AI Act terminy: obowiązki dla firm w 2026 i 2027

Terminy AI Act po zmianach z 2026 roku

Akt w sprawie sztucznej inteligencji (rozporządzenie (UE) 2024/1689, potocznie AI Act) nie zaczął obowiązywać w całości jednego dnia. Jego przepisy wchodzą etapami, a latem 2026 r. Unia przesunęła część późniejszych terminów. Rozporządzenie zmieniające (UE) 2026/1744, tzw. „Digital Omnibus on AI”, opublikowano w Dzienniku Urzędowym UE 24 lipca 2026 r., a weszło w życie 27 lipca 2026 r.

Tabela pokazuje stan na październik 2026 r. Wszystko, co ma datę do 2 sierpnia 2026 r. włącznie, już obowiązuje. Dwa ostatnie wiersze dotyczą przesuniętych przepisów o wysokim ryzyku, ważnych tylko dla firm, które tworzą lub wykorzystują AI do jednego z wrażliwych celów wymienionych w przepisach.

Co zmienił omnibus AI, a czego nie ruszył

Omnibus to punktowa nowelizacja. Daje przede wszystkim więcej czasu na najbardziej wymagającą część AI Act, czyli przepisy o systemach wysokiego ryzyka. Samodzielne systemy z załącznika III, na przykład AI do wstępnej selekcji kandydatów albo oceny zdolności kredytowej, muszą spełnić wymogi od 2 grudnia 2027 r., a nie od 2 sierpnia 2026 r. AI wysokiego ryzyka wbudowana w produkty objęte unijnymi przepisami produktowymi (załącznik I) przechodzi z 2 sierpnia 2027 r. na 2 sierpnia 2028 r. Obie daty zapisano w zmienionym tekście jako stałe terminy kalendarzowe.

Bez zmian zostały: zakazane praktyki i obowiązek kompetencji w zakresie AI (od 2 lutego 2025 r.), przepisy o modelach ogólnego przeznaczenia (od 2 sierpnia 2025 r.) oraz obowiązki przejrzystości z art. 50 (od 2 sierpnia 2026 r.). Jedyna ulga w tym zakresie to okres przejściowy do 2 grudnia 2026 r. na oznaczanie treści z systemów, które były na rynku już przed 2 sierpnia 2026 r.

Co musi teraz zrobić firma, która korzysta z AI

Większość małych firm nie tworzy AI, tylko z niej korzysta: chatbot na stronie, asystent głosowy odbierający telefony, narzędzie do pisania tekstów, funkcje AI w CRM, programie księgowym albo kadrowym. Dla nich AI Act oznacza dziś trzy rzeczy: przejrzystość wobec klientów, kompetencje zespołu i czujność, żeby niepostrzeżenie nie wejść w zastosowania zakazane lub wysokiego ryzyka.

Dla gabinetu stomatologicznego z chatbotem do umawiania wizyt, pensjonatu z asystentem głosowym AI czy sklepu internetowego, który pisze opisy produktów z pomocą AI, kroki 1, 2, 4 i 6 to na razie cała praca. Działaj po kolei:

• 1. Spisz wszystkie narzędzia AI: chatboty na stronie, asystentów głosowych i telefonicznych, funkcje AI w CRM, poczcie czy systemie kadrowym oraz narzędzia, z których pracownicy korzystają na własną rękę, np. generatory tekstu i obrazów. Zanotuj, kto z czego korzysta i do czego.
• 2. Zaznacz każde miejsce, w którym AI rozmawia bezpośrednio z klientem: okno czatu, infolinia obsługiwana przez AI, automatyczne odpowiedzi w komunikatorach. W każdym z nich potrzebna jest jasna informacja o AI.
• 3. Sprawdź publikowane obrazy, nagrania i filmy wygenerowane przez AI. Jeśli pokazują realistycznie wyglądające osoby, miejsca lub zdarzenia, które w tej postaci nie miały miejsca, trzeba ujawnić, że zostały sztucznie wygenerowane lub zmanipulowane.
• 4. Przeszkol zespół. Każdy, kto pracuje z tymi narzędziami, powinien wiedzieć, co robią, gdzie się mylą i jakich danych nie wolno do nich wpisywać. To twój obowiązek w zakresie kompetencji AI.
• 5. Oznacz zastosowania wrażliwe. Jeśli narzędzie AI pomaga decydować, kogo zatrudnić, kto dostanie kredyt, jak ocenić ucznia albo kto uzyska dostęp do usługi podstawowej, traktuj je jako potencjalnie wysokiego ryzyka i zaplanuj działania na 2 grudnia 2027 r.
• 6. Zapisz to. Jedna strona z listą narzędzi, komunikatów i szkoleń wystarczy na początek i przyda się, gdy zapyta klient, kontrahent albo urząd.

Chatbot i asystent głosowy AI: informacja z art. 50

Od 2 sierpnia 2026 r. ludzie muszą być informowani, że wchodzą w interakcję z systemem AI. Omnibus nie zmienił tego obowiązku.

Formalnie art. 50 dzieli obowiązki między dostawcę, który tworzy system AI i wprowadza go do obrotu, a podmiot stosujący, czyli firmę, która z niego korzysta. Klienci widzą jednak twoją stronę i słyszą twoją infolinię, a nie producenta oprogramowania. Dopilnuj więc, by informacja pojawiała się tam, gdzie toczy się rozmowa, niezależnie od tego, kto konfigurował narzędzie.

Praktycy zalecają, by komunikat był dobrze widoczny i pojawiał się na początku kontaktu, a nie ginął w polityce prywatności czy regulaminie. Przykłady:

• Czat na stronie: pierwsza wiadomość w rodzaju „Dzień dobry, jestem asystentem AI gabinetu. Pomogę umówić lub przełożyć wizytę. Wpisz «konsultant», aby porozmawiać z człowiekiem.”
• Asystent głosowy AI: powitanie typu „Rozmawia Pan/Pani z automatycznym asystentem AI salonu” przed pierwszym pytaniem.
• Komunikatory: to samo zdanie w pierwszej automatycznej odpowiedzi.

Kompetencje w zakresie AI: obowiązek od lutego 2025 r.

Art. 4 zobowiązuje dostawców i podmioty stosujące do zapewnienia, by ich personel oraz inne osoby obsługujące systemy AI w ich imieniu miały wystarczający poziom kompetencji w zakresie AI. Obowiązek działa od 2 lutego 2025 r., a omnibus go nie zmienił.

W powszechnym odczytaniu przepis nie narzuca konkretnego programu szkolenia ani certyfikatu. W małej firmie zwykle wystarczy proporcjonalne podejście oparte na czterech elementach:

• krótkie wprowadzenie dla każdego użytkownika: co narzędzie robi, gdzie się myli, kiedy człowiek musi sprawdzić wynik;
• jasne zasady dotyczące danych, np. żadnych danych o zdrowiu, numerów PESEL ani haseł w publicznych narzędziach AI;
• jedna wskazana osoba, która prowadzi listę narzędzi i odpowiada na pytania;
• datowana notatka, kto i kiedy został przeszkolony, uzupełniana przy każdym nowym narzędziu.

Kiedy zastosowanie AI staje się systemem wysokiego ryzyka

System nie jest systemem wysokiego ryzyka tylko dlatego, że to AI. Decyduje cel: wysokiego ryzyka są zastosowania wymienione w załączniku III albo AI pełniąca funkcję elementu bezpieczeństwa produktu regulowanego (załącznik I).

Dla takich zastosowań obowiązki wysokiego ryzyka zaczną obowiązywać 2 grudnia 2027 r. Wykraczają one daleko poza informację o AI i dotyczą zarówno dostawcy, jak i firmy, która z systemu korzysta. Jeśli masz narzędzie do rekrutacji lub scoringu, zapytaj już teraz dostawcę, jak zamierza spełnić wymogi i czego będzie oczekiwał od ciebie.

Przykład: firma transportowa zatrudniająca 30 osób szereguje zgłoszenia kierowców modułem AI w systemie rekrutacyjnym. To obszar załącznika III. Planowanie tras przez AI w tej samej firmie już nie.

Dla małych firm korzystających z AI najczęściej znaczenie mają te obszary załącznika III:

• Zatrudnienie i kadry: AI, która przegląda, filtruje lub szereguje CV i kandydatów albo służy do zarządzania pracownikami, np. przydzielania zadań czy oceny wyników.
• Kredyt: AI oceniająca zdolność kredytową osób fizycznych lub ustalająca ich scoring kredytowy.
• Edukacja i szkolenia: AI oceniająca egzaminy, postępy uczących się lub decydująca o przyjęciu.
• Dostęp do podstawowych usług prywatnych i publicznych: np. AI stosowana do oceny ryzyka w niektórych produktach ubezpieczeniowych.

Zwykle nie wysokie ryzyko: chatbot do rezerwacji i asystent głosowy

Większość codziennych zastosowań AI w małej firmie nie figuruje w załączniku III. Chatbot, który podaje godziny otwarcia i umawia wizyty, albo asystent głosowy, który odpowiada na częste pytania i przyjmuje wiadomości, nie pełni żadnej z wymienionych tam funkcji. To samo dotyczy pisania tekstów, tłumaczeń czy streszczania e-maili.

Nie znaczy to, że żadne przepisy ich nie dotyczą. Obowiązuje art. 50 o przejrzystości, obowiązek kompetencji w zakresie AI i zakazy niektórych praktyk. Do danych osobowych nadal stosuje się RODO.

O kwalifikacji decyduje funkcja, nie nazwa produktu. Jeśli ten sam asystent zacznie wstępnie selekcjonować kandydatów albo sprawdzać, czy klient kwalifikuje się do finansowania, oceń go ponownie. Przypadki graniczne warto skonsultować z doradcą.

Kary, nadzór i wsparcie dla MŚP

AI Act egzekwują organy krajowe w poszczególnych państwach członkowskich. Art. 99 przewiduje stopniowane maksymalne kary: najwyższy próg dotyczy zakazanych praktyk AI, niższe innych naruszeń, np. niespełnienia obowiązków albo podania organom nieprawdziwych informacji.

Według kilku komentarzy prawniczych w przypadku MŚP i start-upów stosuje się niższą z dwóch wartości, kwoty stałej albo procentu obrotu, a nie wyższą. Zanim na tym polegniesz, sprawdź brzmienie art. 99.

Jest też wsparcie: zgodnie z art. 58 piaskownice regulacyjne AI, czyli kontrolowane środowiska testowe z udziałem organów, są dla MŚP i start-upów bezpłatne; zwrotu mogą wymagać jedynie koszty nadzwyczajne, proporcjonalnie.

Ten poradnik ma charakter ogólnej informacji według stanu na październik 2026 r. i nie stanowi porady prawnej; swoją sytuację skonsultuj z prawnikiem lub właściwym organem krajowym.