AI Act 2026 w Polsce: co faktycznie zmienia się w sierpniu — i co możesz odłożyć na później
Większość artykułów o AI Act straszy datą 2 sierpnia 2026 r. jakby był to sądny dzień dla każdej polskiej firmy używającej sztucznej inteligencji. Tymczasem AI Act w Polsce stosuje się etapami. Część przepisów obowiązuje od ponad roku. Najsurowsze wymagania dotyczące systemów rekrutacyjnych, creditscoringu czy biometrii — po majowej korekcie pakietu Digital Omnibus — przesunięto na grudzień 2027.
Key Takeaways
- 2 sierpnia 2026 r. NIE wchodzą wymagania dla systemów HR, rekrutacji ani creditscoringu — deadline dla tych systemów to 2 grudnia 2027 r. (po zmianach Digital Omnibusa z 7 maja 2026 r.)
- Co wchodzi w sierpniu: obowiązek informowania użytkowników o chatbocie, oznaczanie deepfake’ów, watermarking treści AI, pełna egzekucja kar
- Zakazy z art. 5 (m.in. scoring emocji pracowników, social scoring, real-time biometria) obowiązują od 2 lutego 2025 r. — wiele firm jeszcze tego nie wie
- Polska spóźniła się z implementacją o ok. 240 dni: projekt ustawy powołujący KRiBSI trafił do Sejmu w marcu 2026 r., ponad osiem miesięcy po unijnym terminie
- Brak polskiej ustawy nie zwalnia z AI Act — rozporządzenie unijne stosuje się bezpośrednio
Ten artykuł to precyzyjna mapa: co i kiedy, co musisz zrobić przed sierpniem, a co możesz zaplanować spokojniej na przyszły rok.
Harmonogram AI Act: skąd wzięło się zamieszanie z datami
AI Act (Rozporządzenie 2024/1689) weszło w życie 2 sierpnia 2024 roku, ale nie zaczęło obowiązywać od razu w całości. Komisja Europejska zaprojektowała stopniowe wdrożenie: zakazy i AI literacy od lutego 2025, GPAI (modele fundamentalne) od sierpnia 2025, reszta — w tym systemy wysokiego ryzyka — od sierpnia 2026. Piaskownice regulacyjne miały ruszyć w Polsce w sierpniu 2026.
Plan się posypał z dwóch powodów. Po pierwsze, europejski komitet normalizacyjny CEN-CENELEC, który miał opracować zharmonizowane standardy techniczne do certyfikacji systemów AI, spóźnił się z pracami. Bez tych standardów firmy nie mają tzw. presumption of conformity — nie mogą udowodnić zgodności przez powołanie się na normę. Po drugie, sektor przemysłowy zaprotestował: terminy dla systemów wbudowanych w maszyny i wyroby medyczne okazały się nierealne.
7 maja 2026 roku Rada UE i Parlament Europejski osiągnęły polityczne porozumienie w sprawie pakietu Digital Omnibus on AI (Omnibus VII). Nowe daty weszły do obiegu — i zaczęło się zamieszanie, bo media raportowały zmiany, zanim tekst trafił do Dziennika Urzędowego UE.
Jedno zastrzeżenie: W maju 2026 Omnibus VII to nadal projekt po politycznym porozumieniu, nie opublikowany akt prawny. Formalnie obowiązuje oryginalny harmonogram AI Act. Firmy nie mogą zatrzymywać prac compliance w oczekiwaniu na publikację — ta planowana jest przed sierpniem 2026.
Oś czasu AI Act: co obowiązuje kiedy
| Data | Co wchodzi | Kogo dotyczy |
|---|---|---|
| 2 lutego 2025 | Art. 5 — zakazy; art. 4 — AI literacy | Wszystkich |
| 2 sierpnia 2025 | Rozdział V — GPAI; nadzór instytucjonalny UE | Dostawców modeli fundamentalnych |
| 2 sierpnia 2026 | Art. 50 — transparentność (chatboty, deepfake, watermarking); nadzór rynku i kary w pełnej skali; art. 101 — kary GPAI; rejestracja EU AI Database | Wszystkich — szczególnie firm z chatbotami i treściami GenAI |
| 2 grudnia 2026 | Koniec grace period dla watermarkingu; nowy zakaz generowania NCII i CSAM przez AI | Dostawców systemów generatywnych |
| 2 sierpnia 2027 | Krajowe piaskownice regulacyjne (KRiBSI) | MŚP testujące AI w warunkach rzeczywistych |
| 2 grudnia 2027 | Pełne obowiązki dla systemów high-risk z Załącznika III: HR, rekrutacja, credit scoring, biometria, edukacja | Firmy używające AI w rekrutacji, ocenie pracowniczej, finansach |
| 2 sierpnia 2028 | Systemy high-risk wbudowane w produkty z Załącznika I: maszyny, windy, wyroby medyczne, zabawki | Producenci i importerzy produktów regulowanych z komponentem AI |
Co zmienił Omnibus VII
Przed porozumieniem z 7 maja 2026 r. termin dla systemów high-risk z Załącznika III wypadał w sierpniu 2026 — za chwilę. Omnibus przesunął go na 2 grudnia 2027 r. dla systemów samodzielnych (rekrutacja, scoring, biometria, edukacja) i na 2 sierpnia 2028 r. dla systemów wbudowanych w produkty.
Jednocześnie Omnibus skrócił grace period dla watermarkingu treści generatywnych z 6 do 3 miesięcy. Nowy deadline dla systemów już na rynku: 2 grudnia 2026 r. — nie luty 2027, jak zakładał oryginalny tekst.
AI Act od 2 sierpnia 2026: co wchodzi i co to oznacza
1. Obowiązek informowania o chatbocie (art. 50 ust. 1)
Jeśli twoja firma używa chatbota w obsłudze klienta, na stronie lub w aplikacji — od 2 sierpnia 2026 r. użytkownik musi wiedzieć, że rozmawia z AI, a nie z człowiekiem. Obowiązek spoczywa na dostawcy systemu (providerze), który musi zaprojektować interfejs tak, żeby ta informacja była czytelna.
Kilka rzeczy, których ten przepis NIE wymaga: nie musisz ujawniać jakiego modelu LLM używasz ani od kogo kupiłeś system. Wystarczy jasna informacja, że to AI. Wyjątek: jeśli z kontekstu oczywiste jest, że użytkownik wchodzi w interakcję z systemem AI — wymóg disclosure jest mniej rygorystyczny.
2. Oznaczanie deepfake’ów i treści AI (art. 50 ust. 2 i 4)
Deepfake’i audio/wideo/obraz: Każda treść wyglądająca na autentyczną, a wygenerowana lub zmanipulowana przez AI — musi być oznaczona. Dotyczy to zarówno firm produkujących takie treści, jak i platform je dystrybuujących.
Wyjątek: dzieła artystyczne, satyryczne i fikcyjne — wystarczy minimalne, nieingerujące ujawnienie.
Tekst AI w interesie publicznym: Artykuły, posty, raporty generowane przez AI i publikowane w przestrzeni publicznej wymagają oznaczenia — chyba że przeszły editorial review z ludzką odpowiedzialnością redakcyjną. Dla twórców treści to ważna granica: ludzka redakcja z odpowiedzialnością = zwolnienie z obowiązku oznaczenia.
Watermarking (art. 50 ust. 2): Dostawcy systemów generatywnych muszą implementować techniczne oznaczenia treści — metadane C2PA, SynthID lub inne maszynowo czytelne i odporne na proste manipulacje. Dla systemów już na rynku grace period to 3 miesiące od 2 sierpnia — deadline: 2 grudnia 2026 r.
3. Pełna egzekucja kar i nadzór rynku
Od 2 sierpnia 2026 r. krajowe organy nadzoru (w Polsce — KRiBSI, gdy ustawa zostanie uchwalona) mogą wszczynać postępowania, nakładać kary i wydawać decyzje o wycofaniu produktu z rynku. European AI Office nakłada kary bezpośrednio na dostawców GPAI na podstawie art. 101 — do 15 mln EUR lub 3% globalnego obrotu (wg AI Act 2024/1689, art. 101).
4. Prawo obywatela do skargi
Od 2 sierpnia 2026 r. każdy obywatel UE może wnieść skargę do krajowego organu nadzoru na system AI, który naruszył jego prawa. W uzasadnieniu do polskiego projektu ustawy pada przykład: klient banku, któremu system AI odmówił kredytu, będzie mógł zakwestionować tę decyzję formalną drogą.
Dla firm praktyczne znaczenie jest takie: trzeba mieć wewnętrzną procedurę obsługi skarg — logowanie zdarzeń, kontakt dla skarżącego, ścieżkę eskalacji.
Zanim przejdziesz dalej: Jeśli twoja firma nie przeprowadziła jeszcze inwentaryzacji systemów AI — sierpień 2026 to ostatni moment na to działanie. Bez mapy AI nie wiesz, pod które przepisy wpadasz.
Zakazy AI Act z art. 5 — co już dziś jest nielegalne
To najczęściej pomijany fragment w komunikacji o AI Act. Zakazy z art. 5 obowiązują od 2 lutego 2025 r. — rok i trzy miesiące temu. Kary za naruszenie: do 35 mln EUR lub 7% globalnego obrotu, wyższa z dwóch kwot (wg art. 99 AI Act 2024/1689). Dla MŚP obowiązuje zasada „niższej z dwóch kwot” — firma z rocznym obrotem 2 mln EUR zapłaci maksymalnie 140 000 EUR za naruszenie tier-1, nie 35 mln EUR.
Osiem zakazanych praktyk:
1. Techniki podprogowe lub manipulacyjne — systemy działające poniżej progu świadomości użytkownika, prowadzące do znacznej szkody.
2. Wykorzystywanie wrażliwości — AI eksploitujące słabości dzieci, osób starszych, osób z trudnościami finansowymi lub z niepełnosprawnościami.
3. Social scoring — ocenianie osób przez organy publiczne lub prywatne na podstawie zachowań społecznych, prowadzące do nieproporcjonalnego, niekorzystnego traktowania. Zakaz skierowany wprost do firm budujących „reputational scoring” klientów.
4. Predykcja popełnienia przestępstwa wyłącznie na podstawie profilowania — bez konkretnych dowodów zdarzenia.
5. Untargeted scraping twarzy z internetu lub kamer CCTV w celu budowania baz danych rozpoznawania twarzy.
6. Rozpoznawanie emocji w miejscu pracy i instytucjach edukacyjnych — wyjątki tylko dla celów medycznych i bezpieczeństwa.
7. Kategoryzacja biometryczna — wnioskowanie z danych biometrycznych o rasie, orientacji seksualnej, poglądach politycznych, religii.
8. Real-time remote biometric identification w przestrzeniach publicznie dostępnych dla celów ścigania — z wąskimi wyjątkami (terror, handel ludźmi, zaginione osoby), wymagającymi uprzedniej zgody sądu lub niezależnego organu administracyjnego.
Nowy zakaz — Omnibus VII, deadline 2 grudnia 2026 r.: Generowanie niezautoryzowanych intymnych obrazów (NCII) i treści seksualnych z udziałem dzieci (CSAM) przy użyciu AI. Zakaz obejmuje trzy sytuacje: tworzenie systemów z takim przeznaczeniem, wdrażanie systemów bez efektywnych zabezpieczeń oraz samo używanie AI do generowania takich treści.
Systemy AI wysokiego ryzyka według AI Act — masz czas do 2027, ale nie na bezczynność
Obowiązki dla systemów wysokiego ryzyka z Załącznika III przesunięto po Omnibusie VII z 2 sierpnia 2026 r. na 2 grudnia 2027 r. To ponad 18 miesięcy dodatkowego czasu.
Tyle że conformity assessment — procedura oceny zgodności systemu wysokiego ryzyka przed wprowadzeniem na rynek — trwa od 6 do 18 miesięcy. Jeśli zaczniesz w grudniu 2026, możesz nie zdążyć.
Co obejmuje Załącznik III
Osiem obszarów, w których systemy AI są automatycznie klasyfikowane jako wysokiego ryzyka (wg AI Act 2024/1689, Załącznik III):
Biometryka — zdalna identyfikacja, kategoryzacja biometryczna, rozpoznawanie emocji poza zakazem z art. 5.
Infrastruktura krytyczna — AI zarządzające bezpieczeństwem sieci energetycznych, wodociągów, transportu.
Edukacja — systemy oceniania studentów, decydujące o dostępie do kształcenia, monitorujące zachowania podczas egzaminów.
Zatrudnienie — obszar, który dotyczy największej liczby polskich firm:
- AI do screeningu i rankingowania CV (systemy ATS z modułem AI)
- Targetowane ogłoszenia o pracę kierowane do wybranych grup demograficznych
- Ocena efektywności pracownika przez AI
- Decyzje o awansach, zwolnieniach, przydziale zadań podejmowane przez system AI
Dostęp do usług — credit scoring (banki, BNPL, fintech), ubezpieczenia zdrowotne i życiowe, wnioski o świadczenia społeczne.
Ściganie, migracja, wymiar sprawiedliwości — obszary bezpośrednio regulowane przez organy państwowe, z własnymi procedurami i wyjątkami.
Co deployer musi zrobić od 2027 r.
Deployer to firma, która kupuje i wdraża gotowy system AI — nie ta, która go zbudowała. Od 2 grudnia 2027 r. deployer systemów z Załącznika III musi:
- Wdrożyć system zgodnie z instrukcją dostawcy
- Zapewnić nadzór ludzki przez kompetentną osobę
- Prowadzić logi działania systemu
- Informować pracowników i ich przedstawicieli o używaniu AI w miejscu pracy
- FRIA (Fundamental Rights Impact Assessment) — ocena wpływu na prawa człowieka, obowiązkowa przed wdrożeniem dla podmiotów publicznych i operatorów usług kluczowych (wg art. 27 AI Act 2024/1689)
Zacznij zbierać dokumentację od dostawców AI już teraz — zanim zapytasz ich w grudniu 2026, kiedy wszyscy będą pytać jednocześnie. Dobra umowa z dostawcą powinna zawierać klauzulę o dostarczeniu dokumentacji zgodnej z Załącznikiem XI AI Act na żądanie.
Polska implementacja AI Act i KRiBSI — gdzie jesteśmy w maju 2026
Polska powinna była powołać krajowy organ nadzoru nad AI do 2 sierpnia 2025 roku (art. 113 AI Act). Nie zrobiła tego w terminie. Projekt ustawy o systemach sztucznej inteligencji (druk sejmowy 2443) trafił pod obrady Rady Ministrów 31 marca 2026 roku — ok. 240 dni po unijnym deadline. Pierwsze czytanie w Sejmie: 29-30 kwietnia 2026 r. Cel rządu: uchwalenie przed 2 sierpnia 2026 r.
Jak będzie działać KRiBSI
Projekt ustawy powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako centralny organ nadzoru. W składzie kierownictwa: Prezes UOKiK, Prezes UKE, przedstawiciele KNF i KRRiT. W pełnym składzie Komisji: również URPLWMiPB (rejestracja wyrobów medycznych) i Państwowa Inspekcja Pracy.
UODO — wbrew oczekiwaniom wielu prawników — dostał w projekcie wyłącznie rolę ekspercką, nie nadzorczą. Urząd sam zakwestionował to rozwiązanie, wskazując na potencjalną niezgodność z art. 74(8) AI Act, który wymaga by organy ochrony danych były organami nadzoru w obszarze ścigania i wymiaru sprawiedliwości. To może być zarówno problem w procesie legislacyjnym, jak i pretekst do zakwestionowania polskiej implementacji przez Komisję Europejską.
Co KRiBSI może zrobić
- Wszczynać postępowania administracyjne i nakładać kary
- Wydawać wiążące opinie indywidualne — cenne dla firm chcących zweryfikować czy dany system jest zgodny
- Wycofać system AI z rynku z rygorem natychmiastowej wykonalności w ciągu 7 dni, jeśli zagraża życiu lub zdrowiu
- Prowadzić piaskownice regulacyjne
- Stosować procedurę układu — obniżyć karę dla firm, które szybko usunęły naruszenie i wdrożyły środki naprawcze
Odwołania: Sąd Okręgowy w Warszawie (SOKiK), następnie Sąd Apelacyjny w Warszawie.
Piaskownice regulacyjne
Dostęp bezpłatny dla MŚP. Dla pozostałych firm: max opłata w wysokości 4-krotności minimalnego wynagrodzenia za pracę — w 2026 roku ok. 19 200 zł. Termin uruchomienia piaskownic: 2 sierpnia 2027 r.
Brak ustawy nie zwalnia z AI Act
Rozporządzenie unijne stosuje się bezpośrednio — bez potrzeby implementacji krajowej dla przepisów materialnych. Brak polskiej ustawy oznacza tymczasowe zamieszanie proceduralne (brak formalnego organu, który przyjmie skargę w Polsce), ale European AI Office może działać bezpośrednio wobec dostawców GPAI niezależnie od polskich przepisów.
Modele AI jak ChatGPT, Claude czy Gemini — osobne zasady
Jeśli twoja firma korzysta z API dużych modeli językowych (GPT, Claude, Gemini, Llama) — albo budujesz na nich własne produkty — musisz wiedzieć, że AI Act traktuje te modele osobno. Rozdział V AI Act, obowiązujący od 2 sierpnia 2025 r., dotyczy tzw. GPAI — General Purpose AI.
Kto jest providerem GPAI, a kto deployerem
OpenAI, Anthropic, Google DeepMind, Mistral — to dostawcy GPAI. Jeśli twoja firma buduje na ich API chatbota lub automatyzację — jesteś deployerem, nie providerem modelu. Podlegasz innym obowiązkom niż OpenAI.
Granica między tymi rolami ma znaczenie praktyczne: provider modelu (np. OpenAI) musi zapewnić dokumentację techniczną i politykę copyright. Twoja firma jako deployer musi wdrożyć model zgodnie z jego instrukcją, zapewnić disclosure dla użytkowników i przestrzegać zakazów z art. 5.
Systemic risk — co to jest i kogo dotyczy
Część modeli GPAI niesie „systemowe ryzyko” — to te z treningiem powyżej 10^25 FLOPs obliczeniowych. Według szacunków Center for Security and Emerging Technology (CSET) tej kategorii odpowiadają m.in. GPT-4 i jego następcy, Gemini 1.5 Pro i wyżej, Claude 3.7 i wyżej, Grok 3. Globalnie mowa o 5-15 dostawcach.
Dostawcy systemic-risk muszą: notyfikować AI Office w ciągu 2 tygodni od przekroczenia progu, przeprowadzić adversarial testing (red-teaming) przed wypuszczeniem modelu, raportować poważne incydenty do AI Office i ujawniać zużycie energii.
Code of Practice on GPAI
10 lipca 2025 r. AI Office opublikował Code of Practice on General-Purpose AI — dobrowolny kodeks dla dostawców modeli fundamentalnych. Podpisało go 23 firmy, w tym Anthropic, Google, Microsoft, OpenAI i Mistral AI (wg digital-strategy.ec.europa.eu, stan maj 2026). xAI podpisało wyłącznie rozdział dotyczący bezpieczeństwa. Meta odmówiła podpisania.
Co to oznacza dla firm korzystających z tych modeli? Sygnatariusze zobowiązali się do transparentności, poszanowania prawa autorskiego i odpowiedzialnego testowania. Wybierając dostawcę API, warto sprawdzić czy podpisał Code of Practice — to sygnał, że traktuje compliance poważnie.
Compliance z AI Act: co zrobić i kiedy — lista działań
Teraz, do 2 sierpnia 2026
Inwentaryzacja systemów AI. Spisz wszystkie systemy AI, których firma używa lub buduje. Dla każdego ustal: kto jest providerem (dostawca), kto deployerem (wasza firma), jaką rolę pełni system i jaką kategorię ryzyka reprezentuje.
Audyt pod art. 5. Zakazy obowiązują od lutego 2025. Sprawdź czy żaden system nie monitoruje emocji pracowników, nie buduje profili behawioralnych prowadzących do dyskryminacji, nie przeprowadza real-time identyfikacji biometrycznej bez podstawy prawnej.
Disclosure dla chatbotów. Jeśli masz chatbota w obsłudze klienta — dodaj wyraźną informację, że użytkownik rozmawia z AI. Termin: 2 sierpnia 2026.
Oznaczanie treści AI. Zbuduj procedurę oznaczania treści g Oznaczanie treści AI. Zbuduj procedurę oznaczania treści generowanych przez AI, szczególnie jeśli tworzysz wideo, audio lub grafiki generatywne.
AI literacy dla pracowników. Szkolenia z zakresu AI dla pracowników to obowiązek od 2 lutego 2025 r. (art. 4 AI Act). Jeśli jeszcze tego nie uruchomiłeś — jesteś w tyle.
Przegląd umów z dostawcami AI. Dodaj klauzule o dostarczeniu dokumentacji technicznej zgodnej z AI Act, odpowiedzialności za naruszenia i prawie do audytu.
Do końca 2026
Watermarking dla systemów generatywnych. Deadline dla systemów już na rynku: 2 grudnia 2026 r. Standard C2PA lub równoważny.
Procedura obsługi skarg. Kanał dla użytkowników, logowanie zdarzeń, ścieżka eskalacji.
Weryfikacja polityki copyright. Jeśli budujesz lub używasz systemów GPAI — upewnij się, że procesy respektują TDM opt-out z dyrektywy 2019/790.
Śledzenie postępu Omnibusa VII. Polityczne porozumienie z 7 maja 2026 r. musi przejść przez formalne procedury legislacyjne i trafić do Dziennika Urzędowego UE. Do momentu publikacji obowiązuje oryginalny harmonogram AI Act — śledź komunikaty AI Office na digital-strategy.ec.europa.eu.
Do 2027
Conformity assessment dla Załącznika III. Systemy AI w rekrutacji, ocenie pracowników, creditscoringu — zacznij zbierać dokumentację i planować ocenę zgodności. Termin: 2 grudnia 2027. Procesu nie zaczynaj w grudniu 2026.
Rejestracja w EU AI Database. Nowe systemy wysokiego ryzyka po 2 sierpnia 2026 r. podlegają obowiązkowi rejestracji.
FRIA. Jeśli jesteś instytucją publiczną lub operatorem usług kluczowych — zaplanuj ocenę wpływu na prawa fundamentalne przed wdrożeniem systemu high-risk.
Najczęściej zadawane pytania o AI Act w Polsce
Czy AI Act dotyczy każdej firmy w Polsce?
Tak — AI Act to rozporządzenie unijne, które stosuje się bezpośrednio we wszystkich państwach członkowskich. Dotyczy każdej firmy, która wprowadza na rynek lub używa systemów AI w działalności zawodowej. Zakres obowiązków zależy od kategorii ryzyka systemu: firmy używające tylko prostych narzędzi (filtry spamu, autokorekty) nie mają praktycznie żadnych dodatkowych wymogów. Firmy z chatbotami, systemami generatywnymi lub narzędziami HR-tech — już tak.
Co grozi za naruszenie zakazów z art. 5 AI Act?
Naruszenie zakazów z art. 5 to najwyższy tier kar: do 35 mln EUR lub 7% globalnego rocznego obrotu, stosuje się wyższą kwotę (wg art. 99 AI Act 2024/1689). Dla MŚP obowiązuje zasada „niższej z dwóch kwot” — firma z obrotem 2 mln EUR zapłaci maksymalnie 140 000 EUR. Zakazy obowiązują od 2 lutego 2025 r.
Kiedy systemy AI w rekrutacji i ocenie pracowników muszą być zgodne z AI Act?
Po zmianach Digital Omnibusa VII z 7 maja 2026 r. — od 2 grudnia 2027 r. To przesunięcie z oryginalnego terminu sierpień 2026. Dotyczy systemów z Załącznika III: ATS z modułem AI do rankingowania CV, narzędzia do oceny efektywności, systemy decyzyjne przy awansach i zwolnieniach. Conformity assessment trwa 6–18 miesięcy — zbieranie dokumentacji warto zacząć teraz.
Czy używanie ChatGPT lub Claude w firmie podlega AI Act?
Tak, ale zakres obowiązków jest ograniczony. Używając API OpenAI lub Anthropic, twoja firma jest deployerem, nie providerem modelu. Twoje obowiązki: wdrożenie modelu zgodnie z instrukcją dostawcy, zapewnienie disclosure dla użytkowników, przestrzeganie zakazów z art. 5. Obowiązki dotyczące dokumentacji technicznej i polityki copyright spoczywają na OpenAI i Anthropic jako providerach GPAI.
Co to jest KRiBSI i kiedy zacznie działać?
KRiBSI — Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji — to planowany polski centralny organ nadzoru nad AI Act. Ustawa powołująca KRiBSI (druk sejmowy 2443) jest procedowana w Sejmie (stan: maj 2026), cel rządu to uchwalenie przed 2 sierpnia 2026 r. Do czasu powołania KRiBSI obowiązki materialne AI Act obowiązują bezpośrednio jako prawo unijne.
AI Act to nie jeden deadline — to kilka lat pracy
2 sierpnia 2026 r. to ważna data, ale nie apokalipsa dla wszystkich firm naraz. To moment, w którym zaczyna działać nadzór, egzekucja kar i obowiązki transparentności. Grudzień 2027 to deadline dla systemów HR i finansowych. Sierpień 2028 — dla maszyn i wyrobów medycznych.
Polska KRiBSI jest w drodze — projekt w Sejmie, cel: uchwalenie przed sierpniem. Brak ustawy nie zwalnia z AI Act.
Jeśli nie wiesz jeszcze jak sklasyfikować systemy AI w swojej firmie albo jak przygotować pracowników do wymogów art. 4 (AI literacy) — przy szkoleniach z AI dla firm zaczynam zawsze od audytu procesów. Sprawdzam co firma już robi z AI, gdzie ma białe plamy i co wymaga pilnej uwagi pod kątem regulacyjnym. Na tej podstawie buduję agendę, nie odwrotnie.
