Czy firma musi szkolić pracowników z AI?

Krótko: obowiązek jest od półtora roku, ale nie nazywa się szkoleniem

Art. 4 AI Act mówi o kompetencjach w zakresie AI i stosuje się od 2 lutego 2025 roku. Nie jest to przepis dla producentów oprogramowania. Adresatami są dostawcy i podmioty stosujące, a podmiotem stosującym jest każdy, kto wykorzystuje system AI, nad którym sprawuje kontrolę, poza użyciem czysto prywatnym.

Firma, w której handlowiec pisze oferty modelem językowym, a księgowa wrzuca do niego opis faktury, jest podmiotem stosującym. Nie musi nic zbudować ani kupić licencji korporacyjnej. Wystarczy, że narzędzie jest używane w pracy.

Od razu jedno zastrzeżenie, bo pytanie w tytule jest postawione ostrzej niż przepis. Art. 4 nie mówi o szkoleniach i nie narzuca żadnej formy: nakazuje podejmować środki wspierające rozwój kompetencji. Szkolenie jest jednym ze sposobów wywiązania się z tego obowiązku, najczęściej spotykanym, ale nie jedynym.

W rozmowach z klientami spotykam dwa nieporozumienia naraz. Pierwsze: że to obowiązek na przyszłość, bo AI Act „wchodzi w 2026 roku”. Drugie: że dotyczy firm technologicznych. Oba są nietrafione i oba wynikają z tego, że rozporządzenie wchodzi w życie etapami, a ten etap minął najwcześniej.

Co dokładnie zmienił Digital Omnibus

To ważne, bo większość omówień w sieci cytuje brzmienie sprzed nowelizacji. Rozporządzenie 2026/1744, opublikowane 24 lipca 2026 i obowiązujące od 27 lipca 2026, nadało art. 4 nową treść. Zmiana idzie w stronę złagodzenia.

Wersja pierwotna kazała podejmować środki w celu zapewnienia, „w możliwie największym stopniu”, odpowiedniego poziomu kompetencji. Wersja obowiązująca każe podejmować środki, „które wspierają rozwój” kompetencji, i dodaje zdanie rozstrzygające spór, który toczył się od roku:

Taki obowiązek nie oznacza, że dostawcy lub podmioty mają zapewniać osiągnięcie określonego poziomu kompetencji w zakresie AI przez poszczególne osoby.

Praktyczny skutek jest taki, że nikt nie będzie sprawdzał, czy Pani Krysia z księgowości zdała test. Sprawdzalne jest natomiast, czy firma cokolwiek zrobiła. Obowiązek starannego działania to nadal obowiązek, tylko mierzy się go po środkach, nie po wyniku.

Nowy art. 4 dostał też dwa ustępy, których w pierwotnej wersji nie było. Ust. 2 zobowiązuje Komisję i państwa członkowskie do wspierania firm, zwłaszcza małych i średnich, i zapowiada publikację praktycznych przykładów spełnienia obowiązku na jednolitej platformie informacyjnej. Ust. 3 zapowiada zalecenia Rady ds. AI z uwzględnieniem europejskich ram kompetencji. Dla firmy, która chce mieć punkt odniesienia zamiast własnej interpretacji, to zapowiedź materiału do wykorzystania.

Kto realnie odpowiada za brak kompetencji

Tu przechodzimy do części, którą pomija się najczęściej. Art. 4 nie ma własnego pułapu kary.

Katalog naruszeń zagrożonych administracyjną karą pieniężną do 15 mln euro albo 3% światowego rocznego obrotu jest w art. 99 ust. 4 i jest wyliczeniem konkretnych przepisów: obowiązki dostawców z art. 16, upoważnionych przedstawicieli z art. 22, importerów z art. 23, dystrybutorów z art. 24, podmiotów stosujących z art. 26, jednostek notyfikowanych oraz obowiązki przejrzystości z art. 50. Digital Omnibus dopisał do tej listy obowiązki współpracy w łańcuchu wartości z art. 25 ust. 2 i 4. Art. 4 w tym katalogu nie występuje ani przed nowelizacją, ani po niej. Warto przy tym pamiętać, że część wymienionych tam przepisów, w tym art. 25 i 26, zacznie się stosować dopiero w grudniu 2027 i w sierpniu 2028.

Jest przy tym wyjątek, który zmienia obraz dla części adresatów. Digital Omnibus dodał do rozporządzenia art. 75c, a jego ust. 4 stanowi, że administracyjnym karom pieniężnym z art. 99 ust. 4 podlega „naruszenie przepisu niniejszego rozporządzenia mającego zastosowanie, w tym przepisów niewymienionych w art. 99 ust. 4”. Dotyczy to jednak wyłącznie operatorów objętych wyłączną kompetencją Urzędu ds. AI, a ten sam Digital Omnibus przepisał art. 75 ust. 1 na nowo. W obecnym brzmieniu obejmuje on dwie grupy: systemy oparte na modelu ogólnego przeznaczenia, gdy model i system powstają u tego samego dostawcy albo u dostawców z tego samego przedsiębiorstwa (z czterema wyłączeniami, między innymi dla produktów z załącznika I i dla systemów wymiaru sprawiedliwości), oraz systemy będące bardzo dużą platformą internetową lub wyszukiwarką albo z nimi zintegrowane.

Rozstrzygające jest ostatnie zdanie tego przepisu: wyłączna kompetencja dotyczy dostawców tych systemów, a podmiotów stosujących tylko wtedy, gdy są one równocześnie dostawcami albo należą do tego samego przedsiębiorstwa co dostawca. Dla zwykłej firmy, która model kupuje, a nie buduje, ta droga nie ma więc zastosowania.

Nie znaczy to jednak, że wobec pozostałych przepis jest pusty. Ta sama nowelizacja przeredagowała art. 99 ust. 1 i to zdanie jest teraz mocniejsze niż wcześniej: państwa członkowskie ustanawiają przepisy o karach i innych środkach egzekwowania, które mogą obejmować administracyjne kary pieniężne, mające zastosowanie w przypadku wszelkich naruszeń rozporządzenia. Sankcja za art. 4 istnieje więc na poziomie krajowym, a nie unijnym, i tam trzeba jej szukać. W Polsce nadzór nad stosowaniem przepisów o AI przejmuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji; terminy i konstrukcję nadzoru opisuję w tekście o krajowej ustawie o systemach AI.

Jest jeszcze druga droga, na razie zamknięta. Art. 26 ust. 2 każe podmiotowi stosującemu system wysokiego ryzyka powierzyć nadzór ze strony człowieka osobom, które mają „niezbędne kompetencje, przeszkolenie i uprawnienia”, a art. 26 znajduje się w katalogu karnym z pełnym pułapem. Brak kompetencji przestanie wtedy być kwestią art. 4 i stanie się naruszeniem przepisu zagrożonego karą.

Słowo „przestanie” jest tu istotne. Art. 25 i 26 leżą w rozdziale III sekcja 3, a Digital Omnibus przesunął stosowanie sekcji 1⁠–⁠3 tego rozdziału na 2 grudnia 2027 dla systemów z załącznika III i na 2 sierpnia 2028 dla systemów wbudowanych w produkty objęte prawem produktowym. Na dziś ta droga jeszcze nie działa; pełny rozkład przesuniętych terminów opisuję w tekście o nowych terminach po Digital Omnibus.

Czym nie jest szkolenie z AI

Najczęstsza reakcja na ten obowiązek to jednorazowe spotkanie o tym, jak wpisywać polecenia. To nie odpowiada na żadne z pytań, które realnie tworzą ryzyko.

Pracownik, który nie wie, że treść zapytania wychodzi na cudzą infrastrukturę, wyśle tam korespondencję z klientem. Pracownik, który nie rozumie, dlaczego model bywa najbardziej przekonujący akurat wtedy, gdy zmyśla, przepisze wymyśloną podstawę prawną do pisma. Obsługa interfejsu nie ma z tym nic wspólnego.

Zakres, który uważam za minimum przy zwykłej firmie korzystającej z modeli językowych:

• skąd bierze się odpowiedź modelu i dlaczego pewność tonu nie oznacza poprawności,
• co wolno mu wysłać, a czego nie, z konkretnymi przykładami z tej firmy, nie ogólnymi,
• kiedy wynik wymaga sprawdzenia przez człowieka i po czym poznać, że wymaga,
• gdzie zgłosić, że narzędzie zrobiło coś nieoczekiwanego.

Ostatni punkt bywa lekceważony, a jest tym, który zamienia szkolenie w system. Bez ścieżki zgłoszeń firma dowiaduje się o błędach modelu od klienta.

Jak to udokumentować

Skoro obowiązek mierzy się środkami, dokumentacja jest jedynym dowodem, że środki były. Nie trzeba do tego systemu zarządzania szkoleniami.

W praktyce wystarczy komplet czterech rzeczy: krótka polityka korzystania z AI ze wskazaniem narzędzi dopuszczonych i zabronionych, lista osób objętych szkoleniem z datą, materiał, który dostali, oraz zapis, kiedy zaplanowano następne przejście. Do tego wpis narzędzia do rejestru czynności przetwarzania, jeśli przez model przechodzą dane osobowe — to już obowiązek z innego przepisu, opisany w tekście o RODO przy korzystaniu z modeli.

Firmy, które zaczynają od tej dokumentacji zamiast od szkolenia, zwykle odkrywają przy okazji coś ciekawszego: że nie wiedzą, z ilu narzędzi AI korzystają ich ludzie. To osobny problem, opisany w danych o korzystaniu z AI poza wiedzą pracodawcy, i lepiej rozwiązać go przed szkoleniem niż po.

Zastrzeżenie

To omówienie z perspektywy praktyki wdrożeniowej, nie porada prawna. Przytoczone brzmienia pochodzą z tekstów opublikowanych w Dzienniku Urzędowym Unii Europejskiej i są linkowane w źródłach. Ocena, czy konkretny system w konkretnej firmie jest systemem wysokiego ryzyka, oraz konstrukcja odpowiedzialności w umowach to praca dla prawnika.