- Kogo dotyczy
- Każdej firmy, która korzysta z AI w pracy (podmiot stosujący), a w większym zakresie tej, która tworzy systemy AI (dostawca)
- Już obowiązuje
- Zakazane praktyki i kompetencje w zakresie AI od 2.02.2025, przejrzystość (art. 50) od 2.08.2026
- Przesunięte
- Systemy wysokiego ryzyka: z załącznika III na 2.12.2027, z załącznika I na 2.08.2028
- Stan prawny
- Zmiany z rozporządzenia (UE) 2026/1744 obowiązują od 27.07.2026. Stan na listopad 2026
Szybka odpowiedź
Mała firma, która korzysta z ChatGPT, Copilota czy Gemini, już dziś ma wobec AI Act trzy obowiązki: nie stosować zakazanych praktyk (od 2 lutego 2025), dbać o kompetencje pracowników w zakresie AI (od 2 lutego 2025, po zmianach z 2026 roku jako obowiązek podejmowania działań) i oznaczać niektóre treści generowane przez AI, np. deepfake (od 2 sierpnia 2026). Obowiązki dla systemów wysokiego ryzyka, np. AI do selekcji kandydatów do pracy, przesunięto rozporządzeniem Digital Omnibus on AI na 2 grudnia 2027, a dla AI w produktach regulowanych na 2 sierpnia 2028. Rozporządzenie zmieniające opublikowano w Dzienniku Urzędowym UE 24 lipca 2026.
Wokół AI Act narosło sporo nieporozumień. Jedni słyszeli, że „wszystko przesunięto”, inni boją się kar w milionach euro za korzystanie z czatu do pisania maili. Prawda leży pośrodku: większość małych firm ma niewiele obowiązków, ale kilka z nich już obowiązuje, a w 2026 roku część terminów rzeczywiście się zmieniła.
Ten tekst porządkuje temat od strony praktycznej: co i od kiedy, kogo dotyczy i co zrobić w firmie. Opieram się na tekście rozporządzenia 2024/1689 (AI Act) i rozporządzenia zmieniającego 2026/1744 w EUR-Lex oraz na materiałach Komisji Europejskiej. Nie jestem prawnikiem: interpretację dla Twojej firmy potwierdź z radcą prawnym lub adwokatem. Stan na listopad 2026.
Co się zmieniło w 2026 roku: Digital Omnibus on AI
W listopadzie 2025 Komisja Europejska zaproponowała pakiet uproszczeń przepisów cyfrowych, w tym zmiany w AI Act. Parlament Europejski i Rada uzgodniły je w maju 2026 (komunikat Komisji z 7 maja 2026). Ostatecznie przyjęto je jako rozporządzenie (UE) 2026/1744 z 8 lipca 2026, opublikowane w Dzienniku Urzędowym UE 24 lipca 2026 i obowiązujące od 27 lipca 2026. To już nie projekt, tylko obowiązujące prawo.
Najważniejsze zmiany z punktu widzenia małej i średniej firmy:
- Systemy wysokiego ryzyka z załącznika III (m.in. zatrudnienie, edukacja, biometria, infrastruktura krytyczna) – obowiązki od 2 grudnia 2027 zamiast od 2 sierpnia 2026.
- Systemy wysokiego ryzyka z załącznika I (AI jako element produktów regulowanych, np. wind, zabawek, wyrobów medycznych) – od 2 sierpnia 2028 zamiast 2 sierpnia 2027.
- Kompetencje w zakresie AI (art. 4) – obowiązek nadal istnieje, ale przeformułowany: firma ma podejmować działania wspierające odpowiedni poziom kompetencji personelu, a Komisja i państwa członkowskie mają ją w tym wspierać.
- Oznaczanie treści generowanych przez AI w formacie odczytywalnym maszynowo (obowiązek dostawców) – dla systemów wprowadzonych na rynek przed 2 sierpnia 2026 okres przejściowy do 2 grudnia 2026.
- Nowe zakazy – generowanie przy użyciu AI materiałów przedstawiających seksualne wykorzystywanie dzieci oraz intymnych wizerunków rozpoznawalnych osób bez ich zgody (tzw. aplikacje do „rozbierania”). Według opracowań kancelarii prawnych obowiązują od 2 grudnia 2026.
- MŚP i małe spółki o średniej kapitalizacji – uproszczona dokumentacja techniczna i system zarządzania jakością dla dostawców systemów wysokiego ryzyka oraz łagodniejsze limity kar.
Omnibus przesunął przede wszystkim przepisy o systemach wysokiego ryzyka. Zakazy, kompetencje w zakresie AI i obowiązki przejrzystości z art. 50 obowiązują według pierwotnego harmonogramu. Wyjątkiem jest krótki okres przejściowy na oznaczanie treści w systemach wprowadzonych na rynek przed 2 sierpnia 2026. Jeśli ktoś mówi Ci, że „AI Act przesunięto do 2027”, to uproszczenie, które może kosztować.
Oś czasu AI Act po zmianach
Kim jesteś według AI Act: dostawca czy podmiot stosujący
AI Act różnicuje obowiązki według roli. Dla małej firmy liczą się dwie:
| Rola | Kto to jest | Przykład w małej firmie |
|---|---|---|
| Podmiot stosujący | Firma, która używa systemu AI w swojej działalności | Biuro pisze maile w ChatGPT Business, handlowcy używają Copilota, sklep generuje opisy produktów |
| Dostawca | Firma, która tworzy system AI lub zleca jego stworzenie i wprowadza go na rynek albo oddaje do użytku pod własną nazwą | Software house sprzedający aplikację z AI; firma, która zbudowała własne narzędzie AI i udostępnia je klientom |
Zdecydowana większość małych firm to podmioty stosujące. Granica bywa jednak cienka: jeśli zbudujesz na bazie modelu językowego chatbota i udostępnisz go pod swoją marką na stronie, warto z prawnikiem ustalić, czy w tym zakresie nie jesteś dostawcą. Obowiązki dostawców są szersze.
Co obowiązuje firmę już dziś
1. Zakazane praktyki (od 2 lutego 2025)
Artykuł 5 AI Act zakazuje m.in. systemów manipulujących ludźmi w sposób, który może wyrządzić im poważną szkodę, wykorzystywania słabości osób ze względu na wiek, niepełnosprawność lub sytuację ekonomiczną, oceny społecznej (scoringu), tworzenia baz wizerunków twarzy przez nieukierunkowane pobieranie zdjęć z internetu lub nagrań z kamer oraz rozpoznawania emocji w miejscu pracy i w edukacji (z wyjątkami medycznymi i bezpieczeństwa). Za naruszenie zakazów grozi kara do 35 mln euro lub 7% rocznego światowego obrotu, przy czym dla MŚP stosuje się niższą z tych kwot.
Dla zwykłej firmy najbardziej praktyczny jest zakaz rozpoznawania emocji pracowników. Jeśli rozważasz narzędzie, które „analizuje nastrój” konsultantów na infolinii albo zaangażowanie pracowników na spotkaniach, zatrzymaj się i skonsultuj to z prawnikiem.
2. Kompetencje w zakresie AI (od 2 lutego 2025, zmienione w 2026)
Art. 4 dotyczy zarówno dostawców, jak i podmiotów stosujących, czyli praktycznie każdej firmy, która używa AI. Po zmianach z rozporządzenia 2026/1744 firma ma podejmować działania wspierające wystarczający poziom kompetencji osób, które w jej imieniu korzystają z AI, z uwzględnieniem ich roli i kontekstu użycia. Komisja Europejska prowadzi pytania i odpowiedzi o kompetencjach w zakresie AI. Co to znaczy w praktyce:
- krótkie szkolenie dla osób korzystających z AI: jak działa, gdzie się myli, czego nie wklejać,
- spisane zasady korzystania z AI (wzór w tekście polityka korzystania z AI w firmie),
- lista obecności lub notatka ze szkolenia jako dowód, że działania podjęto.
Nie ma wymogu certyfikatu ani egzaminu. Ten obowiązek najłatwiej spełnić przy okazji wdrożenia, które opisuję w planie wdrożenia AI w firmie na 30 dni.
3. Przejrzystość (art. 50, od 2 sierpnia 2026)
Tu obowiązki są podzielone między dostawców i podmioty stosujące:
| Sytuacja | Kto ma obowiązek | Co zrobić |
|---|---|---|
| Chatbot rozmawia z ludźmi | Dostawca systemu | Osoba musi wiedzieć, że rozmawia z AI, chyba że to oczywiste. Jeśli masz chatbota na stronie, i tak wyraźnie to napisz |
| Deepfake: obraz, dźwięk lub wideo, które przypominają istniejące osoby, miejsca lub zdarzenia i mogą zostać uznane za prawdziwe | Podmiot stosujący, czyli Ty | Ujawnij, że treść została wygenerowana lub zmanipulowana. Przy treściach artystycznych i satyrycznych w sposób, który nie psuje odbioru |
| Tekst publikowany, żeby informować opinię publiczną o sprawach publicznych | Podmiot stosujący | Ujawnij użycie AI, chyba że tekst przeszedł redakcję człowieka, który bierze za niego odpowiedzialność |
| Rozpoznawanie emocji lub kategoryzacja biometryczna (poza zakazanymi przypadkami) | Podmiot stosujący | Poinformuj osoby, których to dotyczy, i przestrzegaj RODO |
| Treści generowane przez AI oznaczane w formacie odczytywalnym maszynowo | Dostawca systemu | Dla istniejących systemów okres przejściowy do 2 grudnia 2026 |
Typowy wpis na firmowym blogu albo opis produktu napisany z pomocą AI i sprawdzony przez pracownika nie wymaga oznaczenia na podstawie art. 50. Realistyczne zdjęcie „zadowolonego klienta” wygenerowane przez AI w reklamie to już inna sprawa: oznacz je, a najlepiej nie używaj zmyślonych klientów w ogóle.
Co przesunięto: systemy wysokiego ryzyka
Systemy wysokiego ryzyka z załącznika III to m.in. AI używane do rekrutacji i selekcji kandydatów, decyzji o awansie, zwolnieniu, przydziale zadań i monitorowaniu pracowników, oceny zdolności kredytowej osób fizycznych, ustalania cen ubezpieczeń na życie i zdrowotnych oraz systemy w edukacji. Podmiot stosujący takie systemy będzie musiał m.in. używać ich zgodnie z instrukcją dostawcy, zapewnić nadzór człowieka z odpowiednimi kompetencjami, monitorować działanie, przechowywać logi i informować pracowników przed wdrożeniem systemu w miejscu pracy.
Te obowiązki zaczną się 2 grudnia 2027. Jeśli w firmie myślisz o narzędziu do automatycznej oceny CV albo ocen pracowników, masz czas, ale nie zostawiaj tego na jesień 2027. Wybierając dostawcę już dziś, pytaj, jak przygotowuje się do wymogów dla systemów wysokiego ryzyka i jaką dokumentację Ci przekaże.
Przesunięcie terminów AI Act nie zmienia przepisów o ochronie danych osobowych. Automatyczna ocena kandydatów czy pracowników z użyciem ich danych już dziś podlega RODO, w tym zasadom dotyczącym zautomatyzowanego podejmowania decyzji. Wytyczne i komunikaty publikuje Urząd Ochrony Danych Osobowych.
Polska ustawa o systemach sztucznej inteligencji
AI Act jest rozporządzeniem, więc obowiązuje bezpośrednio. Polska ustawa uzupełnia go o organy i procedury. To ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), ogłoszona 27 lipca 2026. Najważniejsze dla firm:
- organem nadzoru rynku i punktem kontaktowym jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI),
- firmy mogą wystąpić o opinię indywidualną w sprawie stosowania przepisów o AI, podobnie jak przy interpretacjach podatkowych,
- ustawa przewiduje piaskownice regulacyjne do testowania rozwiązań AI pod nadzorem,
- przepisy dotyczące m.in. opinii i postępowań weszły w życie później niż reszta ustawy, jesienią 2026 roku.
Szczegóły procedur, opłat i terminów sprawdź w tekście ustawy i komunikatach Ministerstwa Cyfryzacji na gov.pl.
Lista kontrolna dla małej i średniej firmy
- Zrób rejestr narzędzi AI
Prosta tabela: narzędzie, kto używa, do czego, jakie dane trafiają do systemu, czy konto jest firmowe. Uwzględnij funkcje AI wbudowane w programy, z których już korzystasz: CRM, pakiet biurowy, system rekrutacyjny, narzędzie do obsługi infolinii.
- Ustal swoją rolę przy każdym narzędziu
Kupione i używane narzędzie to rola podmiotu stosującego. Własny system udostępniany klientom pod Twoją marką może oznaczać rolę dostawcy.
- Sprawdź listę zakazów
Szczególnie funkcje „analizy emocji” i „oceny zaangażowania” pracowników.
- Przeszkol ludzi i spisz zasady
To spełnia obowiązek dotyczący kompetencji i ogranicza ryzyko wycieku danych. Zachowaj notatkę i listę obecności.
- Oznacz chatbota i treści syntetyczne
Komunikat „Rozmawiasz z asystentem AI” przy chatbocie na stronie i oznaczenie realistycznych grafik czy nagrań wygenerowanych przez AI. O chatbotach piszę też w tekście jak działają chatboty na stronach firmowych.
- Zaplanuj systemy wysokiego ryzyka
Jeśli używasz lub planujesz AI w rekrutacji czy ocenie pracowników, wpisz do kalendarza przegląd z prawnikiem w 2027 roku i zbieraj dokumentację od dostawcy.
- Wróć do tematu co pół roku
Komisja wydaje wytyczne, a KRiBSI zaczyna działać. Zaktualizuj rejestr i zasady.
Firma handlowa, kilkadziesiąt osób. Zarząd słyszy, że „AI Act przesunięto”, więc odkłada temat. Rejestr narzędzi pokazuje jednak pięć miejsc z AI: czat w pakiecie biurowym, generator opisów w sklepie, chatbot na stronie, moduł w systemie rekrutacyjnym, który sortuje CV, i funkcję oceny „nastroju rozmowy” w programie do infolinii. Chatbot dostaje wyraźny komunikat, że jest asystentem AI. Funkcja oceny emocji konsultantów zostaje wyłączona po konsultacji z prawnikiem. Moduł sortujący CV trafia na listę systemów do przeglądu przed grudniem 2027, a pracownicy przechodzą godzinne szkolenie z zasad korzystania z AI.
Kiedy lepiej to zlecić
Ocenę prawną zostaw prawnikowi. Ja pomagam w części technicznej i organizacyjnej, która często jest większa, niż się wydaje:
- rejestr narzędzi AI, w tym funkcji ukrytych w programach, których używacie od lat,
- przejście z prywatnych kont AI na firmowe z panelem administratora, o czym piszę w tekście ChatGPT Business, Copilot czy Gemini,
- szkolenie zespołu z bezpiecznego korzystania z AI i spisane zasady,
- oznaczenie chatbota i treści na stronie,
- przygotowanie danych i dokumentacji dla prawnika, który oceni systemy wysokiego ryzyka.
Robię to w ramach obsługi IT dla firm.
Chcesz uporządkować AI w firmie przed kolejnymi terminami?
Przygotuję rejestr narzędzi AI, przeniosę zespół na konta firmowe, poprowadzę szkolenie i pomogę spisać zasady, a dokumentację przekażę Twojemu prawnikowi. Pracuję zdalnie w całej Polsce, a w Sieradzu i okolicach mogę przyjechać. Wycenę dostajesz przed rozpoczęciem pracy.
Najczęstsze pytania
Czy AI Act przesunięto w całości?
Nie. Rozporządzenie 2026/1744 przesunęło głównie obowiązki dla systemów wysokiego ryzyka: z załącznika III na 2 grudnia 2027, z załącznika I na 2 sierpnia 2028. Zakazy i kompetencje w zakresie AI obowiązują od 2 lutego 2025, a obowiązki przejrzystości z art. 50 od 2 sierpnia 2026.
Czy Digital Omnibus on AI został już przyjęty?
Tak. To rozporządzenie (UE) 2026/1744 z 8 lipca 2026, opublikowane w Dzienniku Urzędowym UE 24 lipca 2026. Obowiązuje od 27 lipca 2026, więc nowe terminy są już wiążące.
Jakie obowiązki ma mała firma, która używa ChatGPT?
Przede wszystkim działania na rzecz kompetencji pracowników w zakresie AI, czyli szkolenie i zasady korzystania, oraz przestrzeganie zakazów. Jeśli publikuje deepfake, musi to ujawnić. Do tego dochodzi RODO, gdy do narzędzia trafiają dane osobowe. Interpretację dla swojej firmy potwierdź z prawnikiem.
Czy muszę oznaczać teksty napisane z pomocą AI?
Nie zawsze. Art. 50 wymaga ujawnienia przy tekstach publikowanych, by informować opinię publiczną o sprawach publicznych, chyba że tekst przeszedł redakcję człowieka, który bierze za niego odpowiedzialność. Zwykły opis produktu sprawdzony przez pracownika nie wymaga oznaczenia z tego tytułu. Deepfake trzeba oznaczać.
Kto w Polsce nadzoruje przestrzeganie AI Act?
Według ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Firmy mogą wystąpić do niej o opinię indywidualną. Sprawy danych osobowych nadal należą do UODO.
Powiązane wpisy
