AI Act w praktyce: co naprawdę oznacza dla firm korzystających z AI w biznesie?

Sztuczna inteligencja w firmach przestała być eksperymentem — księguje faktury, prognozuje popyt, odpowiada na pytania pracowników. Ale od 2 sierpnia 2026 r. wchodzi w nową fazę również od strony prawnej: zaczynają obowiązywać kluczowe przepisy unijnego rozporządzenia o sztucznej inteligencji, czyli AI Act. Wiele firm zadaje sobie dziś to samo pytanie: czy to nas dotyczy? I co konkretnie musimy zrobić?

Odpowiedź brzmi: tak, dotyczy — choć w różnym stopniu. I warto rozumieć, dlaczego.

Czym jest AI Act i kogo obejmuje

AI Act to pierwsze na świecie kompleksowe prawo regulujące sztuczną inteligencję. Wszedł w życie 1 sierpnia 2024 r., ale jego przepisy są wdrażane etapami. Rozporządzenie opiera się na podejściu opartym na ryzyku (risk-based approach) i dzieli systemy AI na cztery kategorie: zakazane (np. social scoring), wysokiego ryzyka (np. AI w rekrutacji, ocenie zdolności kredytowej osób fizycznych, medycynie), ograniczonego ryzyka (systemy podlegające obowiązkom przejrzystości, np. chatboty i treści generowane przez AI) oraz minimalnego ryzyka — czyli zdecydowaną większość zastosowań biznesowych (np. korekta tekstu, translatory, algorytmy w systemach magazynowych).

Co ważne, AI Act obejmuje nie tylko producentów oprogramowania (dostawców), ale również firmy, które z systemów AI po prostu korzystają (tzw. deployers, podmioty stosujące). Jeśli Twoja księgowa używa OCR do faktur, a handlowiec analizuje klientów z pomocą AI — Twoja firma jest podmiotem stosującym AI w rozumieniu rozporządzenia.

Harmonogram: co obowiązuje już dziś, a co wchodzi 2 sierpnia 2026

Warto uporządkować daty, bo w sieci wciąż krąży wiele nieaktualnych informacji:

Od 2 lutego 2025 r. obowiązuje zakaz praktyk niedopuszczalnych oraz — co umyka wielu firmom — obowiązek zapewnienia kompetencji AI (tzw. AI literacy, art. 4). Każdy pracownik korzystający z narzędzi AI powinien być odpowiednio przeszkolony, a szkolenia udokumentowane. To nie przyszłość — to obowiązujące prawo.

Od 2 sierpnia 2026 r. zaczynają obowiązywać obowiązki przejrzystości z art. 50 AI Act: użytkownik musi wiedzieć, że rozmawia z AI, a treści generowane lub istotnie zmodyfikowane przez AI muszą być odpowiednio oznaczane. 20 lipca 2026 r. Komisja Europejska opublikowała oficjalne wytyczne dotyczące obowiązków przejrzystości, które precyzują, jak dostawcy i podmioty stosujące AI mają te wymogi realizować. Od tej daty rusza też realny nadzór rynku i egzekwowanie kar — a te są dotkliwe: do 35 mln EUR lub 7% globalnego obrotu za praktyki zakazane.

Od 2 grudnia 2027 r. — na mocy przyjętego w czerwcu 2026 r. pakietu Digital Omnibus — zaczną obowiązywać pełne wymogi dla samodzielnych systemów wysokiego ryzyka z Załącznika III (pierwotnie planowane na sierpień 2026 r.). Firmy zyskały więcej czasu, ale zakres obowiązków się nie zmienił: dokumentacja techniczna, zarządzanie ryzykiem, rejestrowanie zdarzeń, nadzór człowieka.

Trzy daty AI Act, które musisz znać jako użytkownik biznesowy:

• Luty 2025: Obowiązkowe szkolenia z AI dla pracowników. 
• Sierpień 2026: Obowiązek oznaczania AI i informowania, że użytkownik rozmawia z botem (oraz realne kary). 
• Grudzień 2027: Pełne wymogi dla systemów wysokiego ryzyka (np. AI w rekrutacji).

Czy księgowanie faktur to system wysokiego ryzyka? Uspokajamy

To pytanie słyszymy najczęściej. Odpowiedź: nie. Załącznik III AI Act wymienia zamknięty katalog obszarów wysokiego ryzyka — m.in. biometrię, rekrutację i zarządzanie pracownikami, edukację, ocenę zdolności kredytowej osób fizycznych, wymiar sprawiedliwości. Automatyczne dekretowanie faktur, prognozowanie popytu czy analiza rotacji towarów nie znajdują się na tej liście.

Czy to znaczy, że firma korzystająca z AI w księgowości może o AI Act zapomnieć? Nie do końca. Po pierwsze, obowiązki dotyczące kompetencji pracowników i przejrzystości (chatboty, treści generowane przez AI) obowiązują niezależnie od kategorii ryzyka. Po drugie — i to jest sedno — w finansach i księgowości odpowiedzialność za dokument zawsze ponosi człowiek i firma, nie algorytm. Błędnie zaksięgowana faktura to realne konsekwencje podatkowe. Dlatego nawet tam, gdzie prawo nie wymaga reżimu wysokiego ryzyka, standardy z niego płynące — wyjaśnialność i nadzór człowieka — stają się po prostu dobrą praktyką biznesową.

XAI: dlaczego „czarna skrzynka” przestaje wystarczać

Explainable AI (XAI), czyli wyjaśnialna sztuczna inteligencja, to podejście, w którym system potrafi pokazać, na jakiej podstawie wygenerował wynik lub rekomendację. W obszarach wrażliwych — zdrowiu, finansach, prawie — stała się warunkiem koniecznym z trzech powodów.

Po pierwsze, wymaga tego prawo: AI Act przewiduje prawo do uzyskania wyjaśnienia, gdy wynik systemu wysokiego ryzyka wpłynął na decyzję wywołującą skutki prawne wobec osoby. Po drugie, wymaga tego audyt: biegły rewident, urząd skarbowy czy inspekcja nie zaakceptują odpowiedzi „tak zaproponował algorytm”. Po trzecie, wymaga tego zdrowy rozsądek: pracownik nie zatwierdzi rekomendacji, której nie rozumie — a jeśli zatwierdza w ciemno, to znaczy, że kontrola człowieka jest fikcją.

W praktyce ERP wyjaśnialność oznacza rzeczy bardzo konkretne: propozycja dekretu księgowego z widocznym źródłem danych z faktury, prognoza popytu oparta na przejrzystej historii sprzedaży, odpowiedź asystenta AI z odsyłaczem do dokumentu, z którego pochodzi informacja.

W unijnym AI Act pojęcie explainability (wyjaśnialność / wytłumaczalność) oznacza możliwość zrozumienia przez człowieka, dlaczego i na jakiej podstawie system AI podjął konkretną decyzję lub wygenerował dany wynik.

Nie chodzi tu o znajomość kodu źródłowego czy skomplikowanych wzorów matematycznych, ale o dostarczenie logicznego uzasadnienia, które pozwala człowiekowi zweryfikować poprawność działania algorytmu.

Dla firm wdrażających systemy AI w swoich procesach obowiązki dotyczące wyjaśnialności zależą głównie od klasy ryzyka danego systemu. 

Główny ciężar techniczny (zaprojektowanie modelu tak, by był wyjaśnialny) leży po stronie dostawcy (np. Google czy OpenAI). Jednak deployer ma obowiązek korzystać z tych narzędzi w sposób świadomy. Musi zapewnić tzw. nadzór ludzki (human oversight), co oznacza, że pracownicy obsługujący narzędzia AI muszą rozumieć jej podpowiedzi, znać ograniczenia i wiedzieć, kiedy model może się mylić.

W przypadku systemów z kategorii wysokiego ryzyka (np. automatyczna rekrutacja, ocena zdolności kredytowej), które podejmują decyzje wywołujące skutki prawne lub istotnie wpływają na osoby, deployer ma prawny obowiązek przedstawić tej osobie jasne wyjaśnienie roli AI w podjęciu tej decyzji.

Jak wyjaśnialność wygląda w praktyce w systemach Comarch ERP?

Wyjaśnialność może przybierać różne formy w zależności od poziomu ryzyka i wpływu na decyzje ludzi, kluczowe jest jednak to, aby użytkownik miał świadomość, w którym miejscu i za jaki proces jest odpowiedzialna sztuczna inteligencja oraz rozumie na jakich zasadach dana automatyzacja się opiera. Dla przykładu, agent rozliczeń płatności w Comarch ERP XL, który analizuje wyciągi bankowe i automatycznie przypisuje przelewy do odpowiednich faktur sprzedaży pokazuje nie tylko wynik (powiązanie przelew-faktura), ale podaje zwięzłe uzasadnienie, stworzone z myślą o użytkowniku biznesowym. Obowiązkowo informuje w uzasadnieniu o wykryciu korekt oraz poziomie pewności przypisania. Z kolei w przypadku asystentów AI, takich jak ChatERP kluczowe jest podawanie źródeł np. linkowanie do dokumentacji systemu, na podstawie której asystent wygenerował odpowiedź. 

Human-in-the-loop: człowiek zatwierdza, AI przyspiesza

Zasada human-in-the-loop (człowiek w pętli decyzyjnej) to fundament bezpiecznego wykorzystania AI w procesach biznesowych — i jednocześnie jeden z filarów AI Act (art. 14 wymaga skutecznego nadzoru człowieka nad systemami wysokiego ryzyka).

Mechanizm jest prosty: AI analizuje, proponuje i przygotowuje — człowiek weryfikuje i zatwierdza. OCR odczytuje fakturę i proponuje dekret, ale to księgowy ostatecznie go akceptuje. System wskazuje kontrahentów z ryzykiem opóźnień płatności, ale to człowiek decyduje o blokadzie sprzedaży lub o jej zautomatyzowaniu w zależności od przekroczenia określonych limitów - AI nie podejmuje decyzji bez wiedzy człowieka. Algorytm prognozuje zapotrzebowanie, ale zamówienie zatwierdza dział zakupów.

Taka architektura znacząco ogranicza ryzyko prawne i operacyjne: decyzja formalnie i faktycznie pozostaje po stronie firmy, każdy krok jest rejestrowany, a błąd algorytmu zostaje wychwycony, zanim wywoła skutki. To różnica między automatyzacją, która wspiera odpowiedzialność, a automatyzacją, która ją rozmywa.

Jak Comarch ERP Optima i Comarch ERP XL wpisują się w wymogi UE

Systemy Comarch ERP zostały zaprojektowane zgodnie z filozofią, którą AI Act dziś kodyfikuje: AI działa na danych firmy, w kontrolowanym środowisku, pod nadzorem człowieka.

Przejrzystość i wyjaśnialność — ChatERP, asystent AI wbudowany w Comarch ERP Optima i Comarch ERP XL, nie generuje odpowiedzi z ogólnej wiedzy modelu, lecz opiera się na danych z systemu i oficjalnej dokumentacji, a każda odpowiedź zawiera odsyłacz do źródła. Użytkownik od początku wie, że korzysta z asystenta AI, i może natychmiast zweryfikować informację — dokładnie w duchu art. 50 i lipcowych wytycznych Komisji.

Human-in-the-loop w codziennych procesach — Comarch OCR odczytuje dane z faktur, agent AI proponuje sposób księgowania, ale dokument trafia do weryfikacji i zatwierdzenia przez księgowego. Prognozy popytu w Comarch ERP XL czy przewidywane terminy płatności wspierają decyzje zakupowe i finansowe, ale ich nie zastępują. AI skraca drogę do decyzji — nie odbiera jej człowiekowi.

Ochrona i kontrola danych — dane firmy pozostają w jej środowisku, chronione mechanizmami zarządzania uprawnieniami (dostęp do funkcji AI, w tym ChatERP, nadaje administrator konkretnym operatorom) oraz rejestrowaniem operacji. To odpowiada zarówno wymogom AI Act, jak i RODO — a jednocześnie stanowi fundament pod przyszłe obowiązki dokumentacyjne, które wejdą w życie w 2027 r.

Regulacja to nie hamulec — to przewaga

AI Act bywa przedstawiany jako biurokratyczna przeszkoda. W praktyce jest odwrotnie: firmy, które korzystają z AI wbudowanej w zaufany system ERP — transparentnej, wyjaśnialnej i działającej pod kontrolą człowieka — spełniają większość wymogów niejako „przy okazji”, bo taka architektura jest po prostu dobrze zaprojektowana.

Jak Comarch realizuje wymogi AI Act

Dla firm, które chcą korzystać z AI odważnie, ale odpowiedzialnie, wniosek jest prosty: nie trzeba wybierać między automatyzacją a zgodnością z prawem. Trzeba wybrać system, w którym jedno wynika z drugiego.

Edyta Kosowska

W Comarch zajmuje się analizą trendów związanych ze sztuczną inteligencją oraz ich wpływem na ewolucję systemów ERP. Identyfikuje nowe kierunki rozwoju oprogramowania klasy ERP dla firm i źródła inspiracji rynkowych. Angażuje się również w badania rynku i klientów, dostarczając ekspertyzy wspierające decyzje strategiczne organizacji.

Wcześniej przez wiele lat związana z IDC, gdzie analizowała globalny rynek systemów ERP oraz trendy technologiczne kształtujące rozwój oprogramowania biznesowego. Odpowiadała za przygotowywanie raportów analitycznych, modeli rynku i prognoz oraz doradztwo strategiczne dla dostawców technologii.