AI Act po zmianach: czyli co trzeba wiedzieć przed 2 sierpnia 2026 r.

Rozporządzenie (UE) 2026/1744 zostało przyjęte 8 lipca 2026 r., opublikowane w Dzienniku Urzędowym Unii Europejskiej 24 lipca 2026 r. i weszło w życie 27 lipca 2026 r. – zaledwie kilka dni przed pierwotnym terminem stosowania części obowiązków dotyczących systemów wysokiego ryzyka.

Digital Omnibus – co zostało przesunięte?

Digital Omnibus zmienia art. 113 AI Act i przesuwa terminy stosowania części przepisów dotyczących systemów wysokiego ryzyka. Nowy harmonogram wygląda następująco:

• 2 grudnia 2027 r. – rozpoczęcie stosowania obowiązków dotyczących samodzielnych systemów wysokiego ryzyka kwalifikowanych na podstawie art. 6 ust. 2 w związku z załącznikiem III AI Act (m.in. systemy wykorzystywane w obszarze zatrudnienia, edukacji, infrastruktury krytycznej, dostępu do usług podstawowych, migracji, ścigania przestępstw czy wymiaru sprawiedliwości);
• 2 sierpnia 2028 r. – rozpoczęcie stosowania obowiązków dotyczących systemów AI stanowiących element produktów objętych unijnym prawodawstwem harmonizacyjnym wskazanym w załączniku I AI Act (m.in. wyroby medyczne, zabawki czy urządzenia lotnicze);
• 2 sierpnia 2027 r. – termin utworzenia przez państwa członkowskie co najmniej jednej piaskownicy regulacyjnej AI.

Przesunięcie terminów uzasadniono przede wszystkim potrzebą zapewnienia odpowiedniego czasu na przygotowanie norm zharmonizowanych i przeprowadzenie ocen zgodności.

Nowelizacja wprowadziła również wybrane zmiany merytoryczne. Doprecyzowano m.in. obowiązek rozwijania kompetencji w zakresie AI, rozszerzono możliwość przetwarzania danych w celu wykrywania i korygowania obciążeń (bias detection) oraz wzmocniono rolę AI Office w zakresie nadzoru nad określonymi systemami wykorzystującymi modele ogólnego przeznaczenia.

Do art. 5 AI Act dodano również nowe zakazane praktyki dotyczące systemów generujących lub manipulujących intymnymi wizerunkami osób bez ich zgody oraz materiałów przedstawiających seksualne wykorzystywanie małoletnich. Dostawcy takich systemów muszą wdrożyć odpowiednie zabezpieczenia techniczne w okresie przejściowym do 2 grudnia 2026 r.

Co zaczyna obowiązywać 2 sierpnia 2026 r.?

Digital Omnibus nie przesunął obowiązków dotyczących przejrzystości. Od 2 sierpnia 2026 r. stosuje się art. 50 AI Act, który przewiduje określone obowiązki przejrzystości związane z interakcją z systemami AI, generowaniem treści syntetycznych, deepfake’ami oraz wykorzystaniem niektórych systemów biometrycznych. Od 2 sierpnia 2026 r. zaczynają mieć zastosowanie również kompetencje Komisji Europejskiej dotyczące nakładania kar na dostawców modeli AI ogólnego przeznaczenia przewidziane w art. 101 AI Act.

Obowiązki wynikające z art. 50 AI Act obejmują w szczególności:

Informowanie o kontakcie z AI

Dostawcy systemów AI przeznaczonych do bezpośredniej interakcji z osobami fizycznymi muszą zapewnić, aby osoba fizyczna została poinformowana, że komunikuje się z systemem AI. Obowiązek nie powstaje, gdy jest to oczywiste z punktu widzenia osoby dostatecznie poinformowanej, uważnej i ostrożnej, przy uwzględnieniu okoliczności i kontekstu wykorzystywania systemu. Dotyczy to m.in.:

• chatbotów obsługi klienta,
• voicebotów,
• wirtualnych asystentów,
• innych narzędzi komunikujących się bezpośrednio z osobami fizycznymi.

Oznaczanie treści generowanych przez AI

Dostawcy systemów AI generujących lub manipulujących syntetycznymi treściami – takimi jak obraz, dźwięk, wideo lub tekst – muszą zapewnić, aby wyniki działania systemu były oznaczane w sposób umożliwiający ich wykrycie jako wygenerowane lub zmanipulowane przez AI.

Obowiązek ten dotyczy przede wszystkim dostawców systemów generatywnych i odnosi się do technicznych mechanizmów oznaczania wyników działania systemu. Nie oznacza on automatycznego obowiązku oznaczania każdej treści stworzonej z wykorzystaniem narzędzia AI przez użytkownika końcowego. Odrębne obowiązki podmiotu stosującego system wynikają natomiast z art. 50 ust. 4 AI Act, omówionego poniżej.

Obowiązek nie ma zastosowania, gdy system AI pełni wyłącznie funkcję pomocniczą w procesie edycji i nie zmienia w istotny sposób danych wejściowych ani charakteru materiału. Przykładem może być standardowa korekta, poprawa jakości lub inne działania edycyjne, które nie prowadzą do powstania nowych treści syntetycznych.

Deepfake i realistyczne treści syntetyczne

Podmioty stosujące system AI, który generuje obrazy, treści audio lub wideo stanowiące deepfake albo takimi treściami manipuluje, muszą ujawnić, że zostały one sztucznie wygenerowane lub zmanipulowane. Zgodnie z art. 3 pkt 60 AI Act deepfake to wygenerowane lub zmanipulowane przez AI obrazy, treści dźwiękowe lub treści wideo, które przypominają istniejące osoby, przedmioty, miejsca, podmioty lub zdarzenia i które odbiorca mógłby niesłusznie uznać za autentyczne lub prawdziwe.

Jeżeli takie treści stanowią część ewidentnie artystycznego, twórczego, satyrycznego, fikcyjnego lub analogicznego utworu albo programu, obowiązek ogranicza się do ujawnienia ich istnienia w odpowiedni sposób, który nie utrudnia odbioru utworu ani korzystania z niego.

Odrębny obowiązek dotyczy tekstów wygenerowanych lub zmanipulowanych przez system AI, publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym – również w tym przypadku należy ujawnić, że treść została sztucznie wygenerowana lub zmanipulowana. Obowiązek ten nie ma zastosowania, jeżeli treść poddano weryfikacji przez człowieka lub kontroli redakcyjnej, a odpowiedzialność redakcyjną za jej publikację ponosi osoba fizyczna lub prawna.

Rozpoznawanie emocji i kategoryzacja biometryczna

Podmioty stosujące systemy rozpoznawania emocji lub systemy kategoryzacji biometrycznej muszą poinformować osoby, których dotyczą te działania, oraz zapewnić zgodność z przepisami o ochronie danych osobowych.

Okres przejściowy dotyczący oznaczania treści

Digital Omnibus wprowadził ograniczony okres przejściowy dotyczący art. 50 ust. 2 AI Act. Obowiązek maszynowo odczytywalnego oznaczania treści stosuje się od 2 grudnia 2026 r. w odniesieniu do systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. Oznacza to, że systemy już funkcjonujące na rynku przed tą datą otrzymują dodatkowy czas na dostosowanie.

Systemy wprowadzane do obrotu od 2 sierpnia 2026 r. muszą spełniać wymogi oznaczania od dnia rozpoczęcia stosowania przepisów. Pozostałe obowiązki wynikające z art. 50 AI Act nie zostały objęte okresem przejściowym.

Obowiązki dotyczą także podmiotów stosujących AI

AI Act rozdziela obowiązki pomiędzy dostawców systemów AI oraz podmioty stosujące te systemy. Dostawcy odpowiadają m.in. za odpowiednie projektowanie systemów i mechanizmy oznaczania syntetycznych treści. Natomiast podmioty stosujące systemy AI odpowiadają m.in. za ujawnienie wykorzystania deepfake’ów czy poinformowanie osób o zastosowaniu systemów rozpoznawania emocji.

W praktyce oznacza to, że obowiązki dotyczą nie tylko firm technologicznych, ale również organizacji wykorzystujących gotowe narzędzia AI. Nie wystarczy zatem polegać wyłącznie na zapewnieniach dostawcy narzędzia – organizacja korzystająca z AI powinna znać sposób wykorzystania systemu i ocenić własne obowiązki wynikające z AI Act. Dotyczy to m.in.:

• przedsiębiorstw korzystających z chatbotów i voicebotów,
• działów marketingu wykorzystujących generatywną AI,
• osób prowadzących działalność gospodarczą,
• kancelarii korzystających z AI przy przygotowaniu materiałów publikowanych na stronach internetowych, w mediach społecznościowych lub komunikacji zewnętrznej (np. wykorzystujących chatboty na stronach internetowych lub publikujących realistyczne grafiki i nagrania wygenerowane przez AI w materiałach marketingowych).

Wykorzystanie generatywnej AI przez kancelarię wymaga każdorazowej oceny, czy dany sposób użycia systemu mieści się w obowiązkach przejrzystości wynikających z art. 50 AI Act.

Sankcje

Naruszenie obowiązków przejrzystości z art. 50 AI Act podlega administracyjnej karze pieniężnej na podstawie art. 99 ust. 4 AI Act. Maksymalny wymiar kary wynosi:

• do 15 000 000 euro, albo
• do 3% całkowitego światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego

– w zależności od tego, która wartość jest wyższa.

Są to górne granice ustawowe. Wysokość kary w konkretnej sprawie zależy m.in. od charakteru, wagi i czasu trwania naruszenia oraz podjętych działań naprawczych.

Niezależnie od sankcji przewidzianych w AI Act nieprawidłowe informowanie odbiorców o wykorzystaniu AI może podlegać również ocenie na podstawie innych regulacji, w szczególności dotyczących ochrony konsumentów i nieuczciwych praktyk rynkowych.

Polska perspektywa – KRiBSI

Równolegle finalizowany jest krajowy proces wdrożenia AI Act. Ustawę o systemach sztucznej inteligencji Sejm uchwalił 3 lipca 2026 r., a Prezydent RP podpisał ją 24 lipca 2026 r. Ustawa wejdzie w życie co do zasady po upływie 14 dni od dnia ogłoszenia w Dzienniku Ustaw.

Ustawa przewiduje powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako krajowego organu nadzoru rynku w rozumieniu AI Act. Komisja ma odpowiadać m.in. za nadzór rynku, prowadzenie postępowań dotyczących naruszeń, rozpatrywanie skarg oraz wykonywanie kompetencji przewidzianych w AI Act. Rozpoczęcie działalności Komisji zapowiadane jest na listopad 2026 r.

Harmonogram organizacji krajowego organu nadzoru nie wpływa jednak na obowiązki przedsiębiorców. AI Act jest rozporządzeniem unijnym i stosuje się bezpośrednio – obowiązki wynikające z art. 50 powstają 2 sierpnia 2026 r. niezależnie od stanu prawa krajowego. Rolą ustawy krajowej jest w szczególności wyznaczenie właściwych organów odpowiedzialnych za stosowanie AI Act, określenie procedur nadzoru i postępowań oraz ustanowienie zasad nakładania kar przewidzianych w tym rozporządzeniu.

Co powinni zrobić radcowie prawni i ich klienci?

Przesunięcie terminów dotyczących systemów wysokiego ryzyka daje przedsiębiorcom dodatkowy czas, ale nie powinno prowadzić do przekonania, że wdrażanie AI Act można odłożyć. W praktyce warto między innymi:

• sprawdzić, czy organizacja wykorzystuje AI w sposób powodujący obowiązki przejrzystości wynikające z art. 50 AI Act, w szczególności przy publikacji treści syntetycznych, deepfake’ów lub materiałów mogących wprowadzać odbiorców w błąd co do ich pochodzenia;
• zweryfikować umowy z dostawcami narzędzi AI pod kątem odpowiedzialności za zgodność z AI Act;
• przygotować wewnętrzne zasady korzystania z generatywnej AI;
• rozpocząć klasyfikację wykorzystywanych systemów pod kątem przyszłych obowiązków dotyczących systemów wysokiego ryzyka.

Dodatkowy czas przewidziany na wdrożenie obowiązków dotyczących systemów wysokiego ryzyka warto wykorzystać na uporządkowanie procesów, przeprowadzenie analizy zgodności oraz przygotowanie organizacji do pełnego stosowania wymagań AI Act, a nie traktować go jako powodu do odłożenia przygotowań do kolejnych etapów stosowania unijnych regulacji.

Najważniejsze daty

Podsumowanie

Digital Omnibus zmienił harmonogram wdrażania AI Act, ale nie oznacza to odroczenia wszystkich obowiązków. Od 2 sierpnia 2026 r. stosuje się wymogi przejrzystości wynikające z art. 50 AI Act. Nie jest to równoznaczne z  powszechnym obowiązkiem oznaczania każdej treści przygotowanej z pomocą AI – obowiązki powstają w sytuacjach określonych w tym przepisie i wymagają każdorazowej oceny sposobu wykorzystania systemu. W praktyce warto tę ocenę przeprowadzić już teraz oraz przygotować odpowiednie procedury wewnętrzne.

Szkolenia

Zagadnienia omówione powyżej – w szczególności praktyczne stosowanie art. 50 AI Act – będą przedmiotem szerszego omówienia w ramach oferty szkoleniowej dostępnej na platformie e-KIRP.

We wrześniu premierę będzie miał także kurs poświęcony deepfake’om, przygotowany przez Komisję Nowych Technologii KRRP. W programie znajdą się m.in. kwestie oznaczania treści syntetycznych i wypełniania obowiązków informacyjnych wynikających z art. 50 AI Act, a także zagadnienia z zakresu ochrony danych osobowych i wizerunku. Szkolenia poprowadzą specjaliści m.in. z NASK oraz UODO.

Szczegółowe informacje już wkrótce.