AI Act 2026: co musisz wiedzieć jako właściciel firmy 

AI Act dotyczy nie tylko firm tworzących sztuczną inteligencję, ale też każdej firmy, która z niej korzysta - a we wrześniu 2026 roku obowiązuje już większość przepisów tego rozporządzenia: wymóg przeszkolenia pracowników z podstaw AI, obowiązki dotyczące przejrzystości wobec klientów oraz realne kary sięgające 35 milionów euro. Część przepisów dotyczących systemów wysokiego ryzyka została jednak przesunięta na 2027 i 2028 rok, więc warto wiedzieć dokładnie, co obowiązuje już teraz, a co dopiero się zbliża.

Czym jest AI Act i kogo obejmuje?

AI Act to unijne rozporządzenie regulujące rozwój, wdrażanie i wykorzystanie sztucznej inteligencji - pierwsze tak kompleksowe prawo dotyczące AI na świecie. Weszło w życie 1 sierpnia 2024 roku, ale jego przepisy wchodzą w życie etapami przez kilka kolejnych lat. Warto podkreślić, że AI Act obejmuje nie tylko dostawców systemów AI (firmy tworzące i sprzedające narzędzia), ale też tak zwanych "deployerów" - czyli każdą firmę, która wdraża i używa gotowego narzędzia AI w swojej działalności, nawet jeśli sama go nie stworzyła.

Jakie są cztery kategorie ryzyka systemów AI?

Rozporządzenie dzieli systemy AI na cztery poziomy ryzyka, od których zależy zakres obowiązków. Systemy zakazane (na przykład scoring społeczny czy manipulacja behawioralna) są po prostu niedozwolone. Systemy wysokiego ryzyka (rekrutacja, ocena zdolności kredytowej, ochrona zdrowia, edukacja) wymagają szczegółowej dokumentacji, oceny ryzyka, zapewnienia jakości danych i nadzoru człowieka nad decyzjami. Systemy ograniczonego ryzyka (chatboty, treści syntetyczne, deepfake) wymagają przede wszystkim przejrzystości - poinformowania użytkownika, że rozmawia z AI albo że materiał został wygenerowany sztucznie. Systemy minimalnego ryzyka, do których zalicza się większość typowych zastosowań biznesowych (automatyzacja faktur, OCR, prognozowanie popytu w systemach ERP), nie podlegają dodatkowym obowiązkom regulacyjnym.

Dla większości małych i średnich firm korzystających z gotowych narzędzi AI do automatyzacji przetwarzania faktur czy podobnych zadań administracyjnych oznacza to, że mieszczą się w kategorii minimalnego ryzyka - ale warto to świadomie zweryfikować, a nie zakładać automatycznie, że dane narzędzie na pewno nie podlega żadnym obowiązkom.

Jakie obowiązki ma firma korzystająca z AI, a nie tylko ją tworząca?

Nawet firma niebędąca dostawcą systemu AI ma konkretne obowiązki jako jego użytkownik: musi wiedzieć, jak działa wykorzystywane narzędzie i jakie dane przetwarza, zapewnić pracownikom odpowiednie kompetencje w zakresie jego bezpiecznego użycia, utrzymywać nadzór człowieka nad decyzjami podejmowanymi z udziałem AI oraz dokumentować, w jaki sposób narzędzie jest wykorzystywane w firmie. Przy systemach ograniczonego ryzyka dochodzi obowiązek informowania klientów o kontakcie z AI - to dotyczy na przykład chatbota na stronie firmowej, który powinien jasno komunikować, że użytkownik rozmawia z automatycznym asystentem, a nie z człowiekiem.

Co już obowiązuje - harmonogram AI Act krok po kroku

Od 2 lutego 2025 roku obowiązuje artykuł 4 rozporządzenia, nakładający na firmy korzystające z AI obowiązek zapewnienia pracownikom odpowiednich kompetencji w tym zakresie - to nie tylko formalność, tylko realny wymóg udokumentowanego przeszkolenia zespołu. Od 2 sierpnia 2025 roku weszły w życie zasady zarządzania dla modeli ogólnego przeznaczenia (GPAI), czyli dużych modeli językowych, na których opierają się narzędzia takie jak ChatGPT czy Claude.

Od 2 sierpnia 2026 roku zaczęła obowiązywać większość pozostałych przepisów, w tym artykuł 50 dotyczący przejrzystości: dostawcy muszą informować użytkowników o interakcji z systemem AI, treści syntetyczne (audio, obraz, wideo, tekst) wymagają czytelnego dla maszyn oznaczenia jako wygenerowane przez AI, a materiały typu deepfake muszą być jednoznacznie oznaczone jako sztucznie wygenerowane lub zmanipulowane. Od tej samej daty ruszyło też egzekwowanie większości przepisów rozporządzenia z realnymi karami finansowymi.

Co zostało przesunięte przez pakiet Digital Omnibus?

Warto wiedzieć, że nie wszystko wchodzi w życie zgodnie z pierwotnym harmonogramem. Pakiet Digital Omnibus dał częściom rynku więcej czasu, ale nie zawiesił całego rozporządzenia. Dostawcy istniejących systemów generujących treści syntetyczne mają czas do 2 grudnia 2026 roku na wdrożenie technicznego oznaczania i mechanizmów wykrywalności takich treści. Pełne wymogi dla systemów wysokiego ryzyka (rekrutacja, edukacja, dostęp do usług) zostały przesunięte na 2 grudnia 2027 roku - to przesunięcie o kilkanaście miesięcy względem pierwotnie planowanego sierpnia 2026 roku. Systemy AI wbudowane w produkty już regulowane osobnymi przepisami (na przykład wyroby medyczne) mają najdłuższy termin - do 2 sierpnia 2028 roku.

To przesunięcie dotyczy jednak konkretnych, wąskich obowiązków związanych z systemami wysokiego ryzyka - nie zwalnia firm z ustalenia, które przepisy już obowiązują je dzisiaj, i z realizacji tych obowiązków na bieżąco.

Jakie kary grożą za naruszenie AI Act?

Sankcje są dwustopniowe i zależą od rodzaju naruszenia. Za niedopełnienie obowiązków związanych z zakazanymi praktykami AI grozi kara do 7 procent światowego rocznego obrotu firmy albo do 35 milionów euro, w zależności od tego, która kwota jest wyższa. Za naruszenia dotyczące modeli ogólnego przeznaczenia, niezgodność systemów wysokiego ryzyka z wymogami czy niedopełnienie obowiązków przejrzystości wobec użytkowników kara wynosi do 3 procent światowego obrotu albo do 15 milionów euro. To realne kwoty, które w praktyce mogą przewyższać koszt samego wdrożenia zgodności z rozporządzeniem.

Jak radzą sobie polskie firmy z dostosowaniem do AI Act?

Dane z 2026 roku pokazują wyraźną lukę między tempem wdrażania AI a gotowością regulacyjną: tylko 43 procent firm przeszkoliło wszystkich pracowników z obsługi narzędzi AI, mimo że to formalny wymóg obowiązujący od lutego 2025 roku, a 78 procent pracowników mimo to korzysta z AI w codziennej pracy. Zaledwie 55 procent firm ma sformalizowaną strategię rozwoju AI, a wiele audytów cyberbezpieczeństwa w tym obszarze ogranicza się do podstawowej weryfikacji zamiast rzetelnej oceny ryzyka. Ta luka bezpośrednio wiąże się z pytaniem, kto odpowiada, gdy AI w firmie popełni błąd - odpowiedzialność prawna spada na firmę korzystającą z narzędzia, nie na jego dostawcę, więc brak udokumentowanych procedur zgodności to nie tylko ryzyko kary z AI Act, ale i słabsza pozycja w sporze o odpowiedzialność za konkretny błąd.

Jak przygotować firmę na AI Act krok po kroku?

Zacznij od spisania wszystkich narzędzi AI faktycznie używanych w firmie - łącznie z tymi, które pracownicy stosują nieformalnie, bez wiedzy działu IT czy zarządu. Dla każdego narzędzia ustal, do której kategorii ryzyka najprawdopodobniej należy, i sprawdź, czy dostawca udostępnia wymaganą dokumentację dotyczącą działania modelu. Następnie udokumentuj szkolenie zespołu z bezpiecznego korzystania z tych narzędzi - sam fakt korzystania z AI bez udokumentowanego przeszkolenia jest już naruszeniem obowiązującego od 2025 roku artykułu 4.

Na końcu warto wyznaczyć osobę odpowiedzialną za nadzór nad zgodnością z AI Act w firmie - nie jako jednorazowy projekt audytowy, tylko jako stały proces, bo kolejne terminy (grudzień 2026, grudzień 2027, sierpień 2028) będą wymagały dalszych działań w miarę zbliżania się.

Od czego zacząć wdrażanie zgodności z AI Act w swojej firmie?

Nie zaczynaj od razu od pełnego audytu prawnego całej firmy. Sprawdź najpierw jedno, najczęściej używane narzędzie AI - często jest to chatbot obsługi klienta albo system do przetwarzania dokumentów - i ustal, czy pracownicy korzystający z niego przeszli udokumentowane szkolenie oraz czy klienci są informowani o kontakcie z AI tam, gdzie wymaga tego przejrzystość.

Zanim zainwestujesz w kosztowny audyt zgodności, warto też policzyć realny koszt i skalę wykorzystania AI w firmie - to pomaga ocenić, czy dane narzędzie w ogóle wymaga formalnego procesu zgodności, czy wystarczy podstawowe udokumentowanie jego użycia w kategorii minimalnego ryzyka.