Czego AI Act wymaga od firmy, która korzysta z LLM wewnętrznie?

Jako podmiot stosujący wprowadzacie środki wspierające rozwój kompetencji w zakresie AI wśród personelu, który pracuje z AI (art. 4, od 2 lutego 2025 r.). Od 2 sierpnia 2026 r. ujawniacie, że publikowane treści deepfake lub teksty generowane przez AI, które mają informować społeczeństwo o sprawach leżących w interesie publicznym, powstały z użyciem AI (art. 50). Jeśli używacie AI do celu wysokiego ryzyka z załącznika III, na przykład rekrutacji lub oceny zdolności kredytowej, od 2 grudnia 2027 r. dochodzą obowiązki z art. 26.

Kto ponosi obowiązki dotyczące modeli AI ogólnego przeznaczenia?

Dostawcy tych modeli. Ich obowiązki z rozdziału V obowiązują od 2 sierpnia 2025 r. Firma, która korzysta z GPT, Claude lub Gemini przez API, jest podmiotem stosującym system AI, którego używa.

Czy musimy rejestrować korzystanie z LLM?

Akt wymaga rejestrów zdarzeń przy zastosowaniach wysokiego ryzyka: zgodnie z art. 26 ust. 6 podmioty stosujące przechowują automatycznie generowane rejestry zdarzeń systemu AI wysokiego ryzyka, w zakresie, w jakim podlegają one ich kontroli, przez co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności o ochronie danych osobowych, nie stanowi inaczej. Niezależnie od tego zapis, z których modeli i dostawców korzysta każda aplikacja, jest punktem wyjścia do rejestru systemów AI w firmie. Taki zapis prowadzi bramka.

Korzystamy z API LLM wewnętrznie. Co zmieniło się w sierpniu 2026 r.?

Od 2 sierpnia 2026 r. obowiązują wymogi przejrzystości z art. 50. Obowiązek dotyczący kompetencji w zakresie AI obowiązuje od 2 lutego 2025 r., a obowiązki podmiotów stosujących przy zastosowaniach wysokiego ryzyka z załącznika III zaczną obowiązywać 2 grudnia 2027 r.

Czy Standard Compute przejmuje nasze obowiązki wynikające z AI Act?

Obowiązki spoczywają na Waszej firmie jako podmiocie stosującym. Standard Compute dostarcza dowody i reguły, na których opiera się ta praca: dziennik żądań z modelem, dostawcą i ograniczeniem regionalnym z 12 miesięcy, dziennik audytu administratora, listy dozwolonych modeli i dostawców oraz ograniczenie do Europy.

Czy dziennik żądań zapisuje nasze prompty?

Nie. Dzienniki żądań zawierają wyłącznie metadane (model, dostawca, tokeny, koszt i status), nigdy Waszych promptów ani odpowiedzi. Przetwarzamy prompty w pamięci operacyjnej, aby obsłużyć każde żądanie, i nigdy nie zapisujemy ich w pamięci trwałej ani w logach.

O co dział zakupów powinien zapytać dostawcę API LLM w kontekście AI Act i RODO?

Gdzie przetwarzane są prompty, czy treści są przechowywane lub używane do trenowania, kim są dalsze podmioty przetwarzające i jakie dowody otrzymujecie. Standard Compute odpowiada ograniczeniem do Europy, zerową retencją danych (ZDR), umową powierzenia przetwarzania danych (DPA) podpisywaną w panelu, publiczną listą dalszych podmiotów przetwarzających, o której zmianach powiadamiamy z 14-dniowym wyprzedzeniem, oraz dziennikiem żądań z 12 miesięcy.

Czy wywoływanie Claude, GPT lub Gemini przez API czyni nas dostawcą modelu?

Nie. Rozporządzenie nazywa firmę, która wykorzystuje system AI, nad którym sprawuje kontrolę, podmiotem stosującym. Dostawcą modelu jest firma, która go opracowuje i wprowadza do obrotu.

AI Act: jakie obowiązki mają firmy korzystające z LLM?

Ostatnia aktualizacja: 9 listopada 2026

Dla firmy, która korzysta z LLM przez API lub jako asystentów, akt w sprawie sztucznej inteligencji oznacza przede wszystkim obowiązki podmiotu stosującego: kompetencje w zakresie AI wśród personelu (art. 4, od 2 lutego 2025 r.), ujawnianie treści deepfake i tekstów generowanych przez AI w sprawach leżących w interesie publicznym (art. 50, od 2 sierpnia 2026 r.) oraz, tylko przy zastosowaniach wysokiego ryzyka z załącznika III, obowiązki z art. 26 od 2 grudnia 2027 r., w tym przechowywanie automatycznie generowanych rejestrów zdarzeń przez co najmniej sześć miesięcy.

Standard Compute dostarcza część praktyczną: model, dostawcę, który obsłużył żądanie, i obowiązujące ograniczenie regionalne dla każdego żądania, przechowywane przez 12 miesięcy i gotowe do eksportu, a także dziennik audytu administratora, listy dozwolonych modeli i dostawców oraz ograniczenie do Europy.

Ta strona streszcza teksty urzędowe z podaniem artykułu i daty. O tym, co z nich dotyczy Waszej firmy, decyduje Wasz dział prawny.

Załóż konto firmowelub napisz na contact@standardcompute.com

English Deutsch Français Nederlands Italiano Español Svenska Norsk Dansk Suomi

Krótkie odpowiedzi

Czego AI Act wymaga od firmy, która korzysta z LLM wewnętrznie?: Jako podmiot stosujący wprowadzacie środki wspierające rozwój kompetencji w zakresie AI wśród personelu, który pracuje z AI (art. 4, od 2 lutego 2025 r.). Od 2 sierpnia 2026 r. ujawniacie, że publikowane treści deepfake lub teksty generowane przez AI, które mają informować społeczeństwo o sprawach leżących w interesie publicznym, powstały z użyciem AI (art. 50). Jeśli używacie AI do celu wysokiego ryzyka z załącznika III, na przykład rekrutacji lub oceny zdolności kredytowej, od 2 grudnia 2027 r. dochodzą obowiązki z art. 26.
Kto ponosi obowiązki dotyczące modeli AI ogólnego przeznaczenia?: Dostawcy tych modeli. Ich obowiązki z rozdziału V obowiązują od 2 sierpnia 2025 r. Firma, która korzysta z GPT, Claude lub Gemini przez API, jest podmiotem stosującym system AI, którego używa.
Czy musimy rejestrować korzystanie z LLM?: Akt wymaga rejestrów zdarzeń przy zastosowaniach wysokiego ryzyka: zgodnie z art. 26 ust. 6 podmioty stosujące przechowują automatycznie generowane rejestry zdarzeń systemu AI wysokiego ryzyka, w zakresie, w jakim podlegają one ich kontroli, przez co najmniej sześć miesięcy, o ile prawo Unii lub prawo krajowe, w szczególności o ochronie danych osobowych, nie stanowi inaczej. Niezależnie od tego zapis, z których modeli i dostawców korzysta każda aplikacja, jest punktem wyjścia do rejestru systemów AI w firmie. Taki zapis prowadzi bramka.

Jakie terminy AI Act dotyczą firm?

Daty pochodzą z art. 113 i art. 111 rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym aktem zbiorczym prawa cyfrowego dotyczącym AI.

Terminy AI Act
Data	Co obowiązuje	Źródło urzędowe
1 sierpnia 2024 r.	Co obowiązuje: Akt w sprawie sztucznej inteligencji, rozporządzenie (UE) 2024/1689, wchodzi w życie.	Źródło urzędowe: EUR-Lex
2 lutego 2025 r.	Co obowiązuje: Stosuje się rozdział I, w tym obowiązek dotyczący kompetencji w zakresie AI z art. 4.	Źródło urzędowe: Art. 113, art. 4
2 sierpnia 2025 r.	Co obowiązuje: Stosuje się obowiązki dostawców modeli AI ogólnego przeznaczenia (rozdział V).	Źródło urzędowe: Art. 113
2 sierpnia 2026 r.	Co obowiązuje: Rozporządzenie stosuje się ogólnie, w tym obowiązki w zakresie przejrzystości z art. 50.	Źródło urzędowe: Art. 113, art. 50
2 grudnia 2026 r.	Co obowiązuje: Kończy się okres przejściowy z art. 111 ust. 4: dostawcy systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. muszą oznakowywać syntetyczne wyniki w formacie nadającym się do odczytu maszynowego zgodnie z art. 50 ust. 2.	Źródło urzędowe: Art. 111
2 grudnia 2027 r.	Co obowiązuje: Wymogi dla systemów AI wysokiego ryzyka z załącznika III, na przykład rekrutacji, zatrudnienia, oceny zdolności kredytowej i kształcenia, w tym obowiązki podmiotów stosujących z art. 26.	Źródło urzędowe: Art. 113, art. 26
2 sierpnia 2028 r.	Co obowiązuje: Wymogi dla AI wysokiego ryzyka w produktach objętych unijnym prawodawstwem harmonizacyjnym z załącznika I.	Źródło urzędowe: Art. 113

Streszczenie tekstów urzędowych, sprawdzone 9 listopada 2026 r. Nie stanowi porady prawnej.

Czy korzystając z LLM przez API, jesteśmy dostawcą czy podmiotem stosującym?

Rozporządzenie nazywa podmiotem stosującym osobę fizyczną lub prawną, organ publiczny, agencję lub inny podmiot, który wykorzystuje system AI, nad którym sprawuje kontrolę (art. 3 pkt 4), z wyjątkiem sytuacji, gdy system AI jest wykorzystywany w ramach osobistej działalności pozazawodowej. Firma, która wywołuje GPT, Claude lub Gemini przez API albo udostępnia pracownikom asystenta AI, jest podmiotem stosującym ten system.

Obowiązki dotyczące modeli AI ogólnego przeznaczenia z rozdziału V, na przykład dokumentacja techniczna i informacje dla dostawców niższego szczebla, spoczywają na firmach, które opracowują te modele i wprowadzają je do obrotu.

Czego wymaga art. 50 od 2 sierpnia 2026 r.?

Dostawcy systemów AI generujących syntetyczne treści audio, obrazy, wideo lub tekst oznakowują wyniki w formacie nadającym się do odczytu maszynowego jako sztucznie wygenerowane lub zmanipulowane (art. 50 ust. 2). W przypadku systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. obowiązek ten stosuje się zgodnie z art. 111 ust. 4 od 2 grudnia 2026 r.

Podmioty stosujące ujawniają, że obrazy, treści audio lub wideo stanowiące treści deepfake zostały sztucznie wygenerowane lub zmanipulowane (art. 50 ust. 4). To samo dotyczy tekstu wygenerowanego lub zmanipulowanego przez AI, publikowanego w celu informowania społeczeństwa o sprawach leżących w interesie publicznym, chyba że tekst przeszedł weryfikację przez człowieka lub kontrolę redakcyjną, a ktoś ponosi za niego odpowiedzialność redakcyjną. Podmioty stosujące systemy rozpoznawania emocji lub kategoryzacji biometrycznej informują osoby, których to dotyczy (art. 50 ust. 3).

Jak długo podmioty stosujące muszą przechowywać rejestry zdarzeń?

Tylko przy zastosowaniach wysokiego ryzyka. Kto używa AI do celu z załącznika III, na przykład do wyboru kandydatów, zarządzania pracownikami, oceny zdolności kredytowej lub kształcenia, stosuje system AI wysokiego ryzyka. Art. 26 wymaga wtedy od 2 grudnia 2027 r. między innymi korzystania z systemu zgodnie z instrukcją obsługi dostawcy, powierzenia nadzoru ze strony człowieka osobom o odpowiednich kompetencjach i monitorowania działania systemu.

Art. 26 ust. 6: podmioty stosujące przechowują automatycznie generowane przez system AI wysokiego ryzyka rejestry zdarzeń, w zakresie, w jakim podlegają one ich kontroli, przez okres stosowny ze względu na przeznaczenie systemu, wynoszący co najmniej sześć miesięcy, o ile mające zastosowanie prawo Unii lub prawo krajowe, w szczególności o ochronie danych osobowych, nie stanowi inaczej.

Jakie dowody daje bramka AI?

Standard Compute łączy Claude, GPT, Gemini i otwarte modele na jednym koncie firmowym, z osobnym kluczem dla każdej osoby i każdej aplikacji. Rejestr systemów AI, polityka korzystania i dowody są wtedy w jednym miejscu.

Każda zmiana administratora jest zapisywana z wartością przed i po, a dla każdego żądania możecie wyeksportować model, dostawcę, który je obsłużył, i obowiązujące ograniczenie regionalne. Dane są przechowywane przez 12 miesięcy. Dzienniki żądań zawierają wyłącznie metadane (model, dostawca, tokeny, koszt i status), nigdy Waszych promptów ani odpowiedzi.

Zdecydujcie na poziomie całej firmy, zespołu lub klucza, z których modeli może korzystać każdy klucz i którzy dostawcy inferencji mogą przetwarzać Wasze dane. Niższe poziomy mogą reguły jedynie zaostrzać, a trasy zapasowe nigdy nie omijają Waszej listy. Przy włączonym ograniczeniu do Europy każde żądanie, łącznie z ponowieniami i trasami zapasowymi, obsługują wyłącznie zatwierdzone europejskie punkty końcowe inferencji.

Co zapisuje bramka i jaką pracę wspiera
Funkcja	Co robi	Wspiera
Eksport dziennika żądań	Co robi: Model, dostawca, który obsłużył żądanie, i ograniczenie regionalne dla każdego żądania, przechowywane 12 miesięcy i gotowe do eksportu	Wspiera: Dowody korzystania, rejestr systemów AI
Dziennik audytu	Co robi: Każda zmiana administratora z wartością przed i po	Wspiera: Historia polityki korzystania
Lista dozwolonych modeli	Co robi: Wyłącznie modele zatwierdzone dla każdej aplikacji lub osoby	Wspiera: Polityka korzystania
Lista dozwolonych dostawców	Co robi: Wyłącznie zatwierdzeni dostawcy inferencji; nowi tylko za zgodą administratora	Wspiera: Wybór dostawców
Klucz dla każdej osoby i aplikacji	Co robi: Korzystanie przypisane do osoby lub aplikacji od pierwszego żądania	Wspiera: Rejestr systemów AI
Ograniczenie do Europy	Co robi: Żądania, ponowienia i trasy zapasowe wyłącznie przez zatwierdzone europejskie punkty końcowe inferencji	Wspiera: Praca nad zgodnością z RODO
Logowanie jednokrotne (SSO)	Co robi: Microsoft Entra ID lub inny dostawca tożsamości SAML	Wspiera: Dowody kontroli dostępu

Panel Standard Compute, dziennik audytu: zmiany ograniczenia regionalnego, zerowej retencji danych (ZDR), limitu wydatków, wyboru modeli dla klucza aplikacji i domeny SSO, każda z wartością przed i po. — Dziennik audytu administratora: każda zmiana reguł, budżetów i kluczy z wartością przed i po. Pokazana firma jest przykładowa, a panel jest po angielsku.

Te zapisy to dowody bramki dotyczące korzystania z modeli i dostawców. Rejestry zdarzeń z art. 26 ust. 6 to te, które generuje sam system AI wysokiego ryzyka. O tym, czego akt wymaga od Waszej firmy, decyduje Wasz dział prawny, a dowody do tej pracy są w Standard Compute w jednym miejscu.

Pytania od IT, bezpieczeństwa i zakupów

Korzystamy z API LLM wewnętrznie. Co zmieniło się w sierpniu 2026 r.?: Od 2 sierpnia 2026 r. obowiązują wymogi przejrzystości z art. 50. Obowiązek dotyczący kompetencji w zakresie AI obowiązuje od 2 lutego 2025 r., a obowiązki podmiotów stosujących przy zastosowaniach wysokiego ryzyka z załącznika III zaczną obowiązywać 2 grudnia 2027 r.
Czy Standard Compute przejmuje nasze obowiązki wynikające z AI Act?: Obowiązki spoczywają na Waszej firmie jako podmiocie stosującym. Standard Compute dostarcza dowody i reguły, na których opiera się ta praca: dziennik żądań z modelem, dostawcą i ograniczeniem regionalnym z 12 miesięcy, dziennik audytu administratora, listy dozwolonych modeli i dostawców oraz ograniczenie do Europy.
Czy dziennik żądań zapisuje nasze prompty?: Nie. Dzienniki żądań zawierają wyłącznie metadane (model, dostawca, tokeny, koszt i status), nigdy Waszych promptów ani odpowiedzi. Przetwarzamy prompty w pamięci operacyjnej, aby obsłużyć każde żądanie, i nigdy nie zapisujemy ich w pamięci trwałej ani w logach.
O co dział zakupów powinien zapytać dostawcę API LLM w kontekście AI Act i RODO?: Gdzie przetwarzane są prompty, czy treści są przechowywane lub używane do trenowania, kim są dalsze podmioty przetwarzające i jakie dowody otrzymujecie. Standard Compute odpowiada ograniczeniem do Europy, zerową retencją danych (ZDR), umową powierzenia przetwarzania danych (DPA) podpisywaną w panelu, publiczną listą dalszych podmiotów przetwarzających, o której zmianach powiadamiamy z 14-dniowym wyprzedzeniem, oraz dziennikiem żądań z 12 miesięcy.
Czy wywoływanie Claude, GPT lub Gemini przez API czyni nas dostawcą modelu?: Nie. Rozporządzenie nazywa firmę, która wykorzystuje system AI, nad którym sprawuje kontrolę, podmiotem stosującym. Dostawcą modelu jest firma, która go opracowuje i wprowadza do obrotu.

Źródła

Rozporządzenie (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), EUR-Lex, wersja polska, sprawdzono 9 listopada 2026
Rozporządzenie (UE) 2026/1744 (akt zbiorczy prawa cyfrowego dotyczący AI), EUR-Lex, sprawdzono 9 listopada 2026
Art. 4, AI Act Service Desk Komisji Europejskiej, sprawdzono 9 listopada 2026
Art. 26, AI Act Service Desk, sprawdzono 9 listopada 2026
Art. 50, AI Act Service Desk, sprawdzono 9 listopada 2026
Art. 111, AI Act Service Desk, sprawdzono 9 listopada 2026
Art. 113, AI Act Service Desk, sprawdzono 9 listopada 2026

Załóżcie konto firmowe, ustawcie reguły dla modeli i dostawców i uruchomcie dziennik żądań, na którym oprze się Wasza praca nad zgodnością z AI Act.

Załóż konto firmowe