AI Act po polsku 2026: pełny kalendarz obowiązków, obowiązek 2 sierpnia 2026 i kary do 7 % obrotu
Damian GębalaAutorAI Act obowiązuje w Unii od 1 sierpnia 2024, ale większość jego przepisów zaczęła obowiązywać 2 sierpnia 2026 - i tego dnia nie chodzi o debiut modeli ani o pełne reguły dla systemów wysokiego ryzyka. Kary sięgają 7 % światowego obrotu, ale tylko za złamanie zakazów z artykułu 5, a dla małej firmy obowiązuje reguła, która działa na jej korzyść.
Data 2 sierpnia 2026 jest już przeszła, więc przepisy stosuje się od niej w praktyce. Poniżej pełny kalendarz, cztery progi kar wraz z numerami artykułów i to, co realnie zmienia się dla firmy, która włącza model językowy do swojego produktu albo do codziennej pracy.
Kalendarz AI Actu na jednej osi czasu
AI Act to rozporządzenie 2024/1689. Weszło w życie 1 sierpnia 2024, ale rozporządzenia nie stosuje się w całości od dnia wejścia w życie - kolejne rozdziały mają własne terminy. Artykuł 113 mówi wprost: „It shall apply from 2 August 2026”, z listą wyjątków poniżej.
| Data | Co wchodzi w życie lub zaczyna obowiązywać |
|---|---|
| 1 sierpnia 2024 | Wejście w życie rozporządzenia. Bez obowiązków do wykonania. |
| 2 lutego 2025 | Rozdziały I i II: definicje, kompetencje AI (AI literacy) oraz zakazane praktyki z artykułu 5. |
| 2 sierpnia 2025 | Modele ogólnego przeznaczenia (GPAI), zarządzanie, wyznaczenie organów krajowych i przepisy krajowe o sankcjach. |
| 2 sierpnia 2026 | Większość przepisów i ich egzekwowanie, przejrzystość z artykułu 50, piaskownice regulacyjne. |
| 2 grudnia 2026 | Zakaz generowania treści intymnych bez zgody i materiałów CSAM; okres przejściowy dla wybranych dostawców treści syntetycznych. |
| 2 grudnia 2027 | Systemy wysokiego ryzyka z załącznika III (załącznik III = m.in. biometria, edukacja, zatrudnienie, migracja). |
| 2 sierpnia 2028 | Systemy wysokiego ryzyka wbudowane w produkty regulowane (załącznik I). |
Jedna uwaga do daty 2 lutego 2025. W polskich materiałach często pojawia się „grudzień 2024” jako data wejścia zakazów w życie. W artykule 113(1)(a) nie ma takiego terminu - rozdziały I i II stosuje się od 2 lutego 2025, a wyjątkiem są dodane później art. 5(1)(ba), (bb), 5(1a) i 5(1b), czyli zakazy z 2 grudnia 2026.
Co dokładnie rusza 2 sierpnia 2026
Trzy rzeczy, których warto pilnować, bo najczęściej myli się je w skrótach prasowych.
To nie jest debiut obowiązków dla modeli ogólnego zastosowania. Obowiązki dostawców modeli GPAI obowiązywały już rok wcześniej, od 2 sierpnia 2025. To, co rusza 2 sierpnia 2026, to prawo do ich egzekwowania: Komisja może żądać dokumentacji technicznej, oceniać model, nakazywać środków naprawczych i „issue fines for non-compliance”.
To nie jest pełne stosowanie reguł dla systemów wysokiego ryzyka. Te systemy zostały przesunięte na koniec 2027 i 2028 (poniżej).
To jest dzień, w którym zaczyna działać przejrzystość z artykułu 50. To jest realna zmiana dla firm, które pokazują ludziom treści z modelu. Jeśli budujesz chatbota, publikujesz teksty albo generujesz materiały marketingowe, artykuł 50 jest pierwszym przepisem, który dotknie Twojego produktu. O tym, jak to wygląda przy treściach w social mediach, pisałem osobno przy redakcji z AI i oznaczaniu treści.
Do tego Komisja opublikowała 20 lipca 2026 wytyczne do obowiązków przejrzystości dla dostawców i podmiotów stosujących określone systemy AI, a 31 lipca 2026 potwierdziła start egzekwowania. Obowiązek oznaczania ma być zrozumiały dla odbiorcy i pokazany w odpowiednim momencie, a nie schowany w regulaminie.
Kalendarz zmieniony: systemy wysokiego ryzyka idą na 2027 i 2028
Porozumienie polityczne o pakiecie upraszczającym („AI Omnibus”) przesunęło dwa terminy. Artykuł 113(1)(c) stanowi teraz, że przepisy o systemach wysokiego ryzyka stosuje się od 2 grudnia 2027 dla kategorii z artykułu 6(2) i załącznika III, a od 2 sierpnia 2028 dla kategorii z artykułu 6(1) i załącznika I.
Jeśli prowadzisz screening CV albo decyzje kadrowe, to jest konkretna konsekwencja: AI w rekrutacji i to, co jest legalne po AI Act - pełne obowiązki dla tej kategorii masz datę, nie dzisiaj.
Ta zmiana działa tylko w jedną stronę. Jeśli produkt podpadasz pod zgodność produktową z AI poza konkretnymi systemami wysokiego ryzyka, opóźnienie Cię nie dotyczy - przejrzystość, dokumentacja i zakazy nadal obowiązują od ustalonych dat.
Spośród zmian Omnibus wymienię dwie, które dotykają małych firm. Uproszczone wymagania dla MŚP zostały rozszerzone na spółki średniej wielkości (SMC), razem z uproszczoną dokumentacją techniczną. Nadzór nad systemami zbudowanymi na modelach GPAI został scentralizowany w Biurze AI, co ogranicza rozproszenie między organy krajowe.
Kary: cztery progi i reguła, która działa na Twoją korzyść
To jest najczęściej przekręcany fragment AI Actu, bo większość polskich materiałów podaje tylko dwie liczby i pomija wszystko, co pozwala ocenić realne ryzyko. Pełny obraz jest w artykule 99.
| Co naruszono | Limit kwotowy | Limit od obrotu | Reguła dla MŚP i startupów |
|---|---|---|---|
| Zakazane praktyki z art. 5 | do 35 000 000 EUR | do 7 % | niższa z dwóch wartości |
| Pozostałe obowiązki operatorów, w tym art. 50 (przejrzystość) | do 15 000 000 EUR | do 3 % | niższa z dwóch wartości |
| Nieprawdziwe, niekompletne lub mylące informacje podane organom | do 7 500 000 EUR | do 1 % | niższa z dwóch wartości |
| Modele GPAI - kara Komisji (art. 101) | 15 000 000 EUR | 3 % | nie dotyczy, to decyzja Komisji |
Obrotem jest „total worldwide annual turnover for the preceding financial year”, czyli światowy obrót z poprzedniego roku obrotowego, a nie obrót w Polsce.
Reguła wyboru działa w przeciwnych kierunkach w zależności od tego, kto płaci. Dla przedsiębiorstwa art. 99(3) mówi „whichever is higher” - wyższa z dwóch wartości, czyli realnie 7 % obrotu. Dla MŚP, w tym startupów, art. 99(6) mówi „whichever thereof is lower” - niższa z dwóch. Dla SMC (art. 99(6a)) reguła niższej wartości obejmuje ustępy 4 i 5, czyli NIE obejmuje zakazów z artykułu 5.
Jeśli Twoja firma ma 1 mln EUR rocznego obrotu światowego, 7 % to 70 000 EUR, więc dla Ciebie realny pułap to 70 000 EUR, a nie 35 milionów. To różnica o trzy rzędy wielkości i powód, dla którego warto przeczytać art. 99, zanim ktoś poda Ci liczbę w rozmowie.
Przy ustalaniu wysokości uwzględniane są m.in. rozmiar, obrót i udział w rynku podmiotu, stopień jego odpowiedzialności, zamiar lub brak zamiaru oraz jakość współpracy z organem. Ustawodawca zapisał też, że kary mają być skuteczne, proporcjonalne i odstraszające.
Kto w ogóle karze: państwa członkowskie, nie Komisja
Art. 99(1) jest jasny: przepisy o karach ustanawiają państwa członkowskie, nie Komisja. Każde z nich określa, czy kara jest egzekwowana przez sąd krajowy, czy przez inny organ, oraz ma obowiązek przekazać Komisji te przepisy najpóźniej w dniu stosowania aktu.
Komisja ma własną ścieżkę tylko dla dostawców modeli ogólnego przeznaczenia. Zgodnie z art. 101(1) może nałożyć na nich karę nieprzekraczającą 3 % światowego obrotu lub 15 mln EUR, jeśli uzna, że dostawca działał umyślnie lub nieumyślnie. Odwołanie od takiej decyzji rozpoznaje Trybunał Sprawiedliwości UE, który może ją uchylić, zmniejszyć albo zwiększyć.
Pozostałe obowiązki, w tym przejrzystość z artykułu 50, są w gestii organu krajowego. Jeśli prowadzisz dział w Polsce, to Twoim organem jest polski, ustanowiony przez ustawę krajową, a nie Komisja.
Co musisz zrobić jako dostawca i jako podmiot stosujący
Zacznij od ustalenia roli, bo od niej zależy zakres obowiązków. Dostawca to firma, która tworzy system AI i oferuje go pod własną marką. Podmiot stosujący to firma, która korzysta z cudzego systemu zgodnie z instrukcją. Głęboka modyfikacja gotowego systemu, zmiana przeznaczenia albo sprzedaż pod własną marką mogą przenieść Cię do pierwszej kategorii i warto to udokumentować przed startem prac.
Jeśli wdrażasz u siebie asystenta na gotowym API, jesteś po stronie podmiotu stosującego. Przy budowaniu własnego asystenta, na przykład przez połączenie ChatGPT z n8n, warto świadomie zdecydować, którą rolę przyjmujesz, bo to ona wyznacza papiery, które będziesz musiał mieć.
Lista rzeczy, które realnie da się domknąć przed wejściem w życie obowiązków:
- Rejestr narzędzi AI. Nazwa narzędzia, dostawca, wersja, właściciel procesu, cel biznesowy i decyzje, na które wpływa wynik, rodzaje danych i okres ich przechowywania, użytkownicy i poziomy dostępu, sposób nadzoru człowieka i zgłaszania incydentów. Warto obejrzeć arkusz audytowy w 40 pytań, zanim zaczniesz pisać od zera.
- Oznaczanie interakcji z maszyną. Użytkownik ma wiedzieć, że rozmawia z botem, chyba że kontekst nie czyni tego oczywistym.
- Oznaczanie treści syntetycznych. Dostawcy systemów generatywnych muszą zapewnić identyfikowalność treści z modelu, a deepfake i teksty informujące o sprawach publicznych mają być oznaczone wyraźnie i widocznie.
- Nadzór człowieka, który coś znaczy. Przycisk „zaakceptuj” to za mało. Interfejs powinien pokazywać dane wejściowe, ograniczenia i możliwość poprawy wyniku.
- Kompetencje AI w zespole. Obowiązek z lutego 2025, wciąż najczęściej lekceważony.
Jeżeli dopiero rozważasz, czy budować na cudzym modelu, czy trenować własny, trzy scenariusze kosztowe na 12 miesięcy porównują je od strony kalkulacji, ale dobór modelu to też decyzja o klasyfikacji, nie tylko o cenie.
Polska: projekt ustawy i stan na 2026
Rada Ministrów przyjęła projekt ustawy o AI 31 marca 2026, a 8 kwietnia 2026 projekt trafił do Sejmu do opinii. To ostatni potwierdzony etap, jaki udało się znaleźć w źródłach - dalszych informacji o posłuchach i uchwaleniu nie mam, więc nie będę zgadywał.
Jedno zastrzeżenie, bo często się w tym myli: UODO w materiałach źródłowych pojawia się przy RODO i ocenie skutków, a nie jako organ nadzorczy AI Act. Oba reżimy działają równolegle i mają różne podstawy prawne. Jeśli przetwarzasz dane osobowe w AI, to prywatność i wybór hostingu zostają osobnym tematem, niezależnie od tego, co rusza 2 sierpnia.
Szerszy kontekst tego, gdzie Polska stoi, opisałem przy pozycji Polski w wyścigu AI.
Trzy liczby, które warto zapamiętać
Pierwsza: 2 sierpnia 2026 to start egzekwowania, nie start całego aktu. Druga: 7 % obrotu dotyczy zakazów z artykułu 5, a nie obowiązków przejrzystości, za które grozi 3 %. Trzecia: przy MŚP obowiązuje niższa z dwóch wartości, więc limit trzeba policzyć od własnego obrotu, a nie brać z nagłówka.
Jeśli chcesz przejść przez to w firmie strukturalnie, zamiast gasić pożar przy pierwszej kontroli, analiza umów z elementami AI pokazuje, gdzie zwykle leży pierwsze ryzyko. Napisz do mnie, jeśli chcesz przegadać, jak to wygląda przy Twoim produkcie - odpowiadam zwykle tego samego dnia.