Unijne rozporządzenie o sztucznej inteligencji nie jest już projektem w konsultacjach. Od ponad roku obowiązują pierwsze twarde przepisy, a 2 sierpnia 2026 roku, za niecałe pięć tygodni, wejdzie w życie główna fala regulacji dotycząca systemów wysokiego ryzyka. Część polskich firm nadal żyje w przekonaniu, że dopóki nie powstanie krajowy organ nadzoru, dopóty prawo ich nie dotyczy. To błąd, który może kosztować do 35 milionów euro.
Kluczowe fakty:
- AI Act jako rozporządzenie unijne obowiązuje bezpośrednio we wszystkich państwach członkowskich bez potrzeby krajowej ratyfikacji – pierwsze przepisy (m.in. zakazy niedopuszczalnych zastosowań AI) weszły w życie 2 lutego 2025 roku, a główna fala regulacji dotycząca systemów wysokiego ryzyka obowiązuje od 2 sierpnia 2026 roku.
- Firmy, które od lutego 2025 roku nie podjęły żadnych działań dostosowawczych, już teraz naruszają obowiązujące prawo – brak krajowego organu nadzoru ani polskiej ustawy implementacyjnej nie zwalnia przedsiębiorstw z przestrzegania unijnych przepisów.
- Za stosowanie praktyk uznanych za niedopuszczalne grozi kara do 35 milionów euro lub 7 procent światowego rocznego obrotu firmy.
AI Act wszedł w życie jako rozporządzenie unijne 1 sierpnia 2024 roku. Rozporządzenie, nie dyrektywa. To oznacza, że obowiązuje bezpośrednio we wszystkich państwach członkowskich, bez potrzeby krajowej ratyfikacji. Pierwsze przepisy, zakazy dotyczące niedopuszczalnych zastosowań AI oraz obowiązek szkolenia pracowników z zakresu kompetencji cyfrowych, stały się prawem 2 lutego 2025 roku. Od tamtej chwili minęło ponad szesnaście miesięcy. Firmy, które przez ten czas nic nie zrobiły, już teraz naruszają obowiązujące prawo.
Znajdź dostawcę, partnera lub narzędzie dla swojego biznesu, a jeśli prowadzisz firmę, która w swoim DNA ma AI, skorzystaj z możliwości bezpłatnego dodania swojej firmy.
Błąd, który popełnia większość zarządów
Krzysztof Rożko, radca prawny i wspólnik zarządzający Kancelarią Prawną Krzysztof Rożko i Wspólnicy, opisuje zjawisko, które obserwuje w rozmowach z polskimi spółkami: przedsiębiorstwa wdrażają rozwiązania oparte na sztucznej inteligencji w rekrutacji, obsłudze klienta, marketingu i analityce, ale jednocześnie zakładają, że obowiązki z AI Act zaczną ich dotyczyć albo po uchwaleniu polskiej ustawy, albo w momencie pełnego wejścia w życie rozporządzenia. Żadne z tych założeń nie jest prawdziwe.
Analogia do RODO jest trafna i powinna działać na wyobraźnię. W 2018 roku też spora część organizacji wierzyła, że krajowe regulacje uruchomią unijne obowiązki. Rzeczywistość okazała się inna.
Czego zakazano już ponad rok temu
Od 2 lutego 2025 roku obowiązuje katalog praktyk uznanych za niedopuszczalne. Sankcja za ich stosowanie to maksymalnie 35 milionów euro lub 7 procent światowego rocznego obrotu. Za które z poniższych działań? Między innymi za:
- stosowanie systemów rozpoznawania emocji wobec pracowników i uczniów,
- systemy wykorzystujące techniki podprogowego oddziaływania, które zniekształcają zachowania użytkowników,
- scoring społeczny, czyli ocenianie obywateli na podstawie ich zachowań,
- kategoryzację biometryczną osób według takich cech jak pochodzenie etniczne, przekonania polityczne czy orientacja seksualna,
- tworzenie baz danych twarzy poprzez masowe pobieranie zdjęć z internetu lub monitoringu.
Ten katalog brzmi dla wielu firm abstrakcyjnie. W praktyce wcale tak nie jest. System do oceny zaangażowania pracowników oparty na analizie mikroekspresji, narzędzie do „persony klienta” kategoryzujące użytkowników według profilu demograficznego, automatyczny scraping zdjęć do bazy leadów, to mogą być realne naruszenia już istniejącego prawa.
AI Literacy: obowiązek, który ignoruje niemal każda firma
Artykuł 4 AI Act, wymóg AI Literacy, obowiązuje od dokładnie tego samego dnia, co zakazy. Przepis nakazuje, by osoby korzystające z systemów sztucznej inteligencji dysponowały odpowiednim poziomem wiedzy o tej technologii, jej ryzykach i ograniczeniach.
Dotyczy to każdej firmy, w której pracownicy używają narzędzi AI, nawet ogólnodostępnych, takich jak ChatGPT czy Copilot. W praktyce oznacza to konieczność:
- przeprowadzenia szkoleń dostosowanych do ról w organizacji,
- opracowania wewnętrznych zasad korzystania z AI,
- udokumentowania podjętych działań.
Według badania EY „Jak polskie firmy wdrażają AI” z przełomu 2025 i 2026 roku, AI wdrożono do działu compliance i obszarów prawno-proceduralnych jedynie w 8 procentach przebadanych spółek. Jednocześnie ponad 34 procent polskich przedsiębiorstw korzysta z AI w swojej działalności, w większości bez formalnych procedur i dokumentacji. Zestawienie tych dwóch liczb mówi samo za siebie.
AI Act to nie jest regulacja, która przyjdzie kiedyś. Ona już jest, działa, a zegar tyka głośniej z każdym tygodniem. Polskie firmy powtarzają schemat sprzed sześciu lat, gdy RODO traktowano jak odległy projekt aż do ostatniej chwili. Różnica polega na tym, że sankcje w AI Act są niemal dwukrotnie wyższe niż w RODO, zakres jest szerszy, a wiedza w zarządach, ostrożnie mówiąc, mniejsza. Brak krajowego regulatora nie daje żadnej ochrony, przepisy rozporządzenia obowiązują bezpośrednio, a Komisja Europejska ma własne kompetencje nadzorcze wobec dostawców modeli ogólnego przeznaczenia. Firmy, które myślą, że luka egzekucyjna to parasol ochronny, mogą się boleśnie zdziwić.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Modele GPAI i co z tego wynika dla użytkowników
Od sierpnia 2025 roku obowiązują przepisy dotyczące modeli AI ogólnego przeznaczenia, czyli GPAI. Obowiązki w tym zakresie spoczywają głównie na dostawcach modeli, takich jak OpenAI, Google czy Anthropic, i obejmują dokumentację techniczną, poszanowanie praw autorskich i ujawnianie informacji o danych treningowych.
Ale polska firma korzystająca z ChatGPT Enterprise lub Claude Team nie jest od tego oderwana. Jeśli używa modelu ogólnego przeznaczenia do wewnętrznej automatyzacji, powinna udokumentować cel i sposób użycia. Jeśli natomiast zintegrowała API modelu z systemem rekrutacyjnym lub scoringiem klientów, automatycznie wchodzi w reżim wysokiego ryzyka z pełną dokumentacją i nadzorem człowieka.
Polska ustawa istnieje, ale jeszcze nie obowiązuje
Polska jest opóźniona względem unijnego harmonogramu. Krajowy organ nadzoru, Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), powinien był funkcjonować już od 2 sierpnia 2025 roku. Tymczasem projekt ustawy o systemach sztucznej inteligencji Rada Ministrów przyjęła dopiero 31 marca 2026 roku. Akt trafił do Sejmu, gdzie ruszyły pierwsze czytania, ale na dzień dzisiejszy ustawa nie jest uchwalona.
To nie zwalnia polskich firm z żadnych obowiązków wynikających z AI Act. Po pierwsze, rozporządzenie stosuje się bezpośrednio. Po drugie, UODO zachowuje kompetencje w sprawach, gdzie AI zazębia się z RODO. Po trzecie, Komisja Europejska nadzoruje bezpośrednio dostawców modeli GPAI niezależnie od stanu krajowej legislacji. Po czwarte, ryzyko kontraktowe jest już realne: w postępowaniach zakupowych dużych korporacji europejskich, szczególnie z Niemiec, Francji i Holandii, zgodność z AI Act pojawia się jako wymóg przetargowy.
Za 36 dni wchodzi główna fala przepisów
2 sierpnia 2026 roku zaczną obowiązywać zasadnicze wymogi dla systemów wysokiego ryzyka. Dotyczy to systemów AI stosowanych w ośmiu obszarach wymienionych w załączniku III do rozporządzenia: biometrii, infrastruktury krytycznej, edukacji, rekrutacji i zarządzania personelem, oceny zdolności kredytowej, ścigania przestępstw, zarządzania migracją i wymiaru sprawiedliwości.
Firma używająca AI do preselekcji CV, scoringu leadów opartego na danych demograficznych czy automatycznej oceny wniosków kredytowych stanie się podmiotem obowiązków wysokiego ryzyka. Oznacza to pełną dokumentację techniczną, ocenę ryzyka, nadzór człowieka nad decyzjami i rejestrację w unijnej bazie danych AI. Brak wpisu do tej bazy to sam w sobie podstawa do nałożenia kary do 15 milionów euro lub 3 procent obrotu.
Eksperci ds. compliance szacują, że rzetelne przygotowanie organizacji średniej wielkości do AI Act to 3 do 6 miesięcy intensywnej pracy. Dla firmy, która jeszcze nie zaczęła, to dziś horyzont wykraczający poza 2 sierpnia. Nie ma przestrzeni na komfort.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Co polskie firmy powinny zrobić już teraz
Priorytetowa kolejność działań jest prosta, choć wymagająca:
- Inwentaryzacja systemów AI ze wszystkich działów, łącznie z narzędziami używanymi przez pracowników samodzielnie poza oficjalnym stackiem (tzw. shadow AI, które dotyczy ponad 60 procent polskich firm według danych rynkowych),
- Klasyfikacja ryzyka każdego zidentyfikowanego systemu pod kątem kategorii AI Act,
- Polityka AI i szkolenia pracowników z udokumentowaniem działań edukacyjnych, co wypełnia jednocześnie wymóg AI Literacy z art. 4,
- Audyt zgodności ze szczególnym uwzględnieniem systemów kadrowych, rekrutacyjnych, oceny klientów i decyzji wpływających na prawa osób fizycznych.
W projekcie polskiej ustawy pojawił się też mechanizm, który warto mieć w świadomości: możliwość obniżenia kary nawet o 90 procent przy autodenuncjacji i aktywnej współpracy z organem nadzoru. Ustawodawca wyraźnie sygnalizuje, że stawia na compliance, nie tylko represję.
Pytanie, które zarządy powinny sobie zadać, jest jedno: czy chcemy być wśród tych, którzy dostosowali się wcześnie i z wyprzedzeniem, czy wśród tych, którzy będą tłumaczyć regulatorowi, że nie wiedzieli?
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym artykułu Krzysztofa Rożko w serwisie Rzeczpospolita PRO z dnia 26.06.2026, badania EY „Jak polskie firmy wdrażają AI” (trzecia edycja, Q4 2025, CubeResearch, n=499), komunikatu Rzeczpospolitej o przyjęciu projektu ustawy przez Radę Ministrów z dnia 31.03.2026 oraz analiz prawnych dotyczących harmonogramu AI Act. Wypowiedź Justyny Wilczyńskiej-Baraniak z EY pochodzi z oficjalnego komunikatu firmy. Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl. Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji w temacie wdrożenia AI Act w Polsce.
