1. AI Act nie został odroczony, choć wiele osób tak to zrozumiało
Latem przez media przeszła informacja, że Unia przesuwa terminy AI Act. Sporo właścicieli małych firm odetchnęło z ulgą i odłożyło temat na później. Problem w tym, że odroczono tylko część przepisów, i to akurat tę, która małej firmy dotyczy najrzadziej. Jeśli planujesz wdrożenie AI w firmie albo już korzystasz z ChatGPT, Copilota czy chatbota na stronie, część obowiązków działa od 2 sierpnia 2026, a kolejne polskie przepisy wchodzą w życie 28 października.
Na początek ważne zastrzeżenie. Nie jestem prawnikiem i ten artykuł nie jest poradą prawną. Jestem osobą, która wdraża narzędzia AI w małych firmach, więc przeczytałem przepisy i oficjalne wyjaśnienia Komisji Europejskiej pod kątem tego, co realnie zmienia się w twojej codziennej pracy. Tam, gdzie sprawa jest niejednoznaczna, napiszę to wprost.
Zmiany wprowadził pakiet nazywany Digital Omnibus on AI. To rozporządzenie (UE) 2026/1744, opublikowane w Dzienniku Urzędowym UE 24 lipca 2026. Jak pokazuje aktualny harmonogram AI Act na stronie Komisji Europejskiej, przesunięto przede wszystkim obowiązki dla systemów wysokiego ryzyka. Termin ogólnego stosowania rozporządzenia, czyli 2 sierpnia 2026, został bez zmian.
Kontekst jest też taki, że polskie firmy dopiero zaczynają korzystać z AI. Według danych Eurostatu w 2025 roku narzędzi AI używało 20% firm w UE zatrudniających co najmniej 10 osób, a w Polsce tylko 8,4%, co jest jednym z najniższych wyników w Unii. To oznacza, że większość polskich firm będzie wdrażać AI już w nowych realiach prawnych. Warto więc od razu robić to dobrze.
2. Co obowiązuje od 2 sierpnia 2026
Najwięcej zamieszania jest wokół obowiązków przejrzystości z art. 50 AI Act. Często czytam, że „każda firma z chatbotem musi informować, że to AI”. W praktyce przepis rozdziela obowiązki między dwie role, i warto wiedzieć, w której jesteś.
Dostawca to firma, która tworzy system AI albo zleca jego stworzenie i udostępnia go pod własną nazwą. Podmiot stosujący to firma, która z gotowego systemu korzysta w swojej działalności. Jeśli wykupujesz chatbota u zewnętrznej firmy i wklejasz go na stronę, zwykle jesteś podmiotem stosującym. Jeśli zlecasz zbudowanie własnego chatbota i udostępniasz go pod swoją marką, możesz zostać uznany za dostawcę. Ta granica bywa nieostra, więc przy własnych rozwiązaniach warto ją przeanalizować z prawnikiem.
Według treści art. 50 opublikowanej przez Komisję obowiązek, żeby chatbot informował rozmówcę, że rozmawia z AI, spoczywa na dostawcy. Wyjątkiem jest sytuacja, w której jest to oczywiste. Z wyjaśnień Komisji Europejskiej do art. 50 wynika, że taka informacja ma się pojawić od pierwszej interakcji. Dla ciebie wniosek jest praktyczny. Jeśli masz chatbota na stronie, sprawdź, czy przy pierwszej wiadomości wyraźnie przedstawia się jako asystent AI. Jeśli nie, porozmawiaj z dostawcą albo zmień konfigurację, bo to po prostu dobra praktyka wobec klientów, niezależnie od tego, kto formalnie odpowiada.
Są też obowiązki, które spadają bezpośrednio na firmę korzystającą z AI. Jeśli publikujesz obraz, nagranie albo dźwięk wygenerowany przez AI, który udaje prawdziwą osobę, miejsce czy zdarzenie (tak zwany deepfake), musisz ujawnić, że to treść sztuczna. Przy treściach ewidentnie artystycznych czy satyrycznych wystarczy ograniczona forma ujawnienia. Drugi przypadek to tekst wygenerowany przez AI i publikowany po to, żeby informować opinię publiczną o sprawach interesu publicznego. Tu obowiązku nie ma, jeśli tekst przeszedł weryfikację przez człowieka, a ktoś bierze za niego odpowiedzialność redakcyjną. Komisja zaznacza w wyjaśnieniach, że sama korekta pisowni nie wystarczy, i że treści opublikowanych przed 2 sierpnia 2026 nie trzeba oznaczać wstecz.
Drugi obowiązek, o którym mało kto słyszał, to kompetencje w zakresie AI z art. 4. Firma, która korzysta z AI, ma podejmować działania wspierające rozwój umiejętności swoich pracowników w tym obszarze. Omnibus złagodził ten przepis i dziś w nowym brzmieniu wprost mówi, że nie chodzi o zapewnienie określonego poziomu wiedzy. Według pytań i odpowiedzi Komisji o kompetencjach AI nie jest potrzebny żaden certyfikat, wystarczy wewnętrzna dokumentacja przeprowadzonych szkoleń. W małej firmie może to być krótkie spotkanie o tym, czego nie wklejać do czatu, i notatka, kto w nim uczestniczył.
A kary? Według art. 99 AI Act naruszenie obowiązków przejrzystości może kosztować do 15 mln euro albo 3% światowego obrotu. Dla małych i średnich firm stosuje się niższą z tych dwóch kwot, co przy małej firmie realnie oznacza procent obrotu. Kary za brak działań z art. 4 nie są określone w samym AI Act, tylko w prawie krajowym.
3. Co przesunięto na 2027 i 2028
Przesunięcie dotyczy systemów wysokiego ryzyka, czyli takich, które mogą istotnie wpływać na życie ludzi. Załącznik III do AI Act wymienia między innymi obszary, które mogą dotyczyć także małej firmy. To rekrutacja i selekcja kandydatów, w tym automatyczne filtrowanie CV, decyzje o awansie czy rozwiązaniu umowy, przydzielanie zadań na podstawie zachowania pracowników, monitorowanie i ocena ich wydajności, a także ocena zdolności kredytowej osób fizycznych.
Obowiązki dla tych systemów zaczną się stosować 2 grudnia 2027, a dla AI wbudowanej w produkty objęte osobnymi przepisami unijnymi 2 sierpnia 2028. Jeśli więc rozważasz narzędzie, które samo ocenia kandydatów do pracy albo wydajność zespołu, masz czas, ale nie tak dużo, jak się wydaje. Lepiej wybrać takie narzędzie już teraz z myślą o 2027 roku, niż za rok szukać nowego.
Dla porządku dodam, że według tego samego harmonogramu od 2 grudnia 2026 lista zakazanych praktyk się wydłuża. Zwykłej firmy usługowej to raczej nie dotyczy, ale dobrze wiedzieć, że przepisy wciąż się zmieniają.
4. Polska ustawa o AI i nowy urząd
Do tego dochodzą przepisy krajowe. Ustawa o systemach sztucznej inteligencji została ogłoszona w Dzienniku Ustaw 27 lipca 2026. Część przepisów obowiązuje od sierpnia, a rozdziały dotyczące między innymi nadzoru wchodzą w życie 28 października 2026.
Jak opisuje komunikat Ministerstwa Cyfryzacji, organem nadzoru będzie Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI), w której zasiądą między innymi przedstawiciele UOKiK, KNF i UKE. KRiBSI będzie rozpatrywać skargi obywateli i firm. To oznacza, że skargi na sposób wykorzystania AI będą miały w Polsce konkretny adres.
Jest też dobra wiadomość. Według ministerstwa mikro, małe i średnie firmy będą mogły bezpłatnie korzystać z tak zwanej piaskownicy regulacyjnej, czyli możliwości przetestowania swojego rozwiązania AI pod okiem regulatora, zanim trafi do klientów. Kiedy dokładnie piaskownica ruszy w praktyce, jeszcze nie wiadomo.
5. Od czego zacząć, czyli spis narzędzi AI w firmie
Cały AI Act sprowadza się w małej firmie do jednego pytania. Gdzie właściwie używasz AI i do czego? Łatwo znać odpowiedź tylko częściowo. Możesz wiedzieć o chatbocie na stronie i nie wiedzieć, że ktoś z zespołu pisze oferty w ChatGPT na prywatnym koncie albo streszcza umowy w darmowym narzędziu znalezionym w sieci.
Dlatego pierwszym krokiem nie jest zakup nowego narzędzia ani konsultacja z kancelarią, tylko zwykły spis. Zapytaj zespół, z jakich narzędzi AI korzysta, na jakich kontach (firmowych czy prywatnych), do jakich zadań i jakie dane do nich trafiają. Wystarczy prosta tabela. Z tej listy od razu zobaczysz trzy rzeczy. Czy masz coś, co wymaga oznaczania zgodnie z art. 50. Czy masz coś, co może wejść w kategorię wysokiego ryzyka w 2027 roku. I czy dane klientów nie wypływają do narzędzi, nad którymi firma nie ma żadnej kontroli.
6. Wdrożenie AI w firmie krok po kroku, zgodnie z przepisami
Kiedy wiesz, co już masz, możesz zaplanować dalsze wdrożenie AI w firmie. Tak bym to ułożył w małej firmie.
- Zrób spis narzędzi AI opisany wyżej i zdecyduj, które zostają, a z których rezygnujesz.
- Przenieś pracę z prywatnych kont na firmowe, z umową z dostawcą, w której jasno opisano, co dzieje się z twoimi danymi.
- Ustal krótkie zasady korzystania z AI. Czego nie wklejamy do czatu, kto sprawdza teksty przed publikacją, jak oznaczamy treści wygenerowane przez AI.
- Przeprowadź krótkie szkolenie zespołu i zapisz, kto w nim uczestniczył. To twoja dokumentacja do art. 4.
- Sprawdź chatbota na stronie, czy od pierwszej wiadomości przedstawia się jako AI.
- Jeśli planujesz AI w rekrutacji albo ocenie pracowników, wybieraj narzędzia od dostawców, którzy deklarują zgodność z wymaganiami dla systemów wysokiego ryzyka od grudnia 2027.
Nic z tej listy nie wymaga dużego budżetu. Najwięcej pracy to uporządkowanie tego, co już dzieje się w firmie, często bez wiedzy właściciela. Właśnie od tego zaczynam przy wdrożeniach AI w firmach, zanim w ogóle przejdziemy do nowych narzędzi czy automatyzacji. Jeśli szukasz pomysłów, gdzie AI może realnie oszczędzić czas, pisałem o tym w artykule o sztucznej inteligencji dla małych firm.
7. Dane firmowe i RODO, czyli to, co i tak obowiązywało
Przy całej dyskusji o AI Act łatwo zapomnieć, że najpoważniejsze ryzyko dla małej firmy wynika z przepisów, które obowiązują od lat. Jeśli do narzędzia AI trafiają dane osobowe klientów czy pracowników, stosujesz RODO, niezależnie od AI Act.
Urząd Ochrony Danych Osobowych opublikował w sierpniu listy pytań, które warto zadać przed wdrożeniem narzędzia AI, w tym osobną listę dla małych i średnich firm korzystających z gotowych rozwiązań. Odpowiedzi nie wysyła się do urzędu, to narzędzie do własnej analizy. UODO zaznacza jednak, że lista nie zastępuje analizy ryzyka. Polecam przejść ją przed podpisaniem umowy z dostawcą, a nie po.
Jeśli nie wiesz, gdzie w twojej firmie dane mogą wyciekać, także przez narzędzia AI używane na prywatnych kontach, dobrym punktem wyjścia jest audyt bezpieczeństwa IT. Pokaże, jakie dane gdzie trafiają i które z tych miejsc są realnym ryzykiem.
8. Podsumowanie
AI Act nie zniknął, tylko rozłożył się w czasie. Od 2 sierpnia 2026 obowiązują przepisy o przejrzystości i o kompetencjach zespołu, od 28 października działa polski nadzór, a obowiązki dla systemów wysokiego ryzyka zaczną się w grudniu 2027. Dla większości małych firm oznacza to nie rewolucję, tylko porządek. Wiedzieć, z jakiego AI korzystasz, przeszkolić ludzi, oznaczać to, co trzeba, i pilnować danych klientów.
Planujesz wdrożenie AI w firmie albo chcesz uporządkować to, co już działa? Jestem założycielem i jedyną osobą stojącą za Ralkom, więc każdą rozmowę prowadzę osobiście. Zajrzyj na stronę wykorzystania AI w firmie albo napisz przez stronę kontaktu. Przejrzymy razem, z czego korzystasz, i powiem szczerze, co warto zmienić. W sprawach czysto prawnych odeślę cię do prawnika, bo tak jest uczciwiej.