AI Act – Co Musisz Wiedzieć o Regulacji Sztucznej Inteligencji w UE

W tym artykule dowiesz się: czym jest AI Act i dlaczego obowiązuje bezpośrednio w Polsce, jaki jest harmonogram wdrożenia – kluczowe daty do 2027 r., jakie kategorie ryzyka wprowadza rozporządzenie i co z tego wynika dla Twojej firmy, kto jest dostawcą a kto podmiotem stosującym system AI, jakie kary grożą – do 35 mln EUR / 7% obrotu, jak przygotować firmę na AI Act – checklist 9 kroków.

Spis treści:

1. Co to jest AI Act?
2. Harmonogram wdrożenia – kluczowe daty
3. Kategorie ryzyka w AI Act
4. Kogo dotyczy AI Act? Dostawca vs podmiot stosujący
5. Kary za naruszenie AI Act
6. Jak przygotować firmę? Checklist
7. FAQ – najczęstsze pytania

Brak odpowiedniego przygotowania i niespełnienie standardów, które narzucają rygorystyczne wymagania dotyczące AI, może obciążać firmę finansowo, operacyjnie i reputacyjnie. Jeżeli czytasz ten artykuł w lutym lub marcu 2026 roku, to czasu na wdrożenie AI Act jest coraz mniej – w praktyce pozostało 5 miesięcy.

AI Act, określany potocznie jako akt AI, czyli Rozporządzenie, które przyjął parlament europejski (European Parliament) i Rada (UE) 2024/1689 z dnia 13 czerwca 2024 r., to pierwsza na świecie kompleksowa regulacja AI poświęcona systemom sztucznej inteligencji. To jak dotąd największa inicjatywa prawna, która bezpośrednio wpłynie na przedsiębiorstwa działające w różnych branżach.

Polska przygotowuje ustawę wdrażającą (projekt Ministerstwa Cyfryzacji), ale będzie ona regulować krajowe organy nadzorcze, procedury kar i rozpatrywania skarg — nie treść samego AI Act.

Szczegółowe opracowanie dotyczące kontraktowych aspektów regulacji znajdziesz w naszym artykule: Umowa wdrożeniowa IT a AI Act – jak zabezpieczyć Software House przed nowymi regulacjami?

Co to jest AI Act?

Pełna nazwa to Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. w sprawie ustanowienia zharmonizowanych przepisów dotyczących sztucznej inteligencji. Akt AI ma na celu zapewnienie jednolitych zasad dla rozwoju, wprowadzania na rynek unijny i wykorzystywania rozwiązań, jakimi są systemy AI, w całej UE.

• Opublikowane: Dz.U.UE.L.2024.1689
• Wejście w życie: 1 sierpnia 2024 r.
• Pełne stosowanie: etapowo do 2 sierpnia 2027 r.

Główne motywacje ustawodawcy to: zagwarantowanie wysokiego poziomu ochrony zdrowia, bezpieczeństwa i praw podstawowych, ograniczenie ryzyka nieuczciwych praktyk, stworzenie ram wspierających innowacyjność oraz uniknięcie rozdrobnienia przepisów krajowych. Warto przy tym pamiętać, że regulacja ta koresponduje z innymi kluczowymi aktami unijnymi, takimi jak akt o usługach cyfrowych (Regulation (EU) 2022/2065) czy rozporządzenie dotyczące ochrony danych przez instytucje unijne (Regulation (EU) 2018/1725), nad którego spójnością czuwa m.in. Europejski Inspektor Ochrony Danych (European Data Protection Supervisor).

Kogo obejmuje zakres AI Act?

Zakres podmiotowy rozporządzenia jest bardzo szeroki. Zgodnie z art. 2 AI Act, dotyczy ono każdego podmiotu — przedsiębiorcy, instytucji publicznej, osoby fizycznej — który rozwija systemy AI lub zleca ich rozwój, wprowadza na rynek systemy AI lub oddaje je do użytku albo stosuje systemy AI w ramach swojej działalności — jeżeli działalność ta jest wykonywana na terytorium UE lub jeżeli output generowany przez systemy AI jest wykorzystywany w Unii. To ostatnie zastrzeżenie ma ogromne znaczenie, ponieważ obejmuje firmy spoza UE, których produkty AI trafiają do europejskich użytkowników.

W literaturze wskazuje się, że zakres podmiotowy nie ma charakteru zamkniętego – należy uzupełniająco stosować inne przepisy AI Act, np. art. 25 ust. 4.¹

Rozporządzenie ustanawia też kilka wyjątków. AI Act nie ma zastosowania m.in. w stosunku do organów publicznych korzystających z AI w celu ścigania przestępstw i współpracy sądowej, w przypadku stosowania AI do celów naukowych oraz do relacji między osobami fizycznymi w ramach działalności czysto osobistej. Wyłączenie dotyczące ścigania przestępstw nie ma charakteru generalnego — dotyczy specyficznych reżimów i wymaga odrębnej analizy w każdym przypadku.

Definicja systemu AI

System AI został w art. 3 pkt 1 AI Act zdefiniowany jako system maszynowy, zaprojektowany do działania z różnym poziomem autonomii, który może wykazywać zdolność adaptacji i który wnioskuje, jak generować na podstawie danych wejściowych wyniki, takie jak predykcje, treści, zalecenia lub decyzje, które mogą wpływać na środowisko fizyczne lub wirtualne. Aby system maszynowy został uznany za system AI, musi łącznie spełnić 4 przesłanki:

• działanie z określonym poziomem autonomii,
• zdolność adaptacyjna,
• wnioskowanie na podstawie danych wejściowych,
• wpływ na środowisko fizyczne lub wirtualne.

Harmonogram wdrożenia AI Act – kluczowe daty

AI Act nie wchodzi w życie jednorazowo. Ustawodawca europejski rozłożył obowiązki na kilka etapów:

2 sierpnia 2026 r. to najważniejsza data ponieważ od tego dnia większość uregulowań AI Act zacznie obowiązywać w pełnym zakresie.

Digital Omnibus on AI: W listopadzie 2025 r. komisja europejska zaproponowała pakiet uproszczeń, który mógłby elastycznie przesunąć terminy stosowania przepisów o systemach wysokiego ryzyka o maksymalnie 16 miesięcy, aby zasady miały zastosowanie, gdy firmy będą dysponować odpowiednimi narzędziami wsparcia. To na razie jednak tylko propozycja, a nie obowiązujący akt prawny i projekt musi przejść całą procedurę legislacyjną.

Kategorie ryzyka w AI Act

AI Act wprowadza podejście oparte na ryzyku (risk-based approach). Każdy system AI należy zakwalifikować do jednej z czterech kategorii — od tej klasyfikacji zależy zakres obowiązków.

1. Ryzyko niedopuszczalne — ZAKAZ (art. 5)

Obowiązuje od 2 lutego 2025 r.. Absolutne zakazy obejmują m.in.: social scoring, manipulację podprogową, rozpoznawanie emocji w miejscu pracy i placówkach edukacyjnych, biometryczną identyfikację w czasie rzeczywistym w przestrzeni publicznej (z wąskimi wyjątkami), scraping twarzy z internetu, predykcję przestępczości opartą na profilowaniu. Uwaga: Budowa systemu rozpoznawania emocji pracowników bez uprzedniego poinformowania klienta o zakazie z art. 5 AI Act i ryzyku sankcji może rodzić odpowiedzialność odszkodowawczą wykonawcy.

2. Wysokie ryzyko (high-risk AI systems) — pełne obowiązki (Załącznik III)

Obowiązuje od 2 sierpnia 2026 r.. Załącznik III wyróżnia 8 obszarów: biometria, infrastruktura krytyczna, edukacja, zatrudnienie (HR-tech), scoring kredytowy, ściganie przestępstw, migracja, wymiar sprawiedliwości. Dla tych systemów obowiązuje pełen pakiet: dokumentacja techniczna, zarządzanie ryzykiem, nadzór ludzki, rejestracja w bazie EU AI.

3. Ograniczone ryzyko — wymogi przejrzystości (art. 50)

Chatboty: użytkownik musi wiedzieć, że rozmawia z AI. Deepfakes: obowiązkowe oznaczenie treści wygenerowanych przez AI.

4. Minimalne ryzyko

Gry komputerowe z AI, filtry antyspamowe, nawigacja. Brak dodatkowych obowiązków — jedynie zachęta do dobrowolnych kodeksów postępowania.

Kogo dotyczy AI Act? Dostawca vs podmiot stosujący

Dostawca (provider) — zgodnie art. 3 pkt 3 to podmiot, który rozwija system AI i wprowadza go na rynek pod własną marką. Ponosi największy ciężar obowiązków: system zarządzania ryzykiem (art. 9), jakość danych treningowych (art. 10), dokumentacja techniczna (art. 11), automatyczne logi (art. 12), przejrzystość (art. 13), nadzór ludzki (art. 14), cyberbezpieczeństwo (art. 15), rejestracja w bazie EU AI (art. 49).

Podmiot stosujący (deployer) — art. 3 pkt 4: podmiot używający systemu AI w swojej działalności (np. firma HR, bank, szpital). Obowiązki: wdrożenie nadzoru ludzkiego, przekazywanie jasnej informacji dotyczące AI użytkownikom (art. 26 ust. 7), a także niezwykle ważna ocena skutków dla praw podstawowych, szerzej znana jako fundamental rights impact assessment (art. 27).

Kary za naruszenie AI Act (art. 99)

AI Act ustanawia trójstopniowy system kar finansowych:

Zasada ogólna: stosuje się kwotę wyższą z dwóch możliwych. Wyjątek dla MŚP i startupów (art. 99 ust. 6): stosuje się kwotę niższą — co w praktyce może istotnie ograniczać ekspozycję finansową mniejszych podmiotów.

Maksymalna kara za zakazane praktyki to 35 mln EUR / 7% obrotu, podczas gdy RODO przewiduje do 20 mln EUR / 4% obrotu. Projekt ustawy Ministerstwa Cyfryzacji zakłada powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBŚI). Po powołaniu organu nadzorczego, postępowania za naruszenia obowiązków obowiązujących już dziś (np. AI literacy, zakazy z art. 5) będą w pełni możliwe.

Jak przygotować firmę na AI Act? Checklist

• Inwentaryzacja systemów AI — zidentyfikuj wszystkie systemy AI: wewnętrzne, zewnętrzne i SaaS (ChatGPT Enterprise, Copilot). Uwaga na Shadow AI.
• Klasyfikacja ryzyka — określ kategorię: zakazany / high-risk / limited / minimal.
• AI literacy (art. 4) — szkolenia pracowników z wykorzystania AI. Obowiązuje od 2.02.2025!
• Gap analysis — porównaj obecne procesy z wymogami AI Act.
• Dokumentacja techniczna (art. 11) — dla systemów high-risk.
• System zarządzania ryzykiem (art. 9) — ciągły proces, nie jednorazowy audyt.
• Nadzór ludzki (art. 14) — human-in-the-loop / human-on-the-loop.
• Rejestracja w bazie EU AI (art. 49) — obowiązkowa dla systemów high-risk.
• Audyt umów IT — czy umowy wdrożeniowe rozdzielają obowiązki AI Act między strony?

FAQ – AI Act: najczęstsze pytania