Obowiązki wynikające z AI Act w 2026 r. - nowy harmonogram Digital Omnibus i polska ustawa o systemach AI
Obowiązki wynikające z AI Act w 2026 r. - nowy harmonogram Digital Omnibus i polska ustawa o systemach AI.
W debacie publicznej unijny Akt o Sztucznej Inteligencji (AI Act) jest często błędnie sprowadzany do roli ogólnej „polityki cyfrowej” lub zbioru niewiążących wytycznych etycznych.
Dla przedsiębiorców operujących na jednolitym rynku unijnym takie uproszczenie może stać się źródłem dotkliwych ryzyk finansowych i prawnych.
Należy wyraźnie podkreślić: AI Act to w swej istocie rygorystyczne rozporządzenie o bezpieczeństwie produktu.
Data 7 maja 2026 roku, i ogłoszenie pakietu zmian Digital Omnibus AI, przynosi fundamentalną aktualizację mapy drogowej wdrażania tych przepisów.
Kluczową wiadomością dla rynku jest znaczące przesunięcie terminów wejścia w życie wymogów dla systemów wysokiego ryzyka, co daje firmom niezbędny czas na dostosowanie się do nowej rzeczywistości regulacyjnej.
Zmiana terminów - jaki jest dodatkowy czas na zgodność?
Ustawodawca unijny, dostrzegając złożoność techniczną nowych obowiązków, zdecydował się na odejście od pierwotnej daty 2 sierpnia 2026 r.
Nowy harmonogram przewiduje:
- nowy termin dla wdrożenia rozwiązań zapewniających transparentność treści generowanych przez AI - 2 grudnia 2026 r.
- Przy systemach wysokiego ryzyka (m.in. biometria, infrastruktura krytyczna, edukacja, zatrudnienie) – obowiązek pełnej zgodności został przesunięty na 2 grudnia 2027 r.
- 2 sierpnia 2028 r. – termin dla systemów wbudowanych: Termin dla AI, będącego komponentem bezpieczeństwa w produktach objętych przepisami sektorowymi (np. przemysł, transport).
Zmiana podejścia: AI jako przedmiot regulacji bezpieczeństwa
Tradycyjnie bezpieczeństwo produktu kojarzono z integralnością fizyczną. AI Act rozszerza tę definicję na sferę cyfrową i decyzyjną. Jeśli system AI wpływa na dostęp do zatrudnienia, usług finansowych czy opieki zdrowotnej, staje się produktem wysokiego ryzyka. Oznacza to, że algorytm musi zostać poddany procedurom kontroli, testowania i stałego monitorowania.
Co zakłada nowy projekt polskiej ustawy o AI Act?
Projekt zakłada powołanie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).
Jako centralny organ nadzoru rynku, Komisja zostanie wyposażona w szerokie kompetencje władcze. Będzie ona organem posiadającym uprawnienia kontrolne m.in prawo dostępu do dokumentacji technicznej, zbiorów danych oraz kodu źródłowego systemów AI.
Oprócz tego, komisja będzie uprawniona do nakładania kar finansowych (do 35 mln EUR lub 7% globalnego obrotu) oraz wydawania nakazów natychmiastowego wycofania systemów z rynku.
Pojawia się również możliwość wydawania wiążących opinii indywidualnych, mających na celu zwiększenie pewności prawnej przedsiębiorców.
Jakie pojawiają się nowe nakazy w ramach pakietu Omnibus?
Ważnym elementem pakietu Omnibus VII jest wprowadzenie bezwzględnych zakazów dotyczących najbardziej szkodliwych zastosowań AI:
- Generowanie treści ingerujących w sferę prywatną bez zgody zainteresowanych (NCII – Non-Consensual Intimate Images).
- Tworzenie materiałów typu CSAM (Child Sexual Abuse Material).
Te przepisy mają stać się fundamentem cyfrowego bezpieczeństwa obywateli UE.
Jaki jest zakres obowiązków przedsiębiorców w łańcuchu dostaw?
Zakres obowiązków zależy od tego, jaką funkcję pełni firma względem systemu AI:
Dostawca (Provider) to firma, która opracowuje system AI (lub zleca jego opracowanie) i wprowadza go do obrotu pod własną marką. Ponosi najszerszą odpowiedzialność m.in. odpowiada za certyfikację i dokumentację techniczną
Podmiot stosujący (Deployer), czyli firma wykorzystująca system AI w ramach działalności zawodowej (np. bank używający algorytmu do oceny kredytowej lub dział HR korzystający z AI do analizy CV).
Importer lub Dystrybutor: Podmioty wprowadzające systemy spoza UE na rynek unijny – muszą upewnić się, że dostawca dopełnił procedur oceny zgodności.
Jakie są obowiązki dla systemów wysokiego ryzyka (tzw. High-Risk AI)?
Dla firm, wykorzystujących sztuczną inteligencję w obszarach wrażliwych, takich jak rekrutacja, finanse czy szeroko rozumiane zarządzanie pracownikami, przepisy nakładają szereg rygorystycznych i konkretnych wymogów operacyjnych, które muszą zostać zintegrowane z codzienną działalnością przedsiębiorstwa.
Kluczowym filarem jest wdrożenie kompleksowego Systemu Zarządzania Ryzykiem, w ramach którego przedsiębiorca ma obowiązek ustanowić i rzetelnie dokumentować proces ciągłej identyfikacji oraz ograniczania ryzyk związanych z systemem AI przez cały cykl jego funkcjonowania.
Kolejny istotny aspekt to Dokumentacja Techniczna i Logowanie, wymuszające na firmie posiadanie pełnej i aktualnej specyfikacji systemu, przy jednoczesnym zapewnieniu automatycznego rejestrowania zdarzeń - ten aspekt systemowy jest niezbędny, aby każda decyzja podjęta przez algorytm była w pełni możliwa do odtworzenia, zweryfikowania i poddania zewnętrznemu audytowi.
Wszystkie te działania dopełnia wymóg sprawowania Nadzoru Ludzkiego (Human Oversight), który kategorycznie wyklucza pełną autonomię systemów wysokiego ryzyka. W praktyce oznacza to, że każda firma musi wyznaczyć wykwalifikowane osoby odpowiedzialne za bieżący nadzór nad sztuczną inteligencją, wyposażając je w realne narzędzia i uprawnienia, pozwalające na natychmiastowe zatrzymanie systemu w przypadku wykrycia błędu lub nieprawidłowości.
Jakie są obowiązki dla wszystkich firm?
Obowiązkiem wszystkich przedsiębiorców jest transparentność. Nawet jeśli firma nie korzysta z systemów wysokiego ryzyka, podlega ogólnym wymogom przejrzystości - według nowego harmonogramu: od grudnia 2026 r.
Oznacza to obowiązek informowania klientów, czy to użytkowników np. na stronie internetowej, że wchodzi się w interakcję z AI (np. popularne chatboty).
Takim oobowiązkiem pozostaje także wymóg znakowania treści (watermarking). Oznacza to, że treści generowane przez AI (obrazy, filmy) muszą być oznaczone sposób umożliwiający ich identyfikację przez inne systemy i użytkowników.
Kroki wdrożeniowe dla przedsiębiorców:
Przejście AI do sfery regulowanej prawem unijnym i krajowym oznacza dla kadry zarządzającej to, że ryzyko technologiczne staje się obecnie ryzykiem prawnym i finansowym.
Poniżej przedstawiamy rekomendowane działania:
- Identyfikacja wszystkich systemów algorytmicznych AI używanych w firmie;
- Ocena klasyfikacji tj. sprawdzenie, czy dane rozwiązanie mieści się w kategorii „wysokiego ryzyka”;
- Weryfikacja, czy zewnętrzni dostawcy narzędzi AI gwarantują zgodność z nowym reżimem prawnym;
- Budowa kompetencji w zakresie etyki i nadzoru nad sztuczną inteligencją wśród pracowników.
Jakie jest ryzyko finansowe i nadzór krajowy?
W Polsce organem egzekwującym te obowiązki będzie wcześniej wspomniana Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI).
Ma ona posiadać uprawnienia do:
- Przeprowadzania zdalnych kontroli systemów informatycznych firm.
- Nakładania kar finansowych sięgających 35 mln EUR lub 7% globalnego obrotu.
- Wycofania niebezpiecznego systemu AI z rynku w ciągu 7 dni.
Pakiet Digital Omnibus AI z 7 maja 2026 r. daje przedsiębiorcom dodatkowy czas na dostosowanie procesów, ale jednocześnie nie pozostawia złudzeń co do istnienia obowiązku stosowania nowych przepisów, dotyczących sztucznej inteligencji.
Transparentność i audytowalność stają się nowymi standardami rynkowymi, których zlekceważenie może narazić firmę na poważne sankcje.
Autorzy: Natalia Ptaszek, Julia Armata.
Potrzebujesz pomocy z wdrożeniem AI Act w firmie czy analizę odnośnie tego do jakiej grupy podmiotów się zaliczasz?
Skontaktuj się z nami, przeprowadzimy audyt pod kątem wdrożenia AI Act i pomożemy wdrożyć przepisy o sztucznej inteligencji w Twojej firmie: Kontakt.
