AI Act w praktyce — co obowiązuje firmy od 2 sierpnia 2026, a co przesunięto na 2027

Weszły w życie obowiązki przejrzystości — w praktyce sprowadzają się do jednej zasady: człowiek nie może być wprowadzony w błąd co do tego, czy rozmawia z maszyną i czy treść, którą ogląda, została wygenerowana przez sztuczną inteligencję. To wymóg skierowany zarówno do dostawców systemów, jak i do firm, które je u siebie uruchamiają.

Dla typowej organizacji oznacza to kilka konkretnych rzeczy, a nie projekt na kwartał. Komunikat o kontakcie z systemem AI ma być widoczny zanim rozpocznie się rozmowa albo umieszczony w pierwszej wiadomości — schowanie go w regulaminie lub polityce prywatności nie wystarczy.

Pakiet zmian nazywany Digital Omnibus przesunął terminy dla systemów wysokiego ryzyka. Obowiązki dla samodzielnych systemów z załącznika III — czyli m.in. wykorzystywanych w zatrudnieniu i rekrutacji, edukacji, dostępie do usług podstawowych czy infrastrukturze krytycznej — zaczną obowiązywać 2 grudnia 2027 r. Dla sztucznej inteligencji wbudowanej w produkty objęte odrębnymi przepisami unijnymi termin to 2 sierpnia 2028 r.

Z nagłówków łatwo wyciągnąć wniosek, że AI Act został odroczony. To nieporozumienie kosztowne w skutkach: przesunięto jeden blok obowiązków, a nie całe rozporządzenie. Przejrzystość obowiązuje od sierpnia 2026 r., zakazane praktyki i wymóg kompetencji AI — od lutego 2025 r., a przepisy o modelach ogólnego przeznaczenia weszły w sierpniu 2025 r.

Odroczenie warto potraktować jak to, czym w istocie jest: czas na uporządkowanie tego, czego i tak trzeba będzie dowieść. Firmy, które w 2027 r. będą zaczynać od pytania, gdzie w organizacji w ogóle jest sztuczna inteligencja, zrobią to pod presją terminu.

Najczęstszy błąd w ocenie zakresu polega na tym, że zarząd czyta rozporządzenie jak przepis dla producentów technologii. Tymczasem AI Act rozróżnia dwie zasadnicze role: dostawcę, który system tworzy lub wprowadza na rynek pod własną marką, oraz podmiot stosujący, który korzysta z gotowego rozwiązania w ramach swojej działalności. Zdecydowana większość polskich firm jest w tej drugiej roli — i to nie zwalnia jej z obowiązków.

Wystarczy krótki przegląd, żeby zobaczyć skalę. Asystent na stronie odpowiadający klientom, narzędzie wspierające selekcję kandydatów, analiza nagrań z obsługi klienta, generowanie materiałów marketingowych, ocena wiarygodności kontrahenta — każde z tych zastosowań mieści się w zakresie rozporządzenia, choć żadne nie wymagało pisania własnego modelu.

Osobnym problemem jest sztuczna inteligencja, o której nikt w firmie oficjalnie nie wie. Zespoły korzystają z publicznie dostępnych narzędzi na własną rękę, często wklejając do nich dane, których nie powinny opuszczać organizacji. Z perspektywy zgodności to podwójne ryzyko: nieudokumentowane użycie AI i niekontrolowany wypływ informacji.

Rozporządzenie unijne obowiązuje wprost, ale ktoś musi je egzekwować na miejscu. Tę lukę zamyka ustawa o systemach sztucznej inteligencji, podpisana przez Prezydenta 24 lipca 2026 r. Powołuje ona Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako krajowy organ nadzoru rynku i punkt kontaktowy dla instytucji unijnych.

Harmonogram jest krótki: przewodniczący ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, a cała Komisja w ciągu trzech. W praktyce oznacza to, że organ zacznie pracować jesienią 2026 r. — czyli w tym samym okresie, w którym firmy powinny mieć już wdrożone obowiązki przejrzystości.

Dla przedsiębiorcy istotne są dwie konsekwencje. Pierwsza: pojawia się adres, pod który obywatel lub kontrahent może złożyć skargę na działanie systemu AI, więc ryzyko kontroli przestaje być teoretyczne. Druga: ustawa przewiduje piaskownice regulacyjne, w których mikro-, małe i średnie firmy mogą bezpłatnie testować rozwiązania pod okiem nadzoru, oraz możliwość uzyskania opinii w indywidualnej sprawie.

Za naruszenie obowiązków przejrzystości grozi kara do 15 mln EUR albo 3% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Najwyższy pułap w rozporządzeniu — do 35 mln EUR albo 7% obrotu — zarezerwowano dla praktyk zakazanych, takich jak manipulacja wykorzystująca słabości określonych grup czy niedozwolone systemy oceny obywateli.

Kwoty przyciągają uwagę, ale w rozmowie z zarządem ważniejsza jest inna obserwacja. AI Act idzie tą samą drogą co NIS2 i DORA: obowiązek nie kończy się na wdrożeniu, tylko na zdolności udowodnienia, że wdrożenie miało miejsce. Rejestr wykorzystywanych systemów, przypisane role, ocena ryzyka, komunikaty dla użytkowników i dowody przeszkolenia zespołu są tym, co zostaje przedstawione podczas kontroli.

Warto też jasno rozgraniczyć kompetencje. Kwalifikacja prawna konkretnego zastosowania — czy dany system jest wysokiego ryzyka, jaka jest rola firmy — to praca dla prawnika. Naszą częścią jest to, co dzieje się potem: inwentaryzacja, ocena ryzyka, procedury, dowody i wpięcie tego w system zarządzania, który firma już ma.

Punktem wyjścia nie jest lektura rozporządzenia, tylko odpowiedź na proste pytanie: gdzie w tej firmie już działa sztuczna inteligencja. Bez tej listy każda dalsza decyzja jest zgadywaniem, a w rozmowie z nadzorem to właśnie rejestr jest pierwszym dokumentem, o który poprosi kontrolujący.

Kolejność ma znaczenie. Najpierw obowiązki, które działają dzisiaj i są tanie do wdrożenia — komunikaty przejrzystości i oznaczanie treści. Dopiero potem przygotowanie do wymogów, które wejdą w grudniu 2027 r. i wymagają realnej pracy nad dokumentacją oraz nadzorem nad systemami.