LEGAL ALERT: AI Act – co przedsiębiorca musi wiedzieć przed 2 sierpnia 2026
Szanowni Państwo,
Zbliżający się 2 sierpnia 2026 roku przez wiele miesięcy uchodził za graniczną datę pełnego stosowania Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r.), znanego jako AI Act. Obraz ten zmienił jednak tzw. Digital Omnibus dla AI – rozporządzenie zmieniające AI Act w ramach unijnego pakietu upraszczającego (Omnibus VII), przyjęte ostatecznie przez Radę UE 29 czerwca 2026 roku, po akceptacji przez Parlament Europejski w dniu 16 czerwca 2026 roku, z publikacją w Dzienniku Urzędowym UE spodziewaną jeszcze przed 2 sierpnia. W praktyce najcięższe obowiązki zostały przesunięte o kilkanaście miesięcy, jednak część przepisów zaczyna obowiązywać 2 sierpnia 2026 roku bez zmian. O tym, co dokładnie wchodzi w życie, kogo to dotyczy oraz jak wygląda dalszy harmonogram, przeczytacie Państwo poniżej.
Kogo dotyczy AI Act?
AI Act adresowany jest przede wszystkim do dostawców systemów AI oraz do podmiotów stosujących te systemy – również tych spoza Unii Europejskiej, jeżeli efekty działania systemu wykorzystywane są na jej terenie. Co istotne, obowiązki przejrzystości, które wchodzą 2 sierpnia 2026 roku, dotykają także przedsiębiorców, którzy sami nie tworzą AI, lecz jedynie korzystają z gotowych narzędzi – w szczególności z chatbotów oraz generatywnej AI wykorzystywanej do tworzenia treści marketingowych, graficznych czy audio.
Co zmienił Omnibus?
Digital Omnibus nie zmienia głównych zasad AI Act – utrzymane zostaje podejście oparte na ryzyku, katalog praktyk zakazanych oraz reżim dla modeli AI ogólnego przeznaczenia (GPAI). Nowelizacja, obowiązująca od 27 lipca 2026 roku, przesuwa natomiast w czasie stosowanie najbardziej wymagających obowiązków, tj. przepisów dotyczących systemów AI wysokiego ryzyka.
Przesunięcie obejmuje obszary najistotniejsze dla większości klientów biznesowych, m.in.: rekrutację i zarządzanie pracownikami, scoring kredytowy, edukację, identyfikację biometryczną oraz infrastrukturę krytyczną. Jest to jednak odroczenie, a nie zniesienie obowiązków, dlatego uzyskany czas warto wykorzystać na przygotowania, ponieważ ocena zgodności I odpowiednie wdrożenie mogą zająć nawet kilka miesięcy.
Co wchodzi w życie 2 sierpnia 2026 roku?
Kluczowym elementem, który 2 sierpnia 2026 roku zaczyna obowiązywać bez odroczenia, są obowiązki przejrzystości z art. 50 AI Act (ust. 1, 3 i 4). W praktyce oznaczają one:
- Ujawnienie interakcji z AI – podmioty udostępniające chatboty i asystentów konwersacyjnych muszą informować użytkowników, że rozmawiają z systemem sztucznej inteligencji, a nie z człowiekiem;
- Oznaczanie treści syntetycznych i deepfake’ów – podmiot stosujący AI do wygenerowania lub zmanipulowania obrazu, dźwięku, wideo lub tekstu ma obowiązek w jasny i wyraźny sposób ujawnić, że treść powstała lub została zmodyfikowana przy użyciu AI;
- Informowanie o rozpoznawaniu emocji i kategoryzacji biometrycznej – osoby poddawane takiej analizie muszą zostać o tym uprzednio poinformowane, z zachowaniem zgodności z RODO.
Jak wygląda pełny harmonogram?
Warto uporządkować kalendarz, ponieważ AI Act stosowany jest etapowo, a Digital Omnibus zmienił jedynie jego część:
- 2 lutego 2025 roku (obowiązuje) – praktyki zakazane (art. 5) oraz obowiązek rozszerzania kompetencji w zakresie AI (tzw. AI literacy);
- 2 sierpnia 2025 roku (obowiązuje) – obowiązki dla modeli AI ogólnego przeznaczenia (GPAI) oraz struktury nadzoru i przepisy o karach;
- 2 sierpnia 2026 roku – obowiązki przejrzystości z art. 50; obowiązek maszynowego znakowania treści syntetycznych po stronie dostawców (art. 50 ust. 2) dla systemów nowych;
- 2 grudnia 2026 roku – oznaczanie treści generowanych przez AI dla systemów wprowadzonych na rynek przed 2 sierpnia 2026 roku (okres przejściowy) oraz nowy zakaz z art. 5 dotyczący systemów generujących materiały CSAM i intymne wizerunki bez zgody (tzw. deepnude i aplikacje „nudifier”);
- 2 sierpnia 2027 roku – termin na utworzenie przez państwa członkowskie środowisk do testowania systemów AI;
- 2 grudnia 2027 roku – obowiązki dla systemów wysokiego ryzyka z załącznika III (samodzielnych);
- 2 sierpnia 2028 roku – obowiązki dla systemów wysokiego ryzyka z załącznika I (wbudowanych w produkty).
Ustawa o systemach AI
Równolegle sfinalizowano krajową ustawę o systemach sztucznej inteligencji, mającą zapewnić stosowanie AI Act w Polsce. Sejm uchwalił ją 11 czerwca 2026 roku, Senat przyjął 25 czerwca 2026 roku, a 24 lipca 2026 roku ustawa została podpisana przez Prezydenta RP. Organem nadzoru rynku będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – wyspecjalizowany, centralny organ uprawniony m.in. do prowadzenia kontroli, nakładania sankcji, wycofywania systemów z rynku oraz wydawania wiążących opinii indywidualnych, dających przedsiębiorcom pewność co do legalności planowanych wdrożeń.
Należy jednak pamiętać, iż KRiBSI nie osiągnie pełnej operacyjności z dniem 2 sierpnia 2026 roku – powołanie przewodniczącego następuje w ramach kilkumiesięcznej procedury z udziałem Sejmu i Senatu, uruchamianej po wejściu ustawy w życie. Nie zmienia to jednak sytuacji prawnej przedsiębiorców: AI Act jako rozporządzenie unijne stosowany jest wprost, niezależnie od tempa prac krajowych oraz obsady organu nadzoru.
Jakie sankcje grożą?
Za naruszenie AI Act przewidziano dotkliwe sankcje. Maksymalna kara pieniężna – w przypadku stosowania praktyk zakazanych – może wynieść 35 mln EUR lub 7% światowego rocznego obrotu, w zależności od tego, która z wartości jest wyższa. Dla porównania, jest to próg wyższy niż maksymalne kary przewidziane w RODO. Polski ustawodawca przewidział jednak ciekawe rozwiązanie dla współpracujących podmiotów, pozwalające na obniżenie kary nawet o 90%. Nawet zatem w razie popełnienia błędu odpowiednie przygotowanie i postępowania może zdecydowanie poprawić sytuację prawną organizacji.
Co to oznacza dla Państwa organizacji?
Mimo odroczenia obowiązków dla systemów wysokiego ryzyka, rekomendujemy Państwu podjęcie działań przygotowawczych już teraz, w szczególności:
- Przeprowadzić inwentaryzację wszystkich wykorzystywanych narzędzi i systemów AI – zarówno wewnętrznych, jak i dostarczanych przez podmioty zewnętrzne;
- Zaklasyfikować systemy według kategorii AI Act;
- Wdrożyć mechanizmy przejrzystości przed 2 sierpnia 2026 roku – w tym komunikaty o interakcji z chatbotem oraz oznaczanie treści generowanych przez AI;
- Wykorzystać uzyskany margines czasu na budowę dokumentacji i procesów zgodności dla systemów wysokiego ryzyka, zamiast odkładać je do 2027 roku.
Podsumowanie
Digital Omnibus dla AI – obowiązujący od 27 lipca 2026 roku – przyniósł przedsiębiorcom pewną ulgę w zakresie najbardziej wymagających obowiązków dla systemów wysokiego ryzyka, przesuwając je na lata 2027 i 2028. Data 2 sierpnia 2026 roku pozostaje jednak aktywnym terminem zgodności – tego dnia wchodzą w życie obowiązki przejrzystości z art. 50, które w praktyce dotyczą wielu firm korzystających z chatbotów lub generatywnej AI. Właściwie zaplanowany proces przygotowawczy pozwala potraktować te wymogi nie jako obciążenie, lecz jako element uporządkowanego ładu korporacyjnego wokół AI.
Jeżeli są Państwo zainteresowani analizą wpływu AI Act na Państwa działalność lub wsparciem w klasyfikacji wykorzystywanych systemów i wdrożeniu obowiązków przejrzystości, pozostajemy do Państwa dyspozycji.
Pozdrawiamy
KONTAKT
E: magdalena.patryas@pl.Andersen.com
T: +48 32 731 68 84
M: +48 502 392 419
