Wewnętrzna wyszukiwarka dokumentów oparta o AI nie jest systemem wysokiego ryzyka w rozumieniu AI Act. Nie mieści się w żadnej z ośmiu kategorii Załącznika III (biometria, infrastruktura krytyczna, edukacja, zatrudnienie, dostęp do usług, ściganie przestępstw, migracja, wymiar sprawiedliwości), a Recital 53 rozporządzenia wprost podaje jako przykład niskiego ryzyka „smart solutions for file handling, which include various functions from indexing, searching, text and speech processing or linking data to other data sources”. Od 2 sierpnia 2026 obowiązuje jednak obowiązek przejrzystości z Art. 50 — pracownik musi wiedzieć, że rozmawia z AI.
W konsultacji biznesowej z jedną z firm produkcyjno-montażowych, z którymi pracujemy, ten wątek pojawił się jako argument za wdrożeniem lokalnego systemu, nie jako obawa klienta: zbliżający się AI Act wymaga, żeby firma potrafiła w każdej chwili wykazać, kto i w jaki sposób korzystał z AI. Jeśli dane nie trafiają do ogólnodostępnych czatów, znaczna część tego obowiązku odpada sama. Odpowiedź na pytanie, czy to faktycznie wysokie ryzyko prawne, wymaga jednak rozbicia na to, co rozporządzenie faktycznie mówi, a co jest tylko uproszczonym skrótem myślowym powtarzanym w mediach.
Jak AI Act dzieli systemy pod względem ryzyka
Art. 6(2) rozporządzenia (UE) 2024/1689 stanowi, że systemem wysokiego ryzyka jest ten wymieniony w Załączniku III. Ten załącznik zawiera zamkniętą listę ośmiu obszarów — generyczna wyszukiwarka dokumentów wewnętrznych nie pasuje do żadnego z nich, o ile nie służy do oceniania czy monitorowania pracowników.
Warto od razu doprecyzować jedną rzecz, którą media często upraszczają. AI Act w tekście operacyjnym nie posługuje się terminem „limited risk”. Czteropoziomowa piramida (niedopuszczalne / wysokie / ograniczone / minimalne ryzyko) to framing Komisji Europejskiej używany w komunikacji, nie kategoria zdefiniowana w artykułach rozporządzenia. Rozdział IV, który dotyczy tego typu systemów, nosi tytuł „Transparency Obligations for Providers and Deployers of Certain AI Systems” — ustawa mówi o obowiązkach przejrzystości, nie o „ograniczonym ryzyku”. Samo słowo „limited” pojawia się wyłącznie opisowo, w recitalach — Recital 53 określa tego typu zadania jako te, które „pose only limited risks”.
Kiedy ta sama wyszukiwarka mogłaby jednak wejść w wysokie ryzyko
Klasyfikacja zależy od funkcji systemu, nie od samej technologii. Gdyby to samo narzędzie służyło do oceny, monitorowania czy podejmowania decyzji dotyczących pracowników — mogłoby wejść w punkt 4 Załącznika III, który obejmuje systemy używane „to monitor and evaluate the performance and behaviour of persons” w kontekście zatrudnienia. Sama wyszukiwarka informacji, która odpowiada na pytanie i wskazuje dokument źródłowy, tej granicy nie przekracza.
Niezależnie od klasyfikacji ryzyka, Art. 4 (AI literacy) obowiązuje horyzontalnie — dostawcy i wdrażający każdy system AI muszą zapewnić odpowiedni poziom kompetencji AI wśród swojego personelu, bez względu na to, do jakiej kategorii system należy.
Obowiązek przejrzystości: co to znaczy w praktyce
Art. 50(1) rozporządzenia wymaga, aby systemy AI przeznaczone do bezpośredniej interakcji z ludźmi były zaprojektowane tak, by osoba wiedziała, że rozmawia z AI — chyba że jest to oczywiste z perspektywy rozsądnie poinformowanego użytkownika. Dla wewnętrznego asystenta, z którym pracownik świadomie rozpoczyna rozmowę wpisując pytanie, ten warunek jest zwykle spełniony niejako z definicji.
Przepis ten wchodzi w życie 2 sierpnia 2026. Komisja Europejska przyjęła 20 lipca 2026 finalne, niewiążące wytyczne do Art. 50 (51 stron) doprecyzowujące jego stosowanie w praktyce.
Harmonogram: co obowiązuje już dziś, a co dopiero wejdzie
Rozporządzenie weszło w życie 1 sierpnia 2024, ale stosuje się etapami. Zakazane praktyki (Art. 5) i obowiązek AI literacy (Art. 4) obowiązują już od 2 lutego 2025. Przepisy o modelach ogólnego przeznaczenia i karach — od 2 sierpnia 2025. Większość pozostałych wymagań, w tym Art. 50 i ocena skutków dla praw podstawowych (Art. 27), zaczyna obowiązywać 2 sierpnia 2026. Klasyfikacja AI jako komponentu bezpieczeństwa produktów objętych odrębnym prawem harmonizacyjnym UE (Art. 6(1)) wchodzi w życie dopiero 2 sierpnia 2027.
Trwają też prace nad tzw. Digital Omnibus (porozumienie tymczasowe z 7 maja 2026), które mogą zmienić część z tych terminów — na dziś obowiązuje wersja harmonogramu z Art. 113.
Jak to wygląda w systemie, który wskazuje źródło
System oparty o przeszukiwanie własnej dokumentacji firmy (RAG) naturalnie wspiera ten sam duch przejrzystości, którego wymaga AI Act — każda odpowiedź może wskazywać konkretny plik, stronę czy akapit, na podstawie którego została przygotowana, zamiast pozostawiać pracownika z samą wygenerowaną treścią bez źródła. To nie zastępuje analizy prawnej konkretnego wdrożenia, ale ułatwia wykazanie, że narzędzie działa jako pomocnik człowieka podejmującego decyzję, a nie jako system podejmujący decyzję samodzielnie.
To nie jest porada prawna — klasyfikacja konkretnego wdrożenia zależy od jego dokładnej funkcji i zakresu danych, więc przy systemach dotykających ocen pracowniczych czy decyzji kadrowych warto to zweryfikować z prawnikiem specjalizującym się w AI Act, zanim projekt ruszy.
Jeśli zastanawiasz się, jak sklasyfikować planowane wdrożenie AI w Twojej firmie — opisz zakres w formularzu kontaktowym. Pełny zakres usługi wewnętrznego systemu AI znajdziesz na stronie wewnętrznego systemu AI.