2 sierpnia 2026 minął kolejny ważny termin we wdrażaniu AI Act, pierwszej kompleksowej regulacji sztucznej inteligencji na świecie. W sieci zapanowało lekkie zamieszanie: jedni piszą, że "AI Act właśnie wszedł w życie", inni, że "większość przepisów już obowiązuje", a jeszcze inni straszą karami do 35 mln euro. Jak zwykle prawda jest bardziej zniuansowana i, co ważne dla firm, całkiem dobrze policzalna.

W tym wpisie zbieram wszystko, co jako firma korzystająca z AI musisz wiedzieć: co już obowiązuje, co wejdzie później, jakie są kary i od czego sensownie zacząć. Bez paniki i bez prawniczego żargonu.

Najpierw najważniejsze: AI Act nie wszedł "naraz"

AI Act formalnie wszedł w życie już w sierpniu 2024, ale jego przepisy włączają się etapami, rozłożonymi na cztery lata. Wygląda to tak:

• 2 lutego 2025: zakaz najbardziej szkodliwych praktyk AI oraz obowiązek zapewnienia kompetencji AI u pracowników (tzw. AI literacy)
• 2 sierpnia 2025: obowiązki dla dostawców modeli ogólnego przeznaczenia (GPAI), czyli m.in. dużych modeli językowych
• 2 sierpnia 2026: obowiązki przejrzystości z art. 50, o których za chwilę, bo to one dotyczą największej liczby firm
• 2 grudnia 2027: wymogi dla samodzielnych systemów wysokiego ryzyka (załącznik III)
• 2 sierpnia 2028: wymogi dla AI wbudowanego w produkty regulowane przez UE, np. wyroby medyczne czy zabawki

Warto tu odnotować jedną rzecz, bo sporo starszych artykułów wprowadza w błąd: pierwotnie wymogi dla systemów wysokiego ryzyka miały ruszyć właśnie 2 sierpnia 2026. Ten termin został przesunięty na grudzień 2027 (systemy samodzielne) i sierpień 2028 (AI w produktach regulowanych). Jeśli więc czytałeś, że "od sierpnia 2026 systemy wysokiego ryzyka muszą spełniać wszystkie wymogi", to jest to już nieaktualne.

Cztery kategorie ryzyka, czyli fundament całej regulacji

AI Act nie traktuje każdego systemu AI tak samo. Wszystko opiera się na klasyfikacji ryzyka:

1. Ryzyko niedopuszczalne: praktyki całkowicie zakazane
2. Ryzyko wysokie: dozwolone, ale obłożone poważnymi wymogami
3. Ryzyko ograniczone: głównie obowiązki przejrzystości
4. Ryzyko minimalne: brak dodatkowych obowiązków

Z perspektywy firmy to jest punkt wyjścia do wszystkiego. Zanim zaczniesz analizować przepisy, musisz wiedzieć, do której kategorii wpadają narzędzia, których używasz albo które sprzedajesz. Filtr antyspamowy i autocomplete to ryzyko minimalne. Chatbot obsługi klienta to obowiązki przejrzystości. AI wspierające rekrutację albo scoring kredytowy to już wysokie ryzyko i zupełnie inna skala obowiązków.

Co jest zakazane (i to już od lutego 2025)

Lista zakazanych praktyk obejmuje m.in.:

• AI wykorzystujące techniki podprogowe i manipulacyjne, działające poza świadomością użytkownika
• Social scoring, czyli ocenianie ludzi na podstawie zachowań społecznych lub cech osobistych
• Przewidywanie przestępczości wyłącznie na podstawie profilowania osoby
• Nieukierunkowane scrapowanie wizerunków z internetu lub monitoringu do baz rozpoznawania twarzy

Dla większości firm to nie jest codzienny problem, ale warto zrobić szybki przegląd, czy żadne z używanych narzędzi (zwłaszcza marketingowych) nie ociera się o te obszary. Za naruszenie zakazów grożą najwyższe kary w całej regulacji.

Sierpień 2026: przejrzystość, czyli przepis, który dotyczy prawie każdego

To jest właściwa nowość z 2 sierpnia 2026 i jednocześnie część AI Act, która realnie dotknie największą liczbę firm. Art. 50 wprowadza obowiązki przejrzystości:

• Chatboty i wirtualni asystenci: użytkownik musi wiedzieć, że rozmawia z AI, a nie z człowiekiem. Koniec z udawaniem, że "konsultant Marek" to żywa osoba
• Treści generowane przez AI: syntetyczne audio, wideo, obrazy i deepfake muszą być oznaczone jako wygenerowane lub zmanipulowane
• Systemy rozpoznawania emocji i kategoryzacji biometrycznej: osoby, wobec których są stosowane, muszą zostać o tym poinformowane

Jeśli masz na stronie chatbota, generujesz grafiki do kampanii albo publikujesz materiały tworzone przez AI, to właśnie stałeś się adresatem tych przepisów.

Systemy wysokiego ryzyka: masz czas do końca 2027, ale nie za dużo

Wysokie ryzyko to m.in. AI stosowane w rekrutacji, edukacji, dostępie do usług finansowych, wymiarze sprawiedliwości czy infrastrukturze krytycznej. Wymogi są tu poważne: dokumentacja techniczna, system zarządzania jakością, oceny ryzyka, nadzór człowieka nad systemem, rejestracja w unijnej bazie danych.

Termin to 2 grudnia 2027 (a dla AI wbudowanego w produkty regulowane: 2 sierpnia 2028). Brzmi odlegle, ale wdrożenie systemu zarządzania jakością i przygotowanie dokumentacji to nie jest projekt na dwa tygodnie. Szacunki mówią o kosztach rzędu 20 do 40 tys. euro dla firm, które już mają systemy zarządzania jakością, a więcej dla tych, które zaczynają od zera. Jeśli twój produkt wpada w wysokie ryzyko, sensownie jest zacząć już teraz.

Budujesz na ChatGPT albo Claude? To też o tobie

Modele ogólnego przeznaczenia (GPAI) mają własny zestaw obowiązków już od sierpnia 2025: dokumentacja techniczna, polityka dotycząca praw autorskich, a dla największych modeli także ocena ryzyka systemowego.

Większość tych obowiązków spoczywa na dostawcach modeli, czyli OpenAI, Anthropic, Google itd. Ale jeśli budujesz produkt na bazie takiego modelu, musisz wiedzieć, gdzie kończy się odpowiedzialność dostawcy, a zaczyna twoja. Zwłaszcza jeśli znacząco modyfikujesz model albo wykorzystujesz go w obszarze wysokiego ryzyka.

Szkolenia z AI to obowiązek prawny, nie benefit

Trochę niedoceniany element AI Act: od lutego 2025 firmy mają obowiązek zapewnić, że osoby korzystające z AI w ich imieniu mają odpowiedni poziom kompetencji w tym zakresie. W praktyce oznacza to szkolenia z odpowiedzialnego korzystania z AI, dopasowane do roli i kontekstu, plus dokumentację, że takie działania faktycznie miały miejsce.

Jeśli twój zespół używa AI na co dzień (a używa, nawet jeśli oficjalnie nie), to jest jeden z najtańszych i najszybszych kroków do zgodności z przepisami.

Kary: trzy progi, konkretne kwoty

AI Act przewiduje trzystopniowy system kar (art. 99):

• do 35 mln euro lub 7% globalnego rocznego obrotu za stosowanie zakazanych praktyk
• do 15 mln euro lub 3% obrotu za naruszenie obowiązków, m.in. dotyczących systemów wysokiego ryzyka
• do 7,5 mln euro lub 1% obrotu za przekazywanie organom nieprawdziwych lub niekompletnych informacji

Ważny szczegół dla mniejszych firm: dla MŚP stosuje się niższy z dwóch progów (kwota stała albo procent obrotu). Nikt nie zamierza zamykać dziesięcioosobowej firmy karą projektowaną dla big techów, ale ryzyko finansowe i tak jest realne.

A co z egzekwowaniem w Polsce? Tu ciekawostka: ustawa wdrażająca AI Act wciąż jest w przygotowaniu. Projekt przewiduje powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji jako organu nadzoru, a do czasu jej powstania kompetencje w swoich obszarach zachowują istniejące organy jak UODO, UKE czy KNF. Brak krajowego organu nie oznacza jednak, że przepisy nie obowiązują. Rozporządzenie unijne działa bezpośrednio.

Od czego zacząć: plan minimum

Jeśli miałbym z całego AI Act wyciągnąć praktyczną checklistę na dziś, wyglądałaby tak:

1. Zinwentaryzuj wszystkie narzędzia AI używane w firmie, łącznie z tymi, których pracownicy używają "po cichu"
2. Przypisz każdemu kategorię ryzyka według AI Act
3. Sprawdź obowiązki przejrzystości z art. 50 dla swoich produktów i komunikacji: chatboty, treści generowane, deepfake
4. Wdróż procedury oznaczania treści tworzonych przez AI
5. Przeszkol zespół z odpowiedzialnego korzystania z AI i udokumentuj to
6. Jeśli cokolwiek wpada w wysokie ryzyko: zacznij przygotowania teraz, nie w 2027

To nie jest lista, która wymaga armii prawników. Punkty 1 do 5 większość firm jest w stanie ogarnąć własnymi siłami w kilka tygodni. I to one załatwiają zgodność z przepisami, które obowiązują już dziś.

Podsumowanie

AI Act to maraton, nie sprint. Najgorsza strategia to ignorowanie tematu ("przecież kary jeszcze nie działają"), a druga najgorsza to panika ("musimy natychmiast wdrożyć wszystko"). Sensowne podejście leży pośrodku: ogarnij przejrzystość i szkolenia teraz, zmapuj swoje systemy, a przygotowania do wymogów wysokiego ryzyka rozplanuj na najbliższe kwartały.

Regulacja nie jest doskonała i pewnie jeszcze nie raz się zmieni (terminy już raz przesunięto). Ale kierunek jest jasny: przejrzystość wobec użytkowników, odpowiedzialność za systemy wpływające na ludzkie życie i kompetencje osób, które z AI korzystają. Szczerze mówiąc, to akurat rzeczy, które warto robić niezależnie od przepisów.

---

Źródła:

• Instytut Łączności / gov.pl: AI Act obowiązuje. Co zmienia europejska regulacja sztucznej inteligencji
• Lex.pl: AI Act od 2 sierpnia 2026 r., kluczowe wymogi i terminy
• PCSiD: Kary AI Act 2026, kwoty, terminy i sankcje firm