Od 27 lipca 2026 r. art. 4 AI Act brzmi inaczej. Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI) zastąpiło obowiązek „zapewnienia” wystarczającego poziomu kompetencji w zakresie AI obowiązkiem „wspierania ich rozwoju”. Brzmi to jak złagodzenie i nim jest, ale obowiązek nie zniknął. Zmieniło się to, z czego firma będzie rozliczana: już nie z poziomu wiedzy pracowników, tylko z działań, które podjęła.
- Art. 4 AI Act obowiązuje od 2 lutego 2025 r. Digital Omnibus zmienił jego treść, ale nie termin stosowania.
- Po zmianie dostawcy i podmioty stosujące mają podejmować środki wspierające rozwój kompetencji w zakresie AI i nie muszą gwarantować określonego poziomu wiedzy żadnej osoby.
- W języku prawa cywilnego to przejście od zobowiązania rezultatu do zobowiązania starannego działania. Dowodem zgodności jest udokumentowany program działań.
- Komisja Europejska: certyfikat nie jest wymagany, format dokumentacji jest dowolny, zalecany jest wewnętrzny rejestr szkoleń.
- AI Act nie przypisuje naruszeniu art. 4 odrębnego progu kary, a polska ustawa nie dodaje własnej sankcji. Ryzyko wraca przy innych naruszeniach i w sporach o szkodę.
Co dokładnie nakazywał art. 4 AI Act przed Digital Omnibusem?
W pierwotnym brzmieniu dostawcy i podmioty stosujące systemy AI mieli podejmować środki, żeby zapewnić, w możliwie największym stopniu, wystarczający poziom kompetencji w zakresie AI (w angielskiej wersji: „ensure, to their best extent, a sufficient level of AI literacy”) u swojego personelu i innych osób, które w ich imieniu obsługują systemy AI. Należało przy tym uwzględnić wiedzę techniczną, doświadczenie, wykształcenie i szkolenia tych osób oraz kontekst użycia systemów.
Już wtedy zastrzeżenie „w możliwie największym stopniu” łagodziło obowiązek. Punktem odniesienia pozostawał jednak stan docelowy, czyli „wystarczający poziom”, a to rodziło praktyczne pytanie, kto i jak ten poziom zmierzy.
Co zmienił Digital Omnibus w brzmieniu art. 4?
Rozporządzenie (UE) 2026/1744 weszło w życie 27 lipca 2026 r. Według nowego brzmienia art. 4 dostawcy i podmioty stosujące mają podejmować środki wspierające rozwój kompetencji w zakresie AI („take measures to support the development of AI literacy”). Przepis wprost zastrzega, że nie wymaga to zagwarantowania określonego poziomu kompetencji u jakiejkolwiek osoby.
Nowelizacja dodała też zapisy o wsparciu ze strony Komisji i państw członkowskich, zwłaszcza dla MŚP, oraz o rekomendacjach Rady ds. AI. W uzasadnieniu zmian przewija się argument, że jednolite podejście nie pasuje do wszystkich firm, a wymóg „wystarczającego poziomu” był nieproporcjonalnym obciążeniem dla mniejszych przedsiębiorstw.
Uwaga praktyczna: w tym samym pakiecie przesunięto terminy dla systemów wysokiego ryzyka. Art. 4 nie został przesunięty. Obowiązuje od 2 lutego 2025 r., a krajowe organy nadzoru rynku mogą go egzekwować od 2 sierpnia 2026 r. Pełny kalendarz opisuję w artykule o harmonogramie AI Act.
Rezultat czy staranne działanie: dlaczego obowiązek nie zniknął?
Polskiemu prawnikowi ta zmiana jest dobrze znana z prawa cywilnego. Przy zobowiązaniu rezultatu dłużnik odpowiada za osiągnięcie określonego stanu. Przy zobowiązaniu starannego działania odpowiada za to, czy działał z należytą starannością, niezależnie od efektu. Stare brzmienie art. 4 było bliżej pierwszego modelu, nowe mieści się w drugim.
Praktyczne skutki są trzy:
- Nie wystarczy „nic nie robić, bo nie ma sankcji za wynik”. Przedmiotem oceny są teraz podjęte środki. Brak jakichkolwiek środków to naruszenie wprost, a nie niedostateczny wynik.
- Środki muszą być adekwatne. Jednorazowy webinar dla całej firmy, bez względu na role i narzędzia, trudno obronić jako staranne działanie wobec zespołu, który codziennie przetwarza dane klientów w modelu językowym.
- Ciężar przenosi się na dokumentację. Skoro liczą się działania, trzeba umieć je wykazać: co, dla kogo, kiedy i dlaczego w takim zakresie.
Kogo dotyczy art. 4: tylko działu IT, czy także zarządu?
Przepis dotyczy dostawców i podmiotów stosujących systemy AI. Podmiotem stosującym jest każdy, kto używa systemu AI w działalności zawodowej, więc również firma, która „tylko” kupiła licencje na ChatGPT, Copilota czy narzędzie do analizy CV. Środki mają objąć osoby, które w imieniu firmy obsługują systemy AI i z nich korzystają. W praktyce to także zarząd, który na podstawie wyników AI podejmuje decyzje, i współpracownicy B2B pracujący na firmowych narzędziach.
Zakres środków ma odpowiadać roli. Inaczej przygotowuje się rekruterkę korzystającą z systemu oceny kandydatów, inaczej programistę integrującego model przez API, a jeszcze inaczej członka zarządu, który zatwierdza wdrożenie. Pomocna jest inwentaryzacja narzędzi opisana w artykule o Shadow AI, bo nie da się zaplanować kompetencji dla narzędzi, o których firma nie wie.
Jak udowodnić, że firma spełniła obowiązek z art. 4?
Komisja Europejska prowadzi oficjalne pytania i odpowiedzi dotyczące AI literacy, zaktualizowane 27 lipca 2026 r. pod nowe brzmienie przepisu. Wynikają z nich cztery wskazówki:
- Certyfikat nie jest wymagany, a przepisy nie narzucają obowiązkowych szkoleń ani sztywnego formatu.
- Zalecany jest wewnętrzny rejestr szkoleń i innych działań wspierających kompetencje.
- Nie ma jednego rozwiązania dla wszystkich. Punkt wyjścia to: ogólne zrozumienie AI w organizacji, jasność co do roli firmy (dostawca czy podmiot stosujący), ocena ryzyka używanych systemów i działania dopasowane do wiedzy personelu oraz kontekstu użycia.
- Repozytorium dobrych praktyk Komisji (ponad 40 przykładów) jest inspiracją, ale skopiowanie cudzego programu nie daje automatycznie domniemania zgodności z art. 4.
Dobrze prowadzona teczka art. 4 zawiera: listę używanych systemów AI z przypisaniem ról, krótką analizę, czego poszczególne role potrzebują, harmonogram i materiały szkoleń, listy uczestników, zasady korzystania z AI (polityka) oraz datę kolejnego przeglądu.
Jakie środki uznać za „wspieranie rozwoju kompetencji”?
Szkolenie jednorazowe to minimum, a nie program. Obronny zestaw na średnią firmę wygląda zwykle tak:
- Szkolenie wprowadzające dla wszystkich użytkowników: jak działają modele, czego nie wklejać, jak weryfikować wyniki, kiedy informować o użyciu AI.
- Moduły dla ról o podwyższonym ryzyku: HR, obsługa klienta, zespoły produktowe, programiści integrujący modele.
- Sesja dla zarządu: odpowiedzialność, nadzór, decyzje o wdrożeniach, obowiązki z AI Act i RODO.
- Polityka korzystania z AI z listą dozwolonych narzędzi i ścieżką zgłaszania nowych.
- Przegląd raz na rok albo przy wdrożeniu nowego narzędzia.
Czy za brak szkoleń z AI grozi kara?
Tu wiele popularnych opracowań się myli, więc precyzyjnie. Art. 99 AI Act, który ustala progi kar (do 35 mln EUR lub 7% obrotu za zakazane praktyki, do 15 mln EUR lub 3% za wymienione w nim obowiązki operatorów), nie wymienia art. 4 wśród przepisów zagrożonych tymi karami. Polska ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) nie zawiera odrębnego przepisu o kompetencjach w zakresie AI ani własnej sankcji za naruszenie art. 4. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) nakłada kary „w przypadkach, wysokości i na warunkach” określonych w AI Act (art. 104 ust. 1 ustawy), a jej uprawnienia kontrolne i karne działają od 28 października 2026 r.
Nie oznacza to, że art. 4 można zignorować. Ryzyko wraca trzema drogami:
- Przy innych naruszeniach. Podmiot stosujący system wysokiego ryzyka musi m.in. powierzyć nadzór ludzki osobom o odpowiednich kompetencjach. Za naruszenie tych obowiązków grozi już kara do 15 mln EUR lub 3% obrotu, a brak programu kompetencji będzie tam pierwszym dowodem.
- W sporach o szkodę. Gdy pracownik wyrządzi szkodę, korzystając z AI, pytanie o należytą staranność firmy padnie niezależnie od kar administracyjnych.
- W kontroli KRiBSI. KRiBSI prowadzi kontrole i wydaje decyzje w sprawach naruszeń AI Act. Brak dokumentacji art. 4 to najprostsze możliwe ustalenie pokontrolne.
Czy można połączyć szkolenia z AI z RODO i innymi obowiązkami?
Tak i warto to zrobić. RODO wymaga, żeby osoby działające z upoważnienia administratora przetwarzały dane tylko na jego polecenie (art. 29 i art. 32 ust. 4), a do zadań IOD należą działania zwiększające świadomość i szkolenia personelu (art. 39 ust. 1 lit. b). Moduł „czego nie wklejać do narzędzi AI” jest jednocześnie szkoleniem z ochrony danych. Jedna ścieżka szkoleniowa z dwoma celami i jednym rejestrem jest tańsza i łatwiejsza do obrony niż dwa równoległe programy.
Plan minimum na najbliższy kwartał
- Tydzień 1-2: inwentaryzacja narzędzi AI i przypisanie ról (kto używa czego i do czego).
- Tydzień 3-4: polityka korzystania z AI i szkolenie wprowadzające dla wszystkich użytkowników.
- Miesiąc 2: moduły dla ról o podwyższonym ryzyku i sesja dla zarządu.
- Miesiąc 3: rejestr działań art. 4 (materiały, listy obecności, uzasadnienie zakresu) i data przeglądu.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej.