Autouzupełnianie Google przy frazie „ai act” podsuwa dziś dwie rodziny pytań: ogólne („co to”, „po polsku”, „kiedy wejdzie w życie”) i bardzo konkretne („art 50”, „oznaczanie treści”, „obowiązki pracodawcy”). Siedzi w tym jedna pułapka datowa: podpowiedź „ai act 2 sierpnia 2026” opisuje oś sprzed nowelizacji AI Omnibus i część firm czyta ją jako „w sierpniu 2026 muszę mieć wszystko ogarnięte”, podczas gdy terminy dla systemów wysokiego ryzyka w zatrudnieniu przesunęły się na grudzień 2027, a dla systemów wbudowanych w produkty na sierpień 2028. Ten tekst rozplątuje obie osie i porządkuje obowiązki z perspektywy zwykłej firmy, czyli najczęściej podmiotu stosującego AI, a nie dostawcy systemów. Piszę opisowo na podstawie odczytów strony Komisji Europejskiej, serwisu Ministerstwa Cyfryzacji i tekstów rozporządzenia z 31.10.2026; zapis ten nie jest poradą prawną.
- Najważniejsze informacje
- AI Act: co to jest i do kogo należy
- Cztery poziomy ryzyka, od zakazów do braku regulacji
- Oś dat: co zmieniła nowelizacja, a czego nie dotknęła
- Art. 50 w praktyce: czatbot, oznaczanie treści, deepfake
- Co firma ma naprawdę zrobić teraz
- AI Act w Polsce: ustawa krajowa i kary
- Inwentaryzacja: pierwszy krok, nie przepis
- Najczęstsze pytania
Najważniejsze informacje
| Co | Szczegóły (odczyty 31.10.2026) |
|---|---|
| Wejście w życie | 1.08.2024; stosowanie rozporządzenia biegnie etapami (art. 113) |
| Zakazy + AI literacy | od 2.02.2025; rozpoznawanie emocji w miejscu pracy i edukacji to praktyka zakazana |
| GPAI + zarządzanie | od 2.08.2025 (modele ogólnego przeznaczenia, organy nadzoru, sankcje) |
| Egzekucja + przejrzystość | od 2.08.2026: AI Office, organy państw, obowiązki art. 50 |
| Aneks III | systemy wysokiego ryzyka, w tym zatrudnienie i rekrutacja: od 2.12.2027 po nowelizacji |
| Aneks I | AI jako element produktów regulowanych (maszyny, windy, zabawki): od 2.08.2028 |
| Kary | do 35 mln EUR albo 7% obrotu za złamanie zakazów; do 15 mln EUR albo 3% za pozostałe obowiązki |
| Polska | ustawa o systemach AI podpisana przez Prezydenta (komunikat MC z 27.07.2026), nadzór ma przejąć KRiBSI |
AI Act: co to jest i do kogo należy
Rozporządzenie 2024/1689, w skrócie AI Act, to pierwsze w UE kompleksowe prawo o sztucznej inteligencji. Działa na ryzyku: nie reguluje technologii samej w sobie, tylko przypisuje wymogi do zastosowań według rozmiaru ryzyka, od zakazanych praktyk po zastosowania wolne od regulacji. Rozporządzenie weszło w życie 1 sierpnia 2024, ale jego przepisy nabierają mocy w kilku transzach, i właśnie ta etapowość jest źródłem większości zamieszania w polskich poradnikach.
Rozporządzenie rozróżnia dwie strony: dostawcę (ang. provider), czyli ktoś, kto rozwija system AI albo zlecił jego rozwój i wprowadza go do obrotu pod własną nazwą, oraz podmiot stosujący (ang. deployer), czyli firmę lub organ, który używa systemu AI w ramach swojej działalności. Definicje pochodzą z art. 3 i są szersze, niż się wydaje: w przypadku systemów wysokiego ryzyka na rynku to według strony Komisji Europejskiej podmiot stosujący zapewnia nadzór ludzki i monitorowanie, a pełen reżim dokumentacyjny spoczywa na dostawcach. Firma, która kupi gotowego czatbota albo korzysta z funkcji AI wpiętej w pakiet biurowy, jest zwykle podmiotem stosującym. Firma, która buduje własnego agenta AI i wystawia go klientom pod własną marką, może według definicji wejść w buty dostawcy, więc oś „agenci to też systemy AI” opisujemy osobno w tekstach o agentach AI.
Cztery poziomy ryzyka, od zakazów do braku regulacji
Najniższa półka to praktyki zakazane. Lista liczy dziś dziewięć pozycji, z których osiem obowiązuje od 2 lutego 2025: szkodliwa manipulacja i zwodzenie, wykorzystywanie słabości, scoring społeczny, predykcja ryzyka popełnienia przestępstwa przez jednostkę, masowe pozyskiwanie twarzy z internetu i kamer, rozpoznawanie emocji w miejscu pracy i instytucjach edukacyjnych, kategoryzacja biometryczna wywodząca cechy chronione prawem, oraz zdalna identyfikacja biometryczna w czasie rzeczywistym dla potrzeb organów ścigania w miejscach publicznych. Dziewiąta, dodana przez AI Omnibus zakaz aplikacji rozbierających (nudification), według strony KE nabiera mocy w grudniu 2026. Dla firm najistotniejsza jest pozycja o emocjach pracowników: system, który ocenia nastrój zespołu z obrazu z kamer albo głosu w rozmowach, od lutego 2025 nie jest „nowinką do rozważenia”, tylko praktyką zakazaną.
Druga półka to systemy wysokiego ryzyka, i tu leży sedno błędów w starych poradnikach. Do aneksu III rozporządzenia trafiły wrażliwe zastosowania: edukacja, zatrudnienie i zarządzanie pracownikami, dostęp do podstawowych usług, wymiar sprawiedliwości, migracja. W zakresie zatrudnienia aneks pkt 4 wymienia wprost: reklamy pracy targetowane na osobę, analizowanie i filtrowanie aplikacji, ocenę kandydatów, decyzje o awansie czy rozwiązaniu umowy, przydzielanie zadań na podstawie zachowań oraz monitorowanie i ocenę wyników pracy. Czyli narzędzie do sortowania CV albo software punktujący pracowników to system wysokiego ryzyka. Trzecia półka to obowiązki przejrzystości z art. 50, o których niżej. Czwarta, najliczniejsza, to ryzyko minimalne: według KE gry z AI i filtry spamu nie podlegają regulacji.
Oś dat: co zmieniła nowelizacja, a czego nie dotknęła
Harmonogram stosowania wyznacza art. 113. W pierwotnym brzmieniu: zakazy i kompetencje od 2.02.2025, modele ogólnego przeznaczenia i zarządzanie od 2.08.2025, a cała reszta, w tym reżim systemów wysokiego ryzyka, od 2.08.2026 (dla systemów w produktach regulowanych od 2.08.2027). Pakiet AI Omnibus, przedstawiony projektem 19 listopada 2025, z porozumieniem politycznym 7 maja 2026 i wejściem w życie 27 lipca 2026, w harmonogramie przesunął terminy dla systemów wysokiego ryzyka: aneks III na 2.12.2027, aneks I na 2.08.2028. Komisja tłumaczy to czasem na przygotowanie norm, narzędzi i procedur w całej Unii; polski komunikat rządowy dodaje, że przesunięcie „nie oznacza, że organizacje powinny wstrzymać przygotowania”, bo dostosowanie systemów wysokiego ryzyka bywa technicznie i organizacyjnie czasochłonne.
Czego nowelizacja nie ruszyła: zakazów z lutego 2025, wymogu kompetencji AI z tej samej daty (uproszczonego formalnie, z mocniejszą rolą KE i państw w promowaniu), obowiązków dla modeli ogólnego przeznaczenia z sierpnia 2025, egzekucji i przejrzystości z sierpnia 2026. Od 2 sierpnia 2026 AI Office i organy państw członkowskich są według KE odpowiedzialne za wdrażanie, nadzór i egzekwowanie, a Komisja ma pełne uprawnienia wobec modeli GPAI: może żądać dokumentacji, oceniać modele i nakładać sankcje. Dlatego fraza „ai act 2 sierpnia 2026” jest poprawna, ale opisuje egzekucję i przejrzystość, a nie obowiązki firm w zakresie, na przykład, sortowania CV: tam termin brzmi 2 grudnia 2027.
Art. 50 w praktyce: czatbot, oznaczanie treści, deepfake
Przejrzystość to transza, która najmocniej dotyka marketingu i obsługi klienta, i obowiązuje od 2 sierpnia 2026. Art. 50 ustanawia trzy rodziny obowiązków. Po pierwsze, osoba kontaktująca się z systemem AI ma dowiedzieć się, że rozmawia z maszyną, gdy nie jest to oczywiste; polski komunikat rządowy precyzuje, że informacja powinna być przekazana najpóźniej przy pierwszym kontakcie, jasno i zrozumiale. Dotyczy to czatbotów na stronie, wirtualnych asystentów i automatycznej obsługi użytkownika; podstawy tematu opisujemy w tekście o tym, czym jest czatbot. Po drugie, dostawcy systemów generujących treści mają oznaczać wyniki w formacie czytelnym maszynowo; według gov.pl dostawcy systemów wprowadzonych do obrotu przed 2 sierpnia 2026 dostali czas do 2 grudnia 2026 na dostosowanie, a materiałów opublikowanych wcześniej nie oznacza się wstecznie. Po trzecie, podmiot udostępniający deepfake ma ujawnić, że treść jest wygenerowana, z tolerancją dla dzieł artystycznych i satyrycznych, a przy tekstach o sprawach publicznych obowiązek wygasa, gdy treść przeszła przegląd człowieka z redakcyjną odpowiedzialnością.
Firmowe tłumaczenie tych trzech rodzin wygląda tak. Czatbot od dostawcy: sprawdzasz przy zakupie, czy informuje o interakcji z AI, bo obowiązki projektowe ma dostawca, ale doświadczenie klienta robi się twoje. Własny agent pod marką firmy: definicja dostawcy (własna nazwa, wprowadzanie do obrotu) może objąć firmę bez pośrednika. Grafika i wideo generowane na kampanie: gdy udają realną osobę, miejsce albo wydarzenie, masz do czynienia z deepfake i ujawniasz generowanie; zwykłe wygenerowane kreacje zostają po stronie obowiązków dostawcy narzędzia. A rozpoznawanie emocji u klientów, poza zakazaną strefą miejsca pracy, pozostaje dozwolone z obowiązkiem informowania osób, których dotyczy, i z RODO działającym równolegle, czego komunikat MC przypomina wprost.
Co firma ma naprawdę zrobić teraz
Lista realnych zadań jest krótsza, niż sugerują materiały sprzedażowe. Pierwsze: inwentaryzacja użycia AI, czyli spis narzędzi czatowych, dodatków do pakietu biurowego, funkcji AI w systemach branżowych i tych wpisywanych przez pracowników na własną rękę; bez tego spisu nie da się odpowiedzieć na żadne kolejne pytanie. Drugie: AI literacy, obowiązek kompetencji zespołu od 2.02.2025, po nowelizacji w formie uproszczonej; w praktyce to stan wiedzy ludzi, którzy AI używają, i decyzja o szkoleniu, którą opisujemy w tekście o wdrożeniu AI w firmie w ramach procesu zarządczego. Trzecie: przegląd zakupów pod dwie daty, bo rekrutacyjne narzędzia do filtrowania aplikacji będą wysokiego ryzyka od 2.12.2027, a systemy wbudowane w maszyny i produkty regulowane od 2.08.2028; przykładem branżowym, gdzie ten temat już leży, jest nasz tekst o AI w księgowości w części kadrowej, a systemami AI jako elementami maszyn zajmujemy się w tekście o AI w produkcji. Czwarte: kontrola art. 50 w obszarze marketingu i obsługi klienta, czyli deklaracja czatbota i ujawnianie deepfake. Piąte: umowy z dostawcami, bo podmiot stosujący system wysokiego ryzyka ma otrzymać od dostawcy jasne i adekwatne informacje oraz zapewnić nadzór ludzki i monitorowanie.
Czego ta lista nie zawiera: przepisu implementacyjnego krok po kroku. Zakres wymaganych działań zależy od tego, czym firma naprawdę używa AI, i stąd kolejność jest odwrotna niż w części ofert: najpierw spis, potem decyzje. Narzędzia po stronie pracownika, których ten spis dotyka, opisujemy osobno w hubie AI w biurze.
AI Act w Polsce: ustawa krajowa i kary
AI Act wymaga od państw członkowskich krajowych ram prawnych, i tu Polska przeszła drogę od projektu do podpisu w około rok. Komunikat Ministerstwa Cyfryzacji z 22 sierpnia 2025 opisywał projekt ustawy o systemach sztucznej inteligencji na etapie prac rządowych, po pozytywnej opinii Komitetu do Spraw Europejskich, z planami powołania organu nadzoru i wyznaczenia resortu cyfryzacji jako organu notyfikującego. Komunikat z 27 lipca 2026 informuje, że Prezydent RP podpisał ustawę o systemach AI i trafi ona do Dziennika Ustaw. Nadzór nad stosowaniem przepisów AI Act i ustawy ma sprawować Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), do której obywatele, przedsiębiorcy i instytucje będą mogli zgłaszać skargi na działające systemy AI. Ustawa tworzy też ramy piaskownic regulacyjnych, w których firmy testują rozwiązania AI pod nadzorem organu, i według komunikatu mikro-, mali i średni przedsiębiorcy będą mogli w nich uczestniczyć nieodpłatnie.
Kary z rozporządzenia są osobnym argumentem, żeby temat traktować poważnie: za złamanie zakazów z art. 5 administracyjne grzywny sięgają 35 mln EUR albo 7% globalnego obrotu rocznego, zależnie od tego, co jest wyższe, a za pozostałe obowiązki operatorów do 15 mln EUR albo 3%, z zastrzeżeniem, że sankcje mają uwzględniać interesy MŚP. W obszarze zgodności działają kancelarie i firmy doradcze przygotowujące analizy dla konkretnych firm; to osobna droga rynkowa, a ten tekst jest opisem stanu prawnego z odczytami 31.10.2026 i nie jest poradą prawną.
Inwentaryzacja: pierwszy krok, nie przepis
Jeśli z całego tekstu ma zostać jedna decyzja, to taka: spisz, gdzie AI wchodzi do firmy i wypływa z niej, zanim cokolwiek zaplanujesz. Ten jeden dokument odpowiada od razu na trzy pytania: czy któraś używana funkcja nie wpada pod zakaz, czy coś jest wysokiego ryzyka i od jakiej daty, i gdzie firma styka się z art. 50 w kontaktach z klientem. Inwentaryzacja nie wymaga prawnika, zaczyna się od rozmowy z zespołem i przeglądu faktur za subskrypcje, a po tygodniu wiadomo, czy firma ma problem do rozwiązania, czy tylko dokumentację do prowadzenia. Pełną mapę decyzji B2B przy wdrażaniu AI trzyma hub AI w firmie; daty z tej osi odnotujemy z notką aktualizacji, gdy Komisja albo Ministerstwo Cyfryzacji coś przesunie.
Najczęstsze pytania
AI Act: co to jest?
To rozporządzenie UE nr 2024/1689, pierwsze kompleksowe prawo o sztucznej inteligencji w Unii. Reguluje zastosowania według poziomów ryzyka: praktyki zakazane, systemy wysokiego ryzyka, obowiązki przejrzystości i zastosowania bez regulacji.
AI Act kiedy wejdzie w życie?
W życie wszedł 1 sierpnia 2024. Stosowanie biegnie etapami: zakazy i AI literacy od 2.02.2025, modele ogólnego przeznaczenia od 2.08.2025, egzekucja i przejrzystość od 2.08.2026, systemy wysokiego ryzyka z aneksu III od 2.12.2027, a z aneksu I od 2.08.2028. Dwie ostatnie daty są skutkiem nowelizacji AI Omnibus.
Co zmienia się 2 sierpnia 2026?
To data, od której reszta rozporządzenia zaczyna być stosowana: AI Office i organy państw przejmują nadzór i egzekucję, a obowiązki przejrzystości (art. 50) stają się wymagalne. Po nowelizacji to NIE jest data obowiązków dla systemów wysokiego ryzyka: aneks III (w tym zatrudnienie) przesunięto na 2.12.2027, aneks I na 2.08.2028.
AI Act: obowiązki pracodawcy, które już obowiązują?
Od 2.02.2025: nie stosować zakazanych praktyk (w tym rozpoznawania emocji pracowników) i zapewnić kompetencje zespołu w AI (AI literacy). Od 2.08.2026 do tego dochodzi informowanie klientów o rozmowie z czatbotem i ujawnianie deepfake. Reżim systemów wysokiego ryzyka w rekrutacji i zarządzaniu pracownikami wejdzie 2.12.2027.
AI Act: oznaczanie treści, kto je robi?
Dostawcy systemów generujących mają oznaczać treści w formacie czytelnym maszynowo (dostosowanie do 2.12.2026 dla systemów na rynku sprzed 2.08.2026). Podmiot stosujący ujawnia odbiorcom deepfake, które udostępnia, oraz informuje osoby o rozpoznawaniu emocji. Treści sprzed 2.08.2026 nie oznacza się wstecznie, a teksty informacyjne o sprawach publicznych są zwolnione przy przeglądzie człowieka z odpowiedzialnością redakcyjną.
Wdrożenie AI Act w Polsce: co już jest gotowe?
Rozporządzenie unijne stosuje się bez ustawy, a krajowe uzupełnienie jest po podpisie: ustawa o systemach AI, podpisana przez Prezydenta (komunikat MC z 27.07.2026), tworzy organ nadzoru KRiBSI, przyjmuje skargi i ustawia piaskownice regulacyjne nieodpłatne dla MŚP. Przepisy karne krajowe mają być zgłoszone Komisji do chwili stosowania rozporządzenia.
Źródła
- Komisja Europejska, „AI Act” na digital-strategy.ec.europa.eu (oś stosowania po nowelizacji: wejście w życie 1.08.2024, stosowanie od 2.08.2026 z wyjątkami; zakazy + AI literacy od 2.02.2025; GPAI od 2.08.2025; aneks III do 2.12.2027; aneks I do 2.08.2028; AI Omnibus: projekt 19.11.2025, porozumienie 7.05.2026, w życie 27.07.2026; egzekucja od 2.08.2026; przejrzystość od sierpnia 2026; 9 praktyk zakazanych, w tym emocje w miejscu pracy; deployerzy: human oversight i monitoring), https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai (odczyt 31.10.2026)
- Komisja Europejska, „AI Omnibus enters into force”, 27.07.2026 (aneks III od 2.12.2027, aneks I od 2.08.2028; AI literacy uproszczone; ban na nudification apps; sandboxes; rozszerzenia uproszczeń na small mid-cap; link do finalnego tekstu OJ:L_202601744), https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force (odczyt 31.10.2026)
- Ministerstwo Cyfryzacji, „AI Act – co się zmieniło 2 sierpnia 2026 roku?”, 03.08.2026 (deepfake i oznaczanie machine-readable od 2.08.2026; dostawcy systemów sprzed 2.08.2026 do 2.12.2026; treści bez oznaczania wstecznego; czatbot: informacja najpóźniej przy pierwszym kontakcie; emocje i kategoryzacja biometryczna: informowanie osób, RODO równolegle; aneks III od 2.12.2027, aneks I od 2.08.2028; „nie oznacza, że organizacje powinny wstrzymać przygotowania”; pełne uprawnienia KE wobec GPAI od 2.08.2026), https://www.gov.pl/web/cyfryzacja/ai-act–co-sie-zmienilo-2-sierpnia-2026-roku (odczyt 31.10.2026)
- Ministerstwo Cyfryzacji, „Ustawa o systemach AI – bezpieczny rozwój sztucznej inteligencji w Polsce”, 27.07.2026 (Prezydent RP podpisał ustawę; KRiBSI jako organ nadzoru i przyjmowania skarg; piaskownice regulacyjne, MŚP nieodpłatnie; cytaty Gawkowskiego i Standerskiego; zmiany z prac parlamentarnych), https://www.gov.pl/web/cyfryzacja/ustawa-o-systemach-ai–bezpieczny-rozwoj-sztucznej-inteligencji-w-polsce (odczyt 31.10.2026)
- Ministerstwo Cyfryzacji, „Kolejne przepisy Rozporządzenia o Sztucznej Inteligencji (AI Act) już obowiązują”, 22.08.2025 (batch 2.08.2025 po rozdziałach: notyfikacje, GPAI, zarządzanie, sankcje bez art. 101, poufność; Kodeks postępowania GPAI; stan krajowy wówczas: projekt ustawy w pracach rządowych, pozytywnie przez Komitet do Spraw Europejskich), https://www.gov.pl/web/cyfryzacja/kolejne-przepisy-rozporzadzenia-o-sztucznej-inteligencji-ai-act-juz-obowiazuja (odczyt 31.10.2026)
- artificialintelligenceact.eu, art. 113 „Entry into Force and Application” (oś sprzed nowelizacji AI Omnibus w starszych widokach strony; aktualny odczyt pokazuje wersję ponoewelizacyjną z markerami „amended/new”: rozdz. I-II od 2.02.2025 z wyjątkami od 2.12.2026; rozdz. III s. 1-3 dla aneksu III od 2.12.2027, dla aneksu I od 2.08.2028; art. 102-110 od 27.07.2026), https://artificialintelligenceact.eu/article/113/ (odczyt 31.10.2026)
- artificialintelligenceact.eu, art. 50 „Transparency Obligations for Providers and Deployers of Certain AI Systems” (ust. 1 informowanie o interakcji z AI; ust. 2 oznaczanie machine-readable treści syntetycznych; ust. 3 informowanie przy systemach emocji/kategoryzacji biometrycznej; ust. 4 deepfake: ujawnienie, wyjątki artystyczne/satyryczne; stosowanie od 2.08.2026 wg art. 113), https://artificialintelligenceact.eu/article/50/ (odczyt 31.10.2026)
- artificialintelligenceact.eu, art. 3 „Definitions” (dostawca: rozwija albo zlecił rozwój i wprowadza do obrotu pod własną nazwą; podmiot stosujący: używa systemu AI pod własnym kierownictwem, wyjątek: użytek osobisty nieprofesjonalny), https://artificialintelligenceact.eu/article/3/ (odczyt 31.10.2026)
- artificialintelligenceact.eu, art. 99 „Fines” (do 35 mln EUR albo 7% obrotu za złamanie zakazów; do 15 mln EUR albo 3% za pozostałe obowiązki; sankcje z uwzględnieniem interesów MŚP i startupów), https://artificialintelligenceact.eu/article/99/ (odczyt 31.10.2026)
- artificialintelligenceact.eu, aneks III pkt 4 „Employment, workers’ management and access to self-employment” (reklamy pracy targetowane, analizowanie i filtrowanie aplikacji, ocena kandydatów, decyzje o awansie/rozwiązaniu umowy, przydzielanie zadań wg zachowań, monitorowanie i ocena wyników oraz zachowań), https://artificialintelligenceact.eu/annex/3/ (odczyt 31.10.2026)
- artificialintelligenceact.eu, art. 4 „AI literacy” (obowiązek kompetencji po stronie providerów i deployerów; stosowany od 2.02.2025 wg art. 113 lit. a), https://artificialintelligenceact.eu/article/4/ (odczyt 31.10.2026)