Aktualizacja z 9 września 2026 r. Pierwotna wersja tego artykułu (kwiecień 2026) opisywała 2 sierpnia 2026 r. jako datę, od której zaczynają obowiązywać pełne wymagania dla systemów AI wysokiego ryzyka z Załącznika III. Ta data przestała obowiązywać. Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2026/1744 z 8 lipca 2026 r., zwane aktem zbiorczym prawa cyfrowego dotyczącym AI, opublikowane 24 lipca i obowiązujące od 27 lipca 2026 r., przesunęło te obowiązki o szesnaście miesięcy. Artykuł został przepisany: opisuje stan po zmianie oraz to, czego zmiana nie objęła. Zmienił się też polski porządek prawny, bo 11 sierpnia 2026 r. weszła w życie ustawa o systemach sztucznej inteligencji.
Data 2 sierpnia 2026 r. miała być najtrudniejszym progiem regulacyjnym roku. Sześć dni przed nią weszło w życie rozporządzenie, które przesunęło jej najcięższą część. Obowiązki dla systemów AI wysokiego ryzyka z rozdziału III sekcje 1, 2 i 3 rozporządzenia 2024/1689 stosuje się teraz od 2 grudnia 2027 r. dla systemów z Załącznika III oraz od 2 sierpnia 2028 r. dla AI wbudowanej w produkty regulowane z Załącznika I.
Powód przesunięcia unijny prawodawca nazwał wprost. W motywie 40 aktu zbiorczego czytamy, że „opóźniona dostępność norm, wspólnych specyfikacji i alternatywnych wytycznych oraz opóźnione ustanowienie właściwych organów krajowych” tworzą ryzyko wzrostu kosztów wdrożenia w sposób, który nie uzasadnia utrzymania pierwotnej daty.
Kary pozostały bez zmian: do 35 milionów euro lub 7% globalnego obrotu rocznego za naruszenie zakazów, do 15 milionów euro lub 3% za naruszenie pozostałych obowiązków.
Co przesunięto, a co obowiązuje od sierpnia 2026
Przesunięcie objęło wyłącznie rozdział III sekcje 1, 2 i 3, czyli klasyfikację systemów wysokiego ryzyka, wymagania techniczne wobec nich oraz obowiązki dostawców i podmiotów stosujących, w tym ocenę wpływu na prawa podstawowe (FRIA, art. 27). Reszta rozporządzenia działa według dotychczasowego harmonogramu.
| Obszar | Data stosowania | Stan na dziś |
|---|---|---|
| Zakazane praktyki (art. 5) | 2 lutego 2025 | obowiązuje |
| Kompetencje w zakresie AI, czyli AI Literacy (art. 4) | 2 lutego 2025 | obowiązuje |
| Modele ogólnego przeznaczenia (GPAI) | 2 sierpnia 2025 | obowiązuje |
| Przejrzystość, w tym oznaczanie treści (art. 50) | 2 sierpnia 2026 | obowiązuje |
| Dwa nowe zakazy dodane aktem zbiorczym | 2 grudnia 2026 | wchodzi za niespełna trzy miesiące |
| Wysokie ryzyko, Załącznik III | 2 grudnia 2027 | przesunięte |
| Wysokie ryzyko, Załącznik I (produkty) | 2 sierpnia 2028 | przesunięte |
Dwie pozycje z tej tabeli wymagają uwagi już teraz.
Przejrzystość z art. 50 obowiązuje. Kto używa chatbota, generuje treści syntetyczne albo publikuje materiały wytworzone przez AI, ma obowiązek informacyjny od 2 sierpnia 2026 r. Dla systemów generatywnych wprowadzonych do obrotu przed tą datą akt zbiorczy dał czas na dostosowanie do art. 50 ust. 2 wyłącznie do 2 grudnia 2026 r. To jest najbliższy realny termin dla firm, które wdrożyły generatywną AI wcześniej.
AI Literacy obowiązuje od lutego 2025 r. Obowiązek zapewnienia pracownikom odpowiednich kompetencji w zakresie AI siedzi w rozdziale I i nigdy nie był objęty przesunięciem. Firmy, które odkładały plan szkoleń „do sierpnia”, są spóźnione o półtora roku.
Kogo dotyczy Załącznik III
Załącznik III wymienia 8 kategorii systemów AI uznawanych za wysokie ryzyko. Od 2 grudnia 2027 r. będą podlegać pełnemu reżimowi. Krąg zastosowań jest szerszy, niż podpowiada pierwsze skojarzenie:
| Kategoria Załącznika III | Przykłady zastosowań biznesowych |
|---|---|
| Pkt 4 - zatrudnienie i HR | Systemy preselekcji CV, oceny pracowników, monitorowania wydajności |
| Pkt 5 - usługi prywatne i publiczne | Scoring kredytowy, ocena wniosków ubezpieczeniowych, dostęp do świadczeń publicznych |
| Pkt 5 - usługi medyczne | AI w diagnostyce, triage pacjentów, ocenie wniosków refundacyjnych |
| Pkt 3 - edukacja | Systemy oceniania uczniów, przyznawania miejsc na studia |
| Pkt 1 - biometria | Systemy zdalnej identyfikacji biometrycznej |
| Pkt 2 - infrastruktura krytyczna | AI w zarządzaniu siecią energetyczną, transportem |
Nazwa myli. „Wysokie ryzyko” nie przesądza o zakazie, tylko uruchamia szczegółowe wymagania dokumentacyjne, które trzeba spełnić, zanim system trafi na rynek albo zostanie na nim utrzymany.
Co trzeba mieć przed 2 grudnia 2027
Każdy deployer, czyli firma używająca systemu AI wysokiego ryzyka, ma siedem podstawowych obowiązków dokumentacyjnych:
- Rejestr systemów AI: wykaz wszystkich systemów używanych w organizacji wraz z klasyfikacją ryzyka każdego z nich (zakazane, wysokiego, ograniczonego lub minimalnego ryzyka).
- FRIA (Fundamental Rights Impact Assessment, ocena wpływu na prawa podstawowe, art. 27 AI Act), czyli szczegółowa ocena wpływu systemu na prawa podstawowe użytkowników.
- Polityka AI Governance określająca role, odpowiedzialność, monitoring oraz zasady raportowania.
- Plan AI Literacy (art. 4): program szkoleń dostosowany do roli pracownika, a nie ogólne szkolenie w formule BHP. Ten obowiązek działa już dziś.
- Procedura monitorowania po wprowadzeniu do obrotu (art. 72) obejmująca śledzenie incydentów, dryfu modelu i jego wydajności.
- Polityka przejrzystości (art. 50): obowiązek informowania użytkowników o kontakcie z AI, w tym o chatbotach i treściach syntetycznych. Obowiązuje od sierpnia 2026.
- Procedura zarządzania incydentami AI (art. 73) regulująca zgłaszanie poważnych incydentów do organu nadzoru.
Czego nauczyło nas przesunięcie
Kwietniowa wersja tego artykułu przewidywała kompresję popytu w trzecim kwartale 2026 r.: wszyscy potrzebują dokumentacji naraz, konsultanci są niedostępni, terminy realizacji rosną z dwóch tygodni do dwóch miesięcy. Ten scenariusz się nie ziścił, bo termin przesunięto na sześć dni przed jego upływem.
Wniosek nie brzmi jednak „warto było czekać”. Firmy, które zdążyły przygotować rejestr systemów i klasyfikację ryzyka, mają dziś gotową podstawę pod FRIA i szesnaście miesięcy spokojnej pracy. Firmy, które nie zaczęły, zaczynają od zera z tym samym zakresem materiału, tyle że przy zmienionej podstawie prawnej. Kompresja popytu nie zniknęła. Przesunęła się na drugą połowę 2027 roku, a jednocześnie doszedł termin grudniowy dla art. 50 ust. 2 i dwóch nowych zakazów.
Dwie najczęstsze pułapki
Pułapka 1: „Nie używamy AI”
Wiele firm jest przekonanych, że temat ich nie dotyczy, bo „nie tworzymy modeli AI”. To błąd. AI Act dotyczy deployerów, czyli każdego, kto używa AI w swoich procesach biznesowych. Korzystanie z ChatGPT do ofert handlowych, z Microsoft Copilot do analizy danych, z rekrutacyjnego AI screeningu, ze scoringu kredytowego. Każde z osobna czyni z firmy deployera.
Pułapka 2: „Mamy jedną politykę AI dla całej firmy”
FRIA musi być wykonana per system AI, nie ogólnie dla firmy. System rekrutacyjny ma inny profil ryzyka praw podstawowych niż system scoringu kredytowego, a analiza musi rozróżniać te konteksty. Generyczne polityki bez tej granulacji nie spełniają wymogów art. 27 AI Act.
Polski organ nadzoru: KRiBSI już działa
Do lipca 2026 r. Polska nie miała ustawy wykonawczej do AI Act. Ma ją od 11 sierpnia 2026 r., gdy weszła w życie ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003, ogłoszona 27 lipca 2026 r.).
Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) i czyni z niej organ nadzoru rynku w zakresie systemów sztucznej inteligencji. To ona, a nie UODO, jest właściwa w sprawach stosowania AI Act w Polsce, choć kompetencje Prezesa UODO w zakresie ochrony danych osobowych pozostają nienaruszone.
Pytania, których można spodziewać się w kontroli:
- Czy w firmie istnieje rejestr systemów AI?
- Jak została sklasyfikowana skala ryzyka każdego z tych systemów?
- Czy systemy z Załącznika III mają wykonaną FRIA?
- Czy w firmie funkcjonuje plan AI Literacy i jakie jest jego pokrycie wśród pracowników?
- Czy w firmie powołano AI Officera i czy ma on zdefiniowaną niezależność organizacyjną?
Co dostają nasi klienci
Pakiet AI Act w Kancelarii Kozłowski obejmuje 17 dokumentów spełniających pełen reżim, dostosowanych zarówno dla providerów (twórców modeli), jak i deployerów (firm używających AI). Wbudowany jest pełen harmonogram stosowania po zmianie aktem zbiorczym: zakazy 02.02.2025, GPAI 02.08.2025, przejrzystość 02.08.2026, nowe zakazy 02.12.2026, Załącznik III 02.12.2027, Załącznik I 02.08.2028. Klient nie musi sam śledzić zmian.
Dokumentacja uwzględnia polską ustawę o systemach sztucznej inteligencji i właściwość KRiBSI, a nie odsyła już do stanu sprzed sierpnia 2026 r.
Wdrożenie pakietu zajmuje 10-14 dni roboczych od momentu wypełnienia ankiety diagnostycznej. Sześć poziomów weryfikacji, podpis radcy prawnego z OC 10 mln PLN.
Firmy bez rejestru systemów AI zaczynają zwykle od jednego rozstrzygnięcia: które z używanych narzędzi w ogóle wpadają w Załącznik III. Od tej odpowiedzi zależy zakres całej dokumentacji. Bez niej nie da się nawet oszacować pracy.
Wstępny audyt zgodności prowadzimy nieodpłatnie. Sprawdzamy obecną dokumentację pod kątem AI Act, wskazujemy luki i rekomendujemy zakres wdrożenia.
Stan prawny na dzień aktualizacji. Podstawy: rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu nadanym rozporządzeniem (UE) 2026/1744 z 8 lipca 2026 r. (Dz.U. UE seria L z 24.7.2026) oraz ustawa z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).