← Powrót
maj 2026

EU AI Act, sierpień 2026: które funkcje MES kwalifikują się jako „high-risk AI" — i co to znaczy w praktyce

2 sierpnia 2026 zaczynają obowiązywać przepisy AI Act dotyczące systemów wysokiego ryzyka. Część funkcji MES — predykcja awarii, monitoring operatorów, AI w kontroli jakości i wsparcie decyzji o przeniesieniach kadrowych — może zostać sklasyfikowana jako high-risk z karą do 15 mln EUR za naruszenia. Artykuł pokazuje konkretnie, które funkcje MES są pod regulacją (Annex I + Annex III), które prawie na pewno nie, jakie obowiązki musi spełnić deployer i provider, oraz co zrobić w pozostałych ~3 miesiącach.

📅 5 maja 2026🏭 AI✒ Martin Szerment
EU AI Act, sierpień 2026: które funkcje MES kwalifikują się jako „high-risk AI" — i co to znaczy w praktyce

2 sierpnia 2026 to data, której większość zakładów produkcyjnych w Polsce jeszcze nie ma w kalendarzu compliance. Tego dnia w UE zaczynają w pełni obowiązywać przepisy AI Act dotyczące systemów wysokiego ryzyka (Annex III) oraz uprawnienia Komisji Europejskiej do egzekwowania zasad wobec dostawców GPAI (DLA Piper, sierpień 2025). Kary za naruszenia w obszarze high-risk sięgają 15 mln EUR lub 3% globalnego obrotu (zob. Art. 99 AI Act). Za praktyki zakazane — 35 mln EUR lub 7% (artificialintelligenceact.eu/article/99).

Dla świata MES, SCADA i CMMS to nie jest abstrakcyjna regulacja dla „dużego AI". Część funkcji, które już dziś działają na polskich halach — predykcja awarii sprzężona z systemem bezpieczeństwa maszyny, monitoring wydajności operatora wpływający na premie, AI klasyfikujące braki w kontroli jakości produktów medycznych — może podlegać klasyfikacji jako AI wysokiego ryzyka. Niżej rozbieram to bez wody: co dokładnie jest regulowane, co nie, i co trzeba zrobić w pozostałych miesiącach.

Dwie ścieżki klasyfikacji — Annex I vs Annex III

AI Act ma dwie niezależne ścieżki, którymi system AI staje się AI wysokiego ryzyka. Zrozumienie tej dychotomii jest kluczowe, bo MES może wpaść w obie jednocześnie.

Ścieżka 1: Annex I (Article 6(1)) — AI jako komponent bezpieczeństwa lub sam produkt podlegający harmonizacji UE. W tym koszyku jest m.in. Rozporządzenie w sprawie maszyn 2023/1230 (zastępujące Dyrektywę Maszynową 2006/42/WE od 20 stycznia 2027, TÜV Rheinland). Nowe rozporządzenie wprost wymienia komponenty bezpieczeństwa oparte o AI i adaptacyjne systemy sterowania. Jeżeli wasz MES integruje się z systemem bezpieczeństwa maszyny — np. AI predykuje rozkład łożyska i automatycznie zmienia parametry pracy linii by uniknąć awarii skutkującej ryzykiem dla operatora — to z dużym prawdopodobieństwem jesteście w Annex I.

Ścieżka 2: Annex III (Article 6(2)) — osiem obszarów zastosowań, w których AI jest AI wysokiego ryzyka z definicji, chyba że nie stwarza istotnego ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych (Annex III, artificialintelligenceact.eu). Z perspektywy MES interesują nas trzy z tych ośmiu kategorii: infrastruktura krytyczna, zatrudnienie i zarządzanie pracownikami, oraz w wybranych branżach — usługi podstawowe.

Termin obowiązywania jest też różny: Annex III stosuje się od 2 sierpnia 2026, Annex I — od 2 sierpnia 2027 dla większości produktów (artificialintelligenceact.eu/article/6). To oznacza, że deployer MES z modułem AI najpierw zderzy się z obowiązkami Annex III (monitorowanie pracowników, krytyczna infrastruktura), a dopiero rok później — z pełnymi wymaganiami dla AI w maszynach.

Funkcje MES, które kwalifikują się jako AI wysokiego ryzyka

Konkretnie, mapując typowe moduły MES/EMS/CMMS na zapisy AI Act:

1. AI w predykcji awarii sprzężonej z systemem bezpieczeństwa maszyny (Annex I). Klasyczny przykład: model XGBoost analizujący sygnały z czujników wibracji, który decyduje o automatycznym wyłączeniu agregatu zanim dojdzie do awarii zagrażającej operatorowi. To AI jako komponent bezpieczeństwa maszyny w rozumieniu Rozporządzenia 2023/1230. AI wysokiego ryzyka z mocy prawa.

2. AI klasyfikujące braki w branżach regulowanych — produkcja medyczna, motoryzacja, lotnictwo (Annex I). Wizja komputerowa wykrywająca defekty na linii produkcji wyrobów medycznych jest objęta MDR (Medical Device Regulation), a tym samym — Annex I AI Act. To samo dotyczy bezpieczeństwa pojazdów (Type Approval Regulation) i lotnictwa cywilnego (EASA). Zwykła kontrola wizyjna w produkcji opakowań plastikowych — nie.

3. Monitoring wydajności i zachowania operatorów (Annex III, pkt 4b). AI Act wprost klasyfikuje jako AI wysokiego ryzyka systemy AI „przeznaczone do monitorowania i oceny wydajności i zachowania osób w stosunkach pracy". Tu wpada większość modułów MES, które:

  • generują rankingi operatorów na podstawie OEE/wydajności,
  • liczą metryki indywidualne wpływające na premie/awanse,
  • analizują kamerami zachowanie pracownika (czas spędzony przy stanowisku, kompletność procedury).

To najczęściej pomijany obszar. Polski kierownik produkcji często nie zdaje sobie sprawy, że dashboard z rankingiem operatorów połączony z systemem premiowym może być AI wysokiego ryzyka z perspektywy regulatora.

4. AI wspierające decyzje kadrowe — przydział zadań, awanse, zwolnienia (Annex III, pkt 4b). Jeżeli wasz MES rekomenduje przeniesienie operatora na inną linię na podstawie historii błędów, albo wspiera decyzje o redukcji zatrudnienia po analizie produktywności zespołów — to AI wysokiego ryzyka.

5. AI w zarządzaniu krytyczną infrastrukturą energetyczną, wodną, gazową (Annex III, pkt 2). Dotyczy zakładów, które są częścią dostaw energii elektrycznej, wody, gazu, ciepła. Jeżeli wasz EMS optymalizuje pracę agregatów kogeneracyjnych zasilających lokalną sieć, AI w warstwie sterowania tym procesem jest AI wysokiego ryzyka.

Funkcje MES, które prawie na pewno NIE są AI wysokiego ryzyka

Tu dla równowagi — bo panika kosztuje równie dużo co zaniedbanie:

  • Raporty zmianowe generowane przez LLM (np. ChatGPT/Claude streszcza dane z OEE i przyczyn przestojów). To narzędzie analityczne, nie podejmuje autonomicznych decyzji wpływających na zdrowie/prawa.
  • Chatbot dokumentacji technicznej (jak nasz LangChain + Outline w OmniMES) — informacja, nie decyzja.
  • Predykcja zużycia surowca pod planowanie zamówień — funkcja biznesowa, nie safety, nie HR.
  • AI sugerujące optymalny harmonogram konserwacji prewencyjnej — pod warunkiem, że człowiek zatwierdza wykonanie, a nie jest to sprzężone z auto-shutdownem maszyny.
  • Analiza energii w ramach EMS dla raportowania ESG/ISO 50001 — to zgodność z inną regulacją, nie AI Act.

Granica jest w jednej kwestii: czy AI ma wpływ na bezpieczeństwo, prawa podstawowe lub decyzje pracownicze? Jeżeli nie — najprawdopodobniej nie jesteście w Annex.

Co znaczy „high-risk" w praktyce — siedem obowiązków

Jeżeli funkcja MES wpada w kategorię wysokiego ryzyka, to provider (czyli wy, jeśli rozwijacie własne moduły AI; lub dostawca, jeśli kupujecie) i deployer (czyli zakład produkcyjny używający systemu) muszą spełnić (Article 17, Annex VI, Article 26):

  1. System zarządzania jakością (QMS) — udokumentowany proces rozwoju, walidacji i utrzymania systemu AI. Część może być zintegrowana z istniejącym ISO 9001.
  2. Dokumentacja techniczna — architektura, dane treningowe, metryki dokładności, ocena ryzyka, plan testów. Aktualizowana w cyklu życia systemu.
  3. Ocena zgodności (conformity assessment) — wewnętrzna (Annex VI) lub przez jednostkę notyfikowaną (Annex VII), zależnie od typu systemu i obszaru. Większość systemów Annex III idzie ścieżką wewnętrzną.
  4. Rejestracja w bazie danych UE — przed wprowadzeniem na rynek system wysokiego ryzyka z Annex III musi być wpisany do publicznej bazy.
  5. Post-market monitoring (Article 72) — udokumentowany plan zbierania danych o wydajności i incydentach po wdrożeniu, raportowanie poważnych incydentów do organów nadzoru.
  6. Human oversight (Article 14) — wbudowane mechanizmy umożliwiające człowiekowi monitorowanie, interwencję i nadrzędność nad decyzjami AI. Dla systemu klasyfikującego braki to znaczy: operator może zatwierdzić/odrzucić decyzję AI; logujemy każdą interwencję.
  7. Logowanie i ślad audytowy — automatyczne logi wszystkich istotnych zdarzeń, przechowywane przez minimum 6 miesięcy.

Dla deployera (czyli właściciela zakładu używającego MES wysokiego ryzyka) dochodzi jeszcze obowiązek z Article 26: przed wdrożeniem AI wysokiego ryzyka w miejscu pracy musicie poinformować przedstawicieli pracowników i samych pracowników o tym, że będą poddani działaniu takiego systemu. To nie jest opcjonalne i nie da się tego obejść regulaminem pracy podpisanym dwa lata wcześniej.

Polska specyfika — KRiBSI i opóźnienie ustawy

Polska przyjęła unikalne podejście: zamiast rozdzielać kompetencje między UODO, UKE i sektorowych regulatorów, rząd zdecydował się na jeden centralny organ — Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) (Rzeczpospolita, marzec 2026). Polska razem z Litwą są jedynymi krajami UE, które poszły tą drogą.

Problem: stan na maj 2026 — polska ustawa wdrażająca AI Act jeszcze nie weszła w życie. Projekt został przyjęty przez rząd 31 marca 2026, ale przed nim cała ścieżka parlamentarna (prawo.pl, kwiecień 2026). Dla zakładów oznacza to dwie rzeczy:

  • Obowiązki wynikające z rozporządzenia UE stosują się bezpośrednio od 2 sierpnia 2026 — nie czekacie na polską ustawę. Niezgodność = ryzyko kary nakładanej (po przejściu polskiej procedury) przez KRiBSI lub bezpośrednio przez Komisję Europejską w przypadku GPAI.
  • Brak krajowych procedur egzekucyjnych nie jest argumentem obronnym — UODO już sygnalizuje, że w obszarze danych osobowych w AI będzie działać na podstawie RODO niezależnie od stanu polskiej ustawy AI.

Praktycznie: nie traktujcie braku polskiej ustawy jako luzu. Traktujcie jako okno do uporządkowania własnych spraw, zanim KRiBSI zacznie wydawać pierwsze decyzje (prognozowo Q4 2026 / Q1 2027).

Kary i koszty niezgodności

Stawki z Article 99 AI Act — wybiera się wyższą z dwóch wartości:

  • Praktyki zakazane (Article 5 — m.in. social scoring, manipulacja behawioralna): do 35 mln EUR lub 7% globalnego rocznego obrotu.
  • Naruszenia obowiązków wysokiego ryzyka (większość scenariuszy MES): do 15 mln EUR lub 3% obrotu.
  • Podanie nieprawdziwych informacji organom nadzoru: do 7,5 mln EUR lub 1% obrotu.

Dla małych i średnich firm (SME) Article 99 przewiduje obniżkę — bierze się niższą z dwóch wartości. To realna ulga dla większości polskich zakładów produkcyjnych.

Koszt zgodności? Z naszej praktyki w OmniMES: wewnętrzna ocena zgodności (Annex VI) dla jednego modułu AI to typowo 15–30 dni roboczych zespołu (architekt, prawnik IP, data scientist). Jednostka notyfikowana (Annex VII), jeżeli wymagana — 6–12 tygodni i koszty audytu od 25 do 80 tys. EUR. Dla porównania: jedna kara za naruszenie w kategorii wysokiego ryzyka w wysokości 3% obrotu zakładu z przychodem 100 mln EUR to 3 mln EUR. Matematyka mówi sama za siebie.

Co zrobić w pozostałych ~3 miesiącach — lista kontrolna

Realnie do 2 sierpnia 2026 zostały trzy miesiące. To wystarczy na inwentaryzację i fundamenty, nie na pełną ocenę zgodności. Sensowna sekwencja:

  1. Zinwentaryzujcie wszystkie funkcje MES/EMS/CMMS używające AI lub uczenia maszynowego. Lista powinna obejmować: nazwę funkcji, model (jeśli znany), źródło (wewnętrzny vs dostawca zewnętrzny), opis decyzji, którą AI wspiera lub podejmuje.
  2. Zmapujcie każdą funkcję na Annex I lub Annex III używając trzech pytań: (a) czy AI jest komponentem bezpieczeństwa maszyny lub produktu regulowanego (Annex I)? (b) czy AI ocenia ludzi w pracy lub wpływa na decyzje kadrowe (Annex III pkt 4)? (c) czy AI zarządza infrastrukturą krytyczną (Annex III pkt 2)?
  3. Dla funkcji oznaczonych jako AI wysokiego ryzyka zacznijcie od dokumentacji technicznej i logów. To podstawa, na której oprzecie wszystko inne. Bez tego nie macie czego oceniać.
  4. Zorganizujcie spotkanie z przedstawicielami pracowników w sprawie tych funkcji, które monitorują wydajność/zachowanie. Article 26 wymaga informacji przed wdrożeniem — jeżeli system już działa, to konsultacja powinna się odbyć jak najszybciej.
  5. Sprawdźcie kontrakty z dostawcami MES. Kto jest providerem w rozumieniu AI Act? Czy dostawca zobowiązuje się do oceny zgodności? Czy macie dostęp do dokumentacji technicznej? To są negocjowane teraz, nie po pierwszej kontroli.
  6. Wyznaczcie osobę odpowiedzialną — ktoś musi mieć w opisie stanowiska „AI Act compliance lead". Bez tego inicjatywa rozmydli się między IT, jakością i HR.

Podsumowanie — niewygodna prawda

AI Act nie ma na celu zatrzymania automatyzacji w przemyśle. Ma zapewnić, że automatyzacja, która podejmuje decyzje wpływające na ludzi, jest przejrzalna, audytowalna i kontrolowana. Jeżeli OmniMES, SAP DM czy Siemens Opcenter już dziś prowadzi dziennik audytu każdej decyzji, ma RBAC na moduł i pozwala kierownikowi nadrzędować nad rekomendacjami AI — to wymagania AI Act dla większości funkcji są bardziej proceduralne niż technologiczne.

Najgorszy scenariusz: zakład odkrywa we wrześniu 2026, że dashboard z rankingiem operatorów to AI wysokiego ryzyka, którego nie zinwentaryzował, nie udokumentował i nie skonsultował z przedstawicielami pracowników. KRiBSI nie będzie zainteresowane wymówką „myśleliśmy że to tylko Excel z OEE". Zgodność to nie projekt na tydzień przed terminem — to system, który warto budować od teraz.

Źródła