AI Act po 2 sierpnia 2026: co firma musi zrobić

Przez wiele miesięcy 2 sierpnia 2026 r. przedstawiano jako datę, od której AI Act zacznie realnie dotyczyć większości firm. Pięć dni przed tym terminem zasady jednak się zmieniły. Rozporządzenie (UE) 2026/1744 złagodziło przepis o kompetencjach w zakresie AI i przesunęło najważniejsze obowiązki dla systemów wysokiego ryzyka. Dlatego poradnik napisany w czerwcu lub na początku lipca może dziś przedstawiać nieaktualny harmonogram. Rozporządzenie (UE) 2026/1744

Najważniejsze pytanie nie brzmi: „Czy nasza firma tworzy AI?”. Trzeba ustalić, jaką rolę pełni wobec każdego systemu i do czego go używa. Organizacja, która wyłącznie kupuje gotowe narzędzia, również może podlegać konkretnym obowiązkom.

Trzy wnioski, które warto zapamiętać

• •Od 2 sierpnia 2026 r. stosuje się art. 50 dotyczący przejrzystości.
• •AI Act nie nakazuje widocznego oznaczania każdej grafiki wygenerowanej przez AI.
• •Najważniejsze obowiązki dla systemów wysokiego ryzyka w rekrutacji odroczono, ale obowiązek rozwijania kompetencji i zakazane praktyki już obowiązują.

Harmonogram po lipcowej nowelizacji

AI Act jest stosowany etapami. Data wejścia rozporządzenia w życie nie jest więc tym samym co data rozpoczęcia stosowania konkretnego obowiązku.

• •1 sierpnia 2024 r.: AI Act wszedł w życie.
• •2 lutego 2025 r.: zaczęły obowiązywać definicje, art. 4 o kompetencjach w zakresie AI oraz art. 5 o zakazanych praktykach.
• •2 sierpnia 2025 r.: zaczęły być stosowane przepisy o modelach ogólnego przeznaczenia, zarządzaniu i większości kar.
• •27 lipca 2026 r.: weszła w życie nowelizacja zmieniająca art. 4 i terminy dla systemów wysokiego ryzyka.
• •2 sierpnia 2026 r.: zaczęły być stosowane obowiązki przejrzystości z art. 50 oraz art. 101 o karach dla dostawców modeli ogólnego przeznaczenia.
• •11 sierpnia 2026 r.: zasadniczo weszła w życie polska ustawa o systemach sztucznej inteligencji.

Co art. 50 oznacza w czterech typowych sytuacjach

Artykuł 50 nie wprowadza jednej etykiety dla wszystkich treści tworzonych przez AI. Obejmuje kilka różnych sytuacji, a obowiązek nie zawsze spoczywa na tej samej stronie.

• •Chatbot na stronie. Dostawca musi zapewnić informację, że użytkownik kontaktuje się z AI, chyba że jest to oczywiste. Firma korzystająca z chatbota powinna sprawdzić, czy komunikat pojawia się na początku rozmowy, a nie wyłącznie w regulaminie.
• •Materiał typu deepfake. Firma publikująca treść, która przekonująco naśladuje prawdziwą osobę, przedmiot, miejsce, organizację lub wydarzenie, musi ujawnić, że materiał nie jest autentyczny. Informacja ukryta wyłącznie w metadanych pliku nie wystarczy.
• •Tekst dotyczący spraw interesu publicznego. Ujawnienie użycia AI może być wymagane, gdy taki tekst został wygenerowany lub zmodyfikowany przez AI. Wyjątek może dotyczyć materiału poddanego rzeczywistej kontroli redakcyjnej. Samo poprawienie gramatyki lub stylu nie wystarczy: człowiek musi sprawdzić treść i wziąć za nią odpowiedzialność.
• •Rozpoznawanie emocji lub kategoryzacja biometryczna. Osoby objęte działaniem systemu trzeba o tym poinformować. W miejscu pracy rozpoznawanie emocji jest jednak co do zasady zakazane, poza wąskimi wyjątkami medycznymi i związanymi z bezpieczeństwem.

Wytyczne Komisji Europejskiej wyjaśniają te cztery sytuacje oraz wyjątki, które mogą mieć do nich zastosowanie. Wytyczne Komisji Europejskiej dotyczące art. 50

Nie, każda grafika z AI nie wymaga oznaczenia

To najczęstsza nadinterpretacja art. 50. Techniczne oznaczanie treści generowanych przez AI jest obowiązkiem dostawcy. Firma korzystająca z zewnętrznego generatora grafik nie przejmuje automatycznie tego obowiązku tylko dlatego, że publikuje efekt jego pracy.

Dostawca systemu generującego tekst, obraz, dźwięk lub wideo ma zapewnić techniczne oznaczenie treści w formacie odczytywalnym maszynowo. Dla systemów wprowadzonych na rynek przed 2 sierpnia 2026 r. termin dostosowania do tego obowiązku upływa 2 grudnia 2026 r.

Widoczne oznaczenie po stronie podmiotu stosującego dotyczy deepfake'u, czyli materiału naśladującego istniejącą osobę, przedmiot, miejsce, organizację lub wydarzenie i mogącego fałszywie uchodzić za autentyczny. Fikcyjna ilustracja, która nie udaje rzeczywistego zdarzenia ani konkretnej osoby, nie staje się automatycznie deepfake'em. Inaczej należy ocenić obraz przedstawiany jako prawdziwa fotografia realnej osoby lub sytuacji. Unijne ikony do oznaczania treści AI

Praktycznym rozwiązaniem nie jest więc automatyczna etykieta pod każdą grafiką. Firma potrzebuje jasnej zasady publikacji dla materiałów, które mogą wprowadzić odbiorcę w błąd co do ich autentyczności.

Najpierw ustal rolę firmy: dostawca czy podmiot stosujący

Ta sama firma może pełnić inną rolę wobec każdego narzędzia. Od tej roli zależy zakres jej obowiązków.

• •Dostawca. Firma opracowuje system AI lub zleca jego opracowanie, a następnie oferuje go albo oddaje do użytku pod własną nazwą lub znakiem towarowym.
• •Podmiot stosujący. Firma używa systemu AI w swojej działalności zawodowej. Jeżeli jej pracownicy korzystają z ChatGPT, Copilota lub zewnętrznego generatora grafik, firma zwykle należy właśnie do tej kategorii.

Rola może się jednak zmienić. Firma może zostać uznana za dostawcę, jeżeli udostępnia cudzy system pod własną nazwą, dokonuje istotnej modyfikacji albo zmienia jego przeznaczenie w sposób, który wprowadza system do kategorii wysokiego ryzyka. Nie wystarczy więc stwierdzenie: „Nie stworzyliśmy modelu”. Trzeba sprawdzić, co firma robi z systemem i pod czyją marką.

Kompetencje w zakresie AI obowiązują od lutego 2025

Artykuł 4 obejmuje dostawców i podmioty stosujące, a więc również firmy korzystające wyłącznie z zewnętrznych narzędzi. Obowiązek stosuje się od 2 lutego 2025 r.

Od 27 lipca 2026 r. przepis wymaga podejmowania działań wspierających rozwój kompetencji osób, które używają AI w imieniu organizacji. Zakres tych działań powinien uwzględniać ich wiedzę, doświadczenie, szkolenie oraz kontekst wykorzystania systemu. Firma nie musi gwarantować każdej osobie określonego poziomu kompetencji.

Nie ma obowiązkowego unijnego kursu, wymaganej liczby godzin ani urzędowego certyfikatu. Dobre szkolenie powinno odpowiadać na rzeczywiste zadania i ryzyka. Zespół HR potrzebuje wiedzy o dyskryminacji, zakazanych praktykach i nadzorze człowieka. Marketing powinien rozumieć halucynacje, weryfikację źródeł, prawa do treści i zasady publikacji. Wytyczne Komisji Europejskiej dotyczące kompetencji AI

Krótki zapis daty, zakresu, materiałów i uczestników jest rozsądnym sposobem udokumentowania, że organizacja podjęła działania.

Trzeba przy tym odróżnić obowiązek informowania od zakazu. System analizujący ton głosu, mimikę lub nastrój kandydata może służyć rozpoznawaniu emocji. W miejscu pracy takie zastosowanie jest co do zasady zakazane, a nie jedynie objęte obowiązkiem poinformowania.

Rekrutacja: zakazy już obowiązują, wymogi dla systemów wysokiego ryzyka później

Do systemów wysokiego ryzyka mogą należeć narzędzia, które filtrują zgłoszenia, oceniają kandydatów lub wpływają na decyzje o zatrudnieniu. Ta sama kategoria obejmuje niektóre systemy używane przy awansach, zwolnieniach, przydzielaniu zadań i monitorowaniu pracowników.

Najważniejsze obowiązki dla tych systemów miały być stosowane od 2 sierpnia 2026 r. Nowelizacja przesunęła ten termin na 2 grudnia 2027 r.

Osobny termin dotyczy AI wbudowanego w produkty objęte określonymi unijnymi przepisami o bezpieczeństwie. Dla tej grupy datę przesunięto z 2 sierpnia 2027 r. na 2 sierpnia 2028 r. To rozróżnienie jest najważniejsze dla producentów i firm wprowadzających takie produkty na rynek.

Powodem były opóźnienia w przygotowaniu norm zharmonizowanych, wspólnych specyfikacji, wytycznych i organów krajowych. Terminy zmieniono rozporządzeniem, a nie jedynie komunikatem Komisji. Komunikat Komisji o wejściu w życie AI Omnibus

Odroczenie nie oznacza, że narzędzia rekrutacyjne można zostawić bez kontroli. Już teraz warto ustalić, które systemy wpływają na decyzje dotyczące ludzi, opisać ich działanie i zapytać dostawców o plan zgodności na 2027 r. Artykuł 4 i zakazane praktyki z art. 5 obowiązują niezależnie od przesunięcia.

Polska ustawa i przejściowy etap egzekwowania

Polska ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji została opublikowana w Dzienniku Ustaw pod pozycją 1003 i zasadniczo weszła w życie 11 sierpnia 2026 r. Nie zastępuje unijnego rozporządzenia. Tworzy krajowy system nadzoru nad przepisami, które stosują się bezpośrednio. Dz.U. 2026 poz. 1003

Organem nadzoru rynku i pojedynczym punktem kontaktowym ma być Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, czyli KRiBSI. Komisja ma kontrolować przestrzeganie AI Act i wydawać decyzje w sprawach naruszeń.

Rozdział dotyczący administracyjnych kar pieniężnych oraz kilka innych części polskiej ustawy zaczną jednak obowiązywać dopiero 28 października 2026 r. Na 23 sierpnia krajowy system egzekwowania znajduje się więc jeszcze w okresie przejściowym. Nie zawiesza to obowiązków wynikających bezpośrednio z AI Act.

Kary: maksymalne pułapy, nie automatyczne kwoty

Poniższe kwoty są ustawowymi maksimami, a nie automatyczną karą za każde naruszenie. Organ musi uwzględnić okoliczności konkretnej sprawy.

• •Zakazane praktyki z art. 5: do 35 mln euro lub 7 proc. światowego rocznego obrotu.
• •Określone obowiązki operatorów, w tym art. 50: do 15 mln euro lub 3 proc. obrotu.
• •Nieprawidłowe, niepełne lub wprowadzające w błąd informacje przekazane organowi: do 7,5 mln euro lub 1 proc. obrotu.

Kary wobec dostawców modeli ogólnego przeznaczenia nakłada Komisja Europejska.

W przypadku MŚP maksymalny pułap stanowi niższa z dwóch wartości: kwota nominalna albo procent obrotu. Sama liczba pracowników nie przesądza jednak o statusie MŚP, ponieważ unijna definicja uwzględnia również progi finansowe i powiązania z innymi przedsiębiorstwami.

Praktyczna lista działań na ten tydzień

• •Utwórz rejestr wszystkich narzędzi AI używanych w firmie, także tych wprowadzonych nieformalnie przez pracowników.
• •Zapisz dostawcę, cel użycia, użytkowników, rodzaj danych, powstające treści oraz wpływ systemu na decyzje dotyczące ludzi.
• •Przy każdym narzędziu określ, czy firma jest dostawcą, czy podmiotem stosującym.
• •Sprawdź, czy chatbot jasno informuje o wykorzystaniu AI już na początku rozmowy.
• •Oddziel systemy rekrutacyjne i kadrowe oraz poddaj je wcześniejszej analizie pod kątem wysokiego ryzyka.
• •Zapytaj dostawców na piśmie, jak realizują art. 50 i jak przygotowują się do wymagań dla systemów wysokiego ryzyka.
• •Przeprowadź szkolenia dopasowane do ról i zachowaj krótki zapis ich zakresu.
• •Ustal procedurę publikacji obejmującą deepfake'i, teksty dotyczące spraw interesu publicznego i rzeczywistą kontrolę redakcyjną człowieka.

Co nadal pozostaje niepewne

AI Act nie przypisuje naruszeniu samego art. 4 wprost pułapu 15 mln euro lub 3 proc. obrotu. Nie należy więc podawać konkretnej kary za brak kompetencji AI bez podstawy w przepisach krajowych.

Do 23 sierpnia 2026 r. nie znalazłam oficjalnego potwierdzenia formalnego powołania przewodniczącego KRiBSI. Ustawowy termin powołania jeszcze nie upłynął.

Nowelizacja odracza sekcje od 1 do 3 rozdziału III. Wobec sekcji 5 nie używa jednak takiego samego ogólnego sformułowania. Producent powinien więc sprawdzić przepisy dotyczące konkretnego produktu, zamiast zakładać, że automatycznie przesunięto cały rozdział.

Wniosek dla firmy

AI Act nie wymaga od każdej firmy tworzenia rozbudowanego aparatu zgodności. Wymaga natomiast wiedzy o tym, gdzie AI jest używane, prawidłowego określenia roli firmy, przygotowania pracowników do realnych ryzyk oraz wprowadzenia zasad, które da się stosować w codziennej pracy.

Ten artykuł nie jest poradą prawną. Gdy niejasna jest klasyfikacja systemu, zakres sankcji lub sytuacja konkretnego produktu, potrzebna jest analiza prawna. Moja praca zaczyna się po stronie operacyjnej: od mapowania rzeczywistego użycia AI, przełożenia wymagań na wykonalne procedury i przygotowania zespołu do pracy z jasną odpowiedzialnością człowieka.