AI Act w firmie od 2 sierpnia 2026 r. Jak legalnie korzystać z ChatGPT i innych narzędzi AI?

Sztuczna inteligencja jest już wykorzystywana w firmach do redagowania korespondencji, tłumaczenia dokumentów, przygotowywania ofert, analizy danych, obsługi klientów czy wspierania rekrutacji. Korzystanie z ChatGPT, Microsoft Copilot, Google Gemini i innych narzędzi generatywnej AI nie jest zakazane. Nie oznacza jednak, że może odbywać się bez zasad.

Od 2 sierpnia 2026 r. stosowana jest zasadnicza część unijnego rozporządzenia w sprawie sztucznej inteligencji, nazywanego AI Act. Dla przedsiębiorców jest to dobry moment, aby sprawdzić nie tylko, z jakich systemów korzystają pracownicy, lecz także jakie dane są do nich wprowadzane, do czego wykorzystywane są wygenerowane odpowiedzi oraz kto kontroluje rezultat pracy algorytmu.

Samo wykupienie dostępu do narzędzia AI nie zapewnia zgodności z prawem. Z drugiej strony AI Act nie wymaga, aby każda firma tworzyła rozbudowany, wielotomowy system compliance. Zakres koniecznych działań zależy przede wszystkim od roli przedsiębiorcy, przeznaczenia systemu i związanego z nim ryzyka.

Co rzeczywiście zmieniło się 2 sierpnia 2026 roku?

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, czyli AI Act, weszło w życie 1 sierpnia 2024 r., ale jego przepisy są stosowane etapami.

Zakazane praktyki AI oraz obowiązek podejmowania działań na rzecz kompetencji w zakresie AI zaczęły obowiązywać już 2 lutego 2025 r. Od 2 sierpnia 2025 r. stosowane są m.in. regulacje dotyczące modeli AI ogólnego przeznaczenia. Natomiast od 2 sierpnia 2026 r. stosuje się zasadniczą część rozporządzenia, w tym przepisy dotyczące przejrzystości niektórych systemów i treści generowanych przez AI.

Nie wszystkie regulacje systemów wysokiego ryzyka zaczęły jednak obowiązywać w tej dacie. Po zmianach przyjętych w 2026 r. przepisy odnoszące się do określonych zastosowań wysokiego ryzyka, m.in. w zatrudnieniu, edukacji, biometrii czy dostępie do podstawowych usług, mają być stosowane od 2 grudnia 2027 r., a wobec systemów będących elementami produktów objętych unijnym prawodawstwem harmonizacyjnym - od 2 sierpnia 2028 r. Aktualny harmonogram przedstawia Komisja Europejska.

Oznacza to, że przedsiębiorca powinien ustalać obowiązki na podstawie konkretnego zastosowania AI, a nie wyłącznie daty zakupu programu.

Czy firma korzystająca z ChatGPT podlega AI Act?

Najczęściej tak, jako podmiot stosujący system AI (deployer), a nie jego dostawca. Podmiotem stosującym jest osoba fizyczna lub prawna, organ publiczny albo inny podmiot, który używa systemu AI w ramach swojej działalności zawodowej, z wyjątkiem użycia w ramach osobistej działalności pozazawodowej.

Jeżeli więc pracownik używa ChatGPT do przygotowania projektu wiadomości do klienta, podsumowania dokumentu, tłumaczenia tekstu albo opracowania propozycji kampanii marketingowej, narzędzie jest wykorzystywane w działalności przedsiębiorstwa. Firma nie staje się przez to automatycznie dostawcą modelu ani systemu wysokiego ryzyka. Powinna jednak rozpoznać sposób użycia narzędzia i zarządzać jego ryzykiem.

Sytuacja może wyglądać inaczej, gdy przedsiębiorca:

• tworzy własny system AI i wprowadza go na rynek pod własną nazwą;

• dokonuje istotnej modyfikacji istniejącego systemu;

• zmienia przeznaczenie systemu w sposób powodujący zakwalifikowanie go jako systemu wysokiego ryzyka;

• integruje model z własnym produktem lub usługą oferowaną klientom.

W takich przypadkach firma może wejść w rolę dostawcy, z którą wiąże się znacznie szerszy zakres obowiązków.

Zwykłe używanie ChatGPT nie jest z reguły systemem wysokiego ryzyka

AI Act opiera się na podejściu opartym na ryzyku. Nie każde użycie sztucznej inteligencji jest traktowane jednakowo.

Wykorzystanie narzędzia generatywnego do stworzenia szkicu oferty, streszczenia jawnego dokumentu czy propozycji wpisu w mediach społecznościowych co do zasady nie będzie zastosowaniem wysokiego ryzyka. Inaczej należy ocenić system, który samodzielnie selekcjonuje kandydatów do pracy, ocenia pracowników, wpływa na dostęp do określonych usług albo wspiera decyzje mogące istotnie oddziaływać na prawa konkretnych osób.

Decydujące znaczenie ma więc nie marka programu, ale cel, kontekst oraz skutek jego użycia. Ten sam model językowy może służyć zarówno do poprawienia stylistyki tekstu, jak i do profilowania kandydatów. Ryzyko prawne obu zastosowań jest zupełnie inne.

1. Firma powinna ustalić, z jakich narzędzi AI rzeczywiście korzysta

Pierwszym krokiem powinien być prosty audyt zastosowań AI. W wielu organizacjach problemem nie jest brak narzędzi, lecz tzw. shadow AI — korzystanie przez pracowników z prywatnych kont i aplikacji, których pracodawca nie zatwierdził ani nawet nie zna.

Warto sporządzić rejestr obejmujący:

• nazwę narzędzia i jego dostawcę;

• używany plan, wersję lub sposób integracji;

• cel wykorzystania;

• kategorie wprowadzanych danych;

• osoby lub działy korzystające z systemu;

• odbiorców rezultatów;

• stopień wpływu AI na podejmowane decyzje;

• sposób weryfikacji wyników;

• okres przechowywania danych i ustawienia prywatności.

Bez takiej mapy trudno ocenić zgodność z AI Act, RODO, zasadami ochrony tajemnicy przedsiębiorstwa czy obowiązkami zawodowymi.

2. Kompetencje w zakresie AI są obowiązkiem, a nie firmowym dodatkiem

Artykuł 4 AI Act zobowiązuje dostawców i podmioty stosujące systemy AI do podejmowania działań wspierających rozwój kompetencji w zakresie AI osób, które obsługują lub wykorzystują takie systemy w ich imieniu. Należy uwzględnić wiedzę techniczną, doświadczenie, wykształcenie i szkolenie tych osób, a także kontekst stosowania systemu i sytuację osób, wobec których jest on używany.

Obowiązek ten dotyczy także przedsiębiorstwa, którego pracownicy korzystają z ChatGPT np. do pisania tekstów reklamowych lub wykonywania tłumaczeń. Potwierdza to aktualne stanowisko Komisji Europejskiej dotyczące AI literacy.

AI Act nie narzuca jednego programu ani minimalnej liczby godzin szkolenia. Działania powinny być proporcjonalne do ryzyka. W małej firmie mogą obejmować krótkie szkolenie, instrukcję korzystania z AI, omówienie typowych błędów oraz potwierdzenie zapoznania się z zasadami. W organizacji korzystającej z AI w procesach kadrowych, finansowych lub medycznych potrzebny będzie bardziej rozbudowany program.

Pracownik powinien rozumieć co najmniej, że system może:

• podawać informacje nieprawdziwe lub nieaktualne;

• tworzyć fikcyjne źródła, orzeczenia, przepisy albo dane;

• reprodukować błędy i uprzedzenia występujące w danych;

• ujawniać lub przetwarzać informacje w sposób niezgodny z polityką firmy;

• generować treści naruszające prawa autorskie, dobra osobiste lub zasady uczciwej konkurencji.

3. Do publicznego narzędzia nie należy kopiować wszystkiego, co mieści się w dokumencie

Najpoważniejsze ryzyko w codziennym używaniu generatywnej AI często wynika nie z samej odpowiedzi systemu, lecz z treści promptu. Wprowadzanie do narzędzia danych klientów, pracowników, kontrahentów, informacji finansowych, kodu źródłowego, treści umów czy nieopublikowanych koncepcji może oznaczać przekazanie danych zewnętrznemu dostawcy.

Przed dopuszczeniem określonych danych firma powinna sprawdzić m.in.:

• kto jest dostawcą i podmiotem przetwarzającym dane;

• na jakiej podstawie i w jakich celach dane są przetwarzane;

• gdzie odbywa się przetwarzanie i czy dochodzi do transferu poza EOG;

• jak długo dane są przechowywane;

• czy treści mogą być wykorzystywane do ulepszania modeli;

• czy możliwe jest zawarcie umowy powierzenia przetwarzania;

• jakie ustawienia prywatności i kontroli administracyjnej oferuje usługa.

Zgodnie z oficjalną dokumentacją OpenAI dane z planów ChatGPT Business i Enterprise oraz z API nie są domyślnie wykorzystywane do trenowania modeli. W usługach przeznaczonych dla użytkowników indywidualnych treści mogą być wykorzystywane do trenowania, chyba że użytkownik wyłączy tę możliwość; dostępny jest również czat tymczasowy. Szczegóły opisują ustawienia wykorzystania danych w ChatGPT.

Nie oznacza to jednak, że plan biznesowy automatycznie rozwiązuje wszystkie problemy prawne. Nadal trzeba ustalić podstawę przetwarzania danych osobowych, spełnić obowiązki informacyjne, ocenić konieczność umowy powierzenia, zastosować zasadę minimalizacji danych i odpowiednie zabezpieczenia. W zależności od sposobu użycia może być potrzebna ocena skutków dla ochrony danych, o której mowa w art. 35 RODO.

Szczególną ostrożność powinny zachować zawody objęte tajemnicą zawodową oraz podmioty przetwarzające dane dotyczące zdrowia, karalności, sytuacji rodzinnej czy finansowej. Anonimizacja powinna być rzeczywista — usunięcie samego imienia i nazwiska może nie wystarczyć, jeżeli osobę można rozpoznać na podstawie pozostałych okoliczności.

4. Wynik wygenerowany przez AI wymaga kontroli człowieka

ChatGPT i podobne systemy nie są urzędowym rejestrem, bazą prawa ani osobą ponoszącą odpowiedzialność zawodową. Mogą wygenerować odpowiedź przekonującą językowo, lecz niezgodną z faktami.

Dlatego firma powinna przyjąć zasadę, że rezultat AI jest materiałem roboczym, dopóki nie zostanie sprawdzony przez kompetentną osobę. Zakres kontroli musi odpowiadać możliwym skutkom błędu. Innego poziomu weryfikacji wymaga wewnętrzna propozycja tytułu prezentacji, a innego decyzja kadrowa, opinia prawna, informacja dla pacjenta czy obliczenie finansowe.

Kontrola powinna obejmować co najmniej:

• poprawność faktów, liczb i dat;

• istnienie oraz aktualność powołanych źródeł;

• zgodność z prawem i procedurami wewnętrznymi;

• brak dyskryminujących założeń;

• ochronę danych, poufności i tajemnicy przedsiębiorstwa;

• prawa autorskie oraz możliwość legalnego wykorzystania rezultatu;

• adekwatność komunikatu do jego odbiorcy.

Wprowadzenie zasady „human in the loop” nie może być wyłącznie formalne. Człowiek powinien mieć wiedzę, czas i uprawnienia pozwalające zakwestionować rekomendację systemu.

5. Nie każdą treść stworzoną przez AI trzeba oznaczać

Od 2 sierpnia 2026 r. stosowane są obowiązki przejrzystości określone w art. 50 AI Act. Nie wynika z nich jednak ogólny obowiązek dopisywania informacji „tekst powstał przy użyciu AI” do każdej wiadomości, oferty czy notatki.

Obowiązek ujawnienia dotyczy w szczególności:

• treści stanowiących deepfake, czyli materiałów obrazowych, dźwiękowych lub wideo sztucznie wygenerowanych albo zmanipulowanych w sposób mogący sprawiać wrażenie autentycznych;

• tekstów wygenerowanych lub zmanipulowanych przez AI, publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym — chyba że treść została poddana kontroli człowieka lub redakcji i osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną za publikację;

• sytuacji, w których odbiorca wchodzi w bezpośrednią interakcję z systemem AI, jeżeli z okoliczności nie wynika to w sposób oczywisty.

Komisja Europejska opublikowała kodeks postępowania dotyczący oznaczania treści generowanych przez AI. Przystąpienie do kodeksu jest dobrowolne, ale obowiązki wynikające z art. 50 AI Act mają charakter prawny.

W praktyce przedsiębiorca powinien rozróżnić wykorzystanie AI jako narzędzia pomocniczego od automatycznego publikowania treści bez kontroli redakcyjnej.

6. AI Act nie zastępuje RODO, prawa autorskiego ani prawa pracy

Zgodność z AI Act jest tylko jednym z elementów legalnego wdrożenia sztucznej inteligencji. Równolegle mogą znaleźć zastosowanie:

• RODO oraz przepisy krajowe o ochronie danych osobowych;

• przepisy o tajemnicy przedsiębiorstwa i zwalczaniu nieuczciwej konkurencji;

• prawo autorskie i prawa pokrewne;

• prawo pracy oraz zakaz dyskryminacji;

• przepisy konsumenckie;

• regulacje sektorowe, w tym dotyczące usług finansowych, medycznych lub prawnych;

• obowiązki umowne wobec klientów i kontrahentów.

Szczególne znaczenie ma art. 22 RODO dotyczący decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli wywołują wobec osoby skutki prawne lub w podobny sposób istotnie na nią wpływają. Przedsiębiorca nie powinien zatem zakładać, że skoro dane zastosowanie nie zostało jeszcze objęte pełnym reżimem systemów wysokiego ryzyka AI Act, może być stosowane bez ograniczeń wynikających z innych aktów prawnych.

7. Firma potrzebuje zasad korzystania z AI

AI Act nie posługuje się ogólnym nakazem przyjęcia przez każdą firmę dokumentu zatytułowanego „Polityka AI”. W praktyce spisane zasady są jednak jednym z najskuteczniejszych sposobów wykazania, że przedsiębiorca rozpoznał ryzyka i podjął odpowiednie działania.

Polityka lub instrukcja powinna określać:

• dopuszczone narzędzia i rodzaje kont;

• dozwolone oraz zakazane zastosowania;

• kategorie danych, których nie wolno wprowadzać;

• zasady anonimizacji lub pseudonimizacji;

• sposób zatwierdzania nowych narzędzi i integracji;

• wymagany poziom kontroli człowieka;

• zasady oznaczania treści;

• odpowiedzialność pracowników i przełożonych;

• postępowanie w razie błędu, wycieku lub innego incydentu;

• zakres szkoleń i sposób dokumentowania działań;

• częstotliwość przeglądu systemów oraz samej polityki.

Dokument powinien odpowiadać realnym procesom firmy. Zakaz używania AI, którego nikt nie przestrzega, daje jedynie eleganckie złudzenie kontroli.

Minimalny plan zgodności dla przedsiębiorcy

Firma, która wykorzystuje ChatGPT lub inne narzędzia generatywnej AI, powinna co najmniej:

1. zinwentaryzować używane systemy i konta;

2. określić swoją rolę wobec każdego systemu;

3. opisać cele, dane i osoby objęte działaniem AI;

4. sprawdzić warunki dostawcy, ustawienia prywatności i zasady retencji;

5. ocenić ryzyko na gruncie AI Act, RODO i przepisów sektorowych;

6. ustalić, jakie informacje można wprowadzać do narzędzia;

7. wprowadzić rzeczywistą kontrolę rezultatów przez człowieka;

8. przeszkolić pracowników stosownie do ich roli i ryzyka;

9. przyjąć instrukcję albo politykę korzystania z AI;

10. dokumentować wdrożone działania i regularnie je aktualizować.

Podsumowanie

AI Act nie zakazuje przedsiębiorcom korzystania z ChatGPT ani innych narzędzi sztucznej inteligencji. Wymaga jednak odejścia od przypadkowego, niekontrolowanego używania AI. Legalne wdrożenie zaczyna się od wiedzy, gdzie i po co system jest stosowany, jakie dane otrzymuje oraz jaki wpływ jego odpowiedź wywiera na klientów, pracowników i inne osoby.

W większości firm najpilniejsze nie będzie przygotowanie skomplikowanej dokumentacji technicznej właściwej dla dostawców systemów wysokiego ryzyka. Potrzebne będą natomiast: audyt wykorzystywanych narzędzi, odpowiednie ustawienia i umowy, szkolenie personelu, zasady ochrony informacji oraz realna kontrola człowieka nad rezultatem pracy AI.

Im większy wpływ algorytmu na prawa lub sytuację konkretnej osoby, tym mniej miejsca pozostaje na zasadę „skopiuj, wklej i miejmy nadzieję”.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Zakres obowiązków zależy od sposobu wykorzystania systemu AI, rodzaju przetwarzanych danych oraz sektora działalności przedsiębiorcy.

Stan prawny na dzień: 10 sierpnia 2026 roku

Zdjęcie: magnific.com