Odroczenie części obowiązków dotyczących systemów wysokiego ryzyka nie powinno usypiać czujności firm: AI Act jest już wdrażany etapami. Od 2 sierpnia 2026 r. rozpoczyna się kolejny kluczowy termin, zwłaszcza w zakresie obowiązków transparentności. Chatboty, treści generowane przez AI, deepfake’i, narzędzia HR, SaaS wzbogacone o AI, agenci konwersacyjni: IntelligenceArtificielle.com przypomina w materiałach referencyjnych, że organizacje muszą przejść dziś od monitorowania regulacyjnego do operacyjnego inwentarza swoich zastosowań AI.
W wielu firmach AI Act nadal trafia do szuflad „prawne”, „compliance” albo „do załatwienia później”. To błędna kalkulacja.
Europejskie rozporządzenie o sztucznej inteligencji nie jest już odległym tekstem. Weszło w życie 1 sierpnia 2024 r. i jest stosowane stopniowo. Zakazy dotyczące niektórych praktyk AI oraz obowiązek kompetencji AI obowiązują od 2 lutego 2025 r. Zasady zarządzania i obowiązki dotyczące modeli AI ogólnego przeznaczenia obowiązują od 2 sierpnia 2025 r. Kolejny duży etap nadejdzie 2 sierpnia 2026 r., wraz z ogólnym rozpoczęciem stosowania wielu przepisów, w szczególności obowiązków transparentności przewidzianych w art. 50.
Innymi słowy, pytanie nie brzmi już: „Co przewiduje AI Act?”. Brzmi raczej: „Czy wiemy, gdzie, jak i po co już korzystamy z AI w firmie?”
Przesunięcie dla high risk nie oznacza przesunięcia AI Act
Digital Omnibus mógł stworzyć wrażenie oddechu. Zasady dotyczące systemów AI wysokiego ryzyka mają zostać przeorganizowane, z planowanym stosowaniem od 2 grudnia 2027 r. dla systemów autonomicznych objętych załącznikiem III oraz od 2 sierpnia 2028 r. dla systemów zintegrowanych z produktami podlegającymi regulacjom sektorowym. Parlament Europejski zatwierdził te uproszczenia 16 czerwca 2026 r., ale tekst musi zostać jeszcze formalnie przyjęty przez Radę, zanim wejdzie w życie.
Ale to przesunięcie nie zawiesza pozostałej części rozporządzenia.
Nie odracza już obowiązujących praktyk zakazanych. Nie odracza obowiązku kompetencji AI. Nie odracza obowiązków dotyczących modeli AI ogólnego przeznaczenia. I nie powinno prowadzić firm do ignorowania terminu 2 sierpnia 2026 r.
Właśnie tu kryje się pułapka: przekonanie, że AI Act zaczyna się dopiero od systemów wysokiego ryzyka. W rzeczywistości pierwsza fala operacyjna dotyczy wielu znacznie powszechniejszych zastosowań: asystentów konwersacyjnych, chatbotów obsługi klienta, treści generowanych przez AI, tekstów publikowanych z pomocą AI, obrazów syntetycznych, sztucznych głosów, deepfake’ów, narzędzi generowania zintegrowanych z oprogramowaniem biznesowym.
Co zmienia się 2 sierpnia 2026 r.
Od 2 sierpnia 2026 r. obowiązki transparentności stają się kluczowe. Mają one w szczególności zapobiegać sytuacjom, w których użytkownicy wchodzą w interakcję z AI, nie wiedząc o tym, treści syntetyczne są rozpowszechniane bez odpowiedniego oznaczenia albo deepfake’i i niektóre treści generowane przez AI o znaczeniu publicznym są przedstawiane tak, jakby były całkowicie ludzkie.
Komisja Europejska opublikowała 10 czerwca 2026 r. Kodeks dobrych praktyk dotyczący transparentności treści generowanych przez AI. Ma on pomóc dostawcom i podmiotom wdrażającym spełniać obowiązki w zakresie oznaczania, etykietowania i wykrywania przewidziane w art. 50. Przystąpienie do kodeksu jest dobrowolne, natomiast obowiązki transparentności z art. 50 mają charakter prawny.
Dla firmy może to oznaczać bardzo konkretne pytania:
- czy klient wie, że rozmawia z chatbotem?
- czy treść opublikowana na temat interesu publicznego została wygenerowana lub istotnie zmodyfikowana przez AI?
- czy obraz, wideo lub syntetyczny głos są oznaczone jako takie?
- czy narzędzie wewnętrzne tworzy teksty, rekomendacje lub analizy wpływające na decyzje ludzi?
- czy zespoły marketingu, HR, obsługi klienta lub produktu wiedzą, co muszą ujawniać, archiwizować lub weryfikować?
Digital Omnibus przewiduje również termin do 2 grudnia 2026 r. dla niektórych obowiązków oznaczania treści generowanych przez AI w odniesieniu do systemów już wprowadzonych na rynek przed 2 sierpnia 2026 r. Ale tego okresu przejściowego nie należy rozumieć jako ogólnego odroczenia transparentności: dotyczy on konkretnego zakresu.
Prawdziwe ryzyko: niewidzialna AI
Największym ryzykiem dla firm nie zawsze jest duży projekt AI prezentowany na komitecie zarządzającym. Często jest nim AI, która już działa.
Funkcje AI aktywowane w CRM. Moduł scoringowy dodany do narzędzia marketingowego. Asystent HR testowany przez zespół rekrutacyjny. Generator treści używany przez dział komunikacji. Agent konwersacyjny podłączony do bazy dokumentów. Copilot biurowy wdrożony bez precyzyjnej mapy zastosowań. Dostawca, który wykorzystuje AI w swoich deliverables bez wyraźnego wskazania tego faktu.
Hub France IA słusznie podkreśla konieczność spisu systemów AI obecnych w organizacji, również tych zintegrowanych z rozwiązaniami rynkowymi, tych w fazie rozwoju, tych w produkcji oraz tych, które pojawiają się już na etapie ideacji. Jego przewodnik „Premiers pas vers l’IA de Confiance” zaleca prowadzenie rejestru systemów AI wraz ze źródłami danych, architekturą techniczną, przypadkami użycia biznesowego, grupami osób objętych oddziaływaniem, kontekstem wdrożenia oraz wstępną analizą ryzyka.
Ten sam dokument zwraca uwagę na systemy dostarczane przez strony trzecie — wydawców, dostawców, integratorów — które coraz częściej zawierają komponenty AI, czasem niewidoczne dla użytkownika końcowego. Wskazuje też zjawisko „Shadow AI”: nieformalne korzystanie z narzędzi ogólnego przeznaczenia, opcje AI dodawane przez dostawców, małe umowy SaaS zawierane poza procesem zakupowym, wewnętrzne eksperymenty poza radarem IT.
Właśnie tutaj zgodność z AI Act staje się kwestią ładu organizacyjnego, a nie tylko prawa.
Zgodność zaczyna się od rejestru
Dla wielu organizacji pierwszym sensownym krokiem nie jest uruchamianie dużego projektu prawnego. Jest nim stworzenie prostego rejestru zastosowań AI.
Taki rejestr nie musi być idealny pierwszego dnia. Ma pozwolić odpowiedzieć na kilka kluczowych pytań:
- jakie narzędzie lub system AI jest używany?
- przez jaki dział?
- do jakiego celu biznesowego?
- z jakimi danymi?
- na jakie osoby lub kategorie osób dane użycie może oddziaływać?
- czy firma działa jako zwykły użytkownik, podmiot wdrażający, integrator czy dostawca?
- czy dane użycie podlega obowiązkowi transparentności?
- czy może podlegać wysokiemu ryzyku?
- jakie dowody są przechowywane?
- który dostawca odpowiada za co?
Celem nie jest blokowanie innowacji. Celem jest odzyskanie kontroli.
Firma, która nie wie, gdzie korzysta z AI, nie może wykazać, że nią zarządza. A firma, która nie wie, kto używa czego, z jakimi danymi i w jakim celu, będzie miała duże trudności z odpowiedzią na pytania klienta, audytora, ubezpieczyciela, partnera, zamawiającego publicznego czy organu nadzoru.
Checklista do wdrożenia już teraz
Na kilka tygodni przed terminem 2 sierpnia 2026 r. firmy mogą działać według pragmatycznej metody.
1. Wyznaczyć lidera AI Act.
Nie chodzi koniecznie o tworzenie nowego stanowiska. Potrzebna jest jednak jasno wskazana osoba odpowiedzialna, zdolna koordynować IT, prawo, zakupy, biznes, HR, compliance, bezpieczeństwo i komunikację.
2. Uruchomić inwentaryzację zastosowań AI.
Rozpocząć od widocznych narzędzi: chatbotów, generatorów treści, copilotów, agentów wewnętrznych, API modeli, rozwiązań HR, narzędzi marketingowych, scoringowych i do analizy dokumentów.
3. Zidentyfikować niewidzialną AI.
Zapytać działy biznesowe, zakupy i dostawców. Krytyczne zastosowania nie zawsze znajdują się w oficjalnych projektach. Mogą być ukryte w opcjach SaaS, kontach indywidualnych lub lokalnych eksperymentach.
4. Stworzyć minimalny rejestr.
Dla każdego zastosowania: narzędzie, dostawca, cel, dział użytkownika, przetwarzane dane, osoby objęte oddziaływaniem, przewidywany poziom ryzyka, ewentualny obowiązek transparentności, nadzór człowieka, dostępne dowody.
5. Zidentyfikować zastosowania wrażliwe.
HR, rekrutacja, ocena pracowników, edukacja, kredyt, ubezpieczenia, zdrowie, biometria, bezpieczeństwo, dostęp do usług podstawowych: te obszary powinny zostać przeanalizowane w pierwszej kolejności.
6. Przygotować transparentność.
W przypadku chatbotów, agentów konwersacyjnych, treści generowanych, obrazów syntetycznych, sztucznych głosów, deepfake’ów lub tekstów dotyczących interesu publicznego firma musi zdecydować, co oznaczać, gdzie, jakim komunikatem, w jakim interfejsie i z jakim dowodem.
7. Przejrzeć umowy z dostawcami.
Zamawiający powinni wymagać od wydawców i usługodawców informacji niezbędnych do oceny: roli w łańcuchu wartości, dostępnej dokumentacji, używanego modelu, wykorzystywanych danych, warunków trenowania, logów, bezpieczeństwa, zmian wersji, wycofania usługi i podwykonawców.
8. Przeszkolić zespoły.
Kompetencje AI nie ograniczają się do ogólnego szkolenia. Rekruter, marketer, prawnik, programista, specjalista ds. zakupów czy menedżer mają różne ryzyka i potrzeby.
9. Ustanowić nadzór.
W przypadku najważniejszych zastosowań trzeba określić, kto kontroluje, kiedy, z jakimi progami alarmowymi i z jakimi działaniami naprawczymi. Hub France IA zaleca w szczególności ciągły nadzór, kontrolę człowieka, logi, alerty, monitoring biasów, procedurę zgłaszania incydentów oraz aktualizację dokumentacji.
10. Zbudować dossier dowodowe.
Zgodność to nie tylko działanie. To także możliwość wykazania, co zostało zrobione: rejestr, decyzje, analizy ryzyka, szkolenia, klauzule dla dostawców, zrzuty ekranu z informacji dla użytkownika, procedury wewnętrzne, logi i protokoły przeglądów.
Checklista do udostępniania w skróconym formacie:
Sankcje to tylko część problemu
AI Act przewiduje wysokie sankcje: do 35 mln euro lub 7% rocznego globalnego obrotu za praktyki zakazane, do 15 mln euro lub 3% za wiele innych naruszeń, w tym obowiązków transparentności, oraz do 7,5 mln euro lub 1% za przekazanie organom informacji nieprawidłowych, niepełnych lub wprowadzających w błąd.
Jednak najbardziej bezpośrednim ryzykiem dla wielu firm może być coś mniej spektakularnego: przegrany przetarg, brak możliwości odpowiedzi na kwestionariusz dostawcy, odkrycie, że narzędzie HR nie zostało właściwie sklasyfikowane, stwierdzenie, że chatbot klienta nie jest oznaczony, albo brak możliwości wykazania, że decyzja wspierana przez AI jest faktycznie nadzorowana przez człowieka.
Zgodność AI staje się więc także kwestią zaufania biznesowego.
W najbliższych miesiącach duże przedsiębiorstwa, zamawiający publiczni, ubezpieczyciele, inwestorzy i partnerzy technologiczni będą coraz częściej pytać: jakich systemów AI używacie? Z jakimi danymi? Do jakich zastosowań? Z jakim nadzorem? Z jakimi gwarancjami dostawców? Z jakimi dowodami?
Nie czekać na idealną zgodność
Pułapką byłoby czekanie na ostateczne wersje wszystkich przewodników, norm i praktyk rynkowych, zanim zacznie się działać. Na tym etapie nie chodzi o to, by mieć idealny system. Chodzi o to, by mieć pierwszą mapę, pierwszy rejestr, pierwszą analizę zastosowań wrażliwych i pierwszą zdolność odpowiedzi.
Zgodność z AI Act nie zaczyna się od segregatora prawnego. Zaczyna się od pytania operacyjnego: czy wiemy, co uruchamiamy, gdzie, po co, z jakimi danymi, na czyją odpowiedzialność i z jakimi dowodami?
Firmy, które będą potrafiły odpowiedzieć, zyskają przewagę. Pozostali odkryją, że AI wdrażana bez mapy szybko staje się niemożliwa do zarządzania.
Artykuł opiera się na materiale referencyjnym poświęconym operacyjnemu odliczaniu AI Act w firmie, wraz ze skonsolidowanym kalendarzem, już obowiązującymi wymogami, punktami uwagi dotyczącymi modeli AI ogólnego przeznaczenia, transparentności, high risk, dostawców oraz rejestru AI.
Niniejszy artykuł ma charakter ogólnej informacji i nie zastępuje porady prawnej dostosowanej do sytuacji każdej organizacji.