Unijne rozporządzenie o AI już obowiązuje

Aktualizacja, sierpień 2026. Od publikacji tego wpisu stan prawny się zmienił: 2 sierpnia 2026 zaczęły obowiązywać obowiązki przejrzystości z art. 50, a rozporządzenie (UE) 2026/1744 przesunęło terminy dla systemów wysokiego ryzyka na 2 grudnia 2027 (załącznik III) i 2 sierpnia 2028 (załącznik I). Aktualny harmonogram i wnioski opisuje wpis AI Act po 2 sierpnia 2026. Poniższy tekst zachowujemy w wersji zaktualizowanej o nowe daty.

Jeszcze do niedawna unijne rozporządzenie o sztucznej inteligencji (AI Act) można było traktować jako temat na przyszłość: akt wciąż negocjowany, dopracowywany, „nadchodzący”. Ten etap się skończył. Rozporządzenie (UE) 2024/1689 obowiązuje od sierpnia 2024 roku. Jego wymogi wchodzą w życie etapami, nie jednorazowo. Kilka etapów już minęło. Dla kadry zarządzającej w bankowości, farmacji, energetyce i innych branżach regulowanych pytanie nie brzmi już, czy rozporządzenie ich dotyczy. Brzmi ono: na ile organizacja jest gotowa na obowiązki, które już obowiązują, oraz te, których terminy dopiero nadejdą.

W kwestii konkretnych obowiązków warto skonsultować się z doradcą prawnym.

Co się zmieniło

AI Act nie wchodzi w życie jednym ruchem. Obowiązki uruchamiają się etapami, a kalendarz wygląda dziś tak: 1 sierpnia 2024 rozporządzenie weszło w życie; od 2 lutego 2025 obowiązują zakazane praktyki oraz bazowy obowiązek zapewnienia pracownikom odpowiedniej wiedzy o AI (tzw. AI literacy, art. 4); od 2 sierpnia 2025 obowiązki dla modeli AI ogólnego przeznaczenia, przepisy o organach nadzoru i karach; od 2 sierpnia 2026 obowiązki przejrzystości z art. 50, w tym informowanie o interakcji z systemem AI. Terminy dla systemów wysokiego ryzyka rozporządzenie (UE) 2026/1744 przesunęło na 2 grudnia 2027 (zastosowania z załącznika III) oraz 2 sierpnia 2028 (systemy wbudowane w produkty regulowane z załącznika I). Regulatorzy publikują już wytyczne wdrożeniowe, w tym doprecyzowania sposobu klasyfikacji systemu jako wysokiego ryzyka: infrastruktura egzekwowania powstaje już teraz, a przesunięcie terminów jej nie zatrzymało.

Sam mechanizm egzekwowania opiera się na strukturze znanej wielu organizacjom z RODO: kary o charakterze warstwowym, liczone jako kwota stała lub procent globalnego rocznego obrotu, w zależności od tego, która wartość jest wyższa, przy czym poważniejsze naruszenia plasują się na surowszym końcu tej skali. Dla małych i średnich przedsiębiorstw oraz startupów pułapem jest wartość niższa z tych dwóch (art. 99 ust. 6).

Praktyczny wniosek: część obowiązków nie czeka na przyszły termin. Już obowiązuje.

Kogo to dotyczy

Najczęstsze błędne założenie, z jakim się spotykamy, to przekonanie, że regulacja AI to problem dostawcy technologii. To nieprawda, a przynajmniej nie tylko. AI Act rozróżnia dostawców (podmioty budujące systemy AI) od podmiotów stosujących, czyli organizacji, które używają tych systemów w pracy zawodowej. Obowiązki podmiotu stosującego istnieją niezależnie od obowiązków dostawcy. Nie da się ich przenieść umową na kogoś innego.

W praktyce oznacza to, że bank korzystający z modelu firmy trzeciej do oceny zdolności kredytowej, firma farmaceutyczna wykorzystująca AI w procesach jakościowych lub klinicznych oraz firma energetyczna stosująca AI do zarządzania siecią lub majątkiem, każda z nich jest podmiotem stosującym we własnym zakresie. Zakup zgodnego z przepisami narzędzia od renomowanego dostawcy nie zwalnia automatycznie organizacji wdrażającej z własnych obowiązków w zakresie nadzoru, monitorowania, zgłaszania incydentów i zarządzania ryzykiem. Odpowiedzialność spoczywa na tym, kto faktycznie wykorzystuje system, nie tylko na tym, kto go zbudował.

Co oznacza wysokie ryzyko

Rozporządzenie porządkuje systemy AI według kategorii ryzyka, zamiast traktować każdą AI tak samo. W dużym uproszczeniu: część praktyk jest całkowicie zakazana, określony zbiór zastosowań traktowany jest jako wysokiego ryzyka i podlega najbardziej rygorystycznym obowiązkom, kolejny zbiór wiąże się z lżejszymi obowiązkami przejrzystości, a wszystko poza tym mieści się w kategorii minimalnego ryzyka z niewielką liczbą wiążących wymogów.

Kategoria	Czego dotyczy	Ciężar obowiązków
Zakazane praktyki	Zastosowania wyłączone z obrotu	Zakaz bezwzględny
Wysokie ryzyko	Zatrudnienie, zdolność kredytowa, infrastruktura krytyczna	Najcięższy: nadzór, dokumentacja, rejestry
Obowiązki przejrzystości	Chatboty, treści syntetyczne, deepfake	Poinformowanie i oznaczenie
Ryzyko minimalne	Wszystko pozostałe	Niewiele wiążących wymogów

To kategoria wysokiego ryzyka ma największe znaczenie dla branż regulowanych, ponieważ zwykle obejmuje systemy wykorzystywane w decyzjach zatrudnieniowych, ocenie zdolności kredytowej, obsłudze infrastruktury krytycznej oraz innych kontekstach, w których działanie systemu AI istotnie wpływa na prawa jednostki lub na obowiązki firmy w zakresie bezpieczeństwa. To, które konkretnie systemy w danej organizacji kwalifikują się jako wysokiego ryzyka i kiedy dokładnie zaczynają ich dotyczyć poszczególne obowiązki, zależy od konkretnego systemu i sposobu jego wykorzystania. Ta klasyfikacja nie jest czynnością opcjonalną. Nie warto przeprowadzać jej nieformalnie. Warto potraktować ją jako formalne, udokumentowane ćwiczenie, najlepiej z udziałem osób technicznych i prawnych.

Obowiązek, o którym najczęściej się zapomina

Artykuł 4 rozporządzenia wprowadza wymóg, który dostaje znacznie mniej uwagi niż kategorie ryzyka: kompetencje w zakresie AI (AI literacy). Organizacje mają obowiązek podjąć działania zapewniające, że pracownicy oraz inne osoby obsługujące systemy AI w ich imieniu mają wystarczający poziom zrozumienia tych systemów, aby korzystać z nich w sposób odpowiedzialny. Ten obowiązek już obowiązuje. Nie ogranicza się wyłącznie do systemów wysokiego ryzyka. To wymóg bazowy, dotyczący całej organizacji.

Dla większości firm oznacza to, że kompetencje w zakresie AI nie mogą pozostać nieformalną umiejętnością zdobywaną przy okazji. Powinny stać się udokumentowanym obowiązkiem szkoleniowym, dopasowanym do roli i konkretnego systemu.

Co robić teraz

Nic z powyższego nie wymaga gotowego programu zgodności w przyszłym kwartale. Wymaga punktu wyjścia. Organizacje, które są dziś najdalej w przygotowaniach, to te, które potraktowały ten temat jako pracę operacyjną, nie jako formalność prawną. Rozsądna kolejność działań na start:

• Zbudowanie inwentarza wszystkich systemów AI wykorzystywanych w organizacji, łącznie z narzędziami wdrożonymi nieformalnie przez pojedyncze zespoły.
• Klasyfikacja każdego systemu według kategorii ryzyka z rozporządzenia, z jasno przypisaną osobą odpowiedzialną za tę decyzję.
• Przegląd dokumentacji przejrzystości udostępnianej przez dostawców modeli AI ogólnego przeznaczenia wykorzystywanych produkcyjnie.
• Wprowadzenie nawyku dokumentowania decyzji wspieranych przez AI oraz prowadzenia śladów audytowych, zwłaszcza tam, gdzie wynik działania systemu dotyka ludzi, pieniędzy lub bezpieczeństwa.
• Uruchomienie programu podnoszącego kompetencje AI dla pracowników mających kontakt z tymi systemami, dopasowanego do ich roli.

Żaden z tych kroków nie wymaga czekania na ostateczną opinię prawną. Wymaga własności tematu, działającego inwentarza i gotowości, by traktować zarządzanie AI jako stałą funkcję organizacyjną, nie jednorazowy projekt.

Co dalej

Organizacje, które dobrze poradzą sobie z tym tematem, to nie te, które zaczną działać w pośpiechu, gdy egzekwowanie dotrze do ich branży. To te, które wykorzystały dostępny czas, żeby uporządkować własny stan: przejrzysty inwentarz, obronną klasyfikację i dokumentację, która wytrzyma weryfikację.

Aktualny stan prawny po 2 sierpnia 2026, wraz z nowym kalendarzem i wnioskami dla działów HR, opisuje wpis AI Act po 2 sierpnia 2026. RS Management doradza kadrze zarządzającej w bankowości, farmacji, energetyce i innych branżach regulowanych w zakresie ładu AI i gotowości do zgodności z przepisami. Jeśli warto sprawdzić, jak bardzo obecne wykorzystanie AI w organizacji jest narażone na te wymogi, zapraszamy do rozmowy.