AI Act 2026: termin się zmienił. Co naprawdę obowiązuje firmy od sierpnia?

17.08.2026 11 min

W skrócie: AI Act (Rozporządzenie UE 2024/1689) jest stosowany etapami. Termin 2 sierpnia 2026 r. miał uruchomić część kluczowych obowiązków dotyczących systemów wysokiego ryzyka. W lipcu 2026 r. UE przyjęła jednak nowelizację - Digital Omnibus on AI (Rozporządzenie 2026/1744) - która przesunęła stosowanie odpowiednich przepisów dla systemów wysokiego ryzyka z Załącznika III na 2 grudnia 2027 r., a dla systemów z Załącznika I na 2 sierpnia 2028 r. Od 2 sierpnia 2026 r. stosuje się natomiast m.in. obowiązki przejrzystości z art. 50. Ich zakres zależy od rodzaju systemu i sposobu wykorzystania AI: obejmuje m.in. informowanie o bezpośredniej interakcji z AI, maszynowo odczytywalne oznaczanie określonych treści syntetycznych oraz ujawnienia dotyczące m.in. deepfake’ów i niektórych tekstów dotyczących spraw leżących w interesie publicznym.

Jeśli w ostatnich miesiącach ktoś u Was zapytał "czy musimy coś zrobić z tym AI Act przed sierpniem", nie jesteście sami. Ta data od dawna krążyła w rozmowach o unijnej regulacji AI jako moment wejścia w życie najbardziej wymagających obowiązków, czyli tych dla systemów wysokiego ryzyka.

Jest jednak coś, o czym warto wiedzieć, zanim zaczniecie planować budżet na zgodność: ten konkretny termin się zmienił. W lipcu 2026 r. Unia Europejska formalnie przyjęła nowelizację AI Act, która przesuwa najcięższe obowiązki na później. Nie znaczy to, że temat można odłożyć na półkę, bo część przepisów rzeczywiście zaczęła obowiązywać 2 sierpnia 2026 r. Znaczy to raczej, że warto działać na podstawie aktualnego stanu prawnego, a nie zapowiedzi sprzed roku.

W tym artykule opisujemy, co dziś realnie wynika z AI Act dla firmy, która korzysta z AI, tworzy rozwiązania AI albo dopiero planuje wdrożenie.

Czym właściwie jest AI Act?

AI Act to pierwsza na świecie kompleksowa regulacja sztucznej inteligencji obejmująca cały rynek wewnętrzny UE (Rozporządzenie 2024/1689). Weszła w życie 1 sierpnia 2024 r., ale podobnie jak RODO w swoim czasie, nie zaczęła obowiązywać od razu w całości. Jej przepisy wchodzą w życie etapami, w zależności od tego, jakiego rodzaju systemów AI dotyczą.

Regulacja przyjmuje podejście oparte na ryzyku. Im większy potencjalny wpływ systemu AI na zdrowie, bezpieczeństwo lub prawa podstawowe człowieka, tym więcej obowiązków spoczywa na podmiocie, który go dostarcza lub wykorzystuje. AI Act dotyczy nie tylko firm technologicznych budujących modele AI. Może dotyczyć każdej firmy, która AI wykorzystuje w swoich procesach, produktach czy usługach, niezależnie od tego, czy jej siedziba znajduje się w UE, czy poza nią.

Co naprawdę zmienia się w 2026 roku?

Tu pojawia się najwięcej nieporozumień, więc rozłóżmy to na daty.

24 lipca 2026 r. w Dzienniku Urzędowym UE opublikowano Digital Omnibus na AI (Rozporządzenie 2026/1744) - pierwszą istotną nowelizację AI Act od czasu jego uchwalenia. Weszła w życie 27 lipca 2026 r. Jej głównym celem było odroczenie terminów dla systemów wysokiego ryzyka, bo wymagane normy techniczne i infrastruktura instytucjonalna (jednostki notyfikowane, wytyczne Komisji) po prostu nie były jeszcze gotowe.

Aktualna oś czasu wygląda tak:

Data	Co wchodzi w życie
2/02/2025	Zakaz praktyk niedopuszczalnych + obowiązek zapewnienia pracownikom odpowiednich kompetencji AI
2/08/2025	Zasady zarządzania + obowiązki dostawców GPAI
2/02/2026	Przejrzystość (art. 50): oznaczanie treści AI, ujawnianie chatbotów + kary dla GPAI
2/12/2026	Zakaz nudifiers* i CSAM + oznaczanie treści AI dla starszych systemów * Nudifiers - narzędzia AI generujące intymne wizerunki osób bez ich zgody (art. 5 AI Act).
2/12/2027	Pełne obowiązki dla systemów wysokiego ryzyka (Załącznik III)
2/02/2028	Obowiązki dla AI w produktach regulowanych (Załącznik I)

2 sierpnia 2026 r. rzeczywiście był istotną datą, tylko nie tą, o której najczęściej się mówiło. Obowiązki dla systemów wysokiego ryzyka przesunięto o 16 miesięcy (systemy samodzielne) lub 12 miesięcy (systemy wbudowane w produkty). Jednocześnie realnie ruszyły przepisy o przejrzystości i oznaczaniu treści AI, a te akurat dotyczą dziś największej liczby firm, bo obejmują chatboty i generatory treści niezależnie od tego, czy dany system jest formalnie "wysokiego ryzyka".

Czy każda firma korzystająca z ChatGPT musi obawiać się AI Act?

Nie. To jedno z najczęstszych pytań i warto je rozłożyć na czynniki pierwsze, bo obowiązki zależą od roli, jaką firma pełni wobec danego systemu AI.

Korzystanie z gotowych narzędzi AI (np. asystenta do pisania treści, wewnętrznego chatbota opartego na popularnym modelu): firma jest zwykle "deployerem", czyli użytkownikiem, a nie dostawcą systemu. Obowiązki są tu zazwyczaj ograniczone, ale warto wiedzieć, jakie dane trafiają do narzędzia i czy interakcja z AI jest odpowiednio oznaczona wobec użytkowników.

Tworzenie własnego rozwiązania AI: firma staje się dostawcą (providerem) i to na niej spoczywa większość obowiązków związanych z klasyfikacją ryzyka, dokumentacją i testowaniem.

Integracja z zewnętrznym modelem, np. budowa aplikacji na bazie API dużego modelu językowego: odpowiedzialność rozkłada się między dostawcę modelu bazowego a firmę integrującą, zależnie od tego, do czego ostatecznie system służy.

Tworzenie systemu AI dla klientów: kluczowe jest ustalenie, w jakim kontekście klient będzie korzystał z systemu, bo to decyduje o klasyfikacji ryzyka.

Wdrażanie AI w procesach wewnętrznych, np. w rekrutacji czy ocenie pracowników: to obszary, które AI Act traktuje jako potencjalnie wysokiego ryzyka, niezależnie od tego, czy narzędzie kupiono, czy zbudowano samodzielnie.

Sama obecność AI w firmie nie jest problemem. Problemem bywa brak świadomości, w której z tych ról firma się akurat znajduje.

Klasy ryzyka wyjaśnione po ludzku

AI Act jest najczęściej przedstawiany jako model czterech poziomów ryzyka.

Ryzyko niedopuszczalne obejmuje praktyki zakazane, np. określone formy scoringu społecznego, manipulacji wykorzystującej podatność osób czy niektóre zastosowania rozpoznawania emocji w miejscu pracy. Większość typowych zastosowań biznesowych nie należy do tej kategorii, ale katalog zakazów jest szerszy niż często przywoływany przykład social scoringu.

Wysokie ryzyko obejmuje określone systemy wykorzystywane m.in. w rekrutacji, edukacji, ocenie zdolności kredytowej czy infrastrukturze krytycznej, a także wybrane systemy związane z produktami regulowanymi. System służący do rekrutacji lub selekcji kandydatów, w szczególności do analizowania i filtrowania podań o pracę oraz oceny kandydatów, co do zasady może należeć do kategorii wysokiego ryzyka. Ostateczna klasyfikacja zależy jednak od konkretnego przeznaczenia i przesłanek przewidzianych w AI Act.

Ryzyko związane z przejrzystością dotyczy m.in. systemów wchodzących w bezpośrednią interakcję z ludźmi oraz systemów generujących lub manipulujących treściami syntetycznymi. Art. 50 nie ustanawia jednego ogólnego obowiązku widocznego oznaczania każdej treści stworzonej z pomocą AI. Zakres obowiązków zależy od roli podmiotu i przypadku użycia: dostawcy muszą m.in. projektować określone systemy tak, aby osoba była informowana o bezpośredniej interakcji z AI, oraz zapewniać maszynowo odczytywalne oznaczenie określonych treści syntetycznych. Na podmiotach wdrażających spoczywają dodatkowe obowiązki ujawnienia m.in. w przypadku deepfake’ów oraz niektórych tekstów dotyczących spraw leżących w interesie publicznym.

Minimalne lub żadne istotne ryzyko obejmuje wiele typowych zastosowań AI. Co do zasady AI Act nie nakłada na takie systemy szczególnego reżimu właściwego dla systemów wysokiego ryzyka, ale nadal mogą mieć zastosowanie inne przepisy AI Act oraz regulacje, takie jak RODO, prawo konsumenckie czy przepisy sektorowe.

Co AI Act oznacza dla firmy technologicznej?

Dla firmy, która projektuje lub wdraża rozwiązania AI, czy to na własny użytek, czy dla klientów, chodzi głównie o jedno: przesunięcie tych pytań na wcześniejszy etap procesu, zamiast zostawiania ich na koniec.

Warto zastanowić się już na etapie projektowania nad:

konkretnym zastosowaniem systemu i kontekstem, w jakim będzie używany,
wynikającą z tego kategorią ryzyka,
pochodzeniem i jakością danych, na których system się uczy lub z których korzysta,
bezpieczeństwem technicznym i odpornością na nadużycia,
prywatnością i zgodnością z RODO (AI Act nie zastępuje RODO, oba akty obowiązują równolegle),
rolą nadzoru człowieka nad decyzjami podejmowanymi lub wspieranymi przez system,
zakresem potrzebnej dokumentacji technicznej,
planem testowania, w tym testów pod kątem błędów i stronniczych wyników,
sposobem monitorowania działania systemu po wdrożeniu,
podziałem odpowiedzialności między dostawcą technologii, integratorem a firmą wdrażającą.

AI Act a software development: co zmienia się w praktyce?

Odpowiedzialne podejście do AI Act pokrywa się w dużej mierze z dobrymi praktykami inżynierskimi, które i tak powinny towarzyszyć projektom AI. Zamiast traktować zgodność jako osobny etap na koniec, można wpleść ją w standardowy proces budowy produktu:

pomysł analiza ryzyka architektura dobór modelu dane implementacja testy bezpieczeństwo dokumentacja wdrożenie monitoring

Analiza ryzyka zrobiona na starcie pozwala uniknąć sytuacji, w której tuż przed wdrożeniem okazuje się, że system wymaga dodatkowej dokumentacji albo zmiany architektury. Dobór modelu i źródeł danych wpływa bezpośrednio na to, jak łatwo później wykazać zgodność. Testy i monitoring, które i tak są standardem w dojrzałym procesie wytwarzania oprogramowania, stają się przy okazji elementem spełniania wymogów regulacyjnych.

Warto to jasno powiedzieć: software house nie świadczy usług prawnych ani nie zastępuje działu compliance klienta. Jego rolą jest przełożenie wymagań biznesowych i regulacyjnych na konkretne decyzje architektoniczne i inżynierskie, tak żeby końcowy produkt był gotowy do oceny zgodności, kiedy klient (najlepiej wspólnie z prawnikiem) będzie tego potrzebował.

Jak przygotować firmę do AI Act?

Niezależnie od tego, na jakim etapie dziś jesteście, dobrze zacząć od prostego przeglądu:

spiszcie, gdzie w firmie faktycznie wykorzystywana jest AI - często okazuje się, że narzędzi używa się więcej niż zakładano, w różnych działach i bez centralnej wiedzy,
określcie, jakie narzędzia i modele są w użyciu, zarówno te oficjalnie wdrożone, jak i te, z których pracownicy korzystają na własną rękę,
sprawdźcie, jakie dane trafiają do systemów AI, zwłaszcza dane osobowe i informacje poufne,
określcie rolę firmy w konkretnym rozwiązaniu: dostawca, integrator czy użytkownik,
przeanalizujcie poziom ryzyka każdego zidentyfikowanego zastosowania,
ustalcie, kto w organizacji odpowiada za dany system AI,
Zapewnijcie pracownikom odpowiedni poziom kompetencji w zakresie AI,
zweryfikujcie bezpieczeństwo wykorzystywanych narzędzi i integracji,
przygotujcie dokumentację proporcjonalną do faktycznego ryzyka, a nie "na wszelki wypadek",
zaplanujcie monitoring działania systemów AI w czasie, a nie tylko jednorazową ocenę przy wdrożeniu.

Czego firmy nie powinny robić?

Kilka błędów powtarza się szczególnie często:

wdrażanie AI bez wcześniejszej analizy ryzyka i kontekstu użycia,
wklejanie poufnych danych firmowych lub danych klientów do publicznych narzędzi AI,
brak jakiejkolwiek kontroli nad tym, z jakich modeli i narzędzi korzystają pracownicy,
brak dokumentacji potwierdzającej, jakie decyzje podjęto i dlaczego,
traktowanie AI jak czarnej skrzynki, której działania nikt w firmie nie potrafi wyjaśnić,
pomijanie testów, zwłaszcza pod kątem błędnych lub stronniczych wyników,
ignorowanie obowiązku podnoszenia kompetencji AI wśród pracowników.

Żaden z tych błędów zwykle nie wynika ze złej woli. Częściej z braku czasu albo z traktowania AI jak "kolejnego narzędzia SaaS". AI Act wymaga trochę więcej rozwagi, ale nie rezygnacji z technologii.

AI Act jako szansa, a nie tylko obowiązek

Warto spojrzeć na to też z drugiej strony. Uporządkowane podejście do AI, nawet wykraczające poza to, co formalnie wymagane, realnie pomaga firmie:

ograniczyć ryzyko błędów, które mogłyby kosztować reputację lub pieniądze,
zwiększyć kontrolę nad tym, jakie dane trafiają do systemów AI,
łatwiej skalować rozwiązania AI, bo są zbudowane na przejrzystej architekturze,
budować zaufanie klientów, którzy coraz częściej pytają, jak firma korzysta z AI,
tworzyć bardziej przewidywalne i stabilne produkty.

Firmy, które traktują te kwestie poważnie już teraz, będą miały łatwiej niezależnie od tego, kiedy dokładnie wejdą w życie kolejne terminy. A jak pokazał lipiec 2026 r., terminy potrafią się jeszcze zmieniać.

Jak może pomóc Yellows?

W projektach wykorzystujących AI warto myśleć o zgodności i bezpieczeństwie od początku, a nie dopiero przed wdrożeniem. W Yellows podejście do takich projektów zaczynamy właśnie od tego: od zrozumienia celu biznesowego, danych, architektury i ryzyk związanych z wykorzystaniem AI.

W praktyce oznacza to łączenie kilku kompetencji naraz: software engineeringu, przemyślanej architektury systemu, podejścia do bezpieczeństwa, doświadczenia w integracji rozwiązań AI oraz znajomości procesów biznesowych klienta. Nie zastępujemy prawnika ani specjalisty compliance, ale dbamy o to, żeby decyzje technologiczne dobrze współgrały z obowiązkami regulacyjnymi klienta, zamiast je komplikować.

Jeśli planujecie wdrożenie AI w swoim produkcie lub procesach, albo już z niego korzystacie i zastanawiacie się, czy architektura jest dobrze przygotowana na nadchodzące zmiany, chętnie o tym porozmawiamy.

Umów rozmowę

Podsumowanie: co warto zapamiętać

AI Act wchodzi w życie etapami od 2024 r. Nie każdy przepis obowiązuje już dziś.

Termin 2 sierpnia 2026 r. przestał oznaczać pełne obowiązki dla systemów wysokiego ryzyka - te przesunięto nowelizacją z lipca 2026 r. na grudzień 2027 r. (systemy samodzielne) i sierpień 2028 r. (systemy wbudowane w produkty).

Od 2 sierpnia 2026 r. realnie obowiązują przepisy o przejrzystości, m.in. oznaczanie treści AI i obowiązek informowania o interakcji z chatbotem.

Obowiązki firmy zależą od jej roli wobec danego systemu AI: dostawcy, integratora czy użytkownika.

Klasyfikacja ryzyka (niedopuszczalne, wysokie, ograniczone, minimalne) decyduje o zakresie obowiązków.

Świadome podejście do AI, czyli dokumentacja, testy, nadzór człowieka, kontrola danych, to nie tylko wymóg regulacyjny, ale też dobra praktyka biznesowa.

Ten artykuł ma charakter informacyjny i nie stanowi porady prawnej. Przy ocenie konkretnej sytuacji Twojej firmy warto skonsultować się z prawnikiem lub specjalistą compliance.

Jeśli chcesz omówić, jak przygotować architekturę swojego rozwiązania AI z myślą o aktualnych i nadchodzących wymogach, napisz do nas.

Skontaktuj się z nami

FAQ

Czym jest AI Act?

AI Act to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, pierwsza na świecie kompleksowa regulacja sztucznej inteligencji obowiązująca na terenie całej Unii Europejskiej. Weszło w życie 1 sierpnia 2024 r. i jest wdrażane etapami.

Czy 2 sierpnia 2026r. to termin wejścia w życie obowiązków dla systemów wysokiego ryzyka?

Nie. Pierwotnie tak zakładano, ale w lipcu 2026 r. Unia Europejska przyjęła nowelizację AI Act (Digital Omnibus on AI, Rozporządzenie 2026/1744), która przesunęła te obowiązki na 2 grudnia 2027 r. dla systemów samodzielnych z Załącznika III i 2 sierpnia 2028 r. dla systemów wbudowanych w produkty z Załącznika I.

Co zaczęło obowiązywać 2 sierpnia 2026r.?

Między innymi obowiązki przejrzystości z art. 50 AI Act. Dostawcy określonych systemów muszą zapewnić informowanie osób o bezpośredniej interakcji z AI oraz maszynowo odczytywalne oznaczanie określonych treści syntetycznych. Podmioty wdrażające mają dodatkowe obowiązki ujawnienia m.in. przy deepfake’ach oraz niektórych tekstach dotyczących spraw leżących w interesie publicznym. Dla systemów generujących treści syntetyczne wprowadzonych na rynek przed 2 sierpnia 2026 r. nowelizacja przewiduje okres przejściowy do 2 grudnia 2026 r. w zakresie art. 50 ust. 2.

Jakie są kary za brak zgodności z AI Act?

Zależnie od rodzaju naruszenia maksymalne administracyjne kary pieniężne mogą sięgać m.in. 35 mln EUR lub 7% światowego rocznego obrotu za naruszenie zakazanych praktyk, 15 mln EUR lub 3% za naruszenie określonych innych obowiązków wynikających z AI Act - w tym części obowiązków dotyczących operatorów i przejrzystości - oraz 7,5 mln EUR lub 1% za przekazanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji właściwym organom. Sposób ustalania limitu zależy m.in. od kategorii przedsiębiorstwa i konkretnego naruszenia.

Czy korzystanie z ChatGPT lub podobnych narzędzi w firmie oznacza obowiązki z AI Act?

Zazwyczaj obowiązki są tu ograniczone, bo firma pełni rolę użytkownika (deployera), a nie dostawcy systemu. Zakres obowiązków zależy jednak od kontekstu użycia - inaczej wygląda przy prostym wsparciu w pisaniu treści, a inaczej przy wykorzystaniu AI w rekrutacji czy ocenie pracowników.

Ile jest kategorii ryzyka w AI Act?

Cztery: ryzyko niedopuszczalne (praktyki zakazane), wysokie ryzyko (ścisłe obowiązki, np. rekrutacja, edukacja, ocena zdolności kredytowej), ograniczone ryzyko (obowiązki przejrzystości, np. chatboty) i ryzyko minimalne (brak dodatkowych obowiązków).

Stan prawny na 17.08.2026 r. Treść informacyjna, nie stanowi porady prawnej. Szczegóły mogą ulec zmianie.

Źródła: