AI Act od 2 sierpnia 2026: co naprawdę wchodzi, a co przesunięto

Od kilku miesięcy słyszę to samo pytanie w różnych wariantach: „czy od sierpnia musimy mieć wszystko zgodne z AI Act, bo mamy jakieś AI w systemie?". Odpowiedź jest krótsza, niż się większości wydaje. Nie, nie musicie, a przynajmniej nie to, o czym myślicie. Data 2 sierpnia 2026 faktycznie coś uruchamia, ale nie to, czym straszą nagłówki.

Wokół tego rozporządzenia narosło sporo szumu, a lato 2026 dorzuciło jeszcze jeden zwrot akcji, o którym nie wszyscy zdążyli przeczytać. Przeczytaliśmy przepisy za Ciebie i poukładaliśmy je tak, żeby dało się z tego wyjść z konkretną listą rzeczy do zrobienia. Bez prawniczego żargonu, za to z rozróżnieniem: co pilne teraz, a co spokojnie planujesz na przyszły rok.

Zacznijmy od nowości, bo ona zmienia obraz najbardziej. W czerwcu 2026 Unia przyjęła pakiet upraszczający zwany Digital Omnibus. Parlament przegłosował go 16 czerwca, Rada zatwierdziła 29 czerwca. Efekt jest taki, że najbardziej wymagające obowiązki, te dla systemów wysokiego ryzyka, zostały przesunięte w czasie.

Konkretnie: samodzielne systemy z Aneksu III, czyli te typowo wysokiego ryzyka, jak scoring kredytowy czy narzędzia rekrutacyjne, miały ruszyć 2 sierpnia 2026, a ruszą 2 grudnia 2027. AI wbudowane w produkty już regulowane, opisane w Aneksie I, dostało czas do 2 sierpnia 2028. Powód jest prozaiczny i szczerze mówiąc dość rozsądny. Nie zdążono z normami technicznymi z artykułu 40, bez których nie da się sensownie przeprowadzić oceny zgodności. Trudno wymagać zgodności ze standardem, który jeszcze nie istnieje.

I tu jest sedno, które ginie w uproszczeniach. Przesunięcie wysokiego ryzyka nie oznacza, że sierpień 2026 to pusta data. Wtedy zaczynają obowiązywać obowiązki przejrzystości z artykułu 50, i to one dotyczą znacznie szerszego grona firm niż wysokie ryzyko.

O co chodzi w praktyce. Jeśli masz na stronie chatbota, musisz jasno poinformować użytkownika, że rozmawia z maszyną, a nie z człowiekiem. Jeśli generujesz treści, obrazy, audio czy wideo za pomocą AI, w tym deepfake, trzeba je oznaczyć jako wygenerowane lub zmodyfikowane sztucznie. To samo dotyczy systemów rozpoznających emocje i kategoryzacji biometrycznej, gdzie trzeba poinformować osoby, że taki mechanizm działa. Zwróć uwagę, że to obowiązki, które da się spełnić bez przebudowy całego systemu, ale trzeba o nich pamiętać zawczasu.

Jeden szczegół z artykułu 50 wymaga osobnej uwagi, bo bywa mylony ze zwykłą adnotacją. Oznaczenie treści wygenerowanej przez AI ma być „machine-readable", czyli czytelne maszynowo, a nie tylko dopiskiem „stworzone przez AI" gdzieś pod obrazkiem. W praktyce oznacza to metadane albo znak wodny, który potrafi odczytać inny program, nie tylko ludzkie oko.

Jest tu jednak drobne ustępstwo, które warto znać. Dla systemów generatywnych wprowadzonych na rynek przed 2 sierpnia 2026 wymóg oznaczania czytelnego maszynowo został odroczony do 2 grudnia 2026. Masz więc kilka miesięcy poślizgu, jeśli Twoje narzędzie istniało wcześniej. Ale to bufor techniczny, a nie zwolnienie z obowiązku, więc nie traktowałbym go jak wymówki, tylko jak czas na porządne wdrożenie.

Warto powiedzieć wprost, że część AI Act obowiązuje od dawna i Digital Omnibus jej nie ruszył. Zakazane praktyki, na przykład manipulacyjne systemy czy scoring społeczny, są zakazane już od lutego 2025. Jeśli ktoś liczył, że sierpniowe przesunięcie ich dotyczy, to nie dotyczy.

Podobnie obowiązek „AI literacy", czyli zapewnienia, że osoby obsługujące systemy AI mają odpowiednie kompetencje, jest aktywny i nie ma tu odroczenia. Do tego dochodzą obowiązki dla modeli ogólnego przeznaczenia, tak zwanych GPAI, które ruszyły w sierpniu 2025. Jeśli budujesz na cudzym dużym modelu albo sam taki dostarczasz, ten kawałek już Cię dotyczy. Krótko mówiąc, przesunięto konkretny fragment układanki, a nie całość.

Nie lubię straszyć karami, bo to zwykle zła motywacja, ale liczby mają tu znaczenie dla oceny ryzyka. Za najpoważniejsze naruszenia AI Act przewiduje kary do 35 milionów euro albo 7 procent światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa. To pułap zarezerwowany dla przypadków skrajnych, głównie zakazanych praktyk, a nie dla firmy, która zapomniała podpisać chatbota.

Sens tych liczb jest inny, niż się wydaje. One pokazują, że regulator traktuje sprawę serio i że warto mieć porządek w papierach oraz w kodzie, zanim ktoś zapyta. Dla większości firm realne ryzyko to nie jest maksymalna kara, tylko koszt nerwowego łatania systemu na ostatnią chwilę, gdy klient albo kontrahent zacznie wymagać dowodów zgodności.

Zbierzmy to w prostą decyzję. Jeśli masz chatbota, generujesz treści lub grafiki AI, albo publikujesz materiały tworzone przez modele, temat przejrzystości dotyczy Cię już teraz i warto ogarnąć go przed sierpniem. Jeśli Twoje AI to typowe wysokie ryzyko, jak rekrutacja czy scoring, masz realnie czas do grudnia 2027, więc zamiast panikować, zaplanuj to na spokojnie i porządnie.

W aveneo podchodzimy do tego od strony projektowej. Budujemy narzędzia AI ze zgodnością wbudowaną od początku, bo oznaczenie treści, informacja o chatbocie czy logika przejrzystości to rzeczy tanie i bezbolesne, gdy zaplanujesz je na etapie architektury, a kosztowne, gdy trzeba je dokleić do gotowego systemu. To podejście „compliance by design", które w praktyce oznacza, że nie przepisujesz systemu, tylko dobrze go projektujesz.

Jeśli nie masz pewności, które z tych obowiązków dotyczą akurat Twojego produktu, chętnie usiądziemy i przejdziemy przez to razem. Krótki przegląd tego, co masz i co wchodzi w sierpniu, zwykle wystarczy, żeby wyjść z listą konkretnych kroków zamiast ogólnego niepokoju. Odezwij się, zanim zrobi się z tego pożar do gaszenia na ostatnią chwilę.