Czy AI Act obowiązuje w Polsce? Terminy, kary i pierwsze kroki

Czy AI Act obowiązuje w Polsce? Tak. To rozporządzenie Unii Europejskiej, więc dotyczy też Polski, ale jego przepisy wchodzą etapami. Część zasad już działa, a niektóre terminy bywają przesuwane. Większość małych firm ma niewiele obowiązków i może zacząć od przeglądu używanych narzędzi AI.

Czy AI Act obowiązuje w Polsce? Tak, ale nie wszystko naraz

Rozporządzenie obowiązuje w Polsce bezpośrednio od 1 sierpnia 2024. Jego przepisy zaczynają działać etapami, a pełne wdrożenie przewidziano na 2 sierpnia 2027. Część obowiązków masz więc już dziś, a część dopiero przed sobą.

Pytanie, czy AI Act obowiązuje w Polsce, ma w Google 10 wyszukiwań miesięcznie. W ostatnim roku wpisywano je od 0 do 30 razy w miesiącu. Temat jest niszowy, a dotyczy każdego, kto używa ChatGPT w firmie.

Rozporządzenie unijne a polska ustawa

Rozporządzenie działa bez czekania na polską ustawę. Polska ustawa o AI (formalnie: ustawa o systemach sztucznej inteligencji) wdraża je do polskiego porządku prawnego. Powołuje też nową, niezależną instytucję nadzorczą, czyli Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Rada Ministrów przyjęła jej projekt 31 marca 2026. Prezydent Karol Nawrocki podpisał ustawę 24 lipca 2026.

Obowiązki firm biorą się jednak z rozporządzenia. Ustawa mówi, kto pilnuje przepisów. Co masz zrobić, wynika z rozporządzenia.

Co to znaczy „obowiązuje” w praktyce

W praktyce to kalendarz z kolejnymi datami. Zakaz stosowania niektórych systemów AI, na przykład oceny społecznej obywateli, stosuje się od 2 lutego 2025. Od tego samego dnia trzeba też dbać o kompetencje pracowników. Obowiązek ujawniania kontaktu z AI ruszył 2 sierpnia 2026.

Inaczej wygląda to przy systemach wysokiego ryzyka, czyli na przykład w rekrutacji pracowników albo przy ocenie kredytowej. Ich terminy przesunięto i część nadal bywa przedstawiana jako wstępna. Dokładne daty znajdziesz w tabeli w kolejnej sekcji.

Kto podlega pod AI Act?

Czy AI Act obowiązuje w Polsce i dotyczy Twojej firmy, zależy od roli, w jakiej używasz AI. Adres firmy nie rozstrzyga sprawy.

Dostawca i użytkownik: dwie różne role

Rozporządzenie nazywa narzędzie AI „systemem AI” i rozróżnia dwie role:

• Dostawca tworzy system AI albo zleca jego stworzenie i wprowadza go do obrotu pod własną nazwą lub znakiem towarowym. Tak działa firma, która buduje własnego chatbota i sprzedaje go klientom.
• Użytkownik systemu AI, w tekście rozporządzenia „podmiot stosujący”, to każdy, kto korzysta z takiego systemu, o ile nie robi tego w osobistej działalności pozazawodowej. Firma, która pisze oferty w ChatGPT, trafia właśnie tutaj.

Większość małych firm to użytkownicy. Dostawcy dźwigają więcej obowiązków.

Firma spoza UE też może podlegać AI Act

Zasięg rozporządzenia wykracza poza granice Unii.

Wyobraź sobie amerykańską firmę, której narzędzie do rekrutacji ocenia kandydatów z Polski. Nie ma biura w Europie, a przepisy i tak jej dotyczą.

Cztery poziomy ryzyka w jednym akapicie

Niskie ryzyko obejmuje systemy bez znaczącego zagrożenia. Ograniczone dotyczy chatbotów, z którymi rozmawiają klienci: podlegają obowiązkom przejrzystości. Wysokie to na przykład rekrutacja pracowników albo ocena zdolności kredytowej. Zakazane to między innymi ocena społeczna ludzi, której po prostu nie wolno stosować.

Wymogi rosną razem z poziomem ryzyka i zależą od roli firmy. Zanim zestawisz je ze swoją firmą, zobacz, jak używać sztucznej inteligencji w pracy na co dzień.

Co już działa, a co jest przesunięte? Tabela terminów

Czy AI Act obowiązuje w Polsce w całości już teraz? Nie. Dlatego zamiast jednego „tak” masz poniżej tabelę: co działa, co czeka i co z tego wynika dla małej firmy.

Przepisy, które już obowiązują

Zakazane praktyki i obowiązek dbania o kompetencje zespołu stosuje się od 2 lutego 2025. Zasady dla modeli ogólnego przeznaczenia, czyli dużych modeli językowych, na których działa na przykład ChatGPT, ruszyły 2 sierpnia 2025. Zasady przejrzystości weszły w życie 2 sierpnia 2026. Dla systemów wprowadzonych do obrotu wcześniej obowiązek oznaczania treści generowanych przez AI obowiązuje od 2 grudnia 2026.

Terminy przesunięte i nadal wstępne

Przesunięcie dotyczy głównie systemów wysokiego ryzyka. Dla systemów wbudowanych w produkty, na przykład wyroby medyczne, mówi się o terminie 2 sierpnia 2028. Użytkownicy przypominają, że wymogi dla systemów wysokiego ryzyka miały ruszyć 2 sierpnia 2026. Razem z nimi miał ruszyć obowiązek prowadzenia dzienników zdarzeń, czyli automatycznych zapisów tego, co robi system.

Przy datach oznaczonych w tabeli słowem „wstępnie” jest zastrzeżenie. Użytkownicy piszą, że wstępne porozumienie unijnych instytucji przesuwa samodzielne systemy wysokiego ryzyka z załącznika III i znakowanie starszych systemów. Zmiany zyskują moc prawną dopiero po formalnym przyjęciu i publikacji. Daty z przesunięć traktuj więc jak plan, który może się jeszcze zmienić.

Co możesz zrobić z tymi datami?

• Pracuj dziś według dat obowiązujących: kompetencje zespołu i zakazy działają od dawna.
• Daty „wstępnie” zapisz w kalendarzu z dopiskiem „do potwierdzenia”.
• Sprawdź przed końcem roku, czy dostawca Twojego narzędzia do generowania treści ma plan na oznaczanie treści z AI.

Jakie kary grożą za naruszenie AI Act?

Czy AI Act obowiązuje w Polsce także od strony kar? Tak, a skala robi wrażenie. Za zakazane praktyki grozi do 35 mln euro albo do 7 proc. światowego obrotu, a stosuje się wyższą z tych dwóch wartości.

Ryzyko zależy od dwóch rzeczy: od Twojej roli i od poziomu ryzyka systemu. Dostawca odpowiada za więcej niż użytkownik. Za zakazy grozi wyższa kara maksymalna niż za obowiązki przy systemach wysokiego ryzyka.

Skala kar: zakazy i systemy wysokiego ryzyka

Najwyższe kary dotyczą zakazanych praktyk.

Dla niższego szczebla serwis Sphere podaje maksymalną karę 3 proc. światowego obrotu przy naruszeniach dotyczących systemów wysokiego ryzyka. To mniej niż przy zakazanych praktykach.

Kto realnie ryzykuje

Najbardziej ryzykuje ten, kto stosuje zakazane praktyki, na przykład ocenę społeczną ludzi. Polski projekt ustawy też przewiduje kary za naruszenia przy systemach wysokiego ryzyka. Firma, która pisze oferty w ChatGPT, jest daleko od takiej sytuacji.

Przepisy łagodzą skutki dla małych firm. W przypadku małych i średnich firm, w tym start-upów, kara nie przekracza niższej z dwóch wartości. Państwa członkowskie mają też uwzględniać interesy małych firm i ich sytuację ekonomiczną przy nakładaniu kar.

Czy w Polsce jest już ustawa o AI i kto będzie pilnował przepisów?

Czy AI Act obowiązuje w Polsce, to jedno pytanie. Czy działa polska ustawa o AI, to drugie. Starsze teksty mieszają te dwie sprawy i łatwo się w nich pogubić.

Rozporządzenie to nie to samo co polska ustawa

Polska ustawa o AI dopowiada szczegóły: kto nadzoruje rynek, jak złożyć skargę, jakie są procedury.

Zastrzeżenie: przepisy wykonawcze i obsada Komisji mogą się zmieniać z tygodnia na tydzień. Stan prac sprawdź w dniu, w którym czytasz ten tekst: w Dzienniku Ustaw i na stronie Ministerstwa Cyfryzacji.

Co w praktyce z nadzorem

Polski nadzór ma przejąć Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji. Będzie niezależną jednostką, obsługiwaną organizacyjnie przez Ministerstwo Cyfryzacji. Komisja będzie mogła sprawdzać, czy systemy AI spełniają wymagania. W razie potrzeby wycofa je z rynku lub ograniczy ich używanie.

Obywatele dostaną prawo do skarg na naruszenia przepisów. Komisja będzie też tworzyć piaskownice regulacyjne, czyli przestrzeń do testowania nowych technologii pod jej okiem.

Jak to będzie działać w codzienności? Użytkownicy piszą, że unijne urzędy niechętnie egzekwują przepisy, a organy spóźniają się z dokumentami. Piszą też, że firmy sprzedające programy do sprawdzania zgodności z AI Act wyolbrzymiają obowiązki. To głos z internetowej dyskusji, więc czytaj go jak opinię. Ale pokazuje, czemu warto sprawdzać oferty doradcze z dystansem.

Przy okazji: brak działającej Komisji nie znosi przepisów. Obowiązki z rozporządzenia liczą się od dat w tabeli, także gdy Komisja dopiero zaczyna pracę.

Jak krok po kroku sprawdzić, co AI Act oznacza dla Twojej firmy?

Czy AI Act obowiązuje w Polsce i obejmuje Twoją firmę, sprawdzisz sam, w jedno popołudnie. Na początek nie potrzebujesz prawnika. Wystarczy lista narzędzi i pięć kroków.

1. Spisz narzędzia AI, których używasz.
2. Sprawdź, czy robisz coś zakazanego.
3. Oceń poziom ryzyka każdego narzędzia.
4. Zadbaj o kompetencje zespołu.
5. Zapisz zasady i dokumentację.

Krok 1: spisz narzędzia AI, których używasz

Zacznij od wszystkiego, co korzysta z AI: ChatGPT, wtyczki do poczty, chatbot na stronie, narzędzie do rekrutacji. Zapytaj też zespół, bo część narzędzi pojawia się w firmie bez Twojej wiedzy. Przy okazji sprawdź, jak bezpiecznie wrzucać dane do AI.

Do uporządkowania listy możesz użyć ChatGPT. Wpisz takie polecenie:

Oto lista narzędzi AI, których używa moja firma: [wklej listę]. Dla każdego napisz, do czego służy, czy rozmawia z klientami i czy ocenia ludzi. Przypisz je do poziomu ryzyka z AI Act: niskie, ograniczone, wysokie albo zakazane. Zaznacz, w których miejscach nie masz pewności.

Odpowiedź ChatGPT to robocza hipoteza, którą sprawdzisz sam. Nie wklejaj danych klientów.

Krok 2: sprawdź, czy robisz coś zakazanego

Zakazy działają od 2 lutego 2025, więc ten krok ma pierwszeństwo.

Zakazana jest między innymi ocena społeczna ludzi i rozpoznawanie emocji w pracy. Sprawdź, czy żadne z Twoich narzędzi tego nie robi. Przykład: dodatek do wideorozmów w pracy, który po twarzach uczestników ocenia, czy są zadowoleni.

Krok 3: oceń poziom ryzyka

Przypisz każde narzędzie do poziomu ryzyka. Jeśli prosisz ChatGPT, żeby spośród CV z ogłoszenia wybrał najlepszych kandydatów, to zwykle system wysokiego ryzyka. Dzieje się tak, bo zatrudnienie należy do obszarów wysokiego ryzyka.

Internauci piszą, że rozróżnienie systemów wysokiego ryzyka od pozostałych bywa trudne, bo definicje są niejasne. Na przykład arkusz, który układa kandydatów w kolejności według ocen z CV: to jeszcze narzędzie pomocnicze czy już ocena ludzi? Gdy nie jesteś pewien, oznacz narzędzie jako „do konsultacji”.

Krok 4: zadbaj o kompetencje zespołu

Serwis Prawo.pl przypomina, że obowiązek dbania o kompetencje osób korzystających z AI obowiązuje bez zmian. W polskim tekście rozporządzenia nazywa się to: „kompetencje w zakresie AI”. Ten obowiązek działa od 2 lutego 2025. Obejmuje każdą firmę, w której ktoś używa ChatGPT.

Nie musisz zamawiać szkolenia na kilka dni. Naucz zespół, kiedy AI się myli i jak to sprawdzić. Pokaż na przykład, jak AI podaje wymyśloną cenę albo nieistniejący przepis, i gdzie to zweryfikować. Zapisz, kto i kiedy przeszedł takie krótkie szkolenie.

Krok 5: zapisz zasady i dokumentację

Dokumentacja to ostatni krok. Dla małej firmy wystarczy jedna strona: lista narzędzi, ich poziom ryzyka i to, kto za nie odpowiada. Nie ma uniwersalnego obowiązku prowadzenia formalnego rejestru ani powoływania „AI officera”, czyli osoby odpowiedzialnej w firmie za sztuczną inteligencję.

Internauci zwracają uwagę, że obowiązek oznaczania tekstu z AI nie dotyczy treści sprawdzonych przez człowieka, jeśli ktoś ponosi odpowiedzialność redakcyjną. Zapisz więc, kto u Ciebie zatwierdza publikowane teksty. Weźmy wpis na blogu firmowym: przed publikacją czyta go i akceptuje właściciel.

Co zrobić teraz i kiedy warto płacić prawnikowi?

Wiesz już, czy AI Act obowiązuje w Polsce i obejmuje Twoją firmę. Zostaje pytanie, ile zrobisz sam, a za co zapłacisz. Kolejność jest prosta: najpierw przegląd własnymi siłami, potem ewentualnie prawnik.

Kto powinien zająć się AI Act od razu

Działaj od razu, jeśli ktoś w firmie używa ChatGPT do pracy z klientami. To samo dotyczy chatbota na Twojej stronie i narzędzia, które ocenia kandydatów. W każdej z tych sytuacji dotyczą Cię obowiązki, które już ruszyły: kompetencje zespołu i ujawnianie kontaktu z AI.

Czytelnicy mojego bloga wpisali w Google w ciągu ostatnich dziewięćdziesięciu dni 40 zapytań. Najczęściej dotyczyły bezpieczeństwa sztucznej inteligencji (dane z Google Search Console): łącznie wyświetlono je 6704 razy. Najczęstsze brzmiało „czy sztuczna inteligencja jest niebezpieczna” i miało 895 wyświetleń.

Jeśli pracowników niepokoi, czy AI jest niebezpieczna, zacznij rozmowę od krótkiego przeglądu narzędzi i zasad.

Plan darmowy: przegląd własnymi siłami

Pierwszy krok jest darmowy i zajmuje jedno popołudnie. Przejdź przez pierwsze trzy kroki z poprzedniej sekcji, w tej kolejności:

• Spisz narzędzia AI, a zespół zapytaj o te, o których nie wiesz.
• Sprawdź, czy żadne z nich nie robi tego, co zakazane, na przykład nie ocenia ludzi społecznie.
• Zapisz na jednej stronie, kto za które narzędzie odpowiada i jakie niesie ryzyko.

Nie potrzebujesz do tego formalnego rejestru ani „AI officera”.

Kiedy dopiero prawnik

Płać prawnikowi, gdy któreś narzędzie wygląda na system wysokiego ryzyka, na przykład w rekrutacji albo ocenie kredytowej. Tak samo, gdy sam sprzedajesz klientom system AI pod własną nazwą, bo wtedy jesteś dostawcą. Prawnik przyda się też, gdy po trzecim kroku wciąż nie wiesz, jaki poziom ryzyka przypisać narzędziu.

Źródła nie podają cen takich usług, więc kwot nie zgaduję. Poproś o wycenę z podanym zakresem, zanim cokolwiek podpiszesz.

Ścieżka decyzji w skrócie:

• Mała firma z ChatGPT i chatbotem: plan darmowy, czyli własny przegląd i jedna strona zasad. Koszt: brak.
• Firma z rekrutacją lub oceną klientów przez AI: własny spis, potem konsultacja prawnika przy narzędziach wysokiego ryzyka. Cena zależy od zakresu, więc pytaj o wycenę.
• Dostawca systemu AI: prawnik od początku, bo odpowiadasz za więcej niż użytkownik. Cena do ustalenia z prawnikiem.

Najczęstsze pytania