AI Act – Co Musisz Wiedzieć o Regulacji Sztucznej Inteligencji w UE

W tym artykule dowiesz się: czym jest AI Act i dlaczego obowiązuje bezpośrednio w Polsce, jaki jest harmonogram wdrożenia – kluczowe daty do 2027 r., jakie kategorie ryzyka wprowadza rozporządzenie i co z tego wynika dla Twojej firmy, kto jest dostawcą a kto podmiotem stosującym system AI, jakie kary grożą – do 35 mln EUR / 7% obrotu, jak przygotować firmę na AI Act – checklist 9 kroków.

Spis treści:

1. Co to jest AI Act?
2. Harmonogram wdrożenia – kluczowe daty
3. Kategorie ryzyka w AI Act
4. Kogo dotyczy AI Act? Dostawca vs podmiot stosujący
5. Kary za naruszenie AI Act
6. Jak przygotować firmę? Checklist
7. FAQ – najczęstsze pytania

Brak odpowiedniego przygotowania i niespełnienie standardów, które narzucają rygorystyczne wymagania dotyczące AI, może obciążać firmę finansowo, operacyjnie i reputacyjnie. Po przyjęciu Digital Omnibus część terminów się przesunęła, ale nie wszystkie: najbliższy, obowiązujący większość firm termin — transparentność z art. 50 — to nadal 2 sierpnia 2026 r.

AI Act, określany potocznie jako akt AI, czyli Rozporządzenie, które przyjął parlament europejski (European Parliament) i Rada (UE) 2024/1689 z dnia 13 czerwca 2024 r., to pierwsza na świecie kompleksowa regulacja AI poświęcona systemom sztucznej inteligencji. To jak dotąd największa inicjatywa prawna, która bezpośrednio wpłynie na przedsiębiorstwa działające w różnych branżach.

Polska przygotowuje ustawę wdrażającą (projekt Ministerstwa Cyfryzacji), ale będzie ona regulować krajowe organy nadzorcze, procedury kar i rozpatrywania skarg — nie treść samego AI Act.

Szczegółowe opracowanie dotyczące kontraktowych aspektów regulacji znajdziesz w naszym artykule: Umowa wdrożeniowa IT a AI Act – jak zabezpieczyć Software House przed nowymi regulacjami?

Co to jest AI Act?

Pełna nazwa to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji. Akt AI ma na celu zapewnienie jednolitych zasad dla rozwoju, wprowadzania na rynek unijny i wykorzystywania rozwiązań, jakimi są systemy AI, w całej UE.

• Opublikowane: Dz.U.UE.L.2024.1689
• Wejście w życie: 1 sierpnia 2024 r.
• Pełne stosowanie: etapowo do 2 sierpnia 2028 r. (po Digital Omnibus)

Główne motywacje ustawodawcy to: zagwarantowanie wysokiego poziomu ochrony zdrowia, bezpieczeństwa i praw podstawowych, ograniczenie ryzyka nieuczciwych praktyk, stworzenie ram wspierających innowacyjność oraz uniknięcie rozdrobnienia przepisów krajowych. Warto przy tym pamiętać, że regulacja ta koresponduje z innymi kluczowymi aktami unijnymi, takimi jak akt o usługach cyfrowych (Regulation (EU) 2022/2065) czy rozporządzenie dotyczące ochrony danych przez instytucje unijne (Regulation (EU) 2018/1725), nad którego spójnością czuwa m.in. Europejski Inspektor Ochrony Danych (European Data Protection Supervisor).

Kogo obejmuje zakres AI Act?

Zakres podmiotowy rozporządzenia jest bardzo szeroki. Zgodnie z art. 2 AI Act, dotyczy ono każdego podmiotu — przedsiębiorcy, instytucji publicznej, osoby fizycznej — który rozwija systemy AI lub zleca ich rozwój, wprowadza na rynek systemy AI lub oddaje je do użytku albo stosuje systemy AI w ramach swojej działalności — jeżeli działalność ta jest wykonywana na terytorium UE lub jeżeli output generowany przez systemy AI jest wykorzystywany w Unii. To ostatnie zastrzeżenie ma ogromne znaczenie, ponieważ obejmuje firmy spoza UE, których produkty AI trafiają do europejskich użytkowników.

W literaturze wskazuje się, że zakres podmiotowy nie ma charakteru zamkniętego – należy uzupełniająco stosować inne przepisy AI Act, np. art. 25 ust. 4.¹

Rozporządzenie ustanawia też kilka wyjątków. AI Act nie ma zastosowania m.in. w stosunku do organów publicznych korzystających z AI w celu ścigania przestępstw i współpracy sądowej, w przypadku stosowania AI do celów naukowych oraz do relacji między osobami fizycznymi w ramach działalności czysto osobistej. Wyłączenie dotyczące ścigania przestępstw nie ma charakteru generalnego — dotyczy specyficznych reżimów i wymaga odrębnej analizy w każdym przypadku.

Definicja systemu AI

System AI został w art. 3 pkt 1 AI Act zdefiniowany jako system maszynowy, zaprojektowany do działania z różnym poziomem autonomii, który może wykazywać zdolność adaptacji i który wnioskuje, jak generować na podstawie danych wejściowych wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne. Aby system maszynowy został uznany za system AI, musi spełnić trzy warunki konieczne (autonomia, wnioskowanie, wpływ na środowisko); czwarta cecha, zdolność adaptacji, jest opcjonalna i jej brak nie wyklucza kwalifikacji:

• działanie z określonym poziomem autonomii,
• zdolność adaptacyjna (opcjonalna — „może wykazywać"),
• wnioskowanie na podstawie danych wejściowych,
• wpływ na środowisko fizyczne lub wirtualne.

Harmonogram wdrożenia AI Act – kluczowe daty

AI Act nie wchodzi w życie jednorazowo. Ustawodawca europejski rozłożył obowiązki na kilka etapów:

Po przyjęciu Digital Omnibus (czerwiec 2026 r.) najbliższą twardą datą dla większości firm jest 2 sierpnia 2026 r. — od tego dnia obowiązują wymogi transparentności z art. 50 (m.in. oznaczanie treści generowanych przez AI i informowanie o rozmowie z chatbotem). Pełne obowiązki dla systemów wysokiego ryzyka Omnibus przesunął na 2 grudnia 2027 r. (Załącznik III), a dla AI w produktach regulowanych na 2 sierpnia 2028 r. (Załącznik I).

Digital Omnibus on AI (przyjęty): zaproponowany przez Komisję Europejską w listopadzie 2025 r. pakiet uproszczeń został przyjęty — Parlament Europejski zatwierdził go 16 czerwca 2026 r., a Rada UE 29 czerwca 2026 r. Przesunął stosowanie obowiązków dla systemów wysokiego ryzyka: Załącznik III na 2 grudnia 2027 r., a Załącznik I na 2 sierpnia 2028 r. Nie przesunął natomiast obowiązków transparentności (art. 50 — pozostają na 2 sierpnia 2026 r.) ani zakazów i AI literacy (od 2 lutego 2025 r.). Nowe zakazy z art. 5 oraz watermarking dla systemów już na rynku wchodzą 2 grudnia 2026 r.

Kategorie ryzyka w AI Act

AI Act wprowadza podejście oparte na ryzyku (risk-based approach). Każdy system AI należy zakwalifikować do jednej z czterech kategorii — od tej klasyfikacji zależy zakres obowiązków.

1. Ryzyko niedopuszczalne — ZAKAZ (art. 5)

Obowiązuje od 2 lutego 2025 r.. Absolutne zakazy obejmują m.in.: social scoring, manipulację podprogową, rozpoznawanie emocji w miejscu pracy i placówkach edukacyjnych, biometryczną identyfikację w czasie rzeczywistym w przestrzeni publicznej (z wąskimi wyjątkami), scraping twarzy z internetu, predykcję przestępczości opartą na profilowaniu. Uwaga: Budowa systemu rozpoznawania emocji pracowników bez uprzedniego poinformowania klienta o zakazie z art. 5 AI Act i ryzyku sankcji może rodzić odpowiedzialność odszkodowawczą wykonawcy.

Digital Omnibus rozszerzył ten katalog: od 2 grudnia 2026 r. zakazane są systemy AI tworzące bez zgody osoby sfałszowane materiały intymne (tzw. nudifiers) oraz materiały przedstawiające seksualne wykorzystywanie dzieci. Zakaz obejmuje dostawców i stosujących, a także systemy, dla których generowanie takich treści jest przewidywalnym skutkiem bez znaczących modyfikacji technicznych, jeżeli brakuje odpowiednich zabezpieczeń. Kara jak przy pozostałych zakazach: do 35 mln EUR albo 7% obrotu. Dla firm budujących generatory obrazu i wideo to bezpośrednio istotna zmiana.

2. Wysokie ryzyko (high-risk AI systems) — pełne obowiązki (Załącznik III)

Obowiązuje od 2 grudnia 2027 r. (termin przesunięty przez Digital Omnibus). Załącznik III wyróżnia 8 obszarów: biometria, infrastruktura krytyczna, edukacja, zatrudnienie (HR-tech), scoring kredytowy, ściganie przestępstw, migracja, wymiar sprawiedliwości. Dla tych systemów obowiązuje pełen pakiet: dokumentacja techniczna, zarządzanie ryzykiem, nadzór ludzki, rejestracja w bazie EU AI.

Digital Omnibus zawęził przy tym pojęcie „safety component": system AI, który jedynie wspomaga użytkownika albo optymalizuje wydajność, nie jest automatycznie kwalifikowany jako wysokiego ryzyka, jeżeli jego awaria nie stwarza zagrożenia dla zdrowia ani bezpieczeństwa. To istotne m.in. dla narzędzi monitorowania maszyn i optymalizacji produkcji.

3. Ograniczone ryzyko — wymogi przejrzystości (art. 50)

Art. 50 obejmuje kilka warstw, które spoczywają na różnych podmiotach i mają różne terminy:

Informowanie o AI (art. 50 ust. 1 i 4) — od 2 sierpnia 2026 r. System przeznaczony do bezpośredniej interakcji z człowiekiem (chatbot, voicebot, asystent, agent) musi jasno informować, że użytkownik rozmawia z AI. Deepfake i określone treści generowane oznacza się widocznie. Informowanie i oznaczanie deepfake'ów dotyczy także podmiotu stosującego.

Watermarking maszynowy (art. 50 ust. 2) — od 2 sierpnia 2026 r., a dla systemów obecnych na rynku przed tą datą od 2 grudnia 2026 r. Maszynowe znakowanie treści syntetycznych to obowiązek dostawcy systemu generatywnego. Firma korzystająca z cudzego modelu przez API, która nie branduje go jako własny, nie odpowiada za watermarking; odpowiada natomiast za informowanie użytkowników i widoczne oznaczenia po swojej stronie.

W praktyce pomaga Kodeks postępowania w sprawie przejrzystości treści AI (finalna wersja: 10 czerwca 2026 r.) oraz wytyczne Komisji do art. 50 (projekt: 8 maja 2026 r.). Przystąpienie do Kodeksu jest dobrowolne, ale sygnatariuszom łatwiej wykazać zgodność przed organem i przed klientem w przetargu.

4. Minimalne ryzyko

Gry komputerowe z AI, filtry antyspamowe, nawigacja. Brak dodatkowych obowiązków — jedynie zachęta do dobrowolnych kodeksów postępowania.

Kogo dotyczy AI Act? Dostawca vs podmiot stosujący

Dostawca (provider) — zgodnie art. 3 pkt 3 to podmiot, który rozwija system AI i wprowadza go na rynek pod własną marką. Ponosi największy ciężar obowiązków: system zarządzania ryzykiem (art. 9), jakość danych treningowych (art. 10), dokumentacja techniczna (art. 11), automatyczne logi (art. 12), przejrzystość (art. 13), nadzór ludzki (art. 14), cyberbezpieczeństwo (art. 15), rejestracja w bazie EU AI (art. 49).

Podmiot stosujący (deployer) — art. 3 pkt 4: podmiot używający systemu AI w swojej działalności (np. firma HR, bank, szpital). Obowiązki: wdrożenie nadzoru ludzkiego, przekazywanie jasnej informacji dotyczące AI użytkownikom (art. 26 ust. 7), a także niezwykle ważna ocena skutków dla praw podstawowych, szerzej znana jako fundamental rights impact assessment (art. 27).

Kary za naruszenie AI Act (art. 99)

AI Act ustanawia trójstopniowy system kar finansowych:

Zasada ogólna: stosuje się kwotę wyższą z dwóch możliwych. Naruszenie obowiązków transparentności (art. 50) mieści się w drugim pułapie: do 15 mln EUR albo 3% obrotu. Wyjątek dla MŚP, startupów, a po Digital Omnibus także tzw. small mid-cap (art. 99 ust. 6): stosuje się kwotę niższą — co w praktyce może istotnie ograniczać ekspozycję finansową mniejszych podmiotów.

Maksymalna kara za zakazane praktyki to 35 mln EUR / 7% obrotu, podczas gdy RODO przewiduje do 20 mln EUR / 4% obrotu. Projekt ustawy Ministerstwa Cyfryzacji zakłada powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBŚI). Po powołaniu organu nadzorczego, postępowania za naruszenia obowiązków obowiązujących już dziś (np. AI literacy, zakazy z art. 5) będą w pełni możliwe.

Jak przygotować firmę na AI Act? Checklist

• Inwentaryzacja systemów AI — zidentyfikuj wszystkie systemy AI: wewnętrzne, zewnętrzne i SaaS (ChatGPT Enterprise, Copilot). Uwaga na Shadow AI.
• Klasyfikacja ryzyka — określ kategorię: zakazany / high-risk / limited / minimal.
• AI literacy (art. 4) — kompetencje osób korzystających z AI. Stosuje się od 2.02.2025; Digital Omnibus złagodził brzmienie (wspieranie i promowanie kompetencji, proporcjonalnymi środkami), a nadzór organów rusza od 2.08.2026. Polityka AI i instruktaż pozostają zalecane.
• Oznaczenia i transparentność (art. 50) — do 2.08.2026; warto rozważyć przystąpienie do Kodeksu postępowania w sprawie przejrzystości treści AI (10.06.2026) jako prosty dowód zgodności.
• Gap analysis — porównaj obecne procesy z wymogami AI Act.
• Dokumentacja techniczna (art. 11) — dla systemów high-risk.
• System zarządzania ryzykiem (art. 9) — ciągły proces, nie jednorazowy audyt.
• Nadzór ludzki (art. 14) — human-in-the-loop / human-on-the-loop.
• Rejestracja w bazie EU AI (art. 49) — obowiązkowa dla systemów high-risk.
• Audyt umów IT — czy umowy wdrożeniowe rozdzielają obowiązki AI Act między strony?

FAQ – AI Act: najczęstsze pytania