AI Act obowiązki firm: co zrobić przed grudniem 2027 (i co nadal grozi od sierpnia 2026)

Pod koniec czerwca 2026 roku Rada Unii Europejskiej formalnie zatwierdziła Digital Omnibus on AI — pakiet poprawek do rozporządzenia o sztucznej inteligencji. Dla firm korzystających z systemów AI wysokiego ryzyka oznacza to jedno: termin przesunął się z 2 sierpnia 2026 na 2 grudnia 2027. Brzmi jak ulga? Tak — ale tylko jeśli wiesz, co nadal działa od 2 sierpnia tego roku i co zrobić z dodatkowym czasem.

Nie ma co ukrywać — kancelarie i doradcy, którzy budowali narrację o nieuchronnym sierpniowym deadline'ie, muszą teraz zaktualizować swoje briefy. My to robimy wprost: termin się zmienił, fakty się zmieniły, artykuł je opisuje. A lista obowiązków, które czekają na Twoją firmę, nie zmieniła się ani o jedno słowo.

Które systemy AI są „wysokiego ryzyka"? Najpierw to ustal

Zanim przejdziesz do terminów i kar, musisz odpowiedzieć na jedno pytanie: czy Twój system AI w ogóle wchodzi do kategorii wysokiego ryzyka? To nie jest kwestia oczywista — wiele firm błędnie zakłada, że skoro kupuje gotowe oprogramowanie od dostawcy, problem leży po jego stronie. To nieprawda.

Zgodnie z art. 6 ust. 2 rozporządzenia (UE) 2024/1689, systemy AI wysokiego ryzyka to systemy wymienione w Aneksie III — niezależnie od tego, czy firma je tworzy, kupuje, czy wdraża jako narzędzie do pracy z klientami lub pracownikami. Jeśli używasz takiego systemu do podejmowania decyzji wobec ludzi, jesteś operatorem (ang. deployer) w rozumieniu AI Act i masz własne obowiązki — nawet jeśli kod napisał ktoś inny.

Ważne zastrzeżenie z art. 25 AI Act: jeśli Twoja firma istotnie modyfikuje zakupiony system AI lub zmienia jego przeznaczenie, może zostać uznana za dostawcę (provider) — i podlegać znacznie szerszym obowiązkom. Ten scenariusz dotyczy firm technologicznych dostosowujących gotowe modele AI pod własne zastosowania.

Lista ośmiu sektorów z Aneksu III — z przykładami dla polskich firm

Aneks III AI Act wymienia osiem obszarów, w których systemy AI są automatycznie klasyfikowane jako wysokiego ryzyka:

1. Biometria — systemy zdalnej identyfikacji biometrycznej (rozpoznawanie twarzy, głosu, chodu). Przykład: kamera wejściowa w biurze z automatyczną identyfikacją pracownika.

2. Infrastruktura krytyczna — systemy AI zarządzające dostawami wody, energii, gazu, ruchem drogowym lub infrastrukturą cyfrową. Przykład: algorytm optymalizujący dystrybucję energii w sieci elektroenergetycznej.

3. Edukacja i szkolenia zawodowe — systemy decydujące o dostępie do edukacji, oceniające uczniów lub przydzielające miejsca. Przykład: platforma e-learningowa z algorytmem rekrutacyjnym na kurs.

4. Zatrudnienie i zarządzanie pracownikami — systemy do selekcji CV, rankingowania kandydatów, oceny efektywności, monitorowania pracowników, podejmowania decyzji o awansach i zwolnieniach. Przykład: oprogramowanie HR automatycznie odrzucające aplikacje na podstawie analizy CV.

5. Usługi prywatne i publiczne — systemy oceny zdolności kredytowej, wyceny ubezpieczeń zdrowotnych i na życie, oceny ryzyka klienta w instytucjach finansowych. Przykład: algorytm scoringowy banku lub firmy ubezpieczeniowej.

6. Egzekwowanie prawa — systemy wspomagające ocenę wiarygodności osób, profilowanie przestępcze, analizę ryzyka recydywy. Dotyczy głównie organów publicznych, ale pośrednio — firm dostarczających im narzędzia.

7. Zarządzanie migracją i granicami — systemy oceny ryzyka podróżnych, weryfikacji dokumentów, decyzji o azylu. Sektor publiczny, ale istotny dla firm z sektora GovTech.

8. Wymiar sprawiedliwości i procesy demokratyczne — systemy wspomagające decyzje sądowe lub ocenę ryzyka prawnego. Przykład: legal tech z automatyczną oceną szans na wygraną w postępowaniu.

Ważna reguła z art. 6 ust. 3: Jeśli Twój system wchodzi w zakres Aneksu III, ale możesz udokumentować, że nie stwarza istotnego ryzyka dla zdrowia, bezpieczeństwa ani praw podstawowych osób, możesz go wyłączyć z reżimu wysokiego ryzyka — ale musisz przeprowadzić i zapisać tę ocenę przed wdrożeniem systemu.

Szybki test: trzy pytania, które warto zadać sobie teraz

Zanim zlecisz formalny audyt, odpowiedz na trzy pytania:

1. Czy zastosowanie Twojego systemu AI pokrywa się z jednym z ośmiu sektorów z Aneksu III? Jeśli tak — czytaj dalej. Jeśli nie jesteś pewien — to już powód, żeby porozmawiać z prawnikiem.

2. Czy na podstawie output systemu podejmujesz lub wspierasz decyzje wobec konkretnych osób (pracowników, klientów, wnioskodawców)? Jeśli tak — jesteś prawdopodobnie operatorem w rozumieniu AI Act, nawet jeśli system pochodzi od zewnętrznego dostawcy.

3. Czy Twój dostawca systemu AI dołączył do umowy deklarację zgodności lub dokumentację techniczną zgodną z AI Act? Jeśli nie — zapytaj. Jeśli nie wie, o co chodzi — to poważny sygnał.

7 obowiązków operatora — teraz masz czas do grudnia 2027

Digital Omnibus daje Ci 16 dodatkowych miesięcy na wdrożenie pełnych wymogów dla systemów AI wysokiego ryzyka z Aneksu III. Firmy, które zaczną teraz, zdążą. Firmy, które potraktują odroczenie jako zwolnienie — nie zdążą w grudniu 2027.

Poniżej siedem obowiązków operatora (firmy używającej systemu AI), wynikających przede wszystkim z art. 26 rozporządzenia (UE) 2024/1689:

Obowiązek 1: Identyfikacja i klasyfikacja systemu AI Zrób inwentaryzację wszystkich systemów AI, których używasz. Dla każdego ustal: jaki jest cel zastosowania, czy wpada w kategorię Aneksu III, kto jest dostawcą i jaki masz z nim stosunek prawny. To punkt startowy — bez inwentaryzacji żaden doradca nie jest w stanie ocenić Twojego ryzyka. Szacowany czas: 2–4 tygodnie dla firmy MŚP.

Obowiązek 2: Stosowanie systemu zgodnie z instrukcją użytkowania (art. 26 ust. 1) Operator musi używać systemu AI wyłącznie zgodnie z instrukcjami dostarczonymi przez dostawcę. Brzmi prosto — ale w praktyce wymaga zbudowania wewnętrznych procedur i kontroli, które to egzekwują. To jest też moment, żeby sprawdzić, czy dostawca w ogóle dostarczył kompletną instrukcję użytkowania. Jeśli nie — masz prawo jej zażądać, a brak instrukcji po stronie dostawcy to jego naruszenie AI Act.

Obowiązek 3: Żądanie dokumentacji technicznej od dostawcy Jako operator masz prawo żądać od dostawcy systemu AI dokumentacji technicznej wymaganej przez art. 11 AI Act. Jeśli dostawca jej nie dostarcza lub twierdzi, że nie jest ona dostępna — to sygnał alarmowy. Brak dokumentacji może oznaczać, że sam dostawca nie spełnia swoich obowiązków jako provider. Sprawdź to w umowie i zgłoś zastrzeżenia na piśmie.

Obowiązek 4: Rejestracja w unijnej bazie systemów AI (art. 49) Obowiązek wpisu do unijnej bazy danych zarządzanej przez Komisję Europejską dotyczy operatorów działających jako organy lub instytucje publiczne oraz podmiotów prywatnych działających w ich imieniu (art. 49 ust. 3). Firmy prywatne niezwiązane z sektorem publicznym mają w tym zakresie węższy zakres obowiązków — sprawdź, czy Twoja działalność go nie obejmuje.

Obowiązek 5: Zapewnienie przejrzystości wobec osób (art. 26 ust. 1 i art. 50) Osoby, wobec których podejmujesz decyzje z użyciem systemu AI wysokiego ryzyka, muszą wiedzieć, że taki system był zaangażowany. W praktyce oznacza to informację w regulaminie, polityce prywatności lub bezpośrednim komunikacie (np. przy automatycznej decyzji kredytowej). Niezależnie od AI Act, ten obowiązek stoi obok analogicznego z art. 22 RODO — i oba muszą być spełnione jednocześnie, gdy system przetwarza dane osobowe.

Obowiązek 6: Wdrożenie nadzoru ludzkiego (art. 26 ust. 2) To jeden z najważniejszych i jednocześnie najczęściej pomijanych obowiązków. Musisz wyznaczyć konkretne osoby odpowiedzialne za nadzór nad systemem AI, które mają odpowiednie kompetencje, przeszkolenie i uprawnienia. Nadzór musi być realny — pracownik musi być w stanie zakwestionować, nadpisać lub zignorować decyzję systemu. Pozorny nadzór formalny nie spełnia wymogów rozporządzenia. Szacowany czas wdrożenia od zera: 4–8 tygodni, zależnie od skali operacji.

Obowiązek 7: Retencja logów i informowanie pracowników (art. 26 ust. 6 i 9) Dwa odrębne obowiązki, które łatwo przeoczyć. Po pierwsze: operator musi przechowywać logi automatycznie generowane przez system AI przez co najmniej 6 miesięcy (art. 26 ust. 6). Po drugie: jeśli system AI wysokiego ryzyka jest stosowany w miejscu pracy, pracodawca ma obowiązek poinformować o tym pracowników i ich przedstawicieli (art. 26 ust. 9). Oba obowiązki wymagają osobnych działań organizacyjnych.

AI Act a RODO — gdzie przepisy się pokrywają?

Obie regulacje dotyczą ochrony osób fizycznych przed ryzykami wynikającymi z przetwarzania danych i automatycznego podejmowania decyzji. W kilku miejscach nakładają się bezpośrednio:

RODO art. 22 ↔ AI Act art. 26 i art. 50 RODO już teraz daje osobom prawo do niepodlegania w pełni zautomatyzowanym decyzjom, które wywołują skutki prawne lub podobnie istotne (art. 22 RODO). AI Act idzie dalej — narzuca obowiązek nadzoru ludzkiego (art. 26 ust. 2) nawet wtedy, gdy decyzja jest tylko wspierana przez AI, a nie w pełni zautomatyzowana. Jeśli masz już procedurę sprzeciwu wobec zautomatyzowanych decyzji z RODO — dobra podstawa, ale musisz ją rozbudować.

RODO art. 35 (DPIA) ↔ AI Act art. 27 (FRIA) Jeśli system AI wysokiego ryzyka przetwarza dane osobowe, może być wymagana zarówno Ocena Skutków dla Ochrony Danych (DPIA) z RODO, jak i ocena wpływu na prawa podstawowe (FRIA) z art. 27 AI Act. Obowiązek przeprowadzenia FRIA dotyczy podmiotów publicznych oraz podmiotów prywatnych świadczących usługi publiczne — w praktyce obejmuje to m.in. banki przy ocenie zdolności kredytowej czy agencje zatrudnienia. Obie oceny można zintegrować w jeden dokument, ale żadnej z nich nie można pominąć tam, gdzie jest wymagana.

Rejestr czynności przetwarzania ↔ Rejestr systemów AI RODO wymaga od administratorów prowadzenia rejestru czynności przetwarzania danych. AI Act wprowadza obowiązek inwentaryzacji systemów AI. To dwa różne rejestry, ale firma, która ma dobrze prowadzony rejestr RODO, ma gotową metodykę do rozszerzenia go o warstwę AI.

Inspektor Ochrony Danych (IOD) a AI Act IOD nie ma formalnych kompetencji nadzorczych nad AI Act — ale w praktyce jest naturalnym kandydatem do koordynowania zgodności z obu regulacji jednocześnie. Jeśli nie masz jeszcze wdrożonego IOD lub korzystasz z outsourcingu tej funkcji, właśnie teraz warto to przemyśleć — zanim pojawią się wymagania z dwóch kierunków jednocześnie. Więcej o tej usłudze znajdziesz na stronie wdrożenia RODO w firmie.

Ważna zasada z art. 99 ust. 8 AI Act: gdy naruszenie AI Act jednocześnie stanowi naruszenie RODO (np. brak przejrzystości dotyczy zarówno art. 50 AI Act, jak i art. 13 RODO), organ nakłada wyższą z grożących kar — ale tylko jedną. Nie kumuluje się ich dla tego samego zdarzenia. Jednak różne naruszenia mogą być karane osobno — i tu ryzyko jest realne.

Kary: co grozi od 2 sierpnia 2026, a co od 2 grudnia 2027?

Digital Omnibus to odroczenie, nie amnestia. Kilka rzeczy działa od sierpnia niezależnie od Omnibusa.

Od 2 lutego 2025 — już w mocy: Zakazy z art. 5 AI Act (praktyki AI niedopuszczalne) — w tym social scoring, manipulacja podprogowa, systemy do rozpoznawania emocji w miejscu pracy i edukacji — nie podlegają żadnemu odroczeniu.

Od 2 sierpnia 2026 nadal obowiązują:

• Większość obowiązków przejrzystości z art. 50 — firmy wdrażające chatboty i systemy interaktywne muszą informować użytkowników, że rozmawiają z AI.
• Pełne uprawnienia nadzorcze Europejskiego Biura AI — od tej daty może ono żądać dokumentacji, przeprowadzać kontrole i wydawać nakazy.

Uwaga: Obowiązek znakowania (watermarkingu) treści generowanych przez AI (art. 50 ust. 2) Omnibus przesunął osobno — do 2 grudnia 2026. Jeśli Twoja firma produkuje lub dystrybuuje treści generowane przez AI, miej tę datę na uwadze odrębnie.

Od 2 grudnia 2027 (po odroczeniu przez Omnibus): Pełne obowiązki operatorów systemów AI wysokiego ryzyka z Aneksu III (art. 26) — w tym nadzór ludzki, retencja logów, rejestracja, informowanie pracowników.

Kary za niespełnienie obowiązków operatora (art. 99 ust. 4): Do 15 mln EUR lub 3% globalnego rocznego obrotu — whichever is higher.

Dla porównania: RODO przewiduje maksymalnie 20 mln EUR lub 4% obrotu. Zakazy z art. 5 AI Act (naruszenia najpoważniejsze) mogą pociągnąć do 35 mln EUR lub 7% obrotu — to drugi najwyższy pułap w całym unijnym prawie cyfrowym (wyższy ma jedynie Digital Markets Act).

Kto nakłada kary w Polsce? Polska dotychczas nie wyznaczyła oficjalnie krajowego organu nadzoru w rozumieniu AI Act; prace legislacyjne są w toku. Do czasu ich zakończenia warto śledzić komunikaty Ministerstwa Cyfryzacji.

FAQ — najczęstsze pytania o AI Act obowiązki firm

Czy jako firma, która kupuje gotowe oprogramowanie AI, też muszę spełniać wymogi AI Act?

Tak — jeśli używasz systemu AI wysokiego ryzyka do podejmowania decyzji wobec swoich pracowników lub klientów, jesteś operatorem w rozumieniu AI Act. Oznacza to własne obowiązki niezależnie od obowiązków dostawcy. Nie możesz się z nich uwolnić, wskazując na umowę z producentem oprogramowania — te odpowiedzialności są równoległe. Wyjątek: jeśli istotnie modyfikujesz zakupiony system lub zmieniasz jego przeznaczenie, możesz stać się jego dostawcą i podlegać znacznie szerszym obowiązkom (art. 25 AI Act).

Jak sprawdzić, czy mój system AI wchodzi do Aneksu III?

Krok 1: sprawdź, czy przeznaczenie systemu pokrywa się z jednym z ośmiu sektorów Aneksu III. Krok 2: zapytaj dostawcę o klasyfikację ryzyka — powinien ją mieć udokumentowaną (art. 6 ust. 3 AI Act). Krok 3: jeśli masz wątpliwości, skonsultuj się z prawnikiem — to nie jest decyzja, którą warto podjąć samemu na podstawie lektury internetu, bo konsekwencja błędnej klasyfikacji to kary finansowe i wycofanie systemu z rynku.

Skoro termin przesunął się na grudzień 2027, to czy mogę poczekać?

Możesz — ale nie powinieneś. Firmy, które zaczną w 2027 roku, będą miały do czynienia z tłokiem na rynku usług compliance, brakiem dostępnych doradców i kompresją czasową. Poza tym: RODO już teraz obejmuje wiele operacji przetwarzania danych przez AI. Jeśli korzystasz z systemu AI, który przetwarza dane osobowe, audyt RODO i analiza AI Act często idą w parze — i jest to najtańszy moment na ich połączenie.

Co mam zaktualizować w polityce prywatności w związku z AI Act?

Do 2 sierpnia 2026 musisz zadbać o transparentność wobec osób korzystających z Twoich usług lub produktów opartych na AI: (1) informacja o tym, że interakcja odbywa się z systemem AI, jeśli nie jest to oczywiste dla użytkownika (art. 50 AI Act); (2) dostosowanie klauzul informacyjnych RODO do wzmiankowania AI tam, gdzie przetwarza dane osobowe. Osobno, do 2 grudnia 2026: jeśli Twoja firma produkuje treści generowane przez AI — musisz zapewnić ich oznaczenie (watermarking). Jeśli ostatnio aktualizowałeś politykę, zapoznaj się z artykułem o używaniu AI w pracy a RODO.

Jaki jest pierwszy konkretny krok, który moja firma powinna zrobić teraz?

Zrób inwentaryzację systemów AI. Dosłownie: lista narzędzi, które używasz lub których używają Twoi pracownicy, z adnotacją czy i jak przetwarza dane osobowe i jakie decyzje podejmuje lub wspiera. To zajmuje 1–2 spotkania robocze i jest punktem startowym każdej rozmowy z prawnikiem. Bez inwentaryzacji żaden doradca nie jest w stanie ocenić Twojego ryzyka. Jeśli chcesz połączyć ją z audytem RODO — to najefektywniejszy wariant.

Artykuł opiera się na treści rozporządzenia (UE) 2024/1689 (AI Act) oraz Digital Omnibus on AI zatwierdzonego przez Parlament Europejski 16 czerwca 2026 i Radę UE 29 czerwca 2026.