AI Act i polska ustawa o systemach sztucznej inteligencji – kompendium dla spółek

Kompleksowy przegląd obowiązków wynikających z unijnego rozporządzenia o sztucznej inteligencji oraz z polskiej ustawy o systemach sztucznej inteligencji

Szanowni Państwo,

unijne rozporządzenie w sprawie sztucznej inteligencji, tzw. AI Act (rozporządzenie (UE) 2024/1689, w brzmieniu nadanym rozporządzeniem (UE) 2026/1744), obowiązuje od 1 sierpnia 2024 r. i jest wdrażane etapami, których terminy określa rozporządzenie (UE) 2026/1744, tzw. Digital Omnibus on AI, które weszło w życie 27 lipca 2026 r. Równolegle w Polsce obowiązuje już ustawa o systemach sztucznej inteligencji z dnia 3 lipca 2026 r. (Dz. U. z 2026 r. poz. 1003), podpisana przez Prezydenta RP i tworząca krajowy organ nadzoru rynku – Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji.

W niniejszym newsletterze przedstawiamy całościowe, aktualne zestawienie najważniejszych obowiązków wynikających z obu aktów prawnych, w zakresie istotnym dla spółek korzystających z systemów sztucznej inteligencji lub je dostarczających.

1. Harmonogram – stan na dziś

Rozporządzenie AI Act (2024/1689)

• 1 sierpnia 2024 r. – wejście w życie rozporządzenia AI Act.
• 2 lutego 2025 r. – zaczęły obowiązywać rozdziały I–II, w tym katalog zakazanych praktyk w zakresie AI (art. 5).
• 2 sierpnia 2025 r. – zaczęły obowiązywać przepisy o jednostkach notyfikowanych, obowiązki dostawców modeli AI ogólnego przeznaczenia (GPAI) oraz przepisy o governance.
• 2 sierpnia 2026 r. – zaczęły obowiązywać: obowiązki przejrzystości z art. 50 (informowanie o interakcji z chatbotem, ujawnianie deepfake, oznaczanie treści syntetycznych – z okresem przejściowym opisanym niżej), przepisy o nadzorze rynku oraz kary dla dostawców modeli GPAI z art. 101.
• 2 grudnia 2026 r. – wejdzie w życie zakaz z art. 5: systemy AI generujące niekonsensualne treści intymne (tzw. „nudifiery”) oraz materiały przedstawiające seksualne wykorzystywanie dzieci (CSAM); tego dnia upływa też okres przejściowy na wdrożenie znakowania treści syntetycznych dla systemów wprowadzonych na rynek przed 2 sierpnia 2026 r.
• 2 sierpnia 2027 r. – termin utworzenia przez państwa członkowskie krajowych piaskownic regulacyjnych w zakresie AI.
• 2 grudnia 2027 r. – zaczną obowiązywać wymogi dla samodzielnych systemów wysokiego ryzyka z załącznika III (m.in. rekrutacja, ocena i zwalnianie pracowników, ocena kredytowa, edukacja).
• 2 sierpnia 2028 r. – zaczną obowiązywać zasady klasyfikacji i wymogi dla systemów wysokiego ryzyka powiązanych z produktami objętymi unijnym prawodawstwem harmonizacyjnym (załącznik I – m.in. maszyny, zabawki, wyroby medyczne, sprzęt lotniczy).

Polska ustawa o systemach sztucznej inteligencji – stan faktyczny

• 3 lipca 2026 r. – uchwalenie ustawy przez Sejm (po rozpatrzeniu poprawek Senatu).
• 24 lipca 2026 r. – podpisanie ustawy przez Prezydenta RP.
• 27 lipca 2026 r. – ogłoszenie w Dzienniku Ustaw (Dz. U. z 2026 r. poz. 1003); tego samego dnia weszła w życie delegacja do utworzenia komórki organizacyjnej obsługującej Komisję (art. 125 ust. 4 – dzień po ogłoszeniu, tj. 28 lipca 2026 r.).
• 11 sierpnia 2026 r. – weszła w życie zasadnicza część ustawy (14 dni od ogłoszenia): przepisy ogólne, utworzenie i organizacja Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, przepisy o jednostkach notyfikowanych oraz o piaskownicy regulacyjnej.
• 28 października 2026 r. – wejdą w życie (za ok. miesiąc) przepisy o opiniach indywidualnych (art. 8–18) oraz całe rozdziały o kontroli, postępowaniu w sprawie naruszeń, układzie w sprawie złagodzenia sankcji, karach administracyjnych i przepisach karnych (rozdziały 3–5, 8 i 9) – dopiero od tego dnia Komisja uzyska realne narzędzia kontroli i egzekwowania przepisów.

Uwaga – status prac nad obsadzeniem Komisji

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji formalnie istnieje, ale wciąż trwa jej obsadzanie personalne. 18 września 2026 r. Sejm powołał na Przewodniczącą Komisji Panią Pamelę Krzypkowską (271 głosów za), a kandydatura oczekuje obecnie na zgodę Senatu, która zgodnie z ustawą powinna zostać wyrażona w ciągu miesiąca od przekazania uchwały Sejmu (brak uchwały Senatu w tym terminie jest równoznaczny z wyrażeniem zgody). Do czasu pełnego ukonstytuowania się Komisji jej praktyczna zdolność do prowadzenia kontroli i wydawania opinii indywidualnych pozostaje ograniczona, mimo że odpowiednie przepisy formalnie wejdą w życie 28 października 2026 r.

2. Kogo dotyczą przepisy

AI Act obejmuje wszystkich uczestników łańcucha wartości systemu AI: dostawców, podmioty stosujące (operatorów), importerów, dystrybutorów oraz upoważnionych przedstawicieli, niezależnie od tego, czy mają siedzibę w UE, jeżeli system AI jest wprowadzany na rynek UE lub jego skutki występują na terenie Unii. Digital Omnibus rozszerzył ułatwienia dotychczas zarezerwowane dla MŚP (uproszczona dokumentacja techniczna, proporcjonalne wymogi systemu zarządzania jakością, priorytetowy dostęp do piaskownic regulacyjnych) także na „small mid-cap” – spółki zatrudniające do 500 pracowników.

Polska ustawa wprost wyłącza spod swojego zastosowania (zgodnie z rozporządzeniem i przepisami krajowymi):

• sprawy obronności i bezpieczeństwa narodowego (w tym działania służb specjalnych – ABW, AW, SKW, SWW),
• badania naukowe i prace rozwojowe – o ile nie obejmują testów w warunkach rzeczywistych,
• osoby fizyczne wykorzystujące systemy AI wyłącznie do celów osobistych, niezwiązanych z działalnością zarobkową ani gospodarczą,
• organy publiczne UE, agencje i podmioty UE w zakresie określonym w rozporządzeniu.

3. Zakazane praktyki w zakresie AI (art. 5 AI Act)

Rozporządzenie zakazuje bezwzględnie kategorii praktyk wymienionych poniżej. Ich naruszenie zagrożone jest najwyższymi karami przewidzianymi w rozporządzeniu. Osiem z nich obowiązuje już od 2 lutego 2025 r., a dziewiąta – dodana przez Digital Omnibus – wejdzie w życie 2 grudnia 2026 r.:

• Manipulacja podprogowa i wprowadzanie w błąd – systemy stosujące techniki poza świadomością danej osoby lub manipulacyjne, powodujące podjęcie decyzji wyrządzającej poważną szkodę.
• Wykorzystywanie słabości określonych grup osób (wiek, niepełnosprawność, sytuacja społeczna lub ekonomiczna) w celu istotnej zmiany ich zachowania.
• Scoring społeczny – ocena lub klasyfikacja osób na podstawie zachowania społecznego prowadząca do krzywdzącego lub nieproporcjonalnego traktowania.
• Profilowanie kryminalne – ocena ryzyka popełnienia przestępstwa wyłącznie na podstawie profilowania lub cech osobowości.
• Nieukierunkowane pozyskiwanie wizerunków twarzy (scraping) z internetu lub nagrań CCTV do tworzenia baz danych rozpoznawania twarzy.
• Rozpoznawanie emocji w miejscu pracy i instytucjach edukacyjnych, poza wyjątkami medycznymi i bezpieczeństwa.
• Kategoryzacja biometryczna służąca wnioskowaniu o rasie, poglądach politycznych, przynależności związkowej, religii lub orientacji seksualnej.
• Zdalna identyfikacja biometryczna w czasie rzeczywistym w przestrzeni publicznej do celów ścigania przestępstw – dopuszczalna tylko wyjątkowo i pod rygorystycznymi warunkami.
• Generowanie niekonsensualnych treści intymnych i materiałów CSAM – nowy zakaz obowiązujący od 2 grudnia 2026 r. Obejmuje nie tylko aplikacje stworzone wprost w tym celu, lecz także dostawców generatywnej AI ogólnego przeznaczenia, którzy nie wdrożyli rozsądnych zabezpieczeń przed takim nadużyciem ich narzędzi.

4. Systemy AI wysokiego ryzyka

System AI jest systemem wysokiego ryzyka, jeżeli: (1) stanowi związany z bezpieczeństwem element produktu objętego unijnym prawodawstwem harmonizacyjnym (załącznik I – np. maszyny, zabawki, wyroby medyczne) i podlega ocenie zgodności przez stronę trzecią, albo (2) należy do jednej z kategorii wymienionych w załączniku III, chyba że nie stwarza znaczącego ryzyka dla zdrowia, bezpieczeństwa lub praw podstawowych (co dostawca musi udokumentować).

Pełne stosowanie tych wymogów obowiązuje od 2 grudnia 2027 r. (załącznik III) oraz od 2 sierpnia 2028 r. (załącznik I). Warto już teraz rozpocząć przygotowania: audyt systemów, przygotowanie dokumentacji technicznej i wdrożenie procedur zgodności w średniej wielkości organizacji zajmuje zwykle kilka miesięcy.

Załącznik III obejmuje w szczególności:

• biometrię (zdalną identyfikację biometryczną, kategoryzację biometryczną wrażliwych cech, rozpoznawanie emocji),
• infrastrukturę krytyczną (zarządzanie ruchem drogowym, sieciami wodnymi, gazowymi, energetycznymi),
• kształcenie i szkolenie zawodowe (dostęp do placówek edukacyjnych, ocena efektów uczenia się, wykrywanie niedozwolonych zachowań na egzaminach),
• zatrudnienie i zarządzanie pracownikami – rekrutacja, ocena kandydatów, decyzje o awansie, wypowiedzeniu umowy o pracę, monitorowanie wydajności i zachowania pracowników – kategoria szczególnie istotna dla większości pracodawców,
• dostęp do podstawowych usług prywatnych i publicznych (świadczenia socjalne, scoring kredytowy, ubezpieczenia na życie i zdrowotne, dysponowanie służbami ratunkowymi),
• ściganie przestępstw, zarządzanie migracją i kontrolą graniczną oraz wymiar sprawiedliwości i procesy demokratyczne (w zakresie dozwolonym prawem UE i krajowym).

Dostawcy systemów wysokiego ryzyka mają obowiązki obejmujące m.in. system zarządzania ryzykiem, odpowiednią jakość danych treningowych, dokumentację techniczną, rejestrowanie zdarzeń, zapewnienie przejrzystości i instrukcji obsługi, nadzór ludzki, odpowiednią dokładność, odporność i cyberbezpieczeństwo, ocenę zgodności oraz rejestrację w unijnej bazie danych.

5. Obowiązki w zależności od roli w łańcuchu wartości

• Dostawca (art. 16) – projektuje lub rozwija system i wprowadza go do obrotu pod własną nazwą; ponosi najszerszy zakres obowiązków (zgodność, dokumentacja, ocena zgodności, oznakowanie CE).
• Upoważniony przedstawiciel (art. 22) – reprezentuje dostawcę spoza UE.
• Importer (art. 23) i dystrybutor (art. 24) – weryfikują zgodność systemu przed wprowadzeniem go na rynek UE lub udostępnieniem na rynku.
• Podmiot stosujący / operator (art. 26) – najczęstsza rola większości spółek korzystających z gotowych narzędzi AI. Obowiązki obejmują m.in. stosowanie systemu zgodnie z instrukcją, zapewnienie nadzoru ludzkiego, monitorowanie działania systemu, prowadzenie rejestrów zdarzeń oraz – co istotne w kontekście zatrudnienia – informowanie pracowników i ich przedstawicieli przed wdrożeniem systemu AI wysokiego ryzyka w miejscu pracy.

6. Modele AI ogólnego przeznaczenia (GPAI)

Obowiązki dla dostawców modeli GPAI obowiązują od 2 sierpnia 2025 r., a kary za ich naruszenie – od 2 sierpnia 2026 r. (art. 101). Obejmują one m.in.:

• sporządzenie i aktualizowanie dokumentacji technicznej modelu,
• udostępnianie informacji dostawcom systemów, którzy integrują dany model, w zakresie niezbędnym do zrozumienia jego możliwości i ograniczeń,
• wdrożenie polityki poszanowania prawa autorskiego i praw pokrewnych Unii,
• publikację wystarczająco szczegółowego streszczenia treści wykorzystanych do trenowania modelu.

Dodatkowe, bardziej rygorystyczne obowiązki dotyczą modeli GPAI z ryzykiem systemowym – w szczególności modeli, których łączna moc obliczeniowa użyta do treningu przekracza 10²⁵ operacji zmiennoprzecinkowych (FLOP). Ich dostawcy muszą dodatkowo przeprowadzać ocenę modelu wraz z testami adwersarialnymi, oceniać i ograniczać ryzyko systemowe, zapewniać odpowiedni poziom cyberbezpieczeństwa oraz zgłaszać Komisji Europejskiej poważne incydenty.

7. Obowiązki w zakresie przejrzystości (art. 50) – już obowiązują

Przepisy te obowiązują od 2 sierpnia 2026 r.:

• informowanie osób fizycznych o interakcji z systemem AI (np. chatboty, voiceboty), chyba że jest to oczywiste z okoliczności,
• oznaczanie treści syntetycznych generowanych przez AI (obrazy, audio, wideo, tekst) w sposób czytelny maszynowo – dla systemów wprowadzonych na rynek przed 2 sierpnia 2026 r. obowiązuje okres przejściowy do 2 grudnia 2026 r.
• informowanie o sztucznie wygenerowanych lub zmanipulowanych treściach przypominających istniejące osoby, obiekty lub wydarzenia (tzw. deepfake).

8. Kary przewidziane w AI Act

Wysokość kar wynosi:

• do 35 mln EUR lub 7% globalnego rocznego obrotu – za naruszenie zakazu praktyk z art. 5,
• do 15 mln EUR lub 3% globalnego rocznego obrotu – za naruszenie większości pozostałych obowiązków (dostawców, importerów, dystrybutorów, podmiotów stosujących, jednostek notyfikowanych, obowiązków przejrzystości),
• do 7,5 mln EUR lub 1% globalnego rocznego obrotu – za przekazanie nieprawidłowych, niekompletnych lub wprowadzających w błąd informacji organom nadzoru.

W każdym przypadku stosuje się kwotę wyższą z dwóch wskazanych wartości, a dla MŚP i small mid-cap – niższą. Przy ustalaniu wysokości kary uwzględnia się m.in. wagę i czas trwania naruszenia, liczbę poszkodowanych, stopień współpracy z organami oraz umyślny lub nieumyślny charakter naruszenia.

9. Polska ustawa o systemach sztucznej inteligencji – nadzór krajowy

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji

Ustawa utworzyła nowy organ – Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) – jako polski organ nadzoru rynku w rozumieniu AI Act oraz pojedynczy punkt kontaktowy wobec Komisji Europejskiej. W skład Komisji wchodzą Przewodniczący, dwóch Zastępców oraz czterech członków wskazanych przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE. Przewodniczącego powołuje na 5-letnią kadencję Sejm za zgodą Senatu – obecnie w tej procedurze znajduje się kandydatura Pani Pameli Krzypkowskiej, wybranej przez Sejm 18 września 2026 r.

Najważniejsze zadania Komisji

• prowadzenie kontroli przestrzegania AI Act i ustawy oraz wydawanie decyzji i postanowień w sprawach o naruszenie,
• wydawanie opinii indywidualnych i wyjaśnień w sprawach stosowania przepisów o AI,
• tworzenie i zarządzanie piaskownicami regulacyjnymi w zakresie AI,
• współpraca z UOKiK, KNF, UODO, KRRiT, Urzędem Patentowym i innymi organami krajowymi oraz z Komisją Europejską i Europejską Radą ds. Sztucznej Inteligencji,
• nakładanie administracyjnych kar pieniężnych za naruszenie rozporządzenia 2024/1689 i ustawy.

Opinie indywidualne (art. 8–18 ustawy) – od 28 października 2026 r.

Spółki będą mogły wystąpić do Komisji o wydanie opinii indywidualnej dotyczącej stanu faktycznego lub zdarzenia przyszłego objętego AI Act lub ustawą. Opłata wynosi 150 zł, a termin wydania opinii to 30 dni (w sprawach szczególnie skomplikowanych – 60 dni); brak opinii w terminie oznacza uznanie stanowiska wnioskodawcy za potwierdzone. Opinia jest wiążąca dla Komisji i innych organów w zakresie danej sprawy, a zastosowanie się do niej chroni wnioskodawcę nawet po jej późniejszej zmianie lub uchyleniu.

Kontrola i postępowanie w sprawie naruszeń – od 28 października 2026 r.

• kontrola jest prowadzona co do zasady zdalnie, z możliwością przeprowadzenia jej w siedzibie kontrolowanego w przypadku poważnego ryzyka dla życia, zdrowia lub praw podstawowych,
• kontrolę poprzedza zawiadomienie doręczone nie wcześniej niż 7 dni przed jej rozpoczęciem (z wyjątkami w pilnych przypadkach),
• w razie stwierdzenia naruszenia Komisja może wydać ostrzeżenie, a następnie – decyzję nakazującą usunięcie skutków naruszenia oraz nałożyć administracyjną karę pieniężną,
• od decyzji Komisji przysługuje odwołanie do Sądu Okręgowego w Warszawie – sądu ochrony konkurencji i konsumentów.

Program łagodzenia sankcji („układ”)

Ustawa wprowadza mechanizm zbliżony do programu leniency znanego z prawa konkurencji: strona, która zaprzestanie naruszenia i ujawni Komisji wszystkie istotne okoliczności, może uzyskać obniżenie administracyjnej kary pieniężnej o 20–70%, a w przypadku samodzielnego zgłoszenia naruszenia z własnej inicjatywy – nawet o 30–90%.

Piaskownica regulacyjna – działa od 11 sierpnia 2026 r.

Komisja prowadzi piaskownicę regulacyjną umożliwiającą testowanie systemów AI w kontrolowanym środowisku i z odstępstwami od wybranych obowiązków AI Act. Udział trwa od 6 do 12 miesięcy i jest nieodpłatny dla mikro-, małych i średnich przedsiębiorców.

Odpowiedzialność karna – od 28 października 2026 r.

Utrudnianie lub udaremnianie czynności kontrolnych oraz niewykonanie decyzji Komisji nakazującej zaprzestanie stosowania lub wycofanie systemu z rynku zagrożone jest karą ograniczenia wolności albo grzywny – również wobec osób działających w imieniu lub interesie spółki.

10. Co warto rozważyć

• Choć wymogi dla systemów wysokiego ryzyka zaczną obowiązywać dopiero w 2027–2028 r., warto nie odkładać przygotowań – audyt i wdrożenie dokumentacji zgodności w przeciętnej organizacji zajmuje od kilku do kilkunastu miesięcy.
• Priorytetowo należy zweryfikować zgodność z obowiązkami przejrzystości z art. 50, które obowiązują już od 2 sierpnia 2026 r. – w szczególności informowanie o interakcji z chatbotem oraz przygotowanie do wdrożenia znakowania treści syntetycznych przed upływem okresu przejściowego 2 grudnia 2026 r.
• Sprawdzenie, czy stosowane lub oferowane narzędzia generatywne posiadają zabezpieczenia przed nadużyciem do generowania niekonsensualnych treści intymnych lub materiałów CSAM – w związku z nowym zakazem wchodzącym w życie 2 grudnia 2026 r.
• Inwentaryzację systemów AI wykorzystywanych w organizacji oraz ustalenie, w jakiej roli występuje spółka wobec każdego z nich (dostawca, podmiot stosujący, importer, dystrybutor).
• Klasyfikację ryzyka wykorzystywanych systemów pod kątem kategorii wysokiego ryzyka z załącznika III – w szczególności w obszarze rekrutacji, oceny i zwalniania pracowników, z uwzględnieniem wydłużonego do 2 grudnia 2027 r. terminu na wdrożenie.
• Przegląd umów z dostawcami rozwiązań AI pod kątem podziału obowiązków i odpowiedzialności wynikających z AI Act, a także sprawdzenie, czy spółka kwalifikuje się do rozszerzonych ułatwień dla „small mid-cap”.
• Śledzenie procesu obsadzania Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji oraz przygotowanie się na jej uprawnienia kontrolne, które nabiorą realnego znaczenia od 28 października 2026 r.

W przypadku pytań lub chęci nawiązania współpracy, serdecznie zapraszamy do kontaktu