AI Act nie przewiduje progu wielkości. Stosuje się według roli i według terytorium, a w chwili, gdy ludzie w Państwa firmie używają AI do pracy, Państwa organizacja jest podmiotem stosującym z własnymi obowiązkami. To, jakie to obowiązki, zależy od tego, o czym decyduje AI – a nie od tego, jak duża jest Państwa firma.
Żadne z nich nie dotyczy wielkości firmy.
Czy ludzie w Państwa organizacji używają AI w swojej pracy?
Są Państwo podmiotem stosującym.
To niemal każda firma i właśnie tu myli się większość organizacji. To, że nie tworzą Państwo AI, oznacza tylko tyle, że nie są Państwo dostawcą. Nie stawia to Państwa poza zakresem AI Act.
Czy wprowadzają Państwo system AI do obrotu albo oddają go do użytku pod własną nazwą?
Są Państwo dostawcą.
Znacznie cięższe obowiązki – a można się tu znaleźć bez takiego zamiaru, o czym niżej.
Czy importują, dystrybuują lub sprzedają Państwo produkt z wbudowaną AI?
Państwa też to dotyczy.
Importerzy, dystrybutorzy, producenci produktów i upoważnieni przedstawiciele – każdy ma własne obowiązki.
Dlatego AI Act obejmuje firmy, które nigdy nie miały podmiotu w UE, i dlatego audytor zapyta, gdzie dany system działa.
Nic w AI Act nie działa jak progi zatrudnienia czy obrotu znane z innych przepisów UE. Małe i średnie przedsiębiorstwa mają lżejszą drogę do zgodności – uproszczoną dokumentację techniczną, piaskownice regulacyjne, kary proporcjonalne do ich wielkości – a nie zwolnienie z obowiązku jej osiągnięcia.
Dwie z tych dat przesunięto w lipcu 2026 r. Ta, która jest już egzekwowalna – nie.
Każdy dostawca i każdy podmiot stosujący, na każdym poziomie ryzyka. Rozsądne środki, aby osoby korzystające z AI rozumiały, co ona potrafi, a czego nie.
Wszyscy.
Dostawcy modeli – i cały aparat egzekwowania stojący za całą resztą.
Informować ludzi, że mają do czynienia z AI. Oznaczać treści syntetyczne. Organy krajowe mogą to już egzekwować, z karami do 15 mln € lub 3 % światowego obrotu.
Okres przejściowy dla systemów generatywnych wprowadzonych do obrotu przed sierpniem 2026 r.
Nadzór ze strony człowieka, monitorowanie, informowanie pracowników – oraz przechowywanie automatycznie generowanych rejestrów zdarzeń systemu przez co najmniej sześć miesięcy.
Maszyny, wyroby medyczne, pojazdy i cała reszta reżimu bezpieczeństwa produktów.
Terminy grudnia 2027 r. i sierpnia 2028 r. przesunął pakiet Digital Omnibus, rozporządzenie (UE) 2026/1744, obowiązujące od 27 lipca 2026 r. Obowiązków w zakresie przejrzystości nie przesunięto – to rozróżnienie, które wiele publikowanych poradników wciąż myli.
O wysokim ryzyku decyduje to, o czym system rozstrzyga w sprawach ludzi, a nie to, jak jest zaawansowany. Oto obszary z załącznika III, których zwykła firma faktycznie dotyka.
Filtrowanie podań o pracę, przydzielanie zadań, monitorowanie wyników pracy, decyzje o awansie lub rozwiązaniu stosunku pracy.
Ocena zdolności kredytowej oraz wycena ryzyka w ubezpieczeniach na życie i zdrowotnych.
Przyjęcia do instytucji edukacyjnych, ocena efektów uczenia się, nadzór podczas egzaminów.
Zdalna identyfikacja, kategoryzacja biometryczna, rozpoznawanie emocji.
Producent, który pozwala narzędziu AI wstępnie wybierać kandydatów, jest podmiotem stosującym system wysokiego ryzyka. Bardzo niewielu z nich o tym wie.
Uczciwa jest dopiero trzecia kolumna. Żadna platforma nie zapewni organizacji zgodności z przepisami, a jeśli czyjaś tabela ma tylko dwie kolumny, ktoś Państwu coś sprzedaje.
| Obowiązek | Co Tandevia rejestruje lub egzekwuje | Co po Państwa stronie |
|---|---|---|
| Kompetencje w zakresie AIart. 4 | Zapis tego, kto używa którego modelu, do czego i jak często – dzięki temu szkolenia można skierować do osób i zadań, które tego wymagają. | Ustalenie, co Państwa pracownicy muszą rozumieć, i faktyczne nauczenie ich tego. |
| Wiedza, jaką AI Państwo mająWarunek wstępny wszystkiego | Każde zapytanie przypisane do osoby, zespołu, aplikacji lub agenta – w modelach komercyjnych, o otwartych wagach i hostowanych samodzielnie. | Zakwalifikowanie każdego zastosowania według załącznika III i określenie swojej kategorii ryzyka. |
| Przejrzystość wobec ludziart. 50 | Do których modeli może sięgnąć dana aplikacja – asystenta obsługującego klientów nie da się po cichu przełączyć na model niezadeklarowany. | Wpisanie informacji dla użytkownika w interfejsy, które Państwa klienci faktycznie widzą. To cecha Państwa własnego interfejsu, a nie warstwy pod nim. |
| Nadzór ze strony człowiekaart. 26 ust. 1 | Punkty zatwierdzenia w Workflow Studio – przy każdym uruchomieniu zapisywane są osoba zatwierdzająca, moment i decyzja. | Wybór kroków, które wymagają człowieka, i danie tej osobie realnego prawa odmowy. |
| Przechowywanie rejestrów zdarzeńart. 26 ust. 6 | Przeszukiwalny zapis każdego zapytania, modelu, decyzji i kosztu, z konfigurowalnym okresem przechowywania, łącznie z tym, co zostało wstrzymane przed modelem; można go wyeksportować jako dokument. | Ustawienie okresu przechowywania na co najmniej sześć miesięcy i pogodzenie go z Państwa zasadami ochrony danych. |
| Monitorowanie działaniaart. 26 ust. 5 | Wykorzystanie, koszty i decyzje wynikające z polityk dla każdego zespołu i aplikacji, z alertami przed osiągnięciem pułapu. | Reagowanie na to, co pokazuje monitorowanie, i zgłaszanie poważnych incydentów. |
| Używanie zgodnie z instrukcjąart. 26 ust. 1 | Zatwierdzony katalog modeli dla każdego zespołu. Modele niezatwierdzone są niedostępne, a nie tylko odradzane. | Przeczytanie instrukcji obsługi od dostawcy i skonfigurowanie systemu zgodnie z nią. |
| Zarządzanie danymi wejściowymiart. 26 ust. 4 | Kontrola treści, zanim opuszczą Państwa sieć, oraz treści napływających ze źródeł zewnętrznych, zanim przeczyta je model – na podstawie polityki. | Decyzja o tym, co w ogóle wolno wysłać i do kogo. |
Jedna rzecz do sprawdzenia względem własnego planu: art. 26 ust. 6 wyznacza dolną granicę sześciu miesięcy dla rejestrów zdarzeń podmiotu stosującego system wysokiego ryzyka. Na platformie Tandevia oznacza to okres przechowywania z planu Business lub Enterprise – plan Team przechowuje trzy miesiące, czyli poniżej tej granicy.
Trzy drogi zmieniają podmiot stosujący w dostawcę. Gdy zajdzie którakolwiek z nich, obowiązki dostawcy z art. 16 przechodzą na Państwa, a dotychczasowy dostawca przestaje być dostawcą tego systemu.
To właśnie trzecia z nich dopada zwykłe firmy. Zbudowanie na modelu ogólnego przeznaczenia automatyzacji, która wstępnie selekcjonuje kandydatów do pracy, jest dokładnie taką zmianą przeznaczenia – a decyduje o tym zwykle zespół, który nigdy nie czytał AI Act.
To mapa, a nie porada prawna. Nic tutaj nie zapewnia organizacji zgodności z przepisami i żaden produkt tego nie potrafi – klasyfikacja, szkolenia, informowanie i odpowiedzialność pozostają po Państwa stronie. Własną sytuację proszę sprawdzić z własnym prawnikiem.
Odzwierciedla stan prawny na wrzesień 2026 r., wraz z rozporządzeniem (UE) 2026/1744. AI Act wciąż się zmienia; z tego powodu ta strona jest datowana.
Nie da się zakwalifikować, udokumentować ani przeszkolić z zastosowań AI, których nie widać – i jest tak niezależnie od tego, jakie obowiązki ostatecznie Państwa dotyczą. To także część, która trwa najdłużej, dlatego odroczenie do grudnia 2027 r. to czas do wykorzystania, a nie czas na czekanie.