AI Act w sierpniu 2026: co przesunięto, a co obowiązuje od dziś

Przez ostatnie tygodnie dwa pytania od klientów brzmiały niemal identycznie i wymagały przeciwnych odpowiedzi. Pierwsze: „słyszeliśmy, że AI Act przesunęli — możemy odpuścić?". Drugie: „od sierpnia obowiązuje już wszystko, mamy problem?". Obie tezy są nieprawdziwe, a pomyłka w którąkolwiek stronę kosztuje: albo niepotrzebny projekt compliance, albo realne ryzyko kary.

Stan na 11 sierpnia 2026 jest taki: najcięższy blok obowiązków — ten dla systemów wysokiego ryzyka — faktycznie został przesunięty, i to zaledwie kilka tygodni temu. Ale to, co weszło w życie 2 sierpnia, dotyczy dokładnie tych zastosowań AI, które w małych i średnich firmach są dziś najpowszechniejsze: chatbota na stronie i generowania treści. A od dziś dochodzi do tego polska ustawa o systemach sztucznej inteligencji.

Co dokładnie przesunął Digital Omnibus?

Dwa terminy dla systemów wysokiego ryzyka — i nic poza nimi. Przesunięcie nie jest plotką ani projektem, to obowiązujące prawo: Rozporządzenie (UE) 2026/1744, zwane Digital Omnibus on AI, zostało przyjęte przez Parlament Europejski 16 czerwca 2026 roku, zatwierdzone przez Radę 29 czerwca, opublikowane w Dzienniku Urzędowym UE 24 lipca i weszło w życie 27 lipca 2026 roku.

Zmienia dwie daty. Systemy wysokiego ryzyka z Załącznika III — te samodzielne, czyli na przykład AI w rekrutacji, w ocenie zdolności kredytowej, w edukacji czy w dostępie do usług publicznych — miały być objęte obowiązkami od 2 sierpnia 2026. Termin przesunięto o 16 miesięcy, na 2 grudnia 2027 roku. AI wysokiego ryzyka z Załącznika I — wbudowana w produkty objęte już unijnym prawem bezpieczeństwa produktów, takie jak maszyny, wyroby medyczne czy zabawki — miała mieć termin 2 sierpnia 2027. Przesunięto go o 12 miesięcy, na 2 sierpnia 2028 roku.

Powód jest prozaiczny i warto go znać, bo mówi coś o przyszłości: normy zharmonizowane, na podstawie których firmy miały wykazywać zgodność, nie były gotowe na czas. Trudno wymagać dowodu zgodności ze standardem, który jeszcze nie istnieje.

Czy artykuł 50 też został przesunięty?

Nie — i tu jest sedno nieporozumienia. Artykuł 50 — obowiązki przejrzystości — został z przesunięcia wyłączony i obowiązuje zgodnie z pierwotnym kalendarzem, od 2 sierpnia 2026 roku. Co ważniejsze: przypisany jest nie do poziomu ryzyka, a do funkcji systemu. Nie musisz mieć systemu wysokiego ryzyka, żeby cię dotyczył. Wystarczy, że masz chatbota.

Cztery obowiązki, w praktyce:

Systemy, które rozmawiają z człowiekiem. Dostawca musi zaprojektować system tak, by człowiek wiedział, że ma do czynienia z AI. Dotyczy chatbotów, asystentów głosowych, agentów i awatarów. Wyjątek: sytuacje, w których jest to oczywiste dla „rozsądnie poinformowanej, uważnej i ostrożnej" osoby. Na „to przecież oczywiste" nie warto stawiać strategii — koszt jednego zdania w interfejsie jest niższy niż koszt sporu o to, co było oczywiste.

Generatory treści syntetycznej. Dostawca systemu generującego tekst, obraz, audio lub wideo musi oznaczać wynik w formacie maszynowo czytelnym, tak by dało się wykryć, że treść została wygenerowana albo zmanipulowana. Rozwiązanie ma być „skuteczne, interoperacyjne, odporne i niezawodne w zakresie technicznie możliwym" — ta ostrożna formuła jest w tekście celowo, bo technologia znakowania wciąż dojrzewa. Wyjątki: standardowe funkcje wspomagające edycję oraz sytuacje, w których dane wejściowe nie zostały istotnie zmienione.

Rozpoznawanie emocji i kategoryzacja biometryczna. Tu obowiązek spada na wdrażającego: trzeba poinformować osoby, wobec których system działa, i zachować zgodność z RODO.

Deepfake i teksty o sprawach publicznych. Również obowiązek wdrażającego. Wygenerowany lub zmanipulowany obraz, audio i wideo trzeba ujawnić. Tekst opublikowany w celu informowania opinii publicznej o sprawach interesu publicznego — także. Są dwa wyjątki, które w praktyce ratują sytuację: twórczość artystyczna, satyryczna i fikcyjna, gdzie ujawnienie ogranicza się do wzmianki, że taka treść istnieje, bez psucia odbioru dzieła — oraz tekst, który przeszedł przegląd człowieka i za który ktoś ponosi odpowiedzialność redakcyjną.

Ten ostatni wyjątek jest dla firm najważniejszy w codziennej pracy. Jeśli treści generowane przez AI przechodzą przez człowieka, który je czyta, poprawia i firmuje, obowiązek ujawnienia z art. 50 ust. 4 nie powstaje. Warunek: ta odpowiedzialność musi być realna i przypisana konkretnej osobie, a nie zapisana w prezentacji.

Forma też jest uregulowana. Informacja musi być podana w sposób jasny i wyraźny, najpóźniej przy pierwszej interakcji, i spełniać wymogi dostępności. Ukryta w regulaminie się nie liczy.

Do kiedy trzeba oznaczać treści generowane przez AI?

Do 2 grudnia 2026 roku — i to jedyne ustępstwo, jakie Omnibus zrobił w artykule 50: wąskie i czysto techniczne. Sam obowiązek maszynowego znakowania treści syntetycznej dostał czteromiesięczną karencję. Reszta artykułu 50, w tym cała warstwa „powiedz człowiekowi, że to AI", działa od 2 sierpnia.

Co zrobić z tym czasem: sprawdzić, co twój dostawca modelu faktycznie oferuje — metadane C2PA, znak wodny, sygnaturę w pliku — włączyć to i przetestować, czy oznaczenie przeżywa twój własny pipeline publikacji: konwersję, kompresję, przycięcie do formatu społecznościowego. A potem udokumentować wybór wraz z jego ograniczeniami. Przy sformułowaniu „w zakresie technicznie możliwym" udokumentowana, świadoma decyzja jest twoją najlepszą pozycją.

Czy Komisja może już karać dostawców modeli AI?

Tak — od 2 sierpnia 2026 roku. To druga rzecz, która włączyła się tego dnia: przepisy dostały zęby. Komisja Europejska i jej AI Office mogą od tej daty wykonywać uprawnienia nadzorcze wobec dostawców modeli ogólnego przeznaczenia: żądać dokumentacji, prowadzić ocenę techniczną modelu, nakazywać środki naprawcze, ograniczyć lub wycofać model z rynku UE oraz nakładać kary — do 15 mln euro albo 3% światowego obrotu, w zależności co wyższe. Najwyższy pułap, 35 mln euro albo 7%, dotyczy praktyk zakazanych z art. 5 i obowiązuje od lutego 2025 — nie dokumentacji GPAI.

Jeśli budujesz na cudzym modelu, nie jesteś dostawcą GPAI i te kary nie są twoje. Ale twój dostawca jest, a to zmienia dwie praktyczne rzeczy. Jego dokumentacja, polityka praw autorskich i podsumowanie danych treningowych stają się dostępne i sprawdzalne — warto je faktycznie przeczytać przed wyborem modelu. A w umowie z klientem końcowym warto mieć zapis, kto odpowiada za zgodność warstwy modelu.

Co zmienia polska ustawa o systemach AI?

Rozporządzenie działa bezpośrednio, ale ktoś musi je stosować — i tę część uzupełnia polska ustawa o systemach sztucznej inteligencji. Prezydent podpisał ją 24 lipca 2026 roku, ogłoszono ją 27 lipca, a jej zasadnicze przepisy — organizacja nadzoru, jednostki notyfikowane i środki wspierające innowacje — wchodzą w życie 11 sierpnia 2026 roku, czyli w dniu publikacji tego tekstu.

Organem nadzoru jest KRiBSI — Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji: niezależny organ kolegialny, obsługiwany organizacyjnie przez Ministerstwo Cyfryzacji. W jej składzie zasiadają przedstawiciele instytucji, które i tak nadzorują swoje rynki: Prezes UOKiK, Komisja Nadzoru Finansowego, Krajowa Rada Radiofonii i Telewizji oraz Prezes UKE. Przewodniczącego powołuje Sejm za zgodą Senatu na pięcioletnią kadencję; powołanie spodziewane jest w październiku 2026, a pełna praca Komisji — od listopada.

Dwie rzeczy warte uwagi. Pierwsza: kary administracyjne KRiBSI mogą być nakładane od 28 października 2026 roku, w trzech pułapach — do 35 mln euro albo 7% obrotu za praktyki zakazane, do 15 mln euro albo 3% za pozostałe wskazane naruszenia i do 7,5 mln euro albo 1% za podanie organowi informacji nieprawdziwych lub wprowadzających w błąd. Druga: w toku prac parlamentarnych usunięto z ustawy część uprawnień władczych Komisji, takich jak nakaz wycofania systemu z rynku.

Jest też strona pozytywna, którą łatwo przegapić. Ustawa daje podstawę prawną dla piaskownic regulacyjnych — testowania systemów AI w kontrolowanych warunkach, z udziałem organu, jeszcze przed pełnym wdrożeniem na rynek. Dla mikroprzedsiębiorstw oraz małych i średnich firm udział jest bezpłatny. Jeśli budujesz coś, co ociera się o wysokie ryzyko, to tańsza droga niż zgadywanie.

flowchart LR
  subgraph NOW["Już obowiązuje"]
    direction TB
    A["2 lutego 2025<br/>praktyki zakazane<br/>+ kompetencje AI"] --> B["2 sierpnia 2025<br/>obowiązki GPAI"]
    B --> C["2 sierpnia 2026<br/>artykuł 50<br/>+ kary wobec GPAI"] --> D["11 sierpnia 2026<br/>polska ustawa<br/>o systemach AI"]
  end
  subgraph AHEAD["Jeszcze przed nami"]
    direction TB
    E["28 października 2026<br/>KRiBSI nakłada kary"] --> F["2 grudnia 2026<br/>koniec karencji<br/>na znakowanie"]
    F --> G["2 grudnia 2027<br/>wysokie ryzyko,<br/>Załącznik III"] --> H["2 sierpnia 2028<br/>wysokie ryzyko,<br/>Załącznik I"]
  end
  D --> E

Co zrobić w tym kwartale?

1. Zrób inwentaryzację. Spisz każde miejsce, w którym AI styka się z człowiekiem: chatbot na stronie, bot w Telegramie, asystent głosowy, generowanie tekstów i grafik do kampanii, przesiewanie CV, scoring klientów. Bez tej listy nie da się przypisać obowiązków.

2. Do każdej pozycji dopisz swoją rolę. Dostawca czy wdrażający — artykuł 50 rozdziela obowiązki właśnie tak, a większość firm jest jednocześnie jednym i drugim: wdrażającym cudzy model i dostawcą własnego chatbota.

3. Dodaj ujawnienie przy pierwszej interakcji. Jedno zdanie w oknie czatu, w opisie bota i w wiadomości powitalnej. Dostępne i widoczne, nie w stopce regulaminu.

4. Włącz i przetestuj znakowanie treści. Termin: 2 grudnia 2026. Sprawdź, czy oznaczenie przeżywa twój własny pipeline publikacji, i zapisz, co wybrałeś oraz gdzie są granice tego rozwiązania.

5. Ustal odpowiedzialność redakcyjną za treści. Kto — imiennie — czyta i firmuje teksty generowane przez AI przed publikacją. To ten wyjątek, który zdejmuje obowiązek ujawniania z art. 50 ust. 4.

6. Zamknij dwie zaległości. Kompetencje w zakresie AI z art. 4 obowiązują od lutego 2025: wystarczy realne, krótkie szkolenie zespołu i ślad, że się odbyło. Ustal też procedurę zgłaszania poważnych incydentów, żeby nie improwizować w dniu, w którym będzie potrzebna.

Jak wygląda to w naszych produktach?

W Legalka KB, bocie relokacyjnym na Telegramie, informacja, że odpowiada AI, jest w opisie bota i w pierwszej wiadomości; każda odpowiedź podaje źródła, a gdy pytanie wychodzi poza bazę wiedzy, bot odmawia odpowiedzi zamiast improwizować. Nie zbudowaliśmy tego pod artykuł 50 — zbudowaliśmy to, żeby odpowiedzi były poprawne, a wymóg przejrzystości okazał się skutkiem ubocznym tej samej decyzji.

W eMarketing AI treści powstają z pomocą agentów, ale do publikacji trafiają przez człowieka, który je zatwierdza — czyli przez punkt, w którym powstaje odpowiedzialność redakcyjna. W Accounting AI Agent odpowiedzi opierają się na danych z wFirma, a agent mówi wprost, co odczytał. Wniosek z tych trzech przypadków jest jeden: architektura, w której model zawsze podaje źródło i zawsze ma miejsce na „nie wiem", jest jednocześnie architekturą łatwą do wykazania przed organem.

Czy ten tekst jest poradą prawną?

Nie jest poradą prawną. Jest zdjęciem stanu na 11 sierpnia 2026 roku — a daty, które podajemy, zmieniły się już raz, trzy tygodnie temu. Przed decyzjami sprawdź aktualny tekst rozporządzenia w EUR-Lex oraz informacje Ministerstwa Cyfryzacji o ustawie o systemach AI, a konkretny przypadek skonsultuj z prawnikiem. Jeśli natomiast pytanie brzmi „czy nasz chatbot i nasze treści są w porządku od strony technicznej" — to już rozmowa, którą prowadzimy na co dzień.