AI Act już obowiązuje. Twoja firma używa AI? Sprawdź, czy grozi Ci kara do 35 mln euro

Od 2 sierpnia 2026 r. w całej Unii Europejskiej, w tym w Polsce, weszły w życie kolejne przepisy unijnego rozporządzenia AI Act. To nie są jeszcze pełne obowiązki dla systemów wysokiego ryzyka – te przesunięto na 2027 i 2028 rok. Od teraz obowiązują jednak konkretne wymogi przejrzystości: musisz informować użytkowników, że rozmawiają z botem, oznaczać treści wygenerowane przez AI i ujawniać deepfake’i. Za naruszenie tych zasad grożą kary do 35 mln euro lub 7% globalnego rocznego obrotu firmy – w zależności od rodzaju przewinienia. 

Jeśli Twoja firma korzysta z ChatGPT, Copilota, generatorów grafik, chatbota na stronie albo jakiegokolwiek narzędzia AI w marketingu, obsłudze klienta czy HR – ten artykuł jest dla Ciebie. 

Co dokładnie zmieniło się 2 sierpnia 2026 roku? 

Wokół tej daty narosło sporo nieporozumień, bo latem 2026 r. instytucje unijne przyjęły tzw. Digital Omnibus, który przesunął część terminów. Wiele firm zrozumiało to jako znak, że jest jeszcze trochę czasu, więc można odłożyć temat na później. Niestety, w takim wypadku sytuacja się komplikuje. 

Faktycznie 2 sierpnia 2026 r. weszły w życie: 

• Obowiązki przejrzystości z art. 50 AI Act – dotyczą każdego podmiotu (nie tylko dostawców AI, ale też firm, które z takich narzędzi korzystają) i obejmują m.in. informowanie użytkowników o interakcji z chatbotem, oznaczanie treści wygenerowanych lub zmodyfikowanych przez AI oraz obowiązkowe ujawnianie deepfake’ów. 
• Realny nadzór rynku (rozdział IX rozporządzenia) – od tego dnia krajowe organy nadzorcze mogą prowadzić kontrole i faktycznie egzekwować przepisy, a nie tylko monitorować sytuację. 
• Kary dla dostawców modeli AI ogólnego przeznaczenia (GPAI) – Komisja Europejska zyskała możliwość nakładania sankcji finansowych na dostawców dużych modeli językowych, które naruszają swoje obowiązki. 

To, co faktycznie przesunięto, to pełne wdrożenie obowiązków dla tzw. systemów wysokiego ryzyka – więcej o tym w dalszej części artykułu. Innymi słowy: nie dostałeś dodatkowego roku na całkowite zignorowanie tematu, tylko dodatkowy czas na dostosowanie konkretnej, węższej kategorii systemów. 

Czy AI Act dotyczy mojej firmy? 

Krótka odpowiedź: prawdopodobnie tak, jeśli w jakikolwiek sposób korzystasz z narzędzi AI w kontakcie z klientami, pracownikami lub wykorzystujesz je w procesach decyzyjnych. 

Rozporządzenie rozróżnia dwie główne role: 

• Provider (dostawca) – firma, która tworzy lub rozwija system AI i wprowadza go na rynek. Ma najwięcej obowiązków: pełną dokumentację techniczną, rejestrację w unijnej bazie danych, systemy zarządzania ryzykiem. 
• Deployer (podmiot stosujący) – firma, która korzysta z gotowego narzędzia AI w swojej działalności. To dotyczy zdecydowanej większości polskich MŚP. Jeśli używasz ChatGPT Enterprise, Claude czy Copilota do automatyzacji procesów wewnętrznych, formalnie nie masz obowiązków dostawcy, ale masz obowiązki deployera – musisz np. udokumentować, jak i po co korzystasz z danego narzędzia. 

Praktyczne przykłady, które dotyczą małych i średnich firm 

• Masz na stronie chatbota obsługującego klientów? Musisz poinformować użytkownika, że rozmawia z maszyną, a nie z człowiekiem. 
• Publikujesz w social mediach grafiki lub wideo wygenerowane przez AI? W określonych przypadkach musisz je oznaczyć jako treść syntetyczną. 
• Wykorzystujesz AI do wstępnej selekcji CV lub oceny pracowników? To może już wchodzić w obszar systemów wysokiego ryzyka – tu obowiązki są dużo szersze. 
• Korzystasz z narzędzi do analizy emocji klientów albo rozpoznawania biometrycznego? Część takich zastosowań może być wręcz zakazana. 

Ile realnie wynoszą kary za brak zgodności z AI Act? 

Wysokość sankcji zależy od rodzaju naruszenia. AI Act przewiduje trzy progi kar: 

Rodzaj naruszenia	Maksymalna kara
Stosowanie zakazanych praktyk AI (art. 5)	35 mln euro lub 7% globalnego rocznego obrotu firmy (wyższa z kwot)
Naruszenie innych obowiązków, w tym dot. systemów wysokiego ryzyka i modeli GPAI	15 mln euro lub 3% globalnego rocznego obrotu firmy
Podanie organom nadzorczym nieprawidłowych, niepełnych lub wprowadzających w błąd informacji	7,5 mln euro lub 1% globalnego rocznego obrotu firmy

Dla małych i średnich przedsiębiorstw oraz startupów rozporządzenie przewiduje pewne złagodzenie – w ich przypadku pod uwagę bierze się niższą z dwóch wskazanych wartości (kwotę stałą albo procent obrotu), a nie automatycznie wyższą. To nie znaczy jednak, że MŚP są zwolnione z obowiązków – tylko że skala kar jest bardziej proporcjonalna do wielkości biznesu. 

Systemy wysokiego ryzyka – czy naprawdę mam więcej czasu? 

Tu jest najwięcej zamieszania. Digital Omnibus przesunął stosowanie przepisów o systemach wysokiego ryzyka na dwa nowe terminy: 

• 2 grudnia 2027 r. – dla systemów z Załącznika III (m.in. rekrutacja, ocena zdolności kredytowej, edukacja, niektóre zastosowania w administracji publicznej). 
• 2 sierpnia 2028 r. – dla systemów z Załącznika I, czyli produktów regulowanych innymi przepisami (np. maszyny, sprzęt medyczny, motoryzacja). 

Brzmi jak komfortowy zapas czasu, ale prawnicy zajmujący się AI Act powtarzają jedno: to nie jest powód, żeby odkładać przygotowania. Klasyfikacja systemów, które Twoja firma wykorzystuje, ocena ryzyka, dokumentacja i przeszkolenie osób odpowiedzialnych za nadzór nad AI to proces, który realnie trwa miesiącami – a organy nadzorcze zaczną kontrolować zgodność właśnie wtedy, gdy terminy miną, nie wcześniej. 

Co więcej, w Polsce krajowy organ nadzoru ma już nazwę i podstawę prawną, ale jeszcze nie działa. 24 lipca 2026 r. prezydent podpisał ustawę o systemach sztucznej inteligencji, która powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – docelowy krajowy organ nadzoru rynku AI. Realnie Komisja ma jednak zacząć działać dopiero w listopadzie 2026 r., bo ustawa daje Sejmowi dwa miesiące na powołanie przewodniczącego i trzy miesiące na skompletowanie całego składu. Przez kilka miesięcy powstaje więc sytuacja, w której przepisy już obowiązują, ale organ mający je w Polsce egzekwować dopiero się organizuje. To nie zwalnia jednak firm z obowiązków wynikających bezpośrednio z unijnego rozporządzenia, które obowiązuje niezależnie od tempa budowy krajowej infrastruktury nadzoru. 

Pełny kalendarz wdrażania AI Act 

Żeby uniknąć dalszej dezorientacji, warto mieć cały harmonogram w jednym miejscu: 

Data	Co wchodzi w życie
2 lutego 2025	Zakaz niedopuszczalnych praktyk AI oraz obowiązek zapewnienia kompetencji AI wśród pracowników
2 sierpnia 2025	Obowiązki dostawców modeli AI ogólnego przeznaczenia (GPAI) oraz wyznaczenie organów nadzoru przez państwa członkowskie
2 sierpnia 2026	Obowiązki przejrzystości (art. 50), pełen nadzór rynku, kary dla dostawców GPAI
2 grudnia 2027	Obowiązki dla systemów wysokiego ryzyka z Załącznika III (rekrutacja, ocena zdolności kredytowej, edukacja, administracja)
2 sierpnia 2028	Obowiązki dla systemów wysokiego ryzyka z Załącznika I (produkty regulowane – maszyny, sprzęt medyczny, motoryzacja)
2 sierpnia 2030	Ostateczny, bezwzględny termin dostosowania dla systemów wysokiego ryzyka używanych przez sektor publiczny

Widać na tym harmonogramie wyraźnie, że AI Act to proces rozłożony na lata, a nie jedno wydarzenie. Firmy, które już teraz uporządkują temat AI wewnętrznie, unikną gorączkowego nadrabiania zaległości przy każdym kolejnym terminie. 

Co zrobić już teraz? Praktyczna checklista 

Zamiast czekać na kontrolę, warto w ciągu najbliższych kilku miesięcy przejść przez prosty proces porządkowania tematu AI w firmie: 

1. Zmapuj wszystkie systemy AI używane w organizacji – nie tylko oficjalne narzędzia, ale też tzw. shadow AI, czyli aplikacje, z których korzystają pojedynczy pracownicy bez wiedzy działu IT. 
2. Ustal, czy jesteś providerem czy deployerem dla każdego z tych systemów – to determinuje zakres Twoich obowiązków. 
3. Sprawdź, czy generujesz lub publikujesz treści oznaczone jako pochodzące od AI – zwłaszcza w marketingu, komunikacji z klientami i social mediach. 
4. Zweryfikuj, czy żaden z Twoich systemów nie mieści się w kategorii zakazanych praktyk – szczególną uwagę warto zwrócić na analizę emocji pracowników i biometryczną kategoryzację. 
5. Oceń, czy któryś z systemów może zostać uznany za wysokiego ryzyka – jeśli tak, zacznij budować dokumentację już teraz, mimo że twardy termin jest odległy. 
6. Przygotuj wewnętrzną politykę korzystania z AI – prosty dokument regulujący, jakich narzędzi wolno używać, do czego i z jakim nadzorem. 

Jak SOFTIQ może pomóc 

W SOFTIQ na co dzień wdrażamy narzędzia AI w firmach różnej wielkości – od automatyzacji pojedynczych procesów po pełne systemy oparte na sztucznej inteligencji, jak narzędzie SOFTIQ AI: Przetargi.io. Dokładnie wiemy, gdzie w praktyce leżą pytania o zgodność z AI Act: które narzędzie liczy się jako system wysokiego ryzyka, jak udokumentować sposób wykorzystania AI w firmie i jak zaprojektować wdrożenie tak, żeby nie trzeba było go później przerabiać pod nowe wymogi regulacyjne. Jeśli zastanawiasz się, czy Twoje obecne wdrożenia AI są zgodne z przepisami – to dobry moment, żeby to sprawdzić, zanim zrobi to za Ciebie organ nadzorczy. 

Najczęściej zadawane pytania o AI Act 

_{Artykuł aktualny na sierpień 2026 r. Przepisy AI Act oraz harmonogram ich wdrażania mogą ulegać dalszym zmianom – przed podjęciem decyzji biznesowych warto skonsultować się z prawnikiem specjalizującym się w prawie nowych technologii.}