AI Act to najważniejsza unijna regulacja dotycząca sztucznej inteligencji, która zacznie mocniej wpływać na firmy także w Polsce. W tym artykule wyjaśniamy, kogo dotyczą nowe przepisy, jakie obowiązki wprowadza AI Act w 2026 roku i jak przygotować organizację na nadchodzące zmiany.
Jeśli w swojej działalności korzystasz z ChatGPT, chatbota na stronie, narzędzi do generowania grafik albo systemu, który „sam” ocenia kandydatów do pracy czy zdolność kredytową klientów – te przepisy dotyczą również Ciebie. I choć część terminów została niedawno przesunięta, jeden z nich jest już aktywny: 2 sierpnia 2026 roku.
Czym jest AI Act?
AI Act (formalnie Rozporządzenie UE 2024/1689) to kompleksowe prawo regulujące sztuczną inteligencję. Weszło w życie 1 sierpnia 2024 roku, a jego przepisy, jako że jest to rozporządzenie, a nie dyrektywa, obowiązują wprost we wszystkich państwach członkowskich, w tym w Polsce.
Nie trzeba czekać na polską ustawę wdrażającą, żeby przepisy zaczęły Cię obowiązywać.
AI Act opiera się na podejściu opartym na ryzyku. W uproszczeniu wyróżnia się praktyki zakazane, systemy wysokiego ryzyka, systemy objęte szczególnymi obowiązkami przejrzystości oraz pozostałe zastosowania AI, wobec których AI Act nie przewiduje równie rozbudowanych obowiązków.
Można powiedzieć, że regulacja dzieli systemy sztucznej inteligencji na cztery kategorie:
- Ryzyko niedopuszczalne – praktyki całkowicie zakazane (np. scoring społeczny, manipulacja podprogowa). Zakaz obowiązuje już od 2 lutego 2025 roku.
- Ryzyko wysokie – systemy stosowane w wrażliwych obszarach, jak rekrutacja, ocena zdolności kredytowej, edukacja czy biometria. To najbardziej wymagająca kategoria.
- Ryzyko ograniczone – tu głównie chodzi o obowiązki przejrzystości, np. informowanie, że użytkownik rozmawia z AI.
- Ryzyko minimalne – zdecydowana większość codziennych zastosowań (filtry antyspamowe, systemy rekomendacji w e-commerce, asystenci pisania). Bez szczególnych obowiązków, ale dobre praktyki mile widziane.
Im wyższe ryzyko, tym więcej wymagań w zakresie dokumentacji, nadzoru i zgodności.
Ważna zmiana z 2026 roku: przesunięcie terminów
Wdrażanie AI Act okazało się w praktyce trudniejsze, niż zakładano. Brakowało m.in. norm technicznych i wyznaczonych organów nadzoru. Dlatego UE przyjęła tzw. Digital Omnibus, pakiet upraszczający, któremu Rada UE dała ostateczną zgodę 29 czerwca 2026 roku (Parlament przyjął go 16 czerwca https://www.europarl.europa.eu/legislative-train/package-digital-package/file-digital-omnibus-on-ai ].
Najważniejszy skutek dla firm: obowiązki dla systemów wysokiego ryzyka z Załącznika III (rekrutacja, finanse, edukacja itd.) zostały przesunięte z 2 sierpnia 2026 roku na 2 grudnia 2027 roku. Systemy wbudowane w produkty regulowane (Załącznik I) mają czas do 2 sierpnia 2028 roku.
Uwaga: to przesunięcie, a nie zniesienie obowiązków. Cała konstrukcja AI Act, podejście oparte na ryzyku i podstawowe wymagania, pozostaje bez zmian. Firmy zyskują więcej czasu, ale nie powód, by całkiem odłożyć temat. Dodatkowo dotyczy to głównie naprawdę dużych firm, więc te mniejsze powinny się skupić na tym, co ich dotyczy od teraz.
Kogo dotyczą nowe przepisy?
AI Act nakłada obowiązki na kilka ról w łańcuchu wykorzystania sztucznej inteligencji. Większość firm występuje w co najmniej jednej z nich:
- Dostawca (provider) – tworzy lub rozwija system AI i wprowadza go na rynek UE pod własną marką. Ma najwięcej obowiązków. W Polsce to głównie firmy software’owe budujące własne modele lub aplikacje.
- Podmiot stosujący (deployer) – korzysta z gotowego systemu AI w swojej działalności. To najliczniejsza grupa: firmy używające narzędzi do rekrutacji, obsługi klienta czy analizy danych.
- Importer i dystrybutor – wprowadzają na rynek UE systemy AI stworzone poza Unią.
Co istotne, AI Act obowiązuje niezależnie od siedziby firmy.
AI Act może obejmować również podmioty spoza Unii. Dotyczy to w szczególności dostawców oferujących systemy lub modele AI na rynku UE oraz dostawców i podmiotów stosujących z państw trzecich, jeżeli wynik działania systemu AI jest wykorzystywany w Unii – art. 2 ust. 1 AI Act.
I tu ważna wskazówka praktyczna: jeśli korzystasz z ChatGPT, Claude czy Gemini jako narzędzia pomocniczego (pisanie treści, podsumowania, analizy), zwykle jesteś deployerem z podstawowymi obowiązkami.
Obowiązki dostawców modeli ogólnego przeznaczenia (GPAI) spoczywają na twórcach tych modeli, nie na Tobie. Sytuacja zmienia się dopiero wtedy, gdy zintegrujesz takie narzędzie we własnym systemie podejmującym decyzje np. do automatycznego screeningu CV. Wówczas możesz wejść w obszar wysokiego ryzyka.
Jakie obowiązki z AI ACT mają firmy jeśli korzystają ze sztucznej inteligencji?
Zakres obowiązków zależy od kategorii ryzyka danego systemu. Najważniejsze grupy wymagań to:
Obowiązki przejrzystości (art. 50). To najczęściej spotykany obowiązek w codziennym biznesie i, co kluczowe, jego termin nie został przesunięty i obowiązuje od 2 sierpnia 2026 r.!. Obejmuje m.in.:
- informowanie użytkownika, że wchodzi w interakcję z AI (np. chatbot obsługi klienta musi ujawnić, że nie jest człowiekiem);
- zapewnienie maszynowego oznaczania treści generowanych lub modyfikowanych przez AI przez dostawców systemów oraz widoczne ujawnianie przez podmioty stosujące określonych treści, w szczególności deepfake’ów i niektórych tekstów dotyczących spraw leżących w interesie publicznym;
- informowanie osób poddawanych rozpoznawaniu emocji lub kategoryzacji biometrycznej.
Dostawcy systemów AI przeznaczonych do bezpośredniej interakcji z ludźmi, np. chatbotów lub awatarów AI, muszą zaprojektować je tak, aby użytkownik został poinformowany, że rozmawia z AI, chyba że jest to oczywiste. Firma wdrażająca takie rozwiązanie powinna zweryfikować, czy obowiązek ten jest prawidłowo realizowany.
Obowiązki dla systemów wysokiego ryzyka
Obowiązki dostawców i podmiotów stosujących systemy wysokiego ryzyka różnią się. Dostawcy odpowiadają m.in. za zarządzanie ryzykiem, jakość danych, dokumentację techniczną, ocenę zgodności i rejestrację systemu.
Podmioty stosujące muszą m.in. korzystać z systemu zgodnie z instrukcjami, zapewnić kompetentny nadzór człowieka, szkolić się z zakresu prawidłowego korzystania z AI, monitorować działanie systemu i przechowywać dostępne im logi.
Te obowiązki będą obowiązywać od 2 grudnia 2027 roku (Załącznik III) — ale przygotowania do nich trwają miesiącami, nie tygodniami.
Zakaz praktyk niedopuszczalnych (art. 5). To pierwsza grupa przepisów AI Act — obowiązuje już od lutego 2025 roku i obejmuje praktyki sprzeczne z podstawowymi prawami, jak scoring społeczny czy manipulacja podprogowa. Od 2 grudnia 2026 r. katalog zakazanych praktyk zostanie rozszerzony m.in. o określone systemy AI służące do generowania lub manipulowania treściami seksualnymi lub intymnymi przedstawiającymi możliwą do zidentyfikowania osobę bez jej zgody oraz materiałami dotyczącymi seksualnego wykorzystywania dzieci (CSAM).
Rozszerzenie to wprowadził Digital Omnibus (nowelizacja AI Act opublikowana w Dzienniku Urzędowym UE 24 lipca 2026 r.), a zakaz obejmuje nie tylko aplikacje tworzone wprost w tym celu, ale i dostawców generatywnej AI ogólnego przeznaczenia, którzy nie wdrożą rozsądnych zabezpieczeń przed takim nadużyciem.
Warto pamiętać, że AI Act nie zastępuje RODO, oba akty obowiązują równolegle. Jeśli Twój system AI przetwarza dane osobowe, musisz spełnić wymagania obu regulacji jednocześnie. I zresztą nie tylko tych dwóch…
AI Act od 2 sierpnia 2026 – nowe obowiązki oznaczania treści
Mimo przesunięcia obowiązków wysokiego ryzyka, od 2 sierpnia 2026 roku:
- zaczęły obowiązywać obowiązki przejrzystości z art. 50 (informowanie o interakcji z AI, oznaczanie treści);
- krajowe organy nadzoru rynku zyskują pełne uprawnienia do kontroli i nakładania kar w odniesieniu do obowiązków, które już obowiązują (zakazy z art. 5, obowiązki GPAI);
- kończy się faza „miękkiego” wdrażania, regulatorzy przechodzą od tłumaczenia do egzekwowania.
Dodatkowo warto mieć w kalendarzu 2 grudnia 2026 roku. Od tej daty systemy generatywnej AI wprowadzone przed 2 sierpnia 2026 muszą spełniać wymóg maszynowego oznaczania treści (tzw. watermarking).
Kary za naruszenia AI ACT
Kary za naruszenia obowiązków wynikających z AI ACT są dotkliwe: za stosowanie zakazanych praktyk grozi do 35 mln euro lub 7% światowego obrotu, a za naruszenie obowiązków przejrzystości do 15 mln euro lub 3% obrotu. Dla małych i średnich firm przewidziano niższy z tych progów, ale nawet on bywa wyższy niż kary z RODO.
Są to maksymalne pułapy kar. Organ ustala konkretną sankcję z uwzględnieniem m.in. charakteru, wagi i czasu trwania naruszenia, jego skutków, wielkości przedsiębiorstwa oraz działań podjętych w celu ograniczenia szkody.
Praktyczny wniosek: nie odkładaj przygotowań, licząc na kolejne przesunięcia. Nowe, realistyczne terminy dla systemów wysokiego ryzyka (2027/2028) to realna przestrzeń na spokojne wdrożenie, ale sam audyt i przygotowanie dokumentacji dla średniej firmy zajmują zwykle od 3 do 6 miesięcy.
Dlatego właśnie już rok temu, jako prawdopodobnie pierwsza w Polsce i w Europie, stworzyłam szkolenie o prawie w sztucznej inteligencji: LEGALNA SZTUCZNA INTELIGENCJA I AUTOMATYZACJA MUST HAVE. To praktyczne szkolenie online wraz z wdrożeniem i konkretnymi wzorami dokumentów z instrukcjami! Bo nie wystarczy wiedzieć, trzeba także działać i wdrożyć odpowiednie kroki w firmach! Jak przy RODO.
Szczegóły szkolenia poznasz tutaj. Już wkrótce uruchamiam jego kolejną sprzedaż.
A jeśli chcesz, abym przeprowadziła takie szkolenie indywidualnie w Twojej firmie albo dla Twojego zespołu – śmiało napisz do mnie na kontakt@klegalnybiznesonline.pl.
Tymczasem, zapoznaj się jeszcze z tym, co musisz wiedzieć i już teraz możesz kontrolować samodzielnie.
To bardzo krótka checklista, dlatego polecam Ci pobrać mój unikalny poradnik jak korzystać z AI legalnie w firmie. Znajdziesz go tutaj.
Obowiązek szkoleniowy i zdobywania kompetencji o prawidłowym korzystaniu z AI
Od 2 lutego 2025 r. dostawcy i podmioty stosujące systemy AI muszą podejmować działania zapewniające możliwie wystarczający poziom kompetencji w zakresie AI personelu oraz innych osób korzystających z systemów AI w ich imieniu. Przy ustalaniu zakresu szkoleń trzeba uwzględnić wiedzę, doświadczenie, wykształcenie, kontekst wykorzystania systemu oraz osoby lub grupy, wobec których system jest stosowany.
To bardzo ważne, bo wiele osób myśli, że może temat sztucznej inteligencji i szkoleń w tym zakresie odłożyć na “wieczne nigdy”. A to nieprawda. Wprost wówczas łamią przepisy.
Podsumowanie – AI ACT od 2 sierpnia 2026 r. nowe obowiązki
AI Act nie jest tematem wyłącznie dla wielkich korporacji technologicznych. Regulacje sztucznej inteligencji coraz mocniej dotyczą także mniejszych firm – zwłaszcza tych, które na co dzień korzystają z narzędzi AI w marketingu, obsłudze klienta czy rekrutacji. Dobra wiadomość jest taka, że wiele codziennych zastosowań AI nie jest systemami wysokiego ryzyka w rozumieniu AI Act. Nie oznacza to jednak braku obowiązków prawnych. Nadal mogą mieć zastosowanie przepisy dotyczące kompetencji AI, ochrony danych, poufności, praw autorskich, konsumentów i prawa pracy.
Kluczem jest zacząć od podstawy: świadomej mapy tego, gdzie i jak używasz AI w swojej działalności. Reszta to już kwestia dopasowania obowiązków do konkretnej sytuacji.
Szkolenie o prawie w sztucznej inteligencji
Potrzebujesz gotowych rozwiązań? Jeśli chcesz wdrożyć obowiązki AI Act bez zgadywania – od oznaczania treści po dokumentację użycia AI – sprawdź szkolenia o legalnej AI. Zyskasz gotowy punkt startu zamiast czytania rozporządzenia od zera.
Najczęściej zadawane pytania (FAQ)
Czy AI Act dotyczy jednoosobowej działalności gospodarczej? Tak. AI Act nie zależy od wielkości firmy, lecz od tego, jak wykorzystujesz sztuczną inteligencję. Jednoosobowa działalność korzystająca z chatbota czy narzędzi generujących treści również podlega obowiązkom – najczęściej tym z zakresu przejrzystości.
Czy korzystanie z ChatGPT, Claude lub Gemini podlega AI Act?
Korzystanie z tych narzędzi w działalności zawodowej może oznaczać, że firma jest podmiotem stosującym system AI. Nie oznacza to jednak automatycznie obowiązku oznaczania każdego tekstu, obrazu lub materiału przygotowanego przy pomocy AI. Zakres obowiązków zależy od sposobu wykorzystania systemu. Każda firma powinna co najmniej zadbać o kompetencje osób korzystających z AI zgodnie z art. 4 AI Act, a w określonych przypadkach również o obowiązki przejrzystości z art. 50, ochronę danych osobowych, tajemnicę przedsiębiorstwa i prawa autorskie.
Jakie kary grożą za brak oznaczenia treści generowanych przez AI? Za naruszenie obowiązków przejrzystości grozi do 15 mln euro lub 3% światowego obrotu (w zależności od tego, która kwota jest wyższa). Dla małych i średnich firm stosuje się niższy z tych progów.
Od kiedy trzeba oznaczać treści tworzone przez AI? Obowiązki przejrzystości z art. 50 stosuje się od 2 sierpnia 2026 roku. Dla systemów generatywnych obecnych na rynku wcześniej wymóg maszynowego oznaczania (watermarking) obowiązuje od 2 grudnia 2026 roku.
Czy AI Act zastępuje RODO? Nie. Oba akty obowiązują równolegle. Jeśli Twój system AI przetwarza dane osobowe, musisz spełnić wymagania AI Act i RODO jednocześnie.
Na zakończenie jeżeli potrzebujesz indywidualnej konsultacji z radcą prawnym, skontaktuj się ze mną. Z przyjemnością omówię z Tobą WYBRANE TEMATY od strony prawno-praktycznej. Napisz do mnie na ten e-mail >> kontakt@legalnybiznesonline.pl lub od razu sprawdź ofertę konsultacji TUTAJ.
Wszystkiego Legalnego!
Ilona Przetacznik & #LBO Team
Stan prawny na: sierpień 2026.
