O harmonogramie AI Act napisali w lipcu wszyscy. Ten tekst jest o czymś innym: umowy na narzędzia AI podpisuje się dziś, zwykle na dwa albo trzy lata, a obowiązki dla systemów wysokiego ryzyka wejdą w grudniu 2027 r. — czyli w środku okresu obowiązywania tych umów. To w umowie, nie w rozporządzeniu, rozstrzyga się, kto poniesie koszt zgodności.
W skrócie: Digital Omnibus (rozporządzenie 2026/1744) przesunął systemy wysokiego ryzyka z załącznika III na 2 grudnia 2027 r., ale obowiązki przejrzystości z art. 50 działają od 2 sierpnia 2026 r., a praktyki zakazane i obowiązek kompetencji AI — od lutego 2025 r. Firma, która AI tylko używa, też jest adresatem obowiązków, bo rozporządzenie reguluje zarówno dostawców, jak i podmioty stosujące.
Punkt wyjścia: używanie też jest podleganiem
Rozporządzenie rozróżnia dostawców systemów AI oraz podmioty stosujące i nakłada obowiązki na obie grupy. Firma handlowa, biuro nieruchomości czy przychodnia nie budują sztucznej inteligencji, ale jej używają — podlegają więc obowiązkom podmiotu stosującego.
Co więcej, w kontekście art. 50 podmiotem stosującym jest nie tylko wykonawca (agencja reklamowa, studio produkcyjne), ale też ten, kto treść zamawia i pod czyim kierownictwem ona powstaje — czyli sam reklamodawca.
Co się zmieniło w lipcu 2026
Digital Omnibus, czyli rozporządzenie 2026/1744, został opublikowany w Dzienniku Urzędowym UE 24 lipca 2026 r. i wszedł w życie 27 lipca. Powód przesunięcia był prozaiczny: nie zdążono z normami technicznymi, bez których nie da się sensownie przeprowadzić oceny zgodności.
| Obszar | Termin przed zmianą | Termin po zmianie |
|---|---|---|
| Systemy wysokiego ryzyka z załącznika III (rekrutacja, ocena pracowników, scoring kredytowy, edukacja) | 2 sierpnia 2026 | 2 grudnia 2027 |
| AI wbudowana w produkty regulowane (załącznik I) | 2 sierpnia 2027 | 2 sierpnia 2028 |
| Obowiązki przejrzystości (art. 50) | 2 sierpnia 2026 | bez zmian |
| Praktyki zakazane (art. 5) | 2 lutego 2025 | bez zmian |
| Kompetencje AI u personelu (art. 4) | 2 lutego 2025 | bez zmian |
| Systemy używane przez organy publiczne | — | zgodność do 2 sierpnia 2030 |
Systemy wysokiego ryzyka wprowadzone na rynek przed datą stosowania co do zasady łapią przepisy dopiero przy istotnej zmianie projektu.
Jest też polski element układanki: ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), ogłoszona 27 lipca 2026 r., tworzy krajowy organ nadzoru i procedury. Obowiązek unijny działa jednak niezależnie od tego, kiedy organ faktycznie się ukonstytuuje, a naruszenia sprzed tego momentu mogą zostać ukarane później.
Co naprawdę obowiązuje od 2 sierpnia 2026
Artykuł 50 nakłada cztery różne obowiązki, które bywają ze sobą mylone. Rozdział ról jest kluczowy, bo od niego zależy, kto za co odpowiada.
| Obowiązek | Kto odpowiada | Na czym polega |
|---|---|---|
| Informacja o interakcji z AI (art. 50 ust. 1) | dostawca | Osoba rozmawiająca z chatbotem lub asystentem głosowym musi wiedzieć, że rozmawia z maszyną; wyjątek, gdy jest to oczywiste z kontekstu |
| Oznaczenie maszynowe (art. 50 ust. 2) | dostawca | Techniczne, odczytywalne maszynowo oznaczenie wyników systemu generatywnego; nie musi być widoczne dla człowieka |
| Rozpoznawanie emocji i kategoryzacja biometryczna (art. 50 ust. 3) | podmiot stosujący | Poinformowanie osób, że taki mechanizm działa |
| Ujawnienie deepfake (art. 50 ust. 4) | podmiot stosujący | Widoczne dla odbiorcy ujawnienie, że materiał został wygenerowany lub zmodyfikowany przez AI; dotyczy też określonych tekstów w sprawach interesu publicznego |
Techniczne oznakowanie to nie to samo co widoczne ujawnienie. Pierwsze robi dostawca w metadanych, drugie robisz Ty, publikując materiał. Firma, która polega wyłącznie na tym, że narzędzie samo coś oznacza w metadanych, nie spełnia swojego obowiązku z ust. 4.
Definicja deepfake jest szersza, niż się wydaje
Potocznie deepfake kojarzy się z podłożoną twarzą albo sfałszowaną wypowiedzią polityka. Definicja z AI Act obejmuje każdy obraz, materiał audio albo wideo wygenerowany lub zmanipulowany przez AI, który przypomina istniejącą osobę, przedmiot, miejsce, podmiot lub zdarzenie i może zostać niesłusznie uznany za autentyczny.
O kwalifikacji decyduje podobieństwo do wiarygodnego pierwowzoru oraz możliwość wprowadzenia odbiorcy w błąd. Według wytycznych Komisji liczy się wrażenie odbiorcy — i to nie przeciętnego, tylko tego, do którego materiał jest kierowany. Praktycznie: wygenerowane zdjęcie produktowe przedstawiające realistyczne wnętrze biura może wymagać ujawnienia, a stylizowana grafika ilustracyjna niekoniecznie. Granica jest nieoczywista, co jest dobrym argumentem, żeby oznaczać szerzej niż wąsko.
Cztery wyłączenia, o których warto wiedzieć
- Zwykła edycja. Korekta pisowni, odszumianie, drobne kadrowanie i inne czynności, które nie zmieniają istotnie treści ani jej znaczenia, są wyłączone spod obowiązku dostawcy.
- Treści artystyczne i satyryczne. Deepfake trzeba ujawnić, ale w sposób niezakłócający odbioru dzieła — na przykład w napisach albo w opisie.
- Brak działania wstecz. Materiały wygenerowane przed 2 sierpnia 2026 r. nie muszą być oznaczane wstecznie; rozstrzyga data wygenerowania.
- Przepis przejściowy dla dostawców. Dostawcy systemów generujących treści syntetyczne, wprowadzonych do obrotu przed 2 sierpnia 2026 r., mają czas do 2 grudnia 2026 r. na dostosowanie się do obowiązku technicznego oznaczania. To wyłącznie ich obowiązek i nie jest to odroczenie całego art. 50.
Kary
Naruszenie obowiązków przejrzystości z art. 50 zagrożone jest administracyjną karą pieniężną do 15 mln euro albo do 3% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa (art. 99 ust. 4 AI Act). Dla małych i średnich przedsiębiorstw stosuje się niższą z tych wartości. To istotne złagodzenie, ale przy obrocie kilkunastu milionów złotych 3% nadal jest kwotą, której nikt nie chce zobaczyć w decyzji administracyjnej.
Sedno: osiem klauzul do sprawdzenia w umowie z dostawcą
- Klasyfikacja systemu. Czy dostawca deklaruje, w której kategorii AI Act mieści się narzędzie, i co się dzieje, jeśli klasyfikacja się zmieni. Brak deklaracji oznacza, że kwalifikacji dokonasz sam i sam poniesiesz konsekwencje błędu.
- Dokumentacja techniczna. Kto dostarcza dokumentację potrzebną do wykazania zgodności i w jakim terminie od żądania. Bez niej podmiot stosujący nie ma czym się bronić przed organem nadzoru.
- Oznaczanie treści. Czy narzędzie technicznie oznacza treści generowane przez AI w sposób odczytywalny maszynowo, czy obowiązek spada w całości na Ciebie.
- Koszt dostosowania. Kto ponosi koszt zmian w systemie wymuszonych nowymi wymogami. Jeśli umowa milczy, w praktyce zapłacisz Ty albo dostaniesz podwyżkę abonamentu w momencie, w którym nie masz już alternatywy.
- Informowanie o zmianach. Czy dostawca ma obowiązek uprzedzić o istotnej zmianie modelu albo sposobu działania systemu i z jakim wyprzedzeniem. Istotna zmiana projektu potrafi uruchomić obowiązki, które wcześniej nie miały zastosowania.
- Odpowiedzialność za wynik. Kto odpowiada, gdy system wygeneruje treść naruszającą prawa osób trzecich albo podejmie decyzję niekorzystną dla kandydata czy klienta.
- Limit odpowiedzialności. Czy odpowiedzialność dostawcy nie jest ograniczona do wysokości rocznego abonamentu. Przy karach liczonych w procentach obrotu taki limit jest fikcją — warto go przynajmniej podnieść dla naruszeń związanych ze zgodnością regulacyjną.
- Wyjście z umowy. Czy możesz odstąpić bez kary, jeśli narzędzie okaże się niezgodne z wymogami, i co dzieje się z Twoimi danymi po zakończeniu współpracy.
Osobna kategoria, o której łatwo zapomnieć: umowy z agencjami reklamowymi i dostawcami treści. Skoro podmiotem stosującym jest także zamawiający, w takiej umowie warto mieć obowiązek ujawnienia, czy i w jakim zakresie przy produkcji materiału użyto AI, oraz odpowiedzialność za brak takiego ujawnienia. Bez tego kupujesz materiały, o których nie wiesz, czy wymagają oznaczenia. Punkty 1–8 najłatwiej dopisać jako aneks do umowy z dostawcą razem z klauzulami powierzenia przetwarzania danych (zob. checklista RODO dla małej firmy).
Sytuacja szczególna: rekrutacja i ocena pracowników
Narzędzia do przesiewania CV, oceny kandydatów i oceny pracowników to systemy z załącznika III i będą podlegać pełnemu reżimowi od 2 grudnia 2027 r. Mimo przesunięcia dwie rzeczy obowiązują już dziś: praktyki zakazane z art. 5, w tym rozpoznawanie emocji w miejscu pracy (od lutego 2025 r.), oraz obowiązek zapewnienia kompetencji AI u personelu (Digital Omnibus złagodził jego brzmienie w kierunku środków wspierających rozwój kompetencji).
Jeżeli firma wdraża narzędzie rekrutacyjne w tym roku, umowa powinna już przewidywać moment, w którym dostawca będzie musiał wykazać zgodność z reżimem wysokiego ryzyka. Bez takiej klauzuli w grudniu 2027 r. zostaniesz z narzędziem, którego nie wolno używać, i z umową obowiązującą jeszcze rok.
Jeśli narzędzie AI wspiera decyzje płacowe albo wartościowanie stanowisk, wchodzi jednocześnie w zakres AI Act i w zakres przyszłych obowiązków dotyczących obiektywnych, neutralnych płciowo kryteriów wynagradzania — opisaliśmy je w tekście o jawności wynagrodzeń. Pełną mapę obowiązków dla systemów wysokiego ryzyka znajdziesz we wpisie o AI Act dla firm, a wymogi cyberbezpieczeństwa — w tekście o NIS2.
Co zrobić w tym kwartale
- Zrobić spis narzędzi AI faktycznie używanych w firmie. Zwykle jest ich więcej, niż zakłada zarząd, bo część weszła oddolnie przez zespoły.
- Przy każdym ustalić rolę firmy: dostawca czy podmiot stosujący. Bez tego nie da się ustalić żadnego obowiązku.
- Sprawdzić, czy strona, materiały marketingowe i chatbot spełniają art. 50 — ten obowiązuje już teraz.
- Przejrzeć materiały otrzymane od agencji pod kątem niezadeklarowanych treści syntetycznych.
- Przejrzeć umowy z dostawcami pod kątem ośmiu punktów powyżej i zebrać braki w jedną listę do renegocjacji przy odnowieniu.
- Przygotować wewnętrzne zasady korzystania z generatywnej AI, obejmujące także to, po jakie narzędzia mogą sięgać pracownicy.
FAQ
Czy chatbot na stronie firmowej musi informować, że jest AI?
Tak, od 2 sierpnia 2026 r. Obowiązek wynika z art. 50 ust. 1 AI Act i nie został przesunięty przez Digital Omnibus.
Czy AI Act dotyczy firmy, która AI tylko używa?
Tak. Rozporządzenie nakłada obowiązki zarówno na dostawców systemów AI, jak i na podmioty je stosujące.
Czy muszę oznaczać treści wygenerowane przed sierpniem 2026?
Nie. Obowiązek nie działa wstecz — rozstrzyga data wygenerowania materiału.
Od kiedy obowiązują wymogi dla narzędzi rekrutacyjnych opartych na AI?
Od 2 grudnia 2027 r., po przesunięciu wprowadzonym przez Digital Omnibus.
Jakie kary grożą za brak oznaczenia treści AI?
Do 15 mln euro albo do 3% światowego obrotu, w zależności od tego, która kwota jest wyższa. Dla MŚP stosuje się niższą z tych wartości.
Czy przesunięcie oznacza, że w 2026 nic nie trzeba robić?
Nie. Obowiązki przejrzystości obowiązują od sierpnia 2026 r., a praktyki zakazane i obowiązek kompetencji AI — od lutego 2025 r.
Stan prawny na 20 sierpnia 2026 r. Tekst ma charakter informacyjny i nie stanowi porady prawnej.