AI Act 2026 – kompletny przewodnik: co rozporządzenie o sztucznej inteligencji oznacza dla firm w Polsce

AI Act to pierwsze na świecie kompleksowe rozporządzenie regulujące sztuczną inteligencję, a wbrew częstemu przekonaniu dotyczy nie tylko wielkich dostawców modeli, lecz także zwykłych firm, które „tylko korzystają” z narzędzi AI. Jeśli Twoja organizacja używa chatbota, generuje treści marketingowe, ocenia kandydatów do pracy z pomocą algorytmu albo wdraża automatyzację opartą na AI, przepisy już Cię obejmują – część z nich obowiązuje od 2 lutego 2025 r. W tym przewodniku tłumaczymy, czym jest AI Act dla firm, jakie są kluczowe daty, kategorie ryzyka, kary oraz jak wygląda rozporządzenie o sztucznej inteligencji w Polsce wraz z nowym organem nadzoru. Wszystko opisujemy zgodnie ze stanem prawnym na czerwiec 2026 r., z wyraźnym oznaczeniem tego, co jest jeszcze nieprzyjęte formalnie.

Spis treści

• Czym jest AI Act
• Kalendarium wejścia w życie i Digital Omnibus
• Cztery kategorie ryzyka
• Zakazane praktyki (Art. 5)
• Systemy wysokiego ryzyka i obowiązki
• Modele ogólnego przeznaczenia (GPAI)
• Obowiązki przejrzystości (chatboty, deepfake, treści AI)
• Kary za naruszenia
• AI Act w Polsce: ustawa i KRiBSI
• Co musi zrobić Twoja firma – praktyczne kroki
• FAQ – AI Act

Czym jest AI Act

AI Act to potoczna nazwa Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 w sprawie sztucznej inteligencji. Jest to pierwsza na świecie tak szeroka regulacja prawna obejmująca cały rynek systemów AI – od etapu projektowania i trenowania modeli, przez wprowadzanie ich do obrotu, aż po codzienne wykorzystanie w firmach i instytucjach. Rozporządzenie weszło w życie 1 sierpnia 2024 r., ale poszczególne grupy przepisów zaczynają obowiązywać w różnych terminach, co opisujemy w kalendarium poniżej.

Celem AI Act jest zapewnienie, że systemy sztucznej inteligencji wykorzystywane w Unii Europejskiej są bezpieczne, godne zaufania i zgodne z prawami podstawowymi, przy jednoczesnym wspieraniu innowacji. Regulacja opiera się na podejściu opartym na ryzyku: im wyższe ryzyko, jakie dany system stwarza dla zdrowia, bezpieczeństwa lub praw obywateli, tym surowsze obowiązki nakłada prawo. Systemy o minimalnym ryzyku pozostają praktycznie nieobciążone wymogami, a systemy uznane za stwarzające niedopuszczalne ryzyko są po prostu zakazane.

Kluczowa dla wielu firm jest kwestia zasięgu eksterytorialnego. AI Act dotyczy nie tylko podmiotów z siedzibą w UE. Obejmuje również dostawców i podmioty spoza Unii, jeżeli wprowadzają oni systemy AI na rynek unijny albo gdy wyniki działania ich systemów są wykorzystywane w UE. Oznacza to, że polska firma korzystająca z amerykańskiego narzędzia AI, jak i zagraniczny dostawca oferujący usługi polskim klientom, mogą podlegać tym samym przepisom. Rozporządzenie rozróżnia kilka ról: dostawcę (ten, kto tworzy lub wprowadza system na rynek), podmiot stosujący zwany deployerem (ten, kto używa systemu w ramach swojej działalności), a także importera i dystrybutora. Ta sama firma może pełnić kilka ról jednocześnie – na przykład jeśli kupuje narzędzie AI, ale modyfikuje je i udostępnia dalej pod własną marką.

Dla polskiego przedsiębiorcy ma to bardzo konkretne znaczenie praktyczne. Większość firm w Polsce nie buduje własnych modeli AI od podstaw, lecz korzysta z gotowych narzędzi – asystentów piszących, generatorów grafik, systemów rekomendacji czy automatyzacji. W takiej sytuacji firma najczęściej występuje w roli podmiotu stosującego, a to właśnie z tą rolą wiąże się zestaw obowiązków, które łatwo przeoczyć, bo nie kojarzą się one z „tworzeniem AI”. Dlatego pierwszym krokiem do zgodności jest właściwe rozpoznanie, w jakich rolach faktycznie występuje organizacja, a następnie przypisanie tym rolom konkretnych powinności. To podejście oparte na rolach i ryzyku przewija się przez całe rozporządzenie i jest fundamentem prawidłowego zrozumienia AI Act dla firm.

Kalendarium wejścia w życie i Digital Omnibus

AI Act jest stosowany etapami – to świadoma decyzja prawodawcy, która ma dać rynkowi czas na dostosowanie. Poniższa tabela przedstawia najważniejsze daty zgodnie z pierwotnym harmonogramem rozporządzenia.

Warto dodać, że Kodeks Praktyk dla modeli GPAI został opublikowany 10 lipca 2025 r. – jest dobrowolny, ale ułatwia dostawcom wykazanie zgodności (więcej w sekcji o GPAI).

Digital Omnibus – status: wstępne porozumienie, jeszcze nieprzyjęte

W 2026 r. pojawił się pakiet upraszczający przepisy o AI, znany jako Digital Omnibus. To ważne, ale obarczone niepewnością, dlatego wyjaśniamy jego status szczególnie wyraźnie. W toku prac legislacyjnych 28 kwietnia 2026 r. rozmowy trójstronne (tzw. trilog) się załamały, a następnie 7 maja 2026 r. osiągnięto wstępne porozumienie polityczne.

Zgodnie z tym wstępnym porozumieniem przewiduje się przesunięcie kilku terminów: systemy wysokiego ryzyka z Aneksu III miałyby zacząć obowiązywać dopiero 2 grudnia 2027 r. (zamiast 2 sierpnia 2026 r.), Aneks I – 2 sierpnia 2028 r. (zamiast 2 sierpnia 2027 r.), a uruchomienie krajowych piaskownic regulacyjnych – 2 sierpnia 2027 r. (zamiast 2 sierpnia 2026 r.). Dla obowiązku oznaczania treści generowanych przez AI z Art. 50 wstępne porozumienie wskazuje termin do 2 grudnia 2026 r.

Bardzo ważne zastrzeżenie: porozumienie z 7 maja 2026 r. NIE zostało jeszcze formalnie przyjęte przez Parlament Europejski i Radę. Do czasu finalizacji procesu legislacyjnego formalnie obowiązuje pierwotny termin, czyli 2 sierpnia 2026 r. dla systemów wysokiego ryzyka z Aneksu III. Oznacza to, że na stan czerwca 2026 r. firmy nie powinny zakładać, że terminy zostały już przesunięte – planowanie zgodności należy opierać na obowiązujących datach, a zmiany z Omnibusa traktować jako prawdopodobne, lecz jeszcze niewiążące.

Cztery kategorie ryzyka

Cała konstrukcja AI Act opiera się na podziale systemów AI na cztery kategorie ryzyka. To od przypisania systemu do właściwej kategorii zależy, jakie obowiązki spoczywają na firmie.

W praktyce większość firm działa w obszarze ograniczonego i minimalnego ryzyka, ale niektóre popularne zastosowania – jak AI w rekrutacji czy ocenie zdolności kredytowej – trafiają do kategorii wysokiego ryzyka, co radykalnie zmienia zakres obowiązków.

Zakazane praktyki (Art. 5)

Od 2 lutego 2025 r. obowiązuje katalog praktyk niedopuszczalnego ryzyka, których stosowanie jest w UE zabronione. Lista obejmuje:

• Techniki podprogowe lub celowo manipulacyjne, które istotnie zniekształcają zachowanie człowieka i mogą wyrządzić szkodę.
• Wykorzystywanie słabości osób ze względu na wiek, niepełnosprawność lub szczególną sytuację społeczno-ekonomiczną.
• Scoring społeczny, czyli ocenianie lub klasyfikowanie osób na podstawie zachowania społecznego prowadzące do nieuzasadnionego, krzywdzącego traktowania.
• Typowanie sprawców przestępstw wyłącznie na podstawie profilowania lub cech osobowości.
• Nieukierunkowane pobieranie wizerunków twarzy z internetu lub z nagrań CCTV w celu tworzenia lub rozbudowy baz danych do rozpoznawania twarzy.
• Rozpoznawanie emocji w miejscu pracy i w placówkach edukacyjnych (z wyjątkami uzasadnionymi względami medycznymi lub bezpieczeństwa).
• Kategoryzacja biometryczna ujawniająca cechy wrażliwe (np. pochodzenie, przekonania, orientację).
• Zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej na potrzeby organów ścigania (dopuszczalna wyłącznie w wąsko określonych wyjątkach).

Warto zwrócić uwagę, że niektóre z tych praktyk mogą wystąpić w pozornie niewinnych zastosowaniach marketingowych lub HR – dlatego zespoły wdrażające AI powinny znać ten katalog, zanim sięgną po nowe narzędzie.

Systemy wysokiego ryzyka i obowiązki

Systemy wysokiego ryzyka to serce AI Act, ponieważ wiążą się z najbardziej rozbudowanymi obowiązkami. Aneks III wymienia samodzielne zastosowania uznane za wysokie ryzyko. Przykłady obejmują:

• Rekrutację i zarządzanie pracownikami (np. selekcja kandydatów, ocena wyników, decyzje o awansach).
• Ocenę zdolności kredytowej i scoring kredytowy osób fizycznych.
• Edukację – ocenianie uczniów oraz rekrutację na studia.
• Biometrię.
• Zarządzanie infrastrukturą krytyczną.
• Dostęp do usług publicznych i świadczeń (np. kwalifikowanie do zasiłków).
• Wymiar sprawiedliwości.
• Niektóre zastosowania w ubezpieczeniach.

Jeśli system trafia do tej kategorii, dostawca musi spełnić szereg wymogów. Należą do nich: ustanowienie systemu zarządzania ryzykiem, zapewnienie jakości i właściwego zarządzania danymi, przygotowanie dokumentacji technicznej, automatyczne rejestrowanie zdarzeń (logi), zapewnienie przejrzystości i przekazanie informacji użytkownikowi, zaprojektowanie skutecznego nadzoru człowieka, a także odpowiedniej dokładności, odporności i cyberbezpieczeństwa. Do tego dochodzi przeprowadzenie oceny zgodności, oznakowanie CE oraz rejestracja systemu w unijnej bazie danych.

Obowiązki nie kończą się jednak na dostawcy. Podmiot stosujący (deployer), czyli firma korzystająca z gotowego systemu wysokiego ryzyka, również ma swoje powinności – między innymi zapewnienie rzeczywistego nadzoru człowieka, monitorowanie działania systemu zgodnie z instrukcją oraz informowanie pracowników, gdy system wysokiego ryzyka jest wobec nich wykorzystywany. W praktyce oznacza to, że nawet „tylko korzystając” z narzędzia, firma nie jest zwolniona z odpowiedzialności. Jeśli planujesz szersze wdrożenie AI w organizacji, warto zacząć od solidnych fundamentów – pomocny będzie nasz przewodnik o tym, jak zacząć wdrożenie automatyzacji procesów AI w firmie.

Modele ogólnego przeznaczenia (GPAI)

Osobną kategorię stanowią modele AI ogólnego przeznaczenia, czyli GPAI – to duże modele, które potrafią realizować wiele różnych zadań i są podstawą wielu popularnych narzędzi. Obowiązki dla dostawców GPAI obowiązują od 2 sierpnia 2025 r. Podstawowe wymogi to: przygotowanie i utrzymywanie dokumentacji technicznej, udostępnianie informacji podmiotom integrującym model w swoich rozwiązaniach, wdrożenie polityki poszanowania prawa autorskiego oraz publikacja publicznie dostępnego streszczenia danych treningowych.

Część modeli GPAI uznaje się dodatkowo za modele z ryzykiem systemowym. Orientacyjnym progiem jest tu bardzo wysoka moc obliczeniowa wykorzystana do trenowania, w okolicach 10^25 operacji zmiennoprzecinkowych (FLOP). Dla takich modeli dochodzą obowiązki dodatkowe: ocena modelu, testy kontradyktoryjne (adversarial), raportowanie poważnych incydentów oraz podwyższone wymogi cyberbezpieczeństwa.

Aby ułatwić dostawcom wykazanie zgodności, 10 lipca 2025 r. opublikowano Kodeks Praktyk dla GPAI. Składa się on z trzech rozdziałów: Przejrzystość, Prawo autorskie oraz Bezpieczeństwo. Kodeks jest dobrowolny, ale stanowi praktyczne narzędzie – jego przyjęcie ułatwia wykazanie, że dostawca działa zgodnie z wymogami rozporządzenia. Dla zwykłej firmy najważniejsza praktyczna konsekwencja jest taka, że warto sprawdzać, czy dostawca używanego modelu AI deklaruje zgodność z tymi obowiązkami.

Obowiązki przejrzystości (chatboty, deepfake, treści AI)

To sekcja, która dotyczy największej liczby firm, ponieważ obowiązki przejrzystości z Art. 50 odnoszą się do bardzo powszechnych zastosowań AI. Trzy główne zasady są następujące:

• Chatboty i interakcja z AI: użytkownik musi zostać poinformowany, że wchodzi w interakcję z systemem sztucznej inteligencji, a nie z człowiekiem (chyba że jest to oczywiste z kontekstu).
• Treści generowane przez AI i deepfake: treści wygenerowane lub zmodyfikowane przez AI, w tym deepfake, powinny zostać odpowiednio oznaczone.
• Oznaczanie maszynowe: treści syntetyczne powinny być oznaczane w sposób możliwy do odczytania maszynowego (np. dla systemów weryfikujących pochodzenie treści).

Jeśli prowadzisz obsługę klienta z udziałem chatbota, jest to obszar, na który trzeba zwrócić szczególną uwagę. Praktyczne wskazówki opisujemy w artykule o tym, jak wdrożyć chatbota AI w firmie, a szersze spojrzenie na wykorzystanie AI w kontakcie z klientem znajdziesz w materiale o AI w obsłudze klienta. Przypominamy jednak o niepewności co do dat: zgodnie ze wstępnym porozumieniem Digital Omnibus termin dla obowiązku oznaczania treści generowanych przez AI miałby wynosić do 2 grudnia 2026 r., ale – jak zaznaczyliśmy wyżej – porozumienie nie zostało jeszcze formalnie przyjęte (stan na czerwiec 2026 r.).

Kary za naruszenia

AI Act przewiduje wysokie maksymalne pułapy kar administracyjnych, zróżnicowane w zależności od rodzaju naruszenia. Rozporządzenie ustala trzy główne progi:

• Do 35 mln euro lub 7% rocznego światowego obrotu (zależnie od tego, która kwota jest wyższa) – za stosowanie praktyk zakazanych z Art. 5.
• Do 15 mln euro lub 3% rocznego światowego obrotu – za naruszenie pozostałych obowiązków, w tym dotyczących GPAI.
• Do 7,5 mln euro lub 1,5% rocznego światowego obrotu – za podanie organom nieprawidłowych lub wprowadzających w błąd informacji.

Istotne dla mniejszych podmiotów: w przypadku małych i średnich przedsiębiorstw (MŚP) oraz startupów stosuje się NIŻSZY z odpowiednich progów. To rozwiązanie ma chronić mniejsze firmy przed nieproporcjonalnie wysokimi sankcjami, ale nie zwalnia ich z obowiązku zgodności.

AI Act w Polsce: ustawa i KRiBSI

Rozporządzenie unijne obowiązuje wprost we wszystkich państwach członkowskich, ale każdy kraj musi zorganizować krajowy system nadzoru. W Polsce odpowiada za to ustawa o systemach sztucznej inteligencji. Rząd przyjął jej projekt 31 marca 2026 r., a następnie Sejm uchwalił ustawę w 2026 r., w głosowaniu zdecydowaną większością. Ustawa wdraża AI Act do polskiego porządku prawnego i ustanawia krajowy organ nadzoru.

Tym organem jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Do jej zadań należą między innymi:

• Prowadzenie postępowań w sprawie naruszeń i nakładanie administracyjnych kar pieniężnych.
• Wydawanie opinii i interpretacji – na przykład dla sektora bankowego czy diagnostyki medycznej.
• Tworzenie i prowadzenie piaskownic regulacyjnych, czyli kontrolowanych środowisk testowych dla firm.
• Prowadzenie działań edukacyjnych w zakresie sztucznej inteligencji.
• Współpraca z organami UE oraz organami innych państw.

Warto pamiętać o jednej zasadniczej kwestii: obowiązki materialne, czyli to, co firma faktycznie musi spełnić, wynikają wprost z rozporządzenia UE 2024/1689, a nie z ustawy krajowej. Ustawa głównie organizuje nadzór i wprowadza KRiBSI. Część przepisów krajowych – między innymi szczegóły dotyczące systemów wysokiego ryzyka i piaskownic regulacyjnych – jest jeszcze dopracowywana w latach 2026-2027, dlatego warto śledzić kolejne etapy legislacji. Piaskownice regulacyjne mogą być szczególnie atrakcyjne dla firm, które chcą testować innowacyjne rozwiązania AI w kontrolowanych warunkach i przy wsparciu organu.

W praktyce oznacza to dwutorowe podejście do śledzenia przepisów. Z jednej strony firma powinna patrzeć na rozporządzenie unijne, bo to ono definiuje, co dokładnie trzeba zrobić – jakie obowiązki mają dostawcy i podmioty stosujące, jak klasyfikować ryzyko i jakie są terminy. Z drugiej strony trzeba obserwować polską ustawę i działania KRiBSI, ponieważ to na poziomie krajowym rozstrzygać się będą kwestie proceduralne: jak wygląda zgłoszenie do piaskownicy, jak prowadzone są postępowania, w jaki sposób organ wydaje interpretacje dla konkretnych branż. Dla sektorów takich jak bankowość czy diagnostyka medyczna, gdzie KRiBSI ma wydawać opinie, te interpretacje mogą okazać się równie ważne jak sam tekst rozporządzenia, bo przełożą ogólne zasady na realia danej branży.

Co musi zrobić Twoja firma – praktyczne kroki

Niezależnie od wielkości, niemal każda firma korzystająca z AI powinna przejść przez kilka podstawowych kroków. Poniżej praktyczna lista działań:

1. Inwentaryzacja systemów AI, w tym „shadow AI”. Sporządź spis wszystkich narzędzi AI faktycznie używanych w organizacji – również tych, które pracownicy wprowadzili samodzielnie bez wiedzy działu IT (tzw. shadow AI).
2. Klasyfikacja ryzyka. Przypisz każdy system do jednej z czterech kategorii ryzyka. Szczególną uwagę zwróć na zastosowania, które mogą być wysokiego ryzyka (rekrutacja, scoring, biometria).
3. Kompetencje AI literacy w zespole. Zadbaj o spełnienie obowiązku z Art. 4 – osoby pracujące z systemami AI powinny mieć odpowiednią wiedzę o ich możliwościach, ograniczeniach i ryzykach.
4. Obowiązki przejrzystości i oznaczanie. Upewnij się, że informujesz o korzystaniu z chatbotów oraz oznaczasz treści generowane przez AI, w tym deepfake.
5. Dokumentacja i nadzór człowieka dla systemów wysokiego ryzyka. Jeśli używasz lub dostarczasz systemy wysokiego ryzyka, przygotuj wymaganą dokumentację, logi i procedury rzeczywistego nadzoru człowieka.
6. Weryfikacja dostawców narzędzi AI i GPAI. Sprawdź, czy dostawcy używanych przez Ciebie modeli i narzędzi deklarują zgodność z AI Act, w tym z obowiązkami dla GPAI.
7. Monitorowanie zmian i Digital Omnibusa. Śledź status pakietu upraszczającego oraz prac nad polską ustawą – terminy mogą się jeszcze zmienić, a planowanie zgodności powinno opierać się na aktualnym stanie prawnym.

Jeśli chcesz lepiej zrozumieć, gdzie AI realnie pomaga w biznesie, zobacz nasze zestawienie zastosowania AI w firmie. Dobre wdrożenie zaczyna się od mapy procesów i celów, a dopiero potem dobierane są narzędzia.

FAQ – AI Act

Czy AI Act dotyczy małych firm?

Tak. AI Act nie zwalnia małych firm z obowiązków – jego zakres zależy od roli (dostawca, podmiot stosujący) i kategorii ryzyka systemu, a nie od wielkości przedsiębiorstwa. Dla MŚP i startupów przewidziano pewne ułatwienia (np. niższy z odpowiednich progów kar), ale podstawowe obowiązki, jak kompetencje AI literacy czy przejrzystość, obowiązują niezależnie od rozmiaru organizacji.

Czy korzystanie z ChatGPT lub Copilota podlega AI Act?

Tak, w zakresie odpowiednich obowiązków. Korzystając z takich narzędzi, firma najczęściej jest podmiotem stosującym (deployerem) i obejmują ją m.in. obowiązki przejrzystości (np. oznaczanie treści generowanych przez AI) oraz kompetencje AI literacy. Dostawcy tych modeli ogólnego przeznaczenia podlegają z kolei obowiązkom dla GPAI. To, jak dokładnie wygląda zgodność, zależy od sposobu wykorzystania narzędzia w Twoich procesach.

Od kiedy obowiązują przepisy o systemach wysokiego ryzyka?

Zgodnie z pierwotnym harmonogramem systemy wysokiego ryzyka z Aneksu III obowiązują od 2 sierpnia 2026 r., a z Aneksu I od 2 sierpnia 2027 r. Wstępne porozumienie Digital Omnibus z 7 maja 2026 r. przewiduje przesunięcie tych terminów (odpowiednio na 2 grudnia 2027 r. i 2 sierpnia 2028 r.), ale na czerwiec 2026 r. nie zostało ono jeszcze formalnie przyjęte, więc formalnie obowiązuje termin 2 sierpnia 2026 r.

Jakie są kary za naruszenie AI Act?

Rozporządzenie przewiduje trzy progi maksymalnych kar: do 35 mln euro lub 7% rocznego światowego obrotu za praktyki zakazane; do 15 mln euro lub 3% za naruszenie pozostałych obowiązków, w tym dotyczących GPAI; oraz do 7,5 mln euro lub 1,5% za podanie organom nieprawidłowych lub wprowadzających w błąd informacji. Dla MŚP i startupów stosuje się niższy z odpowiednich progów.

Czy muszę oznaczać treści tworzone przez AI?

Tak. Art. 50 AI Act wprowadza obowiązek oznaczania treści wygenerowanych lub zmodyfikowanych przez AI, w tym deepfake, a treści syntetyczne powinny być oznaczane także w sposób odczytywalny maszynowo. Należy również informować użytkowników, że wchodzą w interakcję z chatbotem. Wstępne porozumienie Digital Omnibus wskazuje dla obowiązku oznaczania termin do 2 grudnia 2026 r., ale nie zostało ono jeszcze formalnie przyjęte (stan na czerwiec 2026 r.).

Jaki organ nadzoruje AI Act w Polsce?

W Polsce krajowym organem nadzoru jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), ustanowiona na podstawie ustawy o systemach sztucznej inteligencji. KRiBSI prowadzi postępowania w sprawie naruszeń i nakłada kary, wydaje opinie i interpretacje, tworzy piaskownice regulacyjne, prowadzi działania edukacyjne oraz współpracuje z organami UE i innych państw.

Zastrzeżenie: Niniejszy artykuł ma charakter wyłącznie informacyjny i edukacyjny i nie stanowi porady prawnej. Stan prawny opisano na czerwiec 2026 r. Przepisy mogą się zmienić, w szczególności w związku z pakietem Digital Omnibus, który na ten moment nie został jeszcze formalnie przyjęty. W indywidualnych sprawach warto skonsultować się z doradcą prawnym.

Potrzebujesz pomocy we wdrożeniu AI zgodnie z przepisami albo chcesz przeprowadzić audyt używanych w firmie narzędzi AI? W CodeScriptum wspieramy firmy w bezpiecznym i zgodnym z prawem wdrażaniu sztucznej inteligencji. Sprawdź, jak możemy pomóc w ramach automatyzacji procesów AI i umów się na bezpłatną konsultację – oddzwonimy i wspólnie omówimy Twoje potrzeby.