O EU AI Act, czyli rozporządzeniu (UE) 2024/1689, często mówi się tak, jakby był to jeden przyszły termin. Tak nie jest. Akt stosuje się etapami, a dwa z tych etapów już nastąpiły. Dla europejskiej firmy SaaS dziś liczą się art. 4 dotyczący kompetencji w zakresie AI i art. 50 dotyczący przejrzystości.
Oba mają charakter bardziej praktyczny niż techniczny. Oba wymagają kogoś, kto za nie odpowiada, i oba łatwo przeoczyć tylko dlatego, że nikt nie zauważył, jak dużo AI jest już używane w całej firmie.
Uwaga przed szczegółami: ten artykuł wyjaśnia, co mówią przepisy i jak firmy zazwyczaj na nie reagują. Nie stanowi porady prawnej. W sprawie decyzji dotyczących Państwa firmy warto skonsultować się z prawnikiem.
Czego art. 4 i 50 EU AI Act wymagają od firmy SaaS?
Art. 4, stosowany od 2 lutego 2025 r., wymaga od firm podjęcia działań, aby osoby korzystające z AI miały wystarczające kompetencje w zakresie AI; wewnętrzny rejestr szkoleń jest wystarczający. Art. 50, stosowany od sierpnia 2026 r., wymaga, aby AI wchodzące w interakcję z ludźmi informowało, że jest AI, chyba że jest to oczywiste, oraz aby deepfake'i były oznaczane.
Żaden z nich nie wymaga certyfikatu ani nowego działu. W praktyce wymagają świadomości, dokumentacji i uczciwego oznaczania.
Art. 4: kompetencje w zakresie AI w praktyce
Art. 4 jest stosowany od 2 lutego 2025 r., a od sierpnia 2026 r. nadzór nad AI Act sprawują organy krajowe. Wymaga on od firm podjęcia działań, aby osoby pracujące z AI w ich imieniu rozumiały je na tyle dobrze, by właściwie z niego korzystać: w czym jest dobre, gdzie zawodzi i jakie dane nigdy nie powinny do niego trafiać.
Dwie kwestie są często źle rozumiane. Po pierwsze, certyfikat nie jest wymagany. Nie ma oficjalnego kursu do kupienia ani egzaminu do zdania. Po drugie, wewnętrzny rejestr wystarczy: jakie szkolenia i wytyczne przekazano, komu i kiedy.
Dla firmy SaaS trudną częścią nie jest szkolenie. Jest nią wiedza o tym, gdzie AI jest faktycznie używane. Work Trend Index 2024 Microsoftu i LinkedIn wykazał, że 75% pracowników umysłowych korzysta w pracy z generatywnej AI, a 78% użytkowników AI używa własnych narzędzi. W typowej firmie SaaS oznacza to konsultantów wsparcia przygotowujących odpowiedzi, handlowców piszących wiadomości do potencjalnych klientów, inżynierów korzystających z asystentów kodowania i dział finansów wklejający liczby do okna czatu, często bez zatwierdzonego narzędzia i bez wytycznych.
Sprawdzone podejście ma trzy kroki:
- Inwentaryzacja. Lista używanych narzędzi AI, zatwierdzonych lub nie, kto z nich korzysta i jakie dane firmy lub klientów do nich trafiają.
- Wytyczne według ról. Krótkie, konkretne wytyczne dla każdego zespołu: do czego można używać narzędzi, jakie dane muszą pozostać poza nimi i jak sprawdzać wyniki. Zespół wsparcia i zespół finansów potrzebują innych zasad.
- Rejestr. Datowany rejestr tego, kto otrzymał jakie wytyczne lub szkolenie, aktualizowany przy zmianie narzędzi lub ról.
To także dobra praktyka operacyjna, niezależnie od przepisów. Firma, która wie, dokąd trafiają jej dane, potrafi rzetelnie odpowiedzieć na kwestionariusz bezpieczeństwa klienta.
Art. 50: informowanie ludzi, że rozmawiają z AI
Art. 50 jest stosowany od sierpnia 2026 r. Jego istota jest prosta: system AI, który wchodzi w interakcję z ludźmi, musi jasno informować, że jest AI, chyba że jest to oczywiste z kontekstu. Deepfake'i, czyli wygenerowane przez AI obrazy, nagrania audio lub wideo, które mogłyby uchodzić za prawdziwe, muszą być oznaczane.
W firmie SaaS miejsca do sprawdzenia to zazwyczaj:
- Asystent w produkcie. Pomocnik w aplikacji, który odpowiada użytkownikom, powinien informować, że jest AI.
- Czat na stronie, w sprzedaży i wsparciu. Czat, który odpowiada klientom lub potencjalnym klientom, wymaga jasnej informacji, że odpowiedzi pochodzą od AI.
- Głos i wideo. Głos AI podczas rozmowy telefonicznej albo wygenerowany przez AI prezenter w filmie produktowym lub reklamie wymaga oznaczenia.
Oznaczenie to bardziej zadanie projektowe niż prawne: linijka w oknie czatu, etykieta w interfejsie, zdanie na początku rozmowy. Najtaniej wychodzi, gdy jest częścią projektu od początku. To samo podejście dotyczy agentów wewnętrznych: NordOps AI Agent jest budowany zgodnie z europejskimi przepisami, a każde pytanie i działanie jest rejestrowane.
Co jeszcze nie obowiązuje
Duża część uwagi wokół aktu skupia się na AI wysokiego ryzyka, a dla większości firm SaaS ta część jest wciąż przed nami:
- 2 grudnia 2027 r.: zaczynają obowiązywać przepisy dotyczące obszarów wysokiego ryzyka wymienionych w załączniku III, takich jak AI wykorzystywana w rekrutacji.
- 2 sierpnia 2028 r.: zaczynają obowiązywać przepisy dotyczące AI wbudowanej w produkty regulowane.
Te daty wynikają z nowelizacji aktu z 2026 r., która weszła w życie 27 lipca 2026 r. Firma SaaS, której produkt jest używany w rekrutacji lub w innym obszarze z załącznika III, powinna wykorzystać ten czas na przygotowania, zamiast czekać. Dla wszystkich pozostałych priorytetem są dwa artykuły, które już obowiązują.
Praktyczna lista kontrolna na ten kwartał
- Wyznaczyć w firmie jedną osobę odpowiedzialną za AI, z czasem na wykonywanie tego zadania.
- Przeprowadzić inwentaryzację używanego AI, w tym narzędzi, które ludzie wprowadzili sami.
- Napisać krótkie wytyczne dla każdego zespołu i odnotować, kto je otrzymał.
- Sprawdzić każde miejsce, w którym AI rozmawia z klientami, potencjalnymi klientami lub odbiorcami, i dodać jasną informację tam, gdzie jej brakuje.
- Sprawdzić treści marketingowe pod kątem wygenerowanych przez AI osób lub głosów i je oznaczyć.
- Jeśli Państwa produkt jest używany w rekrutacji lub w innym obszarze z załącznika III, zacząć planowanie pod kątem grudnia 2027 r.
Nic z tego nie czyni Chief AI Officera wymogiem prawnym; to rola, a nie obowiązek. Ale ta praca potrzebuje właściciela, a w większości rozwijających się firm jeszcze go nie ma. To część zadań, które przejmuje fractional Chief AI Officer, a nasz AI Snapshot zaczyna się właśnie od tej inwentaryzacji oraz weryfikacji kompetencji w zakresie AI i przejrzystości.
Źródło: rozporządzenie (UE) 2024/1689, art. 4, 50 i 113, w brzmieniu zmienionym w 2026 r. Ten artykuł ma charakter informacyjny; nie stanowi porady prawnej.