Stan prawny na 3 sierpnia 2026, po przyjęciu pakietu Digital Omnibus i wejściu w życie polskiej ustawy o systemach sztucznej inteligencji.

AI Act nie jest przepisem, który zacznie obowiązywać dopiero za kilka lat. Część wymagań stosuje się od lutego 2025 roku, kolejne zaczęły obowiązywać 2 sierpnia 2026.

Jednocześnie najdalej idące obowiązki dotyczące systemów wysokiego ryzyka zostały przesunięte na lata 2027 i 2028. Dla większości firm nie oznacza to ani konieczności budowania rozbudowanego działu compliance, ani zakazu korzystania z ChatGPT, Copilota czy innych narzędzi generatywnej AI.

Najważniejsze jest dziś coś prostszego: ustalenie, gdzie firma wykorzystuje AI, do czego, kto odpowiada za wynik i czy działanie systemu może wpływać na klientów, pracowników lub inne osoby.

Najważniejsze daty w jednym miejscu

2 lutego 2025. Zaczęły obowiązywać przepisy o zakazanych praktykach AI oraz obowiązek podejmowania działań na rzecz kompetencji osób korzystających z systemów AI.

2 sierpnia 2025. Zaczęły obowiązywać obowiązki dostawców modeli ogólnego przeznaczenia. To przepisy dla twórców modeli, nie dla firm, które z tych modeli korzystają.

2 sierpnia 2026. Stosuje się większość pozostałych przepisów AI Act, w tym istotną część obowiązków dotyczących przejrzystości oraz przepisy o nadzorze i egzekwowaniu prawa.

2 grudnia 2027. Obowiązki dla systemów wysokiego ryzyka wymienionych w załączniku III.

2 sierpnia 2028. Obowiązki dla systemów AI będących elementem regulowanych produktów.

Co się zmieniło latem 2026

Przez dwa lata wszyscy powtarzali jedną datę: 2 sierpnia 2026. To miał być dzień, w którym AI Act zaczyna obowiązywać w pełni, razem z całym ciężkim aparatem wymagań dla systemów wysokiego ryzyka.

Tak się nie stało. Unia przesunęła te terminy pakietem zwanym Digital Omnibus. Parlament Europejski przyjął go 16 czerwca 2026, Rada zatwierdziła 29 czerwca 2026. Powód był prozaiczny: państwa członkowskie nie zdążyły zorganizować nadzoru, a normy techniczne, według których firmy miały wykazywać zgodność, wciąż nie były gotowe.

Przesunięcie objęło jedną kategorię, tę najcięższą. Zakazane praktyki, przepisy o kompetencjach i obowiązki w zakresie przejrzystości pozostały bez zmian. Jeżeli ktoś mówi Ci, że “AI Act przełożyli”, to prawda tylko w części.

Czy AI Act dotyczy firmy korzystającej z ChatGPT?

Najczęściej tak, ale zakres obowiązków zależy od sposobu wykorzystania narzędzia.

Firma korzystająca z gotowego systemu AI w ramach swojej działalności jest zazwyczaj podmiotem stosującym. Nie przejmuje przez to obowiązków producenta systemu.

Zupełnie inna jest natomiast sytuacja firmy, która:

  • korzysta z ChatGPT do przygotowania pierwszej wersji wiadomości,
  • wdraża chatbota obsługującego klientów,
  • automatycznie ocenia kandydatów do pracy,
  • sprzedaje własne oprogramowanie wykorzystujące model AI,
  • udostępnia cudzy system pod własną marką albo istotnie zmienia jego działanie.

W każdym z tych przypadków zmieniają się zarówno ryzyka, jak i możliwe obowiązki.

Samo korzystanie z AI nie oznacza więc, że firma posiada “system wysokiego ryzyka”. Nie oznacza również, że musi tworzyć dokumentację techniczną podobną do dokumentacji producenta modelu.

To rozróżnienie ma praktyczne konsekwencje. Firma może stać się dostawcą, jeżeli udostępnia system pod własną nazwą lub marką, dokonuje w nim istotnej modyfikacji albo zmienia jego przewidziane zastosowanie w sposób powodujący zaklasyfikowanie go jako systemu wysokiego ryzyka. Dlatego przy zakupie narzędzia warto nie tylko zapytać dostawcę, czy jego produkt jest “zgodny z AI Act”, ale też dokładnie opisać, jak firma zamierza go używać.

Praktyki zakazane od 2 lutego 2025

Tu nie ma stopniowania ani okresów przejściowych. Żadna firma w Unii nie może stosować między innymi:

  • scoringu społecznego osób przez podmioty publiczne lub prywatne,
  • manipulowania zachowaniem za pomocą technik podprogowych,
  • nieukierunkowanego pobierania wizerunków twarzy z internetu lub z nagrań monitoringu w celu tworzenia baz do rozpoznawania twarzy,
  • oceny ryzyka popełnienia przestępstwa przez osoby fizyczne wyłącznie na podstawie profilowania.

Digital Omnibus dodał do listy nowy zakaz obejmujący systemy AI generujące lub przetwarzające materiały przedstawiające seksualne wykorzystywanie dzieci albo intymne wizerunki osób bez ich zgody. Dostawcy takich narzędzi mają czas na wdrożenie zabezpieczeń do 2 grudnia 2026.

To kategoria, którą sprawdza się szybko. Jeżeli któreś z Twoich zastosowań brzmi jak powyższe, jest to temat na teraz, a nie na przyszły rok.

Kompetencje w zakresie AI: obowiązek istnieje, ale nie oznacza obowiązkowego szkolenia

Od 2 lutego 2025 dostawcy i podmioty stosujące systemy AI mają obowiązek podejmować działania wspierające odpowiedni poziom kompetencji osób, które korzystają z tych systemów w ich imieniu.

Zakres takich działań powinien uwzględniać wiedzę i doświadczenie użytkowników, rodzaj wykorzystywanego systemu, kontekst jego zastosowania oraz możliwe skutki dla osób, których działanie systemu dotyczy.

Tu pojawia się najczęstsze nieporozumienie, powielane w wielu poradnikach. AI Act nie wprowadza jednego obowiązkowego programu szkolenia. Komisja Europejska wyjaśnia wprost, że przepis nie wymaga certyfikatu, egzaminu, powołania pełnomocnika do spraw AI ani odrębnej struktury nadzoru, i że nie nakłada obowiązku mierzenia poziomu wiedzy pracowników.

Dla firmy korzystającej z generatywnej AI w marketingu lub pracy biurowej rozsądne minimum może obejmować:

  • informację, z których narzędzi wolno korzystać,
  • zasady wprowadzania danych osobowych i informacji poufnych,
  • obowiązek weryfikowania faktów i obliczeń,
  • zakaz bezrefleksyjnego kopiowania wygenerowanych treści,
  • wskazanie sytuacji wymagających kontroli człowieka,
  • sposób zgłaszania błędów lub niebezpiecznych wyników.

Pracownik tworzący teksty marketingowe potrzebuje innego przygotowania niż osoba korzystająca z AI przy rekrutacji, analizie medycznej czy przyznawaniu klientom dostępu do usług.

Warto zachować prosty ślad wykonanych działań: program, materiały, datę spotkania, listę uczestników. To dobra praktyka dowodowa, a nie narzucony formularz.

Przejrzystość: kiedy trzeba poinformować o wykorzystaniu AI

Drugie najczęstsze nieporozumienie brzmi: “od sierpnia 2026 każda treść utworzona z pomocą AI musi być oznaczona”. To nieprawda.

Artykuł 50 wprowadza różne obowiązki dla różnych sytuacji. Znaczenie ma zarówno rodzaj systemu, jak i to, czy firma jest jego dostawcą, czy jedynie go wykorzystuje.

Chatbot lub asystent rozmawiający z klientem

Obowiązek spoczywa na dostawcy systemu. To on ma zaprojektować system przeznaczony do bezpośredniej interakcji z człowiekiem tak, aby użytkownik wiedział, że rozmawia z AI. Przepis przewiduje wyjątek dla sytuacji, w których jest to oczywiste z perspektywy osoby dostatecznie poinformowanej, uważnej i ostrożnej.

Firma wdrażająca gotowego chatbota powinna sprawdzić, czy taka informacja rzeczywiście pojawia się w jej własnym procesie obsługi klienta. Najbezpieczniej przekazać ją przy pierwszej interakcji:

Rozmawiasz z wirtualnym asystentem wykorzystującym sztuczną inteligencję. W razie potrzeby możesz poprosić o kontakt z pracownikiem.

Deepfake

Obowiązek spoczywa na podmiocie stosującym, czyli na tym, kto materiał publikuje lub rozpowszechnia. Trzeba ujawnić, że treść została sztucznie wygenerowana lub zmanipulowana.

Nie każda grafika utworzona przez generator obrazów jest jednak deepfakiem. Znaczenie ma to, czy materiał przypomina istniejącą osobę, miejsce, obiekt lub wydarzenie i mógłby zostać błędnie uznany za autentyczny.

Tekst dotyczący spraw interesu publicznego

Jeżeli AI generuje lub przekształca tekst publikowany w celu informowania społeczeństwa o sprawach leżących w interesie publicznym, może powstać obowiązek ujawnienia, że tekst powstał z udziałem AI.

Ten obowiązek nie ma zastosowania, gdy treść przeszła proces kontroli człowieka lub kontroli redakcyjnej, a konkretna osoba fizyczna lub prawna przyjmuje za publikację odpowiedzialność redakcyjną.

W praktyce nie chodzi o poprawienie kilku przecinków. Redaktor powinien sprawdzić sens tekstu, fakty, wnioski i sposób ujęcia tematu oraz świadomie zatwierdzić materiał do publikacji.

Rozpoznawanie emocji i kategoryzacja biometryczna

Obowiązek spoczywa na podmiocie stosującym: trzeba poinformować osoby poddawane działaniu takiego systemu. Część zastosowań tego rodzaju jest dodatkowo zakazana albo klasyfikowana jako wysokie ryzyko.

Techniczne oznaczanie treści generowanych przez AI

Dostawcy systemów generujących obrazy, dźwięk, wideo lub tekst mają obowiązek oznaczania wyników w formacie możliwym do odczytu maszynowego.

Okres przejściowy do 2 grudnia 2026 dotyczy właśnie tego technicznego oznaczania i obejmuje wybrane systemy wprowadzone na rynek przed 2 sierpnia 2026. Nie jest to ogólne odroczenie wszystkich obowiązków informacyjnych.

Kiedy system AI jest systemem wysokiego ryzyka

Nie każdy system wykorzystywany przy podejmowaniu decyzji jest automatycznie systemem wysokiego ryzyka.

Kluczowe znaczenie ma jego przewidziane zastosowanie. AI Act wskazuje konkretne obszary, w których zastosowania mogą zostać uznane za wysokiego ryzyka, między innymi:

  • rekrutację i selekcję kandydatów,
  • niektóre decyzje dotyczące warunków zatrudnienia,
  • ocenę pracowników i monitorowanie ich wyników,
  • przyjmowanie do szkół i ocenianie wyników edukacyjnych,
  • ustalanie zdolności kredytowej osób fizycznych,
  • ocenę ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych,
  • zarządzanie infrastrukturą krytyczną,
  • wybrane zastosowania w wymiarze sprawiedliwości, egzekwowaniu prawa i migracji.

Nawet w tych obszarach trzeba sprawdzić dokładną funkcję systemu. Narzędzie wykonujące wyłącznie wąskie zadanie pomocnicze albo porządkujące wynik wcześniejszej pracy człowieka podlega innej ocenie niż system, którego wynik realnie przesądza o sytuacji konkretnej osoby. Systemy dokonujące profilowania osób fizycznych traktowane są restrykcyjnie.

Różnicę widać na przykładach:

  • edytor poprawiający język ogłoszenia o pracę nie staje się z tego powodu systemem wysokiego ryzyka,
  • system automatycznie odrzucający kandydatów na podstawie ich profilu może już podlegać przepisom o systemach wysokiego ryzyka,
  • CRM porządkujący kontakty nie musi być systemem wysokiego ryzyka,
  • model oceniający zdolność kredytową osoby fizycznej może nim być.

Co zrobić teraz

Nie trzeba zaczynać od czterdziestostronicowej polityki AI. Lepszym pierwszym krokiem jest krótka mapa zastosowań. Realnie mieści się to w trzech dniach pracy.

Dzień pierwszy: rejestr. Dla każdego zastosowania zapisz nazwę narzędzia i dostawcę, cel wykorzystania, użytkowników w firmie, rodzaje przetwarzanych danych, sposób wykorzystania wyniku, wpływ na klientów, pracowników lub kandydatów, informację, czy treść trafia na zewnątrz, oraz osobę odpowiedzialną. Nie ograniczaj się do oficjalnie kupionych systemów. Największą niewiadomą bywa nieformalne korzystanie przez pracowników z publicznych narzędzi generatywnej AI.

Dzień drugi: podział według rzeczywistego ryzyka. Wystarczy kilka pytań. Czy system podejmuje lub istotnie wspiera decyzję dotyczącą człowieka? Czy jest wykorzystywany przy rekrutacji, zatrudnieniu, edukacji, kredycie lub dostępie do ważnych usług? Czy komunikuje się bezpośrednio z klientem? Czy generuje deepfake albo treści informujące opinię publiczną? Czy rozpoznaje emocje lub analizuje cechy biometryczne? Czy przetwarza dane osobowe, poufne lub objęte tajemnicą przedsiębiorstwa? Czy jego błąd może spowodować poważną szkodę? Odpowiedzi oddzielą zwykłe narzędzia produktywności od zastosowań wymagających pogłębionej analizy.

Dzień trzeci: priorytety i zasady. Wybierz dwa lub trzy obszary do działania i spisz krótkie zasady korzystania z AI. Dobra polityka nie musi być długa. Powinna odpowiadać na pytania pracownika: z jakich narzędzi mogę korzystać, jakich danych nie wolno mi wprowadzać, kiedy wynik AI musi sprawdzić człowiek, kto odpowiada za publikację lub wysłanie treści, jak zgłosić błędne działanie i czy wolno używać prywatnego konta w publicznym narzędziu.

Przy okazji warto ustalić z dostawcami, czy dane firmy są wykorzystywane do trenowania modeli, gdzie i jak długo są przechowywane, czy dostępne są logi, kto odpowiada za aktualizacje i incydenty oraz czy system oferuje wymagane mechanizmy przejrzystości. Deklaracja “AI Act compliant” w materiałach marketingowych nie zastępuje analizy konkretnego zastosowania.

Kary: pułapy, nie automatyczne stawki

AI Act przewiduje wysokie maksymalne poziomy kar:

  • do 35 mln euro lub 7% światowego rocznego obrotu za naruszenia dotyczące zakazanych praktyk,
  • do 15 mln euro lub 3% obrotu za naruszenie wybranych innych obowiązków, w tym obowiązków dostawców, podmiotów stosujących oraz obowiązków w zakresie przejrzystości z artykułu 50,
  • do 7,5 mln euro lub 1% obrotu za przekazanie organom nieprawidłowych, niepełnych lub wprowadzających w błąd informacji.

Są to jednak maksymalne pułapy, a nie automatyczne stawki za pojedyncze uchybienie. Przy wymierzaniu kary organ ma uwzględnić między innymi charakter, wagę i czas trwania naruszenia, jego skutki, wielkość i obrót przedsiębiorstwa, umyślność lub niedbalstwo, stopień współpracy z organem oraz działania naprawcze. Dla małych i średnich przedsiębiorstw, w tym startupów, stosuje się niższą z dwóch wartości, czyli kwotę albo procent obrotu.

Warto też wiedzieć, że katalog z drugiego progu nie obejmuje artykułu 4, czyli obowiązku dotyczącego kompetencji. Nie znaczy to, że przepis jest pusty, bo zasady sankcji za naruszenia rozporządzenia ustalają państwa członkowskie, ale nagłówkowa kwota 15 mln euro nie jest do niego przypisana.

Nie należy więc budować wdrożenia wyłącznie wokół strachu przed wielomilionową karą. Najważniejsze jest rozpoznanie rzeczywistych zastosowań, ryzyka i obowiązków przypisanych firmie w konkretnej roli.

Kto będzie nadzorował AI Act w Polsce

Polska ustawa o systemach sztucznej inteligencji nosi datę 3 lipca 2026, została podpisana przez prezydenta 24 lipca i opublikowana 27 lipca 2026 (Dz.U. 2026 poz. 1003).

Jej zasadnicza część weszła w życie 11 sierpnia 2026. Wybrane przepisy dotyczące kontroli, skarg, postępowań i kar zaczynają obowiązywać z końcem października 2026.

Ustawa tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI, jako centralny element krajowego systemu nadzoru. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję, w terminie dwóch miesięcy od wejścia ustawy w życie, a cały skład Komisji w terminie trzech miesięcy. Oznacza to, że polski organ organizuje się jesienią 2026.

Nie zmienia to jednak terminów stosowania obowiązków wynikających bezpośrednio z unijnego rozporządzenia. W innych krajach nadzór już działa: w Niemczech jest to Federalna Agencja Sieci, we Francji CNIL, w Holandii inspektorat infrastruktury cyfrowej wspierany przez organy sektorowe.

Pięć mitów o AI Act

“Wszystko zostało przesunięte na 2027 rok.” Nie. Przesunięto głównie terminy dotyczące systemów wysokiego ryzyka. Zakazane praktyki i obowiązek dotyczący kompetencji obowiązują od 2025 roku, a wiele innych przepisów stosuje się od 2 sierpnia 2026.

“Każdy tekst utworzony z pomocą AI musi mieć etykietę.” Nie. Obowiązek zależy od rodzaju treści, celu publikacji, roli firmy i tego, czy materiał przeszedł rzeczywistą kontrolę redakcyjną.

“Mała firma nie podlega AI Act.” W rozporządzeniu nie ma ogólnego zwolnienia dla firm zatrudniających mniej niż 50 osób. Wielkość przedsiębiorstwa ma znaczenie przy ocenie proporcjonalności działań i przy wysokości kar, ale nie usuwa obowiązków.

“Dostawca narzędzia odpowiada za wszystko.” Nie. Dostawca odpowiada za własne obowiązki, ale firma pozostaje odpowiedzialna za sposób, w jaki wykorzystuje system, organizuje pracę, przetwarza dane i podejmuje decyzje na podstawie jego wyników.

“Każdy pracownik musi zdobyć certyfikat AI.” Nie. Przepisy wymagają działań adekwatnych do roli i kontekstu, ale nie ustanawiają obowiązkowego certyfikatu ani jednego szkolenia dla wszystkich.

Od czego zacząć

Najgorszym rozwiązaniem jest skopiowanie przypadkowej polityki AI z internetu i uznanie sprawy za zamkniętą.

Dobry proces zaczyna się od trzech rzeczy: rzeczywistej listy zastosowań AI, zrozumienia, jak te zastosowania wpływają na ludzi i dane, oraz przypisania konkretnych działań i odpowiedzialności. Dopiero potem warto tworzyć dokumenty i procedury dopasowane do faktycznego sposobu działania firmy.

Podczas dwugodzinnego warsztatu możemy wspólnie zidentyfikować wykorzystywane narzędzia i nieformalne zastosowania AI, określić rolę firmy przy każdym z nich, wskazać przypadki wymagające dodatkowej analizy, przygotować listę działań na najbliższe tygodnie i oddzielić obowiązki prawne od tego, co jest jedynie dobrą praktyką. Efektem ma być konkretny plan, a nie kolejny ogólny dokument, którego nikt nie używa. Koszt i terminy znajdziesz na stronie kontaktowej.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Przy systemach wpływających na zatrudnienie, kredyt, ubezpieczenia, edukację, zdrowie, usługi publiczne lub prawa konkretnych osób warto przeprowadzić indywidualną analizę prawną i techniczną.