AI Act od 2 sierpnia 2026 r. – czy JDG i małe firmy muszą go stosować i jaką dokumentację wdrożyć?

2 sierpnia 2026 r. jest ważną datą dla przedsiębiorców korzystających ze sztucznej inteligencji. Od tego dnia zaczyna być stosowana zasadnicza część przepisów unijnego AI Act, w tym obowiązki przejrzystości dotyczące określonych systemów komunikujących się z ludźmi oraz treści wygenerowanych lub zmanipulowanych przez AI. Nie oznacza to jednak, że każda jednoosobowa działalność gospodarcza musi od dziś tworzyć rozbudowany system compliance, rejestrować wszystkie prompty albo powoływać specjalistę do spraw sztucznej inteligencji.

Zakres obowiązków zależy od tego, w jaki sposób przedsiębiorca korzysta z AI. Inna będzie sytuacja osoby prowadzącej JDG, która używa ChatGPT do przygotowania szkicu wiadomości, inna sklepu internetowego udostępniającego klientom chatbota, a jeszcze inna firmy tworzącej własny system do rekrutacji, oceny zdolności kredytowej lub podejmowania decyzji dotyczących pracowników.

Należy również odróżnić unijny AI Act od polskiej ustawy o systemach sztucznej inteligencji. AI Act jest rozporządzeniem unijnym i obowiązuje bezpośrednio w Polsce. Polska ustawa z 3 lipca 2026 r. została ogłoszona w Dzienniku Ustaw 27 lipca 2026 r., ale jej zasadnicza część nie wchodzi w życie 2 sierpnia. Co do zasady zacznie obowiązywać po upływie 14 dni od ogłoszenia, natomiast część przepisów dotyczących między innymi kontroli i postępowań wejdzie w życie po upływie trzech miesięcy. Nie jest więc prawidłowe twierdzenie, że cała polska ustawa o AI zaczyna działać właśnie 2 sierpnia 2026 r. Dzisiejsza data wynika przede wszystkim z harmonogramu stosowania unijnego AI Act.  

Czy AI Act dotyczy jednoosobowej działalności gospodarczej?

Tak. AI Act nie uzależnia stosowania przepisów od formy prawnej przedsiębiorcy. Jednoosobowa działalność gospodarcza może być dostawcą systemu AI, importerem, dystrybutorem albo podmiotem stosującym system AI, określanym w rozporządzeniu jako deployer.

Podmiotem stosującym jest osoba fizyczna lub prawna korzystająca z systemu AI w ramach swojej działalności zawodowej albo gospodarczej. Wyłączenie dotyczy osoby fizycznej korzystającej z AI wyłącznie w celach osobistych, niezwiązanych z działalnością zawodową. Oznacza to, że przedsiębiorca używający narzędzia AI do obsługi klientów, przygotowywania ofert, tworzenia treści, analizowania dokumentów albo zarządzania firmą może podlegać AI Act, nawet jeśli nie zatrudnia pracowników.  

Takie samo rozróżnienie zostało przyjęte w polskiej ustawie. Wyłączenie obejmuje osoby fizyczne korzystające z AI wyłącznie w celach osobistych i niezwiązanych między innymi z działalnością gospodarczą. Wprost potwierdza to, że prowadzenie JDG nie daje ogólnego zwolnienia z regulacji.  

Nie oznacza to jednak, że każdy przedsiębiorca korzystający z ChatGPT, Copilota, Gemini albo generatora grafiki musi realizować wszystkie obowiązki przewidziane w AI Act. Rozporządzenie opiera się na podejściu zależnym od roli podmiotu i poziomu ryzyka. Zdecydowana większość małych firm korzystających z gotowych narzędzi będzie jedynie podmiotami stosującymi system AI, a nie jego dostawcami.

Czy zwykłe korzystanie z ChatGPT oznacza rozbudowane obowiązki?

W typowej sytuacji przedsiębiorca, który korzysta z gotowego narzędzia generatywnego do tworzenia roboczych tekstów, streszczeń, pomysłów marketingowych, tłumaczeń albo analizy informacji, nie staje się dostawcą systemu AI. Jest podmiotem stosującym gotowe rozwiązanie.

Jeżeli wyniki systemu są wykorzystywane wyłącznie wewnętrznie, podlegają weryfikacji człowieka i nie służą do podejmowania decyzji w obszarach wysokiego ryzyka, zakres obowiązków wynikających bezpośrednio z AI Act jest ograniczony. Nie istnieje ogólny obowiązek zgłoszenia każdego narzędzia do urzędu, uzyskania certyfikatu ani przygotowania wielostronicowej polityki AI.

Nadal konieczne jest jednak przestrzeganie zakazów dotyczących określonych zastosowań AI, odpowiednie przygotowanie osób korzystających z systemów oraz realizowanie obowiązków przejrzystości, jeżeli sposób używania systemu mieści się w art. 50 AI Act. Niezależnie od tego trzeba również stosować RODO, przepisy o tajemnicy przedsiębiorstwa, prawa autorskie, prawo pracy i przepisy konsumenckie.

Przedsiębiorca powinien szczególnie uważać, aby nie wprowadzać do publicznych narzędzi danych osobowych, tajemnic klientów, informacji objętych tajemnicą zawodową, haseł, danych finansowych, dokumentacji medycznej ani poufnego kodu źródłowego bez wcześniejszej weryfikacji zasad przetwarzania danych przez dostawcę.

Jakie przepisy zaczynają być stosowane 2 sierpnia 2026 r.?

Od 2 sierpnia 2026 r. zaczyna być stosowana zasadnicza część AI Act, w tym art. 50 dotyczący przejrzystości niektórych systemów i treści AI. Obowiązki dotyczą przede wszystkim systemów wchodzących w bezpośrednią interakcję z człowiekiem, rozpoznawania emocji i kategoryzacji biometrycznej, deepfake’ów oraz określonych tekstów generowanych przez AI i publikowanych w sprawach interesu publicznego.  

Nie wszystkie obowiązki AI Act rozpoczynają się jednak właśnie teraz. Zakazane praktyki oraz obowiązek podejmowania działań w zakresie kompetencji AI stosuje się już od 2 lutego 2025 r. Regulacje dotyczące modeli AI ogólnego przeznaczenia zaczęły być stosowane w znacznej części 2 sierpnia 2025 r. Z kolei terminy odnoszące się do systemów wysokiego ryzyka zostały częściowo przesunięte przez rozporządzenie Digital Omnibus on AI przyjęte w lipcu 2026 r.  

Dla typowej JDG największe praktyczne znaczenie mają dzisiaj obowiązki dotyczące przejrzystości, zasad używania AI oraz możliwości wykazania, że przedsiębiorca rozumie ryzyko związane z wykorzystywanymi narzędziami.

Czy trzeba informować klienta o wykorzystaniu AI?

Nie ma ogólnego obowiązku informowania klienta o każdym użyciu AI w firmie. Jeżeli przedsiębiorca wykorzystał AI do przygotowania roboczego projektu wiadomości, a następnie sam ją zweryfikował, poprawił i wysłał we własnym imieniu, AI Act nie nakazuje automatycznego dodawania informacji, że tekst powstał z pomocą sztucznej inteligencji.

Inaczej wygląda sytuacja, gdy klient bezpośrednio komunikuje się z chatbotem, voicebotem, awatarem albo agentem AI. System powinien być zaprojektowany w taki sposób, aby osoba została poinformowana, że wchodzi w interakcję z AI, chyba że jest to oczywiste z okoliczności. Komisja Europejska podkreśla, że wyjątek dotyczący oczywistego charakteru interakcji powinien być interpretowany ostrożnie.  

Mała firma wykorzystująca chatbota na stronie powinna więc zamieścić prosty komunikat, na przykład: „Rozmawiasz z wirtualnym asystentem wykorzystującym sztuczną inteligencję. Odpowiedzi mogą wymagać weryfikacji przez pracownika”.

Informacja powinna być widoczna najpóźniej przy rozpoczęciu rozmowy. Nie powinna być ukryta wyłącznie w regulaminie albo polityce prywatności.

Czy trzeba oznaczać teksty i grafiki stworzone przez AI?

Nie każda treść przygotowana przy pomocy AI musi być oznaczana widocznym napisem „wygenerowane przez sztuczną inteligencję”.

Dostawcy systemów generatywnych mają obowiązek zapewnienia technicznego oznaczania wyników w formacie możliwym do odczytu maszynowego. Jest to jednak przede wszystkim obowiązek producenta albo dostawcy systemu, a nie zwykłego przedsiębiorcy korzystającego z gotowego programu. Dla niektórych systemów wprowadzonych na rynek przed 2 sierpnia 2026 r. przewidziano ograniczony okres przejściowy do 2 grudnia 2026 r.  

Podmiot stosujący AI musi natomiast ujawnić sztuczne pochodzenie materiału, gdy publikuje deepfake, czyli obraz, film lub nagranie przypominające autentyczne osoby, miejsca, obiekty albo zdarzenia i mogące wprowadzać odbiorców w błąd.

Szczególny obowiązek może dotyczyć również tekstów generowanych lub manipulowanych przez AI i publikowanych w celu informowania społeczeństwa o sprawach interesu publicznego. Obowiązek ten nie powinien być jednak rozumiany jako nakaz oznaczania każdego wpisu blogowego albo opisu produktu przygotowanego z pomocą AI. Znaczenie ma charakter tekstu oraz to, czy został poddany rzeczywistej kontroli człowieka i czy za jego publikację odpowiada określona osoba lub podmiot.

Komisja Europejska wskazuje, że powierzchowna korekta ograniczona do ortografii albo gramatyki nie musi być uznana za rzeczywistą kontrolę redakcyjną. Potrzebna jest merytoryczna weryfikacja informacji, źródeł i wiarygodności treści.  

Czy jednoosobowa firma musi szkolić samą siebie?

Obowiązek działań dotyczących kompetencji w zakresie AI dotyczy dostawców i podmiotów stosujących systemy AI. W przypadku JDG bez pracowników nie oznacza to konieczności zorganizowania formalnego szkolenia dla samego siebie ani uzyskania certyfikatu.

Przedsiębiorca powinien jednak posiadać wiedzę odpowiednią do sposobu wykorzystywania narzędzia. Powinien rozumieć jego ograniczenia, ryzyko błędnych odpowiedzi, zasady wprowadzania danych, konieczność kontroli wyników oraz zakaz używania AI w określonych celach.

Jeżeli JDG zatrudnia pracowników albo korzysta ze współpracowników, którzy używają AI w jej imieniu, przedsiębiorca powinien przekazać im zasady korzystania z narzędzi. Zakres działań powinien być proporcjonalny. Krótka instrukcja i udokumentowane zapoznanie się z nią mogą być wystarczające w małej firmie wykorzystującej generator tekstu. Rozbudowane szkolenie będzie potrzebne, gdy AI jest używana do analizy kandydatów, danych zdrowotnych, sytuacji finansowej klientów albo innych procesów mogących istotnie wpływać na osoby.

AI Act nie ustanawia jednego urzędowego programu szkolenia ani obowiązku uzyskania konkretnego certyfikatu. Najważniejsze jest dopasowanie wiedzy użytkowników do systemu, kontekstu i ryzyka.

Minimalne środki zgodności dla JDG

W przypadku typowej jednoosobowej działalności korzystającej z popularnych narzędzi generatywnych minimalny model zgodności nie musi być skomplikowany.

Przedsiębiorca powinien przede wszystkim ustalić, z jakich narzędzi korzysta i w jakich celach. Powinien wiedzieć, czy narzędzie służy wyłącznie do przygotowywania roboczych treści, czy jest bezpośrednio udostępniane klientom, czy analizuje dane osobowe oraz czy jego wyniki wpływają na decyzje dotyczące konkretnych osób.

Następnie należy sprawdzić, czy sposób korzystania z AI nie należy do praktyk zakazanych albo zastosowań wysokiego ryzyka. Typowy generator tekstu wykorzystywany pomocniczo nie będzie zwykle systemem wysokiego ryzyka. Ryzyko istotnie wzrasta, gdy AI ocenia kandydatów do pracy, pracowników, zdolność kredytową, uprawnienia do świadczeń, stan zdrowia albo dostęp do istotnych usług.

Kolejnym krokiem jest przyjęcie zasady, że wynik AI nie jest automatycznie uznawany za prawidłowy. Treść przeznaczona dla klienta, sądu, urzędu albo odbiorcy publicznego powinna być weryfikowana przez człowieka odpowiedzialnego za jej publikację.

Przedsiębiorca powinien również ograniczyć dane przekazywane do systemu. W razie potrzeby należy usuwać dane identyfikujące osoby, stosować anonimizację albo korzystać z wersji biznesowych narzędzi zapewniających odpowiednie warunki umowne i bezpieczeństwo.

Jeżeli firma udostępnia chatbota lub podobny system klientom, konieczne jest jasne poinformowanie o kontakcie z AI. Jeżeli publikuje deepfake albo objętą regulacją treść dotyczącą spraw interesu publicznego, powinna zapewnić odpowiednie oznaczenie.

Czy JDG musi mieć politykę AI?

AI Act nie nakłada na każdą JDG bezwzględnego obowiązku posiadania dokumentu zatytułowanego „Polityka korzystania ze sztucznej inteligencji”. Nie istnieje też ogólny obowiązek prowadzenia rejestru wszystkich promptów ani każdej pojedynczej interakcji z chatbotem.

Dokumentacja powinna być proporcjonalna do wielkości i ryzyka działalności. W przypadku jednoosobowej firmy korzystającej z jednego narzędzia do pomocniczego tworzenia tekstów wystarczająca może być krótka karta zgodności AI. Powinna ona wskazywać używane narzędzie, cel jego wykorzystywania, rodzaje danych, zasady weryfikacji wyników, przyjęte ograniczenia i datę przeprowadzenia oceny.

W małej firmie zatrudniającej pracowników rozsądne jest przyjęcie krótkiej polityki AI. Powinna wyjaśniać, jakie narzędzia są dopuszczone, jakich danych nie wolno wprowadzać, kto odpowiada za sprawdzenie wyniku, kiedy wymagane jest oznaczenie treści oraz komu należy zgłaszać incydenty.

Brak ustawowego obowiązku nazwania dokumentu „polityką” nie oznacza, że nie warto go posiadać. W razie kontroli przedsiębiorca powinien być w stanie wykazać, że rozpoznał używane narzędzia, ocenił ryzyko i wprowadził proporcjonalne zabezpieczenia.

Jaka dokumentacja jest minimalnie potrzebna?

Dla zwykłej JDG lub mikrofirmy niekorzystającej z systemów wysokiego ryzyka wystarczający pakiet może składać się z kilku prostych dokumentów.

Podstawą powinna być ewidencja używanych systemów AI. Nie musi mieć formy rozbudowanego rejestru. Może być tabelą albo jednostronicowym dokumentem zawierającym nazwę narzędzia, dostawcę, cel używania, osoby korzystające, rodzaje wprowadzanych danych i informację o kontakcie systemu z klientami.

Drugim elementem powinna być krótka ocena ryzyka i kwalifikacji. Przedsiębiorca powinien zapisać, dlaczego uznaje się za podmiot stosujący, czy system jest wykorzystywany zawodowo, czy może należeć do kategorii wysokiego ryzyka, czy występują obowiązki przejrzystości oraz czy system przetwarza dane osobowe.

Trzecim dokumentem może być instrukcja korzystania z AI. W JDG bez pracowników może mieć ona postać wewnętrznej notatki. W firmie zatrudniającej osoby korzystające z narzędzia powinna zostać przekazana pracownikom i współpracownikom.

Czwartym elementem powinno być potwierdzenie działań w zakresie kompetencji AI. Może to być notatka o zapoznaniu się z instrukcją, lista obecności na krótkim szkoleniu, prezentacja albo wiadomość przesłana zespołowi wraz z potwierdzeniem jej odbioru.

Jeżeli firma korzysta z chatbota, powinna zachować treść stosowanego komunikatu informującego o interakcji z AI. Jeżeli publikuje materiały wymagające oznaczenia, powinna posiadać prostą procedurę albo wzór oznaczenia.

Jeżeli AI przetwarza dane osobowe, konieczna może być również aktualizacja dokumentacji RODO, w szczególności rejestru czynności przetwarzania, klauzul informacyjnych, umów powierzenia, analizy transferów danych oraz oceny ryzyka. Nie wynika to wyłącznie z AI Act, lecz z równoległego stosowania RODO.

Czy trzeba dokumentować każdy prompt?

Nie istnieje ogólny obowiązek archiwizowania wszystkich promptów wprowadzanych przez przedsiębiorcę do systemu AI.

Zapisywanie każdego polecenia mogłoby prowadzić do niepotrzebnego gromadzenia danych oraz zwiększenia ryzyka ujawnienia informacji poufnych. Dokumentacji powinny podlegać przede wszystkim zasady i procesy, a nie każda zwykła czynność użytkownika.

Inaczej może być, gdy AI jest wykorzystywana w procesie mającym istotny wpływ na osobę albo gdy konieczne jest odtworzenie sposobu podjęcia decyzji. Wówczas przechowywanie określonych danych wejściowych, wyników i informacji o weryfikacji przez człowieka może być potrzebne na podstawie AI Act, RODO, prawa pracy albo regulacji sektorowych.

Dla zwykłej JDG używającej AI do redagowania tekstów wystarczające będzie określenie sposobu korzystania i zasady merytorycznego sprawdzania gotowych materiałów.

Kiedy mała firma potrzebuje bardziej rozbudowanej dokumentacji?

Prosty pakiet dokumentów nie będzie wystarczający, gdy firma tworzy własny system AI, sprzedaje rozwiązanie pod własną marką, istotnie modyfikuje cudzy system albo wykorzystuje AI w obszarze wysokiego ryzyka.

Dodatkowa analiza jest potrzebna zwłaszcza przy systemach rekrutacyjnych, ocenie pracowników, monitorowaniu zachowania, ocenie zdolności kredytowej, ustalaniu dostępu do ubezpieczenia, analizie danych medycznych, identyfikacji biometrycznej oraz podejmowaniu decyzji istotnie wpływających na sytuację osób.

W takich przypadkach mogą pojawić się obowiązki dotyczące dokumentacji technicznej, rejestrowania zdarzeń, nadzoru człowieka, monitorowania, jakości danych, oceny wpływu na prawa podstawowe, rejestracji systemu i współpracy z dostawcą.

Należy jednak pamiętać, że terminy stosowania części wymogów dotyczących systemów wysokiego ryzyka zostały przesunięte w lipcu 2026 r. Nie oznacza to, że korzystanie z takich systemów jest obecnie całkowicie pozbawione regulacji. Nadal stosuje się między innymi RODO, prawo pracy, przepisy antydyskryminacyjne, zakazane praktyki AI i inne regulacje sektorowe.  

Polska ustawa i organ nadzorczy

Polska ustawa o systemach sztucznej inteligencji tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, która ma pełnić funkcję organu nadzoru rynku i pojedynczego punktu kontaktowego. Komisja będzie mogła prowadzić postępowania, kontrole, wydawać wyjaśnienia i opinie indywidualne oraz nakładać kary w granicach wynikających z AI Act i ustawy.  

Co istotne dla przedsiębiorców, ustawa przewiduje możliwość wystąpienia o opinię indywidualną w sprawie stosowania AI Act. Opłata za wniosek ma wynosić 150 zł, a opinia ma być co do zasady wydawana w terminie 30 dni, a w sprawach szczególnie skomplikowanych w terminie 60 dni. Mechanizm ten może być przydatny dla małych firm, które nie są pewne, czy ich rozwiązanie jest systemem wysokiego ryzyka albo czy występują w roli dostawcy. Przepisy dotyczące opinii indywidualnych nie zaczynają jednak obowiązywać 2 sierpnia 2026 r.; należą do regulacji objętych dłuższym okresem wejścia w życie.  

Co przedsiębiorca powinien zrobić od 2 sierpnia 2026 r.?

Typowa JDG korzystająca z AI nie musi przerywać używania narzędzi ani wdrażać rozbudowanego systemu certyfikacji. Powinna jednak uporządkować sposób ich używania.

Najważniejsze jest ustalenie, jakie narzędzia są wykorzystywane, do jakich celów, jakie dane do nich trafiają i czy ich wyniki są bezpośrednio przedstawiane klientom. Następnie należy sprawdzić, czy nie występuje zakazane zastosowanie, system wysokiego ryzyka albo obowiązek informowania o interakcji z AI.

Dla JDG bez pracowników minimalnym i racjonalnym rozwiązaniem będzie krótka ewidencja narzędzi, notatka z oceny ryzyka oraz przyjęcie zasad niewprowadzania poufnych danych i weryfikowania wyników przez człowieka.

Dla małej firmy zatrudniającej pracowników warto dodatkowo przygotować krótką politykę AI, przeprowadzić instruktaż i zachować potwierdzenie zapoznania się pracowników z zasadami.

Jeżeli firma korzysta z chatbota, publikuje deepfake, automatycznie generuje informacje o sprawach publicznych albo podejmuje z użyciem AI decyzje dotyczące ludzi, powinna przeprowadzić dokładniejszą analizę.

Podsumowanie

AI Act obejmuje również jednoosobowe działalności gospodarcze i mikroprzedsiębiorców, jeżeli korzystają z systemów AI w ramach działalności zawodowej. Małe firmy nie są automatycznie zwolnione z regulacji, ale zakres ich obowiązków powinien być proporcjonalny do roli, sposobu używania systemu i poziomu ryzyka.

Dla większości JDG korzystających z gotowych narzędzi generatywnych minimalna zgodność będzie oznaczała rozpoznanie używanych systemów, ochronę danych, merytoryczną kontrolę wyników, podstawową wiedzę o ryzyku oraz realizowanie obowiązków przejrzystości tam, gdzie rzeczywiście występują.

Nie każda firma musi posiadać rozbudowaną politykę, certyfikat szkoleniowy, rejestr promptów i wielostronicową analizę prawną. Powinna jednak dysponować prostą dokumentacją pokazującą, że świadomie oceniła używane rozwiązania i wprowadziła odpowiednie zabezpieczenia.

Szczególnej ostrożności wymagają chatboty udostępniane klientom, deepfake’i, publikacje dotyczące spraw interesu publicznego oraz systemy wykorzystywane w rekrutacji, zatrudnieniu, finansach, ubezpieczeniach i ochronie zdrowia.

Warto również pamiętać, że 2 sierpnia 2026 r. jest przede wszystkim datą wynikającą z unijnego AI Act. Polska ustawa o systemach sztucznej inteligencji została już opublikowana, ale jej zasadnicza część wejdzie w życie później, a przepisy dotyczące części mechanizmów nadzorczych i proceduralnych po upływie trzech miesięcy od ogłoszenia.