AI Act a RODO w firmie – obowiązki MŚP w 2026 roku

Wdrażasz w firmie chatbota do obsługi klientów, agenta AI do ofertowania albo narzędzie do analizy danych i nie wiesz, czy działasz zgodnie z prawem? Od 2025 roku obowiązuje Rozporządzenie (UE) 2024/1689 (AI Act), czyli pierwsza na świecie kompleksowa regulacja sztucznej inteligencji. Dla małych i średnich firm mamy dobrą wiadomość: w większości zastosowań nie oznacza ona rewolucji. Trzeba jednak uporządkować kilka rzeczy: klasyfikację ryzyka używanych systemów, podstawy przetwarzania danych osobowych zgodnie z RODO oraz przejrzystość wobec klientów i pracowników. W LogicMorrow wdrażamy automatyzacje i agentów AI dla MŚP w całej Polsce, więc relację między AI Act a RODO tłumaczymy każdego dnia językiem konkretu, nie paragrafów.

Disclaimer: Ten artykuł ma charakter edukacyjny i informacyjny. Nie stanowi porady prawnej. Stan prawny opisujemy na podstawie aktów źródłowych obowiązujących w 2026 roku. W indywidualnej sprawie skonsultuj się z prawnikiem specjalizującym się w prawie nowych technologii i ochronie danych.

AI Act a RODO: dwie regulacje, które działają równolegle

Najczęstsze nieporozumienie, jakie spotykamy u właścicieli firm, brzmi: „skoro mamy AI Act, to RODO już nie obowiązuje”. To błąd, który może kosztować. AI Act a RODO w firmie to dwa odrębne, uzupełniające się porządki prawne, więc jeśli system AI przetwarza dane osobowe, trzeba spełnić oba jednocześnie.

• RODO, czyli Rozporządzenie (UE) 2016/679, reguluje przetwarzanie danych osobowych: podstawę prawną, cel, minimalizację oraz prawa osób, których dane dotyczą. Obowiązuje od 2018 roku.
• AI Act, czyli Rozporządzenie (UE) 2024/1689, reguluje samą technologię: jej projektowanie, wprowadzanie na rynek i stosowanie, niezależnie od tego, czy przetwarza dane osobowe.

Innymi słowy: RODO pyta „czy wolno Ci przetwarzać te dane i jak”, a nowa regulacja pyta „czy ten system jest dopuszczalny, bezpieczny i przejrzysty”. Chatbot odpowiadający klientom na podstawie ich danych zakupowych podlega obu aktom. Wewnętrzne narzędzie generujące podsumowania dokumentów bez danych osobowych podlega głównie nowej regulacji. Ta świadomość to fundament zgodnego wdrożenia i punkt wyjścia do każdej dalszej decyzji.

Kategorie ryzyka w AI Act: gdzie plasuje się Twoja firma

AI Act porządkuje systemy sztucznej inteligencji według poziomu ryzyka. To kluczowy mechanizm całej regulacji, bo od kategorii zależy zakres obowiązków. Dla MŚP najważniejsze jest poprawne przypisanie każdego używanego narzędzia, ponieważ to firma stosująca system odpowiada za prawidłową klasyfikację.

Ryzyko niedopuszczalne: systemy zakazane

To systemy zakazane w całej Unii, między innymi social scoring obywateli, manipulacja podprogowa czy nieukierunkowane zbieranie wizerunków twarzy z internetu. Zakazy obowiązują od lutego 2025 roku. Typowe MŚP handlowe i produkcyjne praktycznie nigdy nie wchodzą w tę kategorię. Wyjątkiem bywa sytuacja, w której firma nieświadomie kupi narzędzie marketingowe wykorzystujące zakazane techniki, dlatego warto weryfikować dostawców.

Wysokie ryzyko: pełne obowiązki

Systemy wpływające na bezpieczeństwo lub prawa podstawowe: rekrutacja i ocena pracowników, scoring kredytowy, zarządzanie infrastrukturą krytyczną. Jeśli stosujesz sztuczną inteligencję do automatycznej selekcji CV albo oceny zdolności kredytowej klientów, prawdopodobnie działasz w tej kategorii. Wiążą się z nią twarde wymogi: system zarządzania ryzykiem, dokumentacja techniczna, nadzór człowieka, rejestrowanie zdarzeń i ocena zgodności. Większość pozostałych obowiązków dla tej grupy stosowana jest od sierpnia 2026 i 2027 roku.

Ograniczone ryzyko: obowiązek przejrzystości

Tu plasuje się większość zastosowań w MŚP: chatboty obsługujące klientów, generatory treści marketingowych, asystenci ofertowania. Główny obowiązek to przejrzystość, czyli odbiorca musi wiedzieć, że rozmawia z systemem albo że treść powstała automatycznie. Wdrożenia agentów AI projektujemy tak, by ten wymóg był spełniony od początku: jasna informacja o automatycznej obsłudze i prosta możliwość przejścia do człowieka.

Minimalne ryzyko: bez dodatkowych obowiązków

Filtry antyspamowe, sztuczna inteligencja w arkuszach kalkulacyjnych, narzędzia do porządkowania danych. Tu regulacja nie nakłada dodatkowych obowiązków, ale jeśli przetwarzane są dane osobowe, RODO obowiązuje niezmiennie.

Praktyczny wniosek: zdecydowana większość małych firm działa w obszarze ograniczonego i minimalnego ryzyka. To dobra wiadomość, ale nie zwalnia ze świadomej klasyfikacji każdego narzędzia.

Co AI Act zmienia w obowiązkach RODO

Nowa regulacja nie podważa RODO, lecz wzmacnia kilka jego elementów w kontekście sztucznej inteligencji. W praktyce oznacza to cztery obszary, na które patrzymy przy każdym projekcie.

1. Podstawa prawna i cel przetwarzania. Zanim system dotknie danych osobowych, musisz mieć jednoznaczną podstawę z RODO (zgoda, umowa, prawnie uzasadniony interes) i jasno określony cel. „Bo model lepiej działa na większej ilości danych” nie jest podstawą prawną.
2. Minimalizacja danych. Sztuczna inteligencja kusi, by „nakarmić” ją wszystkim. RODO wymaga odwrotnie: tylko dane niezbędne do celu. Przy projektowaniu agentów ograniczamy zakres danych wejściowych do koniecznego minimum.
3. Przejrzystość i informowanie. AI Act dokłada obowiązek informowania o kontakcie z automatem, a RODO o przetwarzaniu danych. Te dwa obowiązki najlepiej połączyć w jednej, czytelnej informacji dla klienta.
4. Decyzje zautomatyzowane (art. 22 RODO). Jeśli system podejmuje decyzje wywołujące skutki prawne lub podobnie istotne (na przykład automatyczne odrzucenie wniosku), obowiązują szczególne wymogi: prawo do interwencji człowieka i wyjaśnienia decyzji.

AI Act a RODO: kto za co odpowiada

Warto też pamiętać o roli krajowego nadzoru. Wytyczne UODO (Urzędu Ochrony Danych Osobowych) pozostają podstawowym źródłem interpretacji RODO w Polsce, również w kontekście narzędzi opartych na sztucznej inteligencji. Śledzenie komunikatów UODO to tani sposób, by nie przegapić zmian w praktyce stosowania przepisów.

Checklista zgodności AI Act i RODO dla MŚP

Poniżej praktyczna checklista, którą stosujemy na starcie każdego wdrożenia u klienta. Nie zastępuje analizy prawnej, ale porządkuje 90% spraw, z którymi mierzy się mała firma.

• Inwentaryzacja narzędzi. Spisz wszystkie narzędzia i funkcje oparte na sztucznej inteligencji używane w firmie, także te „ukryte” w popularnym oprogramowaniu (CRM, pakiety biurowe, marketing).
• Klasyfikacja ryzyka. Przypisz każdemu narzędziu kategorię ryzyka według AI Act (niedopuszczalne, wysokie, ograniczone lub minimalne).
• Mapa danych osobowych. Ustal, które systemy przetwarzają dane osobowe i na jakiej podstawie prawnej z RODO.
• Przejrzystość. Zapewnij informację dla klientów i pracowników o kontakcie z automatem oraz o treściach generowanych maszynowo.
• Minimalizacja. Ogranicz dane wprowadzane do narzędzi do niezbędnego minimum i uważaj na wklejanie danych klientów do publicznych modeli.
• Nadzór człowieka. Zapewnij, że istotne decyzje podejmuje lub może skorygować człowiek, szczególnie przy systemach wysokiego ryzyka.
• Umowy z dostawcami. Sprawdź, czy dostawcy deklarują zgodność z AI Act, i podpisz umowy powierzenia danych zgodne z RODO.
• Dokumentacja i rejestr. Zapisuj decyzje o klasyfikacji ryzyka i podstawach przetwarzania. To Twój dowód należytej staranności wobec organów nadzoru.

Przejście tej listy zajmuje typowemu MŚP kilka godzin pracy, a porządkuje sytuację prawną na długo. To zarazem dobry moment, by zaprojektować wdrożenie od razu zgodnie z prawem, zamiast łatać zgodność po fakcie.

Trzy scenariusze z praktyki MŚP

Teoria robi się prosta dopiero wtedy, gdy zobaczysz ją na przykładach. Poniżej trzy sytuacje, które najczęściej spotykamy u firm handlowych i produkcyjnych zatrudniających od kilku do kilkudziesięciu osób.

Scenariusz 1: chatbot na stronie i w komunikatorze

Firma handlowa wdraża chatbota, który odpowiada na pytania klientów o produkty i dostępność. System przetwarza imię, adres e-mail i historię zapytań, więc działa na styku obu regulacji. Z perspektywy AI Act to system ograniczonego ryzyka: wystarczy wyraźna informacja, że klient rozmawia z automatem, oraz prosta ścieżka do kontaktu z człowiekiem. Z perspektywy RODO firma potrzebuje podstawy prawnej dla danych kontaktowych i odpowiedniego zapisu w polityce prywatności. Całość da się wdrożyć w kilka dni, jeśli zaprojektuje się ją od razu poprawnie.

Scenariusz 2: selekcja CV wspierana przez AI

Producent z działem HR chce, by system wstępnie segregował zgłoszenia kandydatów. To moment, w którym zapala się czerwona lampka: rekrutacja należy do obszaru wysokiego ryzyka. Pojawiają się obowiązki nadzoru człowieka nad decyzją, dokumentacji i informowania kandydatów, a od strony RODO szczególne wymogi wobec profilowania i decyzji zautomatyzowanych z art. 22. Tu rekomendujemy ostrożność, a przy realnym wpływie na zatrudnienie także konsultację prawną. Często lepszym rozwiązaniem jest narzędzie wspierające rekrutera, a nie zastępujące jego decyzję.

Scenariusz 3: wewnętrzny asystent na dokumentach firmy

Biuro używa modelu językowego do streszczania ofert i umów. Jeśli dokumenty zawierają dane osobowe kontrahentów, kluczowe staje się to, dokąd te dane trafiają. Wklejanie ich do publicznego, darmowego narzędzia bywa naruszeniem RODO. Bezpieczniejsze jest wdrożenie w kontrolowanym środowisku, z umową powierzenia i wyłączonym uczeniem modelu na danych firmy. Pod kątem AI Act to zwykle minimalne ryzyko, a cały ciężar zgodności leży po stronie ochrony danych.

Najczęstsze błędy MŚP przy wdrażaniu sztucznej inteligencji

Z każdego projektu wyciągamy wnioski. Oto błędy, które kosztują firmy najwięcej czasu i nerwów, a których łatwo uniknąć.

• „Regulacja nas nie dotyczy, bo jesteśmy mali”. Dotyczy każdej firmy używającej AI. Skala wpływa jedynie na zakres obowiązków, nie na ich istnienie.
• Wklejanie danych klientów do publicznych modeli. To najczęstsze naruszenie RODO w erze sztucznej inteligencji. Zanim wkleisz, sprawdź, gdzie trafiają dane i czy są używane do trenowania.
• Brak informacji o kontakcie z automatem. Ukrywanie, że klienta obsługuje system, narusza wymóg przejrzystości i podważa zaufanie.
• Traktowanie zgodności jako jednorazowego projektu. Przepisy stosowane są etapami do 2027 roku, a narzędzia się zmieniają. Zgodność to proces, nie jednorazowy „ptaszek”.
• Poleganie wyłącznie na deklaracji dostawcy. Odpowiedzialność za stosowanie systemu i tak spoczywa na firmie. Deklaracja dostawcy to argument, nie zwolnienie z obowiązku.

Większości z tych błędów unika się już na etapie projektowania wdrożenia, i to jest najtańszy moment, by zadbać o zgodność.

Terminy AI Act: kalendarz wdrożenia 2025–2027

Przepisy AI Act stosowane są etapami, co daje firmom czas na przygotowanie. Najważniejsze daty z perspektywy MŚP:

• Sierpień 2024: wejście w życie Rozporządzenia (UE) 2024/1689.
• Luty 2025: start zakazów systemów niedopuszczalnego ryzyka oraz obowiązków w zakresie kompetencji AI w organizacji.
• Sierpień 2025: obowiązki dla dostawców modeli ogólnego przeznaczenia (GPAI).
• Sierpień 2026: stosowanie większości pozostałych przepisów, w tym obowiązków przejrzystości dla systemów ograniczonego ryzyka.
• Sierpień 2027: pełne stosowanie wymogów dla części systemów wysokiego ryzyka.

Dla firmy używającej chatbota czy agenta najistotniejszy jest rok 2026, bo wtedy obowiązki przejrzystości zaczynają być w pełni egzekwowane. Im wcześniej uporządkujesz wdrożenie, tym mniej kosztowne będą ewentualne korekty.

Jak wdrażać AI zgodnie z prawem: podejście LogicMorrow

Naszym zdaniem zgodność z przepisami nie powinna być hamulcem, lecz elementem dobrego projektu. Dlatego w każdym wdrożeniu automatyzacji i agentów łączymy warstwę techniczną z warstwą zgodności: projektujemy systemy tak, by przejrzystość, minimalizacja danych i nadzór człowieka były wbudowane od początku, a nie doklejane później.

Jeśli zastanawiasz się, w której kategorii ryzyka znajdują się Twoje narzędzia, albo planujesz wdrożenie agenta AI do obsługi klientów lub ofertowania, zaczynamy od krótkiej inwentaryzacji i klasyfikacji ryzyka. Pokazujemy też, jak konkretne rozwiązania automatyzujące procesy w MŚP zaprojektować w zgodzie z obowiązującym prawem, bez nadmiernej biurokracji. Wdrażamy w 2–4 tygodnie, w małym zespole i z bezpośrednim kontaktem przez cały czas trwania projektu.

Jeśli chcesz uporządkować używane w firmie narzędzia i wdrażać je spokojnie, umów bezpłatną konsultację, a przejdziemy przez Twój przypadek na konkretach.

FAQ: najczęstsze pytania o AI Act a RODO w firmie

Czy AI Act dotyczy małej firmy?

Tak, AI Act obowiązuje firmy każdej wielkości, które tworzą, wdrażają lub używają systemów AI w UE. Większość MŚP występuje w roli podmiotu stosującego systemy minimalnego lub ograniczonego ryzyka, gdzie obowiązki są lekkie. Kluczowe jest sklasyfikowanie każdego używanego narzędzia według poziomu ryzyka.

Czy AI Act zastępuje RODO?

Nie. AI Act i RODO obowiązują równolegle i uzupełniają się. RODO (Rozporządzenie UE 2016/679) reguluje przetwarzanie danych osobowych, a AI Act dodaje wymogi dotyczące samej technologii AI. Jeśli system AI przetwarza dane osobowe, firma musi spełnić oba zestawy obowiązków jednocześnie.

Od kiedy obowiązuje AI Act?

AI Act wszedł w życie 1 sierpnia 2024 roku, a jego przepisy stosowane są etapami. Zakazy systemów niedopuszczalnego ryzyka obowiązują od lutego 2025, obowiązki dla modeli ogólnego przeznaczenia od sierpnia 2025, a większość pozostałych wymogów od sierpnia 2026 i 2027 roku.

Czy korzystanie z ChatGPT w firmie podlega AI Act?

Korzystanie z narzędzi takich jak ChatGPT zwykle plasuje firmę w roli podmiotu stosującego system ograniczonego lub minimalnego ryzyka. Główne obowiązki to przejrzystość wobec odbiorców treści generowanej przez AI oraz ochrona danych osobowych wprowadzanych do narzędzia zgodnie z RODO.

Jakie kary grożą za naruszenie AI Act?

AI Act przewiduje kary do 35 mln euro lub 7% rocznego światowego obrotu za stosowanie zakazanych praktyk AI, oraz do 15 mln euro lub 3% obrotu za inne naruszenia. Dla naruszeń RODO obowiązują odrębne kary do 20 mln euro lub 4% obrotu.

Czy potrzebuję prawnika, aby wdrożyć AI zgodnie z prawem?

Dla typowych systemów minimalnego i ograniczonego ryzyka wystarczy uporządkowana checklista zgodności oraz konsultacja techniczna na etapie projektowania wdrożenia. Przy systemach wysokiego ryzyka lub przetwarzaniu danych wrażliwych warto skonsultować się z prawnikiem specjalizującym się w prawie nowych technologii.

Od czego zacząć wdrożenie zgodne z AI Act i RODO?

Zacznij od inwentaryzacji wszystkich narzędzi AI używanych w firmie i przypisania im kategorii ryzyka. Następnie zmapuj, które systemy przetwarzają dane osobowe i na jakiej podstawie z RODO. Te dwa kroki dają pełny obraz sytuacji i pozwalają zaplanować dalsze działania.

Źródła i akty prawne

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) ustanawia zharmonizowane przepisy dotyczące sztucznej inteligencji w Unii Europejskiej. Reguluje kategorie ryzyka, obowiązki i terminy stosowania.
• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) reguluje ochronę osób fizycznych w związku z przetwarzaniem danych osobowych, w tym art. 22 o decyzjach zautomatyzowanych.
• Wytyczne i komunikaty UODO (Urząd Ochrony Danych Osobowych) to krajowe źródło interpretacji RODO w Polsce, również w kontekście narzędzi opartych na sztucznej inteligencji.