Rozporządzenie o sztucznej inteligencji (2024/1689) nie zaczęło obowiązywać jednego dnia - wchodzi w życie etapami rozłożonymi na lata 2025-2028. To dobra i zła wiadomość jednocześnie: część obowiązków już Cię dotyczy (od 2 sierpnia 2026 także obowiązki przejrzystości z art. 50), a rozporządzenie 2026/1744 - Digital Omnibus on AI - przesunęło systemy wysokiego ryzyka na 2 grudnia 2027 i 2 sierpnia 2028.
- AI Act (rozporządzenie 2024/1689) wchodzi w życie etapami rozłożonymi na lata 2025-2028, a nie jednego dnia.
- Obowiązki przejrzystości z art. 50 - m.in. informowanie o kontakcie z AI i oznaczanie treści syntetycznych - obowiązują od 2 sierpnia 2026 r.
- Digital Omnibus (rozporządzenie 2026/1744) przesunął obowiązki dla systemów wysokiego ryzyka: załącznik III na 2 grudnia 2027 r., załącznik I na 2 sierpnia 2028 r.
- Obowiązek AI literacy z art. 4 obowiązuje już od 2 lutego 2025 r. i nie został przesunięty przez Digital Omnibus.
- Za zakazane praktyki z art. 5 AI Act grożą kary do 35 mln EUR lub 7% światowego obrotu firmy.
Skąd ten harmonogram?
AI Act wszedł w życie 1 sierpnia 2024 r., ale unijny ustawodawca rozłożył stosowanie poszczególnych rozdziałów w czasie. Logika jest prosta: najpierw to, co najgroźniejsze (zakazane praktyki), potem fundamenty (modele ogólnego przeznaczenia, nadzór), a na końcu najbardziej wymagający operacyjnie pakiet - systemy wysokiego ryzyka.
Co już obowiązuje w AI Act? (stan: wrzesień 2026)
Od 2 lutego 2025: zakazane praktyki i AI literacy
- Zakazane praktyki AI (art. 5) - m.in. manipulacyjne techniki podprogowe, wykorzystywanie słabości osób, scoring społeczny, nieukierunkowany scraping wizerunków do baz rozpoznawania twarzy, rozpoznawanie emocji w miejscu pracy i edukacji (z wąskimi wyjątkami). Jeśli którykolwiek z Twoich systemów ociera się o te kategorie - to nie jest ryzyko do zarządzania, tylko praktyka do wyłączenia.
- AI literacy (art. 4) - dostawcy i podmioty stosujące systemy AI mają obowiązek wspierać rozwój kompetencji w zakresie AI u personelu, który z tych systemów korzysta, z uwzględnieniem jego wiedzy, doświadczenia i kontekstu użycia. Digital Omnibus złagodził brzmienie przepisu - wcześniej wymagał zapewnienia „wystarczającego poziomu” kompetencji - ale obowiązku nie uchylił. Tak, to dotyczy również firmy, która „tylko używa" narzędzi AI. Szkolenie z promptowania to za mało - chodzi o rozumienie ryzyk, ograniczeń i kontekstu użycia.
Od 2 sierpnia 2025: modele GPAI i architektura nadzoru
- Obowiązki dostawców modeli ogólnego przeznaczenia (GPAI) - dokumentacja techniczna, informacje dla integratorów, polityka poszanowania prawa autorskiego, streszczenie danych treningowych. Dla modeli stwarzających ryzyko systemowe - dodatkowe obowiązki (oceny, testy, raportowanie incydentów).
- Przepisy o organach nadzoru i karach - państwa członkowskie uruchamiają krajowy nadzór (w Polsce to KRiBSI, która kontroluje i nakłada kary od 28 października 2026), a widełki kar stają się realne: do 35 mln EUR lub 7% światowego obrotu za zakazane praktyki.
2 sierpnia 2026: obowiązki przejrzystości (art. 50) i większość rozporządzenia
Od tego dnia stosuje się gros pozostałych przepisów rozporządzenia - z jednym istotnym wyjątkiem: pakiet dla systemów wysokiego ryzyka z załącznika III (m.in. AI w rekrutacji i zarządzaniu pracownikami, ocenie zdolności kredytowej, edukacji, dostępie do usług publicznych) został rozporządzeniem 2026/1744 przesunięty na 2 grudnia 2027. Lista obowiązków się nie zmieniła, zmienił się tylko termin.
Jeśli Twój system trafia do tej kategorii, lista obowiązków jest długa:
- system zarządzania ryzykiem przez cały cykl życia systemu,
- zarządzanie danymi i jakością danych treningowych,
- dokumentacja techniczna i rejestrowanie zdarzeń (logi),
- przejrzystość i instrukcje dla podmiotów stosujących,
- nadzór człowieka nad działaniem systemu,
- dokładność, solidność i cyberbezpieczeństwo,
- ocena zgodności i rejestracja w bazie UE (dla dostawców).
Ważne: obowiązki mają nie tylko dostawcy. Podmioty stosujące (deployerzy) systemy wysokiego ryzyka odpowiadają m.in. za używanie systemu zgodnie z instrukcją, nadzór człowieka, monitorowanie działania - a w niektórych przypadkach za ocenę skutków dla praw podstawowych (FRIA).
Co natomiast obowiązuje od 2 sierpnia 2026 bez przesunięcia: obowiązki przejrzystości z art. 50 - m.in. informowanie, że użytkownik rozmawia z AI, oraz oznaczanie treści generowanych i deepfake'ów. Dla systemów wprowadzonych na rynek przed tą datą okres przejściowy na znakowanie treści syntetycznych (art. 50 ust. 2) kończy się 2 grudnia 2026.
Co zmienił Digital Omnibus w terminach AI Act? (2 grudnia 2027 i 2 sierpnia 2028)
Digital Omnibus on AI (rozporządzenie 2026/1744, w mocy od 27 lipca 2026) rozłożył pakiet wysokiego ryzyka na dwa terminy. 2 grudnia 2027 - systemy samodzielne z załącznika III. 2 sierpnia 2028 - systemy AI, które są produktem lub elementem bezpieczeństwa produktu objętego unijnym prawodawstwem harmonizacyjnym z załącznika I (art. 6 ust. 1): wyroby medyczne, maszyny, zabawki, lotnictwo. Te ostatnie przechodzą przez ścieżki oceny zgodności właściwe dla swoich sektorów, stąd najdłuższy okres przejściowy. Przesunięcie to nie amnestia: dokumentacja, zarządzanie ryzykiem i ocena zgodności nadal zajmują miesiące.
Harmonogram w pigułce
- 2 lutego 2025 - zakazane praktyki + AI literacy - obowiązuje
- 2 sierpnia 2025 - modele GPAI, nadzór, kary - obowiązuje
- 2 sierpnia 2026 - gros rozporządzenia, w tym obowiązki przejrzystości z art. 50 - obowiązuje
- 2 grudnia 2026 - koniec okresu przejściowego na znakowanie treści syntetycznych (art. 50 ust. 2) dla systemów wprowadzonych przed 2 sierpnia 2026
- 2 grudnia 2027 - systemy wysokiego ryzyka z załącznika III (HR, scoring, edukacja, infrastruktura) - przesunięte rozporządzeniem 2026/1744
- 2 sierpnia 2028 - systemy wysokiego ryzyka wbudowane w produkty regulowane (załącznik I, art. 6 ust. 1) - przesunięte rozporządzeniem 2026/1744
Co zrobić teraz - plan minimum
- Zinwentaryzuj systemy AI - także te kupione jako SaaS i te, których używają pracownicy „po cichu" (o Shadow AI piszemy osobno).
- Sklasyfikuj ryzyko - zakazane / wysokie / ograniczone (przejrzystość) / minimalne. Możesz zacząć od naszego quizu AI Act Check.
- Ustal swoją rolę - dostawca, podmiot stosujący, importer, dystrybutor. Od roli zależy zakres obowiązków. Uwaga: modyfikując cudzy system lub brandując go jako własny, można „awansować" na dostawcę.
- Domknij AI literacy - udokumentowane szkolenia i zasady użycia dla personelu pracującego z AI. Co po Omnibusie znaczy „wspieranie kompetencji”, opisuję w artykule o art. 4.
- Dla systemów wysokiego ryzyka - zacznij wczoraj - dokumentacja, zarządzanie ryzykiem i ocena zgodności to miesiące pracy, nie tygodnie.
Artykuł ma charakter informacyjny i nie stanowi porady prawnej.