W skrócie: najprawdopodobniej tak - ale zwykle jako podmiot stosujący AI (jej użytkownik), nie jako dostawca, a to znacznie lżejsze obowiązki. Część przepisów już obowiązuje: zakaz wybranych zastosowań i obowiązek kompetencji AI działają od lutego 2025. Najtrudniejsze terminy (systemy „wysokiego ryzyka”) UE przesunęła - nowe daty to grudzień 2027 i sierpień 2028 (tak stanowi pakiet Digital Omnibus, czyli rozporządzenie (UE) 2026/1744, w mocy od 27 lipca 2026). Ten sam pakiet złagodził obowiązek kompetencji AI: firma ma wspierać ich rozwój w zespole, a nie gwarantować konkretny poziom wiedzy każdego pracownika. Większość zwykłych zastosowań (jak ChatGPT do tekstów) to ryzyko minimalne z lekkimi wymogami. Panika jest niepotrzebna, ignorowanie tematu - też. (Stan na listopad 2026; to nie porada prawna.)
Czy AI Act w ogóle dotyczy mojej firmy?
Najpewniej tak, ale w roli, która niesie mniej obowiązków, niż się obawiasz. Rozporządzenie rozróżnia przede wszystkim dwie role: dostawcę (tego, kto tworzy system AI i wprowadza go na rynek pod swoją marką) oraz podmiot stosujący - czyli firmę, która używa gotowego systemu w swojej działalności. Jeśli korzystasz z ChatGPT, narzędzia od dostawcy albo aplikacji opartej na cudzym modelu, jesteś podmiotem stosującym - i to na dostawcy spoczywa większość ciężaru zgodności.
Warto wiedzieć jedno: AI Act działa eksterytorialnie, podobnie jak RODO. Obejmuje także firmy spoza UE, jeśli efekt działania ich systemu AI jest wykorzystywany w Unii. Dla Twojej firmy oznacza to, że nie da się „uciec” od przepisów, wybierając dostawcę z innego kontynentu.
Co decyduje o obowiązkach - kategorie ryzyka
Nie narzędzie, lecz sposób, w jaki go używasz. AI Act dzieli zastosowania na cztery kategorie ryzyka: niedozwolone (zakazane), wysokie, ograniczone (obowiązek przejrzystości) i minimalne. Im wyższe ryzyko, tym więcej obowiązków - ale zdecydowana większość typowych zastosowań biznesowych mieści się w dwóch najlżejszych koszykach.
Kluczowa pułapka jest taka, że to samo narzędzie może wpaść do różnych kategorii zależnie od użycia. ChatGPT do redagowania tekstów to ryzyko minimalne. Ten sam ChatGPT użyty do automatycznej selekcji życiorysów kandydatów to już zastosowanie wysokiego ryzyka, bo dotyczy decyzji o ludziach. Dlatego o klasyfikacji decyduje konkretne zastosowanie, a nie sam fakt posiadania narzędzia.
Nie wiesz, do której kategorii trafiają Twoje zastosowania AI? Pomożemy je przejrzeć i poukładać na bezpłatnej konsultacji - po ludzku, bez prawniczego żargonu.
Co już obowiązuje, a co dopiero wejdzie?
Część przepisów działa od dawna, najpoważniejsze terminy zostały przesunięte. Najprościej widać to w tabeli:
| Termin | Co zaczyna obowiązywać | Status |
|---|---|---|
| 1 sierpnia 2024 | Wejście rozporządzenia w życie | Obowiązuje |
| 2 lutego 2025 | Zakaz wybranych praktyk + obowiązek kompetencji AI | Obowiązuje |
| 2 sierpnia 2025 | Obowiązki dla modeli ogólnego przeznaczenia (GPAI) | Obowiązuje |
| 27 lipca 2026 | Wejście w życie Digital Omnibus: nowe terminy i złagodzony obowiązek kompetencji AI (art. 4) | Obowiązuje |
| 2 sierpnia 2026 | Stosowanie kar (art. 99) i pełna egzekucja | Obowiązuje |
| 2 grudnia 2027 | Systemy wysokiego ryzyka (Załącznik III) | Przesunięte z sierpnia 2026 (rozporządzenie 2026/1744) |
| 2 sierpnia 2028 | Wysokie ryzyko wbudowane w produkty | Przesunięte z sierpnia 2027 (rozporządzenie 2026/1744) |
Przesunięcie jest już obowiązującym prawem - Parlament Europejski przyjął stanowisko negocjacyjne w marcu 2026, w kwietniu Rada i Parlament uzgodniły treść, a 29 czerwca 2026 Rada dała pakietowi Digital Omnibus ostateczne zielone światło. Rozporządzenie (UE) 2026/1744 ukazało się w Dzienniku Urzędowym UE 24 lipca 2026 i weszło w życie trzeciego dnia po publikacji, czyli 27 lipca 2026. Nowe daty są pewne - planuj pod nie. Uwaga: obowiązki przejrzystości (m.in. oznaczanie treści AI z art. 50) NIE zostały przesunięte i obowiązują od 2 sierpnia 2026 - piszemy o nich we wpisie Czy trzeba oznaczać treści wytworzone przez AI. Wniosek praktyczny: masz więcej czasu na to, co najtrudniejsze (wysokie ryzyko), ale nie jesteś zwolniony z tego, co obowiązuje już dziś.
Czym jest obowiązek kompetencji AI i czemu dotyczy Cię już teraz?
To wymóg, żeby firma pomagała ludziom obsługującym AI rozumieć, czego używają - i obowiązuje od lutego 2025. Od lipca 2026 brzmi łagodniej: art. 4 AI Act nakazuje dostawcom i podmiotom stosującym podejmować „środki, które wspierają rozwój kompetencji w zakresie AI” personelu. Liczy się przy tym wiedza, doświadczenie i kontekst, w którym ludzie używają AI. Przepis dodaje wprost, że firma nie musi zapewniać osiągnięcia określonego poziomu kompetencji przez poszczególne osoby.
To złagodzenie względem pierwotnego brzmienia z 2024 roku. Ustawodawca uzasadnił je w motywach tego samego rozporządzenia: kompetencje w zakresie AI „powinny być priorytetem strategicznym, niezależnie od obowiązków regulacyjnych i potencjalnych sankcji”. Nie jest to też wymóg certyfikatu ani egzaminu. Komisja Europejska wyjaśnia, że certyfikat nie jest potrzebny, a działania można udokumentować wewnętrzną ewidencją szkoleń. Krajowe organy nadzorują ten obowiązek od 2 sierpnia 2026.
W praktyce obowiązek sprowadza się do szkoleń i innych działań dopasowanych do tego, kto i do czego używa AI - tych samych, które i tak decydują, czy wdrożenie AI w ogóle przyniesie zwrot. To rzadki przypadek, gdy wymóg regulacyjny i zdrowy interes firmy pokrywają się w stu procentach: ucząc ludzi mądrze korzystać z AI, jednocześnie spełniasz przepis i zmniejszasz ryzyko Shadow AI.
Kiedy moja firma używa AI „wysokiego ryzyka”?
Tylko w wąsko określonych zastosowaniach z listy w rozporządzeniu - i warto je znać, bo dotyczą typowych procesów w firmach. Załącznik III wymienia jako wysokie ryzyko m.in.:
- Rekrutacja i decyzje kadrowe - selekcja kandydatów, filtrowanie aplikacji, decyzje o awansie czy zwolnieniu. To najczęstszy punkt styku dla zwykłej firmy.
- Ocena zdolności kredytowej osób fizycznych - z wyjątkiem wykrywania oszustw finansowych.
- Komponenty bezpieczeństwa infrastruktury krytycznej - np. w zarządzaniu dostawami energii, wody czy ruchem.
Jeśli używasz AI w którymś z tych obszarów, dochodzą poważniejsze obowiązki (nadzór człowieka, dokumentacja, jakość danych). Jeśli nie - najprawdopodobniej zostajesz w lekkich kategoriach i wystarczy zdrowy rozsądek plus kompetencje zespołu.
Czym grożą naruszenia?
Kary są wysokie, ale ich konstrukcja chroni mniejsze firmy. AI Act przewiduje trzy progi: do 35 mln euro lub 7% światowego obrotu za zakazane praktyki, do 15 mln euro lub 3% za większość innych naruszeń oraz do 7,5 mln euro lub 1% za podanie organom błędnych informacji. Dla dużych firm liczy się kwota wyższa z dwóch.
Tu ważny szczegół dla mniejszych: w przypadku MŚP i startupów bierze się kwotę niższą z dwóch, a nie wyższą. Od lipca 2026 podobna zasada obejmuje małe spółki o średniej kapitalizacji - z wyjątkiem kar za zakazane praktyki. Realne ryzyko dla typowej firmy to zresztą nie maksymalna kara za zakazane praktyki - których raczej nie stosujesz - lecz drobne zaniedbania obowiązków, którym łatwo zapobiec wcześniej.
Co zrobić teraz?
Bez paniki i bez kosztownego projektu - wystarczy kilka uporządkowanych kroków:
- Ustal swoją rolę - niemal na pewno jesteś podmiotem stosującym, nie dostawcą.
- Zinwentaryzuj zastosowania AI i przypisz każdemu kategorię ryzyka - osobno, bo to samo narzędzie bywa różnie klasyfikowane.
- Wspieraj kompetencje AI zespołu i zapisuj, co robisz - to obowiązuje już teraz i jest najprostsze do spełnienia; do udokumentowania wystarczy wewnętrzna ewidencja szkoleń.
- Sprawdź obszary wysokiego ryzyka - zwłaszcza rekrutację i scoring, jeśli używasz tam AI.
- Spisz krótką politykę AI - kto, czego i jak używa. To samo narzędzie porządkuje zgodność i bezpieczeństwo danych.
Pierwszy krok jest ten sam, co przy każdym sensownym wdrożeniu: jeden obszar, uporządkowany dobrze, zanim weźmiesz się za całość. Opisaliśmy go we wpisie od czego zacząć.
Najczęstsze pytania
Czy muszę się bać AI Act, jeśli używamy AI tylko do tekstów? Nie. Takie zastosowania to ryzyko minimalne - bez ciężkich obowiązków. Dotyczy Cię głównie kompetencja zespołu i rozsądek w obchodzeniu się z danymi, a nie procedury dla systemów wysokiego ryzyka.
Czy przesunięcie terminów znaczy, że mogę nic nie robić? Nie. Przesunięto tylko obowiązki dla systemów wysokiego ryzyka. Zakazane praktyki i obowiązek kompetencji AI obowiązują od lutego 2025 - niezależnie od nowych dat.
Czy pracownicy potrzebują certyfikatu z AI? Nie. Od lipca 2026 przepis wymaga wspierania rozwoju kompetencji, a nie gwarantowania konkretnego poziomu wiedzy. Według Komisji Europejskiej certyfikat nie jest potrzebny - szkolenia i inne działania możesz udokumentować wewnętrzną ewidencją.
Czy AI Act dotyczy firmy spoza UE? Tak, jeśli efekt działania jej systemu AI jest używany w Unii. Sama siedziba poza UE nie zwalnia z przepisów - to ten sam mechanizm eksterytorialny, co w RODO.
Najważniejsze wnioski
- Najpewniej jesteś użytkownikiem, nie dostawcą - a to znacznie lżejsze obowiązki.
- O obowiązkach decyduje zastosowanie, nie narzędzie - to samo AI bywa ryzykiem minimalnym albo wysokim.
- Część przepisów już obowiązuje - zakazy i kompetencje AI od lutego 2025, niezależnie od przesunięć.
- Kompetencje AI to wspieranie, nie gwarancja - od lipca 2026 przepis wymaga działań dopasowanych do zespołu, a nie certyfikatów ani konkretnego poziomu wiedzy.
- Najtrudniejsze terminy zostały przesunięte - wysokie ryzyko na grudzień 2027 i sierpień 2028 (rozporządzenie 2026/1744, w mocy od lipca 2026) - to czas, nie zwolnienie.
- Kary chronią mniejszych - dla MŚP liczy się kwota niższa, nie wyższa.
- Działaj teraz, bez paniki - ustal rolę, zinwentaryzuj zastosowania, przeszkol zespół, spisz politykę.