AI Act (rozporządzenie UE 2024/1689) to pierwsze kompleksowe prawo o sztucznej inteligencji. W lipcu 2026 r. zmieniło je rozporządzenie 2026/1744, nazywane Digital Omnibus on AI, a w Polsce weszła w życie ustawa o systemach sztucznej inteligencji. Ten przewodnik pokazuje, jak AI Act działa po tych zmianach: kogo dotyczy, jak dzieli systemy według ryzyka, od kiedy co obowiązuje i ile grozi za naruszenia.
Jeśli Twoja firma tylko korzysta z gotowych narzędzi, zacznij od krótszego tekstu: Twoja firma używa ChatGPT. Co z AI Act dotyczy Cię już dziś.
Kim jest Twoja firma w AI Act
Obowiązki zależą od roli. Dwie role spotkasz najczęściej:
- Dostawca (provider) — tworzy system AI albo zleca jego stworzenie i wprowadza go na rynek pod własną nazwą. Ma najwięcej obowiązków: dokumentację, ocenę zgodności, zarządzanie ryzykiem.
- Podmiot stosujący (deployer) — używa systemu AI w swojej działalności. Taka jest większość firm, które korzystają z ChatGPT, Copilota, Gemini czy Claude.
Rola może się zmienić. Firma, która zmieni przeznaczenie systemu AI, także ogólnego narzędzia, tak że zacznie on pełnić funkcję systemu wysokiego ryzyka, staje się jego dostawcą (art. 25 ust. 1 lit. c). Przykład: własne narzędzie do automatycznej oceny kandydatów zbudowane na ogólnym modelu językowym.
Cztery poziomy ryzyka
AI Act nie reguluje „AI w ogóle”, tylko zastosowania — według ryzyka.
1. Ryzyko niedopuszczalne — zakazy (art. 5)
Obowiązują od 2 lutego 2025 r. i dotyczą także używania systemów. Należą do nich m.in.:
- techniki manipulacyjne, które wyrządzają znaczną szkodę;
- wykorzystywanie słabości ze względu na wiek, niepełnosprawność albo sytuację społeczną lub ekonomiczną;
- scoring społeczny;
- rozpoznawanie emocji w miejscu pracy i w edukacji (poza względami medycznymi i bezpieczeństwa).
Od 2 grudnia 2026 r. dochodzą zakazy systemów generujących intymne materiały bez zgody i materiały przedstawiające wykorzystywanie seksualne dzieci. Komisja Europejska opublikowała w 2025 r. wytyczne o zakazanych praktykach (niewiążące, ale pomocne w interpretacji).
2. Wysokie ryzyko — obowiązki od 2027 i 2028 r.
Dwie grupy systemów:
- Załącznik III — zastosowania, które mogą wpływać na prawa ludzi. Dla firm najważniejsze są: rekrutacja i selekcja kandydatów, decyzje o warunkach pracy, awansie i zwolnieniu, monitorowanie i ocena pracowników, ocena zdolności kredytowej osób fizycznych, wycena w ubezpieczeniach na życie i zdrowotnych. Obowiązki od 2 grudnia 2027 r.
- Załącznik I — AI jako element produktów objętych unijnymi przepisami o bezpieczeństwie (np. maszyny, urządzenia medyczne). Obowiązki od 2 sierpnia 2028 r.
Firma, która stosuje system wysokiego ryzyka, musi m.in. używać go zgodnie z instrukcją dostawcy, powierzyć nadzór osobom z kompetencjami i uprawnieniami, monitorować działanie, zgłaszać incydenty, przechowywać logi przez co najmniej 6 miesięcy i przed uruchomieniem w miejscu pracy poinformować pracowników i ich przedstawicieli (art. 26). Osoba, wobec której podjęto decyzję z pomocą takiego systemu, ma prawo do wyjaśnienia (art. 86).
3. Ryzyko ograniczone — przejrzystość (art. 50)
Od 2 sierpnia 2026 r., bez przesunięcia:
- ludzie mają wiedzieć, że rozmawiają z AI, chyba że to oczywiste (obowiązek dostawcy systemu);
- dostawcy systemów generatywnych oznaczają treści w formacie odczytywalnym maszynowo (dla systemów wprowadzonych przed 2 sierpnia 2026 r. termin minie 2 grudnia 2026 r.);
- firma, która używa AI, ujawnia deepfake'i oraz teksty AI informujące opinię publiczną o sprawach interesu publicznego, chyba że tekst przeszedł ludzką weryfikację redakcyjną.
Komisja opublikowała 20 lipca 2026 r. wytyczne do art. 50.
4. Ryzyko minimalne
Większość zastosowań — pisanie tekstów, streszczenia, tłumaczenia, analiza danych firmowych, filtry antyspamowe — nie ma dodatkowych obowiązków poza art. 4 (kompetencje) i ogólnymi przepisami, przede wszystkim RODO.
Kompetencje w zakresie AI (art. 4) — po zmianie
Dotyczy każdej firmy, która dostarcza albo stosuje AI, od 2 lutego 2025 r. Po zmianie z lipca 2026 r. firma ma „podejmować środki wspierające rozwój kompetencji w zakresie AI” personelu, ale nie musi gwarantować określonego poziomu wiedzy żadnej osoby. Komisja Europejska podkreśla, że nie ma wymaganego certyfikatu, a wystarczy wewnętrzny zapis szkoleń i działań. Szczegóły: Kompetencje AI w firmie: jak to udokumentować.
Modele ogólnego przeznaczenia (GPAI)
Od 2 sierpnia 2025 r. dostawcy modeli ogólnego przeznaczenia — OpenAI, Google, Microsoft, Anthropic i inni — mają własne obowiązki: dokumentację techniczną, informacje dla firm budujących na ich modelach, politykę praw autorskich, a przy największych modelach także ocenę ryzyka systemowego. Od 27 lipca 2026 r. egzekwuje je unijny Urząd ds. AI.
Dla firmy, która korzysta z ChatGPT czy Claude, to nie są bezpośrednie obowiązki. Mają jednak praktyczne znaczenie: od dostawcy możesz oczekiwać dokumentacji i informacji o modelu.
Harmonogram po zmianach
| Data | Co obowiązuje |
|---|---|
| 2 lutego 2025 | Zakazy (art. 5), kompetencje AI (art. 4) |
| 2 sierpnia 2025 | Obowiązki dostawców GPAI, organy, kary |
| 2 sierpnia 2026 | Ogólna data stosowania, przejrzystość (art. 50) |
| 2 grudnia 2026 | Nowe zakazy; termin dla dostawców na znakowanie treści |
| 2 grudnia 2027 | Wysokie ryzyko — załącznik III |
| 2 sierpnia 2028 | Wysokie ryzyko — załącznik I |
Wszystkie daty z komentarzem, czy dotyczą firmy, która tylko używa AI: Kalendarz AI Act 2025–2028.
Kary
| Naruszenie | Kara maksymalna |
|---|---|
| Zakazane praktyki (art. 5) | 35 mln EUR lub 7% światowego rocznego obrotu |
| Obowiązki operatorów, w tym podmiotu stosującego (art. 26) i przejrzystości (art. 50) | 15 mln EUR lub 3% obrotu |
| Nieprawdziwe lub niepełne informacje dla organów | 7,5 mln EUR lub 1% obrotu |
Dla dużych firm liczy się wyższa z dwóch wartości. Dla MŚP i start-upów — niższa (art. 99 ust. 6). Digital Omnibus rozszerzył tę zasadę na „małe spółki o średniej kapitalizacji” (art. 99 ust. 6a). Przy wymierzaniu kar organy biorą pod uwagę interesy i sytuację ekonomiczną małych firm. Wcześniejsza wersja tego przewodnika podawała tylko zasadę „wyższej wartości”, bez wyjątku dla MŚP — to było niepełne.
Polska: ustawa o systemach AI i KRiBSI
Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) weszła w życie co do zasady 11 sierpnia 2026 r. Przepisy o kontrolach, postępowaniach, karach i opiniach indywidualnych stosuje się od 28 października 2026 r.
- Organ nadzoru: Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Sejm wybrał na jej przewodniczącą Pamelę Krzypkowską. Według Ministerstwa Cyfryzacji Komisja ma rozpocząć działalność w listopadzie 2026 r.
- Kary: ustawa nie tworzy własnych stawek, tylko odsyła do AI Act. Przed nałożeniem kary KRiBSI może wydać ostrzeżenie ze wskazaniem działań naprawczych; wykonanie ich w ciągu 3 miesięcy obniża karę o 10–50%. Od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie — sądu ochrony konkurencji i konsumentów.
- Opinie indywidualne: firma może zapytać KRiBSI, jak AI Act stosuje się w jej sytuacji.
- Piaskownica regulacyjna: udział mikro-, małych i średnich firm jest bezpłatny.
Sześć kroków dla małej i średniej firmy
- Spis zastosowań AI: narzędzie, kto go używa, do czego, na jakim koncie.
- Klasyfikacja: czy któreś zastosowanie jest zakazane (np. odczytywanie emocji pracowników) albo należy do wysokiego ryzyka (rekrutacja, ocena pracowników, scoring kredytowy)?
- Kompetencje: szkolenie dopasowane do ról i rejestr działań (art. 4).
- Przejrzystość: oznaczenia deepfake'ów, informacja przy czatbocie, zasady publikowania tekstów z AI (art. 50).
- Plan na 2027 r.: jeśli używasz albo chcesz używać AI w kadrach — wybór dostawcy, nadzór, logi, informacja dla pracowników przed 2 grudnia 2027 r.
- RODO równolegle: AI Act nie zastępuje przepisów o ochronie danych. Zobacz Dane w ChatGPT i shadow AI.
