AI Act po 2 sierpnia 2026

Data 2 sierpnia 2026 przez ponad dwa lata funkcjonowała jako moment pełnego stosowania unijnego rozporządzenia o sztucznej inteligencji. Sześć dni przed tym terminem obraz się zmienił. 27 lipca 2026 weszło w życie rozporządzenie (UE) 2026/1744, opublikowane w Dzienniku Urzędowym 24 lipca, które przesunęło najcięższą część obowiązków o kilkanaście miesięcy. Termin nie zniknął, ale oznacza dziś coś innego, niż zakładała większość planów zgodności pisanych w 2025 roku.

Przy klasyfikacji konkretnego systemu warto sięgnąć po wsparcie prawnika.

Kalendarz, który warto mieć przed oczami

Rozporządzenie (UE) 2024/1689 weszło w życie 1 sierpnia 2024 i od początku uruchamiało się etapami, zgodnie z artykułem 113:

Data	Co zaczyna obowiązywać
1 sierpnia 2024	Wejście w życie rozporządzenia (UE) 2024/1689
2 lutego 2025	Zakazane praktyki i obowiązek kompetencji w zakresie AI (rozdz. I i II)
2 sierpnia 2025	Modele ogólnego przeznaczenia, organy nadzoru, kary, poufność
2 sierpnia 2026	Pozostała część rozporządzenia, w tym przejrzystość z art. 50 oraz art. 101
2 grudnia 2026	Nowe zakazy z art. 5; koniec okresu przejściowego na oznaczanie treści
2 grudnia 2027	Samodzielne systemy wysokiego ryzyka z załącznika III (przesunięte)
2 sierpnia 2028	Systemy wysokiego ryzyka wbudowane w produkty z załącznika I (przesunięte)

• 2 lutego 2025: zakazane praktyki oraz obowiązek kompetencji w zakresie AI (rozdziały I i II).
• 2 sierpnia 2025: modele ogólnego przeznaczenia, struktura organów nadzoru, przepisy o karach oraz poufność (rozdział III sekcja 4, rozdziały V, VII i XII poza artykułem 101, a także artykuł 78).
• 2 sierpnia 2026: stosowanie pozostałej części rozporządzenia, w tym obowiązki przejrzystości z artykułu 50 oraz artykuł 101, czyli kary dla dostawców modeli ogólnego przeznaczenia.
• 2 grudnia 2027: samodzielne systemy wysokiego ryzyka z załącznika III, przesunięte z 2 sierpnia 2026.
• 2 sierpnia 2028: systemy wysokiego ryzyka wbudowane w produkty objęte prawodawstwem sektorowym z załącznika I, przesunięte z 2 sierpnia 2027.

Nowelizacja dołożyła też dwie daty pośrednie. Od 2 grudnia 2026 zaczną obowiązywać nowe zakazy z artykułu 5, obejmujące generowanie materiałów intymnych bez zgody osoby oraz materiałów przedstawiających seksualne wykorzystywanie dzieci. Ten sam dzień kończy okres przejściowy na oznaczanie treści w formacie odczytywalnym maszynowo dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026.

Co faktycznie zaczęło obowiązywać 2 sierpnia

Zostały obowiązki przejrzystości z artykułu 50 i to one schodzą dziś na poziom operacyjny. Sprowadzają się do kilku sytuacji. Osoba rozmawiająca z systemem AI musi zostać o tym poinformowana. Treści syntetyczne, czyli dźwięk, obraz, wideo i tekst, wymagają oznaczenia w formacie odczytywalnym maszynowo po stronie dostawcy. Systemy rozpoznawania emocji oraz kategoryzacji biometrycznej wymagają poinformowania osób nimi objętych. Materiały typu deepfake oraz teksty publikowane w sprawach interesu publicznego wymagają ujawnienia przez podmiot stosujący, przy czym dla treści poddanych redakcji człowieka przewidziano wyjątki.

W praktyce dotyka to wielu firm, które nie uważają się za organizacje technologiczne: chatbot na stronie, asystent w kanale obsługi klienta, grafika lub nagranie wygenerowane do kampanii marketingowej. Przegląd tych punktów styku zajmuje zwykle kilka dni roboczych i jest najtańszym działaniem dostępnym w tym kwartale.

Kary i odwrócona reguła dla mniejszych firm

Artykuł 99 ustawia trzy poziomy sankcji: do 35 mln euro lub 7% światowego rocznego obrotu za naruszenie zakazanych praktyk, do 15 mln euro lub 3% za większość pozostałych naruszeń oraz do 7,5 mln euro lub 1% za podanie nieprawdziwych albo wprowadzających w błąd informacji.¹ Wobec przedsiębiorstw stosuje się wartość wyższą z tych dwóch.

Tutaj kryje się szczegół, który w rozmowach z zarządami umyka najczęściej. Ustęp 6 tego samego artykułu odwraca regułę dla małych i średnich przedsiębiorstw, w tym startupów: wobec nich stosuje się wartość niższą z dwóch. Lipcowa nowelizacja dodała analogiczny mechanizm dla małych spółek o średniej kapitalizacji. Dla firmy z obrotem rzędu kilkudziesięciu milionów złotych różnica między tymi dwoma sposobami liczenia bywa różnicą między karą dotkliwą a karą kończącą działalność.

HR jako obszar wysokiego ryzyka

Załącznik III w punkcie 4 obejmuje zatrudnienie i zarządzanie pracownikami. Litera a wymienia systemy używane do rekrutacji i selekcji, w szczególności do kierowania ukierunkowanych ogłoszeń o pracę, analizy i filtrowania zgłoszeń oraz oceny kandydatów. Litera b obejmuje systemy wspierające decyzje o warunkach stosunku pracy, awansie i rozwiązaniu umowy, przydzielanie zadań na podstawie zachowania lub cech osobowych, a także monitorowanie i ocenę wyników oraz zachowania pracowników.

Narzędzie rankujące życiorysy, model punktujący kandydatów, analiza nagrań z rozmów rekrutacyjnych, system przydzielający zadania na podstawie profilu pracownika: każde z nich mieści się w tym punkcie. Pełne wymogi zaczną obowiązywać 2 grudnia 2027, więc działy HR dostały około szesnastu dodatkowych miesięcy.

Ten czas warto zagospodarować, ponieważ prace zajmują więcej, niż wygląda to na starcie. Rozsądna kolejność obejmuje spis wszystkich narzędzi dotykających kandydatów i pracowników, łącznie z funkcjami AI włączonymi w systemie rekrutacyjnym bez odrębnej decyzji zakupowej. Dalej idzie przegląd umów z dostawcami pod kątem dokumentacji, którą będą musieli dostarczyć. Potem projekt nadzoru ludzkiego, czyli wskazanie osoby, która ma kompetencje i mandat do odrzucenia rekomendacji systemu. Na końcu zasady informowania kandydatów i pracowników oraz retencja rejestrów zdarzeń.

Obowiązki podmiotu stosującego poza HR

Artykuł 26 nakłada obowiązki na organizację korzystającą z systemu wysokiego ryzyka, niezależnie od obowiązków dostawcy. Nie da się ich przenieść umową na kogoś innego, co bywa zaskoczeniem po zakupie gotowego narzędzia od uznanego producenta.

Rdzeń tych obowiązków jest powtarzalny w każdej branży. Organizacja używa systemu zgodnie z instrukcją dostawcy. Powierza nadzór ludziom o odpowiednich kompetencjach i wsparciu. Monitoruje działanie systemu, a przy podejrzeniu ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych wstrzymuje jego użycie i informuje dostawcę oraz organ nadzoru. Przechowuje automatycznie generowane rejestry zdarzeń przez okres wskazany w przepisach. Dba o adekwatność danych wejściowych w zakresie, w jakim ma nad nimi kontrolę. Część podmiotów, w tym instytucje publiczne oraz podmioty świadczące określone usługi, przeprowadza dodatkowo ocenę skutków dla praw podstawowych z artykułu 27.

Polski organ nadzoru rusza jesienią

Równolegle domknęła się warstwa krajowa. Ustawa z 3 lipca 2026 o systemach sztucznej inteligencji została podpisana przez prezydenta 24 lipca i ogłoszona w Dzienniku Ustaw 27 lipca 2026, a zasadnicza część jej przepisów wejdzie w życie 11 sierpnia 2026. Powołuje ona Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako krajowy organ nadzoru rynku i punkt kontaktowy wobec instytucji unijnych. Według zapowiedzi Ministerstwa Cyfryzacji przewodniczący ma zostać powołany w październiku 2026, a Komisja ma rozpocząć działalność w listopadzie. Obowiązki unijne działają niezależnie od gotowości organizacyjnej organu, więc oczekiwanie na jego uruchomienie nie przesuwa żadnego terminu.

Co zrobić z dodatkowym czasem

Przesunięcie terminów jest dobrą wiadomością dla harmonogramów i ryzykowną dla dyscypliny. Z doświadczenia wdrożeniowego wynika, że projekty odłożone bez wyznaczonego właściciela wracają na stół dopiero na kwartał przed terminem, kiedy przestrzeń na negocjacje z dostawcami już się zamknęła.

Praktyczny podział pracy wygląda tak: obowiązki przejrzystości z artykułu 50 zamykamy w tym kwartale, ponieważ już obowiązują i są stosunkowo tanie do wdrożenia. Inwentaryzację i klasyfikację systemów pod kątem załącznika III prowadzimy do końca 2026 roku, kiedy decyzje są jeszcze odwracalne. Zapisy umowne z dostawcami renegocjujemy przy najbliższym odnowieniu, a nie w 2027 roku pod presją terminu. Taka kolejność kosztuje niewiele, a usuwa większość ryzyka, które zwykle ujawnia się w ostatnim momencie.

Footnotes

1. Rozporządzenie (UE) 2024/1689, artykuł 99, tekst w Dzienniku Urzędowym: https://eur-lex.europa.eu/eli/reg/2024/1689/oj. ↩