AI Act art. 4 w małej firmie: co musisz zrobić

Jeśli Twoi pracownicy używają w pracy ChatGPT, Copilota, generatora grafik albo innego narzędzia AI, art. 4 AI Act dotyczy także Twojej firmy. W praktyce musisz zrobić cztery rzeczy: spisać, z jakich narzędzi korzystacie, przeszkolić ludzi odpowiednio do ich zadań, ustalić proste zasady korzystania z AI i zachować ślad, że to zrobiłeś. Nie musisz kupować certyfikowanego kursu ani zapewniać, że każdy pracownik osiągnie ten sam poziom wiedzy.

Obowiązek dotyczy również firm, które nie tworzą własnej AI, a tylko korzystają z gotowych usług. Tekst opisuje stan prawny na 27 września 2026 r. To informacja, a nie porada prawna.

Co mówi art. 4 AI Act

AI Act to unijne rozporządzenie 2024/1689. Pojęcie „kompetencje w zakresie AI” definiuje art. 3 pkt 56: to umiejętności, wiedza i zrozumienie, które pozwalają świadomie korzystać z AI oraz rozumieć jej możliwości, ryzyka i szkody, jakie może wyrządzić.

Art. 4 stosuje się od 2 lutego 2025 r. Latem 2026 r. zmieniło go rozporządzenie 2026/1744, nazywane Digital Omnibus on AI, które obowiązuje od 27 lipca 2026 r. Obecne brzmienie mówi, że dostawcy i podmioty stosujące AI podejmują środki wspierające rozwój kompetencji w zakresie AI swoich pracowników i osób, które obsługują systemy AI w ich imieniu. Przy wyborze tych środków bierze się pod uwagę wiedzę techniczną, doświadczenie, wykształcenie ludzi i kontekst użycia.

Co się zmieniło? Wcześniej firma miała „zapewnić odpowiedni poziom” kompetencji. Teraz ma podejmować działania, a przepis wprost mówi, że nie musi gwarantować konkretnego poziomu wiedzy żadnej osoby. Obowiązek złagodzono, ale go nie usunięto.

Kogo dotyczy art. 4 AI Act w małej firmie

Każdej firmy, która używa AI zawodowo. Liczba pracowników nie ma znaczenia. Nie ma też znaczenia, czy narzędzie jest kupione przez firmę, czy pracownik korzysta z darmowego konta.

Przykłady z życia:

• handlowiec pisze oferty w ChatGPT,
• księgowa prosi Copilota o podsumowanie dokumentów,
• marketing generuje grafiki do postów,
• rekrutacja układa ogłoszenia z pomocą AI.

We wszystkich tych przypadkach firma jest „podmiotem stosującym” AI. Obowiązek obejmuje też współpracowników na B2B czy zleceniu, jeśli używają AI w Twoim imieniu. Dlatego przy spisywaniu narzędzi uwzględnij także prywatne konta, z których ludzie korzystają „po cichu”.

Nie każdy potrzebuje tego samego szkolenia. Osoba, która poprawia w AI posty na Facebooka, potrzebuje innej wiedzy niż rekruter oceniający kandydatów albo księgowa pracująca na danych klientów. Komisja Europejska podkreśla, że zakres działań zależy od roli firmy, ryzyka i tego, do czego AI jest używana.

Co konkretnie zrobić

W firmie, która ma kilka czy kilkadziesiąt osób, nie trzeba budować działu compliance. Wystarczą trzy elementy.

1. Szkolenie dopasowane do zadań

Dobre szkolenie dla zwykłych użytkowników odpowiada na pytania:

• dlaczego AI potrafi odpowiedzieć przekonująco i jednocześnie błędnie,
• z jakich narzędzi wolno korzystać w firmie i do czego,
• co trzeba sprawdzić samemu: fakty, liczby, źródła, kod,
• jak nie ujawnić danych osobowych, danych klientów i tajemnic firmy,
• gdzie zgłosić błąd, wyciek albo potrzebę użycia nowego narzędzia.

Komisja Europejska nie narzuca programu, liczby godzin ani egzaminu. Zaznacza za to, że samo polecenie „przeczytaj instrukcję” zwykle nie wystarcza. Osoby pracujące z danymi klientów, kadrami, finansami albo decyzjami dotyczącymi ludzi powinny przejść bardziej szczegółowe szkolenie niż reszta zespołu.

2. Zasady korzystania z AI

Wystarczy dokument na jedną, dwie strony, zatwierdzony przez właściciela. Powinien mówić:

• które narzędzia są dozwolone, które zakazane, a które wymagają zgody,
• jakich danych nie wolno wpisywać do AI,
• co musi sprawdzić druga osoba przed wysłaniem,
• że za wynik odpowiada człowiek, a nie narzędzie,
• jak zgłosić incydent.

Gotowy wzór takiego dokumentu znajdziesz w artykule Zasady korzystania z AI w firmie.

Pamiętaj też o art. 50 AI Act, który od 2 sierpnia 2026 r. wprowadza obowiązki przejrzystości. Dotyczą między innymi informowania, że klient rozmawia z AI, i oznaczania niektórych treści typu deepfake. Jeśli masz na stronie chatbota albo publikujesz materiały wygenerowane przez AI, uwzględnij to w zasadach.

3. Lista narzędzi

Wystarczy zwykły arkusz. Dla każdego narzędzia wpisz: nazwę, kto go używa i do czego, jakie dane do niego trafiają, co może pójść nie tak i kto w firmie za nie odpowiada.

Sprawdź nie tylko osobne aplikacje. AI jest dziś wbudowana w pakiety biurowe, CRM, programy graficzne i systemy rekrutacyjne. Szczególnie przyjrzyj się narzędziom, które wpływają na zatrudnienie, kredyty, ubezpieczenia czy zdrowie. Tam mogą obowiązywać dodatkowe, dużo surowsze wymagania AI Act.

Jak to udokumentować

Art. 4 nie wymaga żadnego formularza ani certyfikatu. Komisja Europejska wprost pisze, że certyfikat nie jest potrzebny, a firma może prowadzić własną ewidencję szkoleń. Dokumentacja to jednak najprostszy sposób, żeby pokazać, że coś zrobiłeś.

Praktyczne minimum:

• aktualna lista narzędzi AI i tego, do czego są używane,
• zasady korzystania z AI z datą i numerem wersji,
• program szkolenia i materiały,
• lista uczestników, data i forma szkolenia (zaświadczenia to dobry dowód),
• notatki o incydentach i o tym, co zmieniliście po nich,
• plan przeglądu, np. co pół roku albo po zmianie narzędzia.

Zapisz też, dlaczego uznałeś dany zakres za wystarczający. Jeśli szkolenie trwało dwie godziny, jedno zdanie w stylu „zespół używa AI tylko do tekstów marketingowych, bez danych klientów” wyjaśnia wybór lepiej niż gruby segregator.

Czy grożą kary za brak szkolenia z AI

Nie powtarzaj za internetem, że za art. 4 grozi 15 mln euro albo 3% obrotu. Art. 99 ust. 4 AI Act, który przewiduje te kwoty, wymienia konkretne przepisy (m.in. art. 16, 26 i 50). Art. 4 wśród nich nie ma. Rozporządzenie zobowiązuje jednak państwa członkowskie do ustalenia własnych, proporcjonalnych sankcji, z uwzględnieniem sytuacji małych firm.

W Polsce nadzór przejmuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, powołana ustawą z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Przepisy o kontrolach i karach stosuje się od 28 października 2026 r.

Realne ryzyko dla małej firmy to nie milionowa kara za brak certyfikatu. Bardziej prawdopodobny scenariusz jest taki: dochodzi do wycieku danych, błędnej decyzji albo skargi klienta, a firma nie ma ani listy narzędzi, ani zasad, ani śladu szkolenia. Wtedy trudno się bronić, a ten sam incydent może też naruszać RODO, prawo pracy czy umowę z klientem.

Od czego zacząć

Najlepszy stosunek kosztu do bezpieczeństwa daje prosty plan: lista narzędzi, praktyczne szkolenie dopasowane do ról, krótkie zasady i przegląd raz na jakiś czas. Art. 4 nie wymaga perfekcji. Wymaga, żeby firma nie udawała, że AI jej nie dotyczy, i potrafiła pokazać, co zrobiła.

Te tematy przerabiamy na warsztacie AI dla managerów i właścicieli: mapujemy, gdzie AI jest już używana w firmie, układamy zasady dla zespołu i plan wdrożenia. Każdy uczestnik szkolenia AI dla firm dostaje zaświadczenie, które możesz dołączyć do dokumentacji.