AI Act w Polsce: co weszło w życie 11 sierpnia 2026 i co robić teraz

Wstęp: 11 sierpnia, nie 2 sierpnia

Dzisiaj, 11 sierpnia 2026 r., weszła w życie polska ustawa o systemach sztucznej inteligencji. Nie należy mylić tej daty z datą wejścia w życie kluczowej części unijnego AI Act (2 sierpnia 2026 r.) - Polska wdrożyła przepisy krajowe z opóźnieniem, co sprawia, że wiele firm kieruje się nieaktualnymi informacjami z artykułów publikowanych na początku sierpnia.

To opóźnienie ma praktyczne konsekwencje: obowiązki przejrzystości z art. 50 AI Act obowiązują już od 2 sierpnia, ale polski system egzekucji tych obowiązków dopiero się uruchamia. Jednocześnie najbardziej wymagające regulacje dotyczące systemów wysokiego ryzyka zostały przesunięte na grudzień 2027 r., co zmienia całą strategię wdrażania AI w polskich firmach.

Kluczowa informacja: 11 sierpnia 2026 r. weszła w życie polska ustawa o sztucznej inteligencji - nie 2 sierpnia. Obowiązki unijne z AI Act już obowiązują, a polski system sankcji i kontroli uruchamia się w trzech transzach, aż do 28 października 2026 r.

Podstawa prawna: Unia reguluje, Polska implementuje

Zmiany prawne wprowadza przede wszystkim unijne Rozporządzenie (UE) 2024/1689, czyli AI Act, które weszło w życie 1 sierpnia 2024 r. i stopniowo staje się w pełni obowiązującym prawem we wszystkich państwach członkowskich UE. Równolegle, 8 lipca 2026 r., Unia przyjęła Rozporządzenie (UE) 2026/1744, tzw. Digital Omnibus on AI, które weszło w życie 27 lipca 2026 r. i wprowadziło istotne modyfikacje oraz przesunięcia w kalendarzu wdrażania.

Po stronie polskiej odpowiada za to ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), podpisana przez prezydenta 24 lipca 2026 r. i ogłoszona w Dzienniku Ustaw 27 lipca 2026 r. Sejm uchwalił ją zdecydowaną większością głosów: 421 za, 3 przeciw, 18 wstrzymujących się (11 czerwca 2026 r.), a Senat zaproponował poprawki 25 czerwca 2026 r., z których większość Sejm przyjął.

Kluczowa informacja: AI Act to przepisy unijne (Rozporządzenie UE 2024/1689, zmienione Rozporządzeniem UE 2026/1744). Polska ustawa z lipca 2026 r. to dokument implementacyjny i organizacyjny - tworzy krajowy nadzór i system sankcji, ale obowiązki wynikające z unijnego AI Act obowiązują bezpośrednio, niezależnie od tempa prac krajowego ustawodawcy.

Szczegóły: obowiązki dostawców modeli GPAI (ogólnego przeznaczenia)

Modele ogólnego przeznaczenia (General-Purpose AI, GPAI), czyli duże modele językowe i podobne systemy bazowe, mają odrębny reżim obowiązków (rozdział V AI Act, art. 53-56), obowiązujący od 2 sierpnia 2025 r.

Podstawowe obowiązki każdego dostawcy GPAI:

Prowadzenie i aktualizowanie dokumentacji technicznej modelu.
Udostępnianie informacji dostawcom, którzy integrują model z własnym systemem AI (tzw. downstream providers).
Wdrożenie polityki zgodności z unijnym prawem autorskim.
Publikacja wystarczająco szczegółowego podsumowania treści wykorzystanych do trenowania modelu, według wzoru przygotowanego przez AI Office.

Modele z ryzykiem systemowym (art. 51 AI Act) - dodatkowa kategoria dla najbardziej zaawansowanych modeli. Model uznaje się za taki, jeśli łączna moc obliczeniowa użyta do treningu przekroczyła 10²⁵ operacji zmiennoprzecinkowych (FLOP), albo Komisja Europejska uzna go za równoważny pod względem możliwości. Dla takich modeli dochodzą: ewaluacja modelu wraz z testami adwersarialnymi, ocena i ograniczanie ryzyka systemowego, zapewnienie odpowiedniego poziomu cyberbezpieczeństwa oraz zgłaszanie poważnych incydentów do AI Office.

Dostawcy GPAI spoza UE muszą wyznaczyć swojego upoważnionego przedstawiciela na terenie Unii.

Kalendarz AI Act: pełny harmonogram 2024-2028

Zrozumienie kalendarza wdrażania AI Act jest kluczowe dla planowania zgodności. Unia rozpisała go w kilku etapach, ale Digital Omnibus on AI istotnie zmienił najbardziej wymagające terminy.

Co już obowiązuje

1 sierpnia 2024 r. - wejście w życie AI Act.
2 lutego 2025 r. - zakaz praktyk z art. 5 (m.in. manipulacja behawioralna, punktowanie społeczne) oraz obowiązek AI literacy z art. 4.
2 sierpnia 2025 r. - obowiązki dla dostawców modeli ogólnego przeznaczenia (GPAI), przepisy o zarządzaniu (governance), kary administracyjne oraz obowiązek wyznaczenia przez państwa członkowskie organów nadzoru rynku.
2 sierpnia 2026 r. - obowiązki przejrzystości z art. 50 AI Act oraz pełne uprawnienia kontrolne organów nadzoru rynku. Weszło w życie 9 dni temu.

Co dopiero przed nami

28 lipca 2026 r. - w Polsce weszły w życie przepisy organizacyjne ustawy (14 dni temu).
11 sierpnia 2026 r. - w Polsce wchodzi w życie zasadnicza część ustawy (dzisiaj). Rusza procedura powołania Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).
28 października 2026 r. - druga transza polskiej ustawy: art. 8-18 oraz rozdziały 3-5, 8 i 9, czyli przepisy o kontrolach, postępowaniach i karach administracyjnych. To moment, w którym egzekucja staje się realna.
2 grudnia 2026 r. - koniec okresów przejściowych dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. (dotyczy głównie znakowania treści syntetycznych) oraz dla dwóch nowych zakazów z art. 5 dodanych przez Digital Omnibus on AI.
2 grudnia 2027 r. - systemy wysokiego ryzyka z Załącznika III AI Act (m.in. rekrutacja, scoring kredytowy, infrastruktura krytyczna) - pierwotnie miały obowiązywać od 2 sierpnia 2026 r., ale Digital Omnibus on AI przesunął ten termin o ponad rok.
2 sierpnia 2028 r. - systemy wysokiego ryzyka z Załącznika I (AI jako element produktów regulowanych, np. wyroby medyczne, maszyny) - przesunięte z 2 sierpnia 2027 r.

Ryzyko: Rozporządzenie Digital Omnibus on AI (UE 2026/1744) przesunęło terminy dla systemów wysokiego ryzyka o ponad rok. Wiele publikacji z lipca 2026 r. wciąż podaje, że pełne obowiązki dla tych systemów zaczynają się 2 sierpnia 2026 r. - to informacja nieaktualna. Systemy wysokiego ryzyka obowiązują dopiero od 2 grudnia 2027 r., co daje dodatkowy czas na przygotowania, ale nie zwalnia z konieczności rozpoczęcia ich już teraz.

Polska ustawa o systemach sztucznej inteligencji: status i harmonogram wejścia w życie

Polska ustawa wchodzi w życie w trzech transzach, a nie jednorazowo. Oznacza to, że część obowiązków już obowiązuje, a egzekucja (kontrole i kary) przyjdzie później.

Transza 1: 28 lipca 2026 r. (przepisy organizacyjne)

Weszły w życie przepisy dotyczące powołania Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Organ nie działał jeszcze w żadnym składzie, ale ruszyła formalna procedura jego powołania.

Transza 2: 11 sierpnia 2026 r. (dziś) - zasadnicza część

Wchodzą w życie główne obowiązki wynikające z AI Act, odzwierciedlone w polskim porządku prawnym. Obejmuje to między innymi:

Przeniesienie obowiązków unijnego AI Act na grunt krajowy.
Rozpoczęcie procedury powołania pełnego składu KRiBSI (termin: do 11 listopada 2026 r.).
Ramy prawne dla obowiązków informacyjnych z art. 50 (znakowanie treści, informowanie o interakcji z botami).
Podstawy dla przyszłych piaskownic regulacyjnych i opinii indywidualnych.

Transza 3: 28 października 2026 r. - kontrole i sankcje

Drugi pakiet przepisów: art. 8-18 oraz rozdziały 3-5, 8 i 9. To przepisy o postępowaniach, kontrolach prowadzonych przez KRiBSI i administracyjnych karach pieniężnych. Dopiero od tego dnia naruszenia mogą się realnie zakończyć karą nałożoną przez polski organ.

Ryzyko: Częsty błąd w rozumowaniu: skoro kar jeszcze nie ma (do 28 października), można poczekać. To nieprawda. Obowiązki wynikające z unijnego AI Act obowiązują od dat unijnych, niezależnie od tempa prac polskiego ustawodawcy. Opóźnia się wyłącznie egzekucja, a nie same obowiązki.

KRiBSI: nowy organ nadzorczy, który dopiero rusza

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji to nowy, kolegialny organ centralny, odrębny od UODO i UOKiK. Będzie pełnić podwójną rolę: nadzór rynku (egzekwowanie AI Act) oraz wspieranie rozwoju krajowego ekosystemu AI.

Skład KRiBSI

Przewodniczący Komisji.
Dwóch zastępców przewodniczącego.
Czterech członków wskazywanych odpowiednio przez: Prezesa UOKiK, Komisję Nadzoru Finansowego (KNF), Krajową Radę Radiofonii i Telewizji (KRRiT) oraz Prezesa Urzędu Komunikacji Elektronicznej (UKE).

Kompetencje KRiBSI

Nadzór rynku i kontrole zgodności systemów AI z przepisami.
Rozpatrywanie skarg i zgłoszeń nieprawidłowości.
Wydawanie decyzji administracyjnych i nakładanie kar pieniężnych.
Prowadzenie piaskownic regulacyjnych dla przedsiębiorców testujących innowacyjne rozwiązania AI.
Wydawanie opinii indywidualnych (interpretacji przepisów na wniosek podmiotu).
Działalność edukacyjna i wspieranie rozwoju sektora AI w Polsce.

Kiedy KRiBSI faktycznie zacznie działać?

ok. 11 października 2026 r. - spodziewane powołanie przewodniczącego (termin ustawowy: do 2 miesięcy od wejścia ustawy w życie).
ok. 11 listopada 2026 r. - spodziewany pełny skład Komisji (termin ustawowy: do 3 miesięcy).

Szczegóły: nadzór nad AI Act na poziomie Unii Europejskiej

Poza organami krajowymi, takimi jak polska KRiBSI, AI Act ustanawia strukturę nadzoru na poziomie unijnym:

AI Office - biuro działające w strukturach Komisji Europejskiej, odpowiedzialne przede wszystkim za nadzór nad dostawcami modeli GPAI (zwłaszcza modeli z ryzykiem systemowym) oraz koordynację jednolitego stosowania AI Act w całej Unii.
Europejska Rada ds. Sztucznej Inteligencji - gremium złożone z przedstawicieli organów krajowych każdego państwa członkowskiego, doradzające Komisji i dbające o spójność stosowania przepisów między krajami.
Forum doradcze - reprezentanci biznesu, w tym MŚP i startupów, organizacji społecznych, środowiska naukowego, zapewniający wkład interesariuszy w praktykę stosowania przepisów.
Panel naukowy niezależnych ekspertów - wspiera AI Office w technicznej ocenie modeli GPAI, zwłaszcza pod kątem ryzyka systemowego.

Dla polskiej firmy oznacza to w praktyce dwutorowość nadzoru: sprawy związane z konkretnym wdrożeniem systemu AI w Polsce prowadzi KRiBSI, natomiast sprawy dotyczące samych dużych modeli GPAI (np. dostawców LLM) nadzoruje bezpośrednio AI Office w Brukseli.

Innymi słowy, na dziś KRiBSI faktycznie nie działa - to organ istniejący na razie tylko na papierze. Wśród prawników trwa spór, czy Komisja będzie mogła karać za naruszenia popełnione przed jej faktycznym powołaniem: część argumentuje, że obowiązki z AI Act są skuteczne od dat unijnych niezależnie od zwłoki instytucjonalnej, inni wskazują, że brak działającego organu wyklucza retroaktywne sankcje. Kwestia pozostaje nierozstrzygnięta.

Szczegóły: prawa osób dotkniętych decyzją systemu AI

AI Act przyznaje osobom fizycznym, wobec których zapadła decyzja oparta na systemie wysokiego ryzyka z Załącznika III, prawo do uzyskania wyjaśnienia (art. 86, obowiązuje od 2 sierpnia 2026 r.). Osoba, na którą decyzja podmiotu stosującego wywołała skutki prawne lub w podobny sposób istotnie na nią wpłynęła (ocenione przez nią jako niekorzystne dla zdrowia, bezpieczeństwa lub praw podstawowych), może zażądać od podmiotu stosującego jasnego i zrozumiałego wyjaśnienia roli systemu AI w procesie decyzyjnym oraz głównych elementów podjętej decyzji. Obowiązek spoczywa na deployerze, nie na dostawcy systemu.

Niezależnie od tego każda osoba ma prawo złożyć skargę do właściwego organu nadzoru rynku (w Polsce: KRiBSI) w sprawie niezgodności systemu AI z przepisami (art. 85). Naruszenia AI Act mogą być też zgłaszane w ramach mechanizmów ochrony sygnalistów, na zasadach analogicznych do unijnej dyrektywy o ochronie osób zgłaszających naruszenia prawa (2019/1937).

Kary administracyjne: trzy progi liczone od obrotu

AI Act wprowadza skalę kar dostosowaną do wagi naruszenia i wielkości firmy. Polska ustawa przejmuje ten system wprost.

Trzy kategorie kar

Naruszenie zakazanych praktyk (art. 5): do 35 mln EUR albo do 7% rocznego światowego obrotu za poprzedni rok obrotowy - stosuje się kwotę wyższą. Dotyczy m.in. manipulacji behawioralnej i punktowania społecznego (social scoring).
Pozostałe naruszenia obowiązków (w tym art. 50 - obowiązki przejrzystości): do 15 mln EUR albo do 3% rocznego światowego obrotu - stosuje się kwotę wyższą.
Przekazanie organowi informacji nieprawdziwych, niepełnych lub wprowadzających w błąd: do 7,5 mln EUR albo do 1% rocznego światowego obrotu - stosuje się kwotę wyższą.

Zasady dla MŚP

Dla mikro-, małych i średnich przedsiębiorstw stosuje się co do zasady niższą z dwóch wartości (kwotę albo procent obrotu), a nie wyższą jak w przypadku dużych firm. To nie zwalnia z odpowiedzialności, ale ogranicza skalę potencjalnej kary do proporcji rzeczywistych możliwości firmy.

Kogo dotyczy AI Act: cztery role, cztery pakiety obowiązków

AI Act definiuje kilka ról w łańcuchu dostaw systemu AI, a każda niesie inny zestaw obowiązków. Jedna firma może pełnić więcej niż jedną rolę jednocześnie.

1. Dostawca (provider)

Podmiot, który rozwija system AI albo zleca jego rozwój i wprowadza go do obrotu lub oddaje do użytku pod własną nazwą lub znakiem. Ma najszerszy pakiet obowiązków: system zarządzania ryzykiem, zarządzanie danymi treningowymi, dokumentacja techniczna, rejestrowanie zdarzeń (logi), instrukcja obsługi, zapewnienie nadzoru człowieka, ocena zgodności i oznakowanie CE, rejestracja w unijnej bazie systemów AI, monitorowanie po wprowadzeniu do obrotu oraz zgłaszanie poważnych incydentów.

2. Podmiot stosujący (deployer)

Firma, która wykorzystuje gotowy system AI w ramach swojej działalności zawodowej (nie osoba prywatna). Obowiązki: stosowanie systemu zgodnie z instrukcją, zapewnienie realnego nadzoru człowieka przez kompetentne osoby, monitorowanie działania systemu, przechowywanie logów, informowanie pracowników przed wdrożeniem systemu wysokiego ryzyka w miejscu pracy, a dla instytucji publicznych, banków i ubezpieczycieli - przeprowadzenie oceny skutków dla praw podstawowych (FRIA).

3. Importer i dystrybutor

Importer sprowadza system AI dostawcy spoza UE na rynek unijny i musi zweryfikować, że dostawca przeprowadził ocenę zgodności, sporządził dokumentację techniczną i oznakował system CE. Dystrybutor sprzedaje dalej system AI, nie integrując go z własnym produktem - musi sprawdzić oznakowanie i dokumentację, i nie może wprowadzać do obrotu systemu, o którego niezgodności wie.

Szczegóły: procedura oceny zgodności i oznakowanie CE

Dla systemów z pkt 2-8 Załącznika III (m.in. rekrutacja, scoring kredytowy, edukacja, infrastruktura krytyczna) dostawca przeprowadza ocenę zgodności samodzielnie, w ramach kontroli wewnętrznej opartej na własnej dokumentacji technicznej (procedura z Załącznika VI), bez udziału zewnętrznej jednostki. Wyjątkiem są systemy biometryczne (pkt 1 Załącznika III) - tu dostawca może wybrać między kontrolą wewnętrzną (Załącznik VI) a oceną z udziałem jednostki notyfikowanej, czyli podmiotu zarejestrowanego przez państwo członkowskie jako uprawniony do certyfikacji na mocy AI Act (procedura z Załącznika VII, wykaz jednostek w unijnej bazie NANDO).

Po pozytywnej ocenie zgodności dostawca sporządza unijną deklarację zgodności (art. 47) i umieszcza na systemie oznakowanie CE (art. 48). Samodzielne systemy wysokiego ryzyka z Załącznika III, zwłaszcza używane przez podmioty publiczne, podlegają dodatkowo rejestracji w unijnej bazie danych systemów AI (art. 71) przed wprowadzeniem do obrotu lub oddaniem do użytku.

4. Pułapka art. 25: można "stać się" dostawcą bez takiego zamiaru

Artykuł 25 AI Act przewiduje, że dystrybutor, importer, podmiot stosujący lub inna osoba trzecia staje się dostawcą - ze wszystkimi jego obowiązkami - jeśli m.in. umieści własną nazwę lub znak na systemie wysokiego ryzyka, dokona jego istotnej modyfikacji, albo zmieni jego przeznaczenie w sposób, który czyni z niego system wysokiego ryzyka. To jedna z najczęściej niedocenianych pułapek dla firm, np. przy fine-tuningu cudzego modelu albo white-labelingu gotowego rozwiązania.

Checklista: Oceń, jaką rolę pełni Twoja firma w ekosystemie AI:

Czy rozwijacie własne systemy AI? (dostawca)
Czy używacie gotowych systemów AI w działalności zawodowej? (podmiot stosujący)
Czy sprowadzacie systemy AI spoza UE? (importer)
Czy odsprzedajecie systemy AI innym firmom? (dystrybutor)
Czy modyfikujecie gotowe modele albo wprowadzacie je pod własną marką (fine-tuning, rebranding)? (możliwe przejęcie roli dostawcy na mocy art. 25)

Dla każdej zidentyfikowanej roli przygotuj listę obowiązków. Niespełnianie obowiązków dostawcy, mimo że faktycznie tę rolę pełnisz, może stać się podstawą kary.

Systemy wysokiego ryzyka: osiem obszarów, które dotyczą biznesu

AI Act wskazuje osiem kategorii systemów AI uznanych za stwarzające wysokie ryzyko dla zdrowia, bezpieczeństwa lub praw podstawowych. Dla nich obowiązują najsurowsze przepisy - od 2 grudnia 2027 r.

Załącznik III AI Act - osiem obszarów

Biometria: zdalna identyfikacja biometryczna, kategoryzacja biometryczna według cech wrażliwych, rozpoznawanie emocji.
Infrastruktura krytyczna: elementy bezpieczeństwa w zarządzaniu ruchem drogowym, wodą, gazem, ciepłem i energią elektryczną.
Edukacja i szkolenie zawodowe: decyzje o przyjęciu do placówek, ocena efektów uczenia się, monitorowanie egzaminów (proctoring).
Zatrudnienie i zarządzanie pracownikami: rekrutacja i selekcja (screening CV, filtrowanie aplikacji), decyzje o awansie lub rozwiązaniu stosunku pracy, monitorowanie i ocena wydajności pracowników. To obszar, który dotyczy zdecydowanej większości firm.
Dostęp do podstawowych usług: ocena zdolności kredytowej i scoring kredytowy, ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych, kwalifikowanie do świadczeń publicznych.
Ściganie przestępstw: ocena ryzyka popełnienia przestępstwa, ocena wiarygodności dowodów, profilowanie.
Migracja, azyl i kontrola graniczna: ocena ryzyka, rozpatrywanie wniosków, identyfikacja osób.
Wymiar sprawiedliwości i procesy demokratyczne: wsparcie organu sądowego w ustalaniu faktów i stosowaniu prawa, wpływanie na wynik wyborów lub referendum.

Szczegóły: Załącznik I - systemy AI jako element produktów regulowanych

Druga kategoria systemów wysokiego ryzyka (Załącznik I AI Act) obejmuje systemy AI wbudowane jako element bezpieczeństwa w produktach już objętych unijnym prawodawstwem harmonizacyjnym, m.in.: maszyny, zabawki, rekreacyjne jednostki pływające, dźwigi, urządzenia i systemy ochronne przeznaczone do użytku w atmosferze wybuchowej, urządzenia radiowe, urządzenia ciśnieniowe, koleje linowe, urządzenia spalające paliwa gazowe, wyroby medyczne, wyroby medyczne do diagnostyki in vitro, sprzęt lotnictwa cywilnego, pojazdy dwu- i trzykołowe, pojazdy rolnicze i leśne, wyposażenie morskie, system kolei, pojazdy silnikowe podlegające homologacji typu.

Dla tych systemów obowiązki wynikają głównie z istniejących procedur oceny zgodności właściwych dla danego typu produktu (np. dyrektywa maszynowa, rozporządzenie o wyrobach medycznych), do których AI Act dokłada dodatkowe wymogi. Termin stosowania: 2 sierpnia 2028 r. (przesunięty przez Digital Omnibus on AI z pierwotnej daty 2 sierpnia 2027 r.).

Nie każdy system wpisujący się w te kategorie automatycznie liczy się jako wysokiego ryzyka - jeśli wykonuje wąskie zadanie proceduralne albo nie zastępuje oceny człowieka, może skorzystać z wyjątku. Wymaga to jednak udokumentowanej oceny przed wprowadzeniem systemu do użytku, a system profilujący osoby fizyczne zawsze uznaje się za system wysokiego ryzyka bez wyjątku.

Ryzyko: Przesunięcie terminów na grudzień 2027 i sierpień 2028 nie oznacza, że można nic nie robić do tego czasu. Wdrożenie systemu zarządzania ryzykiem, dokumentacji technicznej, oceny skutków dla praw podstawowych i procedur nadzoru człowieka to praca na wiele miesięcy. Firmy korzystające dziś z narzędzi do rekrutacji czy scoringu kredytowego powinny zacząć audyt już teraz, zamiast czekać do ostatniego kwartału 2027 r.

Obowiązki przejrzystości z art. 50: najpilniejsze, bo już obowiązują

Artykuł 50 AI Act to przepisy, które faktycznie weszły w życie 2 sierpnia 2026 r. i na których warto się dziś skupić w pierwszej kolejności. Dotyczą obowiązków informacyjnych wobec użytkowników i odbiorców treści.

1. Informowanie o interakcji z systemem AI

Jeśli firma udostępnia bota rozmawiającego z ludźmi (chatbota, asystenta głosowego, automatyczną obsługę klienta), musi wyraźnie poinformować użytkownika, że rozmawia z systemem AI, chyba że jest to oczywiste dla przeciętnego, uważnego odbiorcy. W praktyce oznacza to np. komunikat na starcie rozmowy albo stałą etykietę przy oknie czatu. Brak takiej informacji to naruszenie art. 50 i ryzyko kary do 15 mln EUR albo 3% obrotu.

2. Znakowanie treści syntetycznych

Treść tekstowa, graficzna, dźwiękowa lub wideo wygenerowana lub istotnie zmodyfikowana przez AI musi być oznaczona w formacie nadającym się do odczytu maszynowego i wykrywalna jako sztucznie wygenerowana - np. przez watermark, metadane lub identyfikator kryptograficzny. Dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. obowiązuje okres przejściowy do 2 grudnia 2026 r.

3. Rozpoznawanie emocji i kategoryzacja biometryczna

Jeśli system analizuje emocje użytkownika (na podstawie mimiki, tonu głosu) lub wykonuje kategoryzację biometryczną, podmiot stosujący musi poinformować o tym osoby, których to dotyczy - niezależnie od odrębnych wymogów RODO.

4. Ujawnianie deepfake'ów

Podmiot stosujący, który publikuje treść sztucznie wygenerowaną lub zmanipulowaną w sposób przypominający realną osobę, obiekt lub wydarzenie, musi to wyraźnie ujawnić. Dla treści oczywiście artystycznych, satyrycznych lub fikcyjnych wystarczy ujawnienie w sposób niezakłócający odbioru dzieła.

5. AI w tekstach publicystycznych

Tekst publikowany w celu informowania opinii publicznej o sprawach leżących w interesie publicznym musi zawierać informację, że został wygenerowany przez AI - chyba że przeszedł kontrolę redakcyjną człowieka, który bierze za niego odpowiedzialność redakcyjną. W praktyce: publikacja treści wygenerowanej przez model językowy bez istotnej ingerencji redakcyjnej wymaga ujawnienia tego faktu czytelnikom.

Checklista art. 50 - co zrobić do 28 października 2026 r.:

Przejrzyj wszystkie boty, asystentów i czaty na stronie - czy są wyraźnie oznaczone jako AI?
Sprawdź treści opublikowane po 2 sierpnia 2026 r. - czy zawartość generowana przez AI jest oznaczona watermarkiem lub metadanymi?
Opracuj wewnętrzne wytyczne: jak, gdzie i w jakim formacie oznaczać treści AI.
Jeśli publikujesz materiały z AI voice, obrazy generowane lub filtry - dodaj oznaczenie zgodne z art. 50.
Przeszkol zespół redakcji, marketingu i komunikacji, kiedy dokładnie trzeba ujawniać użycie AI.
Sprawdź, czy Twoje narzędzia publikacyjne (CMS) pozwalają dodawać metadane o pochodzeniu treści - jeśli nie, rozważ dodatkowe narzędzie lub wtyczkę.

Co firma powinna zrobić teraz

Nie warto czekać do 28 października 2026 r., kiedy uruchamia się egzekucja kar. Przygotowania można i należy zacząć dzisiaj.

Krok 1: Audyt wewnętrzny

Zidentyfikuj wszystkie systemy AI w firmie - zarówno rozwijane wewnętrznie, jak i kupowane jako SaaS: narzędzia do automatyzacji, systemy rekomendacji, chatboty, narzędzia HR, wszystko oparte na uczeniu maszynowym.
Sklasyfikuj ryzyko każdego systemu - wysokiego, ograniczonego czy minimalnego.
Sporządź listę dostawców - kto dostarcza każdy system, czy udostępnia dokumentację i informacje o bezpieczeństwie.
Sprawdź, czy używasz systemów z obszarów wymienionych w Załączniku III (zatrudnienie, kredyt, infrastruktura krytyczna) - jeśli tak, zaplanuj szersze przygotowania do grudnia 2027 r.

Krok 2: Zgodność z art. 50

Przejrzyj boty AI - czy są oznaczone jako systemy sztucznej inteligencji?
Przejrzyj opublikowane treści - czy zawartość generowana przez AI jest oznaczona? Przygotuj plan oznaczenia starszych materiałów.
Opracuj wewnętrzne wytyczne dla zespołu dotyczące oznaczania treści AI.

Krok 3: Przygotowanie do 28 października

Przeszkol zespół - każdy, kto pracuje z AI (marketing, HR, dział techniczny), powinien znać podstawowe obowiązki i skalę kar.
Przejrzyj umowy z dostawcami SaaS - czy gwarantują zgodność z AI Act? Jeśli nie, zgłoś potrzebę zmian.
Zacznij zbierać dokumentację systemów AI: architekturę, źródła danych, wyniki testów, oceny bezpieczeństwa.

Krok 4: Przygotowanie do grudnia 2027 r. (jeśli masz systemy wysokiego ryzyka)

Przeprowadź ocenę skutków dla praw podstawowych (FRIA) dla każdego systemu wysokiego ryzyka.
Zapewnij realny nadzór człowieka nad kluczowymi decyzjami podejmowanymi przez AI, zwłaszcza w HR i finansach.
Zaplanuj testowanie bezpieczeństwa, precyzji i obciążenia systemów wysokiego ryzyka.
Sprawdź, czy dla danego systemu wymagana będzie notyfikacja KRiBSI przed wdrożeniem.

Checklista działań na dziś (11 sierpnia 2026 r.):

Powołaj zespół ds. zgodności z AI Act (osoby z działu prawnego, technicznego i HR).
Utwórz rejestr wszystkich systemów AI używanych w firmie.
Przejrzyj wszystkie boty i czaty - czy są oznaczone jako AI?
Przejrzyj treści opublikowane od 2 sierpnia 2026 r. - czy zawartość AI jest oznaczona?
Zaplanuj szkolenie zespołu na wrzesień-październik 2026 r.
Jeśli firma używa systemu do rekrutacji lub scoringu kredytowego, oznacz go jako wysokiego ryzyka i zaplanuj pogłębioną analizę do grudnia 2027 r.
Zarezerwuj budżet na konsultację prawną specjalizującą się w AI Act.

Zakończenie

AI Act obowiązuje na terenie Unii już od ponad roku. Polska przyjęła krajowe przepisy z opóźnieniem, ale to nie zmienia faktu, że obowiązki unijne obowiązują już teraz. KRiBSI zacznie realnie funkcjonować dopiero pod koniec 2026 r., a przepisy o karach wejdą w życie 28 października, jednak to nie powód, by odkładać przygotowania.

Nie oznacza to konieczności przeprojektowania wszystkiego w ciągu tygodnia. Oznacza to, że audyt wewnętrzny, oznaczenie treści AI i szkolenie zespołu powinny być zakończone do końca października 2026 r. Dla systemów wysokiego ryzyka czasu jest więcej - do grudnia 2027 r. - ale plan działania warto mieć gotowy już teraz.

Firmy, które podejdą do wdrożenia AI Act odpowiedzialnie, unikną kar i kosztów wymuszonego, gwałtownego dostosowania systemów. Te, które będą czekać do ostatniej chwili, zapłacą więcej - zarówno w pieniądzu, jak i w czasie.

Artykuł oparty na Rozporządzeniu (UE) 2024/1689 (AI Act), Rozporządzeniu (UE) 2026/1744 (Digital Omnibus on AI) oraz ustawie z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Treść ma charakter informacyjny i nie stanowi porady prawnej. W indywidualnych sprawach warto skonsultować się z doradcą prawnym specjalizującym się w regulacjach AI.