AI Act po podpisaniu ustawy przez Prezydenta RP: co się zmieniło 2 sierpnia 2026 roku?

Wstęp

Po podpisaniu przez Prezydenta RP ustawy o systemach sztucznej inteligencji Polska ma krajowe ramy wdrażania unijnego AI Act, w tym organ nadzoru nad rynkiem AI. Równolegle przepisy unijnego rozporządzenia zaczynają obowiązywać etapami. Od 2 sierpnia 2026 r. podmioty stosujące systemy generujące treści mają obowiązek poinformowania odbiorców o tym, że dany materiał został wygenerowany lub zmodyfikowany przy użyciu AI. Natomiast przesunął się termin stosowania przepisów dotyczących systemów AI wysokiego ryzyka. Powodem jest czas potrzebny na dostosowanie tych systemów do nowych wymogów.

Dla organizacji oznacza to dwa równoległe komunikaty: część obowiązków przejrzystości jest już „tu i teraz”, a przygotowania do systemów wysokiego ryzyka należy kontynuować mimo wydłużonego harmonogramu, bo wdrożenie zmian technicznych, organizacyjnych i umownych i tak zajmuje miesiące.

AI Act - 2 sierpnia 2026: co wchodzi w życie

Obowiązek poinformowania o treści wygenerowanej przez AI

Od 2 sierpnia 2026 r. podmioty udostępniające tzw. deepfake w rozumieniu art. 3 pkt 60 AI Act (realistyczne obrazy oraz treści audio lub wideo przedstawiające osoby, przedmioty, miejsca lub wydarzenia, które zostały sztucznie wygenerowane albo zmienione i mogą zostać błędnie uznane za autentyczne) mają obowiązek poinformować odbiorcę, że materiał został wygenerowany lub zmodyfikowany przy użyciu AI.

Jeżeli treści stanowią część utworu lub programu o wyraźnie artystycznym, twórczym, satyrycznym, fikcyjnym lub analogicznym charakterze, obowiązek ogranicza się do odpowiedniego ujawnienia korzystania z systemu AI w produkcji w sposób, który nie utrudnia wyświetlania lub korzystania z utworu.

Obowiązek informacyjny dotyczy również tekstów publikowanych w celu informowania społeczeństwa o sprawach leżących w interesie publicznym, jeżeli zostały one wygenerowane lub zmodyfikowane przez sztuczną inteligencję. Obowiązek nie ma zastosowania, jeśli treści wygenerowane przez AI zostały poddane przeglądowi przez człowieka lub kontroli redakcyjnej, a odpowiedzialność redakcyjną za publikację tekstu ponosi osoba fizyczna lub prawna.

Dostawcy systemów generujących treści od 2 sierpnia muszą zapewnić, aby materiały dźwiękowe, wizualne, audiowizualne lub tekstowe mogły zostać rozpoznane jako wygenerowane albo zmodyfikowane przez sztuczną inteligencję. W tym celu treści powinny być oznaczane w formacie nadającym się do odczytu maszynowego. Zastosowane rozwiązania powinny być skuteczne, interoperacyjne, niezawodne i technicznie możliwe do wdrożenia, z uwzględnieniem rodzaju treści, kosztów wdrożenia oraz aktualnego stanu wiedzy technicznej.

Zmiany terminów przyjęte w ramach unijnego pakietu upraszczającego, określanego jako AI Omnibus, przewidują okres przejściowy dla niektórych systemów generatywnych wprowadzonych do obrotu lub oddanych do użytku przed 2 sierpnia 2026 r. Dostawcy takich systemów otrzymali czas do 2 grudnia 2026 r. na dostosowanie ich do technicznych obowiązków dotyczących oznaczania treści. Materiały wygenerowane i udostępnione przed 2 sierpnia 2026 r. nie muszą być oznaczane wstecznie.

Obowiązek poinformowania o rozmowie z maszyną

Jedną z najważniejszych zmian obowiązujących od 2 sierpnia 2026 r. są wymagania dotyczące przejrzystości. Osoba korzystająca z systemu AI powinna zostać w sposób jasny poinformowana, że prowadzi interakcję z maszyną, jeżeli nie jest to oczywiste. Dotyczy to m.in. chatbotów, wirtualnych asystentów i automatycznych systemów obsługi użytkowników. Informacja powinna zostać przekazana najpóźniej przy pierwszym kontakcie oraz w sposób jasny, zrozumiały i dostępny, również dla osób ze szczególnymi potrzebami.

Obowiązek poinformowania osób, których dotyczy działanie systemu, obejmie także wykorzystywanie systemów rozpoznawania emocji oraz systemów kategoryzacji biometrycznej. Organizacje korzystające z takich rozwiązań powinny zadbać nie tylko o przekazanie odpowiedniej informacji, lecz także o zgodność przetwarzania danych osobowych z przepisami o ochronie danych. AI Act nie zastępuje ogólnego rozporządzenia o ochronie danych ani innych regulacji chroniących prywatność. Przepisy te należy stosować równolegle.

Przykłady wdrożenia obowiązku informacyjnego

Poniżej przykładowe treści i sposoby wdrożenia. To ilustracje praktyczne, a nie gotowe wzory prawne. W organizacji warto je dopasować do kanału, języka odbiorcy i polityki dostępności.

Chatbot i wirtualny asystent

Przykład wdrożenia: komunikat widoczny przed pierwszą wiadomością użytkownika (baner, karta powitalna, głosowa zapowiedź w IVR) oraz stała etykieta w nagłówku okna czatu. Informacja nie znika po pierwszej odpowiedzi modelu.

„Rozmawiasz z asystentem AI firmy X. To system automatyczny, a nie człowiek. Jeśli chcesz połączyć się z konsultantem, napisz „człowiek” lub wybierz opcję „połącz z doradcą”.”
„Witamy w pomocy online. Odpowiedzi generuje wirtualny asystent oparty na sztucznej inteligencji. W sprawach wymagających decyzji indywidualnej możesz w każdej chwili poprosić o kontakt z pracownikiem.”

Deepfake i treści audiowizualne

Przykład wdrożenia: widoczna etykieta w opisie materiału, napis na początku i końcu nagrania oraz metadane lub watermark w formacie nadającym się do odczytu maszynowego (np. oznaczenie w pliku, C2PA lub inny przyjęty standard w organizacji).

„Ten materiał wideo został wygenerowany albo zmodyfikowany przy użyciu sztucznej inteligencji i może przedstawiać osoby lub wydarzenia w sposób nierzeczywisty.”
„Uwaga: głos w nagraniu został zsyntetyzowany przez AI na podstawie wcześniejszej zgody osoby, której dotyczy.”

Tekst informacyjny o sprawach leżących w interesie publicznym

Przykład wdrożenia: stała informacja pod tytułem lub w stopce artykułu. Jeśli tekst przeszedł kontrolę redakcyjną i odpowiedzialność za publikację ponosi redakcja lub osoba fizyczna/prawna, obowiązek oznaczania AI może nie mieć zastosowania. Wtedy warto mieć wewnętrzny ślad: kto weryfikował i kiedy.

„Część treści tego artykułu została przygotowana z pomocą sztucznej inteligencji. Tekst został przejrzany i zredagowany przez zespół redakcyjny przed publikacją.”
„Materiał wygenerowany przy użyciu AI. Redakcja nie przeprowadziła pełnej kontroli merytorycznej każdego fragmentu. Sprawdź źródła przed dalszym wykorzystaniem informacji.”

Utwór artystyczny, satyryczny lub fikcyjny

Przykład wdrożenia: krótkie ujawnienie w napisach końcowych, w opisie wydarzenia lub w stopce produkcji, tak by nie utrudniało odbioru dzieła.

„W produkcji wykorzystano narzędzia AI do wygenerowania części scenerii i efektów dźwiękowych.”

System rozpoznawania emocji lub kategoryzacji biometrycznej

Przykład wdrożenia: informacja przed uruchomieniem kamery lub mikrofonu, plus zapis w polityce prywatności i w punkcie zbierania zgody (jeśli wymaga tego RODO).

„Ten system może analizować cechy biometryczne lub sygnały emocjonalne na podstawie obrazu/dźwięku. Wynik służy wyłącznie do [cel]. Dane są przetwarzane zgodnie z polityką prywatności. Możesz odmówić korzystania z tej funkcji.”

Czym są systemy AI wysokiego ryzyka

Systemy wysokiego ryzyka to zastosowania AI, które według AI Act mogą istotnie wpływać na zdrowie, bezpieczeństwo lub prawa podstawowe osób. Nie chodzi o „każdy chatbot” ani o każde narzędzie generatywne. Chodzi o konkretne zastosowania wymienione w rozporządzeniu, zwłaszcza w załączniku III, oraz o AI będące elementem bezpieczeństwa produktu regulowanego unijnymi przepisami sektorowymi (załącznik I).

Typowe obszary z załącznika III obejmują m.in.:

Biometria: określone systemy identyfikacji, kategoryzacji biometrycznej lub rozpoznawania emocji (z uwzględnieniem wyjątków i zakazów).
Infrastruktura krytyczna: AI wpływająca na bezpieczeństwo zarządzania i eksploatacji sieci (np. woda, energia, transport).
Edukacja i szkolenia: decyzje o przyjęciu, ocenie wyników nauki, przypisaniu poziomu kształcenia lub monitorowaniu niedozwolonych zachowań podczas egzaminów.
Zatrudnienie: rekrutacja i selekcja (np. filtrowanie CV, ocena kandydatów), decyzje o awansie lub zakończeniu współpracy, przydział zadań albo monitoring wydajności pracowników.
Dostęp do usług podstawowych: m.in. ocena zdolności kredytowej osób fizycznych (z wyjątkiem wykrywania oszustw finansowych) oraz określone zastosowania w ubezpieczeniach lub świadczeniach publicznych.
Wymiar sprawiedliwości, organy ścigania, migracja i kontrola granic: m.in. ocena ryzyka, wsparcie decyzji procesowych lub określonych procedur administracyjnych.

Sama nazwa marketingowa narzędzia nie rozstrzyga klasyfikacji. Liczy się przeznaczenie i sposób użycia. System wspierający wyłącznie zadania przygotowawcze, bez istotnego wpływu na decyzję dotyczącą osoby, może w określonych przypadkach nie kwalifikować się jako wysokiego ryzyka (zgodnie z art. 6 AI Act). Taką ocenę warto dokumentować wraz z prawnikiem i właścicielem procesu.

Jakie regulacje mogą dotyczyć systemów wysokiego ryzyka

AI Act nakłada na dostawców i podmioty wdrażające (deployerów) m.in. obowiązki związane z systemem zarządzania ryzykiem, jakością i reprezentatywnością danych, dokumentacją techniczną, rejestracją w unijnym systemie (tam gdzie dotyczy), logowaniem zdarzeń, nadzorem człowieka, testami dokładności oraz cyberbezpieczeństwem. W praktyce dochodzą też inne warstwy prawa, które stosuje się równolegle:

RODO: legalność przetwarzania, minimalizacja, DPIA (art. 35), prawa osób, szczególnie przy profilowaniu i zautomatyzowanych decyzjach mających skutki prawne lub podobnie istotne.
Prawo pracy i antydyskryminacyjne: przy AI w rekrutacji, ocenie pracowników lub monitoringu wydajności.
Prawo konsumenckie i sektorowe (np. finanse, ubezpieczenia, edukacja): wymogi przejrzystości, wyjaśnialności decyzji i ścieżki odwołania.
Przepisy o bezpieczeństwie produktów (załącznik I): gdy AI jest komponentem bezpieczeństwa maszyny, urządzenia medycznego, zabawki lub innego produktu objętego unijną harmonizacją.
Umowy z dostawcami chmury i modeli: DPA, przepływ danych, audytowalność logów, przenoszenie wymagań AI Act na podwykonawców (flow-down).

Zmiany w harmonogramie (AI Omnibus)

Pierwotny harmonogram przewidywał rozpoczęcie stosowania części przepisów dotyczących systemów wysokiego ryzyka 2 sierpnia 2026 r., a w przypadku systemów związanych z produktami regulowanymi 2 sierpnia 2027 r. Terminy te zostały przesunięte przez pakiet nowelizujący rozporządzenie (AI Omnibus).

Przepisy dotyczące systemów wysokiego ryzyka wymienionych w załączniku III do AI Act będą stosowane od 2 grudnia 2027 r. W odniesieniu do systemów AI wysokiego ryzyka, które są elementami produktów objętych unijnymi przepisami dotyczącymi bezpieczeństwa, termin rozpoczęcia stosowania odpowiednich wymagań został przesunięty na 2 sierpnia 2028 r.

Przesunięcie terminów ma umożliwić przygotowanie norm, narzędzi i procedur potrzebnych do jednolitego stosowania wymagań w całej Unii. Nie oznacza jednak, że organizacje powinny wstrzymać przygotowania. Dostosowanie systemów wysokiego ryzyka może wymagać zmian technicznych, organizacyjnych i umownych, których wdrożenie będzie czasochłonne.

Przykłady przygotowania do wymogów wysokiego ryzyka

HR: narzędzie filtrujące CV. Karta use case, ocena czy zastosowanie wpada do załącznika III, DPIA, zakaz wyłącznie automatycznej decyzji o odrzuceniu bez udziału rekrutera, logi i możliwość wyjaśnienia wyniku kandydatowi.
Bankowość: scoring kredytowy. Dokumentacja modelu, testy biasu, nadzór człowieka przy decyzjach negatywnych, informacja dla klienta o prawie do wyjaśnienia i odwołania, umowy z dostawcą modelu.
Uczelnia: system oceniający prace lub kierujący ścieżką nauki. Jasny właściciel systemu, weryfikacja przez prowadzącego, polityka retencji danych studentów, rejestr ryzyk i procedura skargi.
Producent urządzenia: AI w komponencie bezpieczeństwa. Harmonogram pod termin 2028, powiązanie z oceną zgodności produktu, testy i dokumentacja techniczna wspólna dla AI Act i przepisów sektorowych

Obowiązki stosowane przed 2 sierpnia 2026 r.

Od 2 lutego 2025 r. stosowane są m.in. zakazy dotyczące niedopuszczalnych praktyk AI oraz wymagania związane z rozwijaniem kompetencji w zakresie sztucznej inteligencji. 2 sierpnia 2026 r. nie jest więc „startem AI Act od zera”, tylko kolejnym etapem w już działającym harmonogramie.

Sposób egzekwowania przepisów

Od 2 sierpnia 2026 r. Komisja Europejska może korzystać z pełnych uprawnień w zakresie egzekwowania obowiązków dotyczących modeli AI ogólnego przeznaczenia. Komisja będzie mogła żądać informacji i dokumentacji, przeprowadzać oceny modeli, wymagać działań ograniczających ryzyko oraz nakładać sankcje.

Co to oznacza w praktyce dla organizacji

Jeśli w firmie działają chatboty, asystenci, generatory treści marketingowych lub treści audiowizualnych, warto od razu sprawdzić trzy rzeczy:

Czy użytkownik jest jasno informowany, że rozmawia z maszyną, najpóźniej przy pierwszym kontakcie i w formie dostępnej także dla osób ze szczególnymi potrzebami.
Czy materiały mogące zostać uznane za autentyczne (w tym deepfake oraz teksty o sprawach leżących w interesie publicznym) są odpowiednio oznaczane, a wyjątki (sztuka, satyra, kontrola redakcyjna) są udokumentowane.
Czy dostawcy systemów generatywnych wdrożyli lub planują oznaczanie maszynowo odczytywalne, z uwzględnieniem okresu przejściowego do 2 grudnia 2026 r. dla systemów wprowadzonych wcześniej.

Równolegle warto kontynuować mapowanie systemów wysokiego ryzyka (załącznik III oraz systemy w produktach regulowanych): przesunięcie terminów na grudzień 2027 i sierpień 2028 r. daje czas, ale nie usuwa obowiązków dokumentacyjnych, nadzoru człowieka, jakości danych ani umów w łańcuchu dostaw.

Podsumowanie

2 sierpnia 2026 r. to przede wszystkim dzień przejrzystości: oznaczanie treści wygenerowanych lub zmodyfikowanych przez AI oraz jasna informacja o interakcji z maszyną. Jednocześnie AI Omnibus przesuwa terminy dla systemów wysokiego ryzyka, aby rynek i organy zdążyły przygotować normy i narzędzia. Dla organizacji sensowna strategia to wdrożyć obowiązki informacyjne już teraz, a przygotowania do wysokiego ryzyka prowadzić bez pauzy, bo czas na dostosowanie i tak jest ograniczony, nawet jeśli kalendarz regulacyjny się wydłużył. Jeżeli masz wątpliwości jak prawidłowo zmapować swoje rozwiązania i odpowiednio wdrożyć prawidłowe oznaczenia, zapraszamy do kontaktu z ESG Institute.