotyczą

Tabela jest szersza niż ekran: przesuń ją palcem w bok.

Rekrutacja i decyzje o ludziach: tu AI tylko porządkuje

Przy selekcji kandydatów AI Act, RODO i zdrowy rozsądek mówią to samo: automat przygotowuje materiał, człowiek decyduje.

Załącznik III pkt 4 AI Act wymienia wśród systemów wysokiego ryzyka systemy AI do analizowania i filtrowania podań o pracę oraz oceny kandydatów, a także do decyzji o awansie, rozwiązaniu umowy o pracę i oceny pracowników. Art. 6 ust. 3 wyłącza system, który wykonuje tylko wąskie zadanie proceduralne albo przygotowawcze i nie wpływa znacząco na decyzję, ale system profilujący ludzi zawsze jest wysokiego ryzyka. Czy Twój przepływ mieści się w wyjątku, to pytanie do prawnika. Od 2 grudnia 2027 r. osoby, wobec których taki system uczestniczy w decyzjach, trzeba o tym poinformować (art. 26 ust. 11), a pracodawca używający go w miejscu pracy uprzedza pracowników i ich przedstawicieli (art. 26 ust. 7).

RODO działa już dziś. Art. 22 ust. 1 daje osobie prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje wobec niej skutki prawne lub podobnie istotnie na nią wpływa. UODO dodaje, że pracownik sprawdzający wynik ma móc go zmienić, a narzędzie, które samo decyduje o ludziach, trzeba przestawić albo porzucić. Jak ustawić taki punkt akceptacji, piszę w przewodniku human in the loop w automatyzacji.

RODO przy AI: co ustalić przed pierwszym zapytaniem

Każde z tych ustaleń kończy się czymś konkretnym: podpisaną umową, zmienionym ustawieniem na koncie albo zapisem w dokumentach firmy, a nie deklaracją, że dbasz o dane.

UODO pyta też o konta imienne i logowanie dwuskładnikowe. Potrzebujesz również procedury na wyciek danych: art. 33 każe zgłosić naruszenie Prezesowi UODO bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko dla praw lub wolności osób. Dlatego pracownik, który wkleił dane klienta do niewłaściwego narzędzia, musi wiedzieć, komu od razu o tym powiedzieć.

• Umowa powierzeniaArt. 28 ust. 3 RODO wymaga umowy określającej przedmiot, czas, charakter i cel przetwarzania, rodzaj danych i kategorie osób; o zmianie podwykonawców dostawca Cię informuje, a Ty możesz się sprzeciwić (ust. 2).
• Miejsce danych i trenowanieUODO pyta, w jakim kraju dostawca przechowuje dane i czy trenuje na nich swoje modele. Według urzędu dostawca, który używa Twoich danych do własnych celów, staje się w tym zakresie administratorem (art. 28 ust. 10 RODO). UODO zauważa też, że w wielu narzędziach trenowanie na danych klienta da się wyłączyć w ustawieniach konta albo w planie płatnym.
• Minimum danych i retencjaArt. 5 ust. 1 lit. c i e: tylko dane niezbędne do celu i nie dłużej, niż trzeba. Sprawdź, jak długo narzędzie trzyma historię rozmów i pliki oraz czy możesz je usunąć.
• Informacja dla osóbArt. 13 i 14 wymagają informacji o przetwarzaniu (art. 14, gdy dane nie pochodzą od samej osoby), a przy decyzjach zautomatyzowanych także o ich zasadach i konsekwencjach. UODO pisze, że klauzula informacyjna ma zawierać wzmiankę o AI.
• Ocena skutkówArt. 35 każe ją przeprowadzić, zanim zaczniesz przetwarzanie, które z dużym prawdopodobieństwem może powodować wysokie ryzyko dla praw lub wolności ludzi. Jako przykład przepis podaje systematyczną, kompleksową ocenę osób przez automat, gdy na jej podstawie zapadają decyzje o skutkach prawnych lub podobnie istotnych. Sortowanie poczty zwykle się w tym nie mieści, automatyczna ocena kandydatów może.

Lista pytań UODO dla MŚP jako checklista przed zakupem

6 sierpnia 2026 r. UODO opublikował listy pytań inicjalnych o ochronie danych przy AI. Wersja dla MŚP jest przeznaczona na etap wyboru narzędzia, czyli przed zakupem albo podpisaniem umowy.

Lista jest dla firm, które korzystają z gotowych narzędzi AI bez ich trenowania, i nie wymaga wiedzy prawniczej. Ma 26 pytań, a instrukcja na jej początku podaje, że wypełnienie zajmuje około 30 minut. Wypełniasz ją osobno dla każdego zastosowania, bo to samo narzędzie w obsłudze klienta i w rekrutacji niesie inne ryzyko. Przy każdym pytaniu wpisujesz TAK, NIE albo WYJAŚNIJ, a w kolumnie „Działanie” co, kto i do kiedy. Więcej niż trzy odpowiedzi NIE oznaczają konieczność konsultacji ze specjalistą przed dalszym korzystaniem z narzędzia.

Zanim narzędzie dotknie danych klientów lub pracowników, UODO każe mieć umowę z dostawcą, podstawę przetwarzania, informację dla osób i wiedzę, gdzie leżą dane, a gdy narzędzie wpływa na sytuację ludzi, także weryfikację wyniku przez pracownika. Przy trenowaniu modelu na własnych danych, rekrutacji, ocenie pracowników, scoringu klientów, danych wrażliwych lub dzieci i danych poza EOG lista dla MŚP nie wystarczy; urząd odsyła wtedy do wersji rozszerzonej albo do specjalisty.

Listy nie są wiążącą wykładnią i nie wysyła się ich do urzędu, ale wypełnioną zachowaj, bo przy kontroli lub skardze pokazuje, że sprawdziłeś sprawę przed wdrożeniem. UODO zbierał uwagi do 30 września 2026 r. z myślą o aktualizacji, więc przed wypełnieniem sprawdź, czy nie pojawiła się nowsza wersja.

Polityka AI dla zespołu na jedną stronę

Nie potrzebujesz regulaminu na kilkadziesiąt stron. Wystarczy jedna strona zasad, do której każdy zajrzy, zanim wklei coś do narzędzia AI albo wyśle klientowi tekst napisany z jego pomocą.

Skopiuj poniższe punkty i wpisz w nie nazwy swoich narzędzi oraz osób. Każdy punkt odpowiada na pytanie z listy UODO albo na obowiązek z AI Act. Do punktu trzeciego dopisz sprawy, których w ogóle nie oddajesz automatowi; zebrałem je w przewodniku czego nie automatyzować.

• 1. Narzędzia, których używamyTylko konta firmowe z listy. Prywatnych kont nie używamy, bo dla nich firma nie ma umowy powierzenia.
• 2. Czego nie wklejamyHaseł, numerów PESEL i danych o zdrowiu nie wklejamy nigdzie. Dane kandydatów tylko w ustalonym procesie rekrutacji, umowy klientów tylko do narzędzia z umową powierzenia.
• 3. Kto zatwierdza wynikWszystko, co idzie do klienta, dotyczy pieniędzy albo decyzji o człowieku, zatwierdza wskazana osoba.
• 4. Jak rozpoznać błąd AIModel potrafi podać nieprawdę tonem pewności. Liczby, daty, nazwiska i przepisy sprawdzamy u źródła.
• 5. Co robimy, gdy coś pójdzie źleJeśli ktoś wkleił dane do niewłaściwego narzędzia, od razu mówi o tym wskazanej osobie. To ona ocenia, czy trzeba zawiadomić UODO, a art. 33 RODO daje na to w miarę możliwości 72 godziny od stwierdzenia naruszenia.
• 6. Przegląd i nowe osobyRaz na kwartał sprawdzamy, czy narzędzia się nie zmieniły. Nowa osoba dostaje tę kartkę i omówienie w pierwszym tygodniu.

Kompetencje w zakresie AI (art. 4): co wystarczy w firmie pięcioosobowej

Art. 4 nie wymaga certyfikatów, inspektora ds. AI ani sprawdzania, czy każdy osiągnął określony poziom. Wymaga działań, dzięki którym ludzie pracujący z AI wiedzą, co robią i czego się wystrzegać.

Art. 4 każe wspierać kompetencje personelu i innych osób obsługujących AI w Twoim imieniu, z uwzględnieniem ich wiedzy i kontekstu użycia. Komisja Europejska w pytaniach i odpowiedziach do art. 4 wyjaśnia, że dotyczy to także firmy, której pracownicy piszą w czacie AI teksty reklamowe albo tłumaczenia; trzeba ich uprzedzić o ryzykach, takich jak halucynacje. Nie trzeba mierzyć wiedzy, zdobywać certyfikatów ani powoływać inspektora ds. AI, a dokumentacją może być wewnętrzny zapis szkoleń. Komisja zaznacza jednak, że samo odesłanie do instrukcji narzędzia w wielu przypadkach może nie wystarczyć.

Program w małej firmie możesz oprzeć na czterech krokach, które Komisja podaje jako minimum. Czas odzyskany z przepisywania i sortowania warto przeznaczyć na naukę pracy z nowymi narzędziami. Jak to zaplanować, opisuję w przewodniku przekwalifikowanie pracowników przy automatyzacji.

1. Wspólne rozumienieOmów z zespołem, czym jest AI, których narzędzi używacie i jakie niosą szanse oraz zagrożenia, najlepiej na przykładach z Waszych maili i dokumentów.
2. Rola firmyUżywacie gotowych narzędzi czy coś budujecie? Kto rozwija system AI albo zleca jego zbudowanie i uruchamia go pod własną nazwą, nawet tylko na własny użytek, jest dostawcą (art. 3 pkt 3 i 11).
3. Ryzyko konkretnych narzędziOmów ryzyko każdego narzędzia osobno. Kto zatwierdza szkice odpowiedzi do klientów, musi uważać na co innego niż osoba przeglądająca zgłoszenia kandydatów.
4. Działania dopasowane do ludziInne omówienie dla księgowej, inne dla handlowca. Zapisz datę, temat i uczestników.

Kiedy iść do prawnika i od czego zacząć w tym tygodniu

Ten przewodnik porządkuje obowiązki, ale nie zastępuje porady prawnej. W czterech sytuacjach poniżej zapytaj prawnika albo Komisję, zanim narzędzie dotknie danych, a nie dopiero po pierwszej skardze.

• Lista UODO dała więcej niż trzy „nie”Instrukcja do listy dla MŚP mówi wprost, że przy takim wyniku trzeba skonsultować się ze specjalistą, zanim dalej użyjesz narzędzia.
• Decyzje o ludziachRekrutacja, ocena pracowników, scoring klientów.
• Dane wrażliwe, dzieci, poza EOGTu lista dla MŚP nie wystarcza.
• Opinia indywidualna KomisjiOd 28 października 2026 r. możesz poprosić Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji o opinię indywidualną, także o działanie, które dopiero planujesz. Wniosek kosztuje 150 zł (art. 11 ustawy), a Komisja ma 30 dni, w sprawach szczególnie skomplikowanych 60; jeśli nie zdąży, uznaje się, że przyznała rację stanowisku z wniosku (art. 12).

1. Spisz, gdzie AI dotyka danychZrób jedną tabelę z czterema kolumnami: narzędzie, do czego go używasz, jakie dane trafiają do modelu i kto zatwierdza wynik.
2. Przejdź listę UODOOsobno dla każdego zastosowania. Puste pola zamień w zadania z osobą i terminem.
3. Uzupełnij dokumenty i przeszkol ludziPodpisz brakujące umowy powierzenia, dopisz wzmiankę o AI do klauzuli informacyjnej, rozdaj zespołowi kartkę z polityką i zapisz, kiedy i z kim ją omówiłeś.

Cenniki i przepisy się zmieniają. Linki do źródeł są na dole strony.

Co dalej: od tabeli do działającego przepływu

Na ten tydzień zaplanuj jedno: tabelę z pierwszego kroku. Kiedy ją masz, widzisz, który przepływ trzeba poprawić najpierw. Jeśli chcesz, żeby sortowanie poczty, odczyt faktur albo szkice odpowiedzi od pierwszego dnia wysyłały do modelu tylko potrzebne dane, czekały na akceptację człowieka i zapisywały, kto co zatwierdził, zbuduję taki przepływ w ramach usługi automatyzacje. Zaczynamy od rozmowy przez telefon albo wideo o tym, jakie dane wychodzą dziś z Twojej firmy do narzędzi AI, a od czego zależy koszt, sprawdzisz w cenniku.

Pytania i odpowiedzi