Prawo AI
AI Act po Digital Omnibus: co się zmieniło i co zrobić w firmie
Stan prawny na dzień 19.10.2026. Tekst ma charakter informacyjny; przepisy i ich wykładnia mogą się zmieniać.
Pakiet zmian znany jako Digital Omnibus on AI nie jest już projektem. Rozporządzenie (UE) 2026/1744 zmieniające AI Act weszło w życie 27 lipca 2026 r. Dla firmy, która nie tworzy systemów AI, a tylko z nich korzysta, najważniejsze są cztery kwestie z AI Act i jedna z polskiej ustawy.
Krótko
- Obowiązki dla systemów wysokiego ryzyka z Aneksu III (m.in. zatrudnienie, ocena pracowników) przesunięto na 2 grudnia 2027 r.
- Art. 4 (kompetencje w zakresie AI) złagodzono: chodzi o podejmowanie działań wspierających, a nie o gwarancję poziomu kompetencji.
- Art. 50 (przejrzystość) już obowiązuje, od 2 sierpnia 2026 r.
- Krajowa ustawa o systemach AI (Dz.U. 2026 poz. 1003) obowiązuje od 11 sierpnia 2026 r., a przepisy o opiniach indywidualnych, kontroli i karach od 28 października 2026 r.
- Kolejna data z AI Act to 2 grudnia 2026 r.
1. Systemy wysokiego ryzyka: więcej czasu
Obowiązki dla systemów wysokiego ryzyka z Aneksu III (m.in. rekrutacja, ocena pracowników, edukacja, dostęp do usług podstawowych) miały obowiązywać od 2 sierpnia 2026 r. Zgodnie z nowymi przepisami stosuje się je od 2 grudnia 2027 r. Dla systemów będących częścią produktów regulowanych (Aneks I) termin to 2 sierpnia 2028 r. Zamiast mechanizmu warunkowego wprowadzono stałe daty.
Co z tego wynika: jeśli korzystasz z narzędzi AI w rekrutacji lub ocenie pracowników, masz więcej czasu na przygotowanie. Nie oznacza to, że można odłożyć ustalenie, jakie narzędzia są w firmie używane. Obowiązki z RODO, prawa pracy i ochrony danych obowiązują niezależnie od AI Act.
2. Art. 4: wspierać kompetencje, a nie je gwarantować
Obowiązek z art. 4 obowiązuje od 2 lutego 2025 r. Po zmianach dostawcy i podmioty stosujące mają podejmować działania wspierające rozwój kompetencji osób, które pracują z systemami AI. Przepis nie wymaga określonego poziomu kompetencji konkretnej osoby.
Co z tego wynika: szkolenie pracowników pozostaje rozsądnym elementem należytej staranności. Obowiązek „zadbania o wystarczający poziom” zastąpiono jednak obowiązkiem podejmowania działań, więc udokumentowane, proporcjonalne szkolenie i zasady korzystania z narzędzi są mocnym dowodem takich działań.
3. Art. 50: obowiązki przejrzystości już obowiązują
Art. 50 stosuje się od 2 sierpnia 2026 r. Obejmuje m.in. informowanie osób, że komunikują się z systemem AI (np. z chatbotem), oznaczanie treści generowanych przez AI i ujawnianie deepfake'ów. Dla systemów generatywnych wprowadzonych na rynek przed 2 sierpnia 2026 r. przewidziano okres przejściowy do 2 grudnia 2026 r., ale tylko dla maszynowo czytelnego oznaczania treści (art. 50 ust. 2).
Co z tego wynika: jeśli korzystasz z chatbotów w kontaktach z klientami lub publikujesz treści wygenerowane przez AI, sprawdź, czy dotyczą Cię obowiązki z art. 50. Zwykle największą część tych obowiązków ponosi dostawca narzędzia, ale podmiot stosujący ma własne obowiązki, np. przy deepfake'ach.
4. Nowy zakaz od 2 grudnia 2026 r.
Do art. 5 dodano dwa zakazy: systemów generujących bez zgody intymne obrazy osób oraz materiałów przedstawiających wykorzystywanie seksualne dzieci. Zakazy stosuje się od 2 grudnia 2026 r. Dla typowej firmy, która korzysta z biurowych narzędzi AI, to zmiana drugorzędna, ale warto o niej wiedzieć przy ocenie narzędzi do generowania obrazów.
Krajowa ustawa o systemach AI
W Polsce obowiązuje ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Ogłoszono ją 27 lipca 2026 r., a w życie weszła 11 sierpnia 2026 r. Wyznacza krajowy organ nadzoru: Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), która jest organem nadzoru rynku i pojedynczym punktem kontaktowym w rozumieniu art. 70 AI Act. Przewodniczącego Komisji powołuje Sejm za zgodą Senatu, w terminie 2 miesięcy od wejścia ustawy w życie.
Ustawa nie zmienia zakresu obowiązków, bo te wynikają z AI Act. Określa natomiast, jak organ je egzekwuje. Najważniejsza data to 28 października 2026 r. Wtedy wchodzą w życie przepisy o:
- opiniach indywidualnych i wyjaśnieniach Komisji (art. 8–18),
- kontroli, postępowaniu i układzie (rozdz. 3–5),
- administracyjnych karach pieniężnych (rozdz. 8).
Opinia indywidualna: można zapytać organ
Z wnioskiem o opinię indywidualną może zwrócić się podmiot obowiązany do stosowania AI Act albo ten, który planuje działania, przez które zostanie nim objęty. Pytanie może dotyczyć stanu faktycznego lub zdarzenia przyszłego. Wniosek obejmuje jedno zagadnienie i zawiera własną ocenę prawną wnioskodawcy, a opłata wynosi 150 zł.
Komisja wydaje opinię w ciągu 30 dni (w sprawach szczególnie skomplikowanych w ciągu 60 dni). Jeśli nie zdąży, uznaje się, że wydała opinię zgodną ze stanowiskiem wnioskodawcy. Opinia wiąże Komisję w danej sprawie, a zastosowanie się do niej przed ewentualną zmianą nie może szkodzić wnioskodawcy. Opinie i wyjaśnienia, po anonimizacji, są publikowane w Biuletynie Informacji Publicznej.
Co z tego wynika: przy wątpliwościach, czy narzędzie jest systemem wysokiego ryzyka albo czy dotyczą Cię obowiązki z art. 50, pojawia się formalna droga uzyskania stanowiska organu. Wcześniej warto jednak samodzielnie opisać stan faktyczny, a do tego służy wykaz narzędzi.
Skargi, postępowanie i kary
- Skargę do Komisji może złożyć każdy: osoba fizyczna, osoba prawna lub jednostka bez osobowości prawnej.
- Postępowanie nie może trwać dłużej niż 6 miesięcy od doręczenia postanowienia o jego wszczęciu. W jego toku Komisja może wydać ostrzeżenie ze wskazaniem działań naprawczych, a strona ma 21 dni na poinformowanie o ich wykonaniu.
- Układ: strona, która usunęła naruszenie i ujawniła istotne okoliczności, może wnioskować o układ, w którym kara może zostać obniżona o 20–70%.
- Kary pieniężne nakłada Komisja decyzją w wysokościach i na warunkach z rozdziału XII AI Act. Od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie (sądu ochrony konkurencji i konsumentów).
- Kontrola: utrudnianie lub udaremnianie czynności kontrolnych jest wykroczeniem zagrożonym karą ograniczenia wolności albo grzywną.
Co z tego wynika: w razie kontroli lub skargi liczy się to, czy organizacja potrafi pokazać, jakich narzędzi używa, kto za nie odpowiada i jakie ma zasady. Wykaz narzędzi i polityka AI to dokumenty, od których warto zacząć.
Co zrobić już teraz
- Sporządzić wykaz narzędzi AI używanych w organizacji (wzór).
- Wprowadzić politykę korzystania z AI (wzór).
- Zadbać o weryfikację wyników przez człowieka (lista kontrolna).
- Sprawdzić umowy z dostawcami pod kątem danych, odpowiedzialności i podprocesorów.
- Ustalić, które narzędzia mogą wpadać w obszar wysokiego ryzyka (rekrutacja, ocena pracowników), i opisać zasady ich użycia.
Przesunięcie terminów nie zwalnia z przygotowań: pozostają obowiązki z RODO, prawa autorskiego, ochrony tajemnicy i ogólne zasady odpowiedzialności. Jeśli chcesz uporządkować te zagadnienia w spółce lub jednostce, mogę przygotować audyt, politykę lub szkolenie dla zarządu i rady nadzorczej. Dla pracowników mam osobne szkolenie z bezpiecznego korzystania z AI.