Po ostatnich zmianach w unijnych przepisach wiele zarządów odetchnęło: "przesunęli, więc mamy czas". To tylko częściowo prawda. Przesunięto jeden, choć ważny, blok obowiązków. Pozostałe albo już obowiązują, albo właśnie zaczynają działać. Poniżej porządkujemy stan na październik 2026 i zostawiamy konkretną listę kroków.
To tekst informacyjny, a nie porada prawna: decyzje o zgodności warto konsultować z prawnikiem, który zna Waszą branżę.
Co jest pewne: harmonogram
AI Act (rozporządzenie 2024/1689) wszedł w życie w sierpniu 2024 i działa etapami. Oto, co faktycznie obowiązuje i od kiedy.
- 2 lutego 2025: zakazane praktyki (art. 5) oraz obowiązek AI literacy (art. 4).
- 2 sierpnia 2025: obowiązki dla dostawców modeli ogólnego przeznaczenia (GPAI), czyli dużych modeli językowych, oraz przepisy o karach i nadzorze.
- 2 sierpnia 2026: obowiązki przejrzystości z art. 50, m.in. informowanie ludzi, że rozmawiają z chatbotem, i oznaczanie treści generowanych przez AI. Wyjątek: techniczne znakowanie treści (art. 50 ust. 2) dla systemów, które były już na rynku przed tą datą, ma okres przejściowy do 2 grudnia 2026.
- 2 grudnia 2027: systemy wysokiego ryzyka z załącznika III (rekrutacja, scoring kredytowy, edukacja, ocena pracowników i podobne). Pierwotnie miał to być sierpień 2026.
- 2 sierpnia 2028: systemy wysokiego ryzyka wbudowane w produkty regulowane (załącznik I), np. w maszyny czy wyroby medyczne. Pierwotnie sierpień 2027.
Przesunięcie nie jest już zapowiedzią. Pakiet Digital Omnibus on AI, zaproponowany przez Komisję w listopadzie 2025, doczekał się porozumienia politycznego w maju 2026, głosowania w Parlamencie w czerwcu i przyjęcia przez Radę 29 czerwca. Według dostępnych źródeł został opublikowany w Dzienniku Urzędowym UE 24 lipca 2026 i wszedł w życie trzy dni później. Dopiero publikacja sprawia, że nowe daty są wiążące, i ta formalność jest już za nami.
Co się zmieniło w samych obowiązkach
Omnibus to nie tylko kalendarz. Dla polskich firm liczą się trzy zmiany.
Po pierwsze, art. 4 został złagodzony w sformułowaniu. Dostawcy i wdrażający mają podejmować działania wspierające kompetencje AI swoich pracowników, zamiast gwarantować "wystarczający poziom" u każdej osoby. Obowiązek jednak został, bo wcześniejszy pomysł, by przerzucić go na państwa członkowskie i Komisję, nie przeszedł.
Po drugie, doszedł nowy zakaz w art. 5: systemy AI generujące niekonsensualne treści intymne oraz materiały przedstawiające wykorzystywanie seksualne dzieci (tzw. nudifiery). Dotyczy to głównie dostawców takich narzędzi, ale firmy udostępniające pracownikom generatory obrazów powinny sprawdzić, czy narzędzie ma sensowne zabezpieczenia. Okres przejściowy kończy się 2 grudnia 2026.
Po trzecie, są ulgi dla mniejszych graczy. Według projektu Komisji obejmują firmy do 250 osób (MŚP) oraz do 750 osób (small mid-caps): uproszczoną dokumentację techniczną i łagodniejsze wymogi systemu zarządzania jakością. Dokładny zakres w opublikowanym tekście trzeba sprawdzić, bo źródła, na których się opieramy, opisują głównie wersję projektową.
Zakazane praktyki: czego nie wolno
Art. 5 zakazuje m.in. manipulacyjnych technik wpływających na decyzje ludzi, wykorzystywania słabości (wiek, niepełnosprawność, sytuacja ekonomiczna), scoringu społecznego, rozpoznawania emocji w miejscu pracy i szkole oraz masowego zbierania wizerunków twarzy z internetu do baz rozpoznawania.
W typowej polskiej firmie najczęstsze ryzyko to nie "scoring społeczny", tylko narzędzia, które trafiły do organizacji bokiem. Moduł w call center analizujący emocje rozmówcy-pracownika albo funkcja w systemie HR, która "ocenia nastrój zespołu" z kamer czy nagrań, mogą wpaść pod zakaz. Lepiej je znaleźć, zanim zrobi to ktoś z zewnątrz.
Wdrażający a dostawca: kto za co odpowiada
Większość firm, z którymi rozmawiamy, jest deployerem (wdrażającym): używa cudzego systemu w swojej działalności. Dostawcą (providerem) staje się ten, kto system tworzy albo przerabia pod własną marką. Granica bywa cieńsza, niż się wydaje: jeśli wewnętrznie zbudujecie na modelu językowym aplikację do oceny kandydatów, to jesteście dostawcą własnego systemu.
Dla deployera systemu wysokiego ryzyka obowiązki (od grudnia 2027) obejmują stosowanie systemu zgodnie z instrukcją, nadzór człowieka przez osoby kompetentne, kontrolę jakości danych wejściowych, przechowywanie logów co najmniej sześć miesięcy oraz informowanie pracowników i osób, których decyzje dotyczą. Dostawca odpowiada za ocenę zgodności, dokumentację techniczną, system zarządzania ryzykiem i oznakowanie CE.
Przykład z praktyki: dział HR w firmie handlowej korzysta z platformy rekrutacyjnej, która "rankuje" CV. Dostawca nazwał to wyszukiwarką, ale funkcja automatycznie układa kandydatów w kolejności przydatności, więc to typowy system z załącznika III. Wdrażający odpowiada wtedy za nadzór człowieka i informowanie kandydatów, a w umowie powinien mieć prawo do dokumentacji. Lepiej ustalić to teraz, niż w 2027 roku w trakcie renegocjacji.
Dla obu stron już teraz liczą się art. 4 (kompetencje), art. 5 (zakazy) i art. 50 (przejrzystość).
Polska: ustawa i organ nadzoru
Tu dobra wiadomość: ustawa o systemach sztucznej inteligencji jest uchwalona. Sejm przyjął ją w czerwcu 2026, po poprawkach Senatu rozpatrzył je na początku lipca, a prezydent podpisał ustawę 24 lipca. Według większości źródeł weszła w życie 11 sierpnia 2026.
Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Ma siedmiu członków: przewodniczącego, dwóch zastępców i czterech przedstawicieli wskazanych przez prezesów UOKiK, KNF, KRRiT i UKE. Rozpatruje skargi, bada zgodność systemów, wydaje opinie indywidualne, prowadzi piaskownice regulacyjne (bezpłatne dla mikro, małych i średnich firm) i może nakładać sankcje. W toku prac parlamentarnych usunięto uprawnienie do nakazywania wycofania systemu z rynku.
Co jest jeszcze w ruchu? Terminy powołania i startu organu. Źródła podają różne daty (przewodniczący do października, pierwsze posiedzenie w listopadzie 2026), więc praktyczny start kontroli lepiej śledzić na bieżąco. Spodziewamy się, że w pierwszym roku główne źródło spraw to skargi osób trzecich, a nie wyrywkowe kontrole.
Kary
AI Act przewiduje trzy widełki. Za zakazane praktyki: do 35 mln euro albo 7 proc. rocznego światowego obrotu. Za naruszenie obowiązków dostawców, wdrażających i przejrzystości: do 15 mln euro albo 3 proc. Za podanie fałszywych informacji organom: do 7,5 mln euro albo 1 proc. Dla MŚP stosuje się niższą z dwóch wartości. To limity górne, ale dobrze tłumaczą, czemu zarząd powinien wiedzieć, co w firmie działa.
Checklista na najbliższe tygodnie
- Inwentaryzacja. Zbierzcie w jednej tabeli wszystko, co używa AI: narzędzia zakupione, funkcje AI w istniejących systemach (CRM, HR, ERP, call center), własne modele i "cichy" użytek, np. konta ChatGPT założone przez pracowników. Przy każdej pozycji: właściciel, cel, dane, dostawca. U nas to zwykle najdłuższy krok i najbardziej odkrywczy.
- Klasyfikacja ryzyka. Dla każdego systemu odpowiedzcie: czy to zakazana praktyka, czy wysokie ryzyko (załącznik III), czy wymaga komunikatu przejrzystości, czy ryzyko minimalne. Większość pozycji wyląduje w ostatniej grupie, i dobrze to udokumentować.
- Polityka użycia AI. Jedna, krótka: jakie narzędzia wolno, jakich danych nie wolno wklejać, kto zatwierdza nowe, jak oznaczać treści generowane.
- Szkolenia. Dla ogółu: podstawy i zasady bezpiecznego użycia. Dla zespołów HR, obsługi klienta, analityków i IT: warianty dopasowane do ryzyk ich roli. Prowadźcie listy obecności i materiały, bo to Wasz dowód z art. 4.
- Przejrzystość. Chatbot na stronie mówi, że jest botem. Treści generowane lub przerabiane przez AI w komunikacji zewnętrznej są oznaczane tam, gdzie wymaga tego art. 50. Zacznijcie przygotowania pod techniczne znakowanie, które nabiera mocy 2 grudnia 2026 dla starszych systemów.
- Dokumentacja i logi. Rejestr systemów, decyzje o klasyfikacji, wyniki testów, incydenty. Dla przyszłych systemów wysokiego ryzyka zaplanujcie przechowywanie logów od razu.
- Nadzór człowieka. Wskażcie z imienia i nazwiska osoby, które mogą zatrzymać lub zmienić decyzję systemu, i upewnijcie się, że rozumieją jego ograniczenia. "Człowiek klika zatwierdź" to nie nadzór.
- Umowy z dostawcami. Dopiszcie: klasyfikację systemu według dostawcy, dostęp do instrukcji i dokumentacji, informowanie o istotnych zmianach modelu, współpracę przy incydentach i audytach, informacje o danych treningowych i miejscu przetwarzania.
Każdy krok przypisz do właściciela i terminu. Zgodność z AI Act rzadko rozbija się o brak wiedzy prawnej. Częściej brakuje jednej osoby, która pilnuje tematu.
Czego jeszcze nie wiemy
Część rzeczy zostaje otwarta. Wytyczne Komisji do klasyfikacji systemów wysokiego ryzyka i normy zharmonizowane wciąż się dopracowuje, więc wiele szczegółów oceny zgodności będzie jasnych dopiero w 2027 roku. Praktyka KRiBSI dopiero powstaje. Zakres ulg dla MŚP i small mid-caps trzeba potwierdzić w ostatecznym tekście. Co do ustawy krajowej, część źródeł różni się w datach startu uprawnień kontrolnych.
Nie czekajcie na grudzień 2027. Inwentaryzacja, polityka i szkolenia dają zgodność z tym, co już obowiązuje, a przy okazji porządkują AI w firmie. Jeśli chcecie przejść przez pierwsze dwa kroki z kimś, kto robił to w kilku organizacjach, napiszcie do nas.
Źródła
- Digital Omnibus Adopted: AI Act High-Risk Delayed to 2027 (aiacto.eu)
- EU AI Act Omnibus Agreement, Postponed High-Risk Deadlines and Other Key Changes (Gibson Dunn)
- EU Lawmakers Reach Provisional Agreement to Delay Key EU AI Act Obligations (Sidley)
- EU AI Act omnibus: the new high-risk deadlines explained (VerifyWise)
- The AI Act implementation timeline: What changes under the AI Omnibus? (FPF)
- Ustawa o systemach AI i KRiBSI: co zmienia (Chronofy)
- Sejm przyjął ustawę o sztucznej inteligencji (Rzeczpospolita)
- Rządowy projekt ustawy o systemach sztucznej inteligencji (Sejm)
- Rozporządzenie (UE) 2024/1689, tekst (EUR-Lex)
