AI Act: co to jest, kogo dotyczy i od kiedy obowiązuje

AI Act (akt w sprawie sztucznej inteligencji), czyli rozporządzenie (UE) 2024/1689, to unijne prawo regulujące tworzenie i wykorzystywanie systemów AI. Obowiązuje bezpośrednio w Polsce i całej UE od 1 sierpnia 2024 r., a jego przepisy wchodzą etapami do 2030 r. Obowiązki zależą od roli firmy i od poziomu ryzyka danego systemu.

Najważniejsze informacje

• AI Act dotyczy każdej organizacji, która rozwija, sprzedaje albo po prostu wykorzystuje AI w działalności zawodowej w UE – także firm spoza Unii, jeśli wyniki działania ich systemów są używane w UE.
• Część przepisów już obowiązuje: zakazane praktyki i kompetencje w zakresie AI od 2 lutego 2025 r., modele AI ogólnego przeznaczenia od 2 sierpnia 2025 r., obowiązki przejrzystości z art. 50 od 2 sierpnia 2026 r.
• Digital Omnibus, czyli rozporządzenie (UE) 2026/1744, jest przyjętym prawem od 27 lipca 2026 r. Przesunął obowiązki dla systemów wysokiego ryzyka na 2 grudnia 2027 r. (załącznik III) i 2 sierpnia 2028 r. (załącznik I).
• W Polsce obowiązuje już ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji. Nadzór sprawuje Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), która od 28 października 2026 r. może kontrolować firmy i nakładać kary.
• Najrozsądniejszy pierwszy krok to spis wszystkich narzędzi AI w firmie i spisana polityka korzystania z AI dla pracowników.

AI Act – co to jest i dlaczego powstał?

AI Act to rozporządzenie Parlamentu Europejskiego i Rady, więc – inaczej niż dyrektywa – nie wymaga przeniesienia do polskiego prawa. Stosuje się je wprost, tak jak RODO. Jego oficjalna polska nazwa brzmi „akt w sprawie sztucznej inteligencji”; w wyszukiwarce wiele osób wpisuje „akt o sztucznej inteligencji” albo „AI Act po polsku”, ale chodzi o ten sam dokument. Oficjalny tekst AI Act po polsku (do czytania online lub pobrania w PDF) publikuje serwis EUR-Lex; przy lekturze trzeba pamiętać, że część przepisów zmieniło już rozporządzenie (UE) 2026/1744.

Celem rozporządzenia jest, by systemy AI używane w Europie były bezpieczne i szanowały prawa podstawowe, a przy tym by firmy w całej UE miały jedne, przewidywalne reguły. Wcześniejsze przepisy – RODO, prawo konsumenckie, przepisy o bezpieczeństwie produktów – nie odpowiadały na pytania typowe dla AI: kto odpowiada za błędną decyzję modelu, jak wykryć dyskryminację w danych treningowych, kiedy człowiek musi mieć ostatnie słowo.

AI Act nie zakazuje sztucznej inteligencji ani nie wymaga zgody urzędu na każde narzędzie. Większość zastosowań, z których korzystają polskie firmy na co dzień – asystent do pisania maili, tłumaczenia, podsumowania spotkań, filtr antyspamowy – podlega niewielkim obowiązkom. Ciężar regulacji spada na zastosowania, które mogą realnie zaszkodzić ludziom.

Jeśli chcą Państwo od razu sprawdzić, jakie obowiązki dotyczą Państwa firmy, można skorzystać z bezpłatnej oceny AI governance i gotowości na AI Act. Pytania są po polsku i zajmują około 40 minut.

AI Act – kogo dotyczy?

Rozporządzenie rozróżnia kilka ról. Ta sama firma może pełnić różne role wobec różnych systemów.

Najwięcej obowiązków ma dostawca. Większość polskich organizacji jest jednak podmiotem stosującym: kupuje lub licencjonuje gotowe narzędzia. Uwaga na pułapkę – firma, która istotnie zmodyfikuje system wysokiego ryzyka albo opatrzy go własną marką, przejmuje obowiązki dostawcy. AI Act działa też eksterytorialnie: obejmuje dostawców spoza UE, jeśli ich systemy trafiają na rynek unijny lub ich wyniki są tu wykorzystywane.

Poziomy ryzyka w skrócie

Zakres obowiązków wynika z tego, do czego system jest używany, a nie z samej technologii. Ten sam model językowy może być narzędziem minimalnego ryzyka w dziale marketingu i elementem systemu wysokiego ryzyka w rekrutacji.

• Zakazane praktyki w zakresie AI (art. 5) – m.in. scoring społeczny, manipulacja wykorzystująca słabości ludzi, rozpoznawanie emocji w pracy i szkole (z wyjątkami medycznymi i bezpieczeństwa), nieukierunkowane pozyskiwanie wizerunków twarzy. Od 2 grudnia 2026 r. dochodzą zakazy dotyczące aplikacji „rozbierających” i materiałów przedstawiających wykorzystywanie seksualne dzieci.
• Systemy AI wysokiego ryzyka – np. preselekcja kandydatów do pracy, ocena zdolności kredytowej, dostęp do edukacji i usług publicznych, AI w wyrobach medycznych czy maszynach. Wymagają zarządzania ryzykiem, dokumentacji, nadzoru człowieka, a u dostawcy – oceny zgodności.
• Ograniczone ryzyko (przejrzystość) – chatboty, deepfake, treści generowane przez AI. Trzeba informować ludzi i oznaczać treści.
• Minimalne ryzyko – reszta; bez nowych obowiązków poza kompetencjami w zakresie AI.

Osobny reżim dotyczy modeli AI ogólnego przeznaczenia, takich jak modele, na których działają popularne czaty i asystenci – szczegóły w artykule o GPAI i obowiązkach dostawców modeli.

Kiedy AI Act wchodzi w życie? Daty po Digital Omnibus

Wszystkie terminy, również te dla modeli wprowadzonych przed 2025 r., zebraliśmy w artykule AI Act – kiedy wchodzi w życie. To, co dokładnie zmieniło rozporządzenie 2026/1744, opisuje osobny tekst o Digital Omnibus i zmianach w AI Act.

AI Act w Polsce: ustawa o systemach sztucznej inteligencji i KRiBSI

Rozporządzenie obowiązuje wprost, ale każde państwo musi wyznaczyć organy nadzoru i uregulować procedury. W Polsce robi to ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003), ogłoszona 27 lipca 2026 r. Większość przepisów obowiązuje od 11 sierpnia 2026 r., a rozdziały o kontroli, postępowaniu i karach – od 28 października 2026 r. Organem nadzoru rynku i pojedynczym punktem kontaktowym jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, w której zasiadają m.in. przedstawiciele UOKiK, KNF, KRRiT i UKE. Organem notyfikującym jest minister właściwy do spraw informatyzacji, a UODO pozostaje organem ochrony danych osobowych i współpracuje z Komisją. Firmy mogą wystąpić do KRiBSI o płatną (150 zł) opinię indywidualną, a obywatele – złożyć skargę. Szczegóły, w tym procedurę kar i piaskownicę regulacyjną, opisujemy w artykule ustawa o systemach sztucznej inteligencji i KRiBSI.

Kary za naruszenie AI Act

Maksymalne kary określa art. 99 rozporządzenia: do 35 mln euro lub 7% światowego rocznego obrotu za stosowanie zakazanych praktyk, do 15 mln euro lub 3% za naruszenie większości pozostałych obowiązków (w tym przejrzystości i wymogów dla wysokiego ryzyka) oraz do 7,5 mln euro lub 1% za podanie organom nieprawdziwych informacji. Dla dużych firm liczy się wyższa z kwot, dla MŚP i start-upów – niższa. W Polsce kary nakłada KRiBSI w drodze decyzji, przeliczając euro na złote po kursie NBP, a od decyzji przysługuje odwołanie do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów.

Przewodnik po AI Act: wszystkie artykuły

Poniżej znajduje się mapa naszych materiałów o AI Act po polsku. Każdy tekst odpowiada na jedno konkretne pytanie.

• AI Act – kiedy wchodzi w życie i kogo dotyczy: pełny harmonogram 2024–2030 i polskie daty.
• Digital Omnibus – co zmienia w AI Act: przesunięte terminy, nowe zakazy, nowe brzmienie art. 4.
• Ustawa o systemach sztucznej inteligencji: KRiBSI, kontrole, skargi, kary i piaskownica w Polsce.
• AI literacy – kompetencje w zakresie AI: jakie szkolenia AI dla pracowników mają sens po zmianie art. 4.
• Oznaczanie treści AI (art. 50): chatboty, deepfake i znakowanie treści generowanych.
• GPAI – modele AI ogólnego przeznaczenia: obowiązki dostawców modeli i kodeks praktyk.
• FRIA – ocena skutków dla praw podstawowych: kto musi ją przeprowadzić i jak połączyć ją z DPIA.
• ISO 42001 – co to jest: system zarządzania AI, certyfikacja i powiązanie z AI Act.
• Zgodność z AI Act – analiza luk: jak krok po kroku sprawdzić, czego brakuje.
• Wzór polityki korzystania z AI: sekcje i przykładowe zapisy dla pracowników.
• Shadow AI i rejestr systemów AI: jak wykryć nieautoryzowane narzędzia i prowadzić rejestr.
• Lista kontrolna AI Act: wszystkie kroki zgodności w jednym miejscu.

Od czego zacząć w firmie?

1. Spis narzędzi. Zebrać wszystkie systemy AI – licencjonowane, wbudowane w oprogramowanie (CRM, ERP, pakiet biurowy) i używane „na dziko” z prywatnych kont.
2. Role i ryzyko. Dla każdego systemu ustalić, czy firma jest dostawcą czy podmiotem stosującym, i przypisać poziom ryzyka.
3. Zakazy. Upewnić się, że żadne zastosowanie nie mieści się w art. 5 – to obowiązuje od lutego 2025 r.
4. Polityka i szkolenia. Spisać zasady korzystania z AI i przeszkolić pracowników według ról.
5. Przejrzystość. Oznaczyć chatboty i treści generowane, zgodnie z art. 50.
6. Dostawcy. Sprawdzić umowy i dokumentację dostawców AI, zwłaszcza w HR i finansach, przed grudniem 2027 r.
7. Odpowiedzialność. Wyznaczyć właściciela tematu AI governance i ścieżkę decyzji o nowych narzędziach.

Zgodność z AI Act łączy się z obowiązkami z RODO: dane osobowe w narzędziach AI wymagają podstawy prawnej, umów powierzenia i często oceny skutków dla ochrony danych. Jeśli potrzebują Państwo wsparcia przy wdrożeniu, Opsio prowadzi doradztwo w zakresie AI governance.

Najczęściej zadawane pytania o AI Act

Czy AI Act obowiązuje już w Polsce?

Tak. Rozporządzenie obowiązuje w Polsce bezpośrednio od 1 sierpnia 2024 r., a jego kolejne części stosuje się etapami. Zakazy i obowiązek dotyczący kompetencji w zakresie AI działają od lutego 2025 r., obowiązki przejrzystości od sierpnia 2026 r. Od sierpnia 2026 r. obowiązuje też polska ustawa o systemach sztucznej inteligencji, a kontrole i kary KRiBSI – od 28 października 2026 r.

Czy mała firma, która korzysta tylko z ChatGPT lub Copilota, musi coś robić?

Tak, choć niewiele. Jako podmiot stosujący powinna podejmować środki wspierające kompetencje pracowników w zakresie AI i nie stosować zakazanych praktyk. Jeśli publikuje treści wygenerowane przez AI, które mogą wprowadzać w błąd, albo udostępnia klientom chatbota, dochodzą obowiązki przejrzystości. W praktyce wystarczy krótka polityka korzystania z AI, lista zatwierdzonych narzędzi i podstawowe szkolenie.

Czym różni się AI Act od RODO?

RODO chroni dane osobowe, niezależnie od technologii. AI Act reguluje same systemy AI: ich bezpieczeństwo, przejrzystość, nadzór człowieka i dokumentację, także wtedy, gdy nie przetwarzają danych osobowych. Oba akty stosuje się równolegle. Przy systemach wysokiego ryzyka ocena skutków dla praw podstawowych może opierać się na wcześniej przeprowadzonej ocenie skutków dla ochrony danych (DPIA).

Czy Digital Omnibus odwołał lub zawiesił AI Act?

Nie. Rozporządzenie (UE) 2026/1744 obowiązuje od 27 lipca 2026 r. i przesuwa tylko część terminów – głównie dla systemów wysokiego ryzyka, na grudzień 2027 r. i sierpień 2028 r. Zakazy, kompetencje w zakresie AI, przepisy o modelach ogólnego przeznaczenia i obowiązki przejrzystości z art. 50 obowiązują bez zmian w harmonogramie.

Kto w Polsce kontroluje przestrzeganie AI Act?

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, utworzona ustawą z 3 lipca 2026 r. Jest organem nadzoru rynku i pojedynczym punktem kontaktowym dla instytucji UE. Współpracuje z UODO, KNF, UOKiK, KRRiT i innymi organami. Nadzór nad dostawcami modeli AI ogólnego przeznaczenia sprawuje natomiast Komisja Europejska za pośrednictwem Urzędu ds. AI.

Gdzie stoi Państwa organizacja? Odpowiedź w 40 minut

Zamiast zaczynać od pustej kartki, można uzyskać politykę AI i dokumenty AI governance napisane na podstawie własnych odpowiedzi. Bezpłatna ocena Opsio ma 14 kroków i trwa około 40 minut. Po wysłaniu powstają cztery dokumenty: ramy zarządzania AI, polityka korzystania z AI, checklista weryfikacji dostawców AI i wzór oceny ryzyka AI, a także obraz dojrzałości w dziesięciu obszarach. Pytania są po polsku, a dokumenty powstają po angielsku jako edytowalne pliki Word. Nie ma opłat ani zobowiązań.

Ten artykuł ma charakter ogólnoinformacyjny i nie stanowi porady prawnej. Stan prawny na październik 2026 r. Przed podjęciem decyzji należy sprawdzić skonsolidowany tekst rozporządzenia (UE) 2024/1689 w brzmieniu zmienionym rozporządzeniem (UE) 2026/1744 oraz ustawę z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).

Więcej z naszej bazy wiedzy: GPAI: modele AI ogólnego przeznaczenia w AI Act – obowiązki