AI Act po polsku: wytyczne dla firm, twórców i osób prywatnych po zmianach z lipca 2026

Ostatnia aktualizacja: 27 lipca 2026

W skrócie: 27 lipca 2026 roku weszło w życie rozporządzenie (UE) 2026/1744, tak zwany Digital Omnibus on AI, które przesuwa część terminów AI Act. Obowiązki przejrzystości z art. 50 zostają na 2 sierpnia 2026. Wymogi dla systemów wysokiego ryzyka z załącznika III przesuwają się z 2 sierpnia 2026 na 2 grudnia 2027. Trzy dni wcześniej, 24 lipca, prezydent podpisał polską ustawę o systemach sztucznej inteligencji, która powołuje KRiBSI jako organ nadzoru.

Jeśli w ostatnich tygodniach czytałeś, że „2 sierpnia wchodzą obowiązki dla systemów wysokiego ryzyka”, to informacja aktualna do 24 lipca. Od tej daty kalendarz wygląda inaczej i większość polskich poradników w sieci wciąż podaje starą wersję.

Poniżej masz wytyczne AI Act w wersji, którą da się przeczytać bez dyplomu z prawa europejskiego: daty po zmianach, progi kar, definicje z konkretnych artykułów, podział ról i to, jak wygląda AI Act w Polsce po podpisaniu ustawy krajowej. Zacznijmy od rzeczy porządkującej: jeśli używasz ChatGPT do pisania ofert, generujesz grafiki do postów albo prosisz AI o listę zakupów, rozporządzenie nie nakłada na Ciebie żadnych nowych obowiązków. Jeśli prowadzisz firmę, a AI podejmuje u Ciebie decyzje o ludziach, obowiązki są konkretne, policzalne i mieszczą się na jednej kartce.

 

Najważniejsze fakty w skrócie

 

Pytanie	Odpowiedź
Co to jest AI Act?	Rozporządzenie (UE) 2024/1689 z 13 czerwca 2024 r., pierwszy na świecie horyzontalny akt prawny regulujący sztuczną inteligencję
Co zmienił lipiec 2026?	Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI), opublikowane 24 lipca, w mocy od 27 lipca 2026 r.
Kiedy obowiązki przejrzystości (art. 50)?	2 sierpnia 2026 r. dla nowych systemów, 2 grudnia 2026 r. dla systemów już obecnych na rynku
Kiedy wysokie ryzyko z załącznika III?	2 grudnia 2027 r. (przesunięte z 2 sierpnia 2026 r.)
Kiedy wysokie ryzyko z załącznika I?	2 sierpnia 2028 r. (przesunięte z 2 sierpnia 2027 r.)
Czy AI Act działa w Polsce?	Tak, bezpośrednio – jako rozporządzenie unijne nie wymaga przepisania do polskiej ustawy
Kto nadzoruje w Polsce?	Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), ustawa podpisana 24 lipca 2026 r.
Czy dotyczy osób prywatnych?	Nie w działalności osobistej i pozazawodowej (art. 3 pkt 4, motyw 13)
Najwyższa kara	35 mln EUR lub 7% światowego obrotu za praktyki zakazane z art. 5

 

Co się zmieniło w lipcu 2026 – Digital Omnibus i polska ustawa

Dwie rzeczy wydarzyły się w ciągu jednego tygodnia i obie zmieniają odpowiedź na pytanie „co mam zrobić do sierpnia”.

24 lipca 2026. W Dzienniku Urzędowym UE ukazało się rozporządzenie (UE) 2026/1744, potocznie nazywane Digital Omnibus on AI. Weszło w życie 27 lipca, trzeciego dnia po publikacji. To nowelizacja AI Act, a nie nowe prawo obok niego.

24 lipca 2026. Prezydent Karol Nawrocki podpisał ustawę o systemach sztucznej inteligencji, w ostatnim możliwym dniu terminu konstytucyjnego. Ustawa wchodzi w życie po 14 dniach od ogłoszenia w Dzienniku Ustaw.

Co dokładnie zmienił Omnibus:

 

• • Załącznik III, czyli klasyczne wysokie ryzyko – rekrutacja, scoring kredytowy, edukacja, infrastruktura krytyczna – dostaje szesnaście dodatkowych miesięcy. Zamiast 2 sierpnia 2026 obowiązuje 2 grudnia 2027.
  • Załącznik I, czyli AI wbudowana w produkty objęte regulacją sektorową (wyroby medyczne, maszyny, zabawki, motoryzacja) – z 2 sierpnia 2027 na 2 sierpnia 2028.
  • Piaskownice regulacyjne w państwach członkowskich – państwa mają na ich uruchomienie czas do 2 sierpnia 2027 zamiast do 2 sierpnia 2026.
  • Nowe zakazy w art. 5 – systemy generujące intymne wizerunki bez zgody osoby (tak zwane nudify) oraz materiały przedstawiające seksualne wykorzystywanie dzieci. Zakaz zaczyna działać 2 grudnia 2026.
  • Systemy generatywne już obecne na rynku dostają czas do 2 grudnia 2026 na dostosowanie się do wymogu oznaczania w formacie odczytu maszynowego.

Równie ważne jest to, czego Omnibus nie ruszył:

 

• • Terminu 2 sierpnia 2026 dla obowiązków przejrzystości z art. 50 wobec nowych systemów. To wciąż najbliższa data, która dotyczy najszerszej grupy firm.
  • Samej treści załącznika III. System, który był wysokiego ryzyka w czerwcu, jest nim nadal. Zmieniła się data, nie klasyfikacja.
  • Progów kar i całego reżimu GPAI, który działa od sierpnia 2025.
  • Daty 2 sierpnia 2030 dla starszych systemów wykorzystywanych przez organy publiczne.

Praktyczny wniosek brzmi więc inaczej, niż sugerują nagłówki o „odroczeniu AI Act”. Odroczenie dotyczy najcięższego pakietu dokumentacyjnego. Najbliższy termin, przed którym stoi typowa polska firma marketingowa, e-commerce’owa czy usługowa, nie przesunął się ani o dzień.

 

Czym jest AI Act i definicja systemu AI – po co powstał

AI Act to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z 13 czerwca 2024 roku w sprawie sztucznej inteligencji. Weszło w życie 1 sierpnia 2024 roku i jest pierwszym na świecie prawem, które reguluje sztuczną inteligencję przekrojowo, a nie sektor po sektorze.

Sens całej konstrukcji mieści się w jednym zdaniu: AI Act nie reguluje sztucznej inteligencji jako takiej, tylko konkretne zastosowania, proporcjonalnie do ryzyka. System, który podpowiada Ci kolejne słowo w mailu, i system, który decyduje o przyznaniu kredytu, to dla tego prawa dwa zupełnie różne światy. Pierwszy nie generuje żadnych obowiązków, drugi generuje ich kilkanaście, bo sztucznej inteligencji AI Act podporządkowuje wymogi do realnych skutków użycia technologii AI.

Unia miała trzy powody, żeby to napisać. Chciała jednolitych zasad zamiast 27 krajowych reżimów, bo firma sprzedająca software w Polsce, Niemczech i Hiszpanii nie powinna mierzyć się z trzema różnymi definicjami tego samego. Chciała ochronić zdrowie, bezpieczeństwo i prawa podstawowe tam, gdzie algorytm rozstrzyga o czyimś życiu. Chciała też dać firmom pewność prawa, bo brak przepisów wcale nie jest wygodny. Jest kosztowny, kiedy każdy prawnik w firmie odpowiada „to zależy”, a rozporządzenie ma też wspierać promowanie innowacji, zwiększenie konkurencyjności europejskiego rynku w obszarze technologii AI i rozwój zgodnych z prawem innowacji.

 

AI Act po polsku – dlaczego nie ma polskiego tłumaczenia obowiązków

To pierwsze nieporozumienie, na które trafiam w rozmowach z klientami. „Poczekamy, aż wejdzie polska ustawa” brzmi rozsądnie i jest błędne.

Rozporządzenie unijne działa inaczej niż dyrektywa. Dyrektywę państwo musi przenieść do prawa krajowego i dopiero wtedy zaczyna ona wiązać firmy. Rozporządzenie obowiązuje bezpośrednio, dokładnie tak jak RODO. Żaden polski poseł nie musi go przepisać, żeby zaczęło obowiązywać Twoją firmę w Gdańsku, Katowicach czy Rzeszowie. Polska wersja językowa rozporządzenia to pełnoprawny tekst prawny, a nie tłumaczenie pomocnicze.

Co w takim razie robi polska ustawa? Odpowiada na pytanie „kto i jak będzie tego pilnował”. To rozróżnienie jest praktyczne: obowiązki bierzesz z AI Act, procedurę kontroli i odwołań z ustawy krajowej.

Kiedy więc szukasz frazy „AI Act po polsku”, w praktyce szukasz dwóch rzeczy naraz: polskiej wersji rozporządzenia oraz wytycznych, które tłumaczą jego język na decyzje biznesowe. Pierwsze znajdziesz w EUR-Lex, razem z tekstem nowelizacji 2026/1744. Drugie próbuję Ci dać poniżej.

 

AI Act Polska – kto nadzoruje przepisy i co robi KRiBSI

Polska ustawa o systemach sztucznej inteligencji przeszła przez Sejm 11 czerwca 2026 roku, prace parlamentarne zamknęły się w lipcu, a 24 lipca podpisał ją prezydent. Wchodzi w życie po 14 dniach od ogłoszenia w Dzienniku Ustaw. Nie tworzy nowych obowiązków dla firm, bo te wynikają wprost z AI Act. Buduje za to architekturę nadzoru.

Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), umiejscowiona przy Ministerstwie Cyfryzacji, z ustawową gwarancją niezależności pracowników.

Skład i kalendarz powołania:

 

Element	Szczegóły
Przewodniczący	Powoływany przez Sejm za zgodą Senatu, kadencja 5 lat
Zastępcy	Dwóch
Członkowie	Czterech, delegowanych przez UOKiK, UKE, KNF i KRRiT
Przewodniczący na stanowisku	W ciągu 2 miesięcy od wejścia ustawy w życie, czyli około października 2026
Pełny skład	W ciągu 3 miesięcy, czyli około listopada 2026

Co KRiBSI robi:

 

• • Weryfikuje zgodność i rozpatruje zgłoszenia nieprawidłowości. Kary zasilają budżet państwa.
  • Rozpatruje skargi obywateli na decyzje podjęte z udziałem AI, na przykład na niesprawiedliwie odrzucony wniosek kredytowy.
  • Wydaje opinie indywidualne, czyli wiążące interpretacje w konkretnej sprawie, na podobnej zasadzie co interpretacje podatkowe. Dla firmy, która nie wie, czy jej system to wysokie ryzyko, to najtańsze narzędzie w całym systemie.
  • Prowadzi piaskownice regulacyjne. Mikro-, małe i średnie przedsiębiorstwa korzystają z nich bezpłatnie.

Jest tu jeden szczegół, o którym nie przeczytasz w większości poradników, a który zmienia praktykę. W toku prac parlamentarnych ograniczono zakres środków władczych KRiBSI: doniesienia branżowe wskazują na rezygnację z działań o charakterze zakazów i nakazów, takich jak wycofanie systemu z rynku czy usunięcie jego elementów. Część komentarzy prawniczych opisuje jednak kompetencje komisji szerzej. Ostateczny podział rozstrzygnie tekst ogłoszony w Dzienniku Ustaw i to jego warto sprawdzić, zanim ktoś w Twojej firmie zbuduje politykę zgodności dla zapewnienia zgodne procesów zarządzania AI i AI governance w organizacji, z odpowiednią świadomością tego, co naprawdę wynika z ustawy, a co tylko z cudzego streszczenia.

Ustawa przewiduje też kompetencje UODO wobec systemów wysokiego ryzyka, więc nadzór nad AI w Polsce będzie miał więcej niż jeden adres. Ustawodawca wpisał również mechanizmy łagodzące, czyli ostrzeżenia i ugody zamiast natychmiastowej kary. To nie przypadek. Cały AI Act jest napisany tak, żeby najpierw doprowadzić firmę do zgodności, a dopiero potem karać za upór.

Równolegle na poziomie unijnym działa AI Pact, dobrowolne zobowiązanie do wcześniejszego wdrożenia obowiązków, przed terminami wynikającymi z rozporządzenia. Komisja Europejska publikuje też wytyczne i kodeksy praktyk doprecyzowujące poszczególne przepisy, więc warstwa interpretacyjna narasta z każdym kwartałem.

 

Harmonogram AI Act po zmianach – wszystkie daty w jednej tabeli

To jest ta tabela, którą warto zapisać, bo większość wersji krążących po sieci pochodzi sprzed 24 lipca 2026.

 

Data	Co zaczyna obowiązywać	Status
1 sierpnia 2024	Wejście w życie rozporządzenia 2024/1689	bez zmian
2 lutego 2025	Zakaz praktyk niedopuszczalnych (art. 5) oraz obowiązek kompetencji w zakresie AI, czyli AI literacy (art. 4)	bez zmian, obowiązuje
2 sierpnia 2025	Przepisy o modelach ogólnego przeznaczenia (GPAI), struktura zarządzania oraz przepisy o karach	bez zmian, obowiązuje
2 sierpnia 2026	Obowiązki przejrzystości z art. 50 dla nowych systemów, przepisy o karach dla dostawców GPAI, nadzór rynku; do tego dnia organizacje powinny mieć przeprowadzoną klasyfikację systemów AI na potrzeby ustalenia obowiązków w procesie wdrażania	bez zmian – najbliższy termin
2 grudnia 2026	Nowe zakazy z art. 5: generowanie intymnych wizerunków bez zgody i materiałów CSAM. Dostosowanie oznaczania maszynowego przez systemy generatywne obecne na rynku przed sierpniem 2026	nowość z Omnibusa
2 sierpnia 2027	Termin na uruchomienie krajowych piaskownic regulacyjnych	przesunięte o rok
2 grudnia 2027	Wymogi dla systemów wysokiego ryzyka z załącznika III (rekrutacja, scoring, edukacja, infrastruktura krytyczna)	przesunięte z 2.08.2026
28 stycznia 2028	Termin na wnioski jednostek notyfikowanych o wyznaczenie w reżimie AI Act	nowość z Omnibusa
2 sierpnia 2028	Wymogi dla systemów wysokiego ryzyka z załącznika I, wbudowanych w produkty regulowane sektorowo	przesunięte z 2.08.2027
2 sierpnia 2030	Graniczna data dla starszych systemów używanych przez organy publiczne	bez zmian

To właśnie pokazuje, że pierwsze przepisy już obowiązują, ale harmonogram stosowania jest rozłożony w czasie. Jeśli śledzisz życie AI Act, łatwo przeoczyć, że obok zakazów i kar są też późniejsze etapy dotyczące przepisów ogólnych i wymogów sektorowych.

Jest tu jeszcze jeden zapis, który ratuje wiele firm i który ginie w medialnym szumie. Systemy wysokiego ryzyka wprowadzone do obrotu przed datą graniczną wpadają w nowe wymogi dopiero wtedy, gdy zostaną w nich wprowadzone istotne zmiany po tej dacie. Jeśli masz działający system rekrutacyjny i nie planujesz go przebudowywać, masz więcej czasu, niż sugeruje kalendarz.

Odwrotna strona tej monety: zakazy i obowiązek kompetencji obowiązują od lutego 2025, a kary od sierpnia 2025. Zdanie „przepisy wchodzą w 2026, mam czas” jest więc prawdziwe najwyżej w połowie, a po Omnibusie ta połowa wcale się nie powiększyła. To nie tylko kwestia dat, ale też tego, kiedy wchodzi w życie AI i jak czytać wejście w życie AI Act w praktyce organizacyjnej.

 

Cztery kategorie ryzyka – jak dokonać kwalifikacji systemu AI

To fundament całego rozporządzenia. Zanim zapytasz „jakie mam obowiązki”, musisz odpowiedzieć na pytanie „w której kategorii są moje systemów AI”, bo klasyfikacja opiera się na poziomie ryzyka, w tym zagrożenia dla zdrowia, bezpieczeństwa, praw podstawowych obywateli i użytkowników, a systemy AI wysokiego ryzyka są oceniane właśnie przez ten pryzmat oraz znaczenie dla praworządności.

 

Ryzyko niedopuszczalne (praktyki zakazane)

Całkowity zakaz od 2 lutego 2025 roku. Obejmuje techniki podprogowe i manipulacyjne wyrządzające poważną szkodę, scoring społeczny, przewidywanie przestępczości wyłącznie na podstawie profilowania, masowy scraping wizerunków twarzy, rozpoznawanie emocji w miejscu pracy i w edukacji, kategoryzację biometryczną wnioskującą o cechach chronionych oraz zdalną identyfikację biometryczną w czasie rzeczywistym w przestrzeni publicznej, z wąskimi wyjątkami dla organów ścigania.

Od 2 grudnia 2026 do tej listy dochodzą dwa nowe zakazy wprowadzone Omnibusem: systemy tworzące intymne wizerunki konkretnych osób bez ich zgody oraz systemy generujące materiały przedstawiające seksualne wykorzystywanie dzieci.

Ważne dla marketingu: zwykła reklama i perswazja marketingowa nie są objęte tym zakazem. Motyw 29 rozporządzenia wprost odróżnia legalne praktyki handlowe od manipulacji wykorzystującej techniki podprogowe. Personalizowana kampania, dynamiczne nagłówki i testy A/B nie stają się nagle praktyką zakazaną.

 

Wysokie ryzyko

Rekrutacja, finanse, ochrona zdrowia, edukacja, infrastruktura krytyczna, wymiar sprawiedliwości. Tu leży ciężar całej regulacji: dokumentacja techniczna, zarządzanie ryzykiem, jakość danych, nadzór człowieka, logowanie zdarzeń, ocena zgodności i oznakowanie CE; kwalifikacji systemu AI jako wysokiego ryzyka dokonuje się według poziomu zagrożenia, w szczególności wpływu na zdrowie, bezpieczeństwo i prawa osób. Termin pełnego stosowania dla załącznika III to teraz 2 grudnia 2027.

 

Ryzyko ograniczone

Chatboty, generatory treści, deepfake’i. Obowiązki sprowadzają się głównie do przejrzystości z art. 50 i to one uderzają najwcześniej, bo 2 sierpnia 2026. Ta kategoria dotyczy największej liczby firm, które w ogóle mają jakiekolwiek obowiązki.

 

Ryzyko minimalne

Filtry antyspamowe, AI w grach, systemy rekomendacji, autouzupełnianie, korekta tekstu. Brak dodatkowych obowiązków. Zdecydowana większość systemów obecnych dziś na rynku ląduje właśnie tutaj.

 

Piąta kategoria: modele AI ogólnego przeznaczenia (GPAI)

Same modele, czyli modele AI ogólnego przeznaczenia, takie jak GPT, Claude, Gemini czy Llama, mają osobną ścieżkę obowiązków od 2 sierpnia 2025 roku: dokumentacja techniczna, polityka poszanowania praw autorskich, publiczne podsumowanie danych treningowych. Odpowiadają za to dostawcy modeli, a nie Ty jako użytkownik API, przy czym część z nich może zostać uznana za modele AI z ryzykiem systemowym, co uruchamia dodatkowe obowiązki dostawców. Omnibus tego reżimu nie zmienił.

 

Cztery role – wytyczne zaczynają się od pytania „kim jesteś w tym łańcuchu”

Najczęstszy błąd w interpretacji AI Act polega na szukaniu swojej branży. Rozporządzenie tak nie działa. Obowiązki zależą od roli, jaką pełnisz wobec konkretnego systemu.

 

Rola	Kto to	Obowiązki
Osoba prywatna	Użytek osobisty, pozazawodowy	Brak obowiązków, same prawa
Podmiot stosujący (deployer)	Używa AI zawodowo	Kompetencje AI w zespole (art. 4), przejrzystość (art. 50), a przy wysokim ryzyku: nadzór człowieka, monitoring, logi min. 6 miesięcy, zgłaszanie incydentów
Dostawca (provider)	Tworzy system AI albo firmuje go własną marką	Pełny pakiet: dokumentacja, ocena zgodności, CE, zarządzanie ryzykiem, jakość danych
Importer i dystrybutor	Sprowadza lub udostępnia cudze systemy	Obowiązki weryfikacyjne: sprawdzenie oceny zgodności, dokumentacji i oznakowania

Pułapka, w którą wpada dziś sporo polskich firm technologicznych: bierzesz cudzy model przez API, obudowujesz go interfejsem, nadajesz własną nazwę i sprzedajesz klientom. W świetle AI Act stajesz się dostawcą, z pełnym pakietem obowiązków, jeśli Twoje rozwiązanie trafia do kategorii wysokiego ryzyka. „Przecież to tylko nakładka na GPT” nie jest argumentem prawnym.

Jedna firma może pełnić kilka ról jednocześnie: inną wobec narzędzia kupionego od zewnętrznego dostawcy, inną wobec produktu, który sama zbudowała i sprzedaje. Dlatego audyt AI Act zaczyna się od inwentaryzacji systemów, a nie od lektury przepisów.

 

Osoba prywatna – AI Act daje Ci prawa, nie obowiązki

Tu rozbija się większość internetowych paniki. W działalności osobistej i pozazawodowej AI Act nie nakłada żadnych obowiązków. Wynika to wprost z art. 3 pkt 4 i motywu 13.

Generowanie obrazków dla zabawy, plan treningowy z ChatGPT, mem na prywatny profil, przepis na obiad, pomoc w liście motywacyjnym – wszystko to jest poza zakresem rozporządzenia.

Dla przeciętnego użytkownika AI Act to przede wszystkim nowy zestaw praw:

 

• • prawo do wiedzy, że rozmawiasz z botem, a nie z człowiekiem,
  • prawo do wykrywalności treści syntetycznych, dzięki obowiązkowemu oznaczaniu w formacie odczytu maszynowego,
  • prawo do złożenia skargi na decyzję podjętą z udziałem AI.

Od grudnia 2026 dochodzi jeszcze jedno, mocniejsze: zakaz systemów generujących intymne wizerunki bez zgody osoby przedstawionej. To odpowiedź na aplikacje typu nudify, które przez ostatnie dwa lata były realnym problemem także w polskich szkołach.

Granice Twojej swobody wyznaczają przepisy starsze niż AI Act: ochrona dóbr osobistych, prawo do wizerunku, RODO i prawo karne. Jeśli wygenerujesz ośmieszający wizerunek sąsiada, odpowiesz z kodeksu cywilnego, a nie z rozporządzenia unijnego.

 

Wytyczne dotyczące oznaczania treści AI (art. 50) – punkt po punkcie

To ta część, o którą pytają wszyscy twórcy, marketerzy i agencje, i to jest najbliższy termin w całym kalendarzu: 2 sierpnia 2026 dla nowych systemów, 2 grudnia 2026 dla tych, które są już na rynku. Składa się z czterech elementów.

 

1. Chatboty

Człowiek musi wiedzieć, że rozmawia z AI, chyba że jest to oczywiste z kontekstu. Obowiązek spoczywa na dostawcy systemu. Voicebot, który celowo udaje człowieka i tego nie ujawnia, jest niezgodny z rozporządzeniem.

 

2. Znak wodny i oznaczenie maszynowe

Dostawcy generatorów treści syntetycznych muszą oznaczać swoje wyniki w formacie odczytu maszynowego. To obowiązek OpenAI, Google czy Midjourney, nie Twój. Wyjątek dotyczy narzędzi wspomagających standardową edycję: korekty tekstu czy drobnego retuszu zdjęcia.

 

3. Rozpoznawanie emocji i kategoryzacja biometryczna

Tam, gdzie takie systemy są w ogóle legalne, osoby nimi objęte muszą zostać poinformowane. W rozumieniu AI Act nie każdy system biometryczny jest jednak kwalifikowany tak samo: rozwiązania wykorzystywane wyłącznie do weryfikacji tożsamości co do zasady nie są traktowane jak zdalna identyfikacja biometryczna wysokiego ryzyka.

 

4. Deepfake’i i teksty o sprawach publicznych

Ten punkt dotyczy podmiotów stosujących, czyli potencjalnie także Ciebie, jeśli używasz AI zawodowo.

 

Deepfake w rozumieniu art. 3 pkt 60: treść wygenerowana lub zmanipulowana przez AI, która przypomina istniejące osoby, przedmioty, miejsca lub zdarzenia i którą odbiorca mógłby fałszywie uznać za autentyczną. Oba warunki muszą wystąpić naraz.

Smok latający nad Wawelem nie jest deepfakiem, bo nikt nie pomyli go z rzeczywistością. Realistyczne „zdjęcie” polityka na wydarzeniu, na którym go nie było, już tak. Kto generuje lub rozpowszechnia taką treść zawodowo, musi ujawnić, że jest sztuczna. Dla dzieł artystycznych i satyrycznych przewidziano złagodzenie: ujawnienie ma nastąpić w sposób, który nie utrudnia odbioru utworu, na przykład w opisie lub w napisach.

A teksty? Obowiązek oznaczania treści tekstowych dotyczy wyłącznie materiałów informujących o sprawach interesu publicznego, czyli dziennikarstwa i newsów. Nawet tam znika, jeśli treść zweryfikował człowiek ponoszący odpowiedzialność redakcyjną.

Praktyczny wniosek dla polskiego rynku: typowy blog firmowy, artykuł ekspercki, opis produktu, newsletter czy post na LinkedIn nie wymagają oznaczenia „napisane przez AI”. Odpowiedzialność za treść i tak spoczywa na publikującym, więc weryfikacja faktów pozostaje Twoim zadaniem niezależnie od tego, kto trzymał klawiaturę.

 

Wytyczne branżowe – gdzie AI Act uderza najmocniej

 

Branża	Co wpada w wysokie ryzyko	Kiedy	Co jest zakazane
HR i rekrutacja	Ocena kandydatów, decyzje o awansach i zwolnieniach, monitoring pracowników (zał. III pkt 4)	2.12.2027	Rozpoznawanie emocji pracowników (już obowiązuje)
Finanse i ubezpieczenia	Scoring kredytowy osób fizycznych, pricing ubezpieczeń na życie i zdrowotnych	2.12.2027	Systemy antyfraudowe są wyłączone z wysokiego ryzyka
Medycyna	Diagnostyka, wyroby medyczne, triaż, obsługa zgłoszeń alarmowych	2.08.2028 dla wyrobów z zał. I	–
Edukacja	Decyzje o przyjęciu, ocena wyników, monitoring egzaminów	2.12.2027	Rozpoznawanie emocji uczniów (już obowiązuje)
Marketing, content, e-commerce	Co do zasady ryzyko minimalne; obowiązki koncentrują się w art. 50	2.08.2026	–
IT i software house	Zależy od tego, co budujecie dla klientów, nie od tego, czego używacie wewnętrznie	zależnie od produktu	–
Sektor publiczny, sądownictwo, służby	Najgęstsza regulacja: ocena skutków dla praw podstawowych, rejestracja w bazie UE	2.12.2027, systemy starsze do 2.08.2030	Scoring społeczny (już obowiązuje)

Dwie uwagi, które w tabeli się nie mieszczą.

Software house’y: własne wspomaganie pracy przez AI to ryzyko minimalne. Znaczenie ma to, co dostarczacie klientom i w jakiej roli. Podział ról dostawca kontra podmiot stosujący powinien być rozstrzygnięty w umowie, zanim rozstrzygnie go organ nadzoru.

Marketing: wyjątek artystyczno-satyryczny przy oznaczaniu deepfake’ów jest w reklamie komercyjnej interpretowany wąsko. Kampania z wygenerowanym wizerunkiem znanej postaci nie obroni się argumentem, że to przecież żart.

 

Kary – trzy progi i jeden bezpiecznik dla MŚP

Przepisy o karach obowiązują od 2 sierpnia 2025 roku i Omnibus ich nie zmienił.

 

Naruszenie	Kara
Praktyki zakazane (art. 5)	do 35 mln EUR lub 7% światowego obrotu, w zależności od tego, która kwota jest wyższa
Pozostałe obowiązki, w tym przejrzystość z art. 50	do 15 mln EUR lub 3% obrotu
Podanie organom nieprawidłowych lub wprowadzających w błąd informacji	do 7,5 mln EUR lub 1% obrotu

Górny próg jest wyższy niż w RODO, gdzie maksimum to 20 mln EUR lub 4% obrotu. Zanim jednak policzysz 7% swojego przychodu, przeczytaj dwa zastrzeżenia.

Po pierwsze, dla MŚP i startupów stosuje się kwotę niższą z dwóch, a nie wyższą. Wysokość sankcji zależy też od wielkości operatora i jego obrotu, dlatego reżim dla mniejszych podmiotów jest łagodniejszy, także w kontekście wprowadzania systemów na rynek. Omnibus rozszerzył zresztą część ulg z MŚP na małe spółki o średniej kapitalizacji. Po drugie, kary mają być skuteczne, proporcjonalne i odstraszające. Nie konfiskacyjne. Nikt nie dostanie 35 milionów euro za jeden nieoznaczony obrazek na Instagramie, tak jak nikt nie dostał maksymalnej kary RODO za brak polityki cookies.

 

Czego AI Act nie reguluje – trzy zaskoczenia

Równie ważne jak to, co w rozporządzeniu jest, jest to, czego w nim nie ma. Trzy sprawy zaskakują ludzi najczęściej.

Prawa autorskie do treści wygenerowanych przez AI. AI Act tego nie rozstrzyga i nie próbuje. W polskim prawie utworem jest rezultat działalności twórczej człowieka, więc czysty output z ChatGPT czy Midjourney nie daje praw wyłącznych. Twórcza modyfikacja może to zmienić, granica jest nieostra, a spory dopiero się zaczynają. Jeśli kupujesz grafiki od agencji, ustal to w umowie.

Odpowiedzialność za decyzje podjęte „bo AI tak powiedziało”. Zawsze Twoja. Dostawca narzędzia jej nie przejmuje i nie zamierza. Dotyczy to również plagiatu, wprowadzających w błąd twierdzeń w reklamie i błędnej porady udzielonej klientowi.

Ściganie twórców szkodliwych deepfake’ów. AI Act nakłada obowiązek oznaczania, a od grudnia 2026 zakazuje określonych zastosowań, ale nie tworzy przestępstwa z samego wygenerowania treści. Ochrona ofiar płynie z kodeksu cywilnego i karnego, z RODO i postępowania przed UODO oraz z aktu o usługach cyfrowych (DSA). Rozporządzenie o AI jest tu jednym z kilku narzędzi i wcale nie najostrzejszym.

 

Pięć mitów o AI Act, które można odłożyć

„Każdą treść z AI trzeba oznaczać.” Nie. Obowiązek dotyczy deepfake’ów oraz tekstów o sprawach interesu publicznego bez weryfikacji redakcyjnej. Blog firmowy jest poza tym zakresem.

„AI Act karze zwykłych ludzi za używanie ChatGPT.” Nie. Użytek osobisty i pozazawodowy jest wyłączony z zakresu rozporządzenia.

„Wystarczy przenieść firmę poza UE.” Nie. AI Act działa jak RODO, czyli obejmuje każdego, kto oferuje systemy AI na rynku unijnym albo kogo wyniki działania systemu dotyczą osób w UE.

„Omnibus odroczył AI Act, więc mam dwa lata spokoju.” To najświeższy i najkosztowniejszy z mitów. Odroczenie objęło wysokie ryzyko, nie art. 50. Data 2 sierpnia 2026 stoi tam, gdzie stała.

„AI Act zablokuje rozwój technologii w Europie.” Dyskusyjne i akurat tu jestem sceptyczny wobec obu skrajności. Rozporządzenie wprowadza koszt zgodności, to prawda. Daje też jasne granice, piaskownice regulacyjne i ułatwienia dla mniejszych firm, a przewidywalność bywa warta więcej niż brak przepisów.

 

Wytyczne wdrożeniowe – co zrobić przed 2 sierpnia 2026

Plan, który realnie da się przejść w kilka tygodni. Kolejność ma znaczenie.

Krok 1. Spisz systemy AI, których używasz. Nie tylko te oczywiste. Chatbot na stronie, narzędzie do selekcji CV, moduł scoringowy w CRM, generator opisów produktów, asystent w kliencie pocztowym. Lista zwykle okazuje się dłuższa, niż zakładał zarząd.

Krok 2. Przy każdym systemie przypisz swoją rolę. Podmiot stosujący, dostawca, importer. Przy narzędziach kupionych sprawdź, co mówi umowa z dostawcą, bo często przerzuca ona na Ciebie więcej, niż się spodziewasz.

Krok 3. Zrób przegląd art. 50, zanim zajmiesz się czymkolwiek innym. To jedyny termin, który po Omnibusie został na sierpniu 2026. Czy chatbot informuje, że jest chatbotem? Czy publikujesz treści, które mogłyby zostać uznane za deepfake? Czy prowadzisz serwis informacyjny? Jeśli sprzedajesz własny generator treści i był on na rynku przed sierpniem, masz czas do 2 grudnia 2026 na oznaczanie maszynowe.

Krok 4. Zapewnij kompetencje AI w zespole (art. 4). Ten obowiązek działa od lutego 2025 i jest najczęściej pomijany, bo nie ma formalnego egzaminu ani certyfikatu. Wystarczy udokumentowane szkolenie i wewnętrzne zasady korzystania z AI. Kontrola zapyta o dowód, nie o intencję.

Krok 5. Zaklasyfikuj ryzyko. Cztery kategorie plus GPAI. Definicja systemu AI w AI Act jest zgodna z OECD i oznacza system maszynowy, który może wykazywać adaptację lub uczenie się oraz korzystać z różnych technik i podejścia. Jeśli którykolwiek system dotyka rekrutacji, oceny pracowników, zdolności kredytowej, zdrowia albo edukacji, załóż wysokie ryzyko do czasu, aż ktoś udowodni Ci coś innego.

Krok 6. Przy wysokim ryzyku, już na etapie wdrażania i wprowadzania systemu na rynek lub do użycia w organizacji, rozłóż dokumentację na 2027. Zarządzanie ryzykiem, jakość danych, nadzór człowieka, logi przechowywane minimum 6 miesięcy, procedura zgłaszania poważnych incydentów, ocena zgodności i oznakowanie CE. Masz teraz czas do 2 grudnia 2027, ale to około 16 miesięcy na projekt, który w większych organizacjach trwa rok.

Krok 7. Jeśli masz wątpliwość, poczekaj na KRiBSI i wystąp o opinię indywidualną. Komisja powinna działać od jesieni 2026. Wiążąca interpretacja kosztuje mniej niż spór po kontroli.

 

Co naprawdę daje odroczenie do grudnia 2027

Warto nazwać to precyzyjnie, bo w tej różnicy siedzą pieniądze.

Odroczenie nie znosi obowiązków. Przesuwa moment, w którym organ może o nie zapytać. System rekrutacyjny, który 2 grudnia 2027 nie ma dokumentacji technicznej i oceny zgodności, będzie niezgodny tak samo, jak byłby 2 sierpnia 2026.

Odroczenie daje za to trzy rzeczy, których wcześniej nie było. Daje czas na spokojne wdrożenie zamiast paniki w lipcu. Daje szansę doczekać do normy zharmonizowanej i wytycznych Komisji, które doprecyzują część niejasnych wymogów, więc dokumentacja pisana w 2027 będzie tańsza niż ta pisana dziś na wyczucie. I daje polskim firmom czas na skorzystanie z piaskownicy regulacyjnej KRiBSI, która ruszy, kiedy komisja się ukonstytuuje.

Firma, która potraktuje te szesnaście miesięcy jak pauzę, wróci do tematu jesienią 2027 z tym samym problemem, tylko droższym.

 

AI Act jako przewaga, a nie tylko koszt

Compliance ma w Polsce fatalny PR. Kojarzy się z segregatorem, który stoi na półce po to, żeby ktoś kiedyś go nie przeczytał.

Tymczasem firmy, które wdrażają się wcześnie, zbierają kilka rzeczy naraz. Klienci korporacyjni coraz częściej pytają o zgodność systemu AI w zapytaniu ofertowym, więc gotowa dokumentacja skraca sprzedaż, a zgodne rozwiązania AI mogą wspierać promowanie innowacji i budować przewagę konkurencyjną na terenie Unii Europejskiej. Piaskownice regulacyjne dają dostęp do regulatora na etapie budowania produktu, a nie po jego wdrożeniu. Jednolite zasady w całej Unii oznaczają jeden komplet dokumentów zamiast dwudziestu siedmiu. A pozycja firmy, która potrafi wytłumaczyć klientowi, jak działa jej algorytm, jest dziś rzadsza, niż powinna być.

Największy koszt AI Act nie leży w przepisach. Leży w niewiedzy, która sprawia, że firmy albo zamrażają projekty AI „na wszelki wypadek”, albo wdrażają je bez żadnej refleksji i dowiadują się o problemie od kontrolera. Kto wie, gdzie jest na mapie tego rozporządzenia, działa śmielej, a nie ostrożniej.

 

FAQ – najczęstsze pytania o AI Act

Czym jest AI Act w prostych słowach? To rozporządzenie (UE) 2024/1689, pierwsze na świecie prawo regulujące sztuczną inteligencję przekrojowo. Dzieli zastosowania AI na cztery kategorie ryzyka i przypisuje im obowiązki, od całkowitego zakazu po zupełny brak wymagań. W lipcu 2026 znowelizowało je rozporządzenie (UE) 2026/1744.

Czy AI Act został odroczony? Częściowo. Rozporządzenie (UE) 2026/1744, w mocy od 27 lipca 2026, przesunęło wymogi dla systemów wysokiego ryzyka z załącznika III z 2 sierpnia 2026 na 2 grudnia 2027, a dla załącznika I z 2 sierpnia 2027 na 2 sierpnia 2028. Obowiązki przejrzystości z art. 50 zostały na 2 sierpnia 2026 i to one dotyczą największej liczby firm.

Od kiedy AI Act obowiązuje w Polsce? Rozporządzenie weszło w życie 1 sierpnia 2024 roku i obowiązuje w Polsce bezpośrednio. Zakazy i obowiązek kompetencji AI działają od 2 lutego 2025, przepisy o modelach ogólnego przeznaczenia i o karach od 2 sierpnia 2025, obowiązki przejrzystości od 2 sierpnia 2026, a wymogi dla wysokiego ryzyka z załącznika III od 2 grudnia 2027.

Kto kontroluje przestrzeganie AI Act w Polsce? Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), powołana ustawą o systemach sztucznej inteligencji podpisaną przez prezydenta 24 lipca 2026 roku. Działa przy Ministerstwie Cyfryzacji; przewodniczący ma zostać powołany w ciągu 2 miesięcy od wejścia ustawy w życie, pełny skład w ciągu 3 miesięcy. Ustawa przewiduje też kompetencje UODO wobec systemów wysokiego ryzyka.

Czy AI Act dotyczy osób prywatnych? Nie w działalności osobistej i pozazawodowej. Art. 3 pkt 4 i motyw 13 wyłączają taki użytek z zakresu rozporządzenia. Osoba prywatna zyskuje prawa, a nie obowiązki.

Czy trzeba oznaczać treści wygenerowane przez AI? Nie każdą. Obowiązek dotyczy deepfake’ów oraz tekstów informujących o sprawach interesu publicznego, przy czym te drugie są zwolnione, jeśli zweryfikował je człowiek ponoszący odpowiedzialność redakcyjną. Znak wodny w formacie odczytu maszynowego to obowiązek dostawcy generatora, nie użytkownika.

Czy artykuł na blogu napisany z pomocą AI trzeba oznaczyć? Nie, jeśli nie informuje o sprawach interesu publicznego. Typowy blog firmowy, ekspercki czy lifestyle’owy jest poza obowiązkiem z art. 50. Odpowiedzialność za treść pozostaje po stronie publikującego.

Co grozi za złamanie AI Act? Trzy progi kar: do 35 mln EUR lub 7% światowego obrotu za praktyki zakazane, do 15 mln EUR lub 3% za pozostałe naruszenia, w tym obowiązki przejrzystości, oraz do 7,5 mln EUR lub 1% za wprowadzenie organów w błąd. Dla MŚP stosuje się kwotę niższą z dwóch.

Czy AI Act obowiązuje firmy spoza Unii Europejskiej? Tak, na zasadzie podobnej do RODO. Liczy się to, czy system jest oferowany na rynku unijnym albo czy jego wyniki dotyczą osób znajdujących się w UE. Zmiana siedziby niczego nie załatwia.

Czy AI Act zakazuje tworzenia deepfake’ów? Nie w ogólności. Nakłada obowiązek ich oznaczania przy zawodowym generowaniu lub rozpowszechnianiu. Od 2 grudnia 2026 zakazane są natomiast systemy generujące intymne wizerunki bez zgody osoby przedstawionej oraz materiały przedstawiające seksualne wykorzystywanie dzieci. Ściganie pozostałych szkodliwych deepfake’ów opiera się na prawie cywilnym, karnym, na RODO i na akcie o usługach cyfrowych.

Czy moja firma potrzebuje audytu AI Act? Jeśli używasz AI wyłącznie do wspomagania pracy biurowej, wystarczy inwentaryzacja i przeszkolenie zespołu. Jeśli AI dotyka decyzji o ludziach albo sprzedajesz rozwiązanie oparte na AI, audyt ról i klasyfikacja ryzyka są pierwszym krokiem, od którego zależy cała reszta.

Co to są piaskownice regulacyjne i ile kosztują? To kontrolowane środowiska testowe, w których można rozwijać system AI pod okiem regulatora, bez ryzyka natychmiastowych sankcji. W Polsce prowadzi je KRiBSI. Mikro-, małe i średnie przedsiębiorstwa korzystają z nich bezpłatnie. Państwa członkowskie mają czas na uruchomienie krajowych piaskownic do 2 sierpnia 2027.

 

Co dalej

AI Act jest napisany przeciwko systemom, które rozstrzygają o ludziach bez nadzoru i bez wyjaśnienia, a nie przeciwko firmom używającym AI rozsądnie. Jeśli Twoja firma mieści się w tej drugiej grupie, cała robota do wykonania sprowadza się do jednej listy systemów, jednej klasyfikacji i jednego szkolenia zespołu. Reszta to kwestia kalendarza, który właśnie dostał trochę luzu w jednym miejscu i ani sekundy w drugim.

Jeśli chcesz się ze mną skontaktować w sprawie narzędzi i zadań wykorzystujących ChatGPT lub Claude’a, napisz bezpośrednio do mnie. Chętnie pomogę Twojej firmie w zrozumieniu i wdrożeniu rozwiązań opartych na sztucznej inteligencji zgodnie z wymogami AI Act. Zapraszam do kontaktu – razem znajdziemy najlepsze rozwiązania dla Twojego biznesu.

 

---

 

Źródła

 

• • Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act), EUR-Lex
  • Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI), Dziennik Urzędowy UE, publikacja 24.07.2026, wejście w życie 27.07.2026
  • Ustawa o systemach sztucznej inteligencji, podpisana przez Prezydenta RP 24.07.2026
  • Komunikaty i analizy: Prezydent.pl, Ministerstwo Cyfryzacji, ITwiz, CyberDefence24, Modulos, NicFab