Co z AI Act obowiązuje moją organizację już dziś

Przepisy obowiązujące już dziś

Zakaz praktyk z art. 5. Obowiązuje od 2 lutego 2025 r. i jest zagrożony najwyższą karą w całym rozporządzeniu, czyli do 35 mln euro albo do 7% światowego obrotu, w zależności od tego, która kwota jest wyższa. Obejmuje między innymi techniki podprogowe i manipulacyjne, wykorzystywanie słabości ze względu na wiek lub niepełnosprawność, scoring społeczny oraz rozpoznawanie emocji w miejscu pracy i w placówkach edukacyjnych, z wyjątkami dla bezpieczeństwa i celów medycznych. Od 2 grudnia 2026 r. dochodzą dwa nowe zakazy.

Kompetencje personelu z art. 4. Obowiązuje od 2 lutego 2025 r. i dotyczy każdego, kto systemów AI dostarcza albo ich używa zawodowo, niezależnie od klasyfikacji ryzyka. Nowelizacja z lipca 2026 r. złagodziła brzmienie. Przepis mówi teraz o środkach wspierających rozwój kompetencji, bez gwarantowania określonego poziomu. Nie znosi to obowiązku, zmienia miarę jego wykonania. Szerzej o tym w komentarzu do art. 4.

Przejrzystość z art. 50. Od 2 sierpnia 2026 r. obowiązuje w całości, a jedynym wyjątkiem jest obowiązek znakowania treści wygenerowanych maszynowo, który dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. ma czas do 2 grudnia 2026 r. Dotyczy głównie tych, którzy prowadzą rozmowę z człowiekiem przez maszynę, generują treść albo publikują materiał, który może być wzięty za autentyczny. Szerzej o tym w komentarzu do art. 50.

Przesunięte terminy stosowania przepisów

Nowelizacja rozporządzeniem (UE) 2026/1744, w mocy od 27 lipca 2026 r., przesunęła pełny reżim systemów wysokiego ryzyka:

• systemy z załącznika III (zatrudnienie, edukacja, dostęp do usług publicznych, ściganie przestępstw, migracja, wymiar sprawiedliwości, infrastruktura krytyczna, biometria) na 2 grudnia 2027 r.;
• systemy będące elementem produktów regulowanych, z załącznika I, na 2 sierpnia 2028 r.;
• piaskownice regulacyjne w każdym państwie członkowskim na 2 sierpnia 2027 r.

To najczęstsze źródło nieporozumień w tej chwili. Materiały sprzed lipca 2026 r., także te wciąż krążące w obiegu, podają daty 2 sierpnia 2026 i 2 sierpnia 2027, które przestały być aktualne. Pełny wykaz z zaznaczonymi zmianami jest w kalendarzu.

Przesunięcie nie znaczy, że temat zaczeka. Umowy zawierane dziś na wdrożenia, które ruszą w 2027 i 2028 roku, muszą przewidywać obowiązki, które wtedy zaczną obowiązywać. Rola dostawcy albo podmiotu stosującego rozstrzyga się właśnie w tych umowach.

Organ nadzoru nad AI w Polsce i odpowiedzialność za naruszenia

Ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji weszła w życie 11 sierpnia 2026 r. i ustanowiła organem nadzoru rynku Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Przepisy o kontroli, postępowaniu i karach mają zastosowanie od 28 października 2026 r. Przewodniczącą Komisji jest Pamela Krzypkowska, powołana przez Sejm uchwałą z 18 września 2026 r. (M.P. 2026 poz. 945) za zgodą Senatu z 24 września 2026 r. (M.P. 2026 poz. 946). Kary administracyjne nakłada się na podmiot obowiązany do przestrzegania rozporządzenia, czyli na operatora, którym jest spółka, jednostka albo osoba fizyczna prowadząca działalność. Niezależnie od tego ustawa przewiduje odpowiedzialność za wykroczenie, karą ograniczenia wolności albo grzywny, za utrudnianie czynności kontrolnych i za niewykonanie decyzji nakazującej zaprzestanie stosowania systemu, i obejmuje nią wprost tego, kto działa w imieniu lub interesie osoby prawnej (art. 112 i art. 113 ustawy). Szerzej o tym w opracowaniu o nadzorze nad AI w Polsce.

Kolejność pierwszych działań

Zacznij od spisu narzędzi faktycznie używanych, razem z tymi, których nikt formalnie nie wdrażał, bo pracownicy sięgają po darmowe czaty niezależnie od tego, czy ktokolwiek to zatwierdził. Potem sprawdź, czy któreś nie wchodzi w zakaz z art. 5, i osobno udokumentuj, co zrobiono dla kompetencji personelu. Dopiero wtedy ma sens ustalanie ról i klasyfikacji ryzyka, bo one rozstrzygają o obowiązkach z terminami w 2027 i 2028 roku.

Zagadnienia wymagające osobnych opracowań

Obowiązki dostawców modeli ogólnego przeznaczenia (rozdział V), przepisy o piaskownicach i wsparciu innowacji oraz szczegóły reżimu wysokiego ryzyka, w tym zarządzanie ryzykiem, dane treningowe, dokumentacja techniczna, rejestry zdarzeń, nadzór człowieka, dokładność i cyberbezpieczeństwo, wymagają osobnych opracowań.