2 sierpnia 2026 r. unijne rozporządzenie o sztucznej inteligencji (AI Act) formalnie zaczyna być stosowane w całej UE – ale najcięższe wymogi właśnie odsuwają się w czasie. Uchwalony w czerwcu 2026 r. pakiet Digital Omnibus odracza obowiązki dla systemów AI wysokiego ryzyka na grudzień 2027 r. i sierpień 2028 r. (nowelizacja czeka jeszcze na publikację w Dzienniku Urzędowym UE). W sierpniu wchodzą za to obowiązki przejrzystości: oznaczanie chatbotów, deepfake’ów i treści generowanych przez AI. Na poziomie UE ruszają też pierwsze realne kary – Komisja Europejska zyskuje prawo karania dostawców modeli AI ogólnego przeznaczenia. Oto co to oznacza dla polskich firm – stan prawny na 8 lipca 2026 r.
Systemy wysokiego ryzyka dopiero od 2027 r. – to najczęstszy błąd w poradnikach
Jeszcze wiosną w wielu poradnikach można było przeczytać, że od 2 sierpnia 2026 r. firmy korzystające z AI w rekrutacji, scoringu kredytowym czy edukacji muszą spełniać pełen pakiet obowiązków dla tzw. systemów wysokiego ryzyka. Ten stan prawny za chwilę będzie nieaktualny. Parlament Europejski przyjął nowelizację 16 czerwca 2026 r. (423 głosy za, 57 przeciw, 174 wstrzymujących się), a Rada UE zatwierdziła ją 29 czerwca 2026 r. Tzw. Digital Omnibus on AI, uzgodniony politycznie na początku maja, przesuwa terminy dla systemów wysokiego ryzyka. Nowelizacja wejdzie w życie trzy dni po publikacji w Dzienniku Urzędowym UE, spodziewanej jeszcze w lipcu.
Nie oznacza to jednak, że AI Act został „odłożony na półkę”. Zakazy najgroźniejszych praktyk obowiązują już od lutego 2025 r., obowiązki dostawców modeli AI ogólnego przeznaczenia (GPAI – m.in. modele stojące za popularnymi chatbotami) od sierpnia 2025 r., a 2 sierpnia 2026 r. wchodzi przejrzystość i zaczyna się egzekwowanie. Po kolei.
Aktualny harmonogram AI Act – kto i kiedy
Po nowelizacji zakazy i obowiązki GPAI już obowiązują, 2 sierpnia 2026 r. wchodzi przejrzystość i egzekwowanie na poziomie UE, a pełne wymogi dla systemów wysokiego ryzyka przesunięto na grudzień 2027 r. (załącznik III) i sierpień 2028 r. (produkty regulowane). Szczegóły w tabeli:
| Data | Co obowiązuje | Status |
|---|---|---|
| 2 lutego 2025 | Zakazane praktyki (art. 5), obowiązek kompetencji AI (art. 4) | obowiązuje |
| 2 sierpnia 2025 | Obowiązki dostawców modeli GPAI (rozdział V) | obowiązuje |
| 2 sierpnia 2026 | Przejrzystość (art. 50), start egzekwowania, kary Komisji dla GPAI (art. 101) | wchodzi |
| 2 grudnia 2026 | Koniec okresu przejściowego dla maszynowego znakowania treści AI | wchodzi |
| 2 grudnia 2027 | Systemy wysokiego ryzyka z załącznika III (m.in. rekrutacja, kredyty, edukacja) | przesunięte z 2026* |
| 2 sierpnia 2028 | AI wbudowana w produkty regulowane (załącznik I: maszyny, wyroby medyczne, zabawki) | przesunięte z 2027* |
* Zastrzeżenie formalne: nowe terminy zaczną wiązać wraz z wejściem w życie nowelizacji, która na dzień publikacji czeka na ogłoszenie w Dzienniku Urzędowym UE. Do tego momentu litera rozporządzenia 2024/1689 formalnie wskazuje stare daty.
Nowe daty są sztywne. Proponowany przez Komisję mechanizm, który uzależniałby start od dostępności norm technicznych, nie wszedł do wersji finalnej – wskazują na to analizy kancelarii Gibson Dunn i Hogan Lovells.
Nowelizacja wprowadza też nowy zakaz: systemów AI służących do generowania treści intymnych tworzonych bez zgody przedstawianych osób (tzw. nudifiers) oraz materiałów przedstawiających wykorzystywanie dzieci – z okresem przejściowym do grudnia 2026 r.
Co konkretnie wchodzi 2 sierpnia 2026: przejrzystość
Od 2 sierpnia 2026 r. zaczyna obowiązywać art. 50 AI Act – obowiązki przejrzystości. Dotyczą one także zwykłych firm używających AI, nie tylko jej twórców. W praktyce:
- Chatboty: klient musi wiedzieć, że rozmawia z AI – chyba że jest to oczywiste dla przeciętnie zorientowanej osoby. Informacja musi pojawić się najpóźniej przy pierwszej interakcji.
- Deepfake’i: kto publikuje obrazy, audio lub wideo wygenerowane albo zmanipulowane przez AI, musi ujawnić ich sztuczne pochodzenie. Od tej zasady są wyjątki, m.in. dla treści w sposób oczywisty artystycznych lub satyrycznych.
- Teksty pisane przez AI: tekst generowany przez AI i publikowany „w celu informowania opinii publicznej” wymaga ujawnienia – chyba że przeszedł ludzką weryfikację redakcyjną i ktoś ponosi za niego odpowiedzialność redakcyjną. To przepis szczególnie istotny dla mediów, portali i firmowych blogów.
- Rozpoznawanie emocji i kategoryzacja biometryczna: osoby poddane działaniu takiego systemu muszą zostać o tym poinformowane.
- Dostawcy systemów generatywnych: treści syntetyczne mają być znakowane w formacie nadającym się do odczytu maszynowego – tu obowiązuje okres przejściowy do 2 grudnia 2026 r.
Równolegle 2 sierpnia 2026 r. Komisja Europejska zyskuje uprawnienia do egzekwowania obowiązków wobec dostawców modeli GPAI, z karami do 15 mln euro lub 3% światowego obrotu (art. 101). W Polsce egzekwowanie krajowe ruszy realnie dopiero po wejściu w życie polskiej ustawy i powołaniu organu nadzoru – o czym niżej.
Jakie kary przewiduje AI Act?
Maksymalne kary sięgają 35 mln euro lub 7% światowego obrotu za praktyki zakazane, 15 mln euro lub 3% za pozostałe naruszenia (w tym przejrzystość) i 7,5 mln euro lub 1% za wprowadzanie organów w błąd. Wobec małych i średnich firm stosuje się niższy próg. Wysokości określa art. 99 rozporządzenia:
| Naruszenie | Maksymalna kara |
|---|---|
| Zakazane praktyki (art. 5) | 35 mln EUR lub 7% światowego obrotu |
| Inne obowiązki, w tym przejrzystość (art. 50) i obowiązki użytkowników systemów wysokiego ryzyka (art. 26) | 15 mln EUR lub 3% obrotu |
| Wprowadzające w błąd informacje dla organów | 7,5 mln EUR lub 1% obrotu |
W przypadku dużych firm stosuje się kwotę wyższą z dwóch progów. Dla MŚP i startupów odwrotnie: obowiązuje kwota niższa. Kary za obowiązki systemów wysokiego ryzyka staną się realne dopiero wraz z przesuniętymi terminami 2027-2028. Od sierpnia 2026 r. praktyczne ryzyko dotyczy zakazanych praktyk, przejrzystości i obowiązków GPAI.
Polska: ustawa o systemach AI na finiszu, powstaje KRiBSI
Polska kończy właśnie budowę krajowego nadzoru – z około rocznym opóźnieniem wobec unijnego terminu wyznaczenia organów (2 sierpnia 2025 r.). Sejm uchwalił ustawę o systemach sztucznej inteligencji 11 czerwca 2026 r. (421 głosów za), a 3 lipca przyjął 24 z 25 poprawek Senatu, kończąc prace parlamentarne – ustawa czeka na podpis prezydenta (CyberDefence24).
Nadzór nad rynkiem AI obejmie nowy, niezależny organ: Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), obsługiwana organizacyjnie przez Ministerstwo Cyfryzacji, z przewodniczącym powoływanym przez Sejm za zgodą Senatu na pięcioletnią kadencję (gov.pl). KRiBSI ma prowadzić postępowania, nakładać sankcje, rozpatrywać zgłoszenia obywateli i prowadzić piaskownice regulacyjne, czyli kontrolowane środowiska testowania AI pod okiem regulatora – według doniesień prasowych MŚP skorzystają z nich bezpłatnie.
Checklista: co Twoja firma powinna zrobić teraz
Jeśli używasz AI w firmie (nawet cudzych narzędzi):
- Zrób inwentaryzację narzędzi AI – czego firma faktycznie używa i do czego.
- Sprawdź zakazy (już obowiązują): upewnij się, że żadne narzędzie nie wpada w praktyki zakazane, np. rozpoznawanie emocji pracowników czy scoring społeczny. Tu kary są najwyższe.
- Przygotuj się na art. 50 do 2 sierpnia 2026 r.: oznacz chatboty w komunikacji z klientami, wprowadź zasadę ujawniania deepfake’ów oraz treści AI publikowanych w celach informacyjnych bez weryfikacji redakcyjnej.
- Zadbaj o kompetencje zespołu (art. 4): osoby pracujące z AI powinny rozumieć, jak działa narzędzie i jakie ma ograniczenia.
- Planuj z wyprzedzeniem na grudzień 2027: jeśli używasz AI w rekrutacji, ocenie zdolności kredytowej, edukacji lub podobnych obszarach z załącznika III – to Ciebie dotyczy przesunięty pakiet obowiązków (nadzór ludzki, kontrola danych, logi, informowanie pracowników przed wdrożeniem).
- Uważaj na pułapkę „przebrandowania”: jeśli znacząco modyfikujesz cudzy system albo sprzedajesz go pod własną marką, możesz przejąć pełne obowiązki dostawcy (art. 25).
Jeśli tworzysz lub dostarczasz systemy AI: obowiązki GPAI już obowiązują (dokumentacja, polityka praw autorskich, streszczenie danych treningowych), od sierpnia dochodzi projektowanie systemów informujących o interakcji z AI i maszynowe znakowanie treści, a pełen pakiet dla wysokiego ryzyka (zarządzanie ryzykiem, dokumentacja techniczna, ocena zgodności, rejestracja w bazie UE) wchodzi w grudniu 2027 r. lub sierpniu 2028 r.
Co dalej?
W najbliższych tygodniach kluczowe będą trzy rzeczy: publikacja nowelizacji w Dzienniku Urzędowym UE, podpis prezydenta pod polską ustawą oraz powołanie władz KRiBSI. Wrócimy do tematu, gdy któreś z tych zdarzeń nastąpi.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny na 8 lipca 2026 r. Przy wdrażaniu AI Act w konkretnej firmie warto skonsultować się z prawnikiem specjalizującym się w prawie nowych technologii.
