AI Act UE - jak nowe przepisy zmienią Twój model biznesowy
W skrócie: 2 sierpnia 2026 r. AI Act wszedł w fazę ogólnego stosowania — obowiązują już wymogi przejrzystości z art. 50. Digital Omnibus (rozporządzenie UE 2026/1744) przesunął jednocześnie reżim systemów wysokiego ryzyka na 2 grudnia 2027 r. i 2 sierpnia 2028 r. W Polsce 11 sierpnia 2026 r. wchodzi w życie ustawa powołująca KRiBSI — krajowy organ nadzoru z realnymi uprawnieniami kontrolnymi.
Przez ostatnie dwa lata AI Act był dla większości firm abstrakcją: rozporządzeniem, o którym się mówi, ale które „jeszcze nie obowiązuje". Ten etap się skończył. Od 2 sierpnia 2026 r. część obowiązków dotyczy już dziś każdej firmy, która używa chatbota, generuje treści marketingowe modelem językowym albo publikuje materiały wideo z syntetycznym lektorem. Równolegle Bruksela przesunęła najcięższe wymogi o kilkanaście miesięcy — co wielu przedsiębiorców odczytało jako sygnał „mamy spokój". To odczytanie jest kosztownym błędem.
Poniżej: co realnie obowiązuje dziś, co zostało odroczone, kto w Polsce będzie to kontrolował i jak przekuć zgodność w przewagę zamiast traktować ją jak podatek.
Co zmieniło się 2 sierpnia 2026 r.
To była ogólna data stosowania rozporządzenia. Weszły w życie m.in. obowiązki przejrzystości z art. 50 AI Act oraz przepisy o nadzorze rynku z rozdziału IX. Obowiązki z art. 50 obciążają zarówno dostawców systemów AI, jak i podmioty stosujące te systemy — czyli w praktyce zwykłych przedsiębiorców korzystających z gotowych narzędzi.
To kluczowa różnica względem reżimu wysokiego ryzyka. Wymogi dla systemów rekrutacyjnych czy scoringowych dotyczą wąskiej grupy. Art. 50 dotyczy szerokiego rynku: agencji marketingowych, sklepów internetowych, wydawców, firm usługowych, freelancerów.
Harmonogram AI Act po Digital Omnibus
Rozporządzenie (UE) 2026/1744, nazywane Digital Omnibus on AI, zostało przyjęte 8 lipca 2026 r., opublikowane w Dzienniku Urzędowym UE 24 lipca 2026 r. i weszło w życie 27 lipca 2026 r. To pierwsza duża nowelizacja AI Act. Zmieniła art. 113 rozporządzenia i przesunęła terminy dla systemów wysokiego ryzyka — powodem był brak zharmonizowanych norm technicznych z art. 40, bez których ocena zgodności byłaby fikcją.
Aktualny kalendarz wygląda następująco:
| Data | Co obowiązuje |
|---|---|
| 1 sierpnia 2024 | Wejście w życie rozporządzenia (UE) 2024/1689 |
| 2 lutego 2025 | Zakazane praktyki (art. 5) oraz obowiązek kompetencji w zakresie AI (art. 4) |
| 2 sierpnia 2025 | Obowiązki dostawców modeli ogólnego przeznaczenia (GPAI), ramy zarządzania, przepisy o karach |
| 2 sierpnia 2026 | Ogólna data stosowania: art. 50 (przejrzystość), nadzór rynku z rozdziału IX |
| 11 sierpnia 2026 | Wejście w życie polskiej ustawy o systemach sztucznej inteligencji |
| 2 grudnia 2026 | Koniec okresu przejściowego na maszynowe oznaczanie treści syntetycznych dla systemów obecnych na rynku przed 2 sierpnia 2026 r. |
| 2 grudnia 2027 | Samodzielne systemy wysokiego ryzyka z załącznika III (przesunięte z sierpnia 2026) |
| 2 sierpnia 2028 | Systemy wysokiego ryzyka wbudowane w produkty regulowane, załącznik I (przesunięte z sierpnia 2027) |
Digital Omnibus nie był wyłącznie odroczeniem. Wprowadził też uproszczenia — lżejszą dokumentację techniczną dla MŚP i małych spółek o średniej kapitalizacji, jedną procedurę dla jednostek notyfikowanych, powiązanie oceny skutków dla ochrony danych (DPIA) z oceną skutków dla praw podstawowych (FRIA), wzmocnienie piaskownic regulacyjnych — ale równocześnie rozszerzył katalog praktyk zakazanych i uprawnienia nadzorcze na poziomie unijnym. Bilans to raczej redystrybucja obciążeń niż ich zmniejszenie: mniej papieru po stronie firm, więcej władzy po stronie organów.
Kogo naprawdę dotyczy AI Act
Tu krąży najczęstsze nieporozumienie: że kryterium jest przetwarzanie danych obywateli UE. To logika RODO, nie AI Act.
AI Act wiąże na podstawie roli i miejsca skutku:
- dostawców (providers), którzy wprowadzają system AI do obrotu lub oddają go do użytku na rynku UE — niezależnie od siedziby,
- podmioty stosujące (deployers) z siedzibą w UE, które używają systemu AI w ramach działalności zawodowej,
- dostawców i podmioty stosujące spoza UE, jeżeli wynik działania systemu jest wykorzystywany w Unii.
Ostatni punkt jest decydujący dla polskich firm z klientami globalnymi i dla firm spoza UE sprzedających do Polski. Liczy się to, gdzie trafia efekt działania modelu — nie to, gdzie stoi serwer i czyje dane są przetwarzane.
Ważne rozróżnienie praktyczne: większość polskich firm nie jest dostawcą systemu AI. Kupujesz licencję na CRM z modułem analitycznym albo korzystasz z komercyjnego modelu językowego — jesteś podmiotem stosującym. Obowiązki podmiotu stosującego są istotnie węższe niż obowiązki dostawcy, ale nie zerowe. Rola potrafi się jednak zmienić: jeśli firmujesz cudzy system własną marką albo istotnie modyfikujesz jego przeznaczenie, możesz wejść w rolę dostawcy ze wszystkimi tego konsekwencjami.
Art. 50 w praktyce: cztery różne obowiązki, nie jeden
Art. 50 bywa streszczany jako „trzeba oznaczać treści AI". To uproszczenie, które prowadzi na manowce — przepis rozróżnia cztery sytuacje i przypisuje im różne obowiązki:
1. Interakcja człowieka z systemem AI. Chatboty, voiceboty i asystenci muszą informować użytkownika, że rozmawia z maszyną — chyba że jest to oczywiste dla rozsądnie zorientowanego odbiorcy. Praktycznie: widget czatu na stronie sklepu potrzebuje jednoznacznej informacji, nie ukrytej w regulaminie.
2. Treści syntetyczne. Dostawcy systemów generujących obrazy, dźwięk, wideo lub tekst muszą zapewnić techniczne, maszynowo odczytywalne oznaczenie wygenerowanych treści. Dla systemów obecnych na rynku przed 2 sierpnia 2026 r. przewidziano okres przejściowy do 2 grudnia 2026 r.
3. Deepfake i teksty o sprawach interesu publicznego. Podmiot stosujący musi ujawnić, że materiał został wygenerowany lub zmanipulowany przez AI. Dotyczy to również tekstów publikowanych w celu informowania opinii publicznej o sprawach interesu publicznego.
4. Rozpoznawanie emocji i kategoryzacja biometryczna. Osoby, wobec których stosuje się takie systemy, muszą zostać o tym poinformowane.
Czego art. 50 nie wymaga: adnotacji „napisane przez AI" pod każdym e-mailem czy opisem produktu, przy którym model językowy pomógł w redakcji. Nadinterpretacja w drugą stronę bywa równie kosztowna — generuje niepotrzebne procesy i osłabia zaufanie do komunikacji marki.
Obowiązek, który dotyczy Cię już od półtora roku
Art. 4 AI Act — kompetencje w zakresie sztucznej inteligencji — obowiązuje od 2 lutego 2025 r. i obejmuje zarówno dostawców, jak i podmioty stosujące. Sprowadza się do zapewnienia, by personel korzystający z systemów AI miał wystarczający poziom wiedzy o ich działaniu, ograniczeniach i ryzykach. Digital Omnibus ten obowiązek uprościł, ale go nie zniósł.
To jedyny wymóg AI Act, który już dziś dotyczy praktycznie każdej firmy używającej narzędzi AI — łącznie z jednoosobową działalnością gospodarczą. Jednocześnie jest to wymóg najtańszy do spełnienia: udokumentowane szkolenie, wewnętrzna polityka korzystania z narzędzi AI, lista dopuszczonych systemów. Jeśli nie zrobiłeś nic innego, zrób przynajmniej to.
Systemy wysokiego ryzyka: co przesunięto i kogo to dotyczy
Załącznik III obejmuje m.in. AI w zatrudnieniu i rekrutacji, edukacji, dostępie do usług podstawowych (w tym scoring kredytowy), infrastrukturze krytycznej, migracji, ściganiu przestępstw i wymiarze sprawiedliwości. Te systemy dostały czas do 2 grudnia 2027 r.
Czego w tej kategorii zwykle nie ma, wbrew popularnym artykułom: standardowych algorytmów rekomendacyjnych w e-commerce. Rekomendacja produktu nie jest sama w sobie zastosowaniem wysokiego ryzyka w rozumieniu załącznika III — przejrzystość rekomendacji i systemów reklamowych reguluje przede wszystkim akt o usługach cyfrowych (DSA). Jeśli natomiast Twój algorytm różnicuje dostęp do usług finansowych albo warunki zatrudnienia — sytuacja wygląda zupełnie inaczej.
Kluczowa uwaga dla firm z sektorów HR, fintech, edtech i zdrowia: 16-miesięczne przesunięcie nie jest prezentem, tylko oknem. Komisja Europejska szacuje pełną inwentaryzację i klasyfikację systemów AI w typowej organizacji na projekt kilkunastomiesięczny. Odliczając od grudnia 2027, realny start prac wypada teraz.
Polski nadzór: KRiBSI i ustawa z 3 lipca 2026 r.
AI Act jest rozporządzeniem i stosuje się bezpośrednio — obowiązki z art. 50 powstały 2 sierpnia 2026 r. niezależnie od stanu prawa krajowego. Ustawa krajowa odpowiada za instytucje: kto kontroluje, w jakim trybie i jak nakłada kary.
Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji została ogłoszona w Dzienniku Ustaw 27 lipca 2026 r. i wchodzi w życie 11 sierpnia 2026 r. Powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organ nadzoru rynku i pojedynczy punkt kontaktowy wobec instytucji unijnych. W jej skład wchodzą przedstawiciele delegowani przez UOKiK, UKE, KNF i KRRiT; kompetencje w zakresie ochrony danych zachowuje PUODO. Przy Komisji działa Społeczna Rada ds. Sztucznej Inteligencji jako organ opiniodawczo-doradczy.
Trzy rzeczy, które warto zapamiętać:
- KRiBSI ma twarde instrumenty. Może wydawać decyzje o wycofaniu systemu AI z rynku, zakazie jego udostępniania lub ograniczeniu zakresu użytkowania.
- Powstaje ścieżka skargowa. Każdy obywatel lub podmiot, który uzna, że system AI narusza przepisy, może złożyć formalny wniosek o interwencję. To zmienia rachunek ryzyka: kontrola może zacząć się od jednego niezadowolonego klienta, nie od planu kontroli wymierzonego w największych.
- Rusza piaskownica regulacyjna. Ministerstwo Cyfryzacji zapowiadało uruchomienie pierwszego takiego środowiska testowego w ciągu czterech miesięcy od wejścia ustawy w życie. Dla startupów i firm wdrażających AI w regulowanych sektorach to szansa na przetestowanie rozwiązania pod nadzorem, zanim ryzyko stanie się realne.
Kary: liczby, które trzeba czytać uważnie
Maksymalne sankcje sięgają 35 mln euro lub 7% światowego rocznego obrotu za stosowanie praktyk zakazanych. Za większość pozostałych naruszeń — w tym za brak wymaganego oznaczenia z art. 50 — pułap wynosi 15 mln euro lub 3% obrotu. Za przekazanie organom informacji wprowadzających w błąd przewidziano niższy próg.
Dwa niuanse, które w popularnych opracowaniach giną, a dla polskiego MŚP są ważniejsze niż nagłówkowe 35 milionów:
- Dla małych i średnich przedsiębiorstw oraz startupów zastosowanie ma pułap niższy z dwóch wartości, nie wyższy. Przy obrocie kilku milionów złotych mówimy o kwotach realnych, ale nie egzystencjalnych.
- Kara finansowa rzadko jest największym kosztem. Decyzja o zakazie udostępniania systemu, który obsługuje Twój główny proces sprzedażowy, bywa dotkliwsza niż sam mandat.
Efekt Brukseli: dlaczego to nie zostanie problemem wyłącznie europejskim
Historia regulacji technologicznych pokazuje powtarzalny wzorzec. Europa ustanawia standard, rynek globalny go absorbuje, bo taniej jest zbudować jeden zgodny produkt niż utrzymywać dwie wersje. Tak stało się z RODO — dziś zbliżone reżimy ochrony danych obowiązują w Kalifornii, Brazylii, Japonii i kilkudziesięciu innych jurysdykcjach.
Dla polskich firm eksportujących oprogramowanie i usługi cyfrowe wynika z tego konkretna kalkulacja: infrastruktura zgodności zbudowana raz obsłuży rynek europejski dziś i rynki, które pójdą tą samą drogą jutro. Udokumentowana zgodność z AI Act ma szansę pełnić funkcję podobną do ISO 27001 w bezpieczeństwie informacji — sygnału dojrzałości organizacyjnej, który skraca proces sprzedaży do klienta korporacyjnego.
Plan na najbliższe kwartały
Do 30 dni — zamknij lukę art. 50 i art. 4.
Zinwentaryzuj punkty styku klienta z AI: chatboty, voiceboty, generowane treści, syntetyczne głosy i wizerunki. Dodaj brakujące komunikaty. Zatwierdź wewnętrzną politykę korzystania z narzędzi AI i przeprowadź udokumentowane szkolenie zespołu.
Do 90 dni — ustal swoją rolę i zmapuj systemy.
Dla każdego używanego narzędzia AI określ, czy jesteś dostawcą czy podmiotem stosującym, i przypisz kategorię ryzyka. Przejrzyj umowy z dostawcami: czy zapewniają dokumentację techniczną, informacje o ograniczeniach modelu i wsparcie przy audycie. Brak takich zapisów w umowie SaaS to dziś realne ryzyko kontraktowe.
Do 180 dni — zbuduj proces, nie jednorazowy projekt.
Wyznacz osobę odpowiedzialną za nadzór nad AI (AI Act nie wymaga stanowiska odpowiadającego IOD z RODO, ale rozproszona odpowiedzialność nie działa). Ustanów rejestr systemów AI, ścieżkę rozpatrywania skarg i cykl przeglądów. Jeśli działasz w obszarze załącznika III, rozpocznij prace nad dokumentacją techniczną i systemem zarządzania ryzykiem z myślą o grudniu 2027.
FAQ
Czy AI Act dotyczy polskiej firmy, która nie sprzedaje bezpośrednio w UE?
Kryterium nie jest lokalizacja danych ani obywatelstwo klientów, lecz miejsce skutku. Podlegasz rozporządzeniu, jeśli wprowadzasz system AI do obrotu w UE, stosujesz go mając siedzibę w UE, albo — działając spoza Unii — wynik działania Twojego systemu jest wykorzystywany na terenie UE. Polska firma stosująca AI w działalności zawodowej jest objęta zakresem niezależnie od tego, gdzie ma klientów.
Czy skoro terminy się przesunęły, mogę odłożyć przygotowania?
Nie, z dwóch powodów. Po pierwsze, przesunięcie objęło wyłącznie reżim wysokiego ryzyka — art. 50 i nadzór rynku obowiązują od 2 sierpnia 2026 r., a art. 4 od lutego 2025 r. Po drugie, inwentaryzacja i klasyfikacja systemów AI to w typowej organizacji projekt kilkunastomiesięczny; grudzień 2027 jest bliżej, niż wygląda.
Jakie kary grożą za naruszenie AI Act?
Do 35 mln euro lub 7% światowego obrotu za praktyki zakazane, do 15 mln euro lub 3% za większość pozostałych naruszeń, w tym za uchybienia obowiązkom przejrzystości. Dla MŚP i startupów stosuje się niższą z dwóch kwot. W Polsce postępowania prowadzi i kary nakłada KRiBSI.
Czy korzystanie z ChatGPT, Claude'a lub podobnych narzędzi wymaga dostosowania?
Tak, choć zwykle w ograniczonym zakresie. Jako podmiot stosujący odpowiadasz m.in. za kompetencje zespołu (art. 4) oraz — jeśli publikujesz treści syntetyczne, deepfake'i lub prowadzisz interakcję z klientem przez chatbota — za obowiązki informacyjne z art. 50. Jeżeli narzędzie AI wpływa na decyzje dotyczące praw lub interesów osób (rekrutacja, ocena wniosków, dostęp do usług), dochodzą do tego przyszłe wymogi reżimu wysokiego ryzyka, niezależnie od tego, czy model jest własny czy zewnętrzny.
Czy algorytm rekomendacji w moim sklepie to system wysokiego ryzyka?
Zwykle nie. Standardowe rekomendacje produktowe nie mieszczą się w załączniku III; ich przejrzystość reguluje przede wszystkim DSA. Sytuacja zmienia się, gdy system różnicuje dostęp do usług podstawowych albo warunki finansowe w sposób istotny dla praw i interesów klienta.
Kto w Polsce kontroluje zgodność z AI Act?
Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), powołana ustawą z 3 lipca 2026 r., z przedstawicielami UOKiK, UKE, KNF i KRRiT w składzie. PUODO zachowuje kompetencje w obszarze ochrony danych osobowych. KRiBSI rozpatruje także skargi obywateli i podmiotów na systemy AI.
Źródła
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) — EUR-Lex
- Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI) z 8 lipca 2026 r., Dz. Urz. UE z 24 lipca 2026 r.
- Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. z 27 lipca 2026 r.
- Krajowa Izba Radców Prawnych, analiza zmian harmonogramu AI Act (lipiec 2026)
- Ministerstwo Cyfryzacji, komunikaty dotyczące KRiBSI i piaskownicy regulacyjnej
Materiał ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na 9 sierpnia 2026 r. Przepisy dotyczące AI podlegają dynamicznym zmianom — przed podjęciem decyzji biznesowych zweryfikuj aktualny stan regulacji lub skonsultuj się z doradcą prawnym.