AI literacy w firmie – co musisz zrobić od lutego 2025?

Artykuł 4 unijnego rozporządzenia w sprawie sztucznej inteligencji (AI Act, Rozporządzenie (UE) 2024/1689), obowiązujący od 2 lutego 2025 roku i znowelizowany pakietem Digital Omnibus on AI z lipca 2026 roku, nakłada horyzontalny obowiązek zapewnienia kompetencji AI na niemal każdą organizację. Przepis ten nie ogranicza się do twórców zaawansowanych modeli wysokiego ryzyka, lecz dotyczy każdego podmiotu wdrażającego i wykorzystującego systemy oparte na algorytmach sztucznej inteligencji w środowisku pracy. Wraz z wejściem w życie polskiej ustawy o systemach sztucznej inteligencji oraz powołaniem Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), weryfikacja zgodności procesów szkoleniowych z art. 4 AI Act stała się kluczowym elementem audytu compliance w przedsiębiorstwach.

Co dokładnie mówi Art. 4 AI Act po nowelizacji?

Artykuł 4 określa podstawowy wymóg budowania tzw. alfabetyzacji cyfrowej w dziedzinie sztucznej inteligencji. W brzmieniu uwzględniającym ramy unijne stanowi on, że:

„Dostawcy i podmioty stosujące systemy AI podejmują działania mające na celu wspieranie rozwoju i zapewnienie kompetencji w zakresie AI wśród swojego personelu i innych osób zajmujących się działaniem i wykorzystaniem systemów AI w ich imieniu, biorąc pod uwagę wiedzę techniczną, doświadczenie, wykształcenie i szkolenia tych osób, kontekst, w którym systemy AI mają być stosowane, oraz osoby lub grupy osób, wobec których systemy te będą używane.”

Pojęcie „kompetencji w zakresie AI” (AI literacy) zdefiniowano w art. 3 ust. 56 rozporządzenia jako zestaw umiejętności, wiedzy i zrozumienia, które umożliwiają podmiotom wdrażającym, dostawcom oraz osobom fizycznym świadome wdrażanie systemów sztucznej inteligencji, a także krytyczne rozpoznawanie związanych z nimi szans, ryzyk i potencjalnych szkód. Przepis nie obliguje pracowników do nauki programowania sieci neuronowych czy architektury modeli transformatorowych; celem jest operacyjne, bezpieczne i świadome korzystanie z systemów AI w realiach zawodowych.

Główne filary techniczno-organizacyjne wynikające z art. 4:

• Szeroki status adresatów (Providers i Deployers): Obowiązek spoczywa zarówno na podmiotach projektujących własne oprogramowanie AI, jak i na firmach wdrażających rozwiązania zewnętrzne (np. Microsoft Copilot, GitHub Copilot, systemy OCR wspierane modelami wizyjnymi, chatboty do obsługi klienta czy systemy scoringowe w dziale HR).
• Rozszerzony zasięg podmiotowy: Poza personelem zatrudnionym na umowę o pracę, wymóg obejmuje podwykonawców (B2B), konsultantów, agencje zewnętrzne i freelancerów, jeżeli działają oni w imieniu organizacji przy użyciu powierzonych narzędzi AI.
• Zasada proporcjonalności i kontekstowości: Zakres kształcenia musi być zróżnicowany. Użytkownik generatywnego asystenta tekstu wymaga podstawowej wiedzy o prompt engineeringu, wyciekach danych i halucynacjach, podczas gdy operator algorytmu klasyfikowanego jako system wysokiego ryzyka (np. ocena kandydatów do pracy) musi przejść szczegółowe szkolenie z nadzoru ludzkiego (human-in-the-loop) i zapobiegania stronniczości (bias mitigation).
• Ciągły proces doskonalenia: AI literacy nie jest jednorazowym szkoleniem wprowadzającym, lecz procesem podlegającym rewizji przy każdej aktualizacji modeli, zmianie promptów bazowych czy wdrożeniu nowego oprogramowania.
• Wsparcie instytucjonalne (Digital Omnibus): Zgodnie ze znowelizowanym art. 4 ust. 2 i 3, Komisja Europejska oraz państwa członkowskie mają obowiązek wspierać przedsiębiorców poprzez publikację wytycznych i repozytoriów praktyk, a Europejska Rada ds. Sztucznej Inteligencji (AI Board) wydaje rekomendacje w zakresie standardów edukacyjnych.

Czterostopniowy model oceny i podział ról w organizacji

Zgodnie z wytycznymi i zestawem pytań oraz odpowiedzi (Q&A) opublikowanymi przez Europejskie Biuro ds. Sztucznej Inteligencji (AI Office), wdrożenie art. 4 powinno opierać się na czterostopniowej procedurze analitycznej:

• Krok 1 – Ocena świadomości ogólnej: Sprawdzenie, czy personel ma świadomość ograniczeń AI (zjawisko halucynowania, nieprzewidywalność modeli stochastycznych, problem praw autorskich do danych wejściowych).
• Krok 2 – Identyfikacja roli prawnej: Zdefiniowanie, czy w odniesieniu do danego procesu firma jest wyłącznie podmiotem stosującym (deployer), czy również dostawcą (provider) lub integratorem wprowadzającym istotne modyfikacje w architekturze systemu.
• Krok 3 – Mapowanie wektorów ryzyka: Weryfikacja, czy dane narzędzia wchodzą w zakres Załącznika III AI Act (systemy wysokiego ryzyka: HR, infrastruktura krytyczna, scoring kredytowy, biometria). Im wyższe ryzyko naruszenia praw podstawowych, tym wyższy poziom rygoryzmu szkoleniowego.
• Krok 4 – Personalizacja ścieżek edukacyjnych: Utworzenie matrycy szkoleniowej z uwzględnieniem podziału na konkretne grupy docelowe.

Dokumentowanie zgodności na potrzeby kontroli KRiBSI

Chociaż AI Act nie narzuca sztywnego wzoru certyfikatu zgodności dla art. 4, to zgodnie z polską ustawą o systemach sztucznej inteligencji, krajowy organ nadzorczy – Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – ma prawo żądać od podmiotów kontrolowanych wykazania należytej staranności w procesie edukacji kadry. Brak odpowiedniej dokumentacji w razie wystąpienia incydentu (np. wycieku danych produkcyjnych lub podjęcia dyskryminującej decyzji przez algorytm) stanowi bezpośrednie naruszenie obowiązków organizacyjnych.

W ramach firmowego systemu zarządzania AI (AI Management System) zaleca się gromadzenie następujących artefaktów dowodowych:

• Rejestr szkoleń i logi LMS: Szczegółowe metryki ukończenia modułów e-learningowych przez personel (identyfikator pracownika, rola, data ukończenia, wersja modułu szkoleniowego).
• Materiały źródłowe i programy kursów: Skrypty, prezentacje i nagrania warsztatów, odzwierciedlające specyfikę narzędzi wdrożonych w organizacji.
• Wyniki testów walidacyjnych: Zanonimizowane statystyki potwierdzające weryfikację wiedzy (np. testy rozpoznawania halucynacji lub podatności prompt injection).
• Polityka Korzystania ze Sztucznej Inteligencji (AI Acceptable Use Policy): Formalny regulamin zakładowy określający dopuszczone narzędzia (tzw. whitelisting systemów AI) oraz kategoryczny zakaz stosowania praktyk zakazanych z art. 5 AI Act.
• Klauzule umowne z kontraktorami: Aneksy do umów B2B i kontraktów z dostawcami oprogramowania, potwierdzające przeszkolenie personelu zewnętrznego pracującego na zasobach spółki.

Ramy prawne, sankcje i harmonogram wdrożenia w Polsce

Kary za naruszenie obowiązków wynikających z AI Act dzielą się na kategorie w zależności od wagi przewinienia. Maksymalne sankcje przewidziane w rozporządzeniu sięgają 35 milionów euro lub do 7% całkowitego rocznego obrotu światowego za stosowanie praktyk zakazanych (art. 5) oraz do 15 milionów euro lub 3% obrotu za uchybienia w zakresie wymogów technicznych i organizacyjnych (art. 99 AI Act). W przypadku małych i średnich przedsiębiorstw oraz startupów stosuje się łagodniejszy pułap kar (kwota niższa z dwóch wartości).

Harmonogram wejścia w życie przepisów kształtuje się następująco:

• 2 lutego 2025 r. – Wejście w życie zakazanych praktyk (art. 5) oraz horyzontalnego obowiązku AI literacy (art. 4).
• 2 sierpnia 2025 r. – Wejście w życie reguł dotyczących modeli AI ogólnego przeznaczenia (GPAI) oraz struktur zarządzania.
• Lipiec 2026 r. – Wejście w życie pakietu Digital Omnibus on AI, modyfikującego i precyzującego mechanizmy art. 4 oraz ramy wsparcia innowacji.
• 11 sierpnia 2026 r. – Wejście w życie polskiej Ustawy o systemach sztucznej inteligencji i utworzenie KRiBSI jako centralnego organu nadzoru rynku.
• 28 października 2026 r. – Pełne wejście w życie przepisów proceduralnych w Polsce, w tym mechanizmów kontroli przedsiębiorstw, postępowań wyjaśniających oraz nakładania administracyjnych kar pieniężnych przez KRiBSI.

Praktyczna checklista techniczna: Wdrożenie AI Literacy

Poniższa lista kontrolna pozwala działom Compliance, Security i HR na przeprowadzenie audytu gotowości organizacji na wymogi art. 4 AI Act.

• Inwentaryzacja narzędzi AI (Shadow AI & Enterprise AI): Sporządzenie rejestru wszystkich wykorzystywanych systemów – od zatwierdzonych środowisk chmurowych po nieformalne narzędzia webowe używane przez pracowników.
• Klasyfikacja poziomu ryzyka procesów: Identyfikacja punktów styku modeli AI z procesami decyzyjnymi wpływającymi na prawa pracowników, klientów czy stabilność operacyjną.
• Segmentacja ról i profili uprawnień: Podział kadry na grupy użytkowników ogólnych, kadrę zarządczą, inżynierów technicznych i operatorów systemów krytycznych.
• Analiza luk kompetencyjnych (Gap Analysis): Realizacja badania bazowego weryfikującego wiedzę pracowników na temat bezpieczeństwa danych i specyfiki działania algorytmów.
• Wdrożenie modułów szkoleniowych: Uruchomienie ścieżek kursowych w wewnętrznym systemie LMS z uwzględnieniem specyfiki używanych aplikacji (np. MS Copilot, narzędzia programistyczne AI).
• Aktualizacja polityk bezpieczeństwa informacji: Wprowadzenie formalnej polityki AI Acceptable Use Policy regulującej obieg danych wrażliwych i tajemnic przedsiębiorstwa.
• Powołanie Ambasadorów AI (AI Champions): Wyznaczenie liderów technologicznych w departamentach biznesowych odpowiedzialnych za bieżące wsparcie i zgłaszanie anomalii.
• Procedura Human Oversight: Zdefiniowanie i wdrożenie instrukcji postępowania dla operatorów w sytuacjach błędnego lub stronniczego działania algorytmu.
• Klauzule kontraktowe w łańcuchu dostaw: Uzupełnienie umów z podwykonawcami i dostawcami B2B o zapisy dotyczące wymogu przeszkolenia personelu z zakresu AI.
• Cykliczny przegląd programu: Ustanowienie kwartalnej lub półrocznej procedury aktualizacji materiałów w oparciu o nowe wersje modeli i wytyczne AI Office.

Zasoby referencyjne i źródła dobrych praktyk

Budując strategię kompetencyjną, organizacje mogą czerpać z gotowych wzorców wypracowanych w ramach unijnego paktu na rzecz AI (AI Pact). Oficjalne repozytorium dobrych praktyk Komisji Europejskiej – Living Repository of AI Literacy Practices – gromadzi obecnie ponad 40 zweryfikowanych inicjatyw z sektora publicznego i prywatnego (w tym studia przypadków wdrożeń e-learningowych, warsztatów technicznych oraz programów mentorsko-bootcampowych). Dla sektora MŚP wsparcie merytoryczne i bezpłatne ścieżki szkoleniowe oferują regionalne Europejskie Huby Innowacji Cyfrowych (EDIH).

Z punktu widzenia zgodności kluczowe jest zachowanie zasady rozliczalności: systematyczność, dopasowanie programu do faktycznych ryzyk operacyjnych oraz rzetelne prowadzenie ewidencji szkoleń pozwalają w pełni zabezpieczyć organizację przed ryzykiem zakwestionowania jej procedur przez organ nadzorczy.

Źródła

• Komisja Europejska – AI Literacy Questions & Answers (AI Office)
• Komisja Europejska – AI talent, skills and literacy & Digital Omnibus on AI
• Komisja Europejska – Repository of AI Literacy Practices (Living Repository)
• Ministerstwo Cyfryzacji / gov.pl – Ustawa o systemach sztucznej inteligencji i utworzenie KRiBSI
• Dziennik Urzędowy Unii Europejskiej – Rozporządzenie (UE) 2024/1689 (AI Act)
• Andersen – Budowanie kompetencji w zakresie AI – nowy obowiązek pracodawcy
• JDP Law – Jak przygotować organizację na spełnienie obowiązku AI Literacy?
• EY Polska – AI nowe obowiązki dla firm