AI Act: co to jest? Rozporządzenie 2024/1689 wyjaśnione po polsku
AI Act to pierwsze na świecie kompleksowe prawo o sztucznej inteligencji: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689. Obowiązuje bezpośrednio w całej Unii, bez czekania na polskie przepisy, i dotyczy nie tylko twórców AI, ale każdej firmy, która z AI korzysta – także małej. Nakłada obowiązki stopniowo: część działa już od 2025 r., a 2 sierpnia 2026 r. zaczyna się stosowanie kolejnej, najszerszej transzy, w tym obowiązków przejrzystości wobec klientów (art. 50).
Jak działa AI Act: podejście oparte na ryzyku
Rozporządzenie nie traktuje każdej AI tak samo. Dzieli systemy według ryzyka i do każdego poziomu przypisuje inne obowiązki:
| Poziom | Przykłady | Co z tego wynika |
|---|---|---|
| Praktyki zakazane (art. 5) | manipulacja podprogowa, scoring społeczny, zdalna identyfikacja biometryczna w czasie rzeczywistym (z wyjątkami) | całkowity zakaz – obowiązuje od 2 lutego 2025 r. |
| Wysokie ryzyko (art. 6 + załącznik III) | AI w rekrutacji i ocenie pracowników, scoring kredytowy, edukacja, infrastruktura krytyczna | najcięższe obowiązki: zarządzanie ryzykiem, nadzór człowieka, dokumentacja, rejestracja |
| Obowiązki przejrzystości (art. 50) | chatboty, generatory treści, deepfake | trzeba informować, że użytkownik ma do czynienia z AI, i oznaczać treści syntetyczne |
| Ryzyko minimalne | filtry spamu, AI w grach, większość narzędzi biurowych | bez dodatkowych obowiązków (zostają dobre praktyki) |
Kogo dotyczy AI Act? Nie tylko twórców AI
Rozporządzenie rozróżnia przede wszystkim dwie role. Dostawca (provider) to ten, kto system AI rozwija i wprowadza na rynek. Podmiot stosujący (deployer) to firma, która używa AI pod swoją kontrolą – i tu mieści się większość polskich MŚP. Jeśli Twoja firma ma na stronie chatbota, używa AI przy rekrutacji, generuje opisy produktów albo korzysta z rekomendacji i dynamicznych cen – jesteś podmiotem stosującym i część obowiązków dotyczy Cię wprost.
Nie ma wyłączenia dla małych firm. Wielkość przedsiębiorstwa wpływa na wymiar kar i niektóre ułatwienia (np. dokumentacyjne), ale nie na samo objęcie przepisami.
Harmonogram: co już obowiązuje, co wchodzi 2 sierpnia 2026 r.
Terminy zmieniła w 2026 r. nowelizacja zwana Digital Omnibus (porozumienie polityczne Rady i Parlamentu z maja 2026 r., formalna publikacja przed 2 sierpnia 2026 r.). Aktualny obraz wygląda tak:
| Data | Co się dzieje |
|---|---|
| 2 lutego 2025 | praktyki zakazane (art. 5) + obowiązek kompetencji AI zespołu (art. 4) |
| 2 sierpnia 2025 | obowiązki dostawców modeli ogólnego przeznaczenia (GPAI), struktura nadzoru, kary |
| 2 sierpnia 2026 | ogólne stosowanie rozporządzenia, w tym obowiązki przejrzystości z art. 50 (chatboty, oznaczanie treści AI, deepfake) – ten termin Digital Omnibus pozostawił bez zmian |
| 2 grudnia 2026 | koniec okresu przejściowego na maszynowe oznaczanie treści (art. 50 ust. 2) dla systemów istniejących przed 2 sierpnia 2026 |
| 2 grudnia 2027 | obowiązki dla systemów wysokiego ryzyka z załącznika III (m.in. AI w rekrutacji) – przesunięte przez Digital Omnibus z 2 sierpnia 2026 |
| 2 sierpnia 2028 | wysokie ryzyko z załącznika I (AI wbudowana w produkty regulowane) – przesunięte z 2027 |
W praktyce: przesunięcie dotyczy obowiązków dla wysokiego ryzyka, ale nie zwalnia z przygotowań – klasyfikacja systemów, rejestr AI i nadzór człowieka wymagają miesięcy pracy, a obowiązki przejrzystości i tak startują 2 sierpnia 2026 r.
AI Act w Polsce: ustawa i nowy urząd
Rozporządzenie działa samo z siebie, ale nadzór i kary organizuje polska ustawa o systemach sztucznej inteligencji. Sejm uchwalił ją 11 czerwca 2026 r., 3 lipca 2026 r. przyjął poprawki Senatu i ustawa trafiła do podpisu Prezydenta (stan na 13 lipca 2026 r.). Powołuje ona Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – krajowy organ nadzoru nad AI – oraz przewiduje system kar i piaskownice regulacyjne do testowania systemów AI.
Od czego zacząć w małej i średniej firmie
Cztery kroki, które załatwiają 80% tematu na start: po pierwsze, zinwentaryzuj AI w firmie (także tę „ukrytą” w narzędziach SaaS) i prowadź prosty rejestr systemów AI. Po drugie, sklasyfikuj każdy system według poziomów ryzyka z tabeli wyżej. Po trzecie, domknij przejrzystość przed 2 sierpnia 2026 r.: chatbot ma informować, że jest AI, a treści syntetyczne mają być oznaczane. Po czwarte, zadbaj o kompetencje AI zespołu (art. 4) i udokumentuj to.
Nie wiesz, od czego zacząć? Zrób darmowy skan swojej strony – w 2 minuty sprawdza 3 publiczne sygnały ryzyka AI Act, bez rejestracji.
Najczęstsze pytania (FAQ)
Czy AI Act dotyczy firmy, która tylko używa ChatGPT albo Claude?
Tak, w ograniczonym zakresie. Jako podmiot stosujący odpowiadasz m.in. za kompetencje zespołu (art. 4) i za przejrzystość tam, gdzie efekty pracy AI trafiają do klientów (art. 50). Nie odpowiadasz za obowiązki dostawcy modelu.
Czy terminy AI Act zostały przesunięte?
Częściowo. Digital Omnibus przesunął obowiązki dla wysokiego ryzyka (załącznik III: z 2 sierpnia 2026 na 2 grudnia 2027; załącznik I: na 2 sierpnia 2028). Obowiązki przejrzystości z art. 50 pozostały na 2 sierpnia 2026 r.
Jakie kary grożą za naruszenia?
Najwyższe (za praktyki zakazane) sięgają 35 mln euro lub 7% światowego obrotu. Za naruszenie większości pozostałych obowiązków – do 15 mln euro lub 3% obrotu. Dla MŚP stosuje się niższą z kwot.
Czy chatbot na stronie firmowej podlega AI Act?
Tak. Od 2 sierpnia 2026 r. użytkownik musi wiedzieć, że rozmawia z AI, chyba że jest to oczywiste z kontekstu. Szczegóły opisujemy w artykule o art. 50 AI Act.
Źródła
- Rozporządzenie (UE) 2024/1689 (AI Act) – EUR-Lex
- Digital Omnibus – porozumienie i nowe terminy: Gibson Dunn, EY Polska
- Polska ustawa o systemach AI: rp.pl, CyberDefence24, Sejm RP – przebieg prac
Powiązane artykuły
Sprawdź swoją firmę pod AI Act
Bezpłatny skan strony: 3 publiczne sygnały ryzyka w 2 minuty, bez rejestracji.
Zrób darmowy skanTen artykuł to analiza edukacyjna, przygotowana z pomocą AI pod nadzorem człowieka, nie porada prawna. Sporne przypadki wymagają konsultacji z radcą prawnym.