AI Act po 2 sierpnia 2026: co firma musi zrobić

Przez wiele miesięcy 2 sierpnia 2026 r. przedstawiano jako datę, od której AI Act zacznie realnie dotyczyć większości firm. Pięć dni przed tym terminem zasady jednak się zmieniły. Rozporządzenie (UE) 2026/1744 złagodziło przepis o kompetencjach w zakresie AI i przesunęło najważniejsze obowiązki dla systemów wysokiego ryzyka. Dlatego poradnik napisany w czerwcu lub na początku lipca może dziś przedstawiać nieaktualny harmonogram. Rozporządzenie (UE) 2026/1744

Najważniejsze pytanie nie brzmi: „Czy nasza firma tworzy AI?”. Trzeba ustalić, jaką rolę pełni wobec każdego systemu i do czego go używa. Organizacja, która wyłącznie kupuje gotowe narzędzia, również może podlegać konkretnym obowiązkom.

Trzy wnioski, które warto zapamiętać

• •Od 2 sierpnia 2026 r. stosuje się art. 50 dotyczący przejrzystości.
• •AI Act nie nakazuje widocznego oznaczania każdej grafiki wygenerowanej przez AI.
• •Najważniejsze obowiązki dla systemów wysokiego ryzyka w rekrutacji odroczono, ale obowiązek rozwijania kompetencji i zakazane praktyki już obowiązują.

Harmonogram po lipcowej nowelizacji

AI Act jest stosowany etapami. Data wejścia rozporządzenia w życie nie jest więc tym samym co data rozpoczęcia stosowania konkretnego obowiązku.

• •1 sierpnia 2024 r.: AI Act wszedł w życie.
• •2 lutego 2025 r.: zaczęły obowiązywać definicje, art. 4 o kompetencjach w zakresie AI oraz art. 5 o zakazanych praktykach.
• •2 sierpnia 2025 r.: zaczęły być stosowane przepisy o modelach ogólnego przeznaczenia, zarządzaniu i większości kar.
• •27 lipca 2026 r.: weszła w życie nowelizacja zmieniająca art. 4 i terminy dla systemów wysokiego ryzyka.
• •2 sierpnia 2026 r.: zaczęły być stosowane obowiązki przejrzystości z art. 50 oraz art. 101 o karach dla dostawców modeli ogólnego przeznaczenia.
• •11 sierpnia 2026 r.: zasadniczo weszła w życie polska ustawa o systemach sztucznej inteligencji.

Co art. 50 oznacza dla zwykłej firmy

Artykuł 50 dotyczy przejrzystości. Odbiorca powinien wiedzieć, że rozmawia z AI albo styka się z treścią, którą można pomylić z autentycznym materiałem. Nie jest to jeden ogólny nakaz oznaczania wszystkiego. Przepis rozdziela różne obowiązki pomiędzy dostawców i podmioty stosujące.

Dostawca systemu przeznaczonego do bezpośredniej interakcji z człowiekiem musi zapewnić informację, że użytkownik kontaktuje się z AI, chyba że jest to oczywiste w danych okolicznościach. Firma wdrażająca chatbota powinna sprawdzić, czy taka informacja pojawia się na początku rozmowy, a nie dopiero w regulaminie.

Podmiot stosujący, który publikuje deepfake, musi ujawnić, że materiał został wygenerowany albo zmanipulowany. Informacja powinna być zrozumiała dla człowieka już przy pierwszym kontakcie z treścią, a nie ukryta wyłącznie w metadanych pliku.

Obowiązek ujawnienia może dotyczyć także tekstu wygenerowanego lub zmodyfikowanego przez AI, jeżeli służy on informowaniu społeczeństwa o sprawach interesu publicznego. Wyjątek obejmuje materiał poddany rzeczywistej kontroli człowieka lub redakcji, za który ktoś ponosi odpowiedzialność redakcyjną. Komisja podkreśla, że poprawienie gramatyki lub stylu nie wystarcza. Człowiek powinien sprawdzić również warstwę merytoryczną. Wytyczne Komisji Europejskiej dotyczące art. 50

Podmiot stosujący system rozpoznawania emocji lub kategoryzacji biometrycznej musi poinformować osoby objęte jego działaniem. W miejscu pracy rozpoznawanie emocji jest jednak co do zasady zakazane przez art. 5, poza wąskimi wyjątkami medycznymi i związanymi z bezpieczeństwem.

Nie, każda grafika z AI nie wymaga oznaczenia

To najczęstsza nadinterpretacja art. 50. Techniczne oznaczanie treści generowanych przez AI jest obowiązkiem dostawcy. Firma korzystająca z zewnętrznego generatora grafik nie przejmuje automatycznie tego obowiązku tylko dlatego, że publikuje efekt jego pracy.

Dostawca systemu generującego tekst, obraz, dźwięk lub wideo ma zapewnić techniczne oznaczenie treści w formacie odczytywalnym maszynowo. Dla systemów wprowadzonych na rynek przed 2 sierpnia 2026 r. termin dostosowania do tego obowiązku upływa 2 grudnia 2026 r.

Widoczne oznaczenie po stronie podmiotu stosującego dotyczy deepfake'u, czyli materiału naśladującego istniejącą osobę, przedmiot, miejsce, organizację lub wydarzenie i mogącego fałszywie uchodzić za autentyczny. Fikcyjna ilustracja, która nie udaje rzeczywistego zdarzenia ani konkretnej osoby, nie staje się automatycznie deepfake'em. Inaczej należy ocenić obraz przedstawiany jako prawdziwa fotografia realnej osoby lub sytuacji. Unijne ikony do oznaczania treści AI

Praktycznym rozwiązaniem nie jest więc automatyczna etykieta pod każdą grafiką. Firma potrzebuje jasnej zasady publikacji dla materiałów, które mogą wprowadzić odbiorcę w błąd co do ich autentyczności.

Dostawca czy podmiot stosujący? Od tego zależą obowiązki

Rolę firmy trzeba ustalić osobno dla każdego narzędzia. Od tej kwalifikacji zależy zakres obowiązków.

Dostawca opracowuje system AI lub zleca jego opracowanie, a następnie wprowadza go na rynek albo oddaje do użytku pod własną nazwą lub znakiem towarowym. Podmiot stosujący używa systemu AI pod swoją kontrolą w działalności zawodowej. Firma, której pracownicy korzystają z ChatGPT, Copilota lub zewnętrznego generatora grafik, zwykle będzie podmiotem stosującym.

Rola może się jednak zmienić. Firma może zostać uznana za dostawcę, jeżeli udostępnia cudzy system pod własną nazwą, dokonuje istotnej modyfikacji albo zmienia jego przeznaczenie w sposób, który wprowadza system do kategorii wysokiego ryzyka. Nie wystarczy więc stwierdzenie: „Nie stworzyliśmy modelu”. Trzeba sprawdzić, co firma robi z systemem i pod czyją marką.

Kompetencje w zakresie AI obowiązują od lutego 2025

Artykuł 4 obejmuje dostawców i podmioty stosujące, a więc również firmy korzystające wyłącznie z zewnętrznych narzędzi. Obowiązek stosuje się od 2 lutego 2025 r.

Od 27 lipca 2026 r. przepis wymaga podejmowania działań wspierających rozwój kompetencji osób, które używają AI w imieniu organizacji. Zakres tych działań powinien uwzględniać ich wiedzę, doświadczenie, szkolenie oraz kontekst wykorzystania systemu. Firma nie musi gwarantować każdej osobie określonego poziomu kompetencji.

Nie ma obowiązkowego unijnego kursu, wymaganej liczby godzin ani urzędowego certyfikatu. Dobre szkolenie powinno odpowiadać na rzeczywiste zadania i ryzyka. Zespół HR potrzebuje wiedzy o dyskryminacji, zakazanych praktykach i nadzorze człowieka. Marketing powinien rozumieć halucynacje, weryfikację źródeł, prawa do treści i zasady publikacji. Wytyczne Komisji Europejskiej dotyczące kompetencji AI

Krótki zapis daty, zakresu, materiałów i uczestników jest rozsądnym sposobem udokumentowania, że organizacja podjęła działania.

Trzeba przy tym odróżnić obowiązek informowania od zakazu. System analizujący ton głosu, mimikę lub nastrój kandydata może służyć rozpoznawaniu emocji. W miejscu pracy takie zastosowanie jest co do zasady zakazane, a nie jedynie objęte obowiązkiem poinformowania.

Rekrutacja: zakazy obowiązują dziś, high risk później

Do systemów wysokiego ryzyka mogą należeć narzędzia służące do rekrutacji i selekcji kandydatów, filtrowania zgłoszeń, oceniania kandydatów, podejmowania decyzji o awansie lub rozwiązaniu stosunku pracy, przydzielania zadań oraz monitorowania pracowników.

Podstawowe obowiązki dla tej grupy miały być stosowane od 2 sierpnia 2026 r., ale nowelizacja przesunęła termin na 2 grudnia 2027 r. Dla AI będącego produktem lub komponentem bezpieczeństwa produktu objętego określonym unijnym prawem produktowym termin przesunięto z 2 sierpnia 2027 r. na 2 sierpnia 2028 r.

Powodem były opóźnienia w przygotowaniu norm zharmonizowanych, wspólnych specyfikacji, wytycznych i organów krajowych. Terminy zmieniono rozporządzeniem, a nie jedynie komunikatem Komisji. Komunikat Komisji o wejściu w życie AI Omnibus

Odroczenie nie oznacza, że narzędzia rekrutacyjne można zostawić bez kontroli. Już teraz warto ustalić, które systemy wpływają na decyzje dotyczące ludzi, opisać ich działanie i zapytać dostawców o plan zgodności na 2027 r. Artykuł 4 i zakazane praktyki z art. 5 obowiązują niezależnie od przesunięcia.

Polska ustawa i przejściowy etap egzekwowania

Polska ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji została opublikowana w Dzienniku Ustaw pod pozycją 1003 i zasadniczo weszła w życie 11 sierpnia 2026 r. Nie zastępuje unijnego rozporządzenia. Tworzy krajowy system nadzoru nad przepisami, które stosują się bezpośrednio. Dz.U. 2026 poz. 1003

Organem nadzoru rynku i pojedynczym punktem kontaktowym ma być Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, czyli KRiBSI. Komisja ma kontrolować przestrzeganie AI Act i wydawać decyzje w sprawach naruszeń.

Rozdział dotyczący administracyjnych kar pieniężnych oraz kilka innych części polskiej ustawy zaczną jednak obowiązywać dopiero 28 października 2026 r. Na 23 sierpnia krajowy system egzekwowania znajduje się więc jeszcze w okresie przejściowym. Nie zawiesza to obowiązków wynikających bezpośrednio z AI Act.

Maksymalne kary

Najwyższy pułap, przewidziany za zakazane praktyki z art. 5, wynosi 35 mln euro lub 7 proc. światowego rocznego obrotu. Naruszenie określonych obowiązków operatorów, w tym art. 50, może skutkować karą do 15 mln euro lub 3 proc. obrotu. Za przekazanie organowi nieprawidłowych, niepełnych lub wprowadzających w błąd informacji przewidziano do 7,5 mln euro lub 1 proc. obrotu. Kary wobec dostawców modeli ogólnego przeznaczenia nakłada Komisja Europejska.

W przypadku MŚP maksymalny pułap stanowi niższa z dwóch wartości: kwota nominalna albo procent obrotu. Sama liczba pracowników nie przesądza jednak o statusie MŚP, ponieważ unijna definicja uwzględnia również progi finansowe i powiązania z innymi przedsiębiorstwami.

Praktyczna lista działań na ten tydzień

• •Utwórz rejestr wszystkich narzędzi AI używanych w firmie, także tych wprowadzonych nieformalnie przez pracowników.
• •Zapisz dostawcę, cel użycia, użytkowników, rodzaj danych, powstające treści oraz wpływ systemu na decyzje dotyczące ludzi.
• •Przy każdym narzędziu określ, czy firma jest dostawcą, czy podmiotem stosującym.
• •Sprawdź, czy chatbot jasno informuje o wykorzystaniu AI już na początku rozmowy.
• •Oddziel systemy rekrutacyjne i kadrowe oraz poddaj je wcześniejszej analizie pod kątem wysokiego ryzyka.
• •Zapytaj dostawców na piśmie, jak realizują art. 50 i jak przygotowują się do wymagań dla systemów wysokiego ryzyka.
• •Przeprowadź szkolenia dopasowane do ról i zachowaj krótki zapis ich zakresu.
• •Ustal procedurę publikacji obejmującą deepfake'i, teksty dotyczące spraw interesu publicznego i rzeczywistą kontrolę redakcyjną człowieka.

Co nadal pozostaje niepewne

AI Act nie przypisuje naruszeniu samego art. 4 wprost pułapu 15 mln euro lub 3 proc. obrotu. Nie należy więc podawać konkretnej kary za brak kompetencji AI bez podstawy w przepisach krajowych.

Do 23 sierpnia 2026 r. nie znalazłam oficjalnego potwierdzenia formalnego powołania przewodniczącego KRiBSI. Ustawowy termin powołania jeszcze nie upłynął.

Nowelizacja wyraźnie odracza sekcje od 1 do 3 rozdziału III, ale nie odracza w taki sam ogólny sposób sekcji 5. W przypadku konkretnego produktu może być potrzebna odrębna analiza zamiast założenia, że automatycznie przesunięto cały rozdział.

Wniosek dla firmy

AI Act nie wymaga od każdej firmy tworzenia rozbudowanego aparatu zgodności. Wymaga natomiast wiedzy o tym, gdzie AI jest używane, prawidłowego określenia roli firmy, przygotowania pracowników do realnych ryzyk oraz wprowadzenia zasad, które da się stosować w codziennej pracy.

Ten artykuł nie jest poradą prawną. Gdy niejasna jest klasyfikacja systemu, zakres sankcji lub sytuacja konkretnego produktu, potrzebna jest analiza prawna. Moja praca zaczyna się po stronie operacyjnej: od mapowania rzeczywistego użycia AI, przełożenia wymagań na wykonalne procedury i przygotowania zespołu do pracy z jasną odpowiedzialnością człowieka.