Najczęstsza reakcja, kiedy mówię klientowi, że wraz z chatbotem trzeba przeszkolić ludzi: "przecież my nie wdrażamy żadnej sztucznej inteligencji, my tylko mamy bota na stronie i dziewczyny w biurze używają ChatGPT". Właśnie o takiej firmie mówi artykuł 4 AI Act. To najszerszy przepis w całym rozporządzeniu: nie ma progu wielkości, nie ma klasy ryzyka, nie ma wyłączenia dla mikrofirmy.
Zastrzeżenie: jestem programistą, nie prawnikiem. Opisuję stronę inżynierską, bo to ja stawiam te systemy i widzę, gdzie ludzie się o nie potykają. Po audyt prawny idź do kancelarii.
Kogo dotyczy artykuł 4
Przepis mówi o dwóch rolach. Dostawca to ten, kto tworzy system AI. Podmiot stosujący to ten, kto używa go we własnym imieniu. Jeśli kupiłeś chatbota, postawiłeś workflow w n8n, włączyłeś Copilota w firmowym Microsofcie albo dałeś zespołowi firmowe konta w ChatGPT, jesteś podmiotem stosującym i obowiązek jest po Twojej stronie. Nie po stronie wykonawcy, nie po stronie OpenAI.
Sam obowiązek brzmi prosto: zapewnić, żeby ludzie obsługujący w Twoim imieniu systemy AI mieli wystarczające kompetencje, z uwzględnieniem wykształcenia, doświadczenia i kontekstu użycia. Nie ma listy tematów, liczby godzin ani certyfikatu z urzędu. Jest oczekiwanie, że umiesz pokazać, co zrobiłeś.
GUS podaje, że w 2025 roku 8,7 procent polskich firm deklarowało wykorzystanie technologii AI, a 91,3 procent nie. Najczęstszy sposób wejścia to zakup gotowego rozwiązania komercyjnego (6,4 procent), a AI budowane na zamówienie przez firmę zewnętrzną to 2,1 procent. Czyli typowy przypadek jest dokładnie ten, który art. 4 obejmuje najciaśniej: firma bez własnego zespołu AI kupiła narzędzie i puściła je do pracy z ludźmi. Kolejność kroków opisałem w tekście o tym, jak wdrożyć AI w firmie.
Terminy i to, ile realnie ryzykujesz
Artykuł 4 obowiązuje od 2 lutego 2025 roku. Jeśli używasz AI od zeszłego roku i nikogo nie szkoliłeś, nie jesteś przed terminem, tylko po nim. Zmienia się co innego: od sierpnia 2026 rusza realny nadzór rynku, a w Polsce dochodzi krajowy organ z własnymi uprawnieniami.
| Data | Co się dzieje | Czego dotyczy |
|---|---|---|
| 2 lutego 2025 | Art. 4 zaczyna obowiązywać | Kompetencje AI u każdego dostawcy i podmiotu stosującego, bez progu wielkości |
| 2 sierpnia 2026 | Start egzekwowania i nadzoru rynku | Obowiązki unijne, w tym przejrzystość z art. 50 |
| 11 sierpnia 2026 | Wchodzi część merytoryczna polskiej ustawy o systemach AI | Krajowe ramy nadzoru |
| 28 października 2026 | KRiBSI zyskuje uprawnienia do kontroli, postępowań i kar; przewodniczący powołany w październiku, komisja operacyjna w listopadzie | Firmy działające w Polsce |
| 2 grudnia 2026 | Maszynowe oznaczanie treści generowanych dla systemów sprzed 2 sierpnia 2026 | Chatboty i systemy generatywne wdrożone wcześniej |
Ekspozycja na karę: naruszenia inne niż praktyki zakazane mieszczą się w progu do 15 mln euro albo 3 procent światowego rocznego obrotu, w zależności od tego, co wyższe. Praktyki zakazane to osobna półka: 35 mln euro albo 7 procent.
Uczciwie: górny próg to sufit, a nie prognoza. Art. 4 zadziała jako element większej sprawy - przy skardze na bota, przy zgłoszeniu wycieku do UODO, przy ankiecie bezpieczeństwa od klienta korporacyjnego. Pierwsze pytanie brzmi "kto u was tego używa i skąd wiecie, że umie", a brak odpowiedzi zamienia drobiazg w zaniedbanie organizacyjne.
Dlaczego jednorazowy webinar to za mało
Rynek szkoleniowy odpowiedział na art. 4 tak, jak umiał: webinar na jedno popołudnie, PDF z zasadami, lista obecności, certyfikat. Formalnie coś to zamyka. Problem w tym, że przepis mówi o kompetencjach adekwatnych do kontekstu, a kontekst zmienia się szybciej niż raz na rok.
- Rotacja. Osoba przeszkolona w marcu odchodzi w czerwcu, a jej następca nigdy nie widział Waszych zasad. Bez kroku w onboardingu rejestr robi się fikcją w kwartał.
- Zmiana narzędzia. Przeszliście z GPT na Claude, doszedł asystent w CRM, ktoś podpiął Gemini w Google Workspace. Szkolenie dotyczyło innego świata.
- Ogólność. Sesja o etyce AI i halucynacjach nie pomaga handlowcowi, który dostał asystenta do ofert i musi wiedzieć, których cen bot nie ma prawa podać sam.
Poprawny kształt jest nudny: krótkie szkolenie wejściowe przy zatrudnieniu, krótka aktualizacja przy zmianie narzędzia, jedna sesja odświeżająca w roku i rejestr, w którym to widać. W sumie mniej godzin niż jeden duży warsztat, tylko rozłożonych sensownie.
Czego uczyć, gdy Waszym AI jest chatbot i workflow w n8n
Tej części nie ma w materiałach kancelarii, bo wymaga zajrzenia do systemu. Dobre szkolenie mówi o Waszym bocie: co umie, gdzie kłamie, kiedy trzeba go poprawić. Kiedy oddaję klientowi agenta AI, część szkoleniowa mieści się w dwóch godzinach i ma pięć punktów:
- Co ten system robi. Jakie ma źródła wiedzy, do jakiej daty, czego nie widzi. Bot nie zna stanu magazynu, jeśli nie jest podpięty do magazynu.
- Gdzie są granice. Które tematy ma przekazywać człowiekowi: reklamacje, zwroty, ceny nietypowe, wszystko, co może skończyć się u prawnika. I jak wygląda przekazanie.
- Jak rozpoznać halucynację. Pokazuję trzy przykłady z logów: pewnie brzmiąca zmyślona procedura, wymyślony numer artykułu, wymyślony termin. Ludzie zapamiętują wzorzec, nie definicję.
- Co wolno wkleić. Konkretna lista: PESEL nie, skan dowodu nie, cała baza klientów nie, treść cudzej umowy nie. Jedyny punkt, który powtarzam każdej roli.
- Jak zgłosić błąd. Jeden kanał, jeden szablon: co zapytałem, co odpowiedział, dlaczego to źle.
Ostatni punkt ma efekt uboczny, dla którego warto to robić nawet bez AI Act: dostajesz strumień realnych błędów z produkcji i system faktycznie się poprawia.
Program dla trzech ról
Art. 4 mówi wprost o dopasowaniu do roli i kontekstu. W małej firmie rozkłada się to tak.
| Rola | Czego uczyć | Ile czasu | Najczęstszy błąd w praktyce |
|---|---|---|---|
| Obsługa klienta | Granice bota, eskalacja do człowieka, rozpoznawanie halucynacji, obowiązek informowania, że to AI | 2 godziny wejściowo, 30 minut przy zmianie | Poprawianie bota po fakcie zamiast przejęcia rozmowy w trakcie |
| Sprzedaż | Co wolno generować, weryfikacja cen i warunków przed wysłaniem, dane klientów w promptach, ślad w CRM | 2 godziny wejściowo, 30 minut przy zmianie | Wysłanie oferty wygenerowanej przez model bez sprawdzenia liczb |
| Administracja i księgowość | Dokumenty i dane osobowe w narzędziach AI, gdzie leżą serwery, co trafia do dostawcy, retencja | 1,5 godziny wejściowo | Wrzucenie skanu umowy albo listy płac do publicznego czatu |
| Właściciel lub zarząd | Rejestr systemów AI, role dostawca i podmiot stosujący, kto decyduje o nowym narzędziu | 1 godzina | Brak wiedzy, ilu narzędzi AI zespół realnie używa |
Sprzedaż zwraca się najszybciej, bo jej błędy kosztują od razu. Co agent realnie przejmuje w sprzedaży, rozbierałem w uczciwych wyliczeniach o agencie zamiast handlowca. W marketingu granica przebiega przy oznaczaniu i weryfikacji faktów, o czym pisałem przy okazji AI do opisów produktów.
Rejestr kompetencji AI: tabela do skopiowania
To jest artefakt, o który chodzi. Nie certyfikat, nie prezentacja, tylko jedna tabela, którą pokazujesz, gdy ktoś pyta. Pięć kolumn wystarczy.
| Rola i osoba | Zakres szkolenia | Data | Dowód | Kto prowadził |
|---|---|---|---|---|
| Obsługa klienta, 3 osoby | Chatbot na stronie: granice, eskalacja, informowanie o AI, zakaz wklejania danych osobowych | 2026-09-14 | Lista obecności, test 10 pytań z wynikami, nagranie sesji | Wykonawca systemu |
| Sprzedaż, 2 osoby | Asystent ofertowy w CRM: weryfikacja cen, dane klienta w promptach | 2026-09-14 | Lista obecności, podpisane oświadczenie o zapoznaniu z polityką | Wykonawca systemu |
| Księgowość, 1 osoba | Narzędzia AI a dokumenty: co wolno przetwarzać, gdzie są serwery | 2026-09-21 | Lista obecności, test | Właściciel |
| Nowy pracownik obsługi | Onboarding AI: polityka plus 20 minut na żywo z botem | Data zatrudnienia | Podpisana polityka w aktach | Kierownik zespołu |
| Cały zespół | Aktualizacja po zmianie modelu na nowszy | 2027-02-10 | Notatka ze spotkania, lista uczestników | Wykonawca systemu |
Kolumna "dowód" jest ważniejsza od kolumny "zakres": opis szkolenia można napisać zawsze, listy obecności z datą już nie. Obok trzymaj drugi arkusz z rejestrem samych systemów AI: nazwa, dostawca, model, zastosowanie, osoba odpowiedzialna, przetwarzane dane.
Kto odpowiada, gdy pracownik wklei dane klienta do publicznego modelu
Odpowiada firma. Pracownik działał w ramach obowiązków, narzędzie było dostępne, zasad nikt nie pokazał. To przetwarzanie danych, a administratorem jest firma, nie osoba, która nacisnęła Ctrl+V.
UODO wypowiada się jednoznacznie: każda interakcja z chatbotem, w której wymieniane są dane osobowe, to przetwarzanie. Podmiot stosujący musi mieć podstawę prawną, spełnić obowiązek informacyjny, przeanalizować przypadek użycia jeszcze przed zakupem narzędzia, wiedzieć, czy dane trenują model dostawcy, jak długo są przechowywane i gdzie stoją serwery, a często podpisać umowę powierzenia.
Czyli szkolenie z art. 4 i higiena danych to w praktyce jeden temat. Firmowe konto zamiast prywatnego, wyłączone uczenie na danych, jasna lista tego, co nigdy nie wychodzi na zewnątrz.
Polityka korzystania z AI na jedną stronę
Nie potrzebujesz dwudziestu stron. Potrzebujesz jednej, którą ludzie przeczytają. Szkielet, który daję klientom:
- Do czego wolno używać AI. Szkice odpowiedzi, tłumaczenia, podsumowania spotkań, wstępne opisy produktów.
- Do czego nie wolno. Decyzje o zatrudnieniu, scoring i decyzje kredytowe, ocena pracowników, cokolwiek wysyłane klientowi bez sprawdzenia przez człowieka.
- Jakich narzędzi używamy. Zamknięta lista z kontami firmowymi. Nowe narzędzie wchodzi za zgodą wskazanej osoby.
- Czego nigdy nie wklejamy. Dane osobowe klientów, dokumenty tożsamości, dane kadrowe i płacowe, umowy objęte poufnością, dane logowania.
- Kto sprawdza wynik. Pod tym, co wychodzi na zewnątrz, podpisuje się człowiek.
- Oznaczanie. Gdzie informujemy klienta, że rozmawia z AI, i jak oznaczamy treści generowane.
- Zgłaszanie problemów. Jeden adres, jeden szablon, zgłoszenie tego samego dnia.
- Kto za to odpowiada. Imię i nazwisko, nie "dział".
Ta strona plus oba rejestry to komplet, który przy kontroli albo ankiecie bezpieczeństwa załatwia sprawę. Pół dnia pracy, jeśli ktoś zna Wasze systemy.
Ile to kosztuje
Polscy dostawcy publikują widełki: typowy warsztat AI dla firmy to 3 000-8 000 zł netto (mniej więcej 700-1 900 euro), pakiet warsztatowy z podstawami promptowania i ćwiczeniami 5 000-12 000 zł netto, dostęp do kursu online 500-2 000 zł. Standardowe formaty to dwa dni stacjonarnie albo cztery sesje po cztery godziny zdalnie.
Ja szkoleń jako produktu nie sprzedaję. Szkolenie jest częścią wdrożenia i dotyczy systemu, który sam zbudowałem: dwie godziny z zespołem, materiał na jedną stronę, rejestr uzupełniony na miejscu. Dla firm z botem postawionym przez kogoś innego robię retrofit pod AI Act od 3 500 zł: przegląd systemów, oznaczenia, polityka, rejestry i szkolenie zespołu w jednym pakiecie.
Czego nie obiecuję: że papier ochroni Cię przed każdą konsekwencją. Rejestr nie naprawi bota, który wprowadza klientów w błąd, a polityka nie zastąpi podstawy prawnej przetwarzania. Jeśli chcesz sprawdzić, jak to wygląda u Ciebie, napisz - przejdę przez Wasze narzędzia i powiem, co przeszkolić i udokumentować przed 28 października.
FAQ
Od kiedy obowiązuje artykuł 4 AI Act? Od 2 lutego 2025 roku. Przepis dotyczy każdego dostawcy i każdego podmiotu stosującego systemy AI, niezależnie od wielkości firmy i klasy ryzyka systemu, i jest opisywany jako najszerzej zakrojony w całym rozporządzeniu. Realne egzekwowanie i nadzór rynku ruszają od sierpnia 2026, a w Polsce KRiBSI zyskuje uprawnienia kontrolne i karne od 28 października 2026.
Czy artykuł 4 dotyczy firmy, która tylko używa ChatGPT do obsługi klienta? Tak. Jeśli używasz systemu AI we własnym imieniu, jesteś podmiotem stosującym i obowiązek zapewnienia kompetencji leży po Twojej stronie, nawet jeśli narzędzie jest gotowe i kupione z półki. Polskie źródła podkreślają, że jednorazowe szkolenie albo ogólna ulotka nie wystarczą: wymagany jest udokumentowany program dopasowany do roli. Ekspozycja mieści się w progu do 15 mln euro albo 3 procent światowego rocznego obrotu.
Jaka jest kara za brak szkolenia z AI? Naruszenia inne niż praktyki zakazane mieszczą się w progu do 15 mln euro albo 3 procent światowego rocznego obrotu, w zależności od tego, co jest wyższe. Praktyki zakazane to wyższa półka: 35 mln euro albo 7 procent. Dla małej firmy górny próg jest sufitem, a nie prognozą: brak szkolenia najczęściej wypłynie jako element większej sprawy, przy skardze na bota, zgłoszeniu do UODO albo ankiecie bezpieczeństwa od klienta korporacyjnego.
Jak udokumentować szkolenie z AI Act? Wystarczy jedna tabela z pięcioma kolumnami: rola i osoba, zakres szkolenia, data, dowód, kto prowadził. Jako dowód działa lista obecności, wynik krótkiego testu, podpisane oświadczenie o zapoznaniu się z polityką korzystania z AI albo nagranie sesji. Obok warto trzymać drugi rejestr, tym razem systemów AI: nazwa, dostawca, model, zastosowanie, przetwarzane dane i osoba odpowiedzialna. Oba aktualizuje się przy każdym nowym pracowniku i każdej zmianie narzędzia.
Ile kosztuje szkolenie AI dla pracowników w Polsce? Polscy dostawcy publikują widełki 3 000-8 000 zł netto za typowy warsztat, 5 000-12 000 zł netto za pakiet warsztatowy z ćwiczeniami i podstawami promptowania oraz 500-2 000 zł za dostęp do kursu online. Popularne formaty to dwa dni stacjonarnie albo cztery sesje po cztery godziny zdalnie. Uporządkowanie zgodności razem ze szkoleniem zespołu dla firmy z działającym już botem zaczyna się u mnie od 3 500 zł.
Kto odpowiada, jeśli pracownik wklei dane klienta do publicznego modelu? Odpowiada firma jako administrator danych, a nie pojedynczy pracownik. UODO wskazuje, że każda interakcja z chatbotem obejmująca dane osobowe to przetwarzanie: potrzebna jest podstawa prawna, spełniony obowiązek informacyjny, analiza przypadku użycia przed zakupem narzędzia oraz wiedza o tym, czy dane trenują model dostawcy, jak długo są przechowywane i gdzie stoją serwery. W wielu sytuacjach konieczna jest też umowa powierzenia z dostawcą.
Czy szkolenie musi prowadzić zewnętrzna firma szkoleniowa? Nie. Rozporządzenie nie wskazuje ani formy, ani prowadzącego, ani wymaganej liczby godzin, ani certyfikatu z urzędu. Liczy się to, czy kompetencje są adekwatne do roli, narzędzia i kontekstu, oraz czy potrafisz to wykazać. Szkolenie wewnętrzne prowadzone przez osobę znającą Wasze systemy bywa skuteczniejsze niż ogólny webinar o etyce AI, pod warunkiem że zostaje po nim ślad w rejestrze.
Co zrobić najpierw, jeśli w firmie nie ma nic? Zacznij od spisu: wypisz wszystkie narzędzia AI, których zespół realnie używa, łącznie z prywatnymi kontami w publicznych czatach. Potem napisz jednostronicową politykę korzystania z AI, przeprowadź dwugodzinne szkolenie dla ról, które te narzędzia dotykają, i zapisz to w rejestrze kompetencji. To zwykle od pół dnia do dnia pracy i zamyka podstawową ekspozycję z artykułu 4.
