AI Act dla kancelarii: co oznacza w praktyce

Kancelaria to podmiot stosujący, nie dostawca

Praktyczna analiza zaczyna się od ustalenia własnej roli. Rozporządzenie 2024/1689 rozróżnia przede wszystkim dostawcę (tego, kto system AI rozwija i wprowadza na rynek) oraz podmiot stosujący, w praktyce nazywany deployerem, czyli tego, kto wykorzystuje system AI w ramach swojej działalności zawodowej (art. 3 pkt 4). Kancelaria korzystająca z gotowego narzędzia do researchu prawnego jest niemal zawsze podmiotem stosującym. Wyjątek dla „osobistej działalności pozazawodowej” nie znajdzie tu zastosowania: praca nad sprawą klienta to działalność zawodowa, nawet jeśli prawnik uruchamia narzędzie na prywatnym koncie.

To rozróżnienie przesądza o skali obowiązków. Ciężar dokumentacji technicznej, oceny zgodności i zarządzania ryzykiem systemu spoczywa na dostawcy. Na kancelarii ciążą obowiązki węższe, ale realne: kompetencje zespołu, korzystanie z narzędzia zgodnie z przeznaczeniem i nadzór nad wynikami. Właśnie tę perspektywę, obowiązki użytkownika zamiast obowiązków producenta, rozwijamy w kategorii AI Act dla kancelarii i działów prawnych.

Harmonogram AI Act z perspektywy kancelarii: stan na lipiec 2026

Rozporządzenie weszło w życie 1 sierpnia 2024 r., ale jego przepisy są stosowane etapami. Z punktu widzenia kancelarii liczą się cztery daty:

• 2 lutego 2025 r.: zaczęły obowiązywać zakazy określonych praktyk (art. 5) oraz obowiązek zapewnienia odpowiedniego poziomu kompetencji w zakresie AI, tzw. AI literacy (art. 4). Te przepisy dotyczą także kancelarii i obowiązują już dziś.
• 2 sierpnia 2025 r.: zaczęły być stosowane przepisy o modelach AI ogólnego przeznaczenia (GPAI). Ich adresatem są dostawcy modeli, nie kancelarie, ale pośrednio wpływają one na jakość i dokumentację narzędzi dostępnych na rynku.
• 2 sierpnia 2026 r.: zasadnicza część rozporządzenia, w tym obowiązki przejrzystości z art. 50 (między innymi informowanie, że użytkownik rozmawia z systemem AI).
• 29 czerwca 2026 r.: Rada UE ostatecznie zatwierdziła pakiet upraszczający (tzw. omnibus cyfrowy), który przesunął terminy stosowania obowiązków dla systemów wysokiego ryzyka: co do zasady na 2 grudnia 2027 r. (systemy z załącznika III) i 2 sierpnia 2028 r. (AI wbudowana w produkty regulowane z załącznika I).

Wniosek praktyczny: nie ma na co czekać. Obowiązki, które realnie dotyczą kancelarii, w większości już obowiązują albo zaczną obowiązywać 2 sierpnia 2026 r.

Klasyfikacja ryzyka: research prawny a systemy wysokiego ryzyka

Co do zasady narzędzie do researchu prawnego nie jest systemem wysokiego ryzyka. Załącznik III do rozporządzenia wymienia w obszarze „sprawowanie wymiaru sprawiedliwości” systemy przeznaczone do wykorzystywania przez organy wymiaru sprawiedliwości lub w ich imieniu przy ustalaniu i interpretacji faktów oraz prawa. Research prowadzony przez kancelarię na potrzeby własnej analizy sprawy nie mieści się w tej kategorii: kancelaria nie jest organem wymiaru sprawiedliwości i nie działa w jego imieniu. Ostrożność jest jednak wskazana, bo klasyfikacji podlega konkretne zastosowanie, nie nazwa narzędzia, a przeznaczenie systemu określa jego dostawca.

Ta sama kancelaria może przy tym korzystać z AI w obszarach, które w załączniku III figurują wprost, na przykład przy rekrutacji i ocenie kandydatów do pracy. Jeden podmiot bywa więc deployerem systemu minimalnego ryzyka w researchu i systemu wysokiego ryzyka w HR. Dlatego punktem wyjścia każdej analizy jest inwentaryzacja zastosowań, a nie samych narzędzi. Praktyki zakazane z art. 5 (manipulacja, scoring społeczny, masowe pozyskiwanie wizerunków) w typowej praktyce kancelarii nie występują, ale zespół powinien umieć je rozpoznać.

Obowiązki, które już działają: kompetencje, nadzór i polityka

Art. 4 wymaga, aby podmiot stosujący zapewnił „w największym możliwym stopniu” odpowiedni poziom kompetencji w zakresie AI u personelu i innych osób korzystających z systemów w jego imieniu, z uwzględnieniem ich wiedzy, doświadczenia i kontekstu użycia. Przepis nie narzuca formy, nie musi to być certyfikowany kurs. Sensowną miarą w kancelarii używającej AI do researchu jest szkolenie, po którym każdy prawnik rozumie, jak działa narzędzie, gdzie leżą jego ograniczenia (w tym ryzyko zmyślonych orzeczeń i przepisów) i jak weryfikuje się odpowiedzi: sprawdzenie źródła, sygnatury, daty i aktualności każdego przywołanego orzeczenia lub przepisu.

W tym samym kierunku idzie samorząd zawodowy. Rekomendacje KIRP dotyczące korzystania z narzędzi opartych na AI (opublikowane w maju 2025 r.) kładą nacisk na ochronę tajemnicy zawodowej, odpowiedzialność za treści generowane przez AI i weryfikację wyników przez radcę prawnego. Rozporządzenie i rekomendacje samorządu spotykają się w jednym punkcie: nadzór człowieka nad AI nie jest dodatkiem do wdrożenia, lecz warunkiem korzystania z narzędzia. Odpowiedzialność za pismo, opinię czy strategię procesową zawsze ponosi prawnik, nie system.

Najprostszym sposobem, by te obowiązki spiąć w całość, jest spisana polityka korzystania z AI w kancelarii: które narzędzia są dopuszczone, do jakich zadań, jakie dane wolno do nich wprowadzać (a jakich, zwłaszcza objętych tajemnicą zawodową, nie), kto odpowiada za weryfikację wyników i jak dokumentuje się użycie AI w sprawie. Taki dokument porządkuje obowiązek AI literacy, ogranicza „szarą strefę” prywatnych kont w narzędziach konsumenckich i tworzy materiał dowodowy na wypadek pytań klienta lub sporu o staranność.

Procedura: wdrożenie wymogów AI Act w kancelarii

Krok pierwszy polega na inwentaryzacji: spisujemy wszystkie zastosowania AI w kancelarii, także te uruchamiane na prywatnych kontach pracowników, bo klasyfikacji podlega zastosowanie, nie nazwa narzędzia. Krok drugi obejmuje ustalenie roli kancelarii dla każdego zastosowania (niemal zawsze będzie to podmiot stosujący) oraz klasyfikację ryzyka: research prawny co do zasady nie jest wysokiego ryzyka, ale na przykład narzędzia rekrutacyjne trzeba ocenić osobno. Krok trzeci to weryfikacja, czy żadne zastosowanie nie dotyka praktyk zakazanych z art. 5, obowiązujących od 2 lutego 2025 r.

Krok czwarty realizuje obowiązek AI literacy z art. 4: udokumentowane szkolenie zespołu, dopasowane do ról, obejmujące ograniczenia narzędzi oraz weryfikację źródeł, sygnatur, dat i aktualności przywoływanych orzeczeń. Krok piąty obejmuje spisanie zasad nadzoru i dokumentowania: kto weryfikuje każdy wynik AI przed użyciem w sprawie klienta, jakie dane wolno wprowadzać do narzędzia i kto zatwierdza efekt jego pracy. Krok szósty domyka wdrożenie od strony przejrzystości i aktualizacji: rekomendacje KIRP zalecają ocenę przy przyjmowaniu zlecenia, czy jego wrażliwy charakter wymaga powiadomienia klienta, a jeśli kancelaria udostępnia klientom chatbota, od 2 sierpnia 2026 r. dochodzą obowiązki informacyjne z art. 50. Po tej dacie oraz po każdej zmianie harmonogramu politykę trzeba przejrzeć na nowo, bo wdrożenie to proces, nie jednorazowy projekt.

Typowe błędy przy wdrażaniu AI Act w kancelarii

Najczęstszy błąd to uznanie, że AI Act jest problemem dostawców oprogramowania, a kancelarii nie dotyczy. Dotyczy: rola podmiotu stosującego niesie własny katalog obowiązków, a część z nich działa już od 2 lutego 2025 r. W praktyce wdrożeń powtarza się kilka pułapek:

• Czekanie na terminy wysokiego ryzyka: przesunięcie na 2027 i 2028 r. dotyczy systemów wysokiego ryzyka, a nie obowiązków AI literacy i przejrzystości, które typową kancelarię obejmują wcześniej.
• Inwentaryzacja narzędzi zamiast zastosowań: to samo narzędzie może być minimalnego ryzyka w researchu i wysokiego ryzyka w rekrutacji, liczy się kontekst użycia.
• Pomijanie prywatnych kont: praca nad sprawą klienta na koncie konsumenckim to nadal działalność zawodowa objęta rozporządzeniem, a do tego realne ryzyko dla tajemnicy zawodowej.
• Mylenie reżimów prawnych: AI Act nie zastępuje RODO ani tajemnicy zawodowej, wszystkie trzy warstwy stosuje się równolegle.
• Wdrożenie jednorazowe: bez przeglądu po 2 sierpnia 2026 r. i po zmianach harmonogramu polityka AI szybko się dezaktualizuje.

Najczęstsze pytania (QA)

Czy kancelaria musi przeprowadzić formalne szkolenie, żeby spełnić obowiązek AI literacy?

Nie ma jednej przepisanej formy. Art. 4 wymaga zapewnienia odpowiedniego poziomu kompetencji dopasowanego do wiedzy zespołu i kontekstu użycia. W praktyce wystarczy udokumentowane szkolenie wewnętrzne obejmujące działanie narzędzia, jego ograniczenia i zasady weryfikacji wyników. Ważne, by dało się wykazać, że się odbyło i czego dotyczyło.

Czy narzędzie do researchu prawnego jest systemem wysokiego ryzyka?

Co do zasady nie. Załącznik III obejmuje w obszarze wymiaru sprawiedliwości systemy wykorzystywane przez organy wymiaru sprawiedliwości lub w ich imieniu, a kancelaria prowadząca research na potrzeby własnej analizy sprawy nie działa w tej roli. Klasyfikacji podlega jednak konkretne zastosowanie, więc na przykład narzędzie rekrutacyjne w tej samej kancelarii trzeba ocenić osobno.

Czy trzeba informować klienta, że kancelaria używa AI do researchu?

AI Act nie nakłada takiego obowiązku przy typowym researchu na potrzeby wewnętrzne. Rekomendacje KIRP zalecają jednak ocenę przy przyjmowaniu zlecenia, czy jego wrażliwy charakter lub sposób użycia narzędzia wymagają powiadomienia klienta. Osobną kwestią są obowiązki przejrzystości z art. 50, gdy klient wchodzi w bezpośrednią interakcję z systemem AI, na przykład chatbotem kancelarii.

Czy prawnik pracujący na prywatnym koncie w narzędziu AI podlega AI Act?

Tak, jeśli pracuje nad sprawą klienta. Wyjątek przewidziany dla osobistej działalności pozazawodowej nie obejmuje pracy zawodowej wykonywanej na prywatnym koncie. Dlatego polityka AI kancelarii powinna obejmować także narzędzia konsumenckie, z których zespół korzysta poza infrastrukturą firmową.

Czy AI Act reguluje wpisywanie danych klientów do narzędzi AI?

Nie wprost. Ochrona danych osobowych pozostaje domeną RODO, a informacje o sprawach klientów domeną tajemnicy zawodowej. AI Act stosuje się równolegle i nie uchyla tych reżimów, dlatego w polityce AI kancelarii warto opisać wszystkie trzy warstwy: co wolno wprowadzać do narzędzia, na jakiej podstawie i z jakim nadzorem.

Co grozi kancelarii za brak zgodności z AI Act?

Najwyższe kary (do 35 mln EUR lub 7% obrotu) dotyczą praktyk zakazanych, a kolejne progi głównie obowiązków związanych z systemami wysokiego ryzyka. Dla typowej kancelarii korzystającej z narzędzia do researchu bardziej realne jest ryzyko odpowiedzialności zawodowej i wobec klienta za niezweryfikowany wynik pracy AI niż administracyjna kara pieniężna.