EU AI Act dla firm: co wchodzi, a co przesunięto

Przez ostatni rok polskie firmy przygotowywały się do jednej daty. 2 sierpnia 2026 miał być dniem, w którym systemy sztucznej inteligencji wysokiego ryzyka trafiają pod pełny reżim przepisów. Chodziło o dokumentację, ocenę ryzyka i rejestrację w unijnej bazie. Ten termin właśnie zniknął. Przesunął go pakiet Digital Omnibus on AI, podpisany 8 lipca 2026 przez przewodniczących Parlamentu Europejskiego i Rady. Nowa data to 2 grudnia 2027, a dla części produktów jeszcze późniejsza. Sama 2 sierpnia nie zniknęła jednak z kalendarza. Wchodzą wtedy zupełnie inne obowiązki, o których mówiło się znacznie ciszej. Dotyczą przejrzystości, a rozkładają się między twórcę narzędzia a firmę, która z niego korzysta. To rozróżnienie przesądza, co konkretnie masz zrobić, a co zrobi za Ciebie dostawca.

Spis treści

• Czym jest EU AI Act i kogo dotyczy w Polsce?
• Co obowiązuje od lutego 2025 – lista zakazanych praktyk
• Co naprawdę weszło 2 sierpnia 2026
• Systemy wysokiego ryzyka: nowe terminy
• Kary: kto, ile i od kiedy
• Polska ustawa podpisana – organ nadzoru dopiero powstaje
• Checklist: co zrobić w tym tygodniu, a co przez rok

Czym jest EU AI Act i kogo dotyczy w Polsce?

EU AI Act (rozporządzenie 2024/1689) to europejskie prawo regulujące systemy sztucznej inteligencji. Pierwsze tego rodzaju na świecie, z twardymi zakazami i obowiązkami dokumentacyjnymi. Obowiązuje od 1 sierpnia 2024 roku, ale jego przepisy wchodzą w życie etapami. Przez tę etapowość wiele firm gubi się w tym, co ich dotyczy już dziś, a co dopiero za rok.

Kluczowa zasada się nie zmieniła, choć bywa upraszczana do jednego zdania o kliencie z Unii. Trzy sytuacje dotyczą największej liczby firm. Pierwsza: wprowadzasz na rynek unijny system AI albo model ogólnego przeznaczenia, obojętne gdzie masz siedzibę. To samo dotyczy oddania takiego systemu do użytku. Druga: masz siedzibę w Unii i używasz systemu AI. Trzecia: działasz spoza Unii, ale wyniki Twojego systemu są wykorzystywane na jej terenie. Sama faktura wystawiona klientowi z Unii jeszcze niczego nie przesądza. Decyduje to, gdzie system trafia na rynek i gdzie lądują efekty jego pracy.

Lista adresatów jest przy tym dłuższa. Rozporządzenie obejmuje też importerów i dystrybutorów oraz producentów, którzy wprowadzają AI razem ze swoim produktem pod własną marką. Dochodzą do tego upoważnieni przedstawiciele dostawców spoza Unii. Na końcu są same osoby, na które system oddziałuje, jeśli przebywają w Unii.

Dla polskich firm oznacza to, że:

• korzystasz z narzędzi AI od firm spoza Unii (OpenAI, Google, Anthropic) i jako podmiot stosujący masz własne obowiązki
• budujesz własne systemy AI do użytku wewnętrznego lub dla klientów, więc jesteś dostawcą. Przy systemie używanym u siebie bywasz jednocześnie dostawcą i podmiotem stosującym, a zakres obowiązków zależy wtedy od klasyfikacji systemu, nie od samej roli
• kupujesz gotowe oprogramowanie z wbudowaną AI (systemy kadrowe, CRM z oceną klientów) i masz własny zestaw obowiązków podmiotu stosującego z artykułu 26. Pełna dokumentacja techniczna pozostaje po stronie dostawcy

To rozporządzenie, a nie dyrektywa. Stosuje się wprost, bez potrzeby przepisywania go do polskiego prawa. Krajowa ustawa dokłada to, co rozporządzenie zostawiło państwom: kto pilnuje przestrzegania, jak wyglądają kontrole i postępowania, jakie są kary oraz na jakich zasadach działa akredytacja i wsparcie dla innowacji.

Co obowiązuje od lutego 2025 – lista zakazanych praktyk

Od 2 lutego 2025 roku obowiązuje artykuł 5, czyli lista praktyk zakazanych. Trzon tej listy nie został przesunięty i działa dziś. Omnibus dołożył do niej dwa nowe zakazy, które zaczynają obowiązywać 2 grudnia 2026. Celują w aplikacje “rozbierające” zdjęcia. Chodzi o systemy przeznaczone do tworzenia realistycznych materiałów intymnych z rozpoznawalną osobą bez jej zgody albo materiałów przedstawiających seksualne wykorzystywanie dzieci.

Nowy zakaz obejmuje dostawcę w dwóch sytuacjach: gdy taki jest cel systemu albo gdy taki wynik jest przewidywalny i powtarzalny, a zabezpieczeń brak. Obejmuje też podmiot stosujący, gdy używa systemu w tym celu świadomie. Przypadkowy wynik z narzędzia ogólnego przeznaczenia to inna sytuacja.

Czego zakazy nie obejmują: badania i testy przed wejściem na rynek

Zakazy są ostre, ale nie absolutne. Całe rozporządzenie omija systemy tworzone wyłącznie do badań i rozwoju naukowego. To samo dotyczy prac badawczych, testowych i rozwojowych prowadzonych, zanim produkt trafi na rynek lub zostanie oddany do użytku.

Z tego wyłączenia wyjęto jednak testy w warunkach rzeczywistych, które rozporządzenie definiuje osobno. Przed takim testem trzeba więc sprawdzić, czy nadal jesteś poza zakresem przepisów.

Pięć praktyk zakazanych przez artykuł 5

Zakazy dotyczą przede wszystkim:

Manipulacji podprogowej i wykorzystywania podatności – systemy AI, które wpływają na zachowanie ludzi poniżej progu świadomości albo wykorzystują słabości (wiek, niepełnosprawność, sytuacja ekonomiczna). Zakaz nie łapie każdej perswazji: przepis wymaga, żeby system istotnie zniekształcał zachowanie i wyrządzał albo mógł wyrządzić poważną szkodę.

Scoringu społecznego – ocenianie lub klasyfikowanie ludzi na podstawie ich zachowań społecznych albo cech osobowości. Zakaz działa wtedy, gdy wystawiona ocena prowadzi do traktowania krzywdzącego albo nieproporcjonalnego do samego zachowania. Krzywdzącego, czyli w kontekście niepowiązanym z tym, skąd dane pochodzą. Wbrew popularnemu skrótowi myślowemu przepis nie ogranicza się do administracji publicznej. Obejmuje każdego, kto taki system wprowadza na rynek, oddaje do użytku albo stosuje.

Rozpoznawania emocji w pracy i edukacji – systemy wnioskujące o emocjach pracowników lub uczniów. Rozporządzenie zostawia tu jedną furtkę: zastosowania medyczne albo podyktowane bezpieczeństwem. Narzędzie mierzące zaangażowanie zespołu przez kamerę pod tę furtkę nie podpada, więc wdrożenie go w firmie jest zakazane.

Biometrycznej kategoryzacji – wnioskowanie o rasie, orientacji seksualnej, poglądach politycznych lub przynależności związkowej na podstawie danych biometrycznych.

Tworzenia baz twarzy ze scrapingu – nieukierunkowane pobieranie zdjęć twarzy z internetu lub z nagrań monitoringu w celu budowy baz do rozpoznawania twarzy. Przepis nie mówi tu o zgodzie, tylko o masowym, nieukierunkowanym zbieraniu, więc zgoda niczego nie legalizuje. Dokładnie takim działaniem zasłynęło Clearview AI. Jego bazę zbudowaną ze zdjęć z sieci opisywaliśmy przy okazji fałszywych aresztowań po błędnym rozpoznaniu twarzy.

Wymóg kompetencji AI po zmianach z Omnibusa

Od tej samej daty działa też artykuł 4 o kompetencjach w zakresie AI, choć Omnibus zmienił jego brzmienie. Firma ma podejmować działania wspierające kompetencje osób pracujących z jej systemami. Nie odpowiada natomiast za zagwarantowanie konkretnego poziomu wiedzy u konkretnego pracownika. Przepis nie narzuca też formy ani certyfikatu.

Co naprawdę weszło 2 sierpnia 2026

Trzy grupy przepisów zaczęły działać tego dnia i żadna z nich nie dotyczy dokumentacji systemów wysokiego ryzyka. Najwięcej zamieszania robi pierwsza z nich.

Obowiązki przejrzystości z artykułu 50: kto komu co ujawnia

To najczęściej przekręcana część całego rozporządzenia, bo obowiązki nie spadają na wszystkich po równo. Rozkładają się między dostawcę systemu a podmiot stosujący, czyli firmę, która z gotowego narzędzia korzysta. Zanim więc zaczniesz cokolwiek oznaczać, ustal, po której stronie tej linii stoisz.

Co musi zrobić dostawca systemu AI

Po stronie dostawcy leżą dwie rzeczy. Chatbot ma być zaprojektowany tak, żeby rozmówca wiedział, że pisze z maszyną, chyba że w danej sytuacji jest to oczywiste. Druga rzecz to znakowanie czytelne maszynowo. Producent generatora tekstu, obrazu, dźwięku i wideo oznacza wyniki swojego systemu w sposób pozwalający wykryć, że powstały sztucznie. Jeśli kupujesz gotowe narzędzie, tego obowiązku nie realizujesz Ty, tylko jego twórca.

Ten drugi obowiązek ma jednak własne granice. Nie obejmuje systemów pełniących funkcję pomocniczą przy standardowej edycji ani takich, które nie zmieniają istotnie danych wejściowych ani ich znaczenia. Poprawka gramatyki czy wyostrzenie zdjęcia znakowania więc nie wymagają. Rozporządzenie oczekuje też rozwiązań skutecznych na tyle, na ile jest to technicznie wykonalne, a nie doskonałych. Osobne wyjątki dotyczą systemów używanych na podstawie prawa do wykrywania i ścigania przestępstw. Przewijają się one przez cały artykuł 50.

Co musi zrobić firma używająca AI

Po stronie firmy używającej AI zakres jest wyraźnie węższy, niż sugerował medialny obieg tematu. Ujawnić trzeba dwie kategorie treści. Pierwsza to deepfake, czyli obraz, dźwięk lub wideo przypominające istniejące osoby, przedmioty, miejsca albo zdarzenia i fałszywie sprawiające wrażenie autentycznych. Druga to tekst publikowany po to, żeby informować opinię publiczną o sprawach interesu publicznego. Osobno dochodzi obowiązek poinformowania osób wystawionych na system rozpoznawania emocji albo kategoryzacji biometrycznej.

O wszystkim decyduje więc kategoria treści, a nie to, czy publikujesz zarobkowo. Przy deepfake’u Komisja każe sprawdzić trzy przesłanki naraz. Pierwsza to wysokie podobieństwo. Druga to odniesienie do czegoś istniejącego lub realnie możliwego. Trzecia to zdolność wprowadzenia odbiorcy w błąd co do autentyczności. Dopiero komplet przesądza sprawę. Dlatego nie da się z góry powiedzieć, że każda wizualizacja produktu wymaga ujawnienia, ani że żadna nie wymaga. Liczy się kontekst i to, czego odbiorca się w danym miejscu spodziewa.

Skrajności są za to jasne. Sfabrykowane wideo z realnym burmistrzem mówiącym rzeczy, których nie powiedział, to podręcznikowy deepfake. Rysunek smoka nim nie jest, bo nie odnosi się do niczego istniejącego. Uwaga jednak na skrót myślowy, że wystarczy nazwać grafikę dekoracyjną. O wyłączeniu decyduje niespełnienie tych trzech przesłanek, a nie etykieta, którą sami nadamy ilustracji. Do tego użytek osobisty w ogóle nie tworzy podmiotu stosującego, na co zwraca uwagę Tomasz Ciechoński na łamach Prawo.pl. Kartka świąteczna zrobiona przez AI i wysłana rodzinie leży poza rozporządzeniem.

Dwa złagodzenia: twórczość i wyjątek redakcyjny

Rozporządzenie dokłada przy tym dwa złagodzenia, o których łatwo zapomnieć. Przy treściach ewidentnie artystycznych, satyrycznych lub fikcyjnych ujawnienie zostaje, ale w formie, która nie psuje odbioru dzieła.

Przy tekstach obowiązek odpada całkowicie, jeśli materiał przeszedł weryfikację człowieka albo kontrolę redakcyjną i ktoś ponosi odpowiedzialność redakcyjną za publikację. Ten drugi wyjątek dotyczy wyłącznie tekstu i nie rozciąga się na obraz ani wideo. Weryfikacja ma być przy tym merytoryczna. Komisja wprost wyłącza z niej sprawdzenie pisowni czy gramatyki, bo chodzi o świadomą ocenę treści przez osobę, która się na niej zna. Cytowana przez Prawo.pl Marta Adranowska podkreśla, że akurat obowiązki przejrzystości nie zostały odroczone razem z resztą.

Nadzór rynku i kary dla dostawców modeli ogólnego przeznaczenia

Druga grupa przepisów to nadzór rynku z rozdziału IX. Organy krajowe dostają realne uprawnienia kontrolne wobec systemów AI. Do 2 sierpnia przepisy istniały głównie na papierze, bo nie było komu ich egzekwować. Uprawnienia to jednak nie to samo co gotowy urząd, a polski organ dopiero powstaje. Wracamy do tego w dalszej części tekstu.

Trzecia grupa to kary dla dostawców modeli ogólnego przeznaczenia z artykułu 101. Tu karze wyłącznie Komisja Europejska, a nie organ krajowy. Dotyczy to firm pokroju OpenAI, Google czy Anthropic, nie polskiego oprogramowania kadrowego.

Systemy wysokiego ryzyka: nowe terminy

Pakiet Digital Omnibus on AI przeszedł całą ścieżkę legislacyjną w pierwszej połowie 2026 roku. Porozumienie w negocjacjach trójstronnych zapadło 7 maja, a Parlament Europejski zatwierdził je 16 czerwca. Rada Unii Europejskiej dała ostateczną zgodę 29 czerwca, a przewodniczący obu instytucji podpisali akt 8 lipca. Sprawa jest już zamknięta. Rozporządzenie (UE) 2026/1744 ogłoszono w Dzienniku Urzędowym 24 lipca 2026 i obowiązuje od 27 lipca 2026.

Nowe terminy dla systemów wysokiego ryzyka

Nowe terminy wyglądają tak:

• 2 grudnia 2026 – dostawcy systemów wprowadzonych do obrotu przed 2 sierpnia 2026 mają czas do tej daty na wdrożenie znakowania czytelnego maszynowo. Systemy wprowadzane od 2 sierpnia stosują ten wymóg od razu. Obowiązków po stronie podmiotu stosującego ta zwłoka w ogóle nie obejmuje.
• 2 grudnia 2027 – systemy wysokiego ryzyka z załącznika III, czyli rekrutacja, ocena pracowników, scoring kredytowy, edukacja, biometria, migracja. Termin przesunięty z 2 sierpnia 2026.
• 2 sierpnia 2028 – sztuczna inteligencja wbudowana w produkty z sekcji A załącznika I, na przykład windy czy zabawki. Termin przesunięty z 2 sierpnia 2027. Maszyny Omnibus przeniósł do sekcji B, więc wychodzą spod bezpośredniego reżimu wymagań dla wysokiego ryzyka. Odpowiedniki tych wymagań mają przyjść aktami delegowanymi do rozporządzenia maszynowego.

Czego przesunięcie terminu nie oznacza

Trzeba jasno powiedzieć, czego ta zmiana nie oznacza. Bruksela nie skasowała reżimu dla systemów wysokiego ryzyka. Widać tu zresztą stałą linię unijnego podejścia: najpierw wykorzystać przepisy, które już są, a dopiero potem pisać nowe. Opisywaliśmy ją przy stanowisku Komisji w sprawie agentów AI bez osobnej ustawy.

Trzon obowiązków zostaje: udokumentowany system zarządzania ryzykiem, dokumentacja techniczna, rejestracja w unijnej bazie, nadzór człowieka nad decyzjami, ocena zgodności. Omnibus nie ograniczył się jednak do samych dat. Uprościł też część wymagań i przesunął niektóre kategorie produktów poza bezpośredni reżim tych przepisów. Przed wdrożeniem trzeba więc sprawdzić aktualne brzmienie, a nie wersję z 2024 roku.

Kategorie z załącznika III też zostają bez zmian, więc mapa ryzyk zrobiona w Twojej firmie na wiosnę nie trafia do kosza.

Dla polskich firm szczególnie istotne pozostają trzy kategorie. Zatrudnienie, jeśli używasz AI do selekcji CV, rankowania kandydatów czy oceny wydajności pracowników. Finanse i usługi esencjonalne, czyli scoring kredytowy, ocena zdolności ubezpieczeniowej oraz decyzje o świadczeniach. Edukacja, gdy AI decyduje o przyjęciach, ocenach albo kwalifikacjach zawodowych.

Kary: kto, ile i od kiedy

Reżim sankcji jest ostrzejszy niż w RODO, gdzie maksimum wynosi 20 milionów euro albo 4 procent obrotu. Warto tu rozdzielić dwie rzeczy, które w komentarzach zlewają się w jedną. Pierwsza to data, od której obowiązuje sam przepis. Druga to data, od której w ogóle wolno za jego złamanie karać. Unijny rozdział o karach stosuje się już od 2 sierpnia 2025. Polskie przepisy o kontroli, postępowaniach i karach ruszają natomiast dopiero 28 października 2026, czyli trzy miesiące po ogłoszeniu ustawy. Kolumna z datą w tabeli pokazuje ogólny termin stosowania danej grupy przepisów. Przy kilku pozycjach są od niego odstępstwa, opisane pod tabelą.

Trzy zastrzeżenia do tabeli kar

Dwa nowe zakazy dorzucone Omnibusem do artykułu 5 zaczynają obowiązywać dopiero 2 grudnia 2026, a nie w lutym 2025. Przy artykule 50 dostawcy systemów obecnych na rynku przed 2 sierpnia 2026 mają czas do 2 grudnia 2026, ale wyłącznie na znakowanie maszynowe. Przy systemach wysokiego ryzyka wprowadzonych wcześniej i później niezmienionych istotnie działają odrębne przepisy przejściowe. Data z tabeli nie jest więc automatyczna.

Dla startupów oraz małych i średnich przedsiębiorstw stosuje się niższą z dwóch wartości, czyli kwotę stałą albo procent obrotu. Omnibus rozciągnął tę ulgę na małe spółki o średniej kapitalizacji, ale tylko przy karach za naruszenie obowiązków i za błędne informacje. Przy złamaniu zakazów z artykułu 5 ta preferencja nie działa. Dla pozostałych firm liczy się wyższa z dwóch wartości. Odstępstwem są dostawcy modeli ogólnego przeznaczenia. Tam Komisja liczy karę jako wyższą z tych dwóch wartości niezależnie od wielkości firmy.

Kto nakłada kary

Rozdział kompetencji jest prostszy, niż się wydaje, choć nie dwuelementowy. Dostawców modeli ogólnego przeznaczenia karze Komisja Europejska. Po zmianach z Omnibusa unijne AI Office nadzoruje również część systemów zbudowanych na takich modelach. Systemy instytucji unijnych ma na oku Europejski Inspektor Ochrony Danych. Polskie firmy używające AI na co dzień odpowiadają przed organem krajowym.

Polska ustawa podpisana – organ nadzoru dopiero powstaje

W kwietniowej wersji tego tekstu w tym miejscu było pytanie bez odpowiedzi, ponieważ polska ustawa wyznaczająca organ nadzorczy wciąż tkwiła w procesie legislacyjnym. To się zmieniło. Prezydent Karol Nawrocki podpisał ustawę o systemach sztucznej inteligencji 24 lipca 2026 roku, a 27 lipca została ogłoszona w Dzienniku Ustaw.

Między podpisem a działającym urzędem jest jednak spory dystans i od 2 sierpnia widać go już w praktyce. Zasadnicza część ustawy wchodzi w życie 11 sierpnia 2026, a rozdziały o kontroli, postępowaniach i karach zaczynają obowiązywać 28 października. Unijne uprawnienia nadzorcze ruszyły więc wcześniej niż polski aparat, który ma je wykonywać.

Kto egzekwuje przepisy, zanim komisja zacznie działać

Rodzi to pytanie, na które relacje z podpisania ustawy nie odpowiadają: do kogo trafia skarga złożona w sierpniu albo we wrześniu. Odpowiedź brzmi, że krajowej ścieżki skargowej z tej ustawy jeszcze nie ma. Rozdziały o kontroli i postępowaniach zaczynają obowiązywać 28 października. Komisja, która miałaby je prowadzić, ma pierwsze posiedzenie odbyć mniej więcej w listopadzie. Obowiązki z artykułu 50 działają przy tym od 2 sierpnia niezależnie od tego, na jakim etapie jest polski urząd. Zaniechanie z sierpnia nie przestaje więc być zaniechaniem tylko dlatego, że nie ma go dziś komu zgłosić.

Prawnicy nie są zgodni, co z tego okresu wyniknie. Spór wybuchł w polskiej prasie prawniczej 7 sierpnia. Dotyczy jednej rzeczy: czy KRiBSI będzie mogła karać za naruszenia sprzed swojego powstania. Dr Mirosław Gumularz z kancelarii NTL uważa, że nie. Powołuje się na zasadę legalności i na to, że vacatio legis przepisów o karach wyklucza karanie za ten okres. Dr Damian Flisak z kancelarii Lubasz i Wspólnicy jest przeciwnego zdania. Uważa, że komisja będzie mogła ukarać za treści z okresu vacatio legis. Opieszałość państwa nie znosi bowiem obowiązku z unijnego rozporządzenia. Część prawników szacuje przy tym, że urząd ruszy realnie dopiero wiosną 2027.

Dopóki sporu nie rozstrzygnie praktyka albo sąd, ostrożniejsze założenie jest tańsze. Traktuj obowiązki jako wiążące od dat unijnych, a nie od dnia, w którym komisja zacznie pracować. Jest zresztą urząd, który działa już dziś. Jeśli narzędzie oparte na AI narusza zasady ochrony danych osobowych, sprawą może zająć się Urząd Ochrony Danych Osobowych. Ma gotowe procedury i karze na podstawie RODO, bez czekania na KRiBSI.

Czym będzie KRiBSI i kiedy zacznie pracować

Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI. Zostanie ona krajowym organem nadzoru rynku oraz punktem kontaktowym w relacjach z instytucjami unijnymi. Polska postawiła przy tym na jeden centralny organ zamiast rozdzielać kompetencje między kilka istniejących urzędów.

Harmonogram jest konkretny, choć nie błyskawiczny. Przewodniczącego komisji trzeba powołać w ciągu dwóch miesięcy od wejścia ustawy w życie, czyli mniej więcej w październiku 2026. Pierwsze posiedzenie ma się odbyć w ciągu trzech miesięcy, a więc gdzieś w listopadzie. W skład wchodzą przewodniczący z pięcioletnią kadencją, dwóch zastępców oraz czterech członków wskazanych przez prezesa UOKiK, Komisję Nadzoru Finansowego, Krajową Radę Radiofonii i Telewizji i prezesa UKE.

Dla firm najważniejsze są trzy praktyczne konsekwencje. KRiBSI będzie przyjmować skargi na naruszenia przepisów o AI, a postępowanie ma trwać maksymalnie sześć miesięcy, z odwołaniem do Sądu Okręgowego w Warszawie. Komisja może nakazać zaprzestanie stosowania systemu albo wycofanie go z rynku, co bywa dotkliwsze niż kara finansowa. Pojawią się wreszcie piaskownice regulacyjne, czyli kontrolowane środowiska testowe, z bezpłatnym udziałem dla mikroprzedsiębiorców oraz małych i średnich firm i naborem w formie konkursu z oceną punktową.

Z piaskownicami trzeba jednak uzbroić się w cierpliwość. Wejście przepisów w życie to nie to samo co działające środowisko testowe, bo najpierw musi powstać KRiBSI i cała obsługa. Ministerstwo Cyfryzacji mówi o trzech, czterech miesiącach od wejścia ustawy w życie, co daje przełom jesieni. Unijny termin, do którego każde państwo ma mieć operacyjną co najmniej jedną piaskownicę, to po zmianach z Digital Omnibus 2 sierpnia 2027. Sama możliwość i tak zasługuje na uwagę bardziej, niż sugeruje jej miejsce w komunikatach. Dla polskiej firmy budującej system, który za rok trafi do kategorii wysokiego ryzyka, bezpłatne sprawdzenie zgodności przy udziale regulatora jest realną wartością.

Pierwsza Misja AI · Kodożercy

Kompetencje AI w zespole to dziś temat na serio

Artykuł 4 mówi o wspieraniu kompetencji w zakresie AI, ale nie mówi, jak je zbudować. Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania: jak działa AI, jak pisać prompty i gdzie są jej granice.

Poznaj pełny program →

Checklist: co zrobić w tym tygodniu, a co przez rok

Przesunięcie terminu zmienia kolejność zadań, nie ich listę. Poniższy podział odpowiada na pytanie, co jest pilne teraz, a co można rozłożyć w czasie.

Cztery rzeczy pilne od razu

1. Przejrzyj treści AI pod kątem dwóch kategorii, nie wszystkiego naraz. Szukaj materiałów, które przedstawiają istniejące osoby, przedmioty, miejsca lub zdarzenia i mogą uchodzić za autentyczne. Osobno szukaj tekstów informujących opinię publiczną o sprawach interesu publicznego. Tylko te dwie grupy wymagają ujawnienia po Twojej stronie.
2. Sprawdź, co robi dostawca Twojego narzędzia. Znakowanie czytelne maszynowo to jego obowiązek, nie Twój. To jednak Ty poniesiesz konsekwencje wizerunkowe, jeśli narzędzie go nie realizuje. Przy systemach obecnych na rynku przed 2 sierpnia dostawca ma czas do 2 grudnia 2026.
3. Sprawdź swoje chatboty. Obowiązek informowania, że rozmówca pisze z maszyną, spoczywa na dostawcy systemu. Jeśli budujesz bota we własnym zakresie, dostawcą jesteś Ty, a formułka ukryta w regulaminie nie wystarczy.
4. Ustal, kto w firmie za to odpowiada. W praktyce dotyczy to naraz marketingu, obsługi klienta i działu produktu. Rozstrzygnięcie zaczyna się od pytania, czy w danym systemie jesteś dostawcą czy podmiotem stosującym.

Pięć zadań do rozłożenia na czas do 2 grudnia 2027

1. Zrób mapę AI w organizacji. Spisz wszystkie systemy, których używasz lub które budujesz, wraz z narzędziami kupionymi od zewnętrznych dostawców. Dla każdego ustal swoją rolę.
2. Zweryfikuj zakazy z artykułu 5. Ta część obowiązuje od 2025 roku i nie została odroczona, więc jest zaległością, nie planem.
3. Oceń, co trafia do wysokiego ryzyka. Dostawcy potrzebują pełnej dokumentacji technicznej i rejestracji w unijnej bazie. Podmioty stosujące mają własny, węższy zestaw obowiązków z artykułu 26, w tym używanie systemu zgodnie z instrukcją i zapewnienie nadzoru człowieka.
4. Miej piaskownicę regulacyjną na radarze. Dla małej firmy budującej system z załącznika III to bezpłatna okazja, żeby sprawdzić zgodność przy udziale regulatora. Ministerstwo Cyfryzacji zapowiada start na przełom jesieni, a unijny wymóg operacyjności mija 2 sierpnia 2027.
5. Zadbaj o kompetencje zespołu. Artykuł 4 działa od lutego 2025 i oczekuje od firmy działań wspierających kompetencje osób pracujących z AI.

{ agenci AI }

Agent AI, który pracuje na danych Twojej firmy

Budujemy agentów, którzy odpowiadają klientom, czytają dokumenty i przygotowują raporty, podłączonych do Waszych systemów. Zaczynamy od jednego procesu i sprawdzamy efekt, zanim pójdziemy dalej.

Sprawdź, jak wdrażamy agentów → Software house, który prowadzi ten blog

FAQ – Najczęstsze pytania o EU AI Act w Polsce

Czy przesunięcie terminu oznacza, że obowiązki dla systemów wysokiego ryzyka zniknęły?

Nie. Trzon obowiązków został utrzymany: systemy z załącznika III muszą mieć system zarządzania ryzykiem, dokumentację techniczną, rejestrację w unijnej bazie i nadzór człowieka. Zmieniły się terminy, czyli 2 grudnia 2027 zamiast 2 sierpnia 2026, a dla AI w produktach regulowanych 2 sierpnia 2028 zamiast 2 sierpnia 2027. Omnibus nie ograniczył się jednak do samego kalendarza. Uprościł część wymagań i przesunął niektóre kategorie produktów poza bezpośredni reżim tych przepisów. Przed wdrożeniem sprawdź więc aktualne brzmienie, a nie wersję z 2024 roku.

Czy muszę oznaczać grafiki zrobione przez AI na firmowym blogu?

Zwykle nie, choć obiegowa opinia mówi co innego. Po stronie firmy używającej AI obowiązek ujawnienia obejmuje deepfake’i oraz teksty publikowane po to, by informować opinię publiczną o sprawach interesu publicznego. Grafika, która nie udaje niczego istniejącego, do żadnej z tych kategorii nie należy. Inaczej jest z materiałem, który spełnia naraz trzy przesłanki deepfake’a: wysokie podobieństwo, odniesienie do czegoś realnego i zdolność wprowadzenia odbiorcy w błąd co do autentyczności. Przy zdjęciach produktowych i wizualizacjach rozstrzygnięcie zależy od kontekstu, więc warto je oceniać pojedynczo, a nie hurtem. Znakowanie czytelne maszynowo, czyli ten techniczny znacznik w pliku, to z kolei obowiązek dostawcy narzędzia, a nie Twój.

Czy przepisy dotyczą małych firm i startupów?

Tak, niezależnie od wielkości, jeśli budujesz lub wdrażasz systemy AI dla użytkowników w Unii. Dla małych i średnich firm oraz startupów przewidziano łagodniejsze obliczanie kar, ponieważ stosuje się niższą z dwóch wartości. Ta sama grupa, czyli mikroprzedsiębiorcy oraz mali i średni przedsiębiorcy, ma bezpłatny udział w polskiej piaskownicy regulacyjnej.

Czy korzystanie z ChatGPT lub Claude w firmie podlega AI Act?

Korzystanie z tych narzędzi jako pomocy przy pisaniu treści czy podsumowaniach zwykle nie tworzy systemu wysokiego ryzyka. Publikacja efektów ich pracy też nie uruchamia automatycznie obowiązku ujawnienia. Zrobi to dopiero deepfake albo tekst informujący opinię publiczną o sprawach interesu publicznego. Przy samym tekście obowiązek odpada, jeśli materiał przeszedł weryfikację człowieka i ktoś ponosi za publikację odpowiedzialność redakcyjną. Sytuacja zmienia się natomiast, gdy zintegrujesz ich API we własnym systemie podejmującym decyzje o ludziach, na przykład w rekrutacji lub scoringu. Taki system wpada do kategorii wysokiego ryzyka, a Twoja rola zależy od tego, czy tylko go używasz, czy budujesz i oddajesz do użytku pod własną nazwą. W tym drugim przypadku jesteś dostawcą i obowiązków masz znacznie więcej. Jedno i drugie zaczyna wiązać od grudnia 2027.

Kto w Polsce będzie egzekwował przepisy?

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w skrócie KRiBSI, powołana ustawą podpisaną przez prezydenta 24 lipca 2026 i ogłoszoną 27 lipca. Na dziś komisja jeszcze nie działa, ale obsadzanie już się zaczęło: 18 września 2026 Sejm wskazał jej Przewodniczącą, za zgodą Senatu jeszcze nieudzieloną. Czego wolno żądać kontrolującemu od 28 października, opisaliśmy w tekście o kontroli AI w firmie. Pierwsze posiedzenie ma się odbyć w ciągu trzech miesięcy, czyli mniej więcej w listopadzie 2026. Docelowo komisja przyjmuje skargi, prowadzi postępowania trwające maksymalnie sześć miesięcy i może nakazać wycofanie systemu z rynku. Dostawców modeli ogólnego przeznaczenia karze natomiast bezpośrednio Komisja Europejska.

Podsumowanie

Rok przygotowań do 2 sierpnia 2026 nie poszedł na marne, ale kalendarz wygląda dziś inaczej, niż zakładano wiosną. Obowiązki dla systemów wysokiego ryzyka z załącznika III przesunięto na 2 grudnia 2027, a dla AI w części produktów regulowanych na 2 sierpnia 2028. Sierpniowa data zachowała jednak znaczenie, ponieważ weszły wtedy obowiązki przejrzystości, nadzór rynku i kary dla dostawców dużych modeli. Praktycznie oznacza to, że pilne jest ustalenie, czy w danym systemie jesteś dostawcą czy podmiotem stosującym. Potem trzeba przejrzeć treści pod kątem dwóch konkretnych kategorii: deepfake’ów i tekstów informujących opinię publiczną o sprawach interesu publicznego. Dokumentacja systemów wysokiego ryzyka może poczekać do przyszłego roku. Po stronie polskiej pojawił się wreszcie konkret, bo ustawa jest podpisana i ogłoszona, choć KRiBSI ruszy dopiero jesienią. Zakazy z lutego 2025 i wymóg kompetencji zespołu obowiązują niezmiennie, bez żadnego odroczenia.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.