AI Act krok po kroku: które obowiązki już obowiązują, a które wejdą w 2026–2028 r.

Poniedziałek, 8:55. Kolega z marketingu wrzuca na firmowy czat grafikę z AI. Ktoś z HR chwali się, że nowe narzędzie samo przesiało sto CV. A ty zastanawiasz się, czy przypadkiem nie łamiecie właśnie unijnego prawa. Spokojnie. Najpierw kawa, potem kalendarz.

AI Act, czyli rozporządzenie (UE) 2024/1689, wszedł w życie 1 sierpnia 2024 r. Nie spadł jednak na firmy jak lawina. Wchodzi po kawałku, jak serial wypuszczany odcinkami. W 2026 r. scenarzyści coś przestawili – część terminów zmienił pakiet upraszczający, tzw. AI Omnibus. Kalendarz poniżej opieramy na tekście rozporządzenia (art. 113) i informacjach Komisji Europejskiej (stan na 12.10.2026).

Kalendarz AI Act – odcinek po odcinku

• 2 lutego 2025 r. – zakazane praktyki AI (osiem pierwszych zakazów) oraz obowiązki dotyczące kompetencji w zakresie AI (AI literacy).
• 2 sierpnia 2025 r. – przepisy o zarządzaniu (governance), obowiązki dostawców modeli AI ogólnego przeznaczenia (GPAI) oraz przepisy o karach (rozdział XII). Wyjątek: art. 101, czyli kary nakładane przez Komisję na dostawców modeli GPAI, stosuje się od 2 sierpnia 2026 r.
• 2 sierpnia 2026 r. – AI Act stosuje się co do zasady; za wdrażanie i egzekwowanie przepisów odpowiadają Urząd ds. AI (AI Office) i organy państw członkowskich. Od sierpnia 2026 r. obowiązują też zasady przejrzystości; dla systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. obowiązek z art. 50 ust. 2 (oznaczanie treści generowanych przez AI) ma okres przejściowy do 2 grudnia 2026 r.
• 2 grudnia 2026 r. – dziewiąty zakaz: systemy AI generujące bez zgody treści o charakterze seksualnym i intymnym lub materiały przedstawiające wykorzystywanie seksualne dzieci (np. aplikacje do „rozbierania” zdjęć).
• 2 grudnia 2027 r. – przepisy dla systemów wysokiego ryzyka w obszarach wrażliwych (załącznik III), m.in. biometria, infrastruktura krytyczna, edukacja, zatrudnienie, migracja, azyl i kontrola granic.
• 2 sierpnia 2028 r. – przepisy dla systemów wysokiego ryzyka wbudowanych w produkty regulowane (załącznik I), np. windy czy zabawki.

Tabela: poziomy ryzyka w AI Act

Wysokie ryzyko to w AI Act klasa biznes – z najdłuższą listą wymagań przy wejściu na pokład. Takie systemy muszą m.in. mieć system oceny i ograniczania ryzyka, wysokiej jakości dane treningowe, rejestrowanie zdarzeń, szczegółową dokumentację, jasne informacje dla użytkownika (podmiotu stosującego), nadzór człowieka oraz odpowiedni poziom odporności, cyberbezpieczeństwa i dokładności.

Tabela: maksymalne kary (art. 99) – czyli ile kosztuje zignorowanie kalendarza

Dla MŚP, w tym start-upów, stosuje się niższą z dwóch wartości (kwotę lub procent). Dla small mid-caps – tylko przy dwóch niższych progach. Przy wymierzaniu kary bierze się pod uwagę m.in. wagę i czas trwania naruszenia, wielkość firmy, współpracę z organami i działania naprawcze.

Przykład: firma rekrutacyjno-usługowa (scenariusz ilustracyjny)

Poznaj firmę Kowalski Serwis. Kilkadziesiąt osób, biuro nad piekarnią, zapach drożdżówek o 7 rano. Firma (zmyślona, ale bardzo typowa) używa AI na co dzień. Na stronie klientom odpowiada czatbot. Marketing produkuje teksty i grafiki w generatorze. Rekrutacja korzysta z narzędzia, które wstępnie sortuje CV. Ty jesteś w tej firmie osobą, której wszyscy mówią: „ogarnij to AI Act”. Jak może wyglądać twój kalendarz?

Zacznij od tego, co już obowiązuje. Od 2 lutego 2025 r. firma powinna zadbać o kompetencje w zakresie AI ludzi, którzy z tych narzędzi korzystają. Przy okazji sprawdź, czy żadne narzędzie nie wchodzi w zakazane praktyki. Rozpoznawanie emocji pracowników? Odpada, nawet jeśli dostawca nazywa to „analizą zaangażowania”.

Od sierpnia 2026 r. czatbot nie może udawać pani Basi z obsługi klienta. Klient powinien wiedzieć, że rozmawia z maszyną. Teksty i grafiki z generatora mają być rozpoznawalne jako treści AI, a deepfake'i wyraźnie oznaczone. Część tych obowiązków spada na dostawców narzędzi, część – w określonym zakresie – na firmy, które ich używają. Jeśli wasz generator wszedł na rynek przed 2 sierpnia 2026 r., jego dostawca ma czas do 2 grudnia 2026 r. na spełnienie obowiązku z art. 50 ust. 2.

Największy kaliber przychodzi później. Od 2 grudnia 2027 r. narzędzie do sortowania CV to przykład systemu wysokiego ryzyka – obszar zatrudnienia z załącznika III. Kowalski Serwis jako podmiot stosujący będzie musiał m.in. zapewnić nadzór człowieka i używać systemu zgodnie z instrukcją dostawcy. Szczegóły obowiązków opisuje art. 26.

Brzmi jak dużo? Masz plan na najbliższy tydzień. Spisz wszystkie narzędzia AI w firmie, łącznie z tymi, które ktoś „tylko testuje” na prywatnym koncie. Przy każdym zanotuj, kto go używa i do czego. Zapytaj dostawców, jak spełniają obowiązki przejrzystości. Dopisz do kalendarza 2 grudnia 2027 r. – wtedy rekrutacyjny pomocnik przestaje być niewinną zabawką. Lista nie jest poradą prawną, ale pomaga nie obudzić się z ręką w nocniku.

To uproszczony scenariusz, a nie ocena prawna konkretnego narzędzia. Ten sam program może być niewinnym pomocnikiem albo systemem wysokiego ryzyka – zależy, do czego go zaprzęgniesz.

Skąd przesunięcia? Wchodzi AI Omnibus

Terminy dla systemów wysokiego ryzyka przesunęło rozporządzenie (UE) 2026/1744 z 8 lipca 2026 r., opublikowane 24 lipca i obowiązujące od 27 lipca 2026 r. Według Komisji propozycję przyjęto 19 listopada 2025 r., a porozumienie polityczne osiągnięto 7 maja 2026 r. Omnibus m.in. dodał dziewiąty zakaz, wzmocnił uprawnienia AI Office i rozszerzył niektóre uproszczenia dla MŚP na tzw. small mid-caps (SMC). Przy karach jest haczyk: nowy ust. 6a w art. 99 daje firmom SMC „niższą z kwot” tylko przy karach z ust. 4 i 5. Za zakazane praktyki – nie. Omnibus dopisał też do ust. 4 nową lit. da (obowiązki z art. 25 ust. 2 i 4).

FAQ – pytania, które padną na najbliższym zebraniu

1. Czy AI Act dotyczy firmy, która tylko korzysta z gotowych narzędzi AI?

Tak, choć z mniejszym plecakiem. Rozporządzenie rozróżnia dostawców (twórców systemów) i podmioty stosujące (użytkowników biznesowych); obowiązki tych drugich są węższe, ale istnieją – np. w zakresie kompetencji AI, przejrzystości czy korzystania z systemów wysokiego ryzyka.

2. Co już obowiązuje?

Zakazy praktyk 1–8 i kompetencje w zakresie AI (od 2.02.2025), zasady dla modeli GPAI, governance i kary (od 2.08.2025), większość pozostałych przepisów i przejrzystość (od 2.08.2026).

3. Czy terminy dla wysokiego ryzyka mogą się jeszcze zmienić?

Obecne terminy (2.12.2027 i 2.08.2028) wynikają z AI Omnibus, który już obowiązuje. Ewentualne dalsze zmiany wymagałyby nowego aktu prawnego.

4. Jakie są maksymalne kary?

Do 35 mln euro lub 7% obrotu za zakazane praktyki, do 15 mln euro lub 3% za inne kluczowe obowiązki i do 7,5 mln euro lub 1% za wprowadzanie organów w błąd. Dla MŚP – niższa z wartości.

5. Kto egzekwuje przepisy w Polsce?

Ustawa o systemach sztucznej inteligencji powierza nadzór Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – opisujemy ją w osobnym tekście.

6. Gdzie szukać pomocy?

Komisja Europejska prowadzi AI Act Service Desk i publikuje wytyczne (m.in. o zakazanych praktykach, definicji systemu AI i przejrzystości).

To materiał informacyjny, nie porada prawna. Przy konkretnym wdrożeniu zadzwoń do prawnika – najlepiej zanim narzędzie przesieje kolejne sto CV.