W lipcu 2026 r. Ewa, specjalistka ds. zgodności w średniej firmie usługowej, przeczytała nagłówek „AI Act odroczony”. Odetchnęła i odłożyła projekt rejestru systemów AI na przyszły rok. Kilka tygodni później dział HR poprosił o zgodę na narzędzie, które ocenia CV kandydatów, marketing zaczął publikować grafiki generowane przez model, a w aplikacji klienckiej pojawił się czatbot. Każda z tych decyzji podlega innemu przepisowi AI Act i każda ma inny termin — a część z nich obowiązuje już dziś.
Rozporządzenie (UE) 2026/1744, nazywane Digital Omnibus on AI, przesunęło wyłącznie wymagania dla systemów wysokiego ryzyka. Zakazane praktyki, obowiązek z art. 4 i przepisy o modelach AI ogólnego przeznaczenia stosuje się od 2025 r., a przejrzystość z art. 50 — od 2 sierpnia 2026 r. Poniżej porządkujemy harmonogram z numerami przepisów, pokazujemy, jak ustalić rolę firmy, jakie kary grożą za naruszenia, co zmienia polska ustawa o systemach sztucznej inteligencji i co warto zrobić jeszcze w 2026 r.
Co zmienił Digital Omnibus w harmonogramie AI Act?
Digital Omnibus przesunął terminy wymagań dla systemów AI wysokiego ryzyka na 2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I), a pozostałe daty stosowania AI Act zostawił bez zmian. Formalnie to Rozporządzenie (UE) 2026/1744 z dnia 8 lipca 2026 r., które zmienia m.in. Rozporządzenie (UE) 2024/1689, czyli AI Act. Opublikowano je w Dzienniku Urzędowym UE 24 lipca 2026 r., a weszło w życie trzeciego dnia po publikacji, czyli 27 lipca 2026 r.
Przed zmianą harmonogram był prostszy i ostrzejszy. Pierwotny art. 113 AI Act przewidywał stosowanie obowiązków dla systemów wysokiego ryzyka z załącznika III od ogólnej daty 2 sierpnia 2026 r., a dla systemów objętych art. 6 ust. 1 i załącznikiem I — od 2 sierpnia 2027 r. Poradniki i prezentacje przygotowane przed lipcem 2026 r. mogą nadal powtarzać te daty. Trzeba je traktować jako nieaktualne.
Omnibus dodał też nowe elementy. Do art. 5 trafiły dwa nowe zakazy (lit. ba i bb) z datą stosowania 2 grudnia 2026 r., do art. 111 — okres przejściowy dla oznakowania treści syntetycznych, a do art. 99 — łagodniejsza zasada wymiaru kar dla małych spółek o średniej kapitalizacji. Zmieniono również brzmienie art. 4 o kompetencjach w zakresie AI. Nowa lit. d w art. 113 mówi, że art. 102–110 stosuje się od 27 lipca 2026 r., ale te przepisy zmieniają inne akty prawa UE i nie są terminem dla firm korzystających z AI.
Po 2026/1744 nie pojawił się kolejny akt zmieniający AI Act — tak wynika z bazy relacji Urzędu Publikacji UE na 10 listopada 2026 r. Komisja zaproponowała dalsze zmiany dotyczące wyrobów medycznych, które dotykają także AI Act, ale to projekt, a nie obowiązujące prawo. Dla planowania w firmie liczy się stan opisany w tym artykule.
Jakie terminy AI Act obowiązują firmy w latach 2025–2030?
AI Act wchodzi w życie etapami: zakazy i art. 4 obowiązują od 2 lutego 2025 r., przepisy o modelach GPAI od 2 sierpnia 2025 r., przejrzystość z art. 50 od 2 sierpnia 2026 r., nowe zakazy od 2 grudnia 2026 r., a wymagania dla systemów wysokiego ryzyka od 2 grudnia 2027 r. i 2 sierpnia 2028 r. Tabela zestawia wszystkie daty z numerami przepisów, żeby każdą dało się sprawdzić w tekście rozporządzenia. Stan na 10 listopada 2026 r.
| Data | Co zaczyna obowiązywać | Podstawa |
|---|---|---|
| 1 sierpnia 2024 r. | wejście w życie AI Act | 2026/1744, motyw 1 |
| 2 lutego 2025 r. | rozdziały I i II: przepisy ogólne, w tym art. 4 (kompetencje w zakresie AI), oraz zakazane praktyki z art. 5 | art. 113 akapit trzeci lit. a |
| 2 sierpnia 2025 r. | rozdział V (modele AI ogólnego przeznaczenia), organy notyfikujące i jednostki notyfikowane (rozdział III sekcja 4), zarządzanie (rozdział VII), kary z rozdziału XII z wyjątkiem art. 101, poufność (art. 78) | art. 113 akapit trzeci lit. b |
| 27 lipca 2026 r. | wejście w życie Rozporządzenia 2026/1744; art. 102–110 (zmiany innych aktów UE) | 2026/1744, art. 4; art. 113 lit. d |
| 2 sierpnia 2026 r. | ogólna data stosowania: m.in. obowiązki przejrzystości z art. 50 i kary dla dostawców modeli GPAI z art. 101 | art. 113 akapit drugi |
| 2 grudnia 2026 r. | nowe zakazy z art. 5 ust. 1 lit. ba i bb oraz ust. 1a i 1b; art. 50 ust. 2 dla systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. | art. 113 lit. a; art. 111 ust. 4 |
| 2 sierpnia 2027 r. | zgodność modeli GPAI wprowadzonych do obrotu przed 2 sierpnia 2025 r. | art. 111 ust. 3 |
| 2 grudnia 2027 r. | wymagania i obowiązki dla systemów wysokiego ryzyka z art. 6 ust. 2 i załącznika III | art. 113 lit. c pkt i |
| 2 sierpnia 2028 r. | wymagania i obowiązki dla systemów wysokiego ryzyka z art. 6 ust. 1 i załącznika I | art. 113 lit. c pkt ii |
| 2 sierpnia 2030 r. | zgodność systemów wysokiego ryzyka przeznaczonych do wykorzystywania przez organy publiczne | art. 111 ust. 2 |
| 31 grudnia 2030 r. | zgodność systemów AI w wielkoskalowych systemach IT z załącznika X, wprowadzonych przed 2 sierpnia 2027 r. | art. 111 ust. 1 |
Najczęstszy błąd w czytaniu tej osi to traktowanie 2 sierpnia 2026 r. jako terminu dla systemów wysokiego ryzyka. Po Omnibusie to data, od której stosuje się m.in. art. 50, ale nie obowiązki z rozdziału III sekcje 1–3. Drugi błąd to odczytywanie terminu 2 sierpnia 2030 r. jako ogólnego „okresu przejściowego”. Ten termin dotyczy wyłącznie systemów wysokiego ryzyka przeznaczonych do wykorzystywania przez organy publiczne.
Warto też zauważyć, że art. 111 ust. 2 po zmianie odnosi się do „daty stosowania rozdziału III”, a nie do sztywnego 2 sierpnia 2026 r. Systemy wysokiego ryzyka wprowadzone do obrotu przed tą datą podlegają rozporządzeniu dopiero wtedy, gdy przejdą istotne zmiany w projekcie. Dla firm, które dziś kupują narzędzia HR albo scoringowe, oznacza to, że data zakupu i późniejsze modyfikacje będą miały znaczenie dowodowe.
Najważniejsze:
- Zakazy z art. 5 i obowiązek z art. 4 obowiązują od 2 lutego 2025 r. — Omnibus ich nie przesunął.
- Przejrzystość z art. 50 stosuje się od 2 sierpnia 2026 r., z okresem przejściowym do 2 grudnia 2026 r. dla oznakowania treści z systemów wprowadzonych wcześniej.
- Wymagania dla systemów wysokiego ryzyka: 2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I).
- Termin 2 sierpnia 2030 r. dotyczy tylko systemów wysokiego ryzyka organów publicznych.
Jak ustalić, czy firma jest dostawcą, czy podmiotem stosującym system AI?
Firma jest dostawcą, gdy rozwija system lub model AI (albo zleca jego rozwój) i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą, a podmiotem stosującym — gdy wykorzystuje system AI, nad którym sprawuje kontrolę, w działalności zawodowej. Obie definicje zawiera art. 3 pkt 3 i 4 AI Act. Większość polskich firm korzystających z gotowych usług, takich jak asystenci czatowi, funkcje AI w CRM czy narzędzia do analizy dokumentów, występuje w roli podmiotu stosującego.
Rola nie jest cechą firmy, tylko relacją z konkretnym systemem. Ta sama organizacja może być podmiotem stosującym asystenta biurowego i jednocześnie dostawcą czatbota, którego zbudowała na modelu zewnętrznym i udostępniła klientom pod własną marką. Dlatego rejestr systemów AI musi zawierać kolumnę „rola” wypełnianą osobno dla każdej pozycji, a nie jedną deklarację dla całej spółki.
AI Act zna też role pośrednie. Importer to podmiot z UE, który wprowadza do obrotu system oznaczony nazwą lub znakiem firmy spoza Unii (art. 3 pkt 6). Dystrybutor udostępnia system na rynku UE i nie jest ani dostawcą, ani importerem (art. 3 pkt 7). Integratorzy i resellerzy oprogramowania powinni sprawdzić, czy któraś z tych ról nie opisuje ich modelu biznesowego.
Najważniejsza pułapka kryje się w art. 25 ust. 1. Dystrybutor, importer, podmiot stosujący albo inna strona trzecia staje się dostawcą systemu wysokiego ryzyka, jeżeli umieści na nim własną nazwę lub znak towarowy, dokona istotnej zmiany takiego systemu albo zmieni przeznaczenie systemu, który nie był systemem wysokiego ryzyka, tak że staje się nim. Przykład z praktyki: dział HR bierze ogólny model językowy i konfiguruje go do automatycznego odsiewania kandydatów. To zmiana przeznaczenia, która może przenieść na firmę obowiązki dostawcy z art. 16.
Ustalenie roli warto zamknąć krótką notatką dla każdego systemu: kto rozwija system, pod czyją nazwą jest udostępniany, kto decyduje o celu użycia i czy firma coś w nim zmieniła. Taka notatka jest dowodem w razie kontroli i punktem wyjścia do rozmowy z dostawcą o podziale obowiązków.
Jak AI Act klasyfikuje systemy AI według ryzyka?
AI Act dzieli zastosowania AI na cztery grupy: praktyki zakazane (art. 5), systemy wysokiego ryzyka (art. 6 z załącznikami I i III), systemy z obowiązkami przejrzystości (art. 50) i pozostałe systemy bez szczególnych wymogów; osobny reżim dotyczy modeli AI ogólnego przeznaczenia (rozdział V). O kategorii decyduje zastosowanie systemu, a nie technologia. Ten sam model językowy może zasilać nieszkodliwego asystenta pisania i system wysokiego ryzyka do oceny pracowników.
Praktyki zakazane z art. 5 ust. 1 obejmują m.in. techniki podprogowe i manipulacyjne, wykorzystywanie słabości osób ze względu na wiek lub niepełnosprawność, scoring społeczny, przewidywanie ryzyka popełnienia przestępstwa wyłącznie na podstawie profilowania, tworzenie baz rozpoznawania twarzy przez nieukierunkowane pozyskiwanie wizerunków z internetu lub monitoringu oraz rozpoznawanie emocji w miejscu pracy i w szkołach (z wyjątkami medycznymi i bezpieczeństwa). Komisja Europejska opublikowała 4 lutego 2025 r. wytyczne w sprawie praktyk zakazanych, a 6 lutego 2025 r. niewiążące wytyczne w sprawie definicji systemu AI. Omnibus dodał lit. ba i bb, które dotyczą systemów generujących lub manipulujących realistycznym materiałem intymnym identyfikowalnej osoby bez jej wyraźnej zgody oraz materiałem przedstawiającym wykorzystywanie seksualne dzieci — te zakazy stosuje się od 2 grudnia 2026 r.
System jest systemem wysokiego ryzyka w dwóch przypadkach. Pierwszy (art. 6 ust. 1) to system będący produktem albo elementem bezpieczeństwa produktu objętego prawodawstwem harmonizacyjnym z załącznika I, który wymaga oceny zgodności przez stronę trzecią. Drugi (art. 6 ust. 2) to zastosowania wymienione w załączniku III: biometria, infrastruktura krytyczna, edukacja, zatrudnienie i zarządzanie pracownikami, dostęp do usług podstawowych (w tym ocena zdolności kredytowej i wycena ubezpieczeń na życie i zdrowotnych), ściganie przestępstw, migracja oraz wymiar sprawiedliwości i procesy demokratyczne.
Art. 6 ust. 3 pozwala uznać system z załącznika III za niebędący systemem wysokiego ryzyka, gdy nie stwarza znaczącego ryzyka szkody, np. wykonuje wąskie zadanie proceduralne albo zadanie przygotowawcze do oceny. Wyjątek nie działa, gdy system profiluje osoby fizyczne. Dostawca, który z niego korzysta, musi udokumentować ocenę przed wprowadzeniem systemu do obrotu (art. 6 ust. 4) i podlega rejestracji z art. 49 ust. 2. Firma kupująca takie narzędzie powinna poprosić dostawcę o tę dokumentację, zanim przyjmie, że obowiązki wysokiego ryzyka jej nie dotyczą.
Modele AI ogólnego przeznaczenia (GPAI) to osobna kategoria, kierowana do ich dostawców. Art. 53 nakłada na nich m.in. dokumentację techniczną, informacje dla firm integrujących model, politykę przestrzegania prawa autorskiego i publiczne streszczenie danych treningowych. Model uznaje się za obarczony ryzykiem systemowym m.in. wtedy, gdy łączna moc obliczeniowa użyta do jego trenowania przekracza 10^25 operacji zmiennoprzecinkowych (art. 51 ust. 2). Dobrowolny kodeks praktyk dla modeli GPAI, przygotowany przez niezależnych ekspertów, opublikowano 10 lipca 2025 r. Firma korzystająca z gotowego modelu nie staje się z tego powodu dostawcą GPAI — staje się nim dopiero, gdy sama wprowadza model do obrotu.
Jakie obowiązki ma podmiot stosujący system wysokiego ryzyka?
Podmiot stosujący system wysokiego ryzyka musi używać go zgodnie z instrukcją, powierzyć nadzór kompetentnym osobom, dbać o jakość danych wejściowych, monitorować działanie systemu, przechowywać logi i informować osoby, których system dotyczy — to katalog z art. 26, stosowany od 2 grudnia 2027 r. dla systemów z załącznika III. Obowiązki są węższe niż obowiązki dostawcy, ale wymagają procesów, których większość firm dziś nie ma.
Art. 26 ust. 1 i 2 wymagają środków technicznych i organizacyjnych zapewniających stosowanie systemu zgodnie z instrukcją oraz powierzenia nadzoru ze strony człowieka osobom, które mają niezbędne kompetencje, przeszkolenie i uprawnienia. W praktyce oznacza to imienne wskazanie osoby, która może zakwestionować wynik systemu i ma do tego czas. Jeżeli podmiot stosujący kontroluje dane wejściowe, odpowiada za ich adekwatność i reprezentatywność (ust. 4).
Ust. 5 i 6 dotyczą eksploatacji. Podmiot stosujący monitoruje działanie systemu na podstawie instrukcji i informuje dostawcę oraz organ nadzoru rynku, gdy system może stwarzać ryzyko. Logi generowane automatycznie przez system, w zakresie, w jakim ma nad nimi kontrolę, przechowuje przez okres odpowiedni do przeznaczenia systemu, nie krótszy niż sześć miesięcy, o ile inne przepisy nie stanowią inaczej. To wymaganie warto przenieść do umowy z dostawcą usługi chmurowej, bo domyślna retencja logów w usłudze SaaS bywa krótsza — trzeba to sprawdzić w jej dokumentacji.
Ust. 7 i 11 dotyczą informowania ludzi. Pracodawca przed użyciem systemu wysokiego ryzyka w miejscu pracy informuje przedstawicieli pracowników i pracowników, których system obejmie. Podmiot stosujący system z załącznika III, który podejmuje decyzje albo pomaga je podejmować wobec osób fizycznych, informuje te osoby, że podlegają działaniu takiego systemu. Ust. 9 łączy AI Act z RODO: informacje od dostawcy (art. 13 AI Act) służą do oceny skutków dla ochrony danych z art. 35 RODO.
Ocena skutków dla praw podstawowych (FRIA) z art. 27 nie dotyczy każdego podmiotu stosującego. Obowiązek mają podmioty prawa publicznego i podmioty prywatne świadczące usługi publiczne, które stosują systemy wysokiego ryzyka z art. 6 ust. 2 (poza infrastrukturą krytyczną z pkt 2 załącznika III), oraz podmioty stosujące systemy do oceny zdolności kredytowej osób fizycznych i do oceny ryzyka oraz wyceny ubezpieczeń na życie i zdrowotnych (załącznik III pkt 5 lit. b i c). Rejestracja w unijnej bazie danych z art. 49 ciąży na dostawcach systemów z załącznika III oraz na podmiotach stosujących, które są organami publicznymi — prywatna firma stosująca system zwykle niczego nie rejestruje, ale powinna sprawdzić, czy jej dostawca to zrobił.
Najważniejsze:
- Obowiązki podmiotu stosującego (art. 26) zaczynają się 2 grudnia 2027 r. dla systemów z załącznika III.
- Nadzór człowieka wymaga imiennie wskazanej osoby z kompetencjami i uprawnieniami.
- Logi systemu wysokiego ryzyka: co najmniej sześć miesięcy, jeśli są pod kontrolą firmy.
- FRIA z art. 27 dotyczy sektora publicznego, usług publicznych, scoringu kredytowego oraz ubezpieczeń na życie i zdrowotnych.
Jakie obowiązki przejrzystości wynikają z art. 50 AI Act?
Art. 50 nakłada cztery obowiązki przejrzystości: informowanie o interakcji z systemem AI, oznakowanie treści syntetycznych w formacie nadającym się do odczytu maszynowego, informowanie o rozpoznawaniu emocji i kategoryzacji biometrycznej oraz ujawnianie treści typu deepfake; stosuje się je od 2 sierpnia 2026 r. Obowiązki rozkładają się między dostawców i podmioty stosujące, więc ta sama firma może mieć jeden z nich jako dostawca czatbota i inny jako wydawca treści marketingowych.
Ust. 1 dotyczy dostawców systemów przeznaczonych do bezpośredniej interakcji z ludźmi: osoba musi wiedzieć, że rozmawia z systemem AI, chyba że jest to oczywiste z kontekstu. Firma, która udostępnia na stronie czatbota obsługi klienta pod własną marką, jest w tym zakresie dostawcą i powinna zadbać o czytelny komunikat w interfejsie. Ust. 2 dotyczy dostawców systemów generujących syntetyczne audio, obraz, wideo lub tekst: wyniki mają być oznakowane w formacie nadającym się do odczytu maszynowego i wykrywalne jako wygenerowane albo zmanipulowane sztucznie.
Ust. 3 i 4 adresują podmioty stosujące. Podmiot używający systemu rozpoznawania emocji albo kategoryzacji biometrycznej informuje o tym osoby, których system dotyczy. Podmiot, który generuje lub zmienia obraz, dźwięk albo wideo stanowiące deepfake, ujawnia, że treść jest sztucznie wygenerowana lub zmanipulowana; podobny obowiązek dotyczy tekstu publikowanego w celu informowania opinii publicznej o sprawach interesu publicznego. Działy marketingu i komunikacji korporacyjnej powinny mieć prostą regułę oznaczania takich materiałów.
Omnibus dodał do art. 111 ust. 4 okres przejściowy. Dostawcy systemów generujących treści syntetyczne, wprowadzonych do obrotu przed 2 sierpnia 2026 r., mają czas na spełnienie art. 50 ust. 2 do 2 grudnia 2026 r. Okres przejściowy nie obejmuje ust. 1, 3 i 4, więc nie przesuwa obowiązku informowania o czatbocie ani ujawniania deepfake’ów.
W art. 50 Omnibus zmienił poza tym tylko ust. 7, dotyczący kodeksów praktyk w zakresie wykrywania i oznaczania treści. Naruszenie obowiązków przejrzystości jest zagrożone karą z art. 99 ust. 4, czyli do 15 mln EUR albo 3% całkowitego rocznego światowego obrotu.
Co oznacza obowiązek kompetencji w zakresie AI z art. 4?
Art. 4 po zmianie wymaga od dostawców i podmiotów stosujących podejmowania środków, które wspierają rozwój kompetencji personelu w zakresie AI, i wprost zastrzega, że nie oznacza to obowiązku zapewnienia określonego poziomu kompetencji poszczególnych osób. Obowiązek stosuje się od 2 lutego 2025 r., bo należy do rozdziału I; obecne brzmienie nadało mu Rozporządzenie 2026/1744.
Zmiana przesuwa ciężar z wyniku na działanie. Firma nie musi wykazać, że każdy pracownik osiągnął określony poziom wiedzy, ale musi umieć pokazać, jakie środki podjęła i dlaczego są adekwatne do sposobu, w jaki używa AI. Rozporządzenie zobowiązuje też Komisję i państwa członkowskie do wspierania organizacji, zwłaszcza MŚP, a Komisję — do publikowania praktycznych przykładów.
Środki mogą mieć różną formę i nie muszą oznaczać kursów. Wystarczającym fundamentem bywa polityka korzystania z AI z jasnymi zasadami (o jej elementach piszemy w artykule o polityce AI w firmie), instrukcje dla konkretnych narzędzi, materiały o ograniczeniach modeli i zasada weryfikowania wyników przed użyciem. Zakres środków dobiera się do roli i ryzyka: inaczej dla zespołu, który publikuje treści generowane, inaczej dla działu HR, który korzysta z narzędzia do oceny kandydatów.
Dowodem spełnienia art. 4 jest dokumentacja: kto otrzymał jakie materiały, jakie zasady obowiązują, kiedy je zaktualizowano. W razie kontroli liczy się to, czy środki istnieją i są stosowane, a nie liczba godzin. Brak jakichkolwiek środków przy powszechnym korzystaniu z narzędzi AI trudno będzie obronić.
Jakie kary przewiduje AI Act i czy MŚP płacą mniej?
Za stosowanie zakazanych praktyk grozi do 35 mln EUR albo 7% całkowitego rocznego światowego obrotu, za naruszenie innych obowiązków operatorów — do 15 mln EUR albo 3%, a za nieprawidłowe informacje dla organów — do 7,5 mln EUR albo 1% (art. 99 ust. 3–5); MŚP i małe spółki o średniej kapitalizacji płacą według zasady niższej z dwóch wartości. W przypadku przedsiębiorstwa obowiązuje co do zasady wyższa z dwóch kwot, a pułapy są maksymalne, nie automatyczne.
Kategoria z art. 99 ust. 4 obejmuje m.in. obowiązki dostawców (art. 16), podmiotów stosujących (art. 26) i przejrzystości (art. 50). Omnibus dopisał do niej lit. da), dotyczącą obowiązków z art. 25 ust. 2 i 4, czyli współpracy w łańcuchu wartości. Rozdział XII z karami stosuje się od 2 sierpnia 2025 r., a kary dla dostawców modeli GPAI z art. 101 — od 2 sierpnia 2026 r.
Dla MŚP art. 99 ust. 6 przewiduje, że każda kara z ust. 3, 4 i 5 nie przekracza kwoty albo procentu, w zależności od tego, która wartość jest niższa. Omnibus dodał ust. 6a dla małych spółek o średniej kapitalizacji (SMC), zdefiniowanych w art. 3 pkt 14b przez odesłanie do Zalecenia Komisji (UE) 2025/1099. Dla SMC zasada niższej wartości obejmuje jednak tylko kary z ust. 4 i 5, a nie kary za zakazane praktyki z ust. 3.
Omnibus nie obniżył więc kar, tylko rozszerzył łagodniejszy sposób ich liczenia na kolejną grupę firm i doprecyzował, że państwa członkowskie mogą przewidzieć także administracyjne kary pieniężne. W Polsce przepisy o administracyjnych karach pieniężnych zawiera rozdział 8 ustawy o systemach sztucznej inteligencji, stosowany od 28 października 2026 r.
Co wprowadza polska ustawa o systemach sztucznej inteligencji?
Polska ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) tworzy krajowy nadzór nad stosowaniem AI Act: organem nadzoru rynku i pojedynczym punktem kontaktowym jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Ustawę ogłoszono w Dzienniku Ustaw 27 lipca 2026 r. W obiegu nazwa Komisji bywa skracana do „KRiBSI”, ale sama ustawa używa określenia „Komisja”.
Ustawa wchodzi w życie etapami, zgodnie z art. 127. Co do zasady weszła w życie po upływie 14 dni od ogłoszenia, czyli 11 sierpnia 2026 r. Art. 125 ust. 4 obowiązuje od dnia następującego po ogłoszeniu, czyli od 28 lipca 2026 r. Art. 8–18 oraz rozdziały 3–5, 8 i 9 weszły w życie po upływie trzech miesięcy od ogłoszenia, czyli 28 października 2026 r.
Tytuły rozdziałów stosowanych od 28 października 2026 r. pokazują, czego się spodziewać: rozdział 3 to „Kontrola przestrzegania przepisów o sztucznej inteligencji”, rozdział 4 — „Postępowanie przed organem nadzoru rynku”, rozdział 5 — „Układ w sprawie warunków nadzwyczajnego złagodzenia sankcji”, rozdział 8 — „Przepisy o administracyjnych karach pieniężnych i przepisy karne”, a rozdział 9 — „Zmiany w przepisach”. Od 28 października 2026 r. stosuje się więc krajowe przepisy o kontroli, postępowaniu przed organem i karach.
Przewodniczącego Komisji powołał Sejm uchwałą z 18 września 2026 r. (M.P. 2026 poz. 945), za zgodą Senatu wyrażoną 24 września 2026 r. (M.P. 2026 poz. 946). Ustawa zmienia też inne akty, m.in. ustawę o krajowym systemie cyberbezpieczeństwa i ustawę o ochronie danych osobowych, a w metadanych Sejmu jest powiązana z AI Act, aktem o usługach cyfrowych i RODO.
Dla firm wniosek jest praktyczny: AI Act przestał być wyłącznie regulacją „z Brukseli”. Kontrolę obowiązków, które już się stosuje — zakazanych praktyk, art. 4, a od sierpnia 2026 r. także art. 50 — prowadzi krajowy organ z własną procedurą. Szersze tło regulacyjne dla branży prawniczej omawia nasz artykuł o AI, RODO i etyce w kancelariach.
Co zrobić w 2026 roku, żeby przygotować firmę na AI Act?
W 2026 r. warto zbudować rejestr systemów AI z rolą firmy dla każdego z nich, sprawdzić zastosowania pod kątem art. 5, udokumentować środki z art. 4, uporządkować oznaczanie treści z art. 50 i wskazać systemy, które w 2027 r. wejdą w reżim wysokiego ryzyka. Kolejność ma znaczenie: bez rejestru nie da się ustalić ani roli, ani kategorii ryzyka, ani terminu.
Rejestr powinien obejmować także funkcje AI wbudowane w aplikacje SaaS, rozszerzenia przeglądarek i narzędzia używane przez pracowników bez formalnej zgody. Tę ostatnią grupę omawia osobny tekst o shadow AI, a strukturę ról i proces zatwierdzania nowych narzędzi — artykuł o AI governance w firmie. Szerszy obraz zabezpieczeń technicznych środowiska AI daje mapa ryzyk i kontroli bezpieczeństwa AI.
Tabela poniżej to plan działań uporządkowany według terminu. Kolumna „dowód” odpowiada na pytanie, które padnie podczas kontroli: co firma może pokazać.
| Działanie | Kogo dotyczy | Termin (stan na 10 listopada 2026 r.) | Dowód stosowania |
|---|---|---|---|
| Rejestr systemów AI z rolą firmy (dostawca, podmiot stosujący, importer, dystrybutor) | wszystkie firmy korzystające z AI | teraz — warunek pozostałych kroków | rejestr z właścicielem, celem i dostawcą każdego systemu |
| Przegląd zastosowań pod kątem art. 5 | wszystkie firmy | obowiązuje od 2 lutego 2025 r.; nowe lit. ba i bb od 2 grudnia 2026 r. | notatka z oceny dla systemów z obszarów ryzyka |
| Środki wspierające kompetencje z art. 4 | dostawcy i podmioty stosujące | obowiązuje od 2 lutego 2025 r. | polityka AI, instrukcje narzędzi, lista odbiorców i daty aktualizacji |
| Komunikat o interakcji z AI (art. 50 ust. 1) | dostawcy czatbotów i asystentów udostępnianych klientom | od 2 sierpnia 2026 r. | zrzut ekranu interfejsu i opis komunikatu |
| Ujawnianie deepfake’ów (art. 50 ust. 4) | firmy publikujące treści generowane lub zmienione przez AI | od 2 sierpnia 2026 r. | reguła oznaczania w procedurze publikacji |
| Oznakowanie treści syntetycznych (art. 50 ust. 2) | dostawcy systemów generatywnych | od 2 sierpnia 2026 r.; systemy sprzed tej daty do 2 grudnia 2026 r. | opis mechanizmu oznakowania nadającego się do odczytu maszynowego |
| Lista systemów z obszarów załącznika III (np. rekrutacja, scoring) i weryfikacja wyjątku z art. 6 ust. 3 | podmioty stosujące i dostawcy | przygotowanie w 2026 r.; obowiązki od 2 grudnia 2027 r. | karta klasyfikacji i dokumentacja dostawcy |
| Umowy z dostawcami: instrukcje, logi, podział obowiązków (art. 26 ust. 1 i 6) | podmioty stosujące systemy wysokiego ryzyka | przed 2 grudnia 2027 r. | klauzule umowne, konfiguracja retencji logów co najmniej sześć miesięcy |
| Procedura informowania pracowników i osób, których dotyczą decyzje (art. 26 ust. 7 i 11) | pracodawcy i podmioty stosujące systemy z załącznika III | przed 2 grudnia 2027 r. | wzór komunikatu, potwierdzenie konsultacji z przedstawicielami pracowników |
| FRIA (art. 27) | podmioty publiczne, usługi publiczne, scoring kredytowy, ubezpieczenia na życie i zdrowotne | przed pierwszym użyciem systemu, od 2 grudnia 2027 r. | raport FRIA powiązany z DPIA z art. 35 RODO |
Plan da się zrealizować bez dużego projektu, jeśli firma oprze go na istniejącym systemie zarządzania bezpieczeństwem informacji. Rejestr systemów AI można prowadzić obok rejestru aktywów, a ocenę zastosowań — w tym samym cyklu co analizę ryzyka. Organizacje, które chcą ramy systemu zarządzania dla AI, mogą sięgnąć po normę opisaną w artykule o ISO/IEC 42001; AI Act jej nie wymaga.
Największe ryzyko na 2027 r. dotyczy narzędzi HR. Systemy do rekrutacji, selekcji kandydatów i oceny pracowników należą do pkt 4 załącznika III, a bywają kupowane bez udziału działu zgodności. Jeśli takie narzędzie działa już dziś, warto ustalić teraz, czy dostawca przygotowuje dokumentację, logi i instrukcję wymagane od grudnia 2027 r.
Jak nFlo może pomóc w przygotowaniu do AI Act?
nFlo prowadzi usługę gotowość na AI Act i governance AI, która obejmuje inwentaryzację systemów AI, ich klasyfikację, ustalenie roli organizacji, analizę luk wobec terminów po Digital Omnibus i model governance AI. Pracujemy w filarze ład, ryzyko i zgodność, łącząc AI Act z RODO, NIS2 i ISO/IEC 27001, które firmy już znają.
Usługa nie zastępuje porady prawnej w indywidualnej sprawie. Jej efektem jest uporządkowany obraz: jakie systemy AI działają w firmie, które z nich podlegają którym przepisom i co trzeba zrobić do kiedy. Szerszy kontekst bezpieczeństwa i zgodności AI opisuje strona bezpieczeństwo AI, a artykuły z tego obszaru zbiera baza wiedzy o bezpieczeństwie AI.
Jeśli chcesz ustalić, które terminy z tej osi dotyczą Twojej organizacji, skontaktuj się z nami.
Co jeszcze warto wiedzieć o harmonogramie AI Act?
Poniżej odpowiedzi na pytania, które najczęściej pojawiają się przy planowaniu działań. Definicję samego aktu i podstawowe pojęcia zawiera hasło AI Act w słowniku.
Czy od 2 sierpnia 2026 r. obowiązują wymagania dla systemów AI wysokiego ryzyka?
Nie. Po zmianie art. 113 Rozporządzeniem (UE) 2026/1744 wymagania z rozdziału III sekcje 1–3 stosuje się od 2 grudnia 2027 r. dla systemów z załącznika III i od 2 sierpnia 2028 r. dla systemów z załącznika I. Data 2 sierpnia 2026 r. pozostała ogólną datą stosowania aktu, od której obowiązuje m.in. art. 50 (stan na 10 listopada 2026 r.).
Czy firma, która tylko korzysta z ChatGPT lub Copilota, podlega AI Act?
Tak, jako podmiot stosujący, choć w węższym zakresie niż dostawca. Obowiązuje ją art. 4 (środki wspierające kompetencje personelu w zakresie AI), w określonych sytuacjach art. 50 (np. ujawnianie treści typu deepfake), a obowiązki z art. 26 pojawiają się dopiero wtedy, gdy narzędzie służy celowi z załącznika III, np. selekcji kandydatów do pracy.
Kto nadzoruje stosowanie AI Act w Polsce?
Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) ustanawia organem nadzoru rynku i pojedynczym punktem kontaktowym Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Przewodniczącego Komisji Sejm powołał uchwałą z 18 września 2026 r. (M.P. 2026 poz. 945) za zgodą Senatu.
Czy Digital Omnibus obniżył kary z AI Act?
Nie. Maksymalne kwoty z art. 99 ust. 3–5 pozostały bez zmian: 35 mln EUR albo 7% obrotu za zakazane praktyki, 15 mln EUR albo 3% za inne obowiązki i 7,5 mln EUR albo 1% za nieprawidłowe informacje. Nowy art. 99 ust. 6a stosuje do małych spółek o średniej kapitalizacji zasadę niższej z dwóch wartości, ale tylko dla kar z ust. 4 i 5.
Czy AI Act wymaga certyfikatu ISO/IEC 42001?
Nie. AI Act nie nakłada obowiązku certyfikacji według ISO/IEC 42001. Norma opisuje system zarządzania sztuczną inteligencją i bywa wygodną ramą dla ról, polityk, oceny ryzyka i przeglądów, na których firma opiera utrzymanie zgodności, ale jej wdrożenie jest decyzją organizacji, a nie wymogiem rozporządzenia.
