Od 2 sierpnia 2026 trzeba informować, że rozmowa toczy się z AI, oznaczać treści z generatora i ujawniać deepfake’i. Tyle że nie każdy z tych obowiązków spada na każdego. Dużo zależy od tego, czy firma narzędzie zbudowała, czy tylko z niego korzysta. Sprawdzimy to zdalnie i powiemy, od czego zacząć, a jeśli okaże się, że roboty jest niewiele, też to od nas usłyszysz.
Audyt AI Act to przegląd tego, gdzie i do czego firma używa sztucznej inteligencji, w jakiej roli wobec niej występuje i co z tego wynika. Brzmi sucho, ale w praktyce to głównie szukanie AI tam, gdzie nikt jej nie wpisał do żadnego rejestru. Localize.pl prowadzi audyt zdalnie, w trzech wariantach: screening, pełny audyt i stała opieka.
Na początek sprawdź, czy na którekolwiek z poniższych pytań odpowiesz twierdząco:
Jedno „tak” jeszcze niczego nie przesądza. Warto jednak przyjrzeć się temu zastosowaniu dokładniej i ustalić, w jakiej roli występuje wobec niego firma, bo od tego zależy, które obowiązki w ogóle Cię dotyczą. A jeśli „tak” było kilka, to już dobry powód do rozmowy.
| Data | Co zaczyna obowiązywać | Status |
|---|---|---|
| 2 lutego 2025 | Praktyki zakazane oraz obowiązek wspierania kompetencji AI | obowiązuje |
| 2 sierpnia 2025 | Obowiązki dostawców modeli ogólnego przeznaczenia (GPAI) | obowiązuje |
| 2 sierpnia 2026 | Przejrzystość: interakcja z AI, oznaczanie treści, deepfake | obowiązuje |
| 2 grudnia 2026 | Koniec okresu przejściowego na znakowanie maszynowe; nowe zakazy | termin bez zmian |
| 2 grudnia 2027 | Systemy wysokiego ryzyka z Załącznika III: HR, scoring, edukacja | przesunięte |
| 2 sierpnia 2028 | AI wbudowana w produkty regulowane (Załącznik I) | przesunięte |
Terminy dla systemów wysokiego ryzyka przesunięto (Digital Omnibus, przyjęty przez Radę UE 29 czerwca 2026). Przesunięcie objęło także zastosowania spotykane w zwykłych firmach, jak rekrutacja czy ocena pracowników. Terminu obowiązków przejrzystości nie zmieniono: 2 sierpnia 2026. AI Act jest rozporządzeniem unijnym i obowiązuje w całej UE, a nadzór w każdym państwie członkowskim sprawuje organ krajowy. W Polsce ma to być KRiBSI, Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, powołana ustawą z 3 lipca 2026 o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Komisja ma rozpocząć działalność dopiero pod koniec 2026 roku, ale obowiązki z rozporządzenia stosuje się niezależnie od tego, kiedy organ ruszy.
Raport po audycie nie ląduje w szufladzie (a przynajmniej nie powinien). Każde działanie ma w nim swojego właściciela, listę potrzebnych dowodów, termin i datę kolejnego przeglądu, więc można go od razu rozdać ludziom.
Lista zastosowań AI, także tych ukrytych w narzędziach, które firma już ma, z właścicielem, klasyfikacją i datą kolejnego przeglądu. Najwięcej dopisujemy po przejrzeniu faktur za SaaS. W ankiecie nikt nie wymieni narzędzia, które kupiono do czegoś innego i które funkcję AI dostało dopiero w którejś aktualizacji. Rozporządzenie nie nakazuje wprost prowadzenia takiego rejestru, ale bez niego znacznie trudniej wykazać realizację pozostałych obowiązków.
Do każdej klasyfikacji dołączamy uzasadnienie: dlaczego uznaliśmy, że akurat to zastosowanie nie jest systemem wysokiego ryzyka i na jakiej podstawie. Zerknijmy na przykład: ten sam Copilot w marketingu pisze opisy produktów i z punktu widzenia AI Act niewiele z tego wynika, ale w obsłudze klienta odpowiada ludziom na czacie i wtedy trzeba już sprawdzić art. 50. Dlatego każde zastosowanie klasyfikujemy osobno.
Każda luka ma podstawę prawną, wymagane i dostępne dowody, właściciela, szacowany nakład pracy i termin. Luki dzielimy na te do zamknięcia od razu, te do zamknięcia przed kolejnym terminem i dobre praktyki, których przepisy nie wymagają.
Przygotowujemy komunikaty dla chatbotów i dla materiałów tekstowych, wideo i audio, po polsku i w językach, w których sprzedajesz. Sama treść komunikatu zwykle zajmuje kwadrans. Więcej czasu schodzi na znalezienie w chatbocie miejsca, w którym da się ją pokazać przed pierwszą wiadomością użytkownika. Lokalizacja jest naszą specjalnością, więc tę część robimy w ramach audytu.
Szkielet obejmuje także procedurę akceptowania nowych narzędzi, żeby kolejne zastosowania nie pojawiały się w firmie poza rejestrem.
Co robić dalej i w jakiej kolejności, z osobą albo działem przy każdym zadaniu. Zaznaczamy też, gdzie przyda się nasze wsparcie, a gdzie opinia prawna.
Jednostronicowe poświadczenie przeprowadzenia audytu (kto, w jakim zakresie, kiedy i według jakiej metodyki) oraz krótkie podsumowanie do ankiety zakupowej lub przetargu, bez ujawniania poufnych szczegółów systemów. O taki dokument pytają zwykle działy zakupów dużych klientów, kiedy chcą zobaczyć, że dostawca zarządza AI w udokumentowany sposób.
Ograniczony przegląd gotowości oparty na przekazanych informacjach i na wybranej próbce dokumentów i innych materiałów dowodowych. Po Twojej stronie jest ankieta i 90-minutowy warsztat. Dostajesz wstępną mapę ról i obowiązków, listę czerwonych flag i luk w dowodach, rejestr zastosowań i rekomendowany zakres dalszego audytu, a wyniki omawiamy razem przez 45 minut.
Pięć dni liczymy od późniejszego z dwóch zdarzeń: warsztatu albo otrzymania kompletnej ankiety i uzgodnionych dowodów. Screening nie potwierdza kompletności inwentaryzacji całej organizacji.
Poproś o wycenę→Pełny audyt obejmuje dodatkowo umowy z dostawcami, powiązania z RODO i prawem pracy, mapę gotowości na grudzień 2027 i ocenę, czy przez któreś zastosowanie Twoja firma nie wchodzi w rolę dostawcy. Ten przypadek łatwo przeoczyć w agencjach i firmach IT, które udostępniają klientom narzędzie pod własną marką.
S obejmuje do 15 zastosowań, 3 działy i 1 podmiot; M do 30 zastosowań i 6 działów. Grupy spółek, zastosowania wysokiego ryzyka i dodatkowe reżimy prawne wyceniamy indywidualnie. Zakres i wyłączenia potwierdzamy w umowie przed rozpoczęciem.
Poproś o wycenę→Prawo zmieniło się dwa razy w ciągu dwunastu miesięcy, a rejestr zastosowań starzeje się jeszcze szybciej, bo co miesiąc pojawiają się nowe narzędzia. Prowadzimy rejestr za Ciebie i oceniamy nowe narzędzia, zanim ktoś je kupi. O zmianach w przepisach dowiesz się od nas, a w ustalonych odstępach robimy pełny przegląd.
Każdy wariant ma miesięczny limit zgłoszeń, ocenianych zastosowań i godzin konsultacji. Czas reakcji na zgłoszenie wynosi 3 dni robocze we wszystkich wariantach. Reakcja to potwierdzenie przyjęcia i wskazanie dalszego trybu, a nie czas rozwiązania sprawy.
Poproś o wycenę→Opcjonalnie, poza audytem: szkolenie wspierające kompetencje AI (art. 4). Sesja zdalna z materiałami i dokumentacją przeprowadzonych działań. To osobna usługa, niewliczona w żaden z powyższych pakietów. Szkolenie jest jednym z możliwych środków wspierających kompetencje. Art. 4 nie narzuca jednego obowiązkowego formatu ani corocznego cyklu, więc zakres dobieramy do ról i ryzyka.
Dane i poufność. NDA podpisujemy przed przekazaniem jakiegokolwiek materiału. Pracujemy na dokumentach w Twoim środowisku i nie przenosimy ich do siebie. Twoich danych nie wprowadzamy do ogólnodostępnych usług AI. Standardowo nie nagrywamy warsztatu. Zamiast tego robimy notatki uzgadniane po spotkaniu. Okresy przechowywania ustalamy w umowie osobno dla dokumentacji projektowej, rozliczeń i kopii zapasowych.
Obowiązki przejrzystości z art. 50: informowanie, że rozmowa toczy się z AI, oznaczanie treści generowanych w formacie odczytywalnym maszynowo, ujawnianie deepfake’ów oraz ujawnianie użycia AI przy tekstach publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Ten ostatni obowiązek nie ma zastosowania, gdy materiał przeszedł kontrolę redakcyjną człowieka, a odpowiedzialność redakcyjną za publikację ponosi wskazana osoba lub organizacja. Systemy, które trafiły na rynek wcześniej, mają na samo znakowanie maszynowe czas do 2 grudnia 2026.
Obowiązki przejrzystości z art. 50 dzielą się między dwie role: ust. 1 i 2 dotyczą dostawcy systemu, a ust. 3 i 4 podmiotu stosującego. Obowiązek informowania o interakcji z AI i obowiązek maszynowego oznaczania treści spoczywają na dostawcy systemu. Jako firma korzystająca z gotowego narzędzia odpowiadasz przede wszystkim za ujawnianie deepfake’ów, informowanie o rozpoznawaniu emocji oraz, w ramach należytej staranności, za sprawdzenie, czy Twoje narzędzia oznaczają treści i czy proces obróbki materiału nie usuwa tych oznaczeń. Jest jeden przypadek, który łatwo przeoczyć: jeśli udostępniasz klientom cudze narzędzie pod własną marką, jako swój produkt lub usługę, sam możesz wystąpić w roli dostawcy. Wtedy przechodzą na Ciebie również obowiązki dostawcy, czyli informowanie o interakcji z AI i maszynowe oznaczanie treści.
Tak. Wielkość firmy nie wyłącza obowiązków. Wpływa za to na wysokość kar, bo dla MŚP stosuje się niższą z dwóch przewidzianych kwot. Samo używanie ChatGPT jest stosowaniem systemu AI w rozumieniu rozporządzenia. Praktycznym minimum jest rejestr narzędzi, zasady wprowadzania do nich danych i udokumentowane działania wspierające kompetencje zespołu. Jeśli na tym się kończy, screening może wtedy wystarczyć.
To zależy od tego, czyje emocje system ma rozpoznawać i na podstawie jakich danych. Zakaz z art. 5 obejmuje rozpoznawanie emocji w miejscu pracy i w instytucjach edukacyjnych, czyli pracowników, kandydatów i uczniów. Analiza dotycząca klientów co do zasady nie wchodzi w ten zakaz, ale podlega obowiązkowi poinformowania osób (art. 50 ust. 3) i przepisom RODO. Znaczenie ma też, czy system wnioskuje o emocjach z danych biometrycznych, czy analizuje samą treść transkrypcji, dlatego każdy taki przypadek oceniamy osobno.
Odwołane nie, przesunięte tak: Załącznik III na 2 grudnia 2027, Załącznik I na 2 sierpnia 2028. Przygotowanie dokumentacji dla takiego systemu zajmuje kilkanaście miesięcy, więc mapę gotowości warto zrobić teraz.
Do 35 mln euro albo 7% światowego obrotu wyłącznie za praktyki zakazane z art. 5; do 15 mln euro albo 3% za większość pozostałych naruszeń, w tym za obowiązki przejrzystości z art. 50; do 7,5 mln euro albo 1% za przekazanie jednostce notyfikowanej lub właściwemu organowi, w odpowiedzi na ich żądanie, informacji nieprawidłowych, niepełnych albo wprowadzających w błąd. Dla MŚP stosuje się niższą z dwóch kwot. Próg 7% bywa cytowany jako „kara za AI Act”, a dotyczy najwęższej kategorii naruszeń.
Gwarancji nie ma i nikt uczciwie takiej nie da. Raport i rejestr pomagają wykazać, że działania zostały podjęte, a organ może to uwzględnić przy wymiarze kary razem ze współpracą i okolicznościami sprawy. Organ nadzoru patrzy na to, co firma faktycznie zrobiła i czym potrafi to udowodnić.
Trzy dokumenty. Raport z przeglądu gotowości AI Act jest dokumentem roboczym, dla Was. Poświadczenie mieści się na jednej stronie: zakres audytu, data, zastosowana metodyka, osoba, która go prowadziła, i stan prawny na ten dzień. Do tego krótkie podsumowanie, które można załączyć do ankiety zakupowej albo do przetargu bez ujawniania poufnych szczegółów systemów. Samo poświadczenie potwierdza jedynie, że audyt przeprowadzono w określonym zakresie.
Certyfikatu zgodności z AI Act nie wystawi żadna firma doradcza, łącznie z nami. Ocena zgodności to sformalizowana procedura z rozporządzenia, którą dla systemów wysokiego ryzyka przeprowadza dostawca albo jednostka notyfikowana, a kończy się deklaracją zgodności i oznakowaniem CE. Przepisy nie przewidują też certyfikatu dla firmy jako całości, bo procedura z rozporządzenia dotyczy wyłącznie pojedynczego systemu. Dostajesz natomiast raport, poświadczenie przeprowadzenia audytu i podsumowanie dla kontrahenta. Jeśli potrzebujesz certyfikatu wydanego przez stronę trzecią, właściwą ścieżką jest norma ISO/IEC 42001 i akredytowana jednostka certyfikująca. Możemy Was do niej przygotować.
Nie. Audyt ma charakter organizacyjno-techniczny. Tam, gdzie potrzebna jest wykładnia przepisu, zaznaczamy to w raporcie i odsyłamy do radcy prawnego.
Bo zgodność zaczyna się od pytania, gdzie ta AI właściwie siedzi. Odpowiedzi szuka się w integracjach, w ustawieniach narzędzi i na fakturach za SaaS. Znamy te narzędzia od środka: automatyzacje w n8n czy Make, funkcje AI wstrzykiwane ukradkiem do systemów kupionych dwa lata temu do zupełnie innych celów. Dlatego inwentaryzację należy zacząć od faktur i od rzeczywistych rozmów z działami. Oficjalna lista narzędzi jest dopiero którymś w kolejności źródłem. Tak znajdujemy rzeczy, których nie widać ani w umowach, ani w rejestrze czynności przetwarzania. Druga sprawa: część luk zamykamy sami. Komunikat w chatbocie to jedno zdanie w interfejsie, oznaczanie treści to zmiana w pipelinie produkcji wideo, a ujawnienia trzeba jeszcze przetłumaczyć na wszystkie języki, w których sprzedajesz. Lokalizacja jest naszą codziennością od lat, więc ta ostatnia część wychodzi przy okazji.
Wycenę podajemy po krótkiej rozmowie, bo cena zależy od liczby zastosowań AI, działów i podmiotów w grupie. Nie podajemy widełek z góry, żeby nie sprzedać Ci zakresu, którego nie potrzebujesz, ani nie zaniżyć wyceny przed poznaniem skali. Rozmowa jest bezpłatna i do niczego nie zobowiązuje. Jeżeli po niej uznamy, że audyt nie jest Ci potrzebny, usłyszysz to od razu. Po Twojej stronie screening to około trzech godzin łącznie, a pełny audyt od sześciu do dziesięciu godzin rozłożonych na okres od trzech do czterech tygodni, plus czas osób z działów na wywiady.
Tak. Audyt prowadzimy zdalnie, po polsku lub po angielsku: spotkania online, dokumenty w Twoim środowisku, podpisy elektroniczne. Pracujemy z firmami działającymi na rynku unijnym. W sprawach dotyczących nadzoru krajowego uwzględniamy właściwe państwo członkowskie i jego organ.
Na bezpłatnej rozmowie przejdziemy przez zastosowania AI w firmie i ustalimy, czy potrzebny jest pełny audyt, screening, czy wystarczy poprawić jedną albo dwie rzeczy.
Umów rozmowę→