Akt o AI, artykuł 4: kto nadzoruje obowiązek kompetencji AI w Polsce?

Ostatnia aktualizacja: 15 sierpnia 2026

Artykuł 4 aktu o sztucznej inteligencji to jedyny obowiązek, który dotyczy niemal każdej organizacji korzystającej z AI w pracy — i zarazem ten, o którym najczęściej błędnie się sądzi, że został odroczony.

Kto nadzoruje akt o AI w Polsce?

KRiBSI — Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji — została wskazana jako organ nadzoru rynku w projekcie ustawy wdrażającej akt o AI. Podstawa prawna wciąż przechodzi proces legislacyjny.

Polskie rozwiązanie jest wśród 27 państw członkowskich wyjątkowe pod dwoma względami. Po pierwsze, Polska należy do zaledwie dwóch krajów — obok Litwy — które wyznaczyły jeden organ nadzoru rynku zamiast rozdzielać zadania między istniejących regulatorów sektorowych. Po drugie, jest jedynym państwem, które w tym celu buduje całkowicie nową instytucję.

Aby nowy organ nie utracił wiedzy sektorowej, ustawodawca nadał KRiBSI strukturę kolegialną. W jej składzie znajdują się przedstawiciele organu ochrony konkurencji, nadzoru finansowego, krajowej rady radiofonii i telewizji oraz regulatora telekomunikacyjnego — kompetencje branżowe są więc wbudowane w organ decyzyjny.

Projekt z lutego 2026 r. potwierdza KRiBSI jako organ właściwy, umieszczając jednocześnie zaplecze operacyjne — jednostkę odpowiedzialną za bieżące egzekwowanie przepisów — w strukturze Ministerstwa Cyfryzacji. To rozwiązanie wynikało z ograniczeń budżetowych.

Czego dokładnie wymaga artykuł 4?

Wymaga działań wspierających wystarczający poziom kompetencji AI u osób, które obsługują systemy AI w Twoim imieniu. Nie wymaga certyfikatu, konkretnego kursu, nazwanej kwalifikacji ani minimalnej liczby godzin szkolenia. Rozporządzenie celowo nie ustala sztywnego standardu.

Po przyjęciu Digital Omnibus — zatwierdzonego przez Parlament Europejski 16 czerwca 2026 r. i przyjętego przez Radę 29 czerwca 2026 r. — standard został złagodzony: z obowiązku zapewnienia wystarczającego poziomu na obowiązek wspierania jego rozwoju. Z obowiązku rezultatu stał się więc obowiązkiem starannego działania. Organ nie zapyta już „czy zagwarantowaliście kompetencje?”, lecz „co zrobiliście i czy potraficie to wykazać?”

Komisja Europejska określiła minimum w FAQ dotyczącym kompetencji AI z maja 2025 r. Organizacje powinny:

• Zapewnić ogólne zrozumienie AI — personel powinien wiedzieć, czym jest AI, jak działa, jakie systemy są używane oraz jakie wiążą się z tym szanse i ryzyka.
• Określić role w organizacji — czy tworzycie systemy AI, czy jedynie korzystacie z cudzych. Obowiązki są różne.
• Zidentyfikować ryzyka — jakie ryzyka niosą konkretne wykorzystywane systemy i jakie środki zaradcze obowiązują.

Kogo dotyczy ten obowiązek?

Dotyczy dostawców i podmiotów stosujących systemy AI. Dostawca tworzy system AI lub zleca jego stworzenie i wprowadza go do obrotu pod własną nazwą. Podmiot stosujący wykorzystuje system AI na własną odpowiedzialność w ramach działalności zawodowej. Większość organizacji to podmioty stosujące.

Obowiązek obejmuje personel oraz — w brzmieniu rozporządzenia — „inne osoby zajmujące się działaniem i wykorzystywaniem systemów AI w ich imieniu”. Sięga więc poza pracowników etatowych: do wykonawców, pracowników tymczasowych i freelancerów.

Co kluczowe, artykuł 4 nie ogranicza się do systemów wysokiego ryzyka. Jeśli organizacja używa asystenta ogólnego przeznaczenia do redagowania korespondencji, jest objęta obowiązkiem. Klasyfikacja ryzyka decyduje o tym, co obowiązuje dodatkowo, a nie o tym, czy artykuł 4 ma zastosowanie.

Czy moja firma w ogóle używa systemów AI?

Niemal na pewno tak, i w większej liczbie miejsc, niż się wydaje. Funkcje AI weszły w ostatnich dwóch latach do zwykłego oprogramowania biznesowego, często bez żadnej decyzji o „wdrożeniu AI”.

• Asystenci generatywni w pakietach biurowych — redagowanie, streszczanie, przeredagowywanie, notatki ze spotkań.
• Systemy CRM i sprzedażowe oceniające leady lub podpowiadające kolejne kroki.
• Oprogramowanie księgowe automatycznie kategoryzujące transakcje lub oznaczające anomalie.
• Platformy rekrutacyjne sortujące, filtrujące lub dopasowujące kandydatów.
• Narzędzia marketingowe generujące teksty, obrazy lub segmenty odbiorców.
• Chatboty obsługi klienta i automatyczne kierowanie zgłoszeń.
• Usługi tłumaczeniowe i transkrypcyjne.

Dochodzi do tego oprogramowanie, które pracownicy przynoszą sami. Tam, gdzie zespół używa konsumenckich narzędzi AI do pracy bez formalnej zgody, organizacja i tak pozostaje faktycznym podmiotem stosującym.

Od kiedy obowiązuje przepis i co zmieniło się 2 sierpnia 2026 r.?

Sam obowiązek obowiązuje od 2 lutego 2025 r. 2 sierpnia 2026 r. krajowe organy nadzoru rynku uzyskały formalne uprawnienia nadzorcze i egzekucyjne.

Czy Digital Omnibus odroczył obowiązek kompetencji AI?

Nie. To najczęstsze nieporozumienie dotyczące reform z 2026 r. Digital Omnibus przesunął stosowanie obowiązków dla systemów wysokiego ryzyka z załączników III i I. Artykułu 4 nie odroczył.

Złagodził standard — z „zapewnienia” na „wspieranie rozwoju” — pozostawiając sam obowiązek, datę stosowania i początek nadzoru 2 sierpnia 2026 r. bez zmian. Kto odczytał doniesienia o „odroczeniu aktu o AI” jako ogólną ulgę, od półtora roku znajduje się w trwającym obowiązku.

Dla organizacji, których systemy nie są wysokiego ryzyka, artykuł 4 jest w dającej się przewidzieć przyszłości jedynym egzekwowalnym obowiązkiem aktu o AI.

Jakie kary grożą za naruszenie artykułu 4?

Z samym artykułem 4 nie jest powiązana żadna kara pieniężna. To najczęściej przekręcany punkt całego obowiązku.

Artykuł 99 przewiduje trzy poziomy: do 35 mln EUR lub 7 % światowego rocznego obrotu za naruszenie zakazanych praktyk z artykułu 5; do 15 mln EUR lub 3 % za obowiązki wymienione w artykule 99 ust. 4; oraz do 7,5 mln EUR lub 1 % za podanie nieprawidłowych lub wprowadzających w błąd informacji. Dla MŚP i startupów limit działa odwrotnie — obowiązuje niższa z dwóch wartości.

Artykuł 99 ust. 4 zawiera zamknięty katalog, w którym artykułu 4 nie ma. Kary za samo uchybienie kompetencjom AI nie można więc oprzeć na rozporządzeniu. Wiele komercyjnych opracowań twierdzi inaczej i podaje kwotę 15 mln EUR; tekst tego nie potwierdza.

• Organ nadzoru zachowuje uprawnienia bez kar finansowych — żądania informacji, środki naprawcze i nakazy przywrócenia zgodności.
• Państwa członkowskie mogą ustanowić własne sankcje. Artykuł 99 ust. 1 zobowiązuje je do określenia zasad karania; to, czy Polska powiąże sankcję z artykułem 4, wynikać będzie dopiero z ustawy wdrażającej.
• Brak szkoleń działa jako okoliczność obciążająca. Realne ryzyko to nie odrębna kara, lecz słabsza pozycja, gdy organ bada Was z innego powodu.

Od czego powinna zacząć firma?

1. Sporządź inwentaryzację systemów AI. Uwzględnij funkcje AI w już licencjonowanym oprogramowaniu, nie tylko narzędzia kupione jako „AI”.
2. Określ rolę — dostawca czy podmiot stosujący, dla każdego systemu osobno.
3. Wskaż osoby obsługujące każdy system, łącznie z wykonawcami.
4. Zapewnij ogólne zrozumienie — co systemy robią, gdzie zawodzą i czego organizacja oczekuje.
5. Zapisz, co i kiedy zrobiono. Przy obowiązku starannego działania dowód starania jest zgodnością.

Proporcjonalność obowiązuje na każdym etapie. Dwunastoosobowa firma z asystentem do korespondencji nie jest mierzona miarą banku stosującego scoring kredytowy.

Najczęściej zadawane pytania

Czy artykuł 4 dotyczy małych firm?

Tak. Akt o AI nie przewiduje dla artykułu 4 żadnego progu wielkości ani minimalnej liczby zatrudnionych. Jednoosobowa działalność używająca asystenta AI do korespondencji z klientami jest podmiotem stosującym. Wraz z wielkością zmienia się wyłącznie proporcjonalność oczekiwanych działań — mała organizacja musi zrobić mniej, ale nie nic.

Czy potrzebujemy certyfikatu jako dowodu?

Nie. Rozporządzenie nie wskazuje żadnej kwalifikacji, certyfikatu ani akredytowanego kursu, a system akredytacji dla artykułu 4 nie istnieje. Liczy się to, że działania zostały podjęte i dają się wykazać: zakres szkolenia, uczestnicy, data oraz powiązanie z systemami AI faktycznie używanymi w organizacji.

Czy KRiBSI już formalnie działa?

Jeszcze nie w pełni. Komisja została wskazana w projekcie ustawy wdrażającej, który wciąż przechodzi proces legislacyjny. Projekt z lutego 2026 r. potwierdza jej rolę, umieszczając zaplecze operacyjne w Ministerstwie Cyfryzacji. Do czasu wejścia ustawy w życie samo rozporządzenie i tak obowiązuje bezpośrednio.

Czy artykuł 4 dotyczy tylko systemów wysokiego ryzyka?

Nie. Artykuł 4 obowiązuje całkowicie niezależnie od klasyfikacji ryzyka używanego systemu. Zakwalifikowanie systemu jako wysokiego ryzyka uruchamia jedynie dodatkowe obowiązki, na przykład nadzór ludzki z artykułu 26. Sam obowiązek kompetencji dotyczy każdego dostawcy i każdego podmiotu stosującego dowolny system AI, także przy ryzyku minimalnym.

Czy obowiązek obejmuje wykonawców i freelancerów?

Tak. Artykuł 4 obejmuje personel oraz inne osoby zajmujące się działaniem i wykorzystywaniem systemów AI w imieniu organizacji. Wykonawcy, pracownicy tymczasowi i freelancerzy obsługujący Wasze systemy AI są nim objęci — właśnie dlatego jest to najszerszy pojedynczy obowiązek całego rozporządzenia.

Co się stanie, jeśli nic nie zrobimy?

Artykuł 4 nie ma własnej kary pieniężnej, ponieważ nie został wymieniony w zamkniętym katalogu artykułu 99 ust. 4. Organ nadzoru rynku może jednak żądać informacji i środków naprawczych, państwo może ustanowić własne sankcje, a brak szkoleń wyraźnie osłabia Waszą pozycję przy kontroli z innego powodu.

Czy termin dotyczący kompetencji AI został przesunięty?

Nie. Digital Omnibus przesunął obowiązki dla systemów wysokiego ryzyka na grudzień 2027 r. i sierpień 2028 r. i to właśnie opisywała prasa. Artykuł 4 nie został objęty tym przesunięciem. Złagodzono jedynie standard, lecz ani data stosowania, ani data rozpoczęcia nadzoru nie uległy zmianie.

Źródła

• Rozporządzenie (UE) 2024/1689 — pełny tekst w EUR-Lex
• Komisja Europejska — zarządzanie i egzekwowanie aktu o AI
• Przegląd krajowych planów wdrożenia

Ten artykuł omawia rozporządzenie w sposób ogólny i nie stanowi porady prawnej. Konkretne obowiązki zależą od używanych systemów i jurysdykcji.