AI Act (Artificial Intelligence Act), czyli Akt w sprawie sztucznej inteligencji, to rozporządzenie unijne, które de facto obowiązuje od 1 sierpnia 2024 r., a więc przeszło dwa lata. Jest to, jak wspomniałem, rozporządzenie, a zatem podobnie jak RODO obowiązuje bezpośrednio wszystkie państwa członkowskie od momentu wejścia w życie – więc żeby przepisy działały nie ma konieczności najpierw wprowadzania ich osobnymi ustawami do prawa krajowego. Konieczności nie ma, ale mimo wszystko przepisy akcesoryjne są poniekąd niezbędne. Polska wywiązała się z tego wymogu i 24 lipca 2026 r. Prezydent podpisał ustawę o systemach sztucznej inteligencji, która w dużej mierze obowiązuje od 11 sierpnia, natomiast przepisy związane z uprawnieniami kontrolnymi czy technicznymi możliwościami nałożenia kar administracyjnych wejdą w życie 28 października 2026 r.
Sierpień miał być miesiącem przełomowym dla AI Act, którego istotne obowiązki miały zacząć obowiązywać od jego 2 dnia. Jednak krótko wcześniej Parlament Europejski i Rada (UE) przyjęły rozporządzenie zmieniające AI Act – rozporządzenie (UE) 2026/1744 (tzw. Digital Omnibus on AI), opublikowane w Dzienniku Urzędowym UE 24 lipca 2026 r. i stosowane od 27 lipca 2026 r. Akt ten w trybie pilnym wszedł w życie trzeciego dnia po ogłoszeniu, właśnie z uwagi na zbliżający się pierwotny termin 2 sierpnia 2026 r., i istotnie zmienił reżim systemów wysokiego ryzyka AI.
Wprowadzenie nowego Rozporządzenia, które znowelizowało treść AI Act wiąże się przede wszystkim z odłożeniem w czasie niektórych obowiązków, wśród których mieszczą się także te związane z systemami wysokiego ryzyka AI. Termin 2 sierpnia 2026 r. został zastąpiony i wejście w życie przepisów związanych z art. 6 oraz Załącznikiem III AI Act (czyli także tych dotyczących obszaru HR) ma nastąpić 2 grudnia 2027 r. Co to oznacza w praktyce?
Jeśli udostępniasz swoim klientom systemy AI, które można sklasyfikować jako systemy wysokiego ryzyka, to nowe obowiązki znajdą do Ciebie w pełni zastosowanie, jeśli po 2 grudnia 2027 r. dokonasz tzw. istotnej zmiany w systemie AI (istotną zmianą jest modyfikacja w systemie AI po jego wprowadzeniu do obrotu lub oddaniu do użytku, która nie została przewidziana lub zaplanowana przy początkowej ocenie zgodności przeprowadzonej przez dostawcę i która ma wpływ na zgodność systemu AI z wymogami ustanowionymi w rozdziale III sekcja 2, lub która powoduje zmianę przeznaczenia, w odniesieniu do którego oceniono system AI). Jeśli wprowadzisz do obrotu system AI spełniający kryteria wysokiego ryzyka od 2 grudnia 2027 r., to musisz spełnić wszystkie obowiązki związane z systemami wysokiego ryzyka jeszcze przed jego wprowadzeniem do obrotu. Jeśli natomiast obecnie oferujesz system AI wysokiego ryzyka i system ten nie będzie podlegał istotnym zmianom, to nowe przepisy nie znajdą do Ciebie zastosowania.
Na koniec dodajmy, że od 2 sierpnia 2026 r., zgodnie z wcześniejszymi założeniami, weszły w życie obowiązki związane z art. 50 ust. 1, 3-7 AI Act, czyli obowiązki transparentności – jest to między innymi:
Warto odnotować, że termin na wdrożenie rozwiązań technicznych umożliwiających znakowanie treści generowanych lub zmanipulowanych przez AI (np. znak wodny, metadane maszynowo odczytywalne) został wydłużony i przypada na 2 grudnia 2026 r. Praktyczne stosowanie obowiązków z art. 50 ust. 1 czy 2 wspierają odrębne Wytyczne Komisji Europejskiej dotyczące obowiązków przejrzystości (Transparency Guidelines), opublikowane w lipcu 2026 r. równolegle z Wytycznymi klasyfikacyjnymi.
Z pomocą w zdefiniowaniu systemów wysokiego ryzyka AI przychodzi sama treść AI Act. W art. 6 ust. 1 możemy przeczytać, że systemy AI uznaje się za systemy wysokiego ryzyka, jeśli zostaną spełnione oba poniższe warunki:
Rozporządzenie daje w tym miejscu istotny wyjątek, zgodnie z którym system sztucznej inteligencji nie jest uznawany za „element bezpieczeństwa”, jeśli pełni wyłącznie funkcje pomocnicze, organizacyjne lub wydajnościowe, które nie wpływają bezpośrednio na bezpieczeństwo ludzi ani produktu. Jednak bez względu na ten wyjątek systemy AI, jakich awaria lub nieprawidłowe działanie zagrażałyby zdrowiu i bezpieczeństwu, kwalifikują się jako elementy bezpieczeństwa. Zawężenie definicji „elementu bezpieczeństwa” wprowadzone Digital Omnibus dotyczy jednak ścieżki Załącznika I (systemów wbudowanych) i staje się stosowane dopiero 2 sierpnia 2028 r.
Ponadto system AI uznaje się system wysokiego ryzyka, poza powyższymi dwoma warunkami z ust. 1, jeśli zostały wymienione w Załączniku III AI Act.
Zacznijmy może od drugiej strony, a mianowicie samych wytycznych. Należy zaznaczyć, że obecnie dostępna wersja nie jest ostateczna, gdyż ta zostanie opublikowana do końca 2026 r. Nie oznacza to jednak, że nie powinno się z nich korzystać, ponieważ po pierwsze zapewne w znacznej mierze pozostaną one niezmienione, a po drugie już teraz stanowią bardzo praktyczne wsparcie dla przepisów AI Act. Mowa tu o Wytycznych dotyczących klasyfikacji systemów wysokiego ryzyka na podstawie art. 6 AI Act, opublikowanych przez Komisję 19 maja 2026 r. i poddanych konsultacjom (termin zgłaszania uwag został następnie przedłużony). Odrębnym dokumentem są Wytyczne dotyczące obowiązków przejrzystości z art. 50 AI Act, do których odsyłamy w części poświęconej transparentności, i które zostały już formalnie przyjęte.
Zgodnie z opartym na analizie ryzyka podejściem AI Act jako systemy wysokiego ryzyka kwalifikuje się tylko ograniczony zbiór przypadków użycia systemów AI, które wymienione są wyraźnie dla każdego obszaru w Załączniku III rozporządzenia. Co istotne, to nie przykładowa lista, ale ma ona charakter wyczerpujący i może być zmieniona wyłącznie w drodze przyjęcia aktów delegowanych, pod warunkiem spełnienia przesłanek art. 7 ust. 1 AI Act (punkt 65 wytycznych).
Jakie zatem obszary wymienione są w Załączniku III?
Unijne wytyczne wyjaśniają hierarchię, jaką należy kierować się przy wprowadzaniu systemów AI do między innymi branży HR. Mówiąc wprost między zakazami, które znajdują się w art. 5 AI Act a systemami wysokiego ryzyka, o których mowa w art. 6 i Załączniku III, jest jedna zasadnicza różnica:
Zatem systemy wysokiego ryzyka są legalne, z zastrzeżeniem, że pozostają pod ścisłym nadzorem. Natomiast zakazane praktyki z art. 5 AI Act są absolutnie nielegalne. Systemów wysokiego ryzyka można używać, o ile dostawca i pracodawca (w wypadku branży HR) spełni stosowne wymogi, jak np. testowanie systemu pod kątem dyskryminacji, zapewnienie nadzoru człowieka, przejrzystość działania.
A co jeśli wprowadzany system wyraźnie identyfikowany jako system wysokiego ryzyka posiada również elementy praktyk zakazanych? Czy te drugie możemy jakoś dostosować, aby stały się legalnymi, o ile pozostaną pod ścisłym nadzorem?
Odpowiedź jest jasna – NIE. Punkt 242. Wytycznych mówi, że jeżeli system AI mieści się w zakresie obu przepisów, pierwszeństwo ma zakaz i taki system pozostaje niezgodny z prawem. Sytuacja nie ulegnie zmianie bez względu na ilość zabezpieczeń wprowadzanych przez dostawcę lub podmiot stosujący.
Ujmując rzecz najprościej – to czy sztuczna inteligencja stosowana w HR jest uznawana za system wysokiego ryzyka AI zależy od tego, jak duży ma ona wpływ na to, czy kandydat dostanie pracę. Jak zatem może wyglądać proces rekrutacji z zastosowaniem systemu AI?
Jeżeli to człowiek, w tym wypadku rekruter, decyduje, jakie są wymagania i zadania na danym stanowisku, a AI tylko przygotowuje na tej podstawie samą redakcję ogłoszenia o pracę (bez decydowania o tym, którzy kandydaci je zobaczą), to taki system co do zasady nie będzie uznany za system wysokiego ryzyka. Wykonuje on wówczas proste, odtwórcze zadanie i nie wpływa istotnie na szanse zawodowe konkretnych osób. Zastrzec jednak trzeba, że zgodnie z Wytycznymi Komisji rekrutacja i selekcja obejmują także ukierunkowane (targetowane) ogłoszenia o pracę, tj. sytuacje, w których AI decyduje, którzy kandydaci zobaczą dane ogłoszenie – takie zastosowanie mieści się już w Załączniku III.
Powyższa sytuacja diametralnie zmieni się, jeśli AI istotnie wpływa na decyzję rekrutacyjną – samodzielnie formułuje wymagania albo, co jeszcze ważniejsze, analizuje i filtruje CV bądź ocenia dopasowanie kandydatów. Kluczowy jest tu test istotnego wpływu na decyzję (material influence), a nie to, czy formalnie rozstrzyga maszyna, czy człowiek. Wytyczne Komisji wprost wskazują, że samo wprowadzenie „człowieka w pętli” (human in the loop) nie wyłącza kwalifikacji systemu jako wysokiego ryzyka – nadzór człowieka jest odrębnym obowiązkiem z art. 14 AI Act, a nie drogą wyłączenia z tego reżimu. Właściwym mechanizmem wyłączenia systemu z Załącznika III pozostaje natomiast filtr z art. 6 ust. 3 AI Act, który – po odroczeniu terminów – zyskuje na znaczeniu i wiąże się z własnym obowiązkiem udokumentowania oceny oraz rejestracji.
Punkt 248. Wytycznych podkreśla, że przepisy o rekrutacji dotyczą także etapu tzw. „onboardingu”, czyli procesu wdrażania, adaptacji nowego pracownika w firmie pod warunkiem, że na tym etapie można jeszcze pracy nie dostać. Może tak się stać, gdy np. pracodawca przeprowadza kontrole referencji nowych pracowników. Proces rekrutacji zostaje oficjalnie zakończony, gdy kandydat zostaje oficjalnie zatrudniony, a jego ewentualne usunięcie wymagałoby standardowej procedury zwolnienia z pracy.
Więcej na temat systemów wysokiego ryzyka AI w AI Act przeczytasz w tekście mec. Macieja Bednarka „Systemy wysokiego ryzyka AI Act – czy Twój biznes jest zagrożony?”.
Potrzebujesz pomocy prawnej związanej z tematem tego artykułu? Chcesz przekonać się czy będziemy potrafili Ci doradzić? Skontaktuj się z nami lub umów na bezpłatną wstępną konsultację online!
