Artykuł 4 AI Act: obowiązek zapewnienia kompetencji w zakresie AI (AI literacy) prosto wyjaśniony

Artykuł 4 unijnego AI Act (kompetencje w zakresie AI) zobowiązuje dostawców i podmioty stosujące systemy AI do podejmowania działań, które wspierają kompetencje w zakresie AI ich personelu. Obowiązek ma zastosowanie od 2 lutego 2025, obejmuje wszystkie poziomy ryzyka i spełnia się go poprzez udokumentowane szkolenia dopasowane do ról. AI Act nie przewiduje dla art. 4 odrębnych kar pieniężnych, sankcje ustalają państwa członkowskie.

Obowiązek zapewnienia kompetencji w zakresie AI to najczęściej niedoceniany przepis całego AI Act. Nie jest szczególną normą dla systemów wysokiego ryzyka, lecz podstawowym obowiązkiem każdej firmy, która wykorzystuje AI w swojej działalności, od copilota marketingowego po agentowe narzędzie do researchu.

• Kto? Zarówno dostawcy (providers), jak i podmioty stosujące (deployers). W przypadku niemal każdej firmy w Niemczech i Austrii zastosowanie ma rola podmiotu stosującego. Szwajcarskie firmy podlegają AI Act tylko na warunkach określonych w art. 2 ust. 1, np. gdy wprowadzają systemy AI do obrotu w UE lub gdy wyniki działania ich systemów AI są wykorzystywane w UE.
• Od kiedy? Od 2 lutego 2025, z pełnym zastosowaniem. Digital Omnibus nie odroczył art. 4, ale w lipcu 2026 nadał mu nowe brzmienie.
• Jak go spełnić? Udokumentowany program szkoleń oparty na rolach. Certyfikat nie jest potrzebny, ale oczekuje się dowodów.

Czego konkretnie wymaga art. 4

Od zmiany wprowadzonej przez Digital Omnibus dostawcy i podmioty stosujące muszą podejmować działania wspierające rozwój kompetencji w zakresie AI swojego personelu oraz innych osób, które w ich imieniu zajmują się działaniem i wykorzystywaniem systemów AI. Do lipca 2026 art. 4 wymagał zapewnienia, w możliwie największym stopniu, „odpowiedniego poziomu” kompetencji w zakresie AI. Ten cel zniknął, a nowe brzmienie nie wymaga określonego poziomu kompetencji poszczególnych osób (Q&A Komisji Europejskiej).

Należy przy tym uwzględnić wiedzę techniczną, doświadczenie, wykształcenie i przeszkolenie tych osób, a także kontekst, w którym systemy AI mają być wykorzystywane, oraz osoby lub grupy osób, wobec których mają być wykorzystywane (art. 4 ust. 1 w brzmieniu nadanym rozporządzeniem (UE) 2026/1744).

Ważne: przepis nie wymaga certyfikatu ani zewnętrznej certyfikacji. Oczekuje się jednak dokumentacji programu budowania kompetencji. Na tej dokumentacji organ zwykle się opiera, gdy sprawdza zgodność z przepisami. Kto nie jest w stanie przedstawić udokumentowanego działania, ma w razie kontroli problem, nawet jeśli personel faktycznie przeszedł szkolenia.

Od kiedy obowiązek ma zastosowanie i co zmienił Digital Omnibus

Art. 4 ma zastosowanie od 2 lutego 2025, razem z katalogiem zakazanych praktyk z art. 5. Tym samym kompetencje w zakresie AI należą do pierwszych obowiązków AI Act, które zaczęły być stosowane.

Digital Omnibus ukazał się w Dzienniku Urzędowym 24 lipca 2026 jako rozporządzenie (UE) 2026/1744 i obowiązuje od 27 lipca 2026. Przesuwa w czasie większość obowiązków dotyczących systemów wysokiego ryzyka: załącznik III ma teraz zastosowanie od 2 grudnia 2027, a załącznik I od 2 sierpnia 2028. Art. 4 nie został odroczony. W listopadzie 2025 Komisja zaproponowała przekształcenie tego obowiązku w samo zadanie wspierania, powierzone państwom członkowskim i Komisji (Q&A Komisji Europejskiej). Przyjęto jednak opisane wyżej nowe brzmienie: obowiązek nadal spoczywa na dostawcach i podmiotach stosujących.

Dla kompetencji w zakresie AI oznacza to jednoznacznie, że obowiązek już dziś działa w pełni. Nie ma już żadnego okresu przejściowego.

Kogo dotyczy obowiązek: dostawcy i podmioty stosujące

Inaczej niż większość obowiązków z AI Act, art. 4 nie rozróżnia poziomów ryzyka. Ma zastosowanie na wszystkich czterech poziomach ryzyka, także do zastosowań o minimalnym ryzyku, takich jak wewnętrzni agenci RAG działający na niewrażliwych dokumentach czy copiloty do generowania kodu na użytek wewnętrzny.

Kluczowa kwestia dla MŚP: niemal każda firma jest podmiotem stosującym, a nie dostawcą. Kto korzysta z Microsoft 365 Copilot, Google Gemini for Workspace, ChatGPT Enterprise, Anthropic Claude for Work lub wyspecjalizowanych narzędzi firm zewnętrznych, jest podmiotem stosującym i tym samym podlega obowiązkowi z art. 4. Powszechny błąd brzmi: „Korzystamy tylko z Microsoft 365 Copilot, więc przepisy nas nie dotyczą”. Nieprawda: firma z sektora MŚP jako podmiot stosujący jest odpowiedzialnym operatorem, a obowiązek zapewnienia kompetencji w zakresie AI dotyczy jej niezależnie od narzędzia.

Jak w praktyce spełnić obowiązek: program szkoleń

Q&A Komisji Europejskiej dotyczące kompetencji w zakresie AI (pierwsza wersja z maja 2025, aktualizacja z lipca 2026) wymienia jako minimum: ogólne zrozumienie AI w firmie, własną rolę jako dostawcy lub podmiotu stosującego, ryzyko związane z używanymi systemami oraz działania oparte na tej analizie i dopasowane do wcześniejszej wiedzy oraz kontekstu wykorzystania. Wynika z tego podejście oparte na rolach i proporcjonalne do ryzyka. Na tej podstawie rekomendujemy następujące treści:

• Świadomość tego, czym jest AI i czym różni się od konwencjonalnego oprogramowania (zgodnie z wytycznymi dotyczącymi definicji systemu AI z 6 lutego 2025).
• Cztery poziomy ryzyka i podstawowe obowiązki dotyczące konkretnych rozwiązań AI używanych w firmie.
• Jak rozpoznać zakazaną praktykę w rozumieniu art. 5.
• Rozpoznawanie sytuacji uruchamiających obowiązki przejrzystości z art. 50 (chatboty, treści syntetyczne, deepfake'i).
• Dla personelu z odpowiedzialnością operacyjną za systemy wysokiego ryzyka: oczekiwania dotyczące nadzoru ze strony człowieka (art. 14, art. 26 ust. 2), obowiązki zgłaszania incydentów (art. 26 ust. 5, art. 73) oraz obowiązek informacyjny z art. 26 ust. 7 wobec przedstawicieli pracowników i pracowników, których to dotyczy, przed wdrożeniem AI wysokiego ryzyka w miejscu pracy. Prawa współdecydowania rady zakładowej wynikają z krajowego prawa pracy: w Austrii np. w przypadku środków kontrolnych i systemów technicznych służących do kontroli pracowników, o ile dotykają one godności człowieka (§ 96 Abs. 1 Z 3 ArbVG), a w Niemczech w przypadku urządzeń technicznych przeznaczonych do monitorowania zachowania lub wydajności pracowników (§ 87 Abs. 1 Nr. 6 BetrVG).
• Dla programistów i działu zakupów: due diligence dostawców oraz pułapka istotnej zmiany (art. 25).
• Dla kadry kierowniczej: ryzyko kar (art. 99) i odpowiedzialność w obszarze governance.

Przypisanie ról do poziomów kompetencji

Praktyczne wdrożenie zaczyna się od macierzy ról. Zalecane jest przypisanie ich do poziomów: kadra zarządzająca, menedżerowie, personel operacyjny, personel techniczny i użytkownicy końcowi. Firmie z sektora MŚP zatrudniającej 200 osób zwykle wystarcza od 3 do 5 różnych modułów kompetencyjnych; koncern z indeksu DAX, ATX lub SMI z ponad 5000 pracowników potrzebuje raczej ponad 10 modułów.

Dokumentacja, lokalizacja i koordynacja

Aby rzetelnie spełnić obowiązek, warto trzymać się czterech praktycznych zasad:

• Dokumentowanie szkoleń: potwierdzenia udziału, wersjonowanie treści, okresowe odświeżanie wiedzy.
• Lokalizacja treści: niemiecki dla DE/AT, niemiecki/francuski/włoski dla CH, z uwzględnieniem obowiązujących w danym kraju przepisów antydyskryminacyjnych i przepisów o ochronie danych.
• Uzgodnienie z radą zakładową: jeśli wdrażasz AI w miejscu pracy, omów z nią wcześnie program szkoleń. Art. 4 tego nie wymaga, ale ułatwia to wdrożenie.
• Odwołanie do wiarygodnych źródeł: KI-Service Desk przy BNetzA (Bonn), KI-Servicestelle przy RTR (Wiedeń) oraz materiały Risk Monitor FINMA (dla pracowników sektora finansowego).

Ryzyko kar

Art. 4 nie ma w AI Act odrębnych kar pieniężnych: art. 99 nie wymienia go na żadnym ze swoich trzech poziomów kar. Sankcje za naruszenie art. 4 ustalają państwa członkowskie zgodnie z art. 99 ust. 1. Od 2 sierpnia 2026 za nadzór i egzekwowanie przepisów odpowiadają krajowe organy nadzoru rynku. Każda sankcja musi być proporcjonalna i uwzględniać okoliczności konkretnego przypadku (Q&A Komisji Europejskiej).

Podczas kontroli liczy się to, co możesz udokumentować. Art. 4 nie zawiera odrębnego obowiązku dokumentacyjnego, a Q&A wskazuje wewnętrzne rejestry szkoleń i innych działań jako możliwy dowód. Według Q&A sankcja jest bardziej prawdopodobna, jeśli incydent da się powiązać z niewystarczającym przeszkoleniem lub instruktażem personelu.

Brak kompetencji w zakresie AI staje się kosztowny, gdy prowadzi do naruszenia obowiązków zagrożonych karami pieniężnymi. Art. 99 przewiduje trzy poziomy, a decyduje każdorazowo wyższa kwota:

• Art. 99 ust. 3: zakazane praktyki z art. 5, do 35 mln euro lub 7% całkowitego rocznego światowego obrotu.
• Art. 99 ust. 4: wyczerpująco wymienione obowiązki dostawców, podmiotów stosujących i innych podmiotów, przede wszystkim z art. 16 i art. 26 dla systemów wysokiego ryzyka (np. nadzór ze strony człowieka z art. 26 ust. 2) oraz obowiązki w zakresie przejrzystości z art. 50, do 15 mln euro lub 3%.
• Art. 99 ust. 5: nieprawidłowe, niekompletne lub wprowadzające w błąd informacje przekazane organom lub jednostkom notyfikowanym, do 7,5 mln euro lub 1%.

W przypadku MŚP i start-upów zgodnie z art. 99 ust. 6 obowiązuje niższa z dwóch wartości (kwota bezwzględna lub procent), a nie wyższa. Digital Omnibus rozszerza tę ochronę nowym art. 99 ust. 6a na małe przedsiębiorstwa o średniej kapitalizacji (SMC), ale tylko w odniesieniu do kar z art. 99 ust. 4 i 5, a nie do zakazanych praktyk.

Przykład z wyliczeniem

Austriackie przedsiębiorstwo przemysłowe z sektora MŚP, zatrudniające 180 pracowników i osiągające 40 mln euro rocznego obrotu, korzysta z agentowego copilota do researchu i przygotowywania ofert (minimalne ryzyko). Zarząd uważa kompetencje w zakresie AI za „nieistotne, bo to nie jest system wysokiego ryzyka”.

Z prawnego punktu widzenia to błędny wniosek: art. 4 ma zastosowanie niezależnie od poziomu ryzyka. Kwoty kary za samo naruszenie art. 4 nie da się jednak wyliczyć na podstawie AI Act, bo sankcja zależy od prawa krajowego. Wyliczyć można natomiast naruszenie następcze. Załóżmy, że firma tworzy później własnego chatbota dla klientów. Ponieważ nikt w zespole projektowym nie zna obowiązku informacyjnego, klienci nie dowiadują się, że rozmawiają z AI. To narusza art. 50 ust. 1 i podlega art. 99 ust. 4: do 15 mln euro lub 3% całkowitego rocznego światowego obrotu. Ponieważ firma, zatrudniając mniej niż 250 osób i nie przekraczając progu obrotu, jest MŚP, zgodnie z art. 99 ust. 6 obowiązuje niższa wartość, w tym przypadku 3% z 40 mln euro = 1,2 mln euro. Ten górny limit dotyczy naruszenia następczego, nie jest to kara za naruszenie art. 4. Po drugiej stronie stoi zgodny z przepisami program szkoleń: 4 moduły dla około 180 osób, coroczne odświeżanie wiedzy, udokumentowany udział w systemie LMS. Koszt mieści się w dolnym przedziale kwot cztero- i pięciocyfrowych w euro. Stosunek nakładów na wdrożenie do ekspozycji na ryzyko jednoznacznie przesądza o priorytetach.

Dla agencji i decydentów B2B

Agencje marketingowe są objęte obowiązkiem podwójnie: jako podmioty stosujące własne narzędzia AI (agenci do copywritingu, generatory obrazów i wideo) oraz jako doradcy swoich klientów, którzy sami muszą wykazać kompetencje w zakresie AI. Kto wdroży udokumentowany program kompetencyjny oparty na rolach, spełnia własny obowiązek z art. 4 i jednocześnie tworzy moduł doradczy, który można sprzedawać, łącznie z powiązaniem z obowiązkami w zakresie przejrzystości (art. 50) i informowaniem przedstawicieli pracowników (art. 26 ust. 7). Dla decydentów B2B kompetencje w zakresie AI to pragmatyczny punkt wejścia do całej zgodności z AI Act: są obowiązkowe, wymagane od zaraz i można je rzetelnie zapewnić rozsądnym nakładem pracy.

Wspieramy firmy i agencje w całej Europie w tworzeniu programu kompetencji w zakresie AI, który przejdzie kontrolę: od macierzy ról przez zlokalizowane moduły po strukturę dokumentacji.

Uwaga: ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Aby uzyskać wiążącą ocenę Twojej konkretnej sytuacji, skonsultuj się z wykwalifikowanym prawnikiem.