Pierwsza norma do AI Act trafiła do Dziennika Urzędowego UE: co to znaczy dla firmy, która rekrutuje z AI

Komisja Europejska opublikowała 19 października 2026 roku w Dzienniku Urzędowym UE odniesienie do pierwszej normy zharmonizowanej wspierającej AI Act, czyli EN 18286, która opisuje system zarządzania jakością dla dostawców AI wysokiego ryzyka. Dla polskiej firmy, która kupuje albo sama składa narzędzie do selekcji CV czy oceny pracowników, to pierwszy konkretny wzór tego, czego od dostawcy takiego systemu będzie można wymagać od 2 grudnia 2027 roku.

Co się wydarzyło

Norma nazywa się EN 18286:2026 "Artificial intelligence - Quality management system for EU AI Act regulatory purposes" i powstała w europejskich organizacjach normalizacyjnych CEN i CENELEC. Komisja opublikowała ją decyzją wykonawczą (UE) 2026/2274, a w komunikacie podkreśla, że to jedyna norma dla systemu jakości AI, która daje domniemanie zgodności z AI Act.

Domniemanie zgodności oznacza, że dostawca, który wdroży normę, jest traktowany jak firma spełniająca te wymagania art. 17 AI Act, które norma obejmuje. Projekt normy trafił do publicznego zapytania 30 października 2025 roku, więc droga od wersji roboczej do Dziennika Urzędowego zajęła niespełna rok.

Komisja zamówiła u CEN i CENELEC normy w dziesięciu obszarach, od zarządzania ryzykiem i jakości danych po nadzór człowieka i cyberbezpieczeństwo. EN 18286 jest pierwsza z tej listy, a Komisja zapowiada, że kolejne normy zharmonizowane pojawią się później.

Czego wymaga art. 17 AI Act

Art. 17 każe dostawcy systemu wysokiego ryzyka prowadzić udokumentowany system jakości w formie pisemnych zasad, procedur i instrukcji. Przepis wymienia trzynaście elementów, między innymi testy przed wdrożeniem i po nim, zarządzanie danymi użytymi do trenowania, monitorowanie systemu po wprowadzeniu na rynek, zgłaszanie poważnych incydentów i podział odpowiedzialności w zespole.

Dla małych firm ważny jest ust. 2 tego artykułu, według którego wdrożenie ma być proporcjonalne do wielkości organizacji, szczególnie gdy dostawca jest MŚP albo start-upem. Komisja zaznacza też, że EN 18286 nie zastępuje ISO 9001 ani ISO/IEC 42001, tylko można ją dobudować do systemu, który firma już ma.

Co to znaczy dla firmy, która rekrutuje albo ocenia ludzi z pomocą AI

Większość firm na kilkanaście czy kilkadziesiąt osób nie produkuje systemów AI, tylko ich używa, a wtedy AI Act nazywa je podmiotami stosującymi. Art. 17 i norma EN 18286 dotyczą przede wszystkim dostawców, ale granica bywa cieńsza, niż się wydaje.

Załącznik III AI Act zalicza do wysokiego ryzyka systemy, które publikują ukierunkowane ogłoszenia o pracę, analizują i filtrują zgłoszenia, oceniają kandydatów, a także te, które pomagają decydować o awansie, zwolnieniu, przydziale zadań albo monitorują wyniki pracowników. Jeśli firma używa takiego narzędzia, warto wiedzieć, czy jego dostawca ma system jakości zgodny z art. 17.

Druga sytuacja jest mniej oczywista, bo art. 25 mówi, że podmiot stosujący staje się dostawcą systemu wysokiego ryzyka, gdy umieszcza na nim swoją nazwę, istotnie go modyfikuje albo zmienia przeznaczenie zwykłego narzędzia AI tak, że zaczyna ono pełnić funkcję z listy wysokiego ryzyka. Firma, która na bazie ogólnego modelu językowego zbuduje sobie automat do odsiewania CV, może więc sama wejść w obowiązki dostawcy, łącznie z systemem jakości.

Polski nadzór i lista kontrolna na najbliższe miesiące

W Polsce organem nadzoru rynku dla systemów AI jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, co przesądza art. 5 ustawy z 3 lipca 2026 roku o systemach sztucznej inteligencji. Do jej zadań należy też wydawanie opinii indywidualnych w sprawie stosowania AI Act (art. 6 pkt 13), więc w wątpliwej sprawie można zapytać ją wprost.

Do 2 grudnia 2027 roku zostało ponad trzynaście miesięcy, a poniższe kroki da się zrobić bez zatrudniania nowych ludzi:

1. Spisz wszystkie narzędzia z AI, które dotykają rekrutacji, ocen pracowników albo przydziału zadań, razem z nazwą dostawcy.
2. Przy każdym z nich sprawdź, czy kupujesz gotowy produkt, czy sam go złożyłeś albo przerobiłeś, bo od tego zależy, czy jesteś podmiotem stosującym, czy dostawcą w rozumieniu art. 25.
3. Zapytaj dostawców, czy przygotowują system jakości zgodny z art. 17 i czy opierają go na EN 18286, a odpowiedź zachowaj w dokumentacji.
4. Jeśli sam budujesz automatyzację oceniającą ludzi, porównaj ją z listą trzynastu elementów art. 17 i zanotuj, których brakuje.
5. Gdy nie wiesz, czy Twój system to wysokie ryzyko, rozważ wniosek o opinię indywidualną do polskiej komisji, zanim wydasz pieniądze na wdrożenie.

Publikacja EN 18286 niczego jeszcze nie nakazuje, ale pierwszy raz pokazuje czarno na białym, jak ma wyglądać porządek po stronie dostawcy, więc firma, która wie dziś, kto jest dostawcą jej narzędzi rekrutacyjnych, ma w 2027 roku znacznie prostsze zadanie.

Ten tekst nie jest poradą prawną. W konkretnej sprawie skonsultuj się z prawnikiem albo zapytaj Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji o opinię indywidualną.