AI Act: terminy się przesunęły. Ale nie te, o których myślisz

Co się właściwie stało

7 maja 2026 Parlament Europejski, Rada i Komisja uzgodniły wstępnie tzw. Digital Omnibus on AI — pierwszy pakiet zmian w AI Act od jego przyjęcia w 2024 roku. Parlament zatwierdził go 16 czerwca, Rada dała ostateczną zgodę 29 czerwca 2026.

Powód był prozaiczny: normy zharmonizowane, na podstawie których firmy miały wykazywać zgodność, nie były gotowe na czas. Trudno wymagać spełnienia wymagań, których nikt jeszcze nie zapisał w standardzie. Przesunięcie dotyczy jednak wyłącznie systemów wysokiego ryzyka.

Kalendarz po zmianach

Co to znaczy dla przeciętnej polskiej firmy

Większość firm, z którymi rozmawiam, nie buduje systemów wysokiego ryzyka. Używa AI do obsługi klienta, pisania treści, streszczania dokumentów albo automatyzacji poczty. I właśnie takich zastosowań dotyczy to, co już obowiązuje:

1. Obowiązek informowania, że to AI

Jeśli Twój chatbot rozmawia z klientem, klient musi wiedzieć, że rozmawia z maszyną — chyba że jest to oczywiste z kontekstu. Treści generowane przez AI publikowane jako informacja dla odbiorców wymagają oznaczenia. To nie jest wymóg teoretyczny: kosztuje jedno zdanie w interfejsie, a jego brak jest łatwy do wykazania przez każdego, kto zajrzy na stronę.

2. AI literacy — kompetencje zespołu

Artykuł 4 wymaga od firm zapewnienia, by osoby zajmujące się AI miały wystarczający poziom wiedzy. Przepis jest ogólny i nie precyzuje formy. W praktyce oznacza to udokumentowane szkolenie zespołu — coś, o co spyta audytor albo klient korporacyjny w ankiecie dostawcy.

3. Zakazane praktyki

Obowiązują od lutego 2025 i mają najwyższy próg kar: 35 mln euro lub 7% światowego obrotu. Dwa punkty, które zaskakują firmy najczęściej, bo brzmią niewinnie w prezentacji dostawcy:

• Rozpoznawanie emocji w miejscu pracy i w szkołach — zakazane poza wąskimi wyjątkami (bezpieczeństwo, medycyna). Dotyczy też systemów „oceny zaangażowania" pracowników.
• Nieukierunkowane pobieranie wizerunków z internetu lub monitoringu w celu budowy baz rozpoznawania twarzy.

Dla małych i średnich firm kary liczy się korzystniej: obowiązuje kwota niższa z dwóch — procent obrotu albo kwota bezwzględna. Dla firmy z obrotem 2 mln zł górny próg to nie 35 mln euro, tylko 7% obrotu. To nadal dotkliwe, ale nie egzystencjalne.

Trzy tiery kar — dla porządku

Czy przesunięcie to powód, żeby odpuścić

Moim zdaniem nie — i to nie z powodów moralizatorskich, tylko praktycznych.

Po pierwsze, zgodność dopisana do gotowego systemu kosztuje wielokrotnie więcej niż zaprojektowana od początku. Rejestrowanie zdarzeń, opis danych treningowych i punkt, w którym człowiek zatwierdza decyzję maszyny — to elementy architektury. Dokładanie ich do działającego wdrożenia oznacza przepisywanie, nie dopisywanie.

Po drugie, coraz częściej to nie regulator jest pierwszym pytającym, tylko klient. Korporacyjne ankiety dla dostawców zawierają dziś pytania o AI, a odpowiedź „nie wiemy" eliminuje z przetargu niezależnie od terminów ustawowych. To samo dotyczy ubezpieczycieli i inwestorów due diligence.

Po trzecie — i to argument, który przekonuje najskuteczniej — większość wymagań AI Act to po prostu dobra inżynieria. Wiedzieć, na jakich danych model działa. Móc odtworzyć, dlaczego podjął taką decyzję. Mieć moment, w którym człowiek może się nie zgodzić. Firmy, które to mają, śpią spokojniej niezależnie od rozporządzenia.

Od czego zacząć

1. Spis zastosowań AI w firmie. Zwykle jest ich więcej, niż zarząd sądzi — działy same wprowadzają narzędzia. Bez spisu nie da się ocenić niczego dalej.
2. Ustal rolę. Jesteście dostawcą systemu AI czy podmiotem stosującym? Obowiązki różnią się zasadniczo, a firmy często zakładają błędnie, że skoro kupiły gotowe narzędzie, nie dotyczy ich nic.
3. Sprawdź, czy coś ociera się o zakazy. Krótka lista, ale najdroższa.
4. Dodaj informowanie o AI tam, gdzie użytkownik ma kontakt z systemem. Najtańszy możliwy krok.
5. Udokumentuj szkolenie zespołu. Wystarczy notatka: kto, kiedy, w jakim zakresie.