Ustawa o AI weszła w życie. 5 rzeczy, które mała firma powinna zrobić w tym tygodniu

Od dziś w Polsce obowiązuje ustawa o systemach sztucznej inteligencji. Została ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003) i weszła w życie po 14 dniach.

To nie znaczy, że od dziś ktokolwiek może przyjść na kontrolę. Przepisy o kontrolach, postępowaniach i karach mają własny termin: 28 października 2026. Między jednym a drugim jest 11 tygodni.

Ten wpis nie tłumaczy ustawy. Od tego jest osobny tekst o KRiBSI, kontrolach i terminach. Ten wpis mówi, co zrobić w tym tygodniu, jeżeli prowadzicie małą firmę i nie macie działu prawnego.

Czy „my nie używamy AI" jest w ogóle prawdą?

To zdanie pada w rozmowach najczęściej. I prawie zawsze oznacza co innego, niż mówi.

Firma nie kupiła narzędzia AI, nie podpisała umowy i nie ma tego w budżecie. Zgoda. Ale pracownicy używają AI od około 2 lat, na prywatnych kontach, bo nikt im nie dał firmowego. Ktoś wkleja umowę do czatu, żeby ją streścić. Ktoś generuje opisy produktów. Ktoś przepuszcza życiorysy kandydatów przez narzędzie, które podpowiada, kogo zaprosić na rozmowę.

Zjawisko ma nazwę: shadow AI. Nie bierze się ze złej woli. Bierze się stąd, że praca jest do zrobienia, narzędzie jest za darmo, a nikt nie powiedział, że nie wolno.

Różnica między firmami nie polega więc na tym, czy używają AI. Polega na tym, czy właściciel o tym wie i czy ustalił zasady.

Dlatego pierwszy krok nie jest prawny. Jest inwentaryzacyjny.

Krok 1. Gdzie w firmie jest dziś AI?

Otwórzcie arkusz. Pięć kolumn:

Potem zadajcie zespołowi jedno pytanie, sformułowane tak, żeby nikt się nie bał odpowiedzieć: „nie szukam winnych, chcę wiedzieć, z czego korzystacie, żeby dać Wam coś lepszego i bezpieczniejszego".

To jest ważniejsze niż brzmi. Jeżeli pytanie zabrzmi jak kontrola, dostaniecie pustą tabelę i fałszywe poczucie porządku.

Ostatnia kolumna jest najistotniejsza. Narzędzie na prywatnym koncie oznacza, że dane Waszej firmy i Waszych klientów wyszły poza firmę, a Wy nie macie do nich żadnych praw ani wglądu.

Czas: 1-2 godziny plus tydzień na spływające odpowiedzi.

Krok 2. Jesteście dostawcą czy podmiotem stosującym?

Unijne rozporządzenie (UE) 2024/1689 rozróżnia dwie sytuacje i od tego zależy prawie wszystko inne.

Podmiot stosujący to Wy, jeżeli używacie gotowego narzędzia zrobionego przez kogoś innego. Kupiliście dostęp, wpisujecie tam swoje dane, korzystacie z wyniku. Tak działa większość małych firm.

Dostawca to Wy, jeżeli budujecie własne narzędzie AI albo bierzecie cudze, oznaczacie własną marką i udostępniacie klientom. Obowiązków jest wtedy znacznie więcej.

Granica bywa cieńsza, niż się wydaje. Firma, która zrobiła sobie czatbota na stronie i sprzedaje do niego dostęp innym, przestaje być tylko użytkownikiem.

Wpiszcie tę odpowiedź na górze arkusza z kroku 1. To pierwsze pytanie, które padnie w każdej rozmowie o zgodności.

Czas: 15 minut, jeżeli nie budujecie własnych narzędzi.

Krok 3. Kto odbierze zawiadomienie o kontroli?

Kontrola zawiadamia z wyprzedzeniem i przeprowadza czynności nie wcześniej niż po 7 dniach od doręczenia zawiadomienia (art. 49 ust. 2).

Siedem dni to cały czas na przygotowanie, jaki dostajecie. Mija szybciej, niż się wydaje, gdy zawiadomienie wpada na skrzynkę, której nikt nie sprawdza, albo gdy w firmie nie wiadomo, kto odpowiada za temat.

Ta osoba nie musi znać się na przepisach. Musi wiedzieć, gdzie leży arkusz z kroku 1 i kto w firmie odpowiada za które narzędzie.

Jest jeszcze jeden powód, dla którego warto to zrobić dziś. Kontrola jest domyślnie zdalna (art. 49 ust. 3). Fizyczna wizyta w siedzibie to wyjątek, wymagający osobnego postanowienia. Nikt nie zapuka do drzwi. Przyjdzie pismo z prośbą o dokumentację w formie elektronicznej. Segregator w sekretariacie jest w tym modelu bezużyteczny.

Czas: 10 minut.

Krok 4. Czy któreś narzędzie jest wysokiego ryzyka?

Większość zastosowań w małej firmie nie jest. Pisanie tekstów, streszczanie notatek, podpowiadanie odpowiedzi w skrzynce, generowanie opisów produktów: to zwykłe użycie.

Ale kilka obszarów unijne przepisy traktują poważniej, bo decyzja dotyczy człowieka. Przejrzyjcie arkusz pod kątem trzech pytań:

1. Czy AI pomaga wybierać kandydatów do pracy albo oceniać pracowników?
2. Czy AI wpływa na to, komu przyznajecie kredyt, odroczoną płatność albo limit kupiecki?
3. Czy AI decyduje o dostępie do usługi, z której ktoś może zostać wykluczony?

Jeżeli na którekolwiek pada „tak", zaznaczcie to w arkuszu na czerwono i potraktujcie jako temat na osobną rozmowę. Nie musicie dziś rozstrzygać, czy formalnie mieści się to w kategorii wysokiego ryzyka. Musicie wiedzieć, że tam jest.

Rekrutacja jest tu najczęstszym przypadkiem i najczęściej niezauważonym, bo narzędzie do selekcji życiorysów wygląda jak zwykły filtr w arkuszu.

Czas: 30 minut.

Krok 5. Czego jeszcze nie wiecie?

Ostatnia kolumna arkusza, tym razem jedna: pytania bez odpowiedzi.

„Czy nasz czatbot na stronie to jeszcze użycie, czy już dostarczanie?" „Czy narzędzie do sortowania życiorysów podlega pod te przepisy?" „Czy dostawca naszego oprogramowania w ogóle wie o tej ustawie?"

Ta lista ma wartość praktyczną, nie porządkową. Od końca października działa mechanizm, o którym mówi się najmniej, a który jest dla małej firmy najbardziej użyteczny: opinia indywidualna Komisji (art. 8-17). Opłata 150 zł, jedno zagadnienie na wniosek, odpowiedź w 30 dni. Najciekawszy jest art. 12 ust. 3: jeżeli Komisja nie odpowie w terminie, uznaje się, że wydała opinię zgodną z Waszym stanowiskiem.

Milczenie urzędu działa więc na Waszą korzyść. To rzadkie rozwiązanie i wprost zachęca do pytania.

Za 150 zł kupujecie rozstrzygnięcie wątpliwości, które inaczej wisiałaby latami. Warunek jest jeden: trzeba wiedzieć, o co zapytać. Dlatego lista powstaje dziś, a nie w listopadzie.

Czas: tyle, ile zajmie zapisanie pytań w miarę, jak przychodzą do głowy przez tydzień.

Czego w tym tygodniu nie robić?

Trzy rzeczy, które wyglądają na produktywne i nie są.

Nie piszcie polityki korzystania z AI. Zanim wiecie, z czego zespół korzysta, każda polityka jest zgadywanką i po tygodniu leży w folderze, którego nikt nie otwiera. Polityka jest krokiem szóstym, nie pierwszym.

Nie kupujcie certyfikatu. Dla zwykłej firmy używającej AI nie ma czegoś takiego jak certyfikat zgodności z ustawą. Jeżeli ktoś Wam taki oferuje, poproście o wskazanie podstawy prawnej, na której go wydaje.

Nie zakazujcie AI bez dania alternatywy. Zakaz bez narzędzia firmowego nie kończy shadow AI. Przenosi je na prywatne telefony, gdzie nie widzicie już nawet tego, co widzieliście wcześniej.

Co jest w kalendarzu dalej?

28 października 2026 zaczynają obowiązywać przepisy o kontrolach, postępowaniach i karach, a także o opiniach indywidualnych i o wykazie systemów, wobec których nałożono karę. Do tego czasu Komisja się organizuje: przewodniczącego powołuje Sejm w ciągu 2 miesięcy od wejścia ustawy w życie, pierwsze posiedzenie ma się odbyć w ciągu 3 miesięcy (art. 125).

Równolegle biegnie kalendarz unijny, rozpisany we wpisie Terminy AI Act po Digital Omnibus. Kar nie opisujemy tu szerzej, bo na tym etapie nie są najważniejsze i nie są dobrym powodem do działania. Ustawa nie ustala własnych kwot, tylko odsyła do widełek unijnych (art. 104 ust. 1).

Ważniejsze jest co innego. Wszystkie pięć kroków powyżej to praca, którą firma i tak powinna wykonać, żeby wiedzieć, co się u niej dzieje z danymi. Termin jest tylko powodem, żeby zabrać się za to teraz.

Jeżeli chcecie zobaczyć, które terminy dotyczą akurat Waszej firmy, przygotowaliśmy bezpłatną wstępną orientację po ustawie: 7 pytań i wynik od razu na stronie, bez maila i bez zapisów.

---

Stan prawny na 11 sierpnia 2026. Podstawa: ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003). Daty dzienne pochodzą z oficjalnego rekordu aktu w Dzienniku Ustaw.