AI Act: co naprawdę zmienia dla firmy wdrażającej agenta
AI Act zatrzymał w polskich firmach więcej projektów niż jakakolwiek bariera techniczna — najczęściej nie dlatego, że coś jest zakazane, tylko dlatego, że nikt nie ustalił, do której kategorii trafia planowany system. Różnica jest zasadnicza: między reżimem wysokiego ryzyka a ograniczonego ryzyka leży ocena zgodności, rejestracja w bazie UE i dokumentacja techniczna. Poniżej porządkujemy, gdzie w tej strukturze siedzi typowy agent obsługujący korespondencję i co realnie trzeba zrobić przed startem. To nie jest opinia prawna — to lista rzeczy, które przechodzimy z klientem na audycie i zostawiamy na piśmie.
- Agent czytający i klasyfikujący maile to system ograniczonego ryzyka — bez oceny zgodności i rejestracji w bazie UE.
- Obowiązki dla wysokiego ryzyka z Aneksu III przesunięto na 2 grudnia 2027; to najczęstszy powód wstrzymywania projektów.
- Zostają cztery realne obowiązki: informowanie o AI, kompetencje zespołu, dokumentacja RODO i ocena, czy potrzebna jest DPIA.
Gdzie w AI Act siedzi agent obsługujący maile
System, który czyta zgłoszenia, klasyfikuje je, pobiera dane z ERP i przygotowuje odpowiedzi, jest systemem ograniczonego ryzyka. To znaczy: nie wymaga oceny zgodności, rejestracji w unijnej bazie danych ani dokumentacji technicznej z Aneksu IV. Zostają obowiązki informacyjne i ogólne zasady należytej staranności — istotnie mniejszy ciężar niż ten, którego spodziewa się większość działów prawnych.
Klasyfikacja zależy jednak od zastosowania, nie od technologii. Ten sam model skierowany na rekrutację, ocenę zdolności kredytowej czy inne zastosowanie wymienione w Aneksie III trafia do reżimu wysokiego ryzyka ze wszystkimi jego konsekwencjami. Dlatego przeznaczenie systemu zapisuje się w umowie, a jego zmiana powinna wymagać ponownej analizy — to jedno zdanie w dokumentach oszczędza później kwartał pracy.
Nieporozumienie, które wstrzymuje najwięcej projektów
Najczęstszy scenariusz wygląda tak: dział prawny czyta o obowiązkach dla systemów wysokiego ryzyka, widzi datę sierpień 2026 i wstrzymuje projekt do czasu pełnej analizy. Problem w tym, że te obowiązki dotyczą kategorii, do której planowany agent zwykle nie należy — a sam termin dla systemów z Aneksu III został rozporządzeniem 2026/1744 przesunięty z sierpnia 2026 na 2 grudnia 2027.
Efekt jest taki, że firmy odkładają wdrożenia z powodu przepisów, które ich nie obejmują, a gdyby obejmowały — miałyby na dostosowanie ponad rok. Nie jest to argument za ignorowaniem regulacji. Jest to argument za tym, żeby najpierw ustalić kategorię, a dopiero potem szacować nakład: te dwie godziny pracy zmieniają harmonogram projektu bardziej niż jakakolwiek decyzja techniczna.
Cztery obowiązki, które zostają
Ograniczone ryzyko nie znaczy „nic nie trzeba”. Cztery rzeczy trzeba zrobić i wszystkie da się zamknąć przed startem pilota.
Poinformuj, że to AI. Art. 50 wymaga, żeby odbiorca wiedział, że ma do czynienia z systemem AI. W praktyce to element treści odpowiedzi — koszt zerowy, temat zamknięty. Obowiązek stosuje się od 2 sierpnia 2026.
Zadbaj o kompetencje zespołu. Art. 4 nakłada obowiązek dbania o kompetencje AI u osób obsługujących system; stosuje się od 2 lutego 2025. Wystarczy krótkie szkolenie dla zespołu, który będzie z agentem pracował, udokumentowane listą uczestników.
Wypełnij dokumentację RODO. UODO opublikował 6 sierpnia 2026 listy pytań wstępnych, w tym wersję dla firm korzystających z gotowych narzędzi AI. Wypełnia się ją osobno dla każdego procesu i zostawia jako dowód rozliczalności.
Sprawdź, czy potrzebna jest DPIA. Przetwarzanie korespondencji klientów zwykle wymaga oceny skutków dla ochrony danych z art. 35 RODO. To ustalenie należy zrobić na etapie audytu — po starcie jest znacznie droższe.
Realny zakres obowiązków dla agenta obsługującego korespondencję, jeśli jego przeznaczenie zostało poprawnie zakwalifikowane jako ograniczone ryzyko. Przy zastosowaniach z Aneksu III obraz jest zupełnie inny — dlatego kwalifikacja jest pierwszym, a nie ostatnim krokiem.
Polski kontekst: ustawa i organ nadzoru
Do rozporządzenia unijnego dochodzi krajowa ustawa o systemach AI (Dz.U. 2026 poz. 1003), która obowiązuje od 11 sierpnia 2026 i wskazuje organ nadzoru — KRiBSI. Kontrole, postępowania i kary wchodzą od 28 października 2026. Dla firmy oznacza to jedno praktyczne wskazanie: dokumentacja, o której mowa wyżej, powinna istnieć w formie, którą da się pokazać, a nie odtworzyć z pamięci zespołu.
Nasza rola w tym miejscu jest ograniczona i tak ją opisujemy: przygotowujemy dokumentację techniczną i procesową po stronie systemu oraz przechodzimy z Tobą listy kontrolne. Kwalifikacja prawna zastosowania w firmie należy do Twojego działu prawnego albo doradcy — my dostarczamy mu komplet informacji o tym, co agent robi, do jakich danych sięga i co zapisuje.
Najczęstsze pytania
Czy musimy rejestrować agenta w jakiejś bazie?
Nie, jeśli system jest systemem ograniczonego ryzyka — rejestracja w bazie UE dotyczy systemów wysokiego ryzyka. Kwalifikację ustala się przed wdrożeniem i zapisuje razem z przeznaczeniem systemu, żeby dało się ją później wykazać.
Czy klient musi wiedzieć, że odpowiada mu AI?
Tak — art. 50 wymaga, żeby odbiorca wiedział, że ma do czynienia z systemem AI. W praktyce realizujemy to jednym zdaniem w treści odpowiedzi. Nie zaobserwowaliśmy, żeby wpływało to negatywnie na odbiór; brak takiej informacji, kiedy klient sam się zorientuje, kosztuje znacznie więcej.
Co jeśli później zechcemy użyć agenta do rekrutacji?
To zmiana przeznaczenia, która przenosi system do innej kategorii ryzyka — z Aneksu III. Wymaga osobnej analizy i innego zakresu obowiązków, więc traktujemy ją jako nowy projekt, a nie rozszerzenie istniejącego. Dlatego przeznaczenie zapisujemy w umowie.