Szkoła AI / Baza wiedzy / Kalendarz AI Act
AI Act — co już obowiązuje, a co dopiero wchodzi
Opracowanie: Redakcja Szkoły AI · Opublikowano: 29.10.2026
Większość polskich tekstów o AI Act, które dziś wyskakują w wyszukiwarce, podaje nieaktualne daty. Powód jest prosty: pisano je przed 27 lipca 2026, kiedy rozporządzenie 2026/1744, tak zwany Digital Omnibus on AI, przestawiło kalendarz obowiązków dla systemów wysokiego ryzyka. Jeśli czytacie, że „od 2 sierpnia 2026 obowiązują wymogi dla systemów wysokiego ryzyka", to tekst z zeszłego roku. Poniżej oś czasu w wersji, która zgadza się ze stanem na dziś, i wyraźne rozdzielenie: co już Was dotyczy, a co dopiero będzie.
Kliknijcie termin, żeby zobaczyć, czego dotyczy
Punkty wyszarzone to terminy, które już minęły. Oś sprawdza to względem dzisiejszej daty za każdym wejściem, więc nie zestarzeje się razem z tekstem. Pierwszy nadchodzący termin otwiera się sam.
Zakazane praktyki i obowiązek kompetencji AI
Weszły w życie artykuł 5 (praktyki zakazane bezwarunkowo, m.in. ocenianie ludzi po zachowaniu społecznym i rozpoznawanie emocji w pracy) oraz artykuł 4, czyli obowiązek zapewnienia, że osoby pracujące z AI rozumieją, czym się posługują.
Kogo dotyczy: w przypadku artykułu 4 każdej firmy, która daje pracownikom choćby jedno narzędzie AI, niezależnie od poziomu ryzyka systemu. Brzmi miękko, nie wymaga żadnego zgłoszenia, więc nikt go nie pilnuje. To najczęściej pomijany obowiązek w całym rozporządzeniu, i szkoda, bo zarazem najtańszy do spełnienia.
Modele ogólnego przeznaczenia, struktura nadzoru, reżim kar
Obowiązki dostawców modeli ogólnego przeznaczenia (dokumentacja, polityka przestrzegania prawa autorskiego, podsumowanie danych treningowych) oraz przepisy ustanawiające krajowe organy nadzoru i widełki kar.
Kogo dotyczy: głównie dostawców modeli, nie firm, które z nich korzystają. Dla Waszej firmy liczy się to pośrednio: to ten blok przepisów nakłada na dostawcę obowiązek przekazania Wam informacji, bez których nie zbudujecie własnej dokumentacji.
Digital Omnibus on AI, czyli rozporządzenie (UE) 2026/1744
Weszło w życie w trybie pilnym i przesunęło obowiązki dla systemów wysokiego ryzyka: załącznik III z 2.08.2026 na 2.12.2027, załącznik I na 2.08.2028. Skróciło przy tym okres przejściowy na maszynowe znakowanie treści z sześciu miesięcy do trzech i przesunęło termin na krajowe piaskownice regulacyjne na 2.08.2027.
Czego NIE przesunęło: obowiązków przejrzystości z artykułu 50, kar i artykułu 4. To rozróżnienie jest najważniejszą rzeczą na tej stronie.
Artykuł 50: bot musi się przedstawić, a treść syntetyczną trzeba oznaczyć
Od tej daty człowiek rozmawiający z systemem AI musi o tym wiedzieć, deepfake musi być ujawniony, a treści generowane maszynowo oznaczone w sposób odczytywalny maszynowo. Razem z tym krajowe organy nadzoru dostały uprawnienia egzekucyjne.
Kogo dotyczy: każdego, kto ma na stronie czat obsługujący klientów, generuje treści marketingowe modelem albo publikuje materiały z syntetycznym głosem lub obrazem. Wytyczne Komisji z 20.07.2026 wyłączają spod tego obowiązku m.in. zwykłą edycję tekstu i dokumenty wewnętrzne. Zakres jest węższy, niż większość firm się obawia, ale nie zerowy.
Polska ustawa o systemach AI i powstanie KRiBSI
Zasadnicza część ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji (ogłoszonej 27.07.2026) weszła w życie, tworząc Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, polski organ nadzoru rynku i pojedynczy punkt kontaktowy w rozumieniu AI Act. Na przewodniczącą Sejm powołał Pamelę Krzypkowską 18.09.2026, Senat wyraził zgodę 24.09.2026.
Kogo dotyczy: wszystkich firm w Polsce. I to ta warstwa, nie samo rozporządzenie UE, stawia obowiązki podnoszenia kompetencji pracowników w zakresie pracy z AI oraz wdrożenia polityk bezpiecznego korzystania.
KRiBSI może kontrolować, karać i wydawać opinie indywidualne
Wystartowały kontrole, postępowania w sprawie naruszeń, skargi oraz kary pieniężne: do 35 mln euro albo 7% światowego obrotu za praktyki zakazane. Ustawa przewiduje obniżki: 30–90% przy samodzielnym zgłoszeniu naruszenia i 10–50% za wykonanie zaleceń w ciągu trzech miesięcy. Utrudnianie kontroli jest przestępstwem zagrożonym karą do 2 lat pozbawienia wolności albo grzywną do 500 tys. zł. Odwołania rozpatruje Sąd Okręgowy w Warszawie.
Co z tego wynika w praktyce: postępowanie zaczyna się zwykle od skargi pracownika albo klienta, nie od planowej kontroli. Przy takiej rozmowie najbardziej boli brak dwóch dokumentów: spisu używanych narzędzi AI i ewidencji przeszkolenia zespołu.
Pierwsze posiedzenie KRiBSI
Ustawowy termin na ukonstytuowanie się Komisji. Od tego momentu organ działa w pełnym składzie i może wydawać opinie indywidualne, czyli odpowiadać firmie na pytanie, czy jej konkretny system podlega obowiązkom i jakim.
Dlaczego to Was interesuje: opinia indywidualna jest tańsza i szybsza niż spór po kontroli. Dla firm w obszarach wątpliwych, takich jak rekrutacja, ocena pracowników czy scoring klientów, to najrozsądniejsza droga.
Koniec taryfy ulgowej na oznaczanie treści + nowe zakazy
Kończy się okres przejściowy na maszynowo odczytywalne oznaczanie treści dla systemów generatywnych wprowadzonych na rynek przed 2.08.2026, czyli dla narzędzi, których firmy używają od dawna. Tego samego dnia do artykułu 5 dochodzą nowe praktyki zakazane, dotyczące generowania i manipulowania intymnymi wizerunkami osób bez ich zgody.
Zadanie na teraz: sprawdzić, czy narzędzia, z których korzystacie od miesięcy, nadal mieszczą się w wyjątku. Większość firm zakłada, że skoro „to było przed przepisami", to jest poza nimi. Po tej dacie już nie będzie.
Krajowe piaskownice regulacyjne
Termin, do którego państwa członkowskie mają uruchomić piaskownice regulacyjne, czyli kontrolowane środowiska testowania rozwiązań AI pod nadzorem organu. W Polsce zasady piaskownic są już w ustawie, brakuje uruchomienia.
Dla kogo to ma znaczenie: dla firm budujących własne rozwiązania w obszarach, które po 2027 roku będą wysokiego ryzyka. Dla typowego wdrożenia AI w biurze: żadnego.
Wysokie ryzyko z załącznika III: rekrutacja, HR, scoring, edukacja
Pierwotnie 2.08.2026, przesunięte przez Omnibus. Obejmuje systemy wykorzystywane m.in. do selekcji kandydatów, oceny pracowników, decyzji o dostępie do edukacji oraz oceny zdolności kredytowej. Z tą datą wiążą się twarde obowiązki: ocena ryzyka, dokumentacja, nadzór człowieka, rejestrowanie zdarzeń.
Jak to czytać: jako okno na przygotowanie, nie jako odroczenie problemu. Jeśli Wasz system przesiewa CV, zdążycie zrobić to spokojnie, pod warunkiem że zaczniecie, zanim zostanie pół roku.
Wysokie ryzyko z załącznika I: AI wbudowana w produkty
Ostatni termin kalendarza. Dotyczy AI stanowiącej element bezpieczeństwa produktów objętych odrębnymi przepisami certyfikacyjnymi: maszyn, urządzeń medycznych, pojazdów.
Kogo dotyczy: producentów, nie użytkowników. Jeśli nie wytwarzacie urządzeń podlegających certyfikacji, ten punkt możecie pominąć.
Co weszło i czego nikt Wam nie przesunie
Dwa obowiązki dotyczą praktycznie każdej firmy używającej AI, i oba są poza zasięgiem wszystkich przesunięć.
Przejrzystość z artykułu 50. Czat na stronie musi się przedstawić. Treść wygenerowana maszynowo musi być oznaczona. Głos i obraz syntetyczny muszą być ujawnione. To nie wymaga ani dokumentacji, ani zgłoszenia, więc w firmie zwykle nikt tego nie pilnuje. Rynek przeoczył ten blok, bo cała uwaga poszła na systemy wysokiego ryzyka, czyli na obowiązki, których właśnie nie ma. Trochę to irytuje: wszyscy dyskutują o przepisach z 2027 roku, a czat na stronie firmowej dalej udaje człowieka.
Kompetencje z artykułu 4. Obowiązek spoczywa na pracodawcy, dotyczy każdej firmy dającej ludziom narzędzia AI i nie ma progu wielkości. Nie da się go spełnić zakupem licencji. Potrzebne jest przeszkolenie i ślad po nim: lista uczestników, zakres, data. Prowadzimy takie szkolenia i to jest dokładnie ten dokument, który zostaje po warsztacie.
Przesunięcie, które bywa źle rozumiane
Firmy czytają wiadomość o przesunięciu wysokiego ryzyka jako „mamy spokój do 2027 roku". To nieporozumienie z dwóch stron. Po pierwsze, obowiązki, które weszły, zostały. A to one dotyczą większości. Po drugie, przygotowanie systemu rekrutacyjnego czy scoringowego do wymogów wysokiego ryzyka nie jest zadaniem na tydzień: to ocena ryzyka, dokumentacja techniczna, opis nadzoru człowieka i rejestrowanie zdarzeń. Czternaście miesięcy wygląda jak dużo dokładnie do momentu, w którym zostaje sześć. Ten sam rytm wszyscy widzieli przy RODO i serio nie ma powodu oglądać go drugi raz.
Jest też trzeci wątek, o którym mało kto mówi: od 28 października polski organ może wszcząć postępowanie na podstawie skargi. Nie musi czekać na kontrolę planową i nie musi mieć powodu w postaci systemu wysokiego ryzyka. Wystarczy zgłoszenie pracownika, że firma używa narzędzia AI do oceny jego pracy, a nikt mu o tym nie powiedział.
Który z tych terminów dotyczy Waszej firmy
Rozwińcie termin na osi powyżej, a to zdanie zmieni się w pytanie o Waszą sytuację przy tym konkretnym obowiązku.
Przy wdrożeniach przechodzę z klientem trzy rzeczy: spis używanych narzędzi AI, przegląd tego, co wymaga oznaczenia, i pokrycie obowiązku przeszkolenia zespołu. Napiszcie, z czego korzystacie i w jakich procesach. Odpiszę, które punkty z tej osi Was dotyczą, a które możecie pominąć.
Pytania, które dostaję
Mamy pięć osób i używamy ChatGPT. Dotyczy nas AI Act?
W części tak. Artykuł 4 nie ma progu wielkości. Jeśli dajecie ludziom narzędzie AI do pracy, macie zadbać o to, żeby rozumieli, czym się posługują. Jeśli dodatkowo publikujecie treści generowane maszynowo albo macie czat obsługujący klientów, dochodzi artykuł 50. Obowiązki dla systemów wysokiego ryzyka Was najprawdopodobniej nie dotyczą i nie będą dotyczyć.
Czy każdy tekst napisany przez AI trzeba oznaczać?
Większości nie. Wytyczne Komisji z lipca 2026 wyłączają m.in. zwykłą edycję tekstu, dokumenty wewnętrzne i prywatną korespondencję. Obowiązek celuje w treści publikowane, które mogą być wzięte za ludzkie, zwłaszcza w syntetyczny obraz, głos i wideo. To węższy zakres, niż większość firm się obawia, ale sprawdzenia wymaga każdy przypadek osobno, bo granica między „edycją" a „wygenerowaniem" nie jest ostra.
Co dokładnie zmienił Digital Omnibus?
Przesunął obowiązki dla systemów wysokiego ryzyka: załącznik III z sierpnia 2026 na 2 grudnia 2027, załącznik I na 2 sierpnia 2028. Skrócił okres przejściowy na maszynowe znakowanie treści do 2 grudnia 2026. Przeredagował artykuł 4. Nie dotknął artykułu 50 ani przepisów o karach.
Czy KRiBSI naprawdę będzie karać małe firmy?
Nie wiem i nie będę udawać, że wiem. Organ działa od niedawna i nie ma jeszcze praktyki, na której można się oprzeć. Co wiem: ustawa przewiduje obniżkę kary o 30–90% przy samodzielnym zgłoszeniu naruszenia, co w każdym systemie nadzoru oznacza, że najgorszą strategią jest czekanie, aż ktoś przyjdzie. I że postępowanie może zacząć się od skargi pracownika.
Mamy system przesiewający CV. Co zrobić do grudnia 2027?
Zacznijcie od ustalenia, czy to Wasz system, czy dostawcy, bo obowiązki rozkładają się inaczej. Potem: ocena ryzyka, opis tego, jak człowiek może zmienić decyzję systemu, i rejestrowanie zdarzeń. Jeśli dostawca nie potrafi dziś powiedzieć, co dostarczy do dokumentacji, to jest pytanie na teraz, nie na 2027 rok.
Jedna obserwacja z rozmów z klientami
Najczęstszym problemem nie jest brak dokumentacji wysokiego ryzyka. Jest nim to, że w firmie nikt nie wie, z jakich narzędzi AI korzystają poszczególne działy: marketing ma swoje, handel swoje, księgowość coś znalazła sama. Spis tych narzędzi zajmuje pół dnia i w ośmiu przypadkach z dziesięciu zaskoczy osobę, która go zleciła. Zanim zaczniecie czytać przepisy, zróbcie tę listę! Bez niej żaden punkt z osi powyżej nie da się rzetelnie sprawdzić.
← Wróć do bazy wiedzy RODO i AI Act w praktyce Szkolenia AI dla firm Obowiązek przeszkolenia zespołu z AI Czy Wasz system AI jest wysokiego ryzyka Ile naprawdę kosztuje wdrożenie AI w firmie