EU AI Act od 02.08.2026.

Czym jest EU AI Act i dlaczego dotyczy MŚP?

EU AI Act (oficjalnie: rozporządzenie UE 2024/1689 w sprawie sztucznej inteligencji) obowiązuje od 2 sierpnia 2024, ale wchodzi w życie etapami. Reguluje wykorzystanie systemów AI w UE w podejściu opartym na ryzyku: systemy wysokiego ryzyka (np. AI w diagnostyce medycznej, doborze personelu, przyznawaniu kredytów) wymagają obszernych ocen zgodności. Niższe ryzyko (AI w kontakcie z klientem, chatboty, voiceboty, automatyzacja marketingu) wymaga „jedynie” obowiązków przejrzystości, ale te od 2 sierpnia 2026 są rygorystyczne. Czego wielu właścicieli MŚP nie wie: nawet jeśli nie tworzą Państwo AI samodzielnie, a tylko ją wdrażają (w rozporządzeniu termin „deployer”), odpowiadają Państwo za obowiązki w swojej firmie. Kto korzysta z telefonicznego asystenta AI, chatbota lub marketingowej AI, musi poinformować użytkowników końcowych i udokumentować wykorzystanie dla własnych pracowników. Rozporządzenie obowiązuje w całej UE, także wobec dostawców z państw trzecich (USA, Wielka Brytania, Szwajcaria), jeśli udostępniają swoje systemy AI w UE. Kto zatem korzysta z narzędzia z USA lub innego dostawcy zewnętrznego, musi sprawdzić, czy dostawca w ogóle wspiera te obowiązki.

4 najważniejsze obowiązki dla MŚP regionu DACH w 2026

Po pierwsze, art. 4 (kompetencje w zakresie AI), obowiązuje już od 2 lutego 2025. Kto wdraża AI w firmie, musi przedstawić minimalną dokumentację granic zastosowania i logiki eskalacji. W praktyce: plik PDF opisujący, jak wykorzystywana jest Państwa AI, czego nie wolno jej robić, kiedy eskaluje do człowieka. Po drugie, art. 50 (obowiązek przejrzystości), obowiązuje od 2 sierpnia 2026. Każda osoba wchodząca w interakcję z Państwa systemem AI (dzwoniący, odwiedzający czat, kontakty e-mail) musi zostać o tym jasno poinformowana przy pierwszym kontakcie. Dla agentów głosowych oznacza to: komunikat powitalny musi ujawnić, że to AI. Dla widżetów czatu: trwały znacznik AI. Dla e-maili: informacja w nagłówku. Po trzecie, art. 28 RODO (powierzenie przetwarzania), obowiązek już od 2018. Przy wykorzystaniu AI od dostawcy zewnętrznego musi istnieć umowa powierzenia przetwarzania danych regulująca przetwarzanie. Po czwarte, art. 22 RODO (decyzje zautomatyzowane), przy istotnych prawnie decyzjach AI musi być możliwa eskalacja do człowieka. Dla AI w obsłudze klienta oznacza to praktycznie: przy skargach, reklamacjach, wypowiedzeniach agent AI musi móc eskalować do człowieka.

• Art. 4 kompetencje AI: dokumentacja granic zastosowania + logika eskalacji (od 02.02.2025)
• Art. 50 obowiązek przejrzystości: ujawnienie przy pierwszym kontakcie z AI (od 02.08.2026)
• Art. 28 RODO: umowa powierzenia z każdym dostawcą AI
• Art. 22 RODO: eskalacja do człowieka przy decyzjach istotnych prawnie

Kary w EU AI Act, co naprawdę jest na szali

EU AI Act przewiduje stopniowane kary. Naruszenia najsurowszych obowiązków (zakazane praktyki AI według art. 5, social scoring, manipulacja, masowa inwigilacja biometryczna) mogą być karane kwotą do 35 mln euro lub 7 procent światowego rocznego obrotu, w zależności od tego, która wartość jest wyższa. Naruszenia obowiązków dla systemów AI wysokiego ryzyka: do 15 mln euro lub 3 procent. Naruszenia obowiązków przejrzystości (art. 50) i większości innych obowiązków: do 15 mln euro lub 3 procent. Fałszywe lub wprowadzające w błąd informacje wobec organów: do 7,5 mln euro lub 1 procent. Dla MŚP z rocznym obrotem poniżej 500 mln euro wiążące stają się wartości kwotowe (a nie procent obrotu), ale 15 mln euro dla MŚP w regionie DACH jest faktycznie zagrożeniem dla istnienia. Do tego: przy powtarzających się naruszeniach właściwy organ nadzoru rynku (w Niemczech: Bundesnetzagentur) może zakazać systemu AI lub nakazać wycofanie go z rynku. Kary to zatem jedynie finansowy czubek góry lodowej, szkoda wizerunkowa i utrata biznesu przy naruszeniu bywa wyższa.

EU AI Act kontra RODO, gdzie obowiązki się pokrywają, a gdzie nie

Wiele MŚP myli EU AI Act i RODO. W rzeczywistości oba rozporządzenia są komplementarne: RODO reguluje przetwarzanie danych osobowych (wszelkie dane, które można przypisać osobie fizycznej), EU AI Act reguluje wykorzystanie systemów AI niezależnie od tego, czy przetwarzane są dane osobowe. W kontekście AI w obsłudze klienta obowiązują oba jednocześnie: RODO reguluje postępowanie z danymi dzwoniących (hosting Hetzner, modele językowe w UE, umowa powierzenia, informacje o ochronie danych według art. 13 RODO). EU AI Act dodatkowo reguluje obowiązek przejrzystości (art. 50, dzwoniący muszą wiedzieć, że rozmawiają z AI) oraz kompetencje w zakresie AI (art. 4, kto wdraża AI, musi znać granice zastosowania). Dla MŚP regionu DACH oznacza to praktycznie: dostawca AI zgodny z RODO nie jest automatycznie zgodny z AI Act. Potrzebują Państwo obu, RODO + art. 50 + art. 4. Rinqo spełnia wszystkie trzy obowiązki w jednej platformie: Hetzner w Niemczech (RODO), domyślny komunikat ujawniający (art. 50), szablony kompetencji AI do dostosowania (art. 4). U dostawców z USA muszą Państwo osobno sprawdzić zgodność z RODO (narażenie na Cloud Act, zmienność DPF pozostaje) i samodzielnie wdrożyć ujawnienie z art. 50 (co technicznie często w ogóle nie jest możliwe).

Jak Rinqo spełnia EU AI Act, konkretnie i weryfikowalnie

Rinqo spełnia wszystkie obowiązki EU AI Act dla MŚP regionu DACH od pierwszego dnia, bez konieczności wykonywania przez Państwa własnej pracy nad zgodnością. Po pierwsze, art. 50, domyślne ujawnienie: każdy agent AI Rinqo (telefon, czat, e-mail) przy pierwszym kontakcie wyraźnie komunikuje, że jest AI, dobór słów jest edytowalny pod Państwa głos marki, samego ujawnienia nie można wyłączyć. Głosowo: „Dzień dobry, tu asystent AI [firma]. Rozmawiają Państwo z AI, połączenie jest przetwarzane w celu zapewnienia jakości.” Na czacie: trwały znacznik AI w nagłówku + baner wejściowy. W e-mailu: informacja w stopce „Ta odpowiedź została przygotowana z pomocą AI”. Po drugie, art. 4, kompetencje AI: szablony w panelu Rinqo, które można dostosować do Państwa konkretnej konfiguracji, jakie modele AI są stosowane, jakie dane są przetwarzane, jakie progi eskalacji obowiązują. Dokumentują Państwo raz i utrzymują dokumentację aktualną przy zmianach konfiguracji. Po trzecie, art. 28 RODO: umowa powierzenia jest udostępniana automatycznie przy zawarciu umowy, bez osobnego wniosku. Po czwarte, art. 13 RODO: informacje o ochronie danych są w agencie głosowym automatycznie ogłaszane na początku rozmowy. Po piąte, hosting w UE: Hetzner Falkenstein i Norymberga jako lokalizacja hostingu, modele językowe w UE na dedykowanym Microsoft Azure OpenAI (Microsoft Ireland Operations Ltd., Sweden Central, granica danych UE – Microsoft Corp. jest amerykańską spółką matką, ujawniane transparentnie na /security), rezydencja danych w UE dla Państwa danych klientów.