AI Act, czyli rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, obowiązuje w Polsce od 2 sierpnia 2024 roku.

Pełna nazwa rozporządzenia: ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji oraz zmiany rozporządzeń (WE) nr 300/2008, (UE) nr 167/2013, (UE) nr 168/2013, (UE) 2018/858, (UE) 2018/1139 i (UE) 2019/2144 oraz dyrektyw 2014/90/UE, (UE) 2016/797 i (UE) 2020/1828 (akt w sprawie sztucznej inteligencji).

Zgodnie z art. 113 AI Act, rozporządzenie wchodzi w życie 20 dni po jego opublikowaniu w Dzienniku Urzędowym UE.

12 lipca 2024 r. (publikacja) + 20 dni = 2 sierpnia 2024 r. (wejście w życie).

W prawie unijnym rozporządzenie – w przeciwieństwie do dyrektywy – ma charakter wiążący w całości i jest stosowane bezpośrednio we wszystkich państwach członkowskich (w tym w Polsce) z chwilą wejścia w życie. Nie wymaga polskiej ustawy, by stać się częścią polskiego systemu prawnego.

Choć sam akt formalnie wszedł w życie w sierpniu 2024 r., to jego poszczególne obowiązki nakładane na firmy i instytucje zaczynają obowiązywać etapami.

Nie wymaga polskiej ustawy wdrażającej – jako rozporządzenie unijne stosuje się bezpośrednio we wszystkich państwach członkowskich. Dla pracodawców oznacza to nową warstwę obowiązków nałożoną na istniejące przepisy: Kodeks pracy, RODO i prawo antydyskryminacyjne. Każde wdrożenie narzędzia AI w procesach HR musi być analizowane przez pryzmat wszystkich trzech źródeł jednocześnie.

Przepisy wchodzą w życie etapami. Część zakazów obowiązuje już od lutego 2025 roku, kolejne obowiązki dotyczące przejrzystości chatbotów i oznaczania treści generowanych przez AI zaczną być egzekwowane od 2 sierpnia 2026 roku. Pełne wymogi dla systemów wysokiego ryzyka w rekrutacji i zarządzaniu pracownikami zostały przesunięte na 2 grudnia 2027 roku. Poniżej znajdziesz rzetelny przegląd tego, co obowiązuje dziś, co zmienia się w sierpniu i co czeka organizacje w 2027 roku.

• 2 lutego 2025 – zakaz systemów rozpoznających emocje w miejscu pracy, obowiązek AI literacy
• 2 sierpnia 2026 – obowiązki przejrzystości: oznaczanie chatbotów HR i treści generowanych przez AI
• 2 grudnia 2027 – pełne wymogi dla systemów wysokiego ryzyka w rekrutacji, ocenie i monitoringu pracowników
• 2 sierpnia 2028 – systemy AI wbudowane w produkty regulowane prawem sektorowym
  

4.Zatrudnienie, zarządzanie pracownikami i dostęp do samozatrudnienia: a)systemy AI przeznaczone do wykorzystywania do celów rekrutacji lub wyboru osób fizycznych, w szczególności do celów umieszczania ukierunkowanych ogłoszeń o pracę, analizowania i filtrowania podań o pracę oraz do oceny kandydatów; b)systemy AI przeznaczone do wykorzystywania do celów podejmowania decyzji wpływających na warunki stosunków pracy, decyzji o awansie lub rozwiązaniu umownego stosunku pracy, przydzielania zadań w oparciu o indywidualne zachowanie lub cechy osobowości lub charakter lub do monitorowania lub oceny wydajności i zachowania osób pozostających w takich stosunkach.

Harmonogram AI Act: co obowiązuje kiedy?

1. Co już obowiązuje (od 2 lutego 2025 r.)

Od lutego 2025 roku obowiązują przepisy dotyczące katalogu praktyk zakazanych – zakaz praktyk niedopuszczalnych z art. 5, w tym bezwzględny zakaz stosowania systemów AI rozpoznających emocje w miejscu pracy (art. 5 ust. 1 lit. f). 

Drugi to obowiązek AI literacy z art. 4, czyli zapewnienia pracownikom odpowiedniego poziomu kompetencji w zakresie obsługi narzędzi AI.

2. Co wchodzi od 2 sierpnia 2026 r.

Mimo przesunięcia przepisów o wysokim ryzyku, termin 2 sierpnia 2026 r. pozostaje bardzo ważną datą. Od tego momentu zaczynają obowiązywać m.in. wymogi transparentności (art. 50 AI Act), które dotyczą  systemów wchodzących w bezpośrednią interakcję z człowiekiem: chatbotów HR, wirtualnych asystentów rekrutacyjnych, systemów generujących treści tekstowe:

• Oznaczanie AI / chatbotów: Pracodawca musi poinformować pracownika lub kandydata, że wchodzi w interakcję z systemem AI, chyba że jest to oczywiste z kontekstu.
• Oznaczanie treści generowanych przez AI: wymóg znakowania syntetycznych obrazów, wideo (deepfake) i dźwięków.

Uwaga: 

Aby zapobiec natychmiastowemu blokowaniu istniejących na rynku narzędzi i dać firmom technologicznym czas na wdrożenie odpowiednich standardów technicznych (zgodnych z ogłoszonym unijnym Kodeksem Praktyk), wprowadzono okres dostosowawczy:

• Dla systemów generatywnych, które zostały wprowadzone na rynek przed 2 sierpnia 2026 r., wyznaczono czas do 2 grudnia 2026 r. na uzupełnienie architektury i dodanie maszynowego znakowania treści.

3. Przesunięcie na 2 grudnia 2027 r. 

W pierwotnym tekście rozporządzenia z 2024 roku wszystkie systemy wysokiego ryzyka miały podlegać pod przepisy od sierpnia 2026 r. Jednak w ramach tzw. pakietu rewizyjnego UE (Digital Omnibus on AI) termin ten został wydłużony:

• 2 grudnia 2027 r. stał się nową datą obowiązywania pełnych wymogów dla tzw. samodzielnych systemów wysokiego ryzyka wymienionych w Załączniku III.
• Obejmuje to właśnie systemy AI stosowane m.in. w rekrutacji, zatrudnieniu, ocenie pracowników, ocenie zdolności kredytowej, edukacji czy wymiarze sprawiedliwości.

Uwaga: Wydłużenie czasu na systemy wysokiego ryzyka miało na celu umożliwienie firmom i organom nadzorczym odpowiednie przygotowanie się, stworzenie standardów technicznych oraz wytycznych (np. dotyczących oceny ryzyka stronniczości algorytmów rekrutacyjnych).

Co już obowiązuje – zakazy i AI literacy od lutego 2025

Od 2 lutego 2025 roku obowiązują dwie grupy przepisów, które dotyczą pracodawców bezpośrednio i bez żadnego okresu przejściowego: katalog praktyk zakazanych z art. 5 AI Act oraz obowiązek zapewnienia pracownikom kompetencji w zakresie AI z art. 4.

Jakie systemy AI w miejscu pracy są bezwzględnie zakazane?

Art. 5 ust. 1 lit. f AI Act zakazuje stosowania systemów AI, które wnioskują o stanie emocjonalnym pracowników w miejscu pracy lub kandydatów ubiegających się o pracę. Zakaz obowiązuje od 2 lutego 2025 roku i nie podlega żadnym przesunięciom terminów. Za jego naruszenie grozi kara do 35 milionów euro lub 7% rocznego globalnego obrotu przedsiębiorstwa.

Jakie praktyki AI są bezwzględnie zakazane w miejscu pracy?

Zakazy z art. 5 AI Act obowiązują od 2 lutego 2025 roku i nie podlegają żadnym przesunięciom terminów. Naruszenie ich grozi karą do 35 milionów euro lub 7% rocznego globalnego obrotu przedsiębiorstwa.

Podstawa prawna: Art. 113 lit. a AI Act ai-act-service-desk.ec.europa.eu W punkcie dotyczącym wejścia w życie i stosowania aktu (Art. 113) ustawodawca unijny zapisał wyraźny podział chronologiczny. Podczas gdy na większość przepisów przewidziano 24 miesiące (lub więcej) okresu dostosowawczego, Rozdział II (czyli Art. 5 – Praktyki zakazane) wchodzi w życie już po 6 miesiącach od dnia wejścia rozporządzenia w życie (czyli od 2 sierpnia 2024 r. + 6 miesięcy = 2 lutego 2025 r.). Podstawa prawna: Art. 99 ust. 3 AI Act Kwestię sankcji reguluje Artykuł 99 (Kary). Wprowadza on trzystopniową hierarchię kar pieniężnych, z których najsurowsza zarezerwowana jest właśnie dla złamania zakazów z Art. 5:„Naruszenie zakazu praktyk w zakresie sztucznej inteligencji, o których mowa w art. 5, podlega administracyjnym karom pieniężnym w wysokości do 35 000 000 EUR, a w przypadku przedsiębiorstwa – do 7% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.” — Art. 99 ust. 3 AI Act

Zakaz obejmuje narzędzia analizujące mimikę twarzy, ton głosu, mikroekspresje, postawę ciała i inne sygnały biometryczne w celu oceny nastroju, poziomu stresu, motywacji, szczerości lub dobrostanu pracownika. W praktyce dotyczy to narzędzi do wideorekrutacji z analizą wyrazu twarzy oraz systemów oceniających zaangażowanie zespołu na podstawie aktywności behawioralnej.

Doprecyzowanie w preambule: Motyw 18 AI Act

Ustawodawca unijny w Motywie 18 preambuły rozporządzenia dodatkowo wyjaśnił, czym są emocje oraz odróżnił stany emocjonalne od czysto fizjologicznych stanów organizmu:

1. Stan fizyczny a emocje: Pojęcie „systemu rozpoznawania emocji” nie obejmuje wykrywania stanów fizycznych, takich jak ból czy zmęczenie.
2. Przykłady kierowców i pilotów: W motywie tym wprost wymieniono systemy monitorowania zmęczenia zawodowych kierowców oraz pilotów jako przykłady rozwiązań mających na celu zapobieganie wypadkom (bezpieczeństwo), które nie podlegają zakazowi z Art. 5.

Jakie systemy oceny emocji są zakazane, a jakie dozwolone?

Zakaz nie jest absolutny. AI Act dopuszcza dwa wyjątki:

Art. 5 ust. 1 lit. f AI Act: Zakazane jest „wprowadzanie do obrotu, oddawanie do użytku w tym konkretnym celu lub wykorzystywanie systemów AI do wyciągania wniosków na temat emocji osoby fizycznej w miejscu pracy lub instytucjach edukacyjnych, z wyjątkiem przypadków, w których system AI ma zostać wdrożony lub wprowadzony do obrotu ze względów medycznych lub bezpieczeństwa.”

• Zastosowania medyczne – np. diagnostyka chorób lub zaburzeń na podstawie biometrii.
• Systemy bezpieczeństwa – np. monitoring zmęczenia zawodowych kierowców lub pilotów w celu zapobiegania wypadkom.

Kategoria	Zastosowanie	Status	Podstawa prawna
Zakazane	Analiza mikroekspresji i mowy do oceny nastroju, złości lub lojalności pracownika	ZAKAZANE od 2 lutego 2025 r.	Art. 5 ust. 1 lit. f AI Act
Dopuszczone	Wykrywanie mikrosnu, spadku koncentracji i zmęczenia kierowcy lub pilota	DOPUSZCZONE (względy bezpieczeństwa)	Art. 5 ust. 1 lit. f w zw. z Motywem 18
Dopuszczone	Diagnostyka medyczna na bazie biometrii	DOPUSZCZONE (cel medyczny)	Art. 5 ust. 1 lit. f AI Act

Co oznacza obowiązek AI literacy i jak go spełnić?

Obowiązek AI literacy z art. 4 AI Act to twardy wymóg compliance, który obowiązuje od 2 lutego 2025 roku. Pracodawca musi zapewnić pracownikom i innym osobom działającym na rzecz organizacji odpowiedni poziom kompetencji w zakresie obsługi narzędzi AI.

Gdy w kontekście sztucznej inteligencji mówi się o „wymogach compliance”, chodzi o konkretne obowiązki prawne i techniczne, które musisz spełnić, aby legalnie używać lub sprzedawać AI.

Przykładowe wymogi compliance na gruncie AI Act to:

• Wymóg transparentności: Oznaczenie bota informacją „Rozmawiasz z AI” (art. 50).
• Wymóg dokumentacyjny: Posiadanie specyfikacji technicznej i oceny ryzyka dla systemu AI.
• Wymóg edukacyjny: Przeszkolenie pracowników z bezpiecznego korzystania z AI (AI literacy).
• Wymóg weryfikacji narzędzi HR: Usunięcie z procesów rekrutacyjnych oprogramowania oceniającego emocje kandydatów.

Wymóg compliance to po prostu obowiązek zachowania zgodności z prawem i normami. Mówiąc potocznie: to lista zadań i procedur, które firma musi „odhaczyć” i udokumentować, aby nie narazić się na kary finansowe i konsekwencje prawne.

Komisja Europejska wyjaśnia wprost: samo wręczenie instrukcji użycia nie wystarcza. Program szkoleń musi być dostosowany do wiedzy technicznej, wykształcenia i roli operacyjnej personelu. Wszelkie szkolenia muszą być realizowane na koszt pracodawcy i w godzinach pracy. Pracodawca musi być w stanie przedstawić organowi nadzoru pisemne dowody realizacji szkoleń: plany szkoleniowe, certyfikaty i dokumentację wewnętrznych regulaminów korzystania z AI.

Praktyczne ścieżki szkoleniowe powinny obejmować co najmniej trzy grupy:

• Kadra HR i rekruterzy – ryzyko dyskryminacji algorytmicznej, granice dopuszczalnego nadzoru człowieka, interpretacja wyników systemów AI.
• Personel operacyjny i biurowy – bezpieczne promptowanie, ograniczenia modeli, ochrona danych osobowych, zakaz wprowadzania informacji poufnych do publicznych narzędzi AI.
• Kadra menedżerska – prawne aspekty zarządzania algorytmicznego, standardy przejrzystości decyzji kadrowych wspieranych przez AI.

Celem rozporządzenia jest poprawa funkcjonowania rynku wewnętrznego przez ustanowienie jednolitych ram prawnych, w szczególności w zakresie rozwoju, wprowadzania do obrotu, oddawania do użytku i wykorzystywania systemów sztucznej inteligencji (zwanych dalej „systemami AI”) w Unii, zgodnie z wartościami Unii, w celu promowania upowszechniania zorientowanej na człowieka i godnej zaufania sztucznej inteligencji (AI) przy jednoczesnym zapewnieniu wysokiego poziomu ochrony zdrowia, bezpieczeństwa, praw podstawowych zapisanych w Karcie praw podstawowych Unii Europejskiej (zwanej „Kartą”), w tym demokracji, praworządności i ochrony środowiska, ochrony przed szkodliwymi skutkami systemów AI w Unii, a także wspierania innowacji.

Co wchodzi w życie od 2 sierpnia 2026 roku?

Termin 2 sierpnia 2026 roku pozostaje kluczową datą mimo przesunięcia przepisów o systemach wysokiego ryzyka. Od tego momentu zaczynają obowiązywać wymogi przejrzystości z art. 50 AI Act, które dotyczą systemów wchodzących w bezpośrednią interakcję z człowiekiem.

Termin	Co wchodzi w życie	Znaczenie dla pracodawcy
2 lutego 2025	Zakazy z art. 5 (w tym zakaz emotion recognition w pracy), obowiązek AI literacy (art. 4)	Natychmiastowe wycofanie systemów analizujących emocje; obowiązkowe szkolenia dla personelu
2 sierpnia 2025	Obowiązki dla dostawców modeli GPAI (modele ogólnego przeznaczenia)	Pośrednie: dotyczy głównie dostawców narzędzi kupowanych przez pracodawcę
2 sierpnia 2026	Obowiązki przejrzystości z art. 50 (chatboty, treści AI)	Oznaczanie chatbotów HR i generowanych treści; informowanie o interakcji z AI
2 grudnia 2026	Zakaz nudifiers (generowanie treści intymnych bez zgody); znakowanie treści starszych systemów generatywnych	Weryfikacja narzędzi generatywnych używanych w organizacji
2 grudnia 2027*	Pełne obowiązki dla systemów wysokiego ryzyka z Załącznika III (rekrutacja, ocena, monitoring)	Dokumentacja, nadzór człowieka, logi, DPIA, informowanie pracowników

* Termin uzgodniony przez Digital AI Omnibus, oczekujący na publikację w Dz.U. UE. Opracowanie własne autora.

Czy chatbot HR musi informować, że jest botem?

Tak. Od 2 sierpnia 2026 roku pracodawca musi poinformować pracownika lub kandydata, że wchodzi w interakcję z systemem AI, chyba, że wynika to jednoznacznie z kontekstu. Obowiązek dotyczy chatbotów HR, wirtualnych asystentów rekrutacyjnych i innych systemów generujących odpowiedzi tekstowe w bezpośredniej rozmowie z człowiekiem.

Brak takiego oznaczenia to naruszenie art. 50 AI Act. W praktyce oznacza to konieczność wyraźnego komunikatu na początku rozmowy, np. „Rozmawiasz z asystentem AI”. Sama możliwość domyślenia się, że po drugiej stronie jest bot, co do zasady, nie zwalnia z obowiązku informacyjnego.

Czego dotyczy znakowanie treści generowanych przez AI?

Od 2 sierpnia 2026 roku obowiązuje również wymóg znakowania syntetycznych obrazów, materiałów wideo i nagrań dźwiękowych generowanych przez AI, w tym deepfake’ów. Dla systemów generatywnych wprowadzonych na rynek przed tą datą przewidziano okres dostosowawczy do 2 grudnia 2026 roku na uzupełnienie architektury o maszynowe znakowanie treści.

Dla działów HR oznacza to konieczność weryfikacji narzędzi używanych do tworzenia materiałów rekrutacyjnych, szkoleń wideo czy komunikacji employer brandingowej. Treści generowane przez AI muszą być oznaczone w sposób, który umożliwi maszynowe wykrywanie.

Które systemy AI w HR są systemami wysokiego ryzyka?

Załącznik III pkt 4 AI Act wymienia systemy AI stosowane w obszarze zatrudnienia jako systemy wysokiego ryzyka. Klasyfikacja ta nie zmienia się wraz z przesunięciem terminu egzekwowania. Zmienił się wyłącznie termin, od którego organy nadzoru będą egzekwować pełne wymogi compliance, czyli 2 grudnia 2027 roku.

Oficjalny tekst Załącznika III obejmuje dwie kategorie:

• Rekrutacja i selekcja – systemy do zamieszczania ukierunkowanych ogłoszeń o pracę, analizy i filtrowania podań o pracę oraz oceny kandydatów.
• Zarządzanie pracownikami – systemy do podejmowania decyzji wpływających na warunki zatrudnienia, awans lub rozwiązanie umowy, do przydziału zadań na podstawie indywidualnych zachowań lub cech, a także do monitorowania i oceny wydajności.

Czy ATS do filtrowania CV to system wysokiego ryzyka?

Tak, jeśli system realnie filtruje lub odrzuca kandydatury albo istotnie warunkuje decyzję rekrutera. Narzędzia ATS analizujące CV pod kątem słów kluczowych i dopasowania do profilu stanowiska mieszczą się w Załączniku III pkt 4 lit. a.

Kluczowe jest rozróżnienie między narzędziem informacyjnym a narzędziem decyzyjnym. Jeśli ATS jedynie porządkuje aplikacje, ryzyko jest niższe. Jeśli automatycznie odrzuca kandydatów lub generuje ranking, który w praktyce determinuje dalszy proces, system jest wysokiego ryzyka niezależnie od tego, czy formalnie decyzję zatwierdza człowiek.

Czy algorytm oceny wydajności pracownika to system wysokiego ryzyka?

Tak. Systemy budujące scoring produktywności na podstawie aktywności cyfrowej, czasu reakcji, liczby kliknięć, tonu wypowiedzi lub zachowań behawioralnych mieszczą się w Załączniku III pkt 4 lit. b.

Pracodawca musi wykazać, że taka analiza jest konieczna, proporcjonalna, transparentna i wolna od arbitralności. Kodeks pracy wymaga stosowania obiektywnych i sprawiedliwych kryteriów oceny pracowników. Systemy monitorujące, które penalizują krótkie przerwy lub automatycznie podnoszą normy wydajności, będą trudne do obrony zarówno na gruncie AI Act, jak i prawa pracy.

Czym różni się pracodawca jako deployer od providera?

Przepisy AI Act posługują się pojęciem podmiotu stosującego (deployer), czyli dowolnej osoby fizycznej lub prawnej (przedsiębiorcy, agencji rekrutacyjnej, instytucji), która wykorzystuje system AI pod swoją pieczą w ramach działalności zawodowej lub gospodarczej.

Większość pracodawców korzystających z zewnętrznych narzędzi HR-tech to deployerzy, nie providerzy. Provider to podmiot tworzący system AI i wprowadzający go na rynek pod własną marką. Deployer to podmiot, który kupuje gotowe narzędzie i wdraża je w swojej organizacji.

Rozróżnienie ma znaczenie praktyczne: część ciężarów regulacyjnych AI Act ciąży przede wszystkim na dostawcy. Pracodawcę jako deployera dotyczą jednak inne, konkretne obowiązki. Co ważne, pracodawca może stać się providerem, jeśli dokona istotnej modyfikacji systemu lub zmieni jego przeznaczenie operacyjne. W takim przypadku przejmuje pełne obowiązki dostawcy, w tym wymóg certyfikacji i zgłoszenia systemu do unijnej bazy danych.

Jakie obowiązki dokumentacyjne czekają pracodawcę od grudnia 2027?

Pełne wymogi dla systemów wysokiego ryzyka z Załącznika III wejdą w życie 2 grudnia 2027 roku. Przesunięcie terminu nie oznacza jednak, że pracodawcy mogą odkładać przygotowania. Wdrożenie odpowiedniej dokumentacji i procedur wymaga czasu, a organy nadzoru będą oczekiwać dowodów na systematyczne działania, nie jednorazowego sprint przed deadline’em.

Kluczowe obowiązki deployera wynikające z art. 26 AI Act obejmują:

• Stosowanie systemu zgodnie z instrukcją obsługi dostarczoną przez dostawcę (art. 26 ust. 1) – [podmioty stosujące systemy AI wysokiego ryzyka podejmują – na podstawie ust. 3 i 6 – odpowiednie środki techniczne i organizacyjne w celu zapewnienia, aby systemy takie były wykorzystywane zgodnie z dołączoną do nich instrukcją obsługi.]
  
  
• Wdrożenie systematycznego nadzoru człowieka przez kompetentne i przeszkolone osoby (art. 26 ust. 2).
  [Podmioty stosujące powierzają sprawowanie nadzoru ze strony człowieka osobom fizycznym, które mają niezbędne kompetencje, przeszkolenie i uprawnienia, a także niezbędne wsparcie.]
  
  
• Zapewnienie reprezentatywności danych wejściowych pod kontrolą deployera (art. 26 ust. 4) – [Bez uszczerbku dla ust. 1 i 2 podmiot stosujący zapewnia, w zakresie, w jakim sprawuje on kontrolę nad danymi wejściowymi, adekwatność i wystarczającą reprezentatywność danych wejściowych w odniesieniu do przeznaczenia systemu AI wysokiego ryzyka.]
  
• Monitorowanie działania systemu i zgłaszanie ryzyk oraz incydentów do dostawcy i organów nadzoru (art. 26 ust. 5). – [… W przypadku gdy podmioty stosujące stwierdziły wystąpienie poważnego incydentu, natychmiast informują o tym incydencie najpierw dostawcę, a następnie importera lub dystrybutora oraz odpowiednie organy nadzoru rynku. …]
  
• Przechowywanie logów decyzyjnych przez co najmniej 6 miesięcy (art. 26 ust. 6). – [Podmioty stosujące systemy AI wysokiego ryzyka przechowują generowane automatycznie przez system AI wysokiego ryzyka rejestry zdarzeń – w zakresie, w jakim rejestry te znajdują się pod ich kontrolą – przez stosowny ze względu na przeznaczenie danego systemu AI wysokiego ryzyka okres, wynoszący co najmniej sześć miesięcy, o ile mające zastosowanie prawo Unii lub prawo krajowe, w szczególności prawo Unii dotyczące ochrony danych osobowych, nie stanowi inaczej.]
  
• Poinformowanie pracowników i ich przedstawicieli przed wdrożeniem systemu wysokiego ryzyka w miejscu pracy (art. 26 ust. 7). – [Przed oddaniem do użytku lub wykorzystaniem systemu AI wysokiego ryzyka w miejscu pracy podmioty stosujące będące pracodawcami informują przedstawicieli pracowników i pracowników, których to dotyczy, że będzie w stosunku do nich wykorzystywany system AI wysokiego ryzyka. Informacje te przekazuje się, w stosownych przypadkach, zgodnie z zasadami i procedurami ustanowionymi w prawie Unii i prawie krajowym oraz praktyką w zakresie informowania pracowników i ich przedstawicieli.]
  
• Przeprowadzenie oceny skutków dla ochrony danych (DPIA) z wykorzystaniem dokumentacji dostawcy (art. 26 ust. 9). – [W stosownych przypadkach, podmioty stosujące systemy AI wysokiego ryzyka korzystają z informacji przekazanych na podstawie art. 13 niniejszego rozporządzenia, aby spełnić spoczywając na nich obowiązki przeprowadzenia oceny skutków dla ochrony danych zgodnie z art. 35 rozporządzenia (UE) 2016/679 lub art. 27 dyrektywy (UE) 2016/680.]

Kiedy wymagana jest ocena skutków dla ochrony danych (DPIA)?

DPIA jest wymagana zawsze przy systematycznej i kompleksowej ocenie osób opartej na zautomatyzowanym przetwarzaniu, na której opierają się decyzje wywołujące skutki prawne lub podobnie znacząco wpływające na osobę. W praktyce dotyczy to większości systemów AI stosowanych w rekrutacji i zarządzaniu wydajnością.

UODO wskazuje, że wdrożenie systemu monitorowania czasu pracy i przepływu informacji w narzędziach pracownika będzie wymagało oceny skutków, a systemy AI wysokiego ryzyka w rozumieniu AI Act co do zasady mogą powodować wysokie ryzyko dla praw i wolności osób fizycznych. Najlepszą praktyką jest prowadzenie jednej zintegrowanej oceny wpływu obejmującej trzy osie: dane (RODO), prawa pracownicze (Kodeks pracy) i bezpieczeństwo pracy (BHP).

Jak długo pracodawca musi przechowywać logi decyzyjne?

Art. 26 ust. 6 AI Act nakłada obowiązek przechowywania automatycznie generowanych przez system AI rejestrów zdarzeń przez co najmniej 6 miesięcy. Termin ten może być dłuższy, jeśli wymagają tego przepisy prawa Unii lub prawa krajowego, w szczególności przepisy o ochronie danych osobowych.

W praktyce oznacza to konieczność wdrożenia procedury archiwizacji logów dla każdego systemu AI wysokiego ryzyka używanego w HR, z jasno określonym zakresem danych, miejscem przechowywania i osobą odpowiedzialną za dostęp.

AI Act, RODO i Kodeks pracy – jak te przepisy działają razem?

AI Act nie zastępuje RODO ani Kodeksu pracy. Nakłada na nie nową warstwę obowiązków. Legalne wdrożenie AI w procesach HR wymaga odpowiedzi na trzy odrębne pytania:

• czy sposób wdrożenia jest zgodny z Kodeksem pracy,

• czy przetwarzanie danych jest dopuszczalne na gruncie RODO,

• czy system jest dopuszczalny na gruncie AI Act.
  

Czy pracodawca może oprzeć decyzję o zwolnieniu wyłącznie na wyniku algorytmu?

Nie. Art. 22 RODO daje każdej osobie prawo do niepodlegania decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, która wywołuje skutki prawne lub podobnie istotnie na nią wpływa. Decyzje dotyczące rekrutacji i zatrudnienia niemal bez wyjątku spełniają te przesłanki.

Trybunał Sprawiedliwości UE zajął w tej kwestii zdecydowane stanowisko: jeśli rekruter ślepo podąża za oceną AI i bezrefleksyjnie odrzuca kandydata, w świetle prawa decyzję podjął algorytm, a nie człowiek. Tam, gdzie wyjątkowo zautomatyzowana decyzja jest dopuszczalna, muszą istnieć odpowiednie zabezpieczenia: co najmniej prawo do interwencji człowieka, wyrażenia własnego stanowiska i zakwestionowania decyzji.

Jak AI Act zmienia monitoring pracowników?

Kodeks pracy dopuszcza monitoring wizyjny wyłącznie wtedy, gdy jest niezbędny do zapewnienia bezpieczeństwa pracowników, ochrony mienia, kontroli produkcji lub zachowania tajemnicy informacji. Monitoring poczty elektronicznej jest dopuszczalny wyłącznie dla organizacji pracy i właściwego użytkowania narzędzi, nie może naruszać tajemnicy korespondencji ani dóbr osobistych pracownika. Pracodawca musi określić cele, zakres i sposób stosowania monitoringu w regulaminie pracy i poinformować pracowników z wyprzedzeniem co najmniej dwóch tygodni.

AI Act nakłada się na te przepisy jako dodatkowa warstwa. Dla systemów AI monitorujących lub oceniających pracowników pracodawca musi spełnić jednocześnie wymogi Kodeksu pracy, AI Act i RODO. Państwowa Inspekcja Pracy zwraca uwagę na ryzyka psychospołeczne nadmiernego monitoringu: ciągłą presję czasu, algorytmiczne penalizowanie przerw i automatyczne podnoszenie norm wydajności prowadzące do stresu i przeciążeń.

Zastosowanie AI	Główne ryzyko prawne	Rekomendacja praktyczna
Selekcja CV i scoring kandydatów	Art. 22 RODO, dyskryminacja pośrednia, brak przejrzystości	Zakaz automatycznego odrzucania bez realnej weryfikacji człowieka; nakaz dokumentowania kryteriów i przypadków ręcznej korekty
Video interview z analizą mimiki lub głosu	Bezwzględny zakaz z art. 5 AI Act (od 02.2025)	Nie wdrażać
Ocena wydajności z analizy aktywności cyfrowej	Nadmierny monitoring, naruszenie godności, arbitralność oceny	Ograniczyć do wskaźników niezbędnych i proporcjonalnych; wykonać DPIA
Predykcja odejścia pracownika (scoring rotacji)	Profilowanie, dyskryminacja, efekt mrożący	Używać wyłącznie na poziomie zbiorczym, nie do indywidualnych sankcji
AI do przydziału zadań i zmian grafiku	Nierówne traktowanie, brak transparentności, ryzyka BHP	Wprowadzić możliwość korekty przez przełożonego i procedurę odwołania
Analiza e-maili i aktywności internetowej	Tajemnica korespondencji, monitoring wykraczający poza cel	Oprzeć na art. 223 k.p.; nie analizować treści prywatnej korespondencji
Chatbot HR	Brak informacji o interakcji z AI, błędne odpowiedzi, wyciek danych	Wyraźnie oznaczyć AI; ograniczyć zakres danych; dodać eskalację do człowieka
Generowanie notatek, feedbacku, ocen okresowych	Halucynacje, brak podstaw dowodowych, wpływ na awans i wynagrodzenie	Traktować wynik AI jako szkic, nie jako samodzielną podstawę decyzji

KRiBSI – nowy organ nadzoru AI w Polsce

Polska ustawa o systemach sztucznej inteligencji powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako centralny organ nadzoru rynku. Przewodniczący KRiBSI jest wybierany przez Sejm za zgodą Senatu na pięcioletnią kadencję. W składzie Komisji zasiadają przedstawiciele UOKiK, KNF, KRRiT i UKE. Przy KRiBSI działa Społeczna Rada ds. Sztucznej Inteligencji z udziałem ekspertów ze środowisk naukowych, społecznych i gospodarczych.

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) funkcjonuje na podstawie dwupoziomowej konstrukcji prawnej: przepisów unijnych (AI Act) oraz polskiej ustawy wykonawczej.

Rozporządzenie UE 2024/1689 nakłada na każde państwo członkowskie obowiązek wyznaczenia władz krajowych odpowiedzialnych za egzekwowanie przepisów o sztucznej inteligencji:

• Art. 70 ust. 1 AI Act: Wymaga powołania krajowego organu nadzoru rynku (market surveillance authority).
• Art. 70 ust. 2 AI Act: Wymaga wyznaczenia pojedynczego punktu kontaktowego (single point of contact) ds. AI dla obywateli, przedsiębiorców oraz instytucji Unii Europejskiej.

Bezpośrednią podstawą utworzenia i działania KRiBSI w polskim porządku prawnym jest polska Ustawa o systemach sztucznej inteligencji.

Rządowy projekt ustawy o systemach sztucznej inteligencji dotyczy organizacji i sposobu sprawowania nadzoru nad rynkiem systemów sztucznej inteligencji oraz nad modelami sztucznej inteligencji ogólnego przeznaczenia w zakresie objętym przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689. Za kontrolę takich technologii oraz wspieranie ich rozwoju będzie odpowiadać Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.

KRiBSI zyska uprawnienia do kontrolowania przedsiębiorców, rozpatrywania skarg obywateli i nakładania administracyjnych kar finansowych. Będzie mogła nakazać natychmiastowe wycofanie systemu AI z rynku bez uprzedniego wyroku sądu. Odwołanie od decyzji KRiBSI przysługuje do Sądu Okręgowego w Warszawie.

Projekt ustawy został uchwalony przez Sejm 11 czerwca i przyjęta po poprawkach Senatu 3 lipca 2026 roku, na dzień 20 lipca 2026 roku oczekiwała na podpis Prezydenta i publikację w Dzienniku Ustaw. Większość przepisów ma wejść w życie 14 dni po ogłoszeniu. https://www.sejm.gov.pl/Sejm10.nsf/PrzebiegProc.xsp?nr=2443 

Co zrobić teraz – praktyczna lista działań compliance

Najlepszy model zgodności to nie jednorazowa akcja przed kolejnym terminem, lecz formalny program governance oparty na zasadzie: najpierw klasyfikacja ryzyka, potem dokumentacja, następnie informacja i szkolenie, a dopiero później wdrożenie. Poniżej lista działań, które warto podjąć niezwłocznie, niezależnie od przesunięcia terminów.

1. Inwentaryzacja narzędzi AI. Zidentyfikuj wszystkie systemy AI używane w HR: ATS, narzędzia wideorekrutacji, oprogramowanie do oceny wydajności, systemy monitoringu produktywności, chatboty HR.
2. Weryfikacja pod kątem zakazów. Sprawdź, czy żadne narzędzie nie analizuje emocji pracowników lub kandydatów. Zakaz z art. 5 obowiązuje od lutego 2025 roku.
3. Wdrożenie AI literacy. Udokumentuj odbyte szkolenia: plany, certyfikaty, regulaminy korzystania z AI. Organ nadzoru będzie wymagał dowodów pisemnych.
4. Spełnienie obowiązków przejrzystości z art. 50. Oznacz chatboty HR i inne systemy interakcyjne. Ten termin nie został przesunięty, obowiązuje od 2 sierpnia 2026 roku.
5. DPIA. Przeprowadź lub zaktualizuj ocenę skutków dla ochrony danych dla każdego systemu AI przetwarzającego dane pracowników lub kandydatów.
6. Dokumentacja nadzoru człowieka. Wdróż procedurę potwierdzającą, że ostateczna decyzja kadrowa należy do człowieka. Odnotuj przypadki, w których rekruter lub menedżer skorygował wynik algorytmu.
7. Klauzule z dostawcami. Zażądaj od dostawców dokumentacji zgodności, wyników testów pod kątem uprzedzeń i deklaracji zgodności. Umowy powinny precyzować obowiązki informacyjne dostawcy przy istotnych zmianach systemu.
8. Regulamin pracy. Zaktualizuj zapisy dotyczące monitoringu zgodnie z art. 222–223 Kodeksu pracy i skoreluj je z wymaganiami AI Act.

5 najważnieszych pytań

Co to jest AI Act i kiedy wchodzi w życie w Polsce?

AI Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, które obowiązuje w Polsce od 2 sierpnia 2024 roku. Jako rozporządzenie unijne, nie wymaga polskiej ustawy wdrażającej i stosuje się bezpośrednio we wszystkich państwach członkowskich.

Jakie są główne obowiązki pracodawców wynikające z AI Act?

Pracodawcy muszą przestrzegać przepisów AI Act, które nakładają nowe obowiązki w zakresie stosowania narzędzi AI w HR. Obejmuje to m.in. zakaz stosowania systemów rozpoznających emocje oraz obowiązek zapewnienia pracownikom kompetencji w zakresie AI.

Jakie systemy AI są zakazane w miejscu pracy według AI Act?

Od 2 lutego 2025 roku zakazane są systemy AI, które wnioskują o stanie emocjonalnym pracowników lub kandydatów. Obejmuje to narzędzia analizujące mimikę twarzy, ton głosu i inne sygnały biometryczne.

Co oznacza obowiązek AI literacy dla pracodawców?

Obowiązek AI literacy wymaga od pracodawców zapewnienia pracownikom odpowiedniego poziomu kompetencji w zakresie obsługi narzędzi AI. Szkolenia muszą być dostosowane do wiedzy technicznej pracowników i realizowane na koszt pracodawcy.

Jakie są konsekwencje naruszenia przepisów AI Act?

Naruszenie przepisów AI Act, w tym zakazu stosowania systemów rozpoznających emocje, może skutkować karą do 35 milionów euro lub 7% rocznego globalnego obrotu przedsiębiorstwa. Pracodawcy muszą być świadomi ryzyk związanych z niewłaściwym wdrożeniem AI.

Podsumowanie autora

AI Act to dokument, który ma zabezpieczać obywateli, w tym pracodawców, pracowników i inne osoby zatrudnione oraz ubiegające się o zatrudnienie, przed niewłaściwym, nieuprawnionym i nieetycznym wykorzystywaniem danych przez narzędzia technologiczne oparte na AI.

Pracodawcy muszą pamiętać, że każde wdrożenie AI, choćby w dziale HR, musi być analizowane pod kątem bezpieczeństwa przez pryzmat AI Act, RODO i Kodeksu pracy. Wejście w życie AI Act wywiera również wpływ na przebieg i wynik sądowych procesów o dyskryminację w zatrudnieniu. Unijne rozporządzenie nakłada na pracodawców konkretne techniczne i organizacyjne obowiązki, które wprost przekładają się na to, jak sądy pracy oceniają legalność decyzji kadrowych.

Artykuł oparty na stanie prawnym na dzień 20 lipca 2026 roku. Status polskiej ustawy o systemach AI i publikacja Digital AI Omnibus w Dz.U. UE mogą ulec zmianie. Przed podjęciem decyzji compliance zalecamy weryfikację aktualnego stanu prawnego.