05 · dla: Zarząd spółkiAI Act w zarządzie spółki
stan ustalony Obowiązki z AI Act obciążają spółkę, ale za to, że nikt ich w spółce nie sprawdził, członek zarządu odpowiada wobec niej sam, a ustawa krajowa dokłada odpowiedzialność za wykroczenie sięgającą osoby działającej w imieniu osoby prawnej.
Co cię dotyczy
- Zakazy z art. 5 wiążą spółkę bezpośrednio, także wtedy, gdy narzędzie kupiono od zewnętrznego dostawcy. Najbliżej typowej spółki leży zakaz wnioskowania o emocjach pracownika w miejscu pracy na podstawie danych biometrycznych, z wyjątkiem względów medycznych i bezpieczeństwa.Art. 5 ust. 1 lit. f rozporządzenia (UE) 2024/1689, stosowany od 2 lutego 2025 r.; dwa nowe zakazy (lit. ba i bb) od 2 grudnia 2026 r.
- Przejrzystość. Podmiot stosujący ujawnia treści obrazowe, dźwiękowe i wideo wygenerowane albo zmanipulowane narzędziem AI oraz teksty publikowane w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Poinformowanie o kontakcie z systemem i znakowanie treści syntetycznych obciąża dostawcę, co przenosi ciężar na treść umowy.Art. 50 ust. 1 i 2 (dostawca) oraz ust. 3 i 4 (podmiot stosujący) rozporządzenia (UE) 2024/1689, stosowane od 2 sierpnia 2026 r.; okres przejściowy do 2 grudnia 2026 r. obejmuje wyłącznie znakowanie z art. 50 ust. 2 i systemy wprowadzone do obrotu przed 2 sierpnia 2026 r.
- Rola dostawcy, w którą spółka wchodzi łatwiej, niż się zakłada: wystarczy zlecić zbudowanie narzędzia i oddać je do użytku pod własną nazwą, także wyłącznie na potrzeby wewnętrzne i nieodpłatnie.Definicja z art. 3 pkt 3 rozporządzenia (UE) 2024/1689; osobno art. 25 ust. 1 przy systemach wysokiego ryzyka (własna nazwa lub znak towarowy, istotna zmiana, zmiana przeznaczenia).
- Wymiar kar, który zarząd powinien znać, zanim podpisze pierwszą umowę: do 35 mln euro albo 7% światowego obrotu za naruszenie zakazów, do 15 mln albo 3% za obowiązki operatorów i art. 50, do 7,5 mln albo 1% za podanie nieprawidłowych informacji. Dla małych i średnich przedsiębiorstw stosuje się kwotę niższą z dwóch.Art. 99 ust. 3-6 rozporządzenia (UE) 2024/1689.
- Odpowiedzialność wobec spółki za zaniechanie nadzoru nad tym, czym spółka się posługuje, z ochroną dla decyzji podjętej lojalnie, w granicach uzasadnionego ryzyka gospodarczego i na podstawie zebranych informacji, analiz i opinii.Art. 209(1) § 1 oraz art. 293 § 1 i § 3 KSH dla spółki z o.o.; art. 377(1) § 1 oraz art. 483 § 1 i § 3 KSH dla spółki akcyjnej. Art. 293 § 2 i art. 483 § 2 KSH są uchylone.
Czego na siebie nie brać
- Obowiązki dostawcy z art. 16 rozporządzenia, dopóki spółka korzysta z cudzego narzędzia pod nazwą jego twórcy i zgodnie z jego przeznaczeniem.W takim układzie spółka pozostaje podmiotem stosującym. Ten wyjątek trzeba jednak czytać wąsko: asystent zamówiony u wykonawcy i uruchomiony na stronie spółki pod jej nazwą czyni ją dostawcą już na podstawie definicji z art. 3 pkt 3, niezależnie od tego, czy system jest wysokiego ryzyka. Art. 25 ust. 1 to osobna, dodatkowa ścieżka, zarezerwowana dla systemów wysokiego ryzyka.
- Obowiązki podmiotu stosującego system wysokiego ryzyka: nadzór człowieka, dane wejściowe, rejestry zdarzeń, informowanie pracowników.Reżim wysokiego ryzyka przesunięto nowelizacją: załącznik III do 2 grudnia 2027 r., załącznik I do 2 sierpnia 2028 r. Daty 2 sierpnia 2026 r. i 2 sierpnia 2027 r., które nadal krążą w starszych materiałach dla zarządów, są nieaktualne. Umowa zawierana dziś zwykle obejmie te daty, więc obowiązki trzeba w niej przewidzieć.
- Certyfikaty i egzaminy potwierdzające gwarantowany poziom wiedzy pracowników.Po nowelizacji obowiązującej od 27 lipca 2026 r. art. 4 mówi o środkach wspierających rozwój kompetencji, proporcjonalnych do kontekstu, bez gwarantowania poziomu. Art. 4 nie ma własnej stawki w katalogu z art. 99 ust. 4, co nie znaczy, że jest poza zakresem art. 99 ust. 1; przede wszystkim jednak brak takich środków działa dowodowo, przy ocenie staranności.
- Kara pieniężna z art. 99 nakładana wprost na prywatny majątek członka zarządu.Adresatem kary administracyjnej jest podmiot obowiązany do przestrzegania rozporządzenia (art. 104 ust. 1 ustawy krajowej), którym bywa też osoba fizyczna prowadząca działalność. Osobiste ryzyko członka zarządu biegnie dwiema innymi drogami: roszczeniem spółki z art. 293 § 1 KSH oraz odpowiedzialnością za wykroczenie z art. 112 i art. 113 ustawy krajowej, obejmującą działającego w imieniu osoby prawnej.
Co zarząd musi wiedzieć, zanim cokolwiek podpisze
Rozporządzenie nie nakłada obowiązków na członka zarządu. Nakłada je na spółkę, w roli dostawcy albo podmiotu stosującego. Ryzyko osobiste powstaje gdzie indziej: w relacji z własną spółką, gdy okaże się, że nikt nie sprawdził, czym spółka się posługuje.
Art. 209(1) § 1 KSH wymaga od członka zarządu dołożenia staranności wynikającej z zawodowego charakteru działalności oraz dochowania lojalności wobec spółki (dla spółki akcyjnej art. 377(1) § 1). Art. 293 § 3 KSH dodaje ochronę, która jest tu ważniejsza od samej reguły: członek zarządu nie narusza obowiązku dołożenia staranności, jeżeli działa w granicach uzasadnionego ryzyka gospodarczego, w tym na podstawie informacji, analiz i opinii, które powinny być w danych okolicznościach uwzględnione. Praktyczny wniosek jest prosty: protokół, z którego widać, na jakiej podstawie zapadła decyzja, jest tańszy niż spór o to, czy w ogóle zapadła.
Trzy sprawy, które dotyczą spółki już dziś
Pierwsza to zakazy z art. 5. Wiążą od lutego 2025 r., mają najwyższą stawkę kary i nie zależą od tego, czy narzędzie zbudowano samodzielnie, czy kupiono.
Druga to przejrzystość z art. 50, od 2 sierpnia 2026 r. Rozkłada się ona między dostawcę i podmiot stosujący, więc realnym narzędziem zarządu jest umowa: to w niej ustala się, kto zapewnia informację o kontakcie z systemem i kto znakuje treści.
Trzecia to rola dostawcy, w którą spółka wchodzi łatwiej, niż się zakłada. Nie trzeba niczego produkować: wystarczy zamówić narzędzie u wykonawcy i uruchomić je pod własną nazwą, choćby wyłącznie na potrzeby wewnętrzne. Definicja z art. 3 pkt 3 nie wymaga ani odpłatności, ani wysokiego ryzyka.
Jedna sytuacja od początku do końca
Dział marketingu zamawia u agencji asystenta odpowiadającego klientom na stronie spółki. Umowa jest na usługę wdrożenia, asystent działa pod nazwą spółki, na jej domenie.
Zarząd dowiaduje się o tym po fakcie i zadaje trzy pytania. Czy klient od pierwszej wiadomości wie, że pisze do programu. Kto odpowiada za treść odpowiedzi, jeżeli asystent poda błędną informację o warunkach umowy. Kim w tym układzie jest spółka.
Odpowiedź na trzecie pytanie jest tą, która zaskakuje: skoro spółka zleciła zbudowanie systemu i oddała go do użytku pod własną nazwą, mieści się w definicji dostawcy. Konsekwencje zależą od klasyfikacji ryzyka, ale sam fakt zmienia układ obowiązków i powinien być rozstrzygnięty przed uruchomieniem, a nie po pierwszej reklamacji.
Drugie pytanie ma odpowiedź płynącą z zagranicznej sprawy opisanej w rejestrze: trybunał odrzucił obronę przedsiębiorstwa, że chatbot odpowiada sam za siebie, i przyjął, że odpowiada ono za wszystkie informacje na swojej stronie.
Najczęstsza wpadka
Uznanie, że skoro spółka niczego nie produkuje, to jest wyłącznie podmiotem stosującym, i zamknięcie tematu. Druga: przyjęcie, że przesunięcie reżimu wysokiego ryzyka na 2027 i 2028 r. zwalnia z myślenia o nim przy umowach zawieranych dziś. Trzecia: brak śladu w protokole, przez co przy sporze nie da się wykazać, że decyzja opierała się na jakiejkolwiek podstawie.
Co się zmieni w 2027 i 2028 r.
2 grudnia 2027 r. wchodzi reżim dla systemów z załącznika III, a w spółce dotyczy to najczęściej kadr (rekrutacja, ocena pracowników) oraz, w części branż, dostępu do usług. Dochodzą wtedy obowiązki z art. 26, w tym nadzór człowieka i przechowywanie rejestrów zdarzeń, oraz obowiązek uprzedniego poinformowania pracowników i ich przedstawicieli (art. 26 ust. 7).
2 sierpnia 2028 r. wchodzi reżim dla systemów z załącznika I, czyli AI w produktach objętych unijnym prawodawstwem harmonizacyjnym; dla spółek produkcyjnych to termin ważniejszy od poprzedniego.
Wcześniej, 28 października 2026 r., zaczynają obowiązywać przepisy o kontroli, postępowaniu i karach z ustawy krajowej. Od tego momentu istnieje organ, który może wejść do spółki, a art. 112 i 113 tej ustawy przewidują odpowiedzialność za wykroczenie sięgającą osoby działającej w imieniu osoby prawnej.
- Zbierz listę narzędzi AI faktycznie używanych w spółce: kto zamówił, na jakiej umowie, w którym dziale, czy dotyka klientów lub pracowników. Termin: raport na najbliższe posiedzenie zarządu. (osoba wskazana uchwałą zarządu, zwykle odpowiadająca za informatykę lub operacje)
- Sprawdź dwie rzeczy obowiązujące dziś: czy nic w spółce nie wnioskuje o emocjach pracowników z danych biometrycznych oraz czy materiały generowane maszynowo i kontakt klienta z systemem są ujawnione zgodnie z art. 50, wraz z ustaleniem, co w tej sprawie mówi umowa z dostawcą. (radca prawny obsługujący spółkę wspólnie z osobami odpowiedzialnymi za marketing i kadry)
- Zapisz w protokole posiedzenia ustalenia, decyzję o tym, co zostaje w użyciu, a co się wyłącza, oraz nazwisko osoby odpowiedzialnej za kolejny przegląd. Protokół z podstawą decyzji jest tym, na czym opiera się później art. 293 § 3 KSH. (zarząd)
Źródła: rozporządzenie (UE) 2024/1689 (AI Act), art. 3 pkt 3 i 4, art. 4, art. 5 ust. 1 lit. f, art. 16, art. 25, art. 26, art. 50 i art. 99; rozporządzenie (UE) 2026/1744 zmieniające AI Act, w mocy od 27 lipca 2026 r.; Kodeks spółek handlowych, art. 209(1) § 1, art. 293 § 1 i § 3, art. 377(1) § 1 oraz art. 483 § 1 i § 3; ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), art. 104 ust. 1, art. 112, art. 113 i art. 127. Sprawdzone 5.08.2026. Treść ma charakter ogólny i nie zastępuje oceny konkretnej sytuacji. Kryteria doboru i cykl przeglądu opisuje metodologia.