AI Act, art. 4: czego wymaga od małej firmy obowiązek kompetencji w zakresie AI
Jeśli ktoś w Waszej firmie używa ChatGPT, Copilota albo Gemini w pracy, przepis dotyczy Was. Nie jest tak groźny, jak brzmi, ale nie znika, jeśli się go zignoruje.
To nie jest porada prawna. Opisuję przepis tak, jak rozumie go programista, który pomaga firmom go spełnić. Ostateczne brzmienie Waszych zasad warto sprawdzić z prawnikiem.
Co mówi przepis
Artykuł 4 rozporządzenia o sztucznej inteligencji (AI Act) obowiązuje od 2 lutego 2025. Mówi, że dostawcy i podmioty stosujące systemy AI mają podejmować środki, żeby zapewnić „wystarczający poziom kompetencji w zakresie AI” u swojego personelu i innych osób, które w ich imieniu obsługują te systemy. Z uwzględnieniem ich wiedzy technicznej, doświadczenia, wykształcenia i kontekstu, w jakim systemy są używane.
Trzy rzeczy z tego wynikają od razu. Po pierwsze, „podmiot stosujący” to także firma, która po prostu używa gotowego narzędzia AI w pracy. Nie trzeba niczego budować. Po drugie, przepis nie zawiera listy wymagań, liczby godzin ani wzoru zaświadczenia. Po trzecie, poziom ma być dopasowany do ludzi i do tego, do czego używają AI: inny dla księgowej, która streszcza przepisy, inny dla osoby, która podłącza asystenta do bazy danych.
Czy to dotyczy małej firmy
Tak, jeśli pracownicy używają systemów AI w pracy. Rozporządzenie nie wyłącza małych firm z art. 4. Praktyczna różnica jest taka, że od małej firmy rozsądnie oczekiwać środków proporcjonalnych: krótkiego szkolenia, prostych zasad i dokumentu, który to potwierdza. Nie działu zgodności.
Warto też wiedzieć, że na dziś przepis nie ma własnej, osobnej kary za sam brak szkolenia. Nadzór nad jego stosowaniem i ewentualne konsekwencje zależą od krajowych organów, które dopiero powstają. Nie zmienia to faktu, że obowiązek istnieje i że w razie sporu (np. z klientem po wycieku danych przez czat) pytanie „czy pracownicy byli przeszkoleni” padnie.
Co może znaczyć „wystarczający” w praktyce
Komisja Europejska w odpowiedziach na pytania o art. 4 wskazuje kierunek: zrozumienie, czym jest AI, jak działa system używany w firmie, jakie ma ograniczenia i ryzyka, i jak interpretować jego wyniki. Przełożone na małą firmę, w której ludzie używają asystentów typu ChatGPT czy Copilot, oznacza to mniej więcej tyle:
- Pracownik wie, że model językowy przewiduje tekst, a nie sprawdza fakty, i potrafi wychwycić zmyśloną odpowiedź.
- Wie, jakich danych nie wolno wkleić do narzędzia i dlaczego konto prywatne różni się od firmowego.
- Wie, które decyzje zostają u człowieka: podatkowe, kadrowe, prawne, dotyczące klientów.
- Wie, do kogo w firmie iść z pytaniem albo z problemem.
Osoby, które konfigurują narzędzia AI albo podłączają je do danych firmy, powinny wiedzieć więcej: o uprawnieniach, o tym, dokąd trafiają dane, o dzienniku działań.
Minimalny program dla firmy do 50 osób
| Element | Co to jest | Ile czasu |
|---|---|---|
| Szkolenie wstępne | Co AI robi dobrze, gdzie zmyśla, jak sprawdzać, co wolno wkleić, konto prywatne a firmowe | 1–1,5 godziny dla wszystkich |
| Zasady korzystania z AI | Jedna strona: narzędzia, konta, dane, odpowiedzialność za wynik, osoba kontaktowa | Godzina na dostosowanie, przyjęcie przez zarząd |
| Część działowa | Ćwiczenia na zadaniach z pracy, z granicami dla danego działu | 2–3 godziny na dział |
| Część dla osób technicznych | Uprawnienia, konta dla AI, dane, dziennik | 2–3 godziny, tylko jeśli ktoś podłącza AI do systemów |
| Wdrożenie nowych osób | Szkolenie wstępne i zasady przy zatrudnieniu | Godzina na osobę |
| Odświeżenie | Krótkie przypomnienie, gdy zmieniają się narzędzia albo zasady | Raz w roku |
Jaką dokumentację zachować
Przepis nie mówi, co dokumentować. Zdrowy rozsądek i praktyka z innych obowiązków (BHP, RODO) podpowiadają, żeby mieć pod ręką:
- Program szkolenia z datą, czasem trwania i tematami.
- Listę uczestników albo zaświadczenia imienne.
- Przyjęte zasady korzystania z AI z datą i podpisem osoby decyzyjnej.
- Listę narzędzi AI używanych w firmie i to, kto za każde odpowiada.
- Krótką notatkę, jak firma oceniła, że poziom jest wystarczający: kto używa czego i do czego, kto przeszedł jakie szkolenie.
To jeden segregator albo jeden folder. Nie więcej.
Czego nie robić
Nie kupować „certyfikatu zgodności z AI Act” dla całej firmy. Nie ma takiego certyfikatu dla art. 4. Nie wysyłać ludzi na ogólny kurs online „o AI”, który nie dotyczy ich pracy i którego nikt nie dokończy. Nie zakazywać AI w ogóle, bo pracownicy i tak będą go używać, tylko na prywatnych kontach i bez zasad. Przepis mówi o kompetencjach, nie o zakazie.
Moduł 0 każdego mojego szkolenia, Bezpieczne AI w firmie, został ułożony dokładnie pod ten obowiązek: szkolenie wstępne, wzór zasad i zaświadczenie z programem, które możecie włożyć do segregatora.