Dyrektor sportowy wrzuca do narzędzia AI profile trzech kandydatów i prosi o wskazanie najlepszego transferu. Pracownik administracji przekazuje modelowi umowę, żeby przygotował jej streszczenie. Marketing generuje zapowiedź meczu. Fizjoterapeuta chce zestawić wyniki badań zawodnika z historią urazów. HR używa algorytmu do uporządkowania CV kandydatów na nowe stanowisko.
W każdym przypadku mówimy: „korzystamy ze sztucznej inteligencji”.
Z punktu widzenia ryzyka organizacyjnego i prawa to jednak pięć zupełnie różnych sytuacji.
I właśnie tutaj zaczyna się problem.
Wiele organizacji sportowych próbuje dziś odpowiedzieć na pytanie: „Czy możemy używać ChatGPT i innych narzędzi AI?”
To źle postawione pytanie.
Prawidłowe brzmi:
„Do czego używamy AI, jakie dane jej przekazujemy, na kogo wpływa wynik jej działania, kto podejmuje ostateczną decyzję i kto bierze za nią odpowiedzialność?”
Od 2 sierpnia 2026 r. odpowiedź na te pytania nie jest już wyłącznie elementem dobrego zarządzania technologią. Zaczyna być częścią systemu zgodności organizacji z europejskim AI Act. Jednocześnie nie oznacza to, że każdy klub powinien zatrudnić AI Officera, stworzyć dwustustronicową politykę albo zabronić pracownikom korzystania z generatywnej AI.
Wręcz przeciwnie.
Najgorszą reakcją na AI Act byłoby zablokowanie technologii z obawy przed regulacją. Drugą najgorszą byłoby pozwolenie wszystkim na korzystanie z niej bez żadnych zasad.
Dojrzała organizacja robi coś pomiędzy.
Wie, gdzie używa AI, do czego jej używa, jakie ryzyko z tego wynika i gdzie musi pozostać człowiek.
Teza
AI Act jest dla sportu przede wszystkim testem dojrzałości zarządczej, a dopiero później problemem prawnym.
Klub lub federacja, która nie potrafi dziś wskazać, gdzie jej pracownicy korzystają ze sztucznej inteligencji, nie jest w stanie ocenić ryzyka wynikającego z jej wykorzystania.
Nie pomoże jej najlepszy regulamin przygotowany przez kancelarię.
Bo nie można zarządzać czymś, czego organizacja nie widzi.
Stan prawny i charakter materiału. Tekst ma charakter informacyjny i nie stanowi porady prawnej. Opisuje stan na 10 sierpnia 2026 r., z uwzględnieniem pakietu AI Omnibus, który wszedł w życie 27 lipca 2026 r. Kwalifikacja konkretnego systemu zawsze wymaga indywidualnej analizy prawnej.
Co naprawdę wydarzyło się 2 sierpnia 2026 roku
Wokół tej daty narosło sporo nieporozumień, więc warto ją opisać precyzyjnie. 2 sierpnia 2026 r. większość zasad AI Act zaczęła być stosowana, zaczęły obowiązywać obowiązki przejrzystości z art. 50 i ruszyło egzekwowanie przepisów, które są już stosowane. Nie jest to natomiast data, od której obowiązują wszystkie wymogi dla systemów wysokiego ryzyka. Zmienił to pakiet AI Omnibus, który wszedł w życie 27 lipca 2026 r. i przesunął część terminów.
Oś czasu odzwierciedla oficjalny harmonogram wdrożenia publikowany przez AI Act Service Desk Komisji Europejskiej po wejściu w życie AI Omnibus. Linki do źródeł znajdują się na końcu artykułu.
Dla klubu praktyczny wniosek jest inny, niż sugerują nagłówki. Przesunięcie terminów dla systemów wysokiego ryzyka nie jest zwolnieniem z myślenia — jest czasem na przygotowanie. To, co obowiązuje już dziś, dotyczy najbardziej codziennych rzeczy: zakazanych praktyk, kompetencji personelu i przejrzystości treści.
AI Act nie jest ustawą o ChatGPT
Najczęstszy błąd interpretacyjny w organizacjach sportowych polega na utożsamieniu AI Act z regulacją popularnych chatbotów. Rozporządzenie reguluje systemy AI według ryzyka i według roli podmiotu, a nie według popularności marki. Dla klubu, związku czy akademii istotne są cztery rozróżnienia.
Po pierwsze, rola. Dostawcą jest ten, kto rozwija system i wprowadza go do obrotu pod własną nazwą. Podmiotem stosującym jest ten, kto z niego korzysta w ramach swojej działalności. Klub prawie zawsze jest podmiotem stosującym — chyba że wdroży cudze narzędzie pod własną marką albo istotnie je zmodyfikuje. Wtedy może przejąć obowiązki dostawcy, o czym mało kto pamięta przy projektach realizowanych wspólnie z partnerem technologicznym.
Po drugie, kategoria ryzyka. Część praktyk jest zakazana. Część zastosowań kwalifikuje się jako wysokie ryzyko, w tym systemy używane w zatrudnieniu i zarządzaniu pracownikami oraz w edukacji i szkoleniu zawodowym. Znaczna część narzędzi biurowych nie należy do żadnej z tych kategorii, ale podlega obowiązkom przejrzystości, jeżeli generuje treści albo prowadzi interakcję z człowiekiem.
Po trzecie, równoległość regulacji. AI Act nie zastępuje RODO. Jeżeli w prompcie pojawia się nazwisko zawodnika, opis urazu albo dane kontaktowe kibica, to jest przetwarzanie danych osobowych ze wszystkimi konsekwencjami. Europejska Rada Ochrony Danych w opinii 28/2024 zajęła się właśnie tym stykiem modeli AI i ochrony danych.
Po czwarte, przedmiot regulacji. Prawo nie interesuje się tym, czy narzędzie jest modne. Interesuje się tym, jakie dane wchodzą, jaki wynik wychodzi i jaka decyzja dotycząca człowieka na tej podstawie zapada.
Pięć sytuacji z pierwszego akapitu — co z nimi zrobić
1. Dyrektor sportowy i lista zawodników w prompcie
To najczęstszy realny incydent w klubach. Do zewnętrznego systemu trafiają dane osobowe zawodników, często razem z ocenami charakteru, informacjami o rodzinie lub sytuacji kontraktowej. Ryzyko nie polega na tym, że model „ukradnie" listę. Polega na tym, że klub nie ma podstawy przetwarzania, nie wie, gdzie dane są przechowywane, i nie potrafi udokumentować, kto i kiedy je wprowadził. Rozwiązanie jest banalnie proste i wcale nie oznacza rezygnacji z narzędzia: pracujemy na pseudonimach i kodach zawodników, ocenę merytoryczną prowadzimy w systemie skautingowym, a asystenta AI używamy do struktury dokumentu, nie do przechowywania wiedzy o ludziach. Więcej o dyscyplinie pracy na danych w sporcie piszemy w analizie roli danych biometrycznych w sporcie .
2. Administracja i skan umowy sponsorskiej
Umowa sponsorska zawiera zwykle klauzulę poufności, dane osób reprezentujących strony i warunki finansowe. Wgranie jej do darmowego narzędzia bez umowy powierzenia i bez wiedzy o tym, czy dane wejściowe zasilają trening modelu, jest jednocześnie ryzykiem kontraktowym i ryzykiem relacji z partnerem. Praktyczna reguła: dokumenty objęte poufnością przetwarzamy wyłącznie w narzędziach zatwierdzonych przez organizację, w wersji z wyłączonym uczeniem na danych klienta i z podpisaną umową powierzenia.
3. Marketing i nieoznaczona grafika z wizerunkiem zawodnika
Tu spotykają się trzy porządki: obowiązki przejrzystości z art. 50, prawo do wizerunku i umowa z zawodnikiem. Od 2 sierpnia 2026 r. obowiązki dotyczące treści syntetycznych i materiałów typu deepfake są stosowane, a Komisja Europejska opublikowała 20 lipca 2026 r. wytyczne do art. 50. Dla klubu oznacza to konkretną procedurę redakcyjną: oznaczenie treści generowanych maszynowo, zakaz syntetycznego odtwarzania głosu lub wizerunku bez zgody oraz punkt kontrolny w akceptacji publikacji. To najtańsza zmiana z całej listy i jednocześnie ta, która najszybciej chroni reputację.
4. Fizjoterapeuta i opis urazu konkretnego zawodnika
Dane dotyczące zdrowia to dane szczególnej kategorii. Wpisanie ich do ogólnego asystenta konsumenckiego jest ryzykiem, którego żadna oszczędność czasu nie uzasadnia. Jednocześnie nie chodzi o to, by sztab medyczny nie korzystał z technologii — chodzi o to, by korzystał z narzędzi przeznaczonych do pracy na danych medycznych, na podstawie ustalonej podstawy prawnej i po ocenie skutków dla ochrony danych.
5. HR i automatyczne odrzucanie kandydatów
To jedyny przypadek z tej piątki, który wprost celuje w kategorię wysokiego ryzyka: systemy stosowane w rekrutacji i zarządzaniu pracownikami wymienia załącznik III. Zasady dla tej kategorii zaczynają obowiązywać 2 grudnia 2027 r., ale klub nie ma powodu czekać. Automatyczne odrzucenie kandydatury bez udziału człowieka jest ryzykiem dyskryminacyjnym i wizerunkowym niezależnie od kalendarza wdrożenia. Minimum na dziś: system może porządkować i podpowiadać, decyzję podejmuje osoba, a kryteria są zapisane przed rozpoczęciem naboru.
Shadow AI: prywatne konta i pytanie, którego nikt nie zadał
Największym problemem organizacji sportowych nie jest to, jakich narzędzi AI używają oficjalnie. Jest nim to, z jakich narzędzi pracownicy korzystają nieoficjalnie, na prywatnych kontach, z prywatnych telefonów, po godzinach, żeby zdążyć przed konferencją prasową albo terminem licencyjnym. To zjawisko nazywa się shadow AI i w sporcie ma szczególnie podatny grunt: sezonowość, presja czasu, mała administracja, dużo wolontariuszy i osób na krótkich umowach.
Shadow AI ma trzy konsekwencje. Organizacja nie wie, jakie dane opuściły jej środowisko. Nie ma śladu, na jakiej podstawie powstał dokument, który trafił do federacji lub sponsora. I nie potrafi wykazać zgodności, bo nie zna własnego stanu faktycznego. Reakcja represyjna zwykle pogarsza sytuację — pracownicy przestają przyznawać się do używania narzędzi, a ryzyko rośnie.
Skuteczna kolejność jest odwrotna: najpierw amnestia informacyjna i szczera inwentaryzacja bez konsekwencji dyscyplinarnych, potem udostępnienie zatwierdzonego narzędzia w wersji firmowej, potem reguła danych, a dopiero na końcu egzekwowanie. Pracownik nie omija zasad dlatego, że jest nielojalny. Omija je dlatego, że nikt nie dał mu legalnej ścieżki, która działa równie szybko. To ten sam mechanizm, który opisywaliśmy przy zarządzaniu wiedzą w klubie sportowym : wiedza i narzędzia krążą poza systemem, dopóki system nie jest wygodniejszy niż obejście.
Czy pracownika trzeba szkolić z AI?
Tak — i nie jest to rekomendacja, tylko obowiązek. Artykuł 4 AI Act nakłada na dostawców i podmioty stosujące zapewnienie odpowiedniego poziomu kompetencji AI wśród personelu obsługującego systemy. Przepis jest stosowany od 2 lutego 2025 r. Komisja Europejska prowadzi w tej sprawie oficjalne Q&A dotyczące AI literacy.
Przepis nie wymaga certyfikatów ani wielodniowych kursów. Wymaga adekwatności: inne kompetencje potrzebuje osoba generująca grafiki do mediów społecznościowych, inne — osoba korzystająca z narzędzia wspierającego rekrutację. W praktyce dobrze działa krótkie, konkretne szkolenie obejmujące cztery rzeczy: czym model jest i czego nie potrafi, jakie dane wolno wprowadzać, jak rozpoznać błąd modelu i kto podejmuje decyzję końcową. Ta ostatnia kwestia jest najważniejsza kulturowo — jeżeli w organizacji nikt nie odpowiada za decyzję, to AI nie jest problemem, tylko wygodnym alibi. Szerzej o luce kompetencyjnej w polskim sporcie piszemy w artykule o znaczeniu edukacji w sporcie .
Model BRAMKA AI
Nazwa jest celowa. Bramka to nie mur — przez bramkę się przechodzi. Chodzi o kontrolowane wejście, a nie o zakaz.
B jak Baza użycia
Pierwszym dokumentem organizacji nie powinna być polityka AI. Powinien nim być AI Use Case Register. Jedna tabela. Narzędzie. Dział. Użytkownik. Cel. Rodzaj danych. Wpływ na decyzję. Odbiorca rezultatu. Osoba odpowiedzialna. To wystarczy, żeby w ciągu kilku dni zobaczyć więcej niż podczas miesięcy dyskusji o strategii AI. Część zarządu może wtedy po raz pierwszy odkryć, że sztuczna inteligencja jest już wykorzystywana przez organizację. Po prostu nikt wcześniej tego nie nazwał.
R jak Ryzyko
Nie każde użycie AI wymaga takiego samego procesu. Model przygotowujący propozycję tytułu posta nie powinien przechodzić tej samej procedury co algorytm rekomendujący kandydatów do zatrudnienia. Najprostszy filtr zarządczy obejmuje cztery pytania: Czy AI pracuje na danych osobowych lub poufnych? Czy jej wynik wpływa na konkretną osobę? Czy wynik może wywołać istotny skutek sportowy, finansowy lub prawny? Czy człowiek realnie może zweryfikować rezultat? Im więcej odpowiedzi „tak”, tym wyższy poziom kontroli.
A jak Autoryzacja
„Pracownicy mogą używać AI” nie jest polityką. „Pracownicy nie mogą używać AI” również nie jest polityką. Organizacja powinna jasno wskazać zatwierdzone narzędzia oraz kategorie informacji, które mogą być w nich przetwarzane. W praktyce zupełnie inaczej należy traktować publiczny komunikat prasowy, projekt wewnętrznej prezentacji, nieopublikowaną ofertę sponsorską, umowę transferową i dokumentację medyczną zawodnika. Autoryzacja nie oznacza blokowania innowacji. Oznacza, że pracownik nie musi za każdym razem samodzielnie zastanawiać się, czy przekroczył granicę. Dobra polityka usuwa niepewność.
M jak Merytoryczny nadzór człowieka
Najbardziej niebezpiecznym zdaniem w organizacji wykorzystującej AI może stać się: „Tak pokazał system”. AI może przygotować analizę. Może wskazać anomalie. Może porównać dane. Może stworzyć rekomendację. Ale im większy wpływ decyzji na człowieka, budżet lub organizację, tym dokładniej trzeba określić, kto ma prawo zakwestionować wynik i kto podpisuje się pod decyzją. Human-in-the-loop nie może być dekoracją. Jeżeli człowiek zatwierdza 200 rekomendacji systemu dziennie bez realnej możliwości ich oceny, formalnie znajduje się w procesie. Faktycznie go nie kontroluje.
K jak Kompetencje
Nie każdy musi wiedzieć, jak zbudowany jest transformer. Każdy powinien wiedzieć, gdzie kończą się kompetencje narzędzia, którego używa. Pracownik komunikacji powinien rozumieć halucynacje, fact-checking, prawa do treści i zasady publikacji. Osoba pracująca na danych zawodników powinna rozumieć zasady ochrony danych i ograniczenia systemu. Manager powinien umieć ocenić, czy AI wspiera decyzję, czy zaczęła ją zastępować. Zarząd powinien rozumieć ryzyko organizacyjne. To jest AI literacy. Nie znajomość promptów.
A jak Audytowalność
Po sześciu miesiącach powinno być możliwe odpowiedzenie na pytanie: „Dlaczego podjęliśmy tę decyzję i jaką rolę odegrała w niej AI?” Nie w każdej sytuacji trzeba archiwizować każdy prompt. To byłoby równie absurdalne jak drukowanie wszystkich maili. Ale w procesach o istotnym ryzyku organizacja powinna posiadać wystarczający ślad decyzyjny, żeby ustalić, jaki system został wykorzystany, jakie dane otrzymał, kto zweryfikował rezultat i kto podjął decyzję. To nie jest biurokracja. To pamięć organizacyjna. A bez pamięci nie istnieje accountability.
Diagram tekstowy (dostępny również dla czytników ekranu): Baza użycia → Ryzyko → Autoryzacja → Merytoryczny nadzór człowieka → Kompetencje → Audytowalność . Cykl powtarza się przy każdym nowym narzędziu i przy każdej istotnej zmianie zastosowania.
Test 30 sekund przed wysłaniem promptu
Model BRAMKA AI jest dla organizacji. Dla pojedynczego pracownika potrzebny jest skrót, który mieści się w głowie przed naciśnięciem klawisza. Cztery pytania:
- Czy wysłałbym te informacje zewnętrznemu konsultantowi, gdybym nie wiedział jeszcze, jakie ma z nami warunki umowy?
- Czy byłbym spokojny, gdyby ten prompt zobaczył jutro mój przełożony, prawnik albo audytor?
- Czy wynik AI będzie miał wpływ na decyzję dotyczącą konkretnego człowieka?
- Czy potrafię samodzielnie sprawdzić poprawność odpowiedzi?
Jeżeli odpowiedź na pierwsze dwa pytania brzmi „nie” albo na ostatnie „nie wiem”, zadanie powinno zostać zatrzymane i skierowane do weryfikacji. Proste reguły są często skuteczniejsze niż czterdzieści stron polityki.
Czego wymagać od dostawcy AI
Większość ryzyka klub przejmuje w momencie podpisania umowy, a nie w momencie użycia narzędzia. Poniższa lista to minimum, o które warto zapytać przed zakupem — także wtedy, gdy narzędzie jest oferowane jako element pakietu sponsorskiego lub bezpłatny pilotaż.
Plan 30 dni dla klubu lub federacji
Plan zakłada realia organizacji, w której nikt nie zajmuje się AI na pełen etat, a zarząd ma na to łącznie kilka godzin miesięcznie.
Po trzydziestu dniach organizacja nie jest „zgodna z AI Act" — bo zgodność nie jest stanem jednorazowym. Jest natomiast w sytuacji, w której zarząd wie, gdzie w klubie pracuje AI, kto za to odpowiada i jakie dane opuszczają organizację. To więcej, niż ma dziś większość podmiotów w polskim sporcie.
Największy błąd: compliance theatre
Najbardziej prawdopodobna reakcja sektora na AI Act to nie naruszenie prawa, tylko teatr zgodności. Wygląda tak: klub kupuje wzór polityki AI, wrzuca go do intranetu, zbiera podpisy pracowników na oświadczeniu o zapoznaniu się z dokumentem i zamyka temat. Rejestr systemów AI powstaje raz i nigdy nie jest aktualizowany. Szkolenie odbywa się w formie prezentacji na 40 slajdów wysłanej mailem. Nikt nie zmienia sposobu pracy.
Teatr zgodności jest gorszy niż brak działania, bo tworzy złudzenie bezpieczeństwa. Zarząd myśli, że temat jest zamknięty, więc przestaje pytać. Tymczasem realny stan faktyczny — prywatne konta, dane w zewnętrznych systemach, nieoznaczone treści — pozostaje nietknięty. W razie kontroli lub incydentu podpisana polityka nie jest dowodem zgodności. Dowodem jest rejestr, który ktoś realnie prowadzi, i decyzje, które da się odtworzyć.
Test odróżniający jest prosty: jeśli po wdrożeniu polityki AI ani jedna osoba nie zmieniła sposobu, w jaki wykonuje swoją pracę, to nie było wdrożenia.
Gdzie krytyka AI Act jest uzasadniona
Uczciwość wymaga przyznania, że część zarzutów wobec regulacji jest zasadna. Po pierwsze, koszt zgodności jest nieproporcjonalny — dla klubu z dwoma etatami administracyjnymi te same obowiązki są znacznie większym obciążeniem niż dla federacji z działem prawnym. Po drugie, niepewność interpretacyjna jest realna: sam fakt, że terminy zostały przesunięte pakietem AI Omnibus, pokazuje, że reguły gry zmieniały się w trakcie przygotowań organizacji.
Po trzecie, istnieje ryzyko efektu odwrotnego. Nadmiernie restrykcyjna polityka wewnętrzna nie eliminuje AI z organizacji — spycha ją do szarej strefy prywatnych kont, gdzie kontrola jest zerowa. Po czwarte, w sporcie amatorskim i w małych klubach realnym problemem nie jest sztuczna inteligencja, tylko brak podstawowej higieny danych: wspólne skrzynki, hasła na kartkach, dokumenty na prywatnych dyskach.
Wniosek z tych zastrzeżeń nie brzmi jednak „poczekajmy". Brzmi: dopasujmy skalę reakcji do skali organizacji. Dla małego klubu odpowiedzią jest jedna strona zasad i lista dwóch zatwierdzonych narzędzi, a nie system zarządzania ryzykiem AI.
Czy każdy klub powinien już dziś mieć politykę AI?
Nie każdy klub potrzebuje dokumentu nazwanego „polityką AI". Każdy klub, w którym ktokolwiek używa narzędzi AI do pracy, potrzebuje trzech rzeczy: wiedzy, jakie to narzędzia, reguły dotyczącej danych i wskazania osoby odpowiedzialnej. Jeżeli te trzy elementy mieszczą się na jednej stronie A4, to jest to wystarczająca polityka AI dla organizacji tej wielkości.
Rozbudowany dokument ma sens tam, gdzie skala tego wymaga: w federacji, w klubie z akademią i rozbudowanym działem kadr, w organizacji przetwarzającej dane medyczne zawodników, w podmiocie prowadzącym obiekt z systemami bezpieczeństwa. Kryterium nie jest ambicja, tylko liczba i wrażliwość zastosowań. Tak samo jak w governance organizacji sportowych : dokument bez właściciela i bez cyklu przeglądu nie jest mechanizmem zarządzania, tylko załącznikiem.
Najczęstsze pytania
Wniosek strategiczny
AI Act zadaje organizacjom sportowym pytanie, które w sporcie zawsze było trudne: kto właściwie podejmuje decyzje i na jakiej podstawie. Sztuczna inteligencja tylko przyspiesza konsekwencje tego, jak organizacja jest zarządzana. W klubie z jasnym podziałem odpowiedzialności AI stanie się narzędziem zwiększającym tempo pracy. W klubie bez tego podziału stanie się kolejnym miejscem, w którym nikt nie wie, kto zadecydował.
Dlatego pierwszym krokiem nie jest audyt prawny ani zakup systemu. Pierwszym krokiem jest szczera lista narzędzi, których organizacja już używa — łącznie z tymi, o których zarząd nie wie. Wszystko inne, łącznie z modelem BRAMKA AI, jest tylko sposobem uporządkowania tej listy. Kluby i federacje, które przejdą przez to teraz, w grudniu 2027 roku nie będą nadrabiać zaległości. Będą aktualizować to, co już działa.