AI Act w Polsce od 2 sierpnia 2026: co zaczyna obowiązywać

Od dzisiaj, 2 sierpnia 2026 roku, unijne rozporządzenie o sztucznej inteligencji (AI Act) jest stosowane w całej Unii Europejskiej, także w Polsce. Tyle że wchodzi w życie coś innego, niż zapowiadano jeszcze miesiąc temu. Pięć dni przed tą datą Unia przesunęła najcięższe obowiązki na 2027 i 2028 rok. To, co zostaje na dziś, dotyczy jednak znacznie szerszego grona firm niż systemy wysokiego ryzyka.

Poniżej rozkładamy to na części: co obowiązuje od dzisiaj, co zostało odroczone, jak wygląda polska ustawa i co konkretnie sprawdzić w swojej organizacji w tym tygodniu. W maju pisaliśmy, czego się spodziewać przed tą datą - to, co poniżej, jest aktualnym stanem prawnym na dziś.

„Niniejsze rozporządzenie stosuje się od dnia 2 sierpnia 2026 r."

Art. 113 rozporządzenia (UE) 2024/1689, AI Act Service Desk. Ten sam artykuł w punkcie a) zastrzega, że rozdziały I i II stosuje się od 2 lutego 2025 r.

Najkrócej: co zmienia 2 sierpnia 2026

Od dzisiaj obowiązują obowiązki przejrzystości z art. 50 AI Act. Chodzi o informowanie ludzi, że rozmawiają z systemem AI, oznaczanie treści syntetycznych, ujawnianie deepfake'ów oraz informowanie o rozpoznawaniu emocji i kategoryzacji biometrycznej.

Obowiązki dla samodzielnych systemów wysokiego ryzyka z załącznika III (rekrutacja, scoring kredytowy, edukacja, dostęp do usług podstawowych) przesunięto na 2 grudnia 2027 roku. Systemy AI wbudowane w produkty z załącznika I mają czas do 2 sierpnia 2028 roku.

Polska ustawa o systemach sztucznej inteligencji została opublikowana w Dzienniku Ustaw 27 lipca 2026 roku i zasadniczo wchodzi w życie 11 sierpnia. Nowy organ nadzoru, KRiBSI, ma rozpocząć działalność w listopadzie 2026 roku. Na obowiązki firm nie ma to wpływu, bo AI Act stosuje się bezpośrednio, niezależnie od stanu prawa krajowego.

Skąd w ogóle ta data

AI Act, czyli rozporządzenie (UE) 2024/1689, weszło w życie 1 sierpnia 2024 roku. Jego stosowanie rozłożono na etapy. Od 2 lutego 2025 roku obowiązują zakazane praktyki z art. 5 i obowiązek kompetencji w zakresie AI z art. 4. Od 2 sierpnia 2025 roku stosuje się przepisy o modelach ogólnego przeznaczenia (GPAI), ramy zarządzania i przepisy o karach. 2 sierpnia 2026 to data ogólnego stosowania rozporządzenia, czyli moment, w którym domyślnie zaczyna działać wszystko, czego nie wyłączono osobnym terminem.

I właśnie ta lista wyłączeń urosła pod koniec lipca.

Digital Omnibus, czyli zwrot akcji z 27 lipca

27 lipca 2026 roku weszło w życie rozporządzenie (UE) 2026/1744, znane jako Digital Omnibus on AI. Przyjęto je 8 lipca, opublikowano w Dzienniku Urzędowym UE 24 lipca. Zmienia art. 113 AI Act i przesuwa terminy stosowania obowiązków dla systemów wysokiego ryzyka.

Nowy harmonogram:

• 2 grudnia 2027 roku: obowiązki dla samodzielnych systemów wysokiego ryzyka kwalifikowanych na podstawie art. 6 ust. 2 w związku z załącznikiem III. To zatrudnienie, edukacja, infrastruktura krytyczna, dostęp do usług podstawowych, migracja, ściganie przestępstw, wymiar sprawiedliwości.
• 2 sierpnia 2028 roku: obowiązki dla AI stanowiącej element produktów objętych unijnym prawodawstwem harmonizacyjnym z załącznika I, m.in. wyroby medyczne, zabawki, urządzenia lotnicze.
• 2 sierpnia 2027 roku: termin utworzenia przez państwa członkowskie co najmniej jednej piaskownicy regulacyjnej AI.

Powód przesunięcia jest prozaiczny. Nie zdążono z normami zharmonizowanymi, bez których ocena zgodności systemu wysokiego ryzyka jest w praktyce zgadywanką. Trudno egzekwować zgodność ze standardem, który jeszcze nie powstał.

Przy okazji nowelizacja dorzuciła nowe zakazane praktyki do art. 5: systemy generujące lub manipulujące intymnymi wizerunkami osób bez ich zgody oraz materiały przedstawiające seksualne wykorzystywanie małoletnich. Dostawcy takich systemów mają czas na wdrożenie zabezpieczeń technicznych do 2 grudnia 2026 roku.

Co realnie wchodzi dzisiaj: art. 50

Digital Omnibus nie ruszył obowiązków przejrzystości. Od 2 sierpnia 2026 roku stosuje się art. 50 AI Act i to jest przepis, który dotyka najwięcej firm, bo nie wymaga posiadania żadnego zaawansowanego systemu. Wystarczy chatbot na stronie albo grafika z generatora.

Informowanie o kontakcie z AI

Dostawcy systemów przeznaczonych do bezpośredniej interakcji z ludźmi muszą zapewnić, żeby osoba wiedziała, że komunikuje się z systemem AI. Dotyczy to chatbotów obsługi klienta, voicebotów i asystentów głosowych. Obowiązek odpada, gdy jest to oczywiste dla osoby dostatecznie poinformowanej, uważnej i ostrożnej, przy uwzględnieniu kontekstu. W praktyce: jeśli masz na stronie okienko czatu obsługiwane przez model, użytkownik ma się o tym dowiedzieć na starcie rozmowy, a nie po piętnastu minutach.

Oznaczanie treści syntetycznych

Dostawcy systemów generujących obraz, dźwięk, wideo lub tekst muszą oznaczać wyniki działania systemu w sposób umożliwiający wykrycie, że powstały lub zostały zmienione przez AI. Oznaczenie ma być odczytywalne maszynowo, czyli metadane albo znak wodny, a nie sam dopisek pod obrazkiem.

To obowiązek dostawcy narzędzia, nie każdego użytkownika końcowego. Nie ma tu powszechnego nakazu opisywania każdego maila napisanego z pomocą modelu. Obowiązek nie ma też zastosowania, gdy AI pełni wyłącznie funkcję pomocniczą przy edycji i nie zmienia istotnie materiału, na przykład przy zwykłej korekcie czy poprawie jakości.

Jest tu jeden bufor. Wymóg maszynowo odczytywalnego oznaczania z art. 50 ust. 2 stosuje się od 2 grudnia 2026 roku do systemów wprowadzonych do obrotu przed 2 sierpnia 2026 roku. Systemy wchodzące na rynek od dzisiaj muszą spełniać go od razu. Pozostałe obowiązki z art. 50 nie mają okresu przejściowego.

Deepfake i realistyczne treści syntetyczne

Tu obowiązek spada na podmiot stosujący system, czyli na firmę, która publikuje materiał. Jeśli wykorzystujesz AI do wygenerowania obrazu, audio lub wideo stanowiącego deepfake, musisz ujawnić, że treść została sztucznie wygenerowana lub zmanipulowana. Definicja z art. 3 pkt 60 jest szeroka: to treści przypominające istniejące osoby, przedmioty, miejsca lub zdarzenia, które odbiorca mógłby uznać za autentyczne.

Przy utworach ewidentnie artystycznych, twórczych, satyrycznych lub fikcyjnych obowiązek ogranicza się do ujawnienia istnienia takich treści w sposób, który nie psuje odbioru utworu.

Osobna zasada dotyczy tekstów generowanych przez AI i publikowanych po to, żeby informować społeczeństwo o sprawach w interesie publicznym. Trzeba ujawnić, że tekst powstał sztucznie, chyba że przeszedł weryfikację człowieka lub kontrolę redakcyjną, a ktoś ponosi za publikację odpowiedzialność redakcyjną.

Rozpoznawanie emocji i kategoryzacja biometryczna

Podmioty stosujące systemy rozpoznawania emocji lub kategoryzacji biometrycznej muszą poinformować osoby, których to dotyczy, i zadbać o zgodność z RODO. To scenariusz rzadszy, ale realny w call center, rekrutacji i kontroli dostępu.

Dostawca czy podmiot stosujący: to nie to samo

Najczęstszy błąd w rozmowach o AI Act polega na założeniu, że przepisy dotyczą "firm technologicznych". AI Act rozdziela role. Dostawca odpowiada za projekt systemu i mechanizmy oznaczania. Podmiot stosujący, czyli zwykła firma korzystająca z gotowego narzędzia, odpowiada za ujawnienie deepfake'ów, poinformowanie o rozpoznawaniu emocji i za to, jak faktycznie używa systemu.

Zapewnienie dostawcy, że "narzędzie jest zgodne z AI Act", nie zdejmuje z Ciebie Twoich obowiązków. Dotyczy to agencji marketingowych publikujących realistyczne wizualizacje, sklepów z chatbotem, firm nagrywających lektora AI do materiałów wideo i kancelarii publikujących treści przygotowane z modelem.

AI literacy po zmianach: obowiązek został, poprzeczka spadła

Digital Omnibus zmienił brzmienie art. 4. Wcześniej dostawcy i podmioty stosujące miały zapewnić, w miarę możliwości, odpowiedni poziom kompetencji w zakresie AI u personelu. Teraz mają podejmować środki wspierające rozwój tych kompetencji, a przepis wprost zastrzega, że nie oznacza to gwarantowania konkretnego poziomu wiedzy u konkretnej osoby.

Z obowiązku rezultatu zrobił się obowiązek starannego działania. Obowiązek nie zniknął i nie został odroczony. Zmieniło się to, jak będzie oceniany. W praktyce brak jakichkolwiek działań szkoleniowych rzadko będzie samodzielną podstawą kary, ale bardzo dobrze wygląda w aktach jako okoliczność obciążająca, gdy organ bada coś innego. Udokumentowane szkolenia z AI literacy i wewnętrzny rejestr uczestnictwa to najtańsza polisa, jaką można tu wykupić.

Kary

Naruszenie obowiązków przejrzystości z art. 50 podlega administracyjnej karze pieniężnej na podstawie art. 99 ust. 4 AI Act: do 15 mln euro albo do 3 procent całkowitego światowego rocznego obrotu z poprzedniego roku obrotowego, w zależności od tego, która wartość jest wyższa.

Za zakazane praktyki z art. 5 pułap wynosi 35 mln euro albo 7 procent obrotu. Za przekazywanie organom nadzoru nieprawdziwych lub wprowadzających w błąd informacji: 7,5 mln euro albo 1,5 procent. Pełne zestawienie progów i tego, od czego zależy wysokość kary, rozpisaliśmy w artykule Kary i sankcje AI Act.

To górne granice ustawowe, a nie cenniki. Wysokość kary zależy od charakteru, wagi i czasu trwania naruszenia oraz od podjętych działań naprawczych. Dla większości polskich firm realnym kosztem nie będzie maksymalna kara, tylko sytuacja, w której duży klient albo kontrahent zażąda dowodów staranności w przetargu, a firma nie ma czego pokazać.

Od dzisiaj Komisja Europejska może też nakładać kary na dostawców modeli ogólnego przeznaczenia na podstawie art. 101, który wcześniej był wyłączony ze stosowania.

Polska perspektywa: ustawa i KRiBSI

Krajowy proces wdrożenia domknął się w ostatnich dniach lipca. Sejm uchwalił ustawę o systemach sztucznej inteligencji 3 lipca 2026 roku, przyjmując 24 z 25 poprawek Senatu. Prezydent podpisał ją 24 lipca, publikacja w Dzienniku Ustaw nastąpiła 27 lipca. Pierwsze przepisy, dotyczące utworzenia w Ministerstwie Cyfryzacji komórki obsługującej nowy organ, weszły w życie 28 lipca. Reszta ustawy zaczyna obowiązywać 11 sierpnia 2026 roku.

Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako krajowy organ nadzoru rynku w rozumieniu AI Act. Komisja będzie prowadzić kontrole i postępowania, rozpatrywać skargi obywateli i przedsiębiorców, nakładać administracyjne kary pieniężne, wydawać opinie indywidualne oraz tworzyć piaskownice regulacyjne. Pracami kieruje przewodniczący powoływany przez Sejm za zgodą Senatu na pięcioletnią kadencję, a w składzie znajdą się także zastępcy i przedstawiciele wskazani m.in. przez Prezesa UOKiK i Krajową Radę Radiofonii i Telewizji.

Harmonogram organizacyjny: przewodniczący ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, czyli w październiku 2026 roku, a cała Komisja w ciągu trzech miesięcy, czyli w listopadzie.

Łatwo z tego wyciągnąć wniosek, że skoro organu jeszcze nie ma, to obowiązków też nie ma. To błąd. AI Act jest rozporządzeniem unijnym i stosuje się bezpośrednio. Obowiązki z art. 50 powstają dzisiaj, niezależnie od tego, kiedy KRiBSI się ukonstytuuje. Ustawa krajowa reguluje, kto i jak te obowiązki egzekwuje, a nie czy w ogóle istnieją. Naruszenia sprzed listopada nie znikają w momencie powołania Komisji.

Najważniejsze daty w jednym miejscu

• 2 lutego 2025: zakazane praktyki (art. 5) i obowiązek kompetencji AI (art. 4)
• 2 sierpnia 2025: modele ogólnego przeznaczenia (GPAI), ramy zarządzania, przepisy o karach
• 27 lipca 2026: wejście w życie Digital Omnibus on AI, rozporządzenie (UE) 2026/1744
• 28 lipca 2026: pierwsze przepisy polskiej ustawy o systemach AI
• 2 sierpnia 2026: obowiązki przejrzystości (art. 50), kary Komisji dla dostawców GPAI (art. 101)
• 11 sierpnia 2026: wejście w życie zasadniczej części polskiej ustawy o systemach AI
• listopad 2026: zapowiadane rozpoczęcie działalności KRiBSI
• 2 grudnia 2026: koniec okresu przejściowego dla maszynowego oznaczania treści
• 2 sierpnia 2027: termin utworzenia piaskownic regulacyjnych
• 2 grudnia 2027: obowiązki dla systemów wysokiego ryzyka z art. 6 ust. 2 (załącznik III)
• 2 sierpnia 2028: obowiązki dla systemów wysokiego ryzyka z art. 6 ust. 1 (załącznik I)

Co zrobić w tym tygodniu

Nie potrzebujesz na to projektu wdrożeniowego. Potrzebujesz przeglądu.

1. Spisz narzędzia AI używane w firmie. Kto, gdzie, do czego, na jakich danych. Bez rejestru narzędzi AI każda dalsza analiza jest zgadywaniem.
2. Sprawdź chatbota i voicebota. Czy komunikat o tym, że po drugiej stronie jest AI, pojawia się na starcie rozmowy i jest czytelny.
3. Przejrzyj materiały marketingowe z ostatnich miesięcy. Realistyczne grafiki, wideo, lektor AI, wizerunki osób. Jeśli któraś treść może zostać wzięta za autentyczną, potrzebuje ujawnienia.
4. Ustal zasadę dla treści publikowanych na stronie i w mediach społecznościowych. Kto weryfikuje teksty przygotowane z modelem i kto ponosi za nie odpowiedzialność redakcyjną.
5. Zajrzyj do umów z dostawcami narzędzi AI. Kto odpowiada za oznaczanie odczytywalne maszynowo i kto poniesie koszt, gdy okaże się, że narzędzie tego nie robi.
6. Sklasyfikuj systemy, które w grudniu 2027 roku trafią do kategorii wysokiego ryzyka. Rekrutacja, ocena pracowników, scoring, kwalifikowanie do usług. Termin jest odległy, ale klasyfikacja i tak zajmuje kilka tygodni.
7. Zapisz wewnętrzne zasady korzystania z generatywnej AI i uruchom rejestr szkoleń. To materiał dowodowy pod art. 4.
8. Ustal, kto w firmie przyjmuje zgłoszenia o nieprawidłowym działaniu systemu AI i co się z nimi dalej dzieje.

Przesunięcie terminów dla wysokiego ryzyka daje szesnaście miesięcy zapasu. Historia wdrożeń RODO sugeruje, jak zwykle wykorzystuje się taki zapas. Kto potraktuje ten czas jako okno na uporządkowanie procesów, a nie jako powód do odłożenia tematu, w grudniu 2027 roku będzie po prostu gotowy.

Najczęstsze pytania

Czy AI Act obowiązuje w Polsce od 2 sierpnia 2026?

Tak, ale nie w całości. Od tej daty stosuje się obowiązki przejrzystości z art. 50. Zakazane praktyki i obowiązek kompetencji AI obowiązują od lutego 2025, przepisy o modelach ogólnego przeznaczenia od sierpnia 2025. Obowiązki dla systemów wysokiego ryzyka przesunięto na grudzień 2027 i sierpień 2028.

Czy muszę oznaczać każdy tekst napisany z pomocą ChatGPT?

Nie. Obowiązek maszynowego oznaczania spoczywa na dostawcy narzędzia generatywnego. Firma ma obowiązek ujawnienia przy deepfake’ach oraz przy tekstach publikowanych po to, żeby informować społeczeństwo o sprawach w interesie publicznym, chyba że tekst przeszedł weryfikację człowieka i ktoś ponosi za niego odpowiedzialność redakcyjną.

Czy chatbot na mojej stronie musi informować, że jest sztuczną inteligencją?

Tak, chyba że jest to oczywiste w danym kontekście dla przeciętnego uważnego użytkownika. W praktyce bezpieczniej założyć, że nie jest oczywiste, i dodać jednoznaczny komunikat na początku rozmowy.

Czy osoba prywatna musi oznaczać treści AI na swoim profilu?

Obowiązki z art. 50 dotyczą działalności zawodowej i gospodarczej. Osoba prywatna publikująca treści na własnym koncie, poza kontekstem zawodowym, nie podlega tym wymogom.

Mam narzędzie AI do rekrutacji. Co muszę zrobić do 2 sierpnia 2026?

Z tytułu przepisów o wysokim ryzyku nic, bo ten termin przesunięto na 2 grudnia 2027 roku. Dziś dotyczą Cię obowiązki przejrzystości, jeśli narzędzie kontaktuje się bezpośrednio z kandydatem lub analizuje emocje. Klasyfikację i dokumentację warto zacząć teraz, bo to najdłuższy element przygotowań.

Jakie kary grożą za naruszenie obowiązków przejrzystości?

Do 15 mln euro albo do 3 procent światowego rocznego obrotu, w zależności od tego, która wartość jest wyższa. Za zakazane praktyki pułap to 35 mln euro albo 7 procent obrotu.

Czym jest KRiBSI i od kiedy działa?

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji to polski organ nadzoru rynku AI, powołany ustawą o systemach sztucznej inteligencji. Przewodniczący ma zostać powołany w październiku 2026 roku, cała Komisja w listopadzie. Do tego czasu obowiązki wynikające bezpośrednio z AI Act i tak obowiązują.

Czy AI literacy nadal jest obowiązkowe?

Tak. Digital Omnibus złagodził brzmienie art. 4 z zapewnienia odpowiedniego poziomu kompetencji na wspieranie ich rozwoju, ale obowiązku nie usunął ani nie odroczył. Udokumentowane szkolenia pozostają najprostszym sposobem wykazania, że organizacja go realizuje.

Czy AI Act dotyczy małych firm i jednoosobowej działalności?

Tak. Rozporządzenie nie ma progu wielkości. Obowiązki zależą od tego, jakie systemy AI wykorzystujesz i w jakiej roli, a nie od liczby pracowników.

Jak pomaga AI TrustCERT

Lista z tego artykułu wygląda prosto na papierze. Problem zaczyna się przy trzecim punkcie, kiedy okazuje się, że nikt w firmie nie wie, ilu narzędzi AI faktycznie używają zespoły, a szkolenia z zeszłego roku nie zostały nigdzie odnotowane.

Program szkoleń AI TrustCERT obejmuje szkolenia z AI literacy, zarządzania ryzykiem AI i AI governance, każdy z egzaminem i certyfikatem ukończenia. Platforma do dokumentowania zgodności - rejestr wykorzystywanych narzędzi AI, polityki do wdrożenia u siebie i ścieżka zgłaszania incydentów - jest w cenie licencji szkoleniowej, do uruchomienia w 1-7 dni.

Jeśli chcesz sprawdzić, na czym stoi Twoja organizacja, zacznij od bezpłatnego AI Ready Check - 3 minuty, bez zobowiązań.

Podsumowanie

2 sierpnia 2026 roku nie jest dniem, w którym AI Act "w pełni wchodzi w życie" - taki opis był aktualny miesiąc temu. To dzień, w którym w życie wchodzą obowiązki przejrzystości, dotykające znacznie szerszej grupy firm niż systemy wysokiego ryzyka, których terminy przesunięto na 2027 i 2028 rok.

Kto potrafi dziś odpowiedzieć, gdzie w organizacji używa się AI, czy chatbot się przedstawia i kto odpowiada za treści przygotowane z modelem, jest już dalej niż większość firm czekających na "ostateczne wytyczne".

✦ Ten artykuł powstał z wykorzystaniem sztucznej inteligencji, a przed publikacją został zweryfikowany przez autora, który ponosi za niego odpowiedzialność redakcyjną.