Polska uprząż AI. Jak korzystać z AI zgodnie z prawem i umieć to wykazać
Seria · część 3 z 3: prawo, stan na 23 października 2026 r.
Autor: Andrzej Okoński, szef rozwoju oprogramowania
Organizacja korzystająca z AI powinna umieć wyjaśnić, do czego używa systemu, jakie dane mu powierza i kto odpowiada za jego zastosowanie. Dobrze zaprojektowana uprząż pomaga przełożyć te ustalenia na uprawnienia, przebieg pracy i dowody wykonania kontroli. Zakres obowiązków zależy od konkretnego zastosowania oraz roli firmy.
W pierwszej części serii handlowiec przygotowywał z pomocą AI projekt oferty. W drugiej sprawdzaliśmy, czy taka praca zachowuje jego sprawczość i kompetencje. Teraz wyobraźmy sobie, że podobny asystent trafia do działu HR i zaczyna oceniać kandydatów. Okno rozmowy może wyglądać tak samo, ale skutki działania systemu i jego kwalifikacja prawna będą inne.
Dlatego rozmowę o zgodności zaczynamy od opisu zadania: liczy się to, czy konkretny proces jest prawidłowo zaprojektowany i używany. Dopiero do niego dobieramy narzędzia, które pomagają to wykazać.
Opisać zastosowanie i ustalić rolę organizacji
Przydatna jest krótka karta zastosowania: cel biznesowy, użytkownicy, osoby objęte skutkami decyzji, źródła danych, dozwolone działania i właściciel procesu. Powinna również określać, czego systemowi nie wolno robić oraz kiedy musi przekazać sprawę człowiekowi.
W przykładzie ofertowania AI przygotowuje szkic na podstawie dokumentów firmy. Nie otrzymuje samodzielnego uprawnienia do uzgodnienia odstępstwa cenowego ani do zawarcia umowy. Zmiana tego zakresu wymaga ponownej oceny procesu. Podobnie udostępnienie asystentowi akt kandydatów i polecenie ich porównania oznacza nowe zastosowanie, które trzeba zakwalifikować.
Firma może być podmiotem stosującym AI, dostawcą systemu albo pełnić kilka ról. W określonych sytuacjach, opisanych w art. 25 AI Act, między innymi po istotnej modyfikacji systemu wysokiego ryzyka lub zmianie przeznaczenia prowadzącej do takiej kwalifikacji, na podmiot mogą przejść obowiązki dostawcy. Dlatego zakres integracji i zmian warto analizować przed wdrożeniem.
Osobno ustala się role związane z ochroną danych osobowych. Nazwa „dostawca AI” nie rozstrzyga automatycznie, kto jest administratorem danych i w czyim imieniu poszczególne podmioty je przetwarzają. W umowach i dokumentacji trzeba opisać rzeczywisty przepływ informacji oraz odpowiedzialność jego uczestników.
Sprawdzić ryzyko i aktualne terminy AI Act
AI Act różnicuje wymagania według zastosowań. Narzędzie pomagające zredagować pismo wymaga innej analizy niż system selekcjonujący kandydatów lub wspierający decyzje dotyczące zatrudnienia. Obszar zatrudnienia i zarządzania pracownikami znajduje się w załączniku III, przy czym dokładna kwalifikacja uwzględnia reguły i wyjątki przewidziane w rozporządzeniu.
Na dzień przygotowania artykułu trzeba uwzględnić zmiany wprowadzone przez AI Omnibus, który wszedł w życie 27 lipca 2026 r. Obowiązki dotyczące systemów wysokiego ryzyka z załącznika III mają być stosowane od 2 grudnia 2027 r., a właściwe przepisy dotyczące systemów wysokiego ryzyka związanych z produktami z załącznika I od 2 sierpnia 2028 r. Szczegółowy termin zależy także od przepisów przejściowych dotyczących danego systemu.
Jednocześnie, zgodnie z aktualnym harmonogramem AI Act, od 2 lutego 2025 r. stosowane są wcześniejsze zakazy wskazane w art. 5, a od 2 sierpnia 2026 r. co do zasady obowiązują przepisy o przejrzystości z art. 50. Przesunięcie terminów dla wysokiego ryzyka nie odracza ochrony danych ani innych już stosowanych obowiązków.
W praktyce warto prowadzić harmonogram przypisany do zastosowań, z właścicielem każdej pozycji i datą przeglądu. Zapis „AI Act od sierpnia 2026” jest zbyt ogólny, aby na jego podstawie planować odbiór konkretnego rozwiązania.
Uwzględnić polską ustawę i kontrole od 28 października
W Polsce od 11 sierpnia 2026 r. obowiązuje ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji. Od 28 października 2026 r. stosuje się jej przepisy o kontrolach, skargach i karach. Nadzór sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), która może kontrolować firmy i instytucje korzystające z AI w swojej działalności, także z gotowych narzędzi kupionych w abonamencie.
Ustawa daje też narzędzia, które pozwalają przygotować się bez pośpiechu. Kontrola może się zacząć co do zasady nie wcześniej niż 7 dni po doręczeniu zawiadomienia, a w zaleceniach pokontrolnych Komisja wyznacza na usunięcie nieprawidłowości termin nie krótszy niż 30 dni. W sprawie budzącej wątpliwości można wystąpić o opinię indywidualną: opłata wynosi 150 zł, a Komisja ma na odpowiedź 30 dni, w sprawach szczególnie skomplikowanych 60 dni. Jak przygotować firmę w trzech krokach, opisaliśmy we wpisie Od 28 października kontrole i kary za AI z naszej serii „AI pod kontrolą”, a terminy i obowiązki zebraliśmy na naszej stronie o ustawie.
Zadbać o kompetencje i przejrzystość
Po zmianach z 2026 r. art. 4 wymaga od dostawców i podmiotów stosujących AI podejmowania działań wspierających rozwój kompetencji personelu oraz innych osób obsługujących systemy w ich imieniu. Działania powinny uwzględniać wiedzę, doświadczenie i kontekst użycia. Przepis nie wymaga zagwarantowania określonego poziomu kompetencji każdej osoby.
Dobrym sposobem realizacji tego celu jest szkolenie na rzeczywistych zadaniach. Handlowiec ćwiczy kontrolę cennika i odbiorcy; administrator rozpoznaje nieprawidłowy przepływ danych; kierownik wie, kiedy przerwać pilotaż. Warto zachować program, materiały i informację o przeprowadzonych działaniach, a ich przydatność oceniać w praktyce. Takie zajęcia prowadzimy w ramach naszych szkoleń z AI. Pomaga też TWIN:DESK: postęp nowych użytkowników w przewodniku administrator widzi w systemie.
Art. 50 obejmuje między innymi informowanie o bezpośredniej interakcji z AI, z przewidzianymi wyjątkami, oraz określone obowiązki dotyczące treści generowanych lub modyfikowanych przez AI. Nie oznacza to identycznego obowiązku oznaczania każdego dokumentu firmowego. Przykładowo przepis dotyczący tekstów publikowanych w interesie publicznym przewiduje wyjątek związany z kontrolą redakcyjną człowieka i odpowiedzialnością za publikację.
Dla wdrożenia oznacza to potrzebę ustalenia, co widzi użytkownik, jak rozpoznaje propozycję systemu oraz kto sprawdza materiał przed publikacją. Takie zasady powinny być częścią procesu, w którym powstaje treść.
Chronić dobrostan z poszanowaniem prywatności
W drugiej części proponowaliśmy rozmowy z pracownikami i ocenę ich doświadczenia pracy. Przy wyborze narzędzi do takich działań trzeba odróżnić dobrowolną informację zwrotną od automatycznego wnioskowania o emocjach.
AI Act w art. 5 co do zasady zakazuje używania AI do wnioskowania o emocjach w miejscu pracy na podstawie danych biometrycznych, z wyjątkami dotyczącymi względów medycznych lub bezpieczeństwa. Zwykła deklaracja, że celem jest dobrostan, nie ustanawia osobnego wyjątku. System analizujący twarz lub cechy głosu pracownika wymaga więc szczególnie uważnej oceny przed zakupem i uruchomieniem.
Również narzędzia spoza tego zakazu mogą ingerować w prywatność. Rekomendujemy zbieranie tylko informacji potrzebnych do poprawy organizacji pracy oraz jasne oddzielenie rozmowy o trudnościach od indywidualnego oceniania produktywności.
W Polsce pracodawca ma obowiązek oceniać i dokumentować ryzyko zawodowe oraz informować o nim pracowników. Wprowadzając AI, warto objąć przeglądem również zmiany obciążenia i sposobu wykonywania pracy. PIP zwraca uwagę na technostres, presję algorytmiczną i nadmierny monitoring jako możliwe ryzyka psychospołeczne.
Zaprojektować drogę danych zgodnie z RODO
Jeżeli zadanie obejmuje dane osobowe, trzeba określić cel i podstawę prawną przetwarzania, zakres informacji, dostęp oraz czas przechowywania. Zasady minimalizacji i ograniczenia celu dotyczą także treści przekazywanej modelowi. Europejska Rada Ochrony Danych podkreśla również potrzebę ustalenia okresów retencji i sposobu usuwania danych.
W naszym przykładzie do przygotowania struktury oferty nie jest potrzebna pełna korespondencja z klientem. Z kolei dostęp do dokumentacji konkretnej sprawy powinien wynikać z uprawnień osoby i potrzeb zadania. Te ustalenia trzeba sprawdzić również dla logów, kopii zapasowych i zgłoszeń serwisowych.
Dla przetwarzania, które może powodować wysokie ryzyko naruszenia praw lub wolności osób, administrator przeprowadza ocenę skutków dla ochrony danych, czyli DPIA, przed jego rozpoczęciem. Nie każde użycie AI automatycznie wymaga DPIA; znaczenie mają cechy konkretnego procesu.
Przy usługach zewnętrznych należy ustalić także odbiorców danych, podwykonawców i dostęp spoza Europejskiego Obszaru Gospodarczego. Ewentualne transfery wymagają spełnienia właściwych warunków ochrony. Centrum danych w Polsce to dopiero początek, bo liczy się cały łańcuch przetwarzania. Dlatego w SAIE Pantera modele mogą działać nawet na serwerach bez dostępu do internetu.
Nasz PROXY:AI kontroluje komunikację z modelami, stosuje polityki dostępu i maskuje dane osobowe, zanim zapytanie trafi do modelu. Jego ustawienia wynikają z przyjętych zasad. Reguły dostępu sprawdzamy w trybie próbnym, a skuteczność maskowania testujemy na przykładach z dokumentów klienta, zanim zaczną działać na co dzień.
Zapewnić rzeczywisty udział człowieka
RODO ustanawia ochronę przed decyzjami opartymi wyłącznie na automatycznym przetwarzaniu, które wywołują skutki prawne lub podobnie istotnie wpływają na osobę; przewiduje też określone wyjątki i zabezpieczenia. Dlatego proces oceny kandydata wymaga odrębnej analizy, nawet jeśli w interfejsie znajduje się przycisk zatwierdzenia.
Dla systemów wysokiego ryzyka art. 26 AI Act przewiduje powierzenie nadzoru osobom mającym kompetencje, przygotowanie, uprawnienia i wsparcie. Przewiduje też między innymi monitorowanie działania oraz informowanie przedstawicieli pracowników i pracowników objętych zastosowaniem systemu w miejscu pracy. Przy planowaniu wdrożenia trzeba powiązać te wymagania z właściwym terminem ich stosowania.
Rekomendujemy sprawdzian praktyczny: osoba nadzorująca otrzymuje błędną propozycję i ma ją rozpoznać, odrzucić oraz skierować do wyjaśnienia. W procesie trzeba zapewnić jej dostęp do źródeł i czas na ocenę. Jeśli cele ilościowe wymuszają automatyczne klikanie akceptacji, organizacja powinna poprawić sposób pracy.
Połączyć odpowiedzialność z dowodami w SAIE
Nasza metodyka CDF porządkuje ocenę zastosowania, odpowiedzialność, przygotowanie ludzi i decyzje o przejściu do kolejnych etapów. CDF Platform wspiera prowadzenie tego procesu i gromadzenie dokumentacji: zasady metodyczne określają potrzebne działania, a oprogramowanie pomaga nimi zarządzać.
TWIN:DESK jest miejscem pracy użytkownika z wiedzą i asystentami, a PROXY:AI pełni rolę bramy do modeli. Podczas wdrożenia łączymy dokumentację CDF z ustawieniami tych narzędzi i uprawnieniami w systemach docelowych. Dzięki temu zapis, że wysyłka wymaga akceptacji, odpowiada działającej blokadzie, a jej skuteczność potwierdzamy testem.
Przydatny pakiet dowodowy obejmuje opis zastosowania, uzasadnienie kwalifikacji, ocenę ryzyka, ustalenia dotyczące danych, wyniki testów, decyzję o uruchomieniu i plan przeglądów. Jego zawartość dobiera się do procesu oraz obowiązków organizacji. Dużą część dowodów zbiera PROXY:AI: zapisuje wywołania modeli, koszty i kontekst decyzji w rejestrze, którego nie da się zmienić, i przygotowuje pakiety dowodowe między innymi dla AI Act, DORA i NIS2.
Logi powinny pozwalać odtworzyć istotne zdarzenie, przy zachowaniu odpowiednich zasad dostępu i retencji. Warto też wyznaczyć osoby odpowiedzialne za zatrzymanie systemu, obsługę incydentu i ocenę obowiązku zgłoszenia. Nie istnieje jeden uniwersalny termin zgłoszenia każdego problemu z AI do każdego organu.
Przyjąć kryteria uruchomienia konkretnego procesu
Przed produkcyjnym wdrożeniem zarząd powinien otrzymać odpowiedź na kilka pytań: jakie zastosowanie zatwierdza, kto jest jego właścicielem, jakie obowiązki mają zastosowanie i jak sprawdzono zabezpieczenia. Powinien też wiedzieć, które kwestie pozostają otwarte oraz czy blokują uruchomienie.
W całej serii dochodzimy do jednego praktycznego zadania: połączyć możliwości techniczne z warunkami pracy i odpowiedzialnością. Polska uprząż AI ma sens wtedy, gdy organizacja potrafi pokazać na konkretnym procesie, jak chroni dane, wspiera ludzi i kontroluje skutki działania systemu. Od takiego procesu proponujemy rozpoczynać wdrożenie SAIE.
Źródła
- AI Act Service Desk: art. 25
- EROD: administrator i podmiot przetwarzający
- AI Act Service Desk: załącznik III
- Komisja Europejska: wejście w życie AI Omnibus
- AI Act Service Desk: harmonogram wdrażania AI Act
- Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003
- AI Act Service Desk: art. 4
- AI Act Service Desk: art. 50
- AI Act Service Desk: art. 5
- PIP: ocena ryzyka zawodowego
- PIP: AI jako narzędzie zmian w BHP
- EROD: podstawy ochrony danych
- EROD: ocena skutków i ochrona danych w fazie projektowania
- EROD: międzynarodowe transfery danych
- Komisja Europejska: decyzje zautomatyzowane i prawa osób
- AI Act Service Desk: art. 26