AI Act w firmie: co już obowiązuje

Stan na październik 2026 r. Najbliższy przegląd artykułu: styczeń 2027 r. Artykuł nie jest poradą prawną.

Tak — AI Act obowiązuje, ale stosuje się go etapami od wejścia w życie 1 sierpnia 2024 r. Obowiązki dotyczące kompetencji pracowników w zakresie AI mają firmy korzystające z AI od 2 lutego 2025 r. Większość pozostałych przepisów, w tym obowiązki przejrzystości, stosuje się i egzekwuje od sierpnia 2026 r., a przepisy o systemach wysokiego ryzyka przesunięto na lata 2027–2028.

Spis treści

1. Czy AI Act już obowiązuje?
2. Co zmieniło się w 2026 r.
3. Czy AI Act dotyczy mojej firmy?
4. Jak oznaczać treści tworzone przez AI
5. Czy AI Act działa wstecz?
6. Polityka AI w firmie — czy jest obowiązkowa?
7. Jakie kary przewiduje AI Act
8. AI Act w Polsce
9. Co zrobić w firmie teraz
10. Najczęściej zadawane pytania

Czy AI Act już obowiązuje?

AI Act, czyli rozporządzenie (UE) 2024/1689, opublikowano 12 lipca 2024 r., a w życie weszło 1 sierpnia 2024 r.^[1][4]. Przepisy stosuje się jednak etapami, według art. 113^[3]:

Od kiedy	Co się stosuje
2 lutego 2025 r.	Przepisy ogólne, w tym kompetencje w zakresie AI (art. 4), oraz zakazane praktyki (art. 5)[3]
2 sierpnia 2025 r.	Przepisy o modelach AI ogólnego przeznaczenia i o karach[3]
2 sierpnia 2026 r.	Większość pozostałych przepisów, w tym obowiązki przejrzystości z art. 50[11]
2 grudnia 2026 r.	Nowe zakazy dodane w 2026 r.[4]
2 grudnia 2027 r.	Systemy wysokiego ryzyka z załącznika III[3]
2 sierpnia 2028 r.	Systemy wysokiego ryzyka z załącznika I (produkty regulowane)[3]

Ważne rozróżnienie: niektóre obowiązki „stosuje się” wcześniej, niż zaczyna się ich egzekwowanie. Kompetencje w zakresie AI i zakazy obowiązują firmy od lutego 2025 r., ale według osi czasu Komisji Europejskiej organy krajowe i unijne zaczęły egzekwować m.in. zakazy, przepisy o przejrzystości i kompetencjach w zakresie AI od 2 sierpnia 2026 r.^[4].

Co zmieniło się w 2026 r.

W lipcu 2026 r. Unia przyjęła rozporządzenie (UE) 2026/1744, nazywane aktem zbiorczym prawa cyfrowego dotyczącym AI (Digital Omnibus on AI). Przyjęto je 8 lipca, a w życie weszło trzeciego dnia po publikacji, czyli 27 lipca 2026 r.^[2].

Dla większości firm najważniejsze są dwie zmiany. Po pierwsze, złagodzono art. 4: firmy korzystające z AI nadal podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród pracowników, ale nie muszą zapewniać osiągnięcia określonego poziomu tych kompetencji przez poszczególne osoby^[6]. Obowiązek nie zniknął — zmienił się jego zakres. Po drugie, przesunięto terminy dla systemów wysokiego ryzyka na grudzień 2027 r. i sierpień 2028 r.^[3]. Obowiązków przejrzystości z art. 50 nie przesunięto^[7][11].

Czy AI Act dotyczy mojej firmy?

Najpewniej tak, jeśli pracownicy używają narzędzi AI w pracy. Rozporządzenie nazywa taką firmę „podmiotem stosującym”: to osoba albo organizacja, która wykorzystuje system AI, nad którym sprawuje kontrolę, z wyjątkiem użytku osobistego, pozazawodowego^[5]. Komisja Europejska wprost odpowiada, że firma, której pracownicy używają ChatGPT na przykład do pisania tekstów reklamowych albo tłumaczeń, musi spełniać wymóg kompetencji z art. 4, a pracownicy powinni znać konkretne ryzyka, np. halucynacje^[10].

Inną rolą jest dostawca, czyli podmiot, który rozwija system AI lub zleca jego rozwój i wprowadza go do obrotu albo oddaje do użytku pod własną nazwą lub własnym znakiem towarowym^[5]. Według wytycznych Komisji dostawcą może się stać także firma, która zbudowała własnego chatbota i używa go pod swoją nazwą, a jedna organizacja może pełnić obie role jednocześnie^[12]. Przy własnych wdrożeniach AI warto więc ustalić rolę firmy na początku projektu.

Jak oznaczać treści tworzone przez AI

Art. 50 dzieli obowiązki między dostawców i firmy, które z AI korzystają. Dostawcy muszą m.in. projektować systemy tak, by ludzie wiedzieli, że rozmawiają z AI, i oznaczać wyniki w formacie nadającym się do odczytu maszynowego^[7]. Przy gotowych narzędziach, takich jak ChatGPT czy Copilot, to zadanie ich producentów.

Firmę korzystającą z AI dotyczą przede wszystkim dwa obowiązki. Jeśli publikuje deepfake — obraz, dźwięk albo wideo przypominające istniejące osoby, miejsca czy zdarzenia, które odbiorca mógłby niesłusznie uznać za prawdziwe^[5] — musi ujawnić, że treść została wygenerowana lub zmanipulowana przez AI^[7]. Jeśli publikuje tekst wygenerowany przez AI, aby informować społeczeństwo o sprawach leżących w interesie publicznym, również musi to ujawnić, chyba że tekst przeszedł weryfikację człowieka lub kontrolę redakcyjną, a ktoś ponosi za niego odpowiedzialność redakcyjną^[7].

Według wytycznych Komisji ten obowiązek nie obejmuje m.in. reklam i opisów produktów przygotowanych z pomocą AI, o ile nie zawierają np. twierdzeń o zdrowiu, bezpieczeństwie konsumentów czy zrównoważonym rozwoju, ani tekstów publikowanych w wewnętrznej sieci firmy^[12]. Sama korekta pisowni i gramatyki nie wystarcza do skorzystania z wyjątku redakcyjnego, a minimum stanowi sprawdzenie prawdziwości treści^[12]. Istnieje też kodeks postępowania dotyczący oznaczania treści generowanych przez AI, ale według Komisji to dobrowolne narzędzie praktyczne^[11].

Czy AI Act działa wstecz?

W zasadzie nie. Treści wygenerowane przed 2 sierpnia 2026 r. nie muszą być oznaczane wstecz, ale tekst wygenerowany wcześniej, a opublikowany 2 sierpnia 2026 r. lub później, trzeba oznaczyć, jeśli podlega obowiązkowi^[12]. Dostawcy systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. mają czas do 2 grudnia 2026 r. na oznakowanie wyników w formacie maszynowym^[8] — to ulga dla producentów, nie dla firm korzystających z AI. Systemy wysokiego ryzyka wprowadzone do obrotu przed datą stosowania przepisów podlegają im co do zasady dopiero przy istotnych zmianach w projekcie^[8].

Polityka AI w firmie — czy jest obowiązkowa?

W wyjaśnieniach Komisji Europejskiej do art. 4 nie ma wymogu posiadania „polityki AI”. Komisja pisze, że do spełnienia art. 4 nie jest wymagana żadna szczególna struktura zarządzania ani certyfikat, a sam przepis nie nakłada obowiązku mierzenia wiedzy pracowników o AI^[10]. Organizacja może natomiast prowadzić wewnętrzny rejestr szkoleń i innych działań^[10].

Krótka polityka korzystania z AI to po prostu wygodny sposób, żeby udokumentować te działania i ustalić zasady. Warto, żeby taki dokument odpowiadał na kilka pytań: z jakich narzędzi AI firma korzysta i na jakich kontach, jakich danych nie wolno do nich wysyłać, kiedy wynik musi sprawdzić człowiek, kiedy treść trzeba oznaczyć, kto odpowiada za narzędzia i jak firma szkoli pracowników. Według Komisji program kompetencji powinien uwzględniać co najmniej ogólne zrozumienie AI w organizacji, rolę firmy i ryzyko używanych systemów^[10].

Jakie kary przewiduje AI Act

Najwyższe kary dotyczą zakazanych praktyk: do 35 mln EUR albo do 7% całkowitego rocznego światowego obrotu przedsiębiorstwa, w zależności od tego, która kwota jest wyższa^[9]. Za naruszenie m.in. obowiązków przejrzystości z art. 50 grozi do 15 mln EUR albo do 3% obrotu, także według wyższej z kwot^[9]. W przypadku małych i średnich przedsiębiorstw stosuje się niższą z tych kwot^[9]. Komisja zaznacza też, że AI Act nie wprowadza odpowiedzialności karnej ani prawa do odszkodowania^[10].

AI Act w Polsce

Polska ma już własną ustawę: ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji została ogłoszona w Dzienniku Ustaw 27 lipca 2026 r. (Dz.U. 2026 poz. 1003)^[13]. Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Według ustawy to ona nakłada kary w przypadkach, wysokości i na warunkach określonych w AI Act, ale przepisy ustawy o kontroli i karach wchodzą w życie później niż jej reszta — po upływie trzech miesięcy od ogłoszenia^[13]. Ministerstwo Cyfryzacji zapowiada też bezpłatną piaskownicę regulacyjną dla mikro-, małych i średnich firm^[14].

Co zrobić w firmie teraz

1. Spisz narzędzia AI, z których korzystają pracownicy, także te używane „na własną rękę”.
2. Ustal rolę firmy — w większości przypadków jesteś podmiotem stosującym, ale przy własnych chatbotach możesz być też dostawcą.
3. Spisz zasady korzystania z AI: jakie dane wolno wysyłać, kiedy wynik sprawdza człowiek, kiedy treść oznaczamy.
4. Przeszkol pracowników i zapisz szkolenia w wewnętrznym rejestrze.
5. Sprawdź publikowane treści — deepfake trzeba oznaczać, a teksty w sprawach publicznych także, chyba że przeszły kontrolę redakcyjną.
6. Zastosowania AI, które pomagają podejmować decyzje o ludziach, omów z prawnikiem — mogą wiązać się z dodatkowymi obowiązkami.

Przy wdrożeniach AI pomagamy spisać zasady korzystania z AI i szkolimy pracowników — więcej na stronie wdrożenia AI w firmie.

Najczęściej zadawane pytania

Czy po zmianach z 2026 r. firma nadal musi dbać o kompetencje pracowników w zakresie AI?

Tak. Od 27 lipca 2026 r. art. 4 ma łagodniejsze brzmienie: firma podejmuje środki wspierające kompetencje pracowników w zakresie AI, ale nie musi zapewniać określonego poziomu tych kompetencji.

Czy potrzebny jest certyfikat z AI?

Nie. Komisja Europejska wyjaśnia, że certyfikat nie jest wymagany, a działania można udokumentować np. w wewnętrznym rejestrze szkoleń.

Czy muszę oznaczać opisy produktów napisane z pomocą AI?

Według wytycznych Komisji reklamy i opisy produktów co do zasady nie są objęte obowiązkiem oznaczania tekstu, chyba że zawierają np. twierdzenia o zdrowiu lub bezpieczeństwie konsumentów. Ten wyjątek dotyczy tylko tekstu — deepfake w reklamie nadal trzeba oznaczyć.

Kto nadzoruje AI Act w Polsce?

Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, utworzona ustawą o systemach sztucznej inteligencji.

Źródła

1. EUR-Lex, rozporządzenie (UE) 2024/1689 (akt w sprawie sztucznej inteligencji), eur-lex.europa.eu (dostęp: 2026-10-14).
2. EUR-Lex, rozporządzenie (UE) 2026/1744 (akt zbiorczy prawa cyfrowego dotyczący AI), eur-lex.europa.eu (dostęp: 2026-10-14).
3. AI Act Service Desk (Komisja Europejska), art. 113 „Wejście w życie i stosowanie”, ai-act-service-desk.ec.europa.eu (dostęp: 2026-10-14).
4. AI Act Service Desk, „Timeline for the Implementation of the EU AI Act”, ai-act-service-desk.ec.europa.eu (dostęp: 2026-10-14).
5. AI Act Service Desk, art. 3 „Definicje”, ai-act-service-desk.ec.europa.eu (dostęp: 2026-10-14).
6. AI Act Service Desk, art. 4 „Kompetencje w zakresie AI”, ai-act-service-desk.ec.europa.eu (dostęp: 2026-10-14).
7. AI Act Service Desk, art. 50 „Obowiązki w zakresie przejrzystości dla dostawców i podmiotów stosujących niektóre systemy AI”, ai-act-service-desk.ec.europa.eu (dostęp: 2026-10-14).
8. AI Act Service Desk, art. 111 „Systemy AI już wprowadzone do obrotu lub oddane do użytku…”, ai-act-service-desk.ec.europa.eu (dostęp: 2026-10-14).
9. AI Act Service Desk, art. 99 „Kary”, ai-act-service-desk.ec.europa.eu (dostęp: 2026-10-14).
10. Komisja Europejska, „AI Literacy – Questions & Answers”, digital-strategy.ec.europa.eu (dostęp: 2026-10-14).
11. Komisja Europejska, „Transparency obligations under Article 50 of the AI Act” (FAQ), digital-strategy.ec.europa.eu (dostęp: 2026-10-14).
12. Komisja Europejska, wytyczne w sprawie obowiązków przejrzystości z art. 50 AI Act, C(2026) 5054, ai-act-service-desk.ec.europa.eu (PDF) (dostęp: 2026-10-14).
13. Dziennik Ustaw 2026 poz. 1003, ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, dziennikustaw.gov.pl (dostęp: 2026-10-14).
14. Ministerstwo Cyfryzacji, „Ustawa o systemach AI – bezpieczny rozwój sztucznej inteligencji w Polsce”, gov.pl (dostęp: 2026-10-14).