AI Act wszedł w życie – co naprawdę musi zrobić Twoja firma od 2 sierpnia 2026
Przez długi czas data 2 sierpnia 2026 roku była w środowisku prawników zajmujących się sztuczną inteligencją traktowana jako jedna z najważniejszych na drodze wdrażania unijnego rozporządzenia o AI. W ostatnich tygodniach przed tym terminem pojawiły się jednak informacje o „odroczeniu” części przepisów, co wielu przedsiębiorców odebrało jako sygnał, że mogą jeszcze poczekać z dostosowaniem się do nowych zasad. To błędny wniosek – i to taki, który może słono kosztować.
Co faktycznie zostało przesunięte
Tak zwany pakiet upraszczający AI Omnibus, który wszedł w życie 27 lipca 2026 roku, rzeczywiście zmienił harmonogram – ale tylko dla wąskiej kategorii systemów. Obowiązki dotyczące samodzielnych systemów wysokiego ryzyka, wymienionych w załączniku III rozporządzenia – między innymi narzędzi wykorzystywanych w rekrutacji, ocenie pracowników, edukacji czy ocenie zdolności kredytowej – zaczną obowiązywać dopiero od 2 grudnia 2027 roku. Dla systemów wbudowanych w produkty objęte unijnymi przepisami bezpieczeństwa termin przesunięto jeszcze dalej, na 2 sierpnia 2028 roku.
To odroczenie dotyczy jednak konkretnych, wąsko zdefiniowanych kategorii systemów – nie całego rozporządzenia. Dla zdecydowanej większości firm korzystających z narzędzi AI w codziennej pracy znacznie istotniejsze są przepisy, które żadnemu przesunięciu nie podlegały.
Obowiązek przejrzystości już obowiązuje
Artykuł 50 AI Act, dotyczący obowiązków przejrzystości, wszedł w życie dokładnie 2 sierpnia 2026 roku i nie został objęty żadnym odroczeniem. Komisja Europejska potwierdziła to w wytycznych opublikowanych jeszcze przed tą datą. W praktyce oznacza to, że firmy i inne podmioty korzystające ze sztucznej inteligencji muszą w jasny i wyraźny sposób informować odbiorców, gdy dana treść – grafika, nagranie audio, wideo czy tak zwany deepfake – została wygenerowana lub zmodyfikowana przez AI.
Szczególnej uwagi wymagają materiały dotyczące spraw publicznych – gospodarki, bezpieczeństwa, prawa czy zdrowia. Jeśli taki materiał powstał lub został zmieniony z użyciem AI, odbiorca musi otrzymać czytelną informację na ten temat. Wielu przedsiębiorców zakłada, że wystarczy dodać jedną formułkę gdzieś w regulaminie. W praktyce obowiązek jest znacznie szerszy i wymaga przeanalizowania każdego miejsca, w którym sztuczna inteligencja generuje treść lub komunikuje się z odbiorcą.
Kary, które trudno zignorować
Za naruszenie obowiązków przejrzystości grozi kara do piętnastu milionów euro lub trzech procent całkowitego rocznego obrotu firmy na całym świecie – w zależności od tego, która z tych kwot jest wyższa. Dla mniejszych i średnich przedsiębiorstw przewidziano niższy z progów, ale nawet on bywa dotkliwszy niż kary znane z RODO. Za stosowanie praktyk AI uznanych za zakazane – zasada obowiązująca już od lutego 2025 roku – grożą kary jeszcze wyższe, sięgające trzydziestu pięciu milionów euro lub siedmiu procent obrotu.
Jak zauważają prawnicy zajmujący się tym tematem, największe ryzyko pojawia się tam, gdzie technologia jest już wykorzystywana w wielu działach firmy jednocześnie, ale odpowiedzialność za zgodność z przepisami nie ma jednego właściciela. Dział marketingu zakłada, że to obowiązek dostawcy narzędzia, dostawca przerzuca odpowiedzialność na użytkownika, a dział prawny dowiaduje się o wykorzystaniu danego systemu dopiero po publikacji materiału.
Co dalej z generatywną AI
Warto zapisać sobie w kalendarzu jeszcze jedną datę. Od 2 grudnia 2026 roku systemy generatywnej sztucznej inteligencji wprowadzone na rynek przed 2 sierpnia 2026 roku będą musiały spełniać dodatkowy wymóg technicznego oznaczania treści, znany jako watermarking, umożliwiający ich maszynową wykrywalność. To kolejny krok w stronę świata, w którym pochodzenie treści – ludzkie czy sztuczne – ma być możliwe do zweryfikowania niezależnie od tego, czy odbiorca sam by się tego domyślił.
Dla firm oznacza to jedno: czas traktowania AI Act jako odległego problemu na przyszły rok bezpowrotnie minął. Regulatorzy kończą fazę tłumaczenia przepisów i przechodzą do ich egzekwowania – a organy nadzoru rynku w poszczególnych krajach członkowskich mają już pełne uprawnienia do kontroli i nakładania kar tam, gdzie obowiązki już weszły w życie.
