AI Act w 2026 roku – nowy harmonogram, realne ryzyka i obowiązki polskich firm

W przeciętnej polskiej firmie zatrudniającej do 200 pracowników personel korzysta nieoficjalnie z co najmniej kilkunastu różnych narzędzi sztucznej inteligencji. Zarząd wie zwykle o trzech z nich. Brak kontroli nad przepływem informacji tworzy niebezpieczną lukę prawną. Choć przyjęty w czerwcu 2026 roku pakiet regulacyjny AI Omnibus przesunął część terminów wdrożeniowych AI Act, kluczowe wymogi oraz surowe sankcje finansowe obowiązują bezwzględnie już teraz. 

Poniższy artykuł porządkuje harmonogram zmian, wyjaśnia ryzyka związane z niezweryfikowanym oprogramowaniem oraz wskazuje konkretne kroki, które pozwolą zabezpieczyć organizację przed karami sięgającymi nawet 35 milionów euro.

Co to jest AI Act?

AI Act to wypracowane i przyjęte przez Parlament Europejski oraz Radę Unii Europejskiej kompleksowe ramy regulacyjne dotyczące sztucznej inteligencji. Klasyfikują systemy AI według stopnia stwarzanego przez nie ryzyka. Rozporządzenie wprowadza rygorystyczne zasady bezpieczeństwa i przejrzystości, nakładając konkretne obowiązki na każdą organizację, która projektuje, dostarcza lub wykorzystuje algorytmy na rynku Unii Europejskiej. Co to w praktyce oznacza dla firm w Polsce? 

Rozporządzenie skupia się na pełnej odpowiedzialności za kontekst i sposób wykorzystania narzędzi AI. Kluczowym filarem nowych przepisów jest konieczność sprawowania stałego nadzoru nad procesami, w których używamy rozwiązań z zakresu sztucznej inteligencji. Przedsiębiorstwa muszą liczyć się z surowymi karami finansowymi nie tylko za samo użycie zakazanych narzędzi, ale przede wszystkim za brak odpowiednich procedur wewnętrznych oraz brak udokumentowanej wiedzy personelu na temat obsługiwanych systemów.

Cztery poziomy ryzyka według AI Act – gdzie jest Twoja firma?

Rozporządzenie nie ocenia samej technologii, lecz kontekst jej użycia i wpływ na prawa oraz bezpieczeństwo ludzi. W zależności od tego AI Act dzieli narzędzia na cztery kategorie:

Poziom ryzyka	Przykłady zastosowań w firmie	Główne obowiązki prawno-organizacyjne
1. Niedopuszczalne	Analiza emocji pracowników, scoring społeczny, manipulacja podprogowa	Całkowity zakaz stosowania od 2 lutego 2025 r.
2. Wysokie	AI w rekrutacji i ocenie pracowników, scoring kredytowy, wycena ubezpieczeń zdrowotnych	Rejestracja w bazie UE, audyty, zarządzanie danymi, obowiązkowy nadzór człowieka
3. Ograniczone	Chatboty sprzedażowe, generatory treści marketingowych i materiałów graficznych	Obowiązek informowania użytkownika, że rozmawia z AI oraz znakowanie treści (art. 50)
4. Minimalne	Asystenci do poprawiania pisowni, filtry antyspamowe, wewnętrzna analityka procesowa.	Brak wymogów z AI Act (obowiązuje jedynie wymóg szkoleniowy z art. 4 oraz ogólne RODO)

Nowy harmonogram wdrożeniowy AI Act – co w praktyce oznacza pakiet AI Omnibus?

Przez wiele miesięcy sektor biznesowy w całej Unii Europejskiej traktował 2 sierpnia 2026 roku jako moment pełnego objęcia regulacjami systemów sztucznej inteligencji wysokiego ryzyka. Ten harmonogram uległ jednak zasadniczej zmianie. W połowie 2026 roku Parlament Europejski oraz Rada UE zatwierdziły pakiet poprawek znany jako Digital Omnibus on AI.

Zaktualizowany kalendarz wdrażania przepisów AI Act

Data wejścia w życie	Wymóg lub przepis prawa	Stan formalny
1 sierpnia 2024 r.	Pierwotne wejście w życie rozporządzenia unijnego AI Act	Obowiązuje
2 lutego 2025 r.	Zakaz stosowania praktyk niedozwolonych (art. 5) oraz wymóg podnoszenia kompetencji personelu (art. 4)	Obowiązuje
2 sierpnia 2025 r.	Przepisy oraz obowiązki dla dostawców modeli AI ogólnego przeznaczenia	Obowiązuje
Sierpień 2026 r.	Uruchomienie krajowych organów nadzoru oraz rozpoczęcie bezpośrednich kontroli i egzekwowania przepisów	Obecny etap
2 grudnia 2026 r.	Obowiązek cyfrowego znakowania treści generowanych przez AI oraz zasady przejrzystości (art. 50)	W trakcie wdrożenia
2 grudnia 2027 r.	Obowiązki dla samodzielnych systemów wysokiego ryzyka z załącznika III (m.in. scoring kredytowy, ocena ryzyka ubezpieczeniowego, systemy rekrutacji i oceny pracowników)	Przesunięty (AI Omnibus)
2 sierpnia 2028 r.	Obowiązki dla systemów AI stanowiących elementy bezpieczeństwa produktów	Przesunięty (AI Omnibus)

Obowiązki stosowane bezwzględnie – tu i teraz

Przesunięcie terminów w ramach pakietu Omnibus nie objęło całej treści rozporządzenia. Dwa filary przepisów mają zastosowanie prawne od 2 lutego 2025 roku i to na nich przedsiębiorstwa muszą skupić uwagę w pierwszej kolejności.

Budowanie kompetencji personelu (art. 4)

Przepis ten wymaga od pracodawców zapewnienia personelowi obsługującemu narzędzia sztucznej inteligencji odpowiedniej wiedzy. Pracownicy muszą rozumieć sposób działania algorytmów, zasady wprowadzania danych oraz ryzyka związane z podejmowaniem decyzji przez maszyny. Unijny ustawodawca nie traktuje tego wymogu jako jednorazowego szkolenia. Budowanie kompetencji musi stanowić stały element wewnętrznych procedur firmowych.

Od sierpnia 2026 roku powołane organy nadzorcze rozpoczną oficjalne kontrole. Udokumentowany brak szkoleń i procedur wymaganych przez artykuł 4 będzie traktowany jako okoliczność obciążająca przy nakładaniu kar finansowych. 

Bezwzględny zakaz niedozwolonych praktyk (art. 5)

Od początku 2025 roku w całej Unii Europejskiej zabronione jest wdrażanie oraz używanie systemów AI przeznaczonych do działań szkodliwych społecznie. Zakaz obejmuje rozwiązania wykorzystujące manipulację podprogową, wywoływanie podświadomych zmian w zachowaniu ludzi oraz tak zwany scoring społeczny, czyli ocenę wiarygodności osób na podstawie zachowań w życiu codziennym. Przepisy zakazują także stosowania narzędzi do analizy emocji pracowników w miejscu pracy oraz zdalnej identyfikacji biometrycznej w czasie rzeczywistym w przestrzeniach publicznych.

Nieoficjalne oprogramowanie i podział ról w świetle prawa

Wykorzystywanie przez pracowników darmowych, publicznie dostępnych generatorów treści lub wtyczek bez wiedzy działu informatyki (tzw. Shadow AI) stwarza potężne zagrożenie operacyjne. Wprowadzanie poufnych dokumentów finansowych, baz danych klientów czy umów handlowych do nieautoryzowanych asystentów rodzi natychmiastowe ryzyko wycieku informacji, naruszenia RODO oraz złamania tajemnicy przedsiębiorstwa. 

Z punktu widzenia nadzoru prawnego nie ma znaczenia, czy dana technologia została oficjalnie zakupiona przez zarząd, czy uruchomiona samodzielnie przez pracownika.

Jednocześnie przepisy AI Act precyzyjnie rozróżniają odpowiedzialność prawną w zależności od roli, jaką podmiot pełni w ekosystemie technologicznym. Wyróżnia się dwie następujące:

• podmiot stosujący (deployer) – organizacja, która wykorzystuje w swojej działalności gotowe narzędzie AI udostępnione przez firmę zewnętrzną (na przykład program do automatycznego wyliczania zdolności kredytowej lub system wspierający rekrutację);
• dostawca (provider) – podmiot, który projektuje, tworzy i wprowadza system AI na rynek pod własną nazwą lub znakiem towarowym.

Istnieje tu jednak pułapka formalna. Organizacja, która zakupi gotowe oprogramowanie od firmy zewnętrznej, a następnie dokona w nim istotnych modyfikacji lub zmieni jego pierwotne przeznaczenie, w świetle rozporządzenia przestaje być jedynie podmiotem stosującym. Automatycznie przejmuje wówczas pełną odpowiedzialność prawną i finansową przypisaną dostawcy.

Dwa bardzo konkretne przykłady ilustrują sytuację, w której organizacja przechodzi z roli podmiotu stosującego (deployer) do roli dostawcy (provider).

Przykład 1 – zmiana przeznaczenia narzędzia (np. w dziale HR)

Firma, która kupiła licencję na ogólny model LLM/ asystenta tekstowego, stworzonego i przeznaczonego do prostych zadań biurowych (np. pisania opisów stanowisk czy redagowania wiadomości e-mail) przyjmuje rolę podmiotu stosującego. 

Jeżeli jednak dział HR wewnątrz firmy zintegruje ten model ze swoimi bazami danych i zmodyfikuje go tak, aby automatycznie analizował, punktował i klasyfikował CV kandydatów w procesie rekrutacji, organizacja zmienia pierwotne przeznaczenie technologii. Wszystko dlatego, że według AI Act rekrutacja i selekcja pracowników stanowią obszar wysokiego ryzyka. W świetle prawa firma ta staje się dostawcą systemu wysokiego ryzyka.

Przykład 2 – głęboka modyfikacja techniczna (fine-tuning) w sektorze finansowym

Bank lub instytucja pożyczkowa kupuje od zewnętrznej firmy IT gotowe oprogramowanie analityczne. Następnie wewnętrzny zespół IT przeprowadza na nim istotną modyfikację (fine-tuning) – trenuje model na własnych, unikalnych historycznych bazach danych i zmienia algorytmy scoringowe. 

W wyniku tej modyfikacji system zaczyna samodzielnie podejmować lub bezpośrednio determinować decyzje o przyznaniu kredytu. Z racji głębokiej ingerencji w działanie algorytmu dostawca oprogramowania nie odpowiada już za jego końcowy wynik – pełną odpowiedzialność prawną i finansową dostawcy przejmuje bank.

Co taka zmiana roli oznacza w praktyce dla firmy?

Przejęcie roli dostawcy oznacza, że organizacja nie może ograniczyć się do stosowania instrukcji obsługi. Musi na własny koszt m.in. stworzyć i utrzymać pełną dokumentację techniczną oraz system zarządzania ryzykiem, przeprowadzić formalną ocenę zgodności, a także zgodnie z art. 49 AI Act, zarejestrować system w unijnej bazie danych.

Kara za niewiedzę, czyli realne ryzyka finansowe

Złamanie wymogów unijnego Rozporządzenia o Sztucznej Inteligencji wiąże się między innymi z dotkliwymi karami. Ich wysokość zależy bezpośrednio od skali przewinienia oraz rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego:

• przekazanie organom nadzorczym nieprawdziwych lub wprowadzających w błąd informacji – sankcje sięgają do 7,5 mln euro lub do 1% rocznego obrotu.
• naruszenie obowiązków podmiotu stosującego lub dostawcy przy systemach wysokiego ryzyka oraz brak przejrzystości – kary wynoszą do 15 mln euro lub do 3% globalnego obrotu.
• stosowanie zakazanych praktyk AI (art. 5) – kary sięgają do 35 mln euro lub do 7% całkowitego światowego rocznego obrotu przedsiębiorstwa.

Przedsiębiorcy muszą pamiętać, że podane wartości stanowią górny pułap, a nie kwoty naliczane automatycznie. Organy kontrolne przy ocenie przewinienia biorą pod uwagę skalę zaniedbania, czas trwania naruszenia, dotychczasową współpracę oraz to, czy firma podjęła rzetelne próby udokumentowania procedur zgodności.

Poza samymi karami pieniężnymi organy nadzoru rynku mają prawo nakazać natychmiastowe wstrzymanie stosowania danego narzędzia w organizacji. Dochodzą do tego straty wizerunkowe oraz ryzyko indywidualnych roszczeń odszkodowawczych zgłaszanych przez pracowników lub klientów na drodze postępowania cywilnego.

Jak bezpiecznie wdrożyć sztuczną inteligencję w firmie?

Rozwiązaniem problemów z nieoficjalnym oprogramowaniem nie jest bezwzględny zakaz stosowania nowych technologii, lecz stworzenie bezpiecznego, audytowanego środowiska pracy.

Przykładem uporządkowanego podejścia jest wdrożenie rozwiązania Google Workspace z asystentem Gemini. Dane wprowadzane przez pracowników do systemu nie są wykorzystywane do trenowania publicznych modeli sztucznej inteligencji ani udostępniane podmiotom trzecim. Przetwarzanie informacji odbywa się w oparciu o europejskie standardy ochrony danych osobowych, z przejrzystym podziałem uprawnień dostępowych wewnątrz organizacji.

Równolegle konieczne jest utworzenie struktury nadzoru organizacyjnego. Przedstawiciele działów prawnych, IT, finansów oraz HR powinni wspólnie opracować zasady akceptacji nowych narzędzi. 

W przypadku procesów mających wpływ na ludzi kluczowe jest zagwarantowanie nadzoru człowieka (tzw. human in the loop). Wygenerowane przez maszynę rekomendacje – na przykład dotyczące oceny kandydatów do pracy czy wyceny usług – muszą każdorazowo podlegać weryfikacji i ostatecznej decyzji wyznaczonego pracownika.

Ścieżka przygotowania organizacji na AI Act na 2026 rok

Skuteczne dostosowanie firmy do wymogów AI Act wymaga podjęcia kilku kroków organizacyjnych w określonej kolejności. 

1. Przeprowadź pełną inwentaryzację oprogramowania. Spisz wszystkie narzędzia wykorzystujące algorytmy AI we wszystkich jednostkach biznesowych – ze szczególnym uwzględnieniem aplikacji wdrażanych samowolnie przez pracowników (tzw. Shadow AI).
2. Zweryfikuj stosowane procesy. Sprawdź działania firmy pod kątem praktyk zakazanych w artykule 5 (m.in. analiza emocji w miejscu pracy, manipulacja podprogowa).
3. Uruchom program podnoszenia kompetencji (art. 4). Zorganizuj i udokumentuj stały cykl szkoleń z bezpiecznego korzystania z AI dla całego personelu.
4. Oceń rolę firmy i zakres modyfikacji modeli. Ustal, czy organizacja występuje jedynie jako podmiot stosujący, czy – poprzez głęboką modyfikację lub dostrajanie (fine-tuning) modeli ogólnego przeznaczenia – przejmuje obowiązki dostawcy.
5. Przeanalizuj umowy z dostawcami. Przejrzyj i zaktualizuj umowy pod kątem klauzul odpowiedzialności, jakości danych wejściowych, dokumentacji technicznej oraz procedur zgłaszania incydentów. 
6. Wdróż wewnętrzną politykę AI i procedury nadzoru człowieka. Opracuj zasady weryfikacji decyzji algorytmicznych przez personel (Human in the Loop), ochrony informacji poufnych oraz cyfrowego znakowania treści syntetycznych (art. 50).
7. Zarejestruj systemy i zaplanuj coroczne audyty. Zgłoś systemy wysokiego ryzyka do oficjalnej bazy danych UE (zgodnie z art. 49) oraz ustal harmonogram regularnych przeglądów zgodności.

Bezpieczne wdrożenie sztucznej inteligencji z FOTC

Przygotowanie firmy do wymogów prawnych nie musi oznaczać rezygnacji z innowacji. Zespół ekspertów FOTC wspiera organizacje na każdym etapie bezpiecznej adaptacji technologii.

1. Wdrażamy i konfigurujemy zamknięty ekosystem Google Workspace z asystentem Gemini, zapewniające pełną poufność przetwarzanych informacji.  
2. Pomagamy przeprowadzić inwentaryzację oprogramowania, wskazujemy luki bezpieczeństwa i pomagamy wyeliminować zagrożenia związane z nieoficjalnymi narzędziami.
3. Szkolimy zespoły z zakresu bezpiecznego stosowania asystentów cyfrowych, pozwalając spełnić formalny wymóg podnoszenia kompetencji z artykułu 4.

Wypełnij formularz kontaktowy na naszej stronie, aby umówić bezpłatną konsultację z doradcą FOTC.

Najczęściej zadawane pytania (FAQ)

Czy przepisy AI Act dotyczą małych i średnich firm?

Tak. O podleganiu pod zasady rozporządzenia decyduje cel wykorzystania systemu sztucznej inteligencji oraz jego wpływ na ludzi, a nie wielkość podmiotu czy wysokość jego kapitału . Mała firma rekrutacyjna, która stosuje algorytmy do oceny kandydatów podlega wymogom w takim samym stopniu jak duża korporacja.

Czym AI Act różni się od rozporządzenia RODO?

RODO skupia się na ochronie danych osobowych i prywatności osób fizycznych. AI Act reguluje natomiast kwestie bezpiecznego projektowania, wdrażania i stosowania samych systemów sztucznej inteligencji, ze szczególnym uwzględnieniem minimalizacji ryzyka technicznego oraz ochrony praw podstawowych.

Kiedy firma ma obowiązek poinformować klienta o rozmowie z botem?

Obowiązek informacyjny z artykułu 50 powstaje od razu przy pierwszej interakcji. Wirtualny doradca lub chatbot obsługujący sklep internetowy musi na samym wstępie rozmowy w sposób jasny zakomunikować klientowi swój syntetyczny charakter . Informacja ukryta w regulaminie serwisu jest niewystarczająca.