AI w HR 2026: co obowiązuje od sierpnia, a co przesunięto

Unijny akt o sztucznej inteligencji, czyli rozporządzenie (UE) 2024/1689, obejmuje systemy AI wykorzystywane w rekrutacji, ocenie pracowników i przydzielaniu zadań. Przez ostatnie miesiące branża HR przygotowywała się na 2 sierpnia 2026 roku jako datę graniczną dla tych rozwiązań, ale pakiet rewizyjny Digital Omnibus, który wszedł w życie 27 lipca 2026 roku, przesunął najbardziej obciążające obowiązki na 2 grudnia 2027 roku. Równolegle zaczęła obowiązywać polska ustawa o systemach sztucznej inteligencji, a krajowy organ nadzoru uzyska uprawnienia do nakładania kar 28 października 2026 roku.

Z tego zestawienia dwóch kalendarzy — unijnego i krajowego — powstało sporo nieporozumień. W tym artykule wyjaśniamy, które przepisy wiążą pracodawcę już dziś, co dokładnie zostało odroczone, jakie zastosowania AI w kadrach są zakazane bezwarunkowo oraz dlaczego zwykła ewidencja czasu pracy zwykle w ogóle nie wchodzi w zakres rozporządzenia. Znajdziesz tu także wysokość kar i listę działań, które warto wykonać przed końcem października.

Najważniejsze w czterech punktach:

• Odroczenie dotyczy wyłącznie obowiązków dla systemów wysokiego ryzyka z załącznika III — nowy termin to 2 grudnia 2027 r.
• Zakazy z art. 5 aktu o AI, w tym zakaz wnioskowania o emocjach pracowników, obowiązują nieprzerwanie od 2 lutego 2025 r.
• Od 28 października 2026 r. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji może prowadzić kontrole i nakładać kary administracyjne.
• Górny pułap sankcji sięga 35 mln euro lub 7 % światowego obrotu za praktyki zakazane.

Które przepisy o AI wiążą pracodawcę we wrześniu 2026 roku?

Akt o sztucznej inteligencji nie wszedł w życie jednorazowo, lecz etapami rozłożonymi na kilka lat. Część rozdziałów obowiązuje od lutego 2025 roku, część od sierpnia 2026 roku, a najbardziej rozbudowane wymogi techniczne zaczną wiązać pod koniec 2027 roku. Dział kadr musi więc rozróżnić trzy porządki: to, co już obowiązuje, to, co odroczono, i to, co dokłada polski ustawodawca.

Rozłożenie terminów bywa mylnie odczytywane jako zapowiedź, że do końca 2027 roku nic nie trzeba robić. Taki wniosek jest błędny, ponieważ najsurowiej sankcjonowana grupa przepisów — katalog praktyk zakazanych — działa od ponad półtora roku i nie została objęta odroczeniem.

Co naprawdę zmienił Digital Omnibus?

Pakiet Digital Omnibus został opublikowany w Dzienniku Urzędowym Unii Europejskiej 24 lipca 2026 roku i wszedł w życie trzy dni później. Przesunął on stosowanie obowiązków dla samodzielnych systemów wysokiego ryzyka wymienionych w załączniku III z 2 sierpnia 2026 roku na 2 grudnia 2027 roku, a dla systemów stanowiących element produktów objętych unijnymi przepisami bezpieczeństwa, takich jak wyroby medyczne — na 2 sierpnia 2028 roku. Odroczenie objęło osiem obszarów załącznika III, w tym zatrudnienie.

Jak zwraca uwagę serwis Prawo.pl, pakiet dał firmom więcej czasu, ale nie zawiesił rozporządzenia. Zmieniona została data rozpoczęcia stosowania konkretnych rozdziałów, natomiast sama treść wymogów pozostała w mocy w niemal niezmienionym kształcie. Firma, która przez najbliższe piętnaście miesięcy nie zrobi nic, w grudniu 2027 roku stanie przed tym samym zestawem zadań, tylko z krótszym czasem na ich wykonanie.

Pakiet rozszerzył też katalog praktyk zakazanych o nowe kategorie, zabronione od 2 grudnia 2026 roku, a dla oznaczania treści syntetycznych wprowadził okres przejściowy do tej samej daty.

Jakie zastosowania AI w kadrach są systemami wysokiego ryzyka?

Załącznik III pkt 4 aktu o AI kwalifikuje jako wysokiego ryzyka systemy wykorzystywane w obszarze zatrudnienia, zarządzania pracownikami i dostępu do samozatrudnienia. Katalog jest szerszy niż potoczne skojarzenie z rekrutacją i obejmuje cały cykl zatrudnienia — od ogłoszenia po rozwiązanie umowy.

Pracodawca korzystający z takiego narzędzia występuje w roli podmiotu stosującego, a nie dostawcy. Za konstrukcję modelu, dokumentację techniczną i ocenę zgodności odpowiada producent, natomiast za sposób i kontekst użycia odpowiada firma. Zestaw obowiązków podmiotu stosującego opisuje art. 26 rozporządzenia i jest ich sześć.

• Stosowanie zgodnie z instrukcją — narzędzia nie wolno używać do celu, którego producent nie przewidział.
• Nadzór człowieka — trzeba wyznaczyć osoby z odpowiednimi kompetencjami i realnym uprawnieniem do zmiany lub zablokowania rozstrzygnięcia algorytmu.
• Monitorowanie działania — system należy obserwować pod kątem nieprawidłowości i zgłaszać poważne incydenty.
• Przechowywanie rejestrów zdarzeń — logi generowane automatycznie muszą być zachowane, aby dało się odtworzyć przebieg decyzji.
• Informowanie pracowników i ich przedstawicieli — przed wdrożeniem systemu w miejscu pracy trzeba poinformować osoby, których będzie dotyczył.
• Jakość danych wejściowych — w zakresie, w jakim firma kontroluje dane, muszą one odpowiadać przeznaczeniu systemu.

Do tego dochodzi art. 86, który przyznaje osobie objętej decyzją wywołującą skutki prawne prawo do wyjaśnienia roli systemu i głównych elementów rozstrzygnięcia. Odrzucony kandydat może więc zapytać o kryteria, a odpowiedź „tak zdecydował system" nie wystarczy.

Czego pracodawca nie może robić już dziś?

Art. 5 ust. 1 lit. f aktu o AI zakazuje wprowadzania do obrotu i wykorzystywania systemów służących do wnioskowania o emocjach osób fizycznych w miejscu pracy. Zakaz obowiązuje od 2 lutego 2025 roku i nie podlega odroczeniu ani okresom przejściowym. Rozporządzenie definiuje taki system jako narzędzie identyfikujące emocje lub zamiary na podstawie danych biometrycznych.

W wytycznych do art. 5 Komisja Europejska wskazała konkretne przykłady zastosowań objętych zakazem: analizę mimiki i barwy głosu konsultantów infolinii, ocenę tonu emocjonalnego uczestników wideokonferencji oraz kamery szacujące zadowolenie personelu sklepu. Deklarowany cel nie zmienia oceny prawnej. System nie staje się dopuszczalny dlatego, że pracodawca opisuje go jako narzędzie integracyjne, szkoleniowe albo służące poprawie atmosfery.

Rozporządzenie przewiduje dwa wyjątki — zastosowania medyczne, takie jak diagnostyka zaburzeń, oraz zastosowania związane z bezpieczeństwem, na przykład wykrywanie zmęczenia kierowcy zawodowego lub pilota. Granicę dobrze pokazuje zestawienie dwóch sytuacji: monitorowanie senności kierowcy w celu uniknięcia wypadku jest dopuszczalne, natomiast oznaczanie niskiego entuzjazmu handlowca podczas rozmowy z klientem już nie. Przy każdym przetwarzaniu danych biometrycznych sprawdź także wymogi wynikające z RODO, bo obie regulacje stosuje się równolegle.

Zapamiętaj: odroczenie z Digital Omnibus nie objęło art. 5. Narzędzie analizujące emocje pracowników jest nielegalne dziś, a nie dopiero od grudnia 2027 roku, i grozi za nie najwyższa przewidziana kara.

Czy ewidencja czasu pracy podlega przepisom o sztucznej inteligencji?

To pytanie wraca w firmach najczęściej, zwłaszcza tam, gdzie działa elektroniczny system rejestracji obecności. Odpowiedź w większości przypadków brzmi: nie. Rozporządzenie stosuje się do systemów AI w rozumieniu art. 3 pkt 1, czyli rozwiązań działających z pewnym poziomem autonomii, które na podstawie otrzymanych danych generują wyniki wpływające na otoczenie. Samo użycie komputera, bazy danych czy reguł zapisanych przez człowieka nie spełnia tej definicji.

Odbicie wejścia i wyjścia, zsumowanie godzin, naliczenie nadgodzin według stałego algorytmu zapisanego w regulaminie czy zestawienie frekwencji to operacje deterministyczne. System wykonuje polecenie, którego reguły ustalił człowiek, i nie wnioskuje niczego ponad to. Takie rozwiązanie nadal podlega jednak przepisom o monitoringu pracowników i o ochronie danych osobowych.

Sytuacja zmienia się wtedy, gdy narzędzie zaczyna wnioskować. Budowanie indywidualnych profili zachowań, prognozowanie absencji, typowanie osób zagrożonych odejściem albo rekomendowanie decyzji personalnych to już funkcje, które od 2 grudnia 2027 roku będą kwalifikowane jako wysokiego ryzyka. Warto więc sprawdzić w dokumentacji używanego oprogramowania, czy poza raportowaniem oferuje ono moduły predykcyjne. W systemach takich jak RCPonline podstawą pozostaje odwzorowanie faktycznego czasu pracy zgodnie z regułami ustalonymi przez pracodawcę, a to zupełnie inny mechanizm niż algorytm oceniający człowieka. Podobne rozróżnienie omawialiśmy przy okazji pytania, czy sztuczna inteligencja ułoży za nas grafik.

Na czym polega obowiązek kompetencji w zakresie AI?

Art. 4 rozporządzenia nakłada na dostawców i podmioty stosujące obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie sztucznej inteligencji wśród personelu, który zajmuje się obsługą tych systemów. Przepis obowiązuje od 2 lutego 2025 roku, nie przewiduje progu wielkości firmy i nie został objęty odroczeniem.

Rozporządzenie nie narzuca formy szkolenia ani liczby godzin, lecz każe dostosować zakres wiedzy do kontekstu użycia. W praktyce chodzi o to, aby rekruter korzystający z narzędzia oceniającego aplikacje rozumiał, na jakiej podstawie powstaje wynik, gdzie leżą ograniczenia modelu i kiedy zignorować jego rekomendację. Udokumentowane szkolenie jest najprostszym dowodem należytej staranności podczas kontroli.

Czym jest KRiBSI i co zmienia polska ustawa?

Ustawa o systemach sztucznej inteligencji została podpisana przez Prezydenta 24 lipca 2026 roku, ogłoszona 27 lipca i opublikowana w Dzienniku Ustaw z 2026 roku pod pozycją 1003. Zasadnicza część przepisów weszła w życie 11 sierpnia 2026 roku. Ustawa nie tworzy nowych obowiązków materialnych, bo te wynikają wprost z rozporządzenia unijnego, lecz buduje krajową obudowę instytucjonalną: wskazuje organ nadzoru, procedury kontrolne i tryb nakładania kar.

Organem tym jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. To ciało kolegialne obsługiwane organizacyjnie przez Ministerstwo Cyfryzacji, w którego skład wchodzą przedstawiciele Urzędu Ochrony Konkurencji i Konsumentów, Komisji Nadzoru Finansowego, Krajowej Rady Radiofonii i Telewizji oraz Prezesa Urzędu Komunikacji Elektronicznej. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję, a pierwsze posiedzenie powinno odbyć się do listopada 2026 roku. Zakres zadań Komisji opisuje Ministerstwo Cyfryzacji.

Dla pracodawcy najistotniejsza jest data 28 października 2026 roku. Od tego dnia zaczyna działać rozdział pozwalający KRiBSI nakładać administracyjne kary pieniężne, a równolegle uruchamia się krajowy tryb skargowy. Jak opisuje „Rzeczpospolita", każdy — w tym pracownik i odrzucony kandydat — będzie mógł zgłosić system, który jego zdaniem narusza przepisy, w tym błędną decyzję podjętą automatycznie.

Jakie kary grożą za naruszenie przepisów o AI?

System sankcji określa art. 99 rozporządzenia i jest trójstopniowy. Wysokość kary zależy od tego, który obowiązek naruszono, a nie od tego, czy naruszenie było celowe.

Podane kwoty to pułapy maksymalne, stosowane wobec największych podmiotów. Wobec małych i średnich przedsiębiorstw art. 99 ust. 6 nakazuje przyjąć niższą z dwóch wartości — kwotę w euro albo procent obrotu. Dla firmy o obrocie kilkunastu milionów złotych realna ekspozycja liczona jest więc w setkach tysięcy złotych, a nie w dziesiątkach milionów euro.

Jak przygotować firmę na 2 grudnia 2027 roku?

Piętnaście miesięcy wystarczy, jeżeli prace rozpocznie się od inwentaryzacji, a nie od zakupu kolejnego narzędzia. Doświadczenia z wdrażania RODO pokazały, że najwięcej kłopotu sprawiają systemy, o których dział kadr dowiaduje się przypadkiem.

1. Zinwentaryzuj narzędzia. Spisz każde rozwiązanie używane w rekrutacji, ocenie okresowej, planowaniu pracy i monitorowaniu wyników, łącznie z modułami dokupionymi do systemów kadrowo-płacowych.
2. Zweryfikuj, czy to system AI. Sprawdź w dokumentacji, czy narzędzie wnioskuje i profiluje, czy tylko wykonuje reguły zapisane przez człowieka.
3. Wyeliminuj praktyki zakazane. Każdą funkcję dotykającą emocji, nastroju czy zaangażowania wyprowadzoną z danych biometrycznych wyłącz natychmiast.
4. Przypisz nadzór człowieka. Wskaż imiennie osoby uprawnione do weryfikowania i zmieniania rozstrzygnięć algorytmu oraz zapisz to w wewnętrznej procedurze.
5. Przeszkol zespół. Zrealizuj obowiązek z art. 4 i zachowaj dowód w postaci listy uczestników oraz programu szkolenia.
6. Zaktualizuj dokumentację. Uzupełnij informacje dla pracowników i kandydatów, klauzule informacyjne oraz zapisy w umowach z dostawcami oprogramowania.
7. Ustal ścieżkę wyjaśnień. Przygotuj sposób odpowiadania na pytania o kryteria decyzji, wymagany przez art. 86.

Punkty od pierwszego do piątego warto zamknąć przed 28 października 2026 roku, bo od tej daty KRiBSI rozpatruje skargi. Pozostałe zadania mogą poczekać, choć aktualizacja umów z dostawcami trwa zwykle dłużej, niż zakłada harmonogram. Tą samą kolejnością warto się kierować przy obowiązkach związanych z jawnością wynagrodzeń.

Podsumowanie

Digital Omnibus przesunął termin stosowania obowiązków dla systemów wysokiego ryzyka z załącznika III na 2 grudnia 2027 roku, ale nie zawiesił aktu o sztucznej inteligencji ani nie złagodził jego treści. Zakazy z art. 5 i obowiązek kompetencji z art. 4 wiążą od lutego 2025 roku, przepisy o przejrzystości od sierpnia 2026 roku, a polski organ nadzoru zyskuje uprawnienia karne 28 października 2026 roku. Firma, która traktuje odroczenie jako powód do bezczynności, przenosi ryzyko na moment bez czasu na spokojne wdrożenie.

Trzy wnioski warto zapamiętać:

• Analiza emocji pracowników na podstawie danych biometrycznych jest zakazana dziś i zagrożona karą do 35 mln euro lub 7 % obrotu.
• Klasyczna ewidencja czasu pracy oparta na regułach ustalonych przez pracodawcę co do zasady nie jest systemem AI, ale moduły predykcyjne już nim będą.
• Inwentaryzację narzędzi, wyznaczenie nadzoru człowieka i szkolenie z art. 4 najlepiej zamknąć przed 28 października 2026 roku.