AI Act po 2 sierpnia 2026

„Czy od 2 sierpnia 2026 musimy spełniać wszystkie wymogi AI Act?” Nie wszystkie. Data 2 sierpnia 2026 przez ponad dwa lata funkcjonowała jako moment pełnego stosowania unijnego rozporządzenia o sztucznej inteligencji, ale 27 lipca 2026 weszło w życie rozporządzenie (UE) 2026/1744, opublikowane w Dzienniku Urzędowym 24 lipca, które przesunęło najcięższą część obowiązków o kilkanaście miesięcy.¹ Termin nie zniknął, tylko oznacza dziś coś innego, niż zakładała większość planów zgodności pisanych w 2025 roku.

Przy klasyfikacji konkretnego systemu należy sięgnąć po wsparcie prawnika.

Kalendarz po nowelizacji

Rozporządzenie (UE) 2024/1689 weszło w życie 1 sierpnia 2024 i uruchamia się etapami, zgodnie z art. 113:

Nowelizacja dołożyła dwie daty pośrednie. Od 2 grudnia 2026 obowiązują nowe zakazy z art. 5, obejmujące generowanie materiałów intymnych bez zgody osoby oraz materiałów przedstawiających seksualne wykorzystywanie dzieci. Ten sam dzień kończy okres przejściowy na oznaczanie treści w formacie odczytywalnym maszynowo dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026.

Co zaczęło obowiązywać 2 sierpnia

Obowiązki przejrzystości z art. 50 schodzą dziś na poziom operacyjny. Komisja Europejska przyjęła 20 lipca 2026 finalne wytyczne do tego artykułu, które porządkują poniższe sytuacje na przykładach.²

Dotyka to wielu firm, które nie uważają się za organizacje technologiczne: chatbota na stronie, asystenta w kanale obsługi klienta, grafiki albo nagrania wygenerowanego do kampanii marketingowej.

Kary i mniejsze firmy

Art. 99 ustawia trzy poziomy sankcji: do 35 mln euro lub 7% światowego rocznego obrotu za naruszenie zakazanych praktyk, do 15 mln euro lub 3% za większość pozostałych naruszeń oraz do 7,5 mln euro lub 1% za podanie nieprawdziwych albo wprowadzających w błąd informacji.³ Wobec przedsiębiorstw stosuje się wartość wyższą z tych dwóch.

Ustęp 6 tego samego artykułu odwraca regułę dla małych i średnich przedsiębiorstw, w tym startupów: wobec nich stosuje się wartość niższą z dwóch. Lipcowa nowelizacja dodała analogiczny mechanizm dla małych spółek o średniej kapitalizacji. Dla firmy z obrotem rzędu kilkudziesięciu milionów złotych różnica między tymi dwoma sposobami liczenia bywa różnicą między karą dotkliwą a karą kończącą działalność. Ten szczegół najczęściej umyka w rozmowach o AI Act na poziomie zarządu.

HR jako obszar wysokiego ryzyka

Załącznik III w punkcie 4 obejmuje zatrudnienie i zarządzanie pracownikami. Litera a wymienia systemy używane do rekrutacji i selekcji, w szczególności do kierowania ukierunkowanych ogłoszeń o pracę, analizy i filtrowania zgłoszeń oraz oceny kandydatów. Litera b obejmuje systemy wspierające decyzje o warunkach stosunku pracy, awansie i rozwiązaniu umowy, przydzielanie zadań na podstawie zachowania lub cech osobowych, a także monitorowanie i ocenę wyników oraz zachowania pracowników.

Narzędzie rankujące życiorysy, model punktujący kandydatów, analiza nagrań z rozmów rekrutacyjnych albo system przydzielający zadania na podstawie profilu pracownika może mieścić się w tym punkcie. O kwalifikacji rozstrzyga analiza konkretnego zastosowania, w tym wyjątki z art. 6 ust. 3 dla systemów, które nie wpływają istotnie na wynik decyzji. Pełne wymogi zaczną obowiązywać 2 grudnia 2027, więc działy HR dostały około szesnastu dodatkowych miesięcy.

Prace zajmują więcej, niż wygląda to na starcie. Kolejność dla działu HR:

1. Spis narzędzi. Wszystkie narzędzia dotykające kandydatów i pracowników, łącznie z funkcjami AI włączonymi w systemie rekrutacyjnym bez odrębnej decyzji zakupowej.
2. Przegląd umów z dostawcami. Pod kątem dokumentacji, którą dostawca będzie musiał dostarczyć.
3. Projekt nadzoru ludzkiego. Wskazanie osoby, która ma kompetencje i mandat do odrzucenia rekomendacji systemu.
4. Informowanie i rejestry. Zasady informowania kandydatów i pracowników oraz retencja rejestrów zdarzeń.

Obowiązki podmiotu stosującego poza HR

Art. 26 nakłada obowiązki na organizację korzystającą z systemu wysokiego ryzyka, niezależnie od obowiązków dostawcy. Nie da się ich przenieść umową na kogoś innego, co bywa zaskoczeniem po zakupie gotowego narzędzia od uznanego producenta. Rdzeń tych obowiązków jest powtarzalny w każdej branży:

• używanie systemu zgodnie z instrukcją dostawcy,
• nadzór powierzony ludziom o odpowiednich kompetencjach i wsparciu,
• monitorowanie działania, a przy podejrzeniu ryzyka dla zdrowia, bezpieczeństwa albo praw podstawowych wstrzymanie użycia i poinformowanie dostawcy oraz organu nadzoru,
• przechowywanie automatycznie generowanych rejestrów zdarzeń przez okres wskazany w przepisach,
• dbanie o adekwatność danych wejściowych w zakresie, w jakim organizacja ma nad nimi kontrolę.

Część podmiotów, w tym instytucje publiczne oraz podmioty świadczące określone usługi, przeprowadza dodatkowo ocenę skutków dla praw podstawowych z art. 27.

Polski organ nadzoru

Ustawa z 3 lipca 2026 o systemach sztucznej inteligencji została podpisana przez prezydenta 24 lipca i ogłoszona w Dzienniku Ustaw 27 lipca 2026 (poz. 1003), a zasadnicza część jej przepisów wchodzi w życie 11 sierpnia 2026.⁴ Powołuje ona Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako krajowy organ nadzoru rynku i punkt kontaktowy wobec instytucji unijnych. Ustawa daje dwa miesiące od wejścia w życie na powołanie przewodniczącego, czyli do października 2026, a Komisja w pełnym składzie ma rozpocząć działalność w listopadzie.

Co zrobić z dodatkowym czasem

Przesunięcie terminów jest dobrą wiadomością dla harmonogramów i ryzykowną dla dyscypliny. Projekty odłożone bez wyznaczonego właściciela wracają zwykle na kwartał przed terminem, kiedy przestrzeń na negocjacje z dostawcami już się zamknęła.

Taka kolejność kosztuje niewiele, a usuwa większość ryzyka, które zwykle ujawnia się w ostatnim momencie. Inwentarz, klasyfikację i harmonogram zgodności przygotowujemy w ramach pakietu Strategia AI.

Najczęstsze pytania