AI Act w Polsce: co obowiązuje firmy w 2026 roku i od kiedy

Większość tekstów o AI Act w Polsce odpowiada na pytanie prawnika: co obowiązuje i od kiedy. Firmy pytają nas o co innego: „my tylko używamy ChatGPT, Copilota i chatbota od dostawcy — co mamy mieć u siebie, zanim KRiBSI zacznie 28 października 2026 r. kontrole?”. Odpowiadamy na to drugie pytanie, wyjaśniając po drodze, czym AI Act jest, od kiedy obowiązuje i co dokłada polska ustawa. Jedno trzeba ustalić od razu: obowiązki z art. 4 i 50 oraz dotychczasowe zakazy z art. 5 rozporządzenia już obowiązują, a 28 października zaczyna się ich egzekwowanie przez KRiBSI.

Piszemy dla firmy, która tylko używa AI, a nie buduje modeli — dla podmiotu stosującego, jak nazywa ją rozporządzenie. Stan prawny na 9 października 2026 r. To opis strony technicznej i organizacyjnej, a nie porada prawna — ocena prawna należy do Twojego prawnika albo inspektora ochrony danych.

W skrócie: pięć dat i trzy obowiązki

• AI Act stosuje się w Polsce bezpośrednio, etapami od 2 lutego 2025 r.; polska ustawa organizuje nadzór, nie dodaje obowiązków.
• Od 2 sierpnia 2026 obowiązuje art. 50: chatbot ma się ujawniać, treści generowane mają być oznaczane.
• Polska ustawa obowiązuje od 11 sierpnia 2026, a KRiBSI kontroluje, przyjmuje skargi i karze od 28 października 2026.
• Systemy wysokiego ryzyka z załącznika III — od 2 grudnia 2027. Termin przesunięty, nie zniesiony.
• Firmę, która tylko używa AI, dotyczą dziś trzy obowiązki — kompetencje AI (art. 4), przejrzystość (art. 50), niekorzystanie z praktyk zakazanych (art. 5) — oraz jedna czynność, której rozporządzenie nie nakazuje wprost, ale bez której nie da się tych obowiązków udokumentować: rejestr systemów AI.

Co to jest AI Act — i czym nie jest

AI Act, czyli rozporządzenie (UE) 2024/1689, reguluje systemy AI według ryzyka ich zastosowania — nie technologię i nie dane. Poziomy są cztery: praktyki zakazane, systemy wysokiego ryzyka z rozbudowanymi obowiązkami, systemy z obowiązkami przejrzystości (rozmawiają z ludźmi albo generują treści) i reszta, wobec której rozporządzenie nie stawia wymagań poza art. 4 o kompetencjach AI. Większość narzędzi biurowych trafia do tej ostatniej grupy.

Rozporządzenie zna też dwie role o zasadniczo różnych obowiązkach: dostawca buduje system albo wprowadza go na rynek pod własną nazwą; podmiot stosujący używa go w swojej działalności i odpowiada za sposób użycia.

Czym AI Act nie jest: nie jest ustawą o ochronie danych — RODO działa równolegle, a AI Act obejmuje też systemy bez danych osobowych. Nie jest zakazem używania ChatGPT: zgodne albo niezgodne jest użycie, nie narzędzie. Różnice między tymi reżimami rozpisaliśmy w tekście RODO a wdrożenie LLM.

Kiedy AI Act wchodzi w życie: harmonogram po Digital Omnibusie

Rozporządzenie zmieniające 2026/1744, nazywane Digital Omnibus on AI — pakiet poprawek do AI Act — weszło w życie 27 lipca 2026 r. i przesunęło część terminów, więc teksty sprzed lipca 2026 są w tej części nieaktualne. Daty unijne: rozporządzenie 2026/1744 na EUR-Lex i strona Komisji o ramach regulacyjnych AI; polskie — z ustawy omówionej niżej.

Omnibus przesunął obowiązki dla systemów wysokiego ryzyka na daty stałe, niezależne od norm. Nie przesunął art. 50, art. 4, dotychczasowych zakazów z art. 5 ani uprawnień nadzorczych; dwa nowe zakazy dodane do art. 5 stosuje się od 2 grudnia 2026 r. Data 2 sierpnia 2026 r. to ogólny początek stosowania rozporządzenia, nie jego „wejście w życie” — od tego dnia obowiązuje art. 50, a organy krajowe mają uprawnienia nadzorcze. Jedyny luz w art. 50 to cztery miesiące, do 2 grudnia 2026, dla dostawców systemów generatywnych sprzed 2 sierpnia 2026 na maszynowe oznaczanie treści; obowiązków informacyjnych podmiotu stosującego to nie obejmuje. „Termin przesunięty” to nie to samo co „nic nie trzeba robić”.

AI Act w Polsce: ustawa z 3 lipca 2026 i KRiBSI

Rozporządzenie działa bezpośrednio; ustawa krajowa jest po to, żeby ktoś je egzekwował. Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) ma 127 artykułów w 10 rozdziałach; ogłoszono ją 27 lipca 2026 r., a w życie weszła 11 sierpnia 2026 r., z dwoma wyjątkami z art. 127: art. 125 ust. 4 obowiązuje od 28 lipca 2026 r., a art. 8–18 oraz rozdziały 3–5, 8 i 9 — od 28 października 2026 r. Tekst jest w serwisie eli.gov.pl, omówienie Ministerstwa Cyfryzacji na gov.pl.

KRiBSI, czyli Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, jest organem nadzoru rynku w rozumieniu art. 70 ust. 1 AI Act i pojedynczym punktem kontaktowym (art. 5 ustawy). W składzie: przewodniczący powoływany przez Sejm za zgodą Senatu (art. 28 ust. 1), dwoje zastępców i czworo członków wskazanych przez Prezesa UOKiK, KNF, KRRiT i Prezesa UKE (art. 19). Przewodniczącego Komisji Sejm powołał uchwałą z 18 września 2026 r. (M.P. 2026 poz. 945), a Senat wyraził na to zgodę uchwałą z 24 września 2026 r. (M.P. 2026 poz. 946). Pierwsze posiedzenie Komisji przewodniczący zwołuje w terminie trzech miesięcy od wejścia ustawy w życie (art. 125 ust. 3). Budżet: do 9,30 mln zł w 2026 r. i 23,74 mln zł w 2027 r. (art. 126).

Co zmienia się 28 października 2026

KRiBSI dostaje uprawnienia wykonawcze: kontrole (rozdział 3), postępowania i rejestr skarg (rozdział 4), układ w sprawie złagodzenia sankcji, czyli porozumienie z organem dotyczące ich złagodzenia (rozdział 5), kary (rozdział 8). Startują też wiążące opinie indywidualne (art. 8–18): wniosek za 150 zł, odpowiedź w 30 dni, opinia wiąże KRiBSI i inne organy państwa, zanonimizowane opinie są publikowane. Dla firmy z realnym pytaniem klasyfikacyjnym to tańsza ścieżka niż zgadywanie — ale wniosek pisze prawnik. Piaskownice regulacyjne (rozdział 7) działają już dziś: 6–12 miesięcy, bezpłatne dla mikro-, małych i średnich firm (art. 93 ust. 1).

Korekta do lipcowych doniesień: Prezes UODO nie jest w ustawie organem nadzoru rynku systemów AI — opiniuje ochronę danych w piaskownicach (art. 92) i wskazuje członka panelu rekrutacyjnego zastępców przewodniczącego (art. 32).

Dostawca czy użytkownik systemu AI (podmiot stosujący) — trzy pytania, które porządkują Twoją firmę

Firma używająca gotowych narzędzi występuje najprawdopodobniej jako podmiot stosujący — a to inne i zwykle znacznie lżejsze obowiązki niż dostawcy. Wyjątek: narzędzie zbudowane samodzielnie, na przykład własna automatyzacja z modelem AI (np. zbudowana w n8n), udostępniona klientom pod Twoją marką. Tu rola nie jest oczywista, a art. 25 — po Omnibusie zaostrzony przy istotnych modyfikacjach — to pytanie do prawnika, nie do inżyniera.

Dla każdego zastosowania trzy pytania:

1. Czy jest na liście praktyk zakazanych (art. 5)? Przykład: wnioskowanie o emocjach w miejscu pracy, także w rekrutacji i na okresie próbnym, zakazane od 2 lutego 2025 r., poza zastosowaniami ze względów medycznych lub bezpieczeństwa; zgoda kandydata tego nie uchyla. Jeżeli tak — stop i prawnik, dziś.
2. Czy należy do załącznika III — zatrudnienie, edukacja, usługi podstawowe, biometria, kredyt konsumencki? Obowiązki wchodzą 2 grudnia 2027 r., ale klasyfikację zrób u prawnika teraz: dokumentację i rejestrowanie zdarzeń taniej zaprojektować od początku niż dokładać później.
3. Czy rozmawia z ludźmi albo generuje treści (art. 50)? Jeżeli tak — sprawdzenie ujawniania i oznaczania, niżej.

Co przechodzi z odpowiedzią „nie, nie, nie”, zostaje z art. 4 i wpisem w rejestrze. To większość automatyzacji biurowych.

Rejestr systemów AI: szablon i przykład na 60-osobowej firmie

Bez rejestru każda rozmowa o zgodności dotyczy systemów, których nikt nie policzył — a narzędzia wprowadzone przez zespoły na własną rękę rzadko są gdziekolwiek spisane. Wystarczy arkusz z dziewięcioma kolumnami: system i dostawca · kto używa · do czego · jakie dane wchodzą · rola · obowiązki dziś · czy do prawnika · właściciel · data przeglądu.

Poniższy przykład jest ilustracją, nie opisem klienta: firma handlowa B2B, 60 osób, trzy działy. Kolumna „obowiązki dziś” to wstępna ocena techniczna, którą potwierdza prawnik — nie klasyfikacja.

Wynik: zero praktyk zakazanych — po potwierdzeniu u dostawcy ATS, że „dopasowanie” nie wnioskuje o emocjach; jeden kandydat do załącznika III idzie do prawnika teraz; dwa systemy pod art. 50 czekają na odpowiedź dostawcy; wszystkie sześć w użyciu pod art. 4. Nakład, również ilustracyjny: dwa warsztaty po 90 minut z szefami działów, około dwóch godzin spisywania i wyciąg licencji z IT — 5–6 godzin pracy. Największym odkryciem bywa to, o czym IT nie wiedziało, na przykład konto ChatGPT opłacane kartą działu. Rejestr ma datę i właściciela; aktualizuje się go przy każdym nowym narzędziu, nie raz do roku. Pełną wersję — dwanaście kolumn, skąd brać wartość do każdej, jeden wiersz wypełniony do końca i szablon do pobrania — opisaliśmy w tekście o rejestrze systemów AI.

Obowiązek informowania o AI (art. 50): chatbot, voicebot i treści generowane — co sprawdzić już teraz (kontrole od 28 października)

Art. 50 ma trzy poziomy, każdy z inną czynnością po Twojej stronie.

Człowiek rozmawia z systemem (ust. 1). Osoba ma być jasno poinformowana, najpóźniej przy pierwszej interakcji, chyba że jest to oczywiste z okoliczności. Przepis nakłada ten obowiązek na dostawcę systemu, ale o tym, czy komunikat dociera, decyduje konfiguracja u Ciebie: powitanie, scenariusz, to, co klient widzi, zanim zacznie pisać do bota. My z odstępstwa „oczywistości” nie korzystamy i ujawniamy zawsze — szczegóły przy wdrożeniu voicebota. Czynność: otwórz swojego chatbota jako klient i przeczytaj pierwsze zdanie.

Treści generowane (ust. 2). Oznaczanie treści w sposób, który program potrafi odczytać jako informację, że wygenerowała je AI, jest obowiązkiem dostawcy systemu generatywnego; systemy sprzed 2 sierpnia 2026 r. mają czas do 2 grudnia 2026 r., nowsze — od pierwszego dnia. Czynność: e-mail do każdego dostawcy z trzema pytaniami — czy system się ujawnia, czy oznacza treści maszynowo i od kiedy, czy da się to zweryfikować. Odpowiedzi wpisz do rejestru.

Obowiązki podmiotu stosującego (ust. 3–4). Ust. 3 dotyczy rozpoznawania emocji i kategoryzacji biometrycznej — w firmie handlowej zwykle ich nie ma, a w miejscu pracy rozpoznawanie emocji jest zakazane, poza zastosowaniami ze względów medycznych lub bezpieczeństwa. Ust. 4 dotyczy Cię, gdy publikujesz deepfake — wygenerowany albo zmanipulowany obraz, dźwięk lub wideo, które mogą uchodzić za autentyczne — albo wygenerowany tekst informujący opinię publiczną o sprawach interesu publicznego, chyba że przeszedł ludzką redakcję i ktoś ponosi za publikację odpowiedzialność redakcyjną. Opisy produktów i oferty nie są takim tekstem; nagranie z „cyfrowym prezesem” już wygląda na treść do ujawnienia. Zanim oprzesz na tym decyzję, przeczytaj ust. 4 w tekście skonsolidowanym AI Act na EUR-Lex. Komisja opublikowała 20 lipca 2026 r. wytyczne do obowiązków przejrzystości z art. 50; Kodeks postępowania w sprawie treści generowanych przez AI opublikowano 10 czerwca 2026 r.

Kompetencje osób korzystających z AI (art. 4) po zmianach z lipca 2026: obowiązek działania, nie certyfikat

Art. 4 dotyczy kompetencji AI (ang. AI literacy) i od 2 lutego 2025 r. wiąże każdego dostawcę i podmiot stosujący, niezależnie od wielkości firmy. Do 27 lipca 2026 r. mówił o zapewnieniu, w miarę możliwości, wystarczającego poziomu kompetencji personelu; od 27 lipca 2026 r. mówi o podejmowaniu działań wspierających rozwój kompetencji AI u personelu i innych osób obsługujących systemy w Twoim imieniu — i wprost zastrzega, że nie wymaga zagwarantowania określonego poziomu u żadnej osoby. Obowiązek starannego działania, nie rezultatu.

Kto to sprawdza. Organy nadzoru rynku mają uprawnienia od 2 sierpnia 2026 r.; w Polsce KRiBSI może prowadzić kontrole od 28 października 2026 r. Katalog kar z art. 99 nie wymienia art. 4 — sankcjonowanie zostawiono prawu krajowemu, a polska ustawa nie ma tu własnych widełek; jak to działa w polskim porządku, rozstrzyga prawnik. Ustawa mówi natomiast, czego spodziewać się w kontroli: przewodniczący KRiBSI określa w drodze zarządzenia sposób i metodę sprawdzania „poziomu wiedzy i kompetencji podmiotów kontrolowanych” (art. 25 pkt 3), a w rocznym sprawozdaniu dla Sejmu informuje o ogólnym poziomie ich wiedzy i kompetencji (art. 26 ust. 2 pkt 2). Kontrola może więc obejmować ocenę tego, co wiedzą Twoi ludzie — warto mieć podjęte działania udokumentowane. Polskiego poradnika do art. 4 na dzień pisania nie znaleźliśmy; jest Q&A Komisji o kompetencjach AI.

Zestaw dowodów na jedną stronę: (1) lista narzędzi i osób, które ich używają — czyli rejestr; (2) zasady użycia: co wolno wkleić, czego nie, kiedy wynik sprawdza człowiek; (3) krótkie wprowadzenie do każdego narzędzia na własnych procesach — z datą, listą obecności i materiałem; (4) osoba odpowiedzialna i termin przeglądu. U nas takie wprowadzenie jest etapem wdrożenia AI w firmie, na narzędziach, które w firmie działają — nie osobnym kursem; certyfikat z zewnętrznego szkolenia sam z siebie nic w tym przepisie nie załatwia. Jak taki zestaw prowadzić przy każdym systemie i jak wygląda zapis do skopiowania, opisujemy w tekście o kompetencjach AI z art. 4 bez kursu.

Systemy wysokiego ryzyka i zakazane praktyki — kiedy to sprawa dla prawnika

Załącznik III obejmuje m.in. rekrutację i zarządzanie pracownikami, edukację, dostęp do usług podstawowych, ocenę zdolności kredytowej konsumentów i biometrię — od 2 grudnia 2027 r., jako data stała, nie warunkowa. Wytyczne Komisji do klasyfikacji (art. 6 ust. 5) miały być gotowe do 2 lutego 2026 r.; jest projekt z 19 maja 2026 r., wersji ostatecznej nie znaleźliśmy. Żadna norma zharmonizowana nie została przywołana w Dzienniku Urzędowym UE (stan na czerwiec 2026). Dwie ulgi Omnibusa istotne dla MŚP: elementy służące pomocy użytkownikowi, wydajności, wygodzie albo automatyzacji czynności nie są „elementami bezpieczeństwa” (art. 6), a ocenę skutków dla praw podstawowych można oprzeć na ocenie skutków dla ochrony danych (DPIA) wykonanej na potrzeby RODO (art. 27). Od 2 grudnia 2026 r. art. 5 zyskuje dwa nowe zakazy określonych praktyk z użyciem systemów AI, które tworzą lub przerabiają treści intymne bez zgody albo materiały przedstawiające seksualne wykorzystywanie dzieci — z warunkami i wyjątkami opisanymi w przepisie.

Do prawnika dzwonisz, gdy system dotyka zatrudnienia, kredytu, edukacji albo dostępu do usług; gdy sam coś rozstrzyga wobec osoby; gdy budujesz coś pod własną marką dla klientów; gdy dostawca nie potrafi odpowiedzieć na trzy pytania o art. 50; gdy ktoś proponuje „analizę emocji” w czymkolwiek. W ploch.ai budujemy wyłącznie systemy, które nie oceniają kandydatów — to jedna z zasad opisanych na stronie nasze standardy.

Kary: ile, kto nakłada i jak to wygląda w Polsce

Art. 99 ma trzy progi, niezmienione przez Omnibus: praktyki zakazane — do 35 mln euro lub 7% światowego rocznego obrotu, wyższa z kwot; obowiązki operatorów, w tym z art. 50 — do 15 mln euro lub 3%; nieprawdziwe informacje dla organów — do 7,5 mln euro lub 1%. Dla MŚP, w tym start-upów, stosuje się niższą z dwóch kwot (art. 99 ust. 6); Omnibus rozszerzył tę regułę na małe spółki o średniej kapitalizacji. Kwoty zostają w euro — ustawa przelicza je po średnim kursie NBP z 28 stycznia danego roku.

W Polsce kary nakłada KRiBSI decyzją, „w przypadkach, wysokości i na warunkach” rozdziału XII AI Act (art. 104 ustawy); może obniżyć karę o 10–50%, jeżeli naruszenie usunięto w trzy miesiące od ostrzeżenia. Odwołanie trafia do Sądu Okręgowego w Warszawie — sądu ochrony konkurencji i konsumentów; płatność w 30 dni od prawomocności. Utrudnianie kontroli jest wykroczeniem (art. 112–113). Rozdział 8 obowiązuje od 28 października 2026 r. — wcześniej KRiBSI nie może nałożyć żadnej kary.

Czego ten tekst nie rozstrzyga — i kiedy AI Act nie jest Twoim pierwszym problemem

• Nie rozstrzyga klasyfikacji ani podstawy prawnej. To prawnik i inspektor ochrony danych; my przygotowujemy materiał, na którym pracują.
• Kiedy AI Act to głównie rejestr i jedna strona dowodów. Dwa–trzy narzędzia biurowe, żadne nie rozmawia z klientami, nic nie dotyka zatrudnienia ani kredytu. Audyt zewnętrzny jest wtedy przesadą — wystarczy spisać rejestr w jedno popołudnie.
• Kiedy zgodność jest złym pierwszym projektem. Nie ma właściciela procesu, narzędzia wprowadzają się same, nikt nie wie, co wchodzi do modelu. Najpierw porządek w danych i procesie — AI Act przyjdzie z nim.
• Kiedy potrzebujesz prawnika, nie inżyniera. Lista z poprzedniej sekcji — a od 28 października 2026 r. także wiążąca opinia KRiBSI.
• Co się jeszcze zmieni. Ostateczne wytyczne do art. 6, normy, praktyka KRiBSI. Tekst ma datę i będzie aktualizowany.

Lista na 28 października 2026 — i co dalej

1. Rejestr systemów AI z rolą, obowiązkami i właścicielem każdego wiersza.
2. Trzy pytania — art. 5, załącznik III, art. 50 — zadane dla każdego wiersza.
3. Sprawdzone pierwsze zdanie chatbota i odpowiedź dostawcy na trzy pytania o art. 50.
4. Zestaw dowodów do art. 4 z datami.
5. Sprawy z kolumny „prawnik: tak” przekazane prawnikowi z rejestrem jako załącznikiem.
6. RODO obok AI Act: umowy powierzenia i konta firmowe zamiast prywatnych — o co pytać każdego dostawcę, zebraliśmy na stronie o bezpieczeństwie danych i RODO.
7. Data następnego przeglądu rejestru.

Jeżeli rejestr pokazuje więcej niż kilka systemów, coś rozmawia z klientami albo dotyka zatrudnienia, strona techniczna to: rejestr systemów, mechanizmy wdrożone w zakresie ustalonym przez prawnika i udokumentowany warsztat. Opisaliśmy ją przy technicznym sprincie zgodności z AI Act. Opisz nam, czego używasz. Odpowiemy, od czego zaczęlibyśmy.

Źródła i stan prawny na 9 października 2026 roku

• Rozporządzenie (UE) 2024/1689 — tekst skonsolidowany na EUR-Lex — art. 4, 5, 50, 99 i 113 (terminy stosowania).
• Rozporządzenie (UE) 2026/1744 (Digital Omnibus on AI) na EUR-Lex — nowe brzmienie art. 4 i nowe terminy dla systemów wysokiego ryzyka.
• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, Dz.U. 2026 poz. 1003 — karta aktu w ISAP z datami wejścia w życie; art. 19, 25, 26, 28, 125, 126 i 127.
• Uchwała Sejmu z 18 września 2026 r. w sprawie powołania Przewodniczącego KRiBSI, M.P. 2026 poz. 945.
• Uchwała Senatu z 24 września 2026 r. w sprawie wyrażenia zgody na powołanie Przewodniczącego KRiBSI, M.P. 2026 poz. 946.
• Wytyczne Komisji do art. 50 z 20 lipca 2026 r..
• Q&A Komisji Europejskiej o kompetencjach AI i strona Komisji o ramach regulacyjnych AI.