AI Act 2026: obowiązki firm po zmianach z Digital Omnibus

Od 2 sierpnia 2026 r. stosuje się większość przepisów AI Act, w tym obowiązki przejrzystości dla chatbotów i treści generowanych przez AI. Obowiązki dla systemów wysokiego ryzyka z załącznika III przesunięto na 2 grudnia 2027 r. Firma korzystająca z ChatGPT czy agentów AI musi dziś zadbać o kompetencje zespołu, przejrzystość, spis używanych narzędzi i umowy z dostawcami.

Harmonogram AI Act po zmianach: najważniejsze daty

AI Act, czyli rozporządzenie (UE) 2024/1689, wszedł w życie 1 sierpnia 2024 r. i jest stosowany etapami. Część terminów zmieniło rozporządzenie (UE) 2026/1744, nazywane Digital Omnibus on AI. Aktualny harmonogram według tekstów w EUR-Lex i strony AI Act Service Desk:

Digital Omnibus: co zmieniło się w AI Act w 2026 roku

Komisja Europejska zaproponowała pakiet w listopadzie 2025 r. Rozporządzenie 2026/1744 przyjęto 8 lipca 2026 r., opublikowano w Dzienniku Urzędowym UE 24 lipca, a w życie weszło 27 lipca 2026 r. Najważniejsze zmiany z perspektywy firm:

• Przesunięcie terminów wysokiego ryzyka na 2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I). Jako powód wskazano opóźnienia w przygotowaniu norm zharmonizowanych.
• Złagodzenie art. 4. Pierwotnie dostawcy i podmioty stosujące mieli podejmować środki, by w możliwie największym stopniu zapewnić odpowiedni poziom kompetencji w zakresie AI. Po zmianie mają podejmować środki wspierające rozwój tych kompetencji u personelu, bez obowiązku gwarantowania konkretnego poziomu wiedzy każdej osoby.
• Ułatwienia dla MŚP i małych spółek o średniej kapitalizacji, m.in. uproszczona dokumentacja techniczna i proporcjonalny system zarządzania jakością.
• Nowe zakazane praktyki dotyczące generowania intymnych wizerunków identyfikowalnych osób bez ich zgody oraz materiałów CSAM, stosowane od 2 grudnia 2026 r.
• Okres przejściowy na oznaczanie treści syntetycznych w formacie odczytywalnym maszynowo: do 2 grudnia 2026 r. dla systemów wprowadzonych na rynek przed 2 sierpnia 2026 r.

Omnibus nie zmienił kategorii ryzyka ani nie zniósł obowiązków przejrzystości. Jeśli wstrzymałeś prace nad zgodnością w oczekiwaniu na zmiany, uzasadnienie masz najwyżej w przypadku systemów wysokiego ryzyka.

Dostawca czy podmiot stosujący: jaką rolę ma twoja firma

Obowiązki zależą od roli, a nie od tego, czy firma „zajmuje się AI”. Najczęstsze role:

• Dostawca rozwija system AI lub model GPAI albo zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą. Software house budujący dla siebie produkt z AI jest dostawcą.
• Podmiot stosujący (ang. deployer) wykorzystuje system AI w ramach swojej działalności. Firma, która używa gotowego narzędzia do analizy CV, jest podmiotem stosującym. Wyłączone jest użycie w celach osobistych, pozaprofesjonalnych.
• Importer i dystrybutor wprowadzają na rynek UE systemy innych podmiotów.

Uważaj na zmianę roli. Zgodnie z art. 25 podmiot stosujący staje się dostawcą systemu wysokiego ryzyka, gdy umieści na nim swoją nazwę, istotnie go zmodyfikuje albo zmieni przeznaczenie systemu tak, że stanie się on systemem wysokiego ryzyka. Podobnie firma, która na bazie zewnętrznego modelu buduje własnego chatbota i udostępnia go klientom, w wielu przypadkach jest dostawcą tego systemu, a nie tylko użytkownikiem API.

Kategorie ryzyka w AI Act z przykładami

System z obszaru wymienionego w załączniku III nie zawsze jest systemem wysokiego ryzyka. Art. 6 ust. 3 wyłącza systemy, które nie stwarzają znaczącego ryzyka, np. wykonują wąskie zadanie proceduralne. Wyjątek nie obejmuje systemów profilujących osoby fizyczne, a dostawca musi udokumentować swoją ocenę.

Co musi zrobić firma korzystająca z ChatGPT i agentów AI

Typowa firma nie tworzy systemów wysokiego ryzyka, ale korzysta z asystentów AI, automatyzacji i chatbotów. Dla niej lista zadań wygląda tak:

1. Spisz używane systemy AI. Asystenci w pakietach biurowych, narzędzia działu marketingu, chatbot na stronie, automatyzacje w CRM, agenci obsługujący pocztę. Przy każdym zanotuj dostawcę, cel, dane wejściowe i właściciela biznesowego.
2. Ustal rolę i kategorię ryzyka dla każdej pozycji. Szczególnie przyjrzyj się HR, finansom i obsłudze klienta, bo tam najłatwiej o zastosowanie wysokiego ryzyka.
3. Wprowadź środki wspierające kompetencje w zakresie AI. Szkolenie dopasowane do ról, zasady korzystania z narzędzi, informacja o ograniczeniach modeli i o tym, jakich danych nie wklejać. Przepisy nie wymagają konkretnego certyfikatu, ale dobrze udokumentuj, co zrobiłeś.
4. Zapewnij przejrzystość. Chatbot na stronie powinien informować, że rozmowę prowadzi AI, chyba że jest to oczywiste z kontekstu. Deepfake’i w materiałach marketingowych muszą być ujawnione. Treści publikowane w celu informowania opinii publicznej o sprawach w interesie publicznym wymagają oznaczenia, jeśli nie przeszły kontroli redakcyjnej.
5. Przejrzyj umowy z dostawcami. Sprawdź, czy dane nie są używane do trenowania modeli, gdzie są przetwarzane, czy jest umowa powierzenia zgodna z RODO i jak dostawca podziela obowiązki wynikające z AI Act.
6. Wyklucz zakazane zastosowania. Np. narzędzia analizujące emocje pracowników na nagraniach rozmów to zakazana praktyka, a nie innowacja.
7. Zadbaj o bezpieczeństwo. Agent z dostępem do firmowych danych to nowa powierzchnia ataku, co opisuje tekst o prompt injection i bezpieczeństwie agentów AI.

Jeśli używasz lub planujesz AI w rekrutacji czy ocenie pracowników, przygotuj się już teraz na obowiązki podmiotu stosującego z art. 26: stosowanie zgodnie z instrukcją, nadzór człowieka z odpowiednimi kompetencjami, przechowywanie logów i poinformowanie przedstawicieli pracowników przed wdrożeniem. Grudzień 2027 r. to niedużo czasu na zmianę procesów i umów. Całość dobrze wpiąć w plan opisany w tekście jak wdrożyć AI w firmie.

Polska ustawa o systemach sztucznej inteligencji i KRiBSI

Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji została opublikowana w Dzienniku Ustaw 27 lipca 2026 r. (poz. 1003). Weszła w życie po 14 dniach od ogłoszenia, ale przepisy o opiniach indywidualnych, kontrolach, postępowaniu, układach łagodzących sankcje i karach wchodzą w życie po 3 miesiącach od ogłoszenia, czyli 28 października 2026 r.

Najważniejsze elementy ustawy:

• Organ nadzoru. Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jest organem nadzoru rynku i pojedynczym punktem kontaktowym. Tworzą ją przewodniczący, dwóch zastępców i czterech członków wskazanych przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE.
• Powołanie przewodniczącego. Przewodniczącego powołuje Sejm za zgodą Senatu w ciągu 2 miesięcy od wejścia ustawy w życie. W połowie września 2026 r. procedura trwała: 15 września odbyło się publiczne przesłuchanie kandydatki. Sprawdź aktualny stan przed powołaniem się na decyzje Komisji.
• Opinie indywidualne. Firma może zapytać Komisję o stosowanie AI Act w swojej sytuacji. Wniosek kosztuje 150 zł, a zastosowanie się do opinii nie może jej szkodzić.
• Piaskownica regulacyjna do testowania systemów AI pod nadzorem.
• Kary i układy. Komisja nakłada kary w wysokości określonej w AI Act. W ramach układu może obniżyć karę o 20 do 70 procent, a przy samodzielnym zgłoszeniu naruszenia i jego wcześniejszym usunięciu o 30 do 90 procent. Od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie, sądu ochrony konkurencji i konsumentów.

Kary za naruszenie AI Act

Art. 99 AI Act określa maksymalne kary:

• do 35 mln euro lub 7 procent całkowitego rocznego światowego obrotu za stosowanie zakazanych praktyk,
• do 15 mln euro lub 3 procent obrotu za naruszenie większości pozostałych obowiązków, w tym obowiązków podmiotów stosujących i przejrzystości z art. 50,
• do 7,5 mln euro lub 1 procent obrotu za podanie organom nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji.

Dla dużych firm liczy się wyższa z dwóch wartości, dla MŚP, w tym startupów, niższa. Kary dla dostawców modeli GPAI nakłada Komisja Europejska na podstawie art. 101, a te przepisy stosuje się od 2 sierpnia 2026 r.

Dla większości firm realnym ryzykiem nie są maksymalne kary, tylko nieuporządkowane użycie AI: dane klientów w niezweryfikowanych narzędziach, brak wiedzy, gdzie AI podejmuje decyzje, i brak dokumentacji, gdy organ lub klient zapyta. Uporządkowanie tego to zadanie z przecięcia prawa, bezpieczeństwa i architektury IT. Jeśli nie masz w firmie osoby, która to spina, pomocny może być zewnętrzny CTO.