AI Act w Polsce. Co muszą zrobić firmy, by dostosować się do nowych przepisów
Od 2 sierpnia 2026 obowiązują nowe przepisy AI Act. Wymagania dotyczące przejrzystości weszły w życie zgodnie z planem, ale termin dla systemów AI wysokiego ryzyka odroczono. Jednocześnie prezydent podpisał ustawę tworzącą pierwszy polski organ nadzoru nad sztuczną inteligencją.
TL;DR
Od sierpnia 2026 firmy udostępniające chatboty, generujące treści przy pomocy AI, wykorzystujące rozpoznawanie emocji lub kategoryzację biometryczną podlegają nowym wymogom przejrzystości z art. 50 AI Act. Kary za naruszenia sięgają 15 mln euro lub 3% rocznego światowego obrotu. Termin wejścia w życie wymagań dla systemów AI wysokiego ryzyka (rekrutacja, ocena zdolności kredytowej, infrastruktura krytyczna) odroczono do grudnia 2027. W Polsce powstaje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), która zacznie kontrole pod koniec 2026 roku. Część przepisów obowiązuje jednak już od lutego 2025, a wspomniane wymogi przejrzystości od sierpnia 2026. Firmy powinny teraz przeprowadzić inwentaryzację wykorzystywanych systemów AI, wdrożyć oznaczenia wymagane przez przepisy o przejrzystości i przeprowadzić niezbędne szkolenia z zakresu kompetencji AI, które obowiązują już od lutego 2025 roku.
AI Act (Rozporządzenie UE 2024/1689) to pierwszy akt prawny na świecie kompleksowo regulujący stosowanie sztucznej inteligencji. Przepisy wchodzą w życie etapami we wszystkich państwach UE, bez potrzeby osobnej implementacji do prawa krajowego. W sierpniu 2026 większość przepisów miała być już w mocy, ale w maju Parlament Europejski i Rada UE uzgodniły zmianę harmonogramu i przesunęły termin wdrożenia wymagań dla systemów AI wysokiego ryzyka. Równolegle Polska uchwaliła ustawę powołującą organ nadzoru rynku AI. Poniżej opisujemy aktualny stan przepisów i nowe terminy ich obowiązywania. Omawiamy też kroki, które warto podjąć, by w pełni dostosować firmę do wytycznych rozporządzenia.
Które przepisy AI Act obowiązują od 2 sierpnia 2026?
Przepisy, które weszły w życie w sierpniu, dotyczą przejrzystości w kontaktach użytkowników z systemami AI. 20 lipca 2026 roku Komisja Europejska opublikowała wytyczne (a 24 lipca opublikowała FAQ do nich) wyjaśniające, w jaki sposób firmy powinny te wymagania wdrożyć.
Art. 50 AI Act wymaga od dostawców i podmiotów stosujących systemy AI przejrzystości wobec użytkowników. Wymagania dotyczą czterech kategorii systemów. Dostawca systemu AI przeznaczonego do bezpośredniej interakcji z ludźmi (np. chatbota lub asystenta głosowego) musi zaprojektować go tak, by użytkownik wiedział, że rozmawia z maszyną. Zgodnie z wytycznymi Komisji informacja ta powinna pojawić się na początku rozmowy; sama wzmianka w regulaminie lub dokumentacji produktu nie wystarczy.
Dostawcy systemów generujących obraz, dźwięk, wideo lub tekst muszą oznaczać generowane treści metadanymi (np. w standardzie C2PA), które pozwalają automatycznie rozpoznać, że materiał powstał przy udziale AI. Systemy wprowadzone na rynek przed 2 sierpnia muszą spełnić te wymagania do 2 grudnia 2026.
Firmy stosujące systemy rozpoznawania emocji lub kategoryzacji biometrycznej muszą poinformować o tym osoby, których to dotyczy. Również materiały stworzone za pomocą technologii deepfake, czyli materiały audio, wideo lub obrazy wyglądające jak autentyczne, ale wygenerowane lub zmanipulowane przez AI, muszą być wyraźnie oznaczone nawet jeśli twórca nie zamierzał nikogo wprowadzić w błąd. Taki sam obowiązek dotyczy treści tekstowych generowanych przez AI i publikowanych w kontekście debaty publicznej (np. artykułów informacyjnych lub komentarzy), chyba że przeszły kontrolę redakcyjną i za ich publikację odpowiada konkretna osoba lub podmiot. Obowiązek oznaczenia nie dotyczy też treści wykorzystywanych na mocy prawa w celu wykrywania przestępstw, zapobiegania im lub ich ścigania. Z kolei w przypadku treści o wyraźnie artystycznym, twórczym, satyrycznym lub fikcyjnym charakterze wystarczy ujawnić sztuczne pochodzenie materiału w sposób, który nie utrudnia korzystania z utworu.
Od 2 sierpnia Europejski Urząd ds. AI (ang. European AI Office) zyskuje też pełne uprawnienia egzekucyjne wobec dostawców modeli AI ogólnego przeznaczenia (ang. general-purpose AI, GPAI), łącznie z możliwością nakładania kar do 15 mln euro lub 3% rocznego światowego obrotu.
Odroczone wymogi AI Act dla systemów wysokiego ryzyka
Pierwotny harmonogram AI Act przewidywał, że od 2 sierpnia 2026 wejdą w życie również wymogi dla systemów AI wysokiego ryzyka, czyli systemów mogących istotnie wpływać na prawa podstawowe lub bezpieczeństwo ludzi. W maju 2026 Parlament Europejski i Rada UE uzgodniły jednak ich odroczenie.
Zmianę wprowadzono w pierwszej nowelizacji AI Act, którą Rada UE ostatecznie zatwierdziła 29 czerwca 2026. Decyzję o odroczeniu uzasadniono brakiem gotowych norm technicznych i narzędzi, które miały pomóc firmom w spełnieniu wymagań. Na mocy nowelizacji systemy AI wysokiego ryzyka (np. narzędzia do automatycznej selekcji kandydatów w rekrutacji, systemy oceny zdolności kredytowej, AI w infrastrukturze krytycznej czy edukacji) muszą zostać dostosowane do wymogów AI Act do 2 grudnia 2027. Dostawcy systemów AI wbudowanych w produkty regulowane przepisami sektorowymi, takie jak wyroby medyczne czy maszyny, muszą spełnić wymagania do 2 sierpnia 2028.
Nowelizacja nie zmieniła zakresu samych wymogów. Mimo że termin ich obowiązywania odroczono, firmy korzystające z systemów AI należących do kategorii wysokiego ryzyka powinny rozpocząć przygotowania już teraz. Opracowanie dokumentacji technicznej, wdrożenie zarządzania ryzykiem, zapewnienie nadzoru człowieka i przeprowadzenie oceny zgodności mogą być czasochłonne, zatem warto dobrze wykorzystać nadchodzące miesiące.
Odroczenie nie dotyczy wymogów przejrzystości z art. 50, które obowiązują od sierpnia. Jedynym wyjątkiem jest opisany wyżej obowiązek oznaczania generowanych treści metadanymi: dostawcy systemów obecnych na rynku przed 2 sierpnia mają na dostosowanie czas do 2 grudnia 2026.
Kto egzekwuje AI Act w Polsce?
AI Act jako rozporządzenie unijne obowiązuje w Polsce bez potrzeby osobnej implementacji, ale egzekwowanie przepisów wymaga krajowego organu nadzoru. 24 lipca 2026 roku prezydent podpisał ustawę o systemach sztucznej inteligencji, która ten organ powołuje.
Nowym regulatorem jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). To niezależna instytucja, której obsługę organizacyjną zapewnia Ministerstwo Cyfryzacji. Przewodniczącego powołuje na pięcioletnią kadencję Sejm za zgodą Senatu. Według zapowiedzi wiceministra cyfryzacji powinno to nastąpić w październiku 2026, a pełny skład komisji ma być gotowy w listopadzie. Wśród członków KRiBSI znajdą się przedstawiciele UOKiK, Urzędu Komunikacji Elektronicznej, Komisji Nadzoru Finansowego i Krajowej Rady Radiofonii i Telewizji. Prezes Urzędu Ochrony Danych Osobowych zachowuje odrębne kompetencje w zakresie oceny systemów AI pod kątem ochrony danych osobowych.
KRiBSI będzie mogła prowadzić kontrole, wszczynać postępowania w sprawie naruszeń, nakładać kary finansowe, a w skrajnych przypadkach nakazywać wycofanie systemu AI z rynku. Obywatele będą mogli składać skargi na systemy sztucznej inteligencji, z których korzystają np. banki, pracodawcy czy placówki ochrony zdrowia.
Dla firm istotne są dwa dodatkowe mechanizmy. Przedsiębiorcy mogą wystąpić do KRiBSI o indywidualną opinię interpretacyjną, która pomoże im zweryfikować zgodność systemu AI z przepisami jeszcze przed jego uruchomieniem. Ustawa nakazuje też utworzenie co najmniej jednej piaskownicy regulacyjnej, czyli kontrolowanego środowiska do testowania rozwiązań AI pod nadzorem regulatora. Małe i średnie przedsiębiorstwa (MŚP) mogą korzystać z piaskownicy bezpłatnie.
Ustawa została ogłoszona 27 lipca 2026 roku, a przepisy dotyczące kontroli i nakładania kar wchodzą w życie 28 października 2026 roku. Kary za naruszenie wymogów przejrzystości mogą sięgać 15 mln euro lub 3% rocznego światowego obrotu, a za stosowanie zakazanych praktyk AI nawet 35 mln euro lub 7% obrotu.
Wymagania, które weszły w życie wcześniej
Sierpień 2026 to swego rodzaju cezura, ale część wymogów AI Act weszła w życie znacznie wcześniej i dotyczy praktycznie każdej firmy korzystającej ze sztucznej inteligencji.
Od 2 lutego 2025 roku obowiązuje art. 4 AI Act, który wymaga od dostawców i podmiotów stosujących systemy AI zapewnienia odpowiedniego poziomu kompetencji AI (ang. AI literacy) wśród pracowników i innych osób obsługujących te systemy. Poziom ten zależy od kontekstu; będzie on inny dla zespołu IT wdrażającego model językowy niż dla pracownika obsługi klienta korzystającego z chatbota. Komisja Europejska podkreśla, że wymagane kompetencje zależą od sposobu, w jaki firma wykorzystuje AI.
Od tej samej daty obowiązuje też art. 5, zakazujący stosowania systemów AI uznanych za niedopuszczalne, m.in. scoringu społecznego (ang. social scoring), manipulacji podprogowej, masowego zbierania obrazów twarzy z internetu i rozpoznawania emocji w miejscu pracy i placówkach edukacyjnych.
Choć te przepisy obowiązują od ponad roku, wiele firm w Europie wciąż ich nie wdrożyło. Według badania europejskiej firmy doradczej Vision Compliance z kwietnia 2026 roku 78% organizacji w UE nie podjęło istotnych kroków w kierunku zgodności z AI Act. Badanie nie dotyczy wyłącznie polskich firm, ale obejmuje przedsiębiorstwa z sektorów finansów, technologii, ochrony zdrowia, energii i handlu detalicznego, czyli branż, w których AI Act nakłada najwięcej wymagań.
AI Act a Twoja firma – co trzeba zrobić już teraz
Zakres obowiązków, jakie nakłada na firmę AI Act, zależy od tego, czy jest ona dostawcą systemu AI, czy podmiotem stosującym, a także od poziomu ryzyka tego systemu. Żeby to ustalić, firma musi najpierw wiedzieć, z jakich narzędzi AI w ogóle korzysta.
Najważniejsze jest zatem przeprowadzenie inwentaryzacji. Oprócz rozwiązań AI zatwierdzonych przez dział IT trzeba uwzględnić te, z których pracownicy korzystają na własną rękę, np. ogólnodostępne modele językowe. Niekontrolowane korzystanie z AI sprawia, że firma nie ma pełnego obrazu swoich zobowiązań regulacyjnych, bo może nie być świadoma, że według przepisów jest podmiotem stosującym dany system AI.
Dla każdego zidentyfikowanego systemu AI należy określić poziom ryzyka, jaki wiąże się z jego stosowaniem. Cztery poziomy wskazane przez AI Act to: niedopuszczalny (systemy zakazane, np. scoring społeczny), wysoki (np. AI w rekrutacji lub ocenie zdolności kredytowej), ograniczony (np. chatboty) i minimalny (np. filtry antyspamowe). Od poziomu ryzyka zależy, które wymagania firma musi spełnić i do kiedy ma na to czas.
Firmy, które udostępniają chatboty lub publikują treści wygenerowane albo zmanipulowane przez AI, powinny niezwłocznie wdrożyć odpowiednie oznaczenia i komunikaty. Wymogi przejrzystości z art. 50 obowiązują od sierpnia bez okresu przejściowego. Tak jak wspomnieliśmy wcześniej, dłuższy termin na oznaczanie treści metadanymi mają wyłącznie dostawcy systemów obecnych na rynku przed 2 sierpnia.
Art. 4 AI Act wymaga też od każdej firmy korzystającej z AI przeprowadzenia szkoleń z zakresu kompetencji AI. Aby te szkolenia miały sens, firma powinna najpierw uporządkować zasady korzystania ze sztucznej inteligencji i ustalić, kto i w jakim zakresie się nią posługuje. Przewodnik omawiający te kwestie od strony organizacyjnej może ułatwić ten proces.
Warto pamiętać, że przegląd narzędzi i klasyfikacja ryzyka to zadania, które trzeba powtarzać. Pracownicy mogą sięgać po nowe rozwiązania AI, modele się zmieniają, a KRiBSI może w każdej chwili poprosić o dokumentację. Utrzymanie porządku jest łatwiejsze, gdy firma korzysta z jednego środowiska, w którym zarządza dostępem do modeli AI i rejestruje sposób ich wykorzystania.
FAQ
Czy AI Act dotyczy małych i średnich firm?
Tak. Obowiązek zapewnienia kompetencji AI (art. 4) dotyczy każdej firmy stosującej systemy sztucznej inteligencji, niezależnie od wielkości. Wymogi przejrzystości z art. 50 również nie przewidują progu wielkości. Różnica polega na sposobie obliczania kar: dla MŚP stosuje się niższą z dwóch wartości (procent obrotu lub kwota stała), co w porównaniu z dużymi korporacjami stanowi pewną ulgę. Piaskownice regulacyjne KRiBSI są dla MŚP bezpłatne.
Czy muszę oznaczać każdą treść wygenerowaną przez AI?
Nie. Art. 50 AI Act rozróżnia dwa obowiązki. Dostawcy systemów AI generujących treści (tekst, obraz, dźwięk, wideo) muszą zapewnić, że wyniki tych systemów zawierają metadane pozwalające rozpoznać ich sztuczne pochodzenie. To obowiązek techniczny, który spoczywa np. na twórcy modelu językowego, nie na firmie, która z niego korzysta. Wyjątkiem są systemy pełniące wyłącznie funkcję wspomagającą przy standardowej edycji. Podmioty stosujące, czyli firmy korzystające z systemów AI, mają obowiązek widocznego oznaczenia w dwóch przypadkach: gdy publikują deepfake’i (realistyczne materiały audio, wideo lub obrazy przypominające rzeczywiste osoby lub zdarzenia) oraz gdy publikują tekst AI dotyczący spraw leżących w interesie publicznym, chyba że tekst przeszedł kontrolę redakcyjną i za jego publikację odpowiada konkretna osoba lub podmiot. Obowiązek oznaczenia nie dotyczy też treści wykorzystywanych na mocy prawa w celu wykrywania przestępstw, zapobiegania im lub ich ścigania. W przypadku treści artystycznych, twórczych, satyrycznych lub fikcyjnych wystarczy ujawnić sztuczne pochodzenie materiału w sposób, który nie utrudnia korzystania z utworu.
Kiedy KRiBSI zacznie przeprowadzać kontrole?
Uprawnienia do prowadzenia kontroli i nakładania kar KRiBSI uzyska 28 października 2026 roku, trzy miesiące po ogłoszeniu ustawy w Dzienniku Ustaw. Warto jednak pamiętać, że wymogi przejrzystości z art. 50 obowiązują od 2 sierpnia i naruszenia popełnione od tej daty mogą być podstawą późniejszych postępowań.
Źródła
1. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie sztucznej inteligencji (AI Act), 2024 – https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32024R1689
2. European Commission, Guidelines on transparency obligations for providers and deployers of certain AI systems, 2026 – https://digital-strategy.ec.europa.eu/en/policies/guidelines-ai-transparency-obligations
3. European Commission, FAQ: Transparency obligations under Article 50 of the AI Act, 2026 – https://digital-strategy.ec.europa.eu/en/faqs/transparency-obligations-under-article-50-ai-act
4. Council of the EU, Artificial intelligence: Council and Parliament agree to simplify and streamline rules, 2026 – https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/
5. Kancelaria Prezesa Rady Ministrów, Projekt ustawy o systemach sztucznej inteligencji, 2026 – https://www.gov.pl/web/premier/projekt-ustawy-o-systemach-sztucznej-inteligencji2
6. Prawo.pl, Prezydent podpisał ustawę o systemach sztucznej inteligencji, 2026 – https://www.prawo.pl/biznes/prezydent-podpisal-ustawe-o-systemach-ai,1541891.html
7. Bankier.pl, AI pod kontrolą państwa. Powstanie pierwsza taka piaskownica regulacyjna w UE, 2026 – https://www.bankier.pl/wiadomosc/AI-pod-kontrola-panstwa-Powstanie-pierwsza-taka-piaskownica-regulacyjna-w-UE-9173741.html
8. European Commission, European AI Office, 2024 – https://digital-strategy.ec.europa.eu/en/policies/ai-office
9. Vision Compliance, 2026 EU AI Act Readiness Analysis, 2026 – https://uspolitics.einnews.com/pr_news/903074846/vision-compliance-releases-2026-eu-ai-act-readiness-report-finds-78-of-enterprises-unprepared-for-obligations
10. Extentum.AI, Shadow AI: ryzyko RODO i wycieki danych, 2026 – https://extentum.ai/pl/shadow-ai-ryzyko-rodo-wycieki-danych/
11. Extentum.AI, GenAI: przewodnik wdrożeniowy, 2026 – https://extentum.ai/pl/genai-przewodnik-wdrozeniowy/
12. Extentum.AI, Platforma, 2026 – https://extentum.ai/pl/platforma/
