AI Act po 2 sierpnia 2026

2 sierpnia 2026 r. miał być jednym z najważniejszych terminów w historii europejskich regulacji sztucznej inteligencji. Po dwóch latach od wejścia AI Act w życie większość rozporządzenia miała zacząć być stosowana. I rzeczywiście - od sierpnia zmieniło się bardzo dużo. Tyle że kilka tygodni wcześniej Unia przestawiła część zwrotnic.

W efekcie równocześnie dzieją się dwie rzeczy. Z jednej strony zaczynają działać nowe obowiązki przejrzystości i wzmacnia się egzekwowanie przepisów. Z drugiej - najważniejsze wymogi dotyczące wielu systemów wysokiego ryzyka zostały odsunięte na lata 2027 i 2028. Dlatego hasło „od 2 sierpnia cały AI Act obowiązuje” jest prawdziwe tylko w bardzo dużym uproszczeniu.

AI ma powiedzieć, że jest AI

Jedną z najbardziej widocznych dla zwykłego użytkownika zmian są przepisy art. 50 AI Act dotyczące przejrzystości. Jeśli system został zaprojektowany do bezpośredniej interakcji z człowiekiem, jego dostawca powinien zapewnić poinformowanie użytkownika, że ma on do czynienia z AI - chyba że jest to oczywiste z kontekstu.

W praktyce dotyczy to przede wszystkim chatbotów, wirtualnych asystentów i innych automatycznych systemów konwersacyjnych. Informacja powinna pojawić się najpóźniej przy pierwszej interakcji lub ekspozycji i być przekazana w sposób jasny oraz dostępny.

To jednak tylko pierwsza warstwa. Dostawcy systemów generujących syntetyczny tekst, obraz, dźwięk lub wideo mają zapewnić, aby ich wyniki były oznaczane w formacie możliwym do odczytu maszynowego oraz wykrywalne jako sztucznie wygenerowane lub zmanipulowane. Nie musi to oznaczać widocznego dla człowieka znaku wodnego. Chodzi o techniczne rozwiązanie pozwalające rozpoznać pochodzenie treści.

Warto zapamiętać: AI Act rozróżnia widoczne poinformowanie człowieka od technicznego oznaczenia treści możliwego do odczytu przez maszyny.

Deepfake trzeba ujawnić - ale nie każdy obraz AI

Druga część regulacji dotyczy podmiotów wykorzystujących systemy AI. Jeżeli publikowany obraz, dźwięk lub film stanowi deepfake - czyli syntetyczną lub zmodyfikowaną treść mogącą uchodzić za autentyczną - odbiorca powinien zostać poinformowany, że materiał został sztucznie wygenerowany albo zmieniony.

Prawo przewiduje jednak wyjątki i złagodzenia. W przypadku dzieł wyraźnie artystycznych, twórczych, satyrycznych lub fikcyjnych ujawnienie korzystania z AI może zostać wykonane w sposób, który nie utrudnia odbioru samego dzieła.

Osobną kategorię stanowią teksty generowane lub modyfikowane przez AI i publikowane w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Zasadą jest ujawnienie udziału AI. Obowiązek ten nie ma jednak zastosowania, jeśli tekst przeszedł proces ludzkiej weryfikacji lub kontroli redakcyjnej i osoba fizyczna albo prawna ponosi odpowiedzialność redakcyjną za publikację.

To istotny szczegół. AI Act nie wprowadza prostego nakazu umieszczania etykiety na każdej grafice, każdym zdaniu i każdym poście przygotowanym z pomocą narzędzia generatywnego. Zakres obowiązku zależy od rodzaju systemu, treści, roli podmiotu i sposobu wykorzystania materiału. Co więcej, rozporządzenie nie nakłada obowiązków deployera na osoby fizyczne korzystające z AI wyłącznie w ramach osobistej, nieprofesjonalnej aktywności.

Największy zwrot: high-risk nie wystartował zgodnie z dawnym planem

Pierwotny harmonogram sprawiał, że 2 sierpnia 2026 r. miał być również kluczową datą dla systemów wysokiego ryzyka. Chodzi między innymi o określone zastosowania AI w biometrii, edukacji, zatrudnieniu, dostępie do podstawowych usług, migracji, wymiarze sprawiedliwości czy administracji publicznej.

Takie systemy mają docelowo podlegać znacznie ostrzejszym wymaganiom: zarządzaniu ryzykiem, odpowiedniej jakości danych, dokumentacji technicznej, rejestrowaniu działania, nadzorowi człowieka, wymaganiom dotyczącym dokładności, odporności i cyberbezpieczeństwa.

Ale te przepisy nie zaczęły obowiązywać zgodnie z pierwotnym terminem. Przyjęty w lipcu 2026 r. Digital Omnibus on AI zmienił harmonogram. Dla systemów wysokiego ryzyka określonych przede wszystkim w załączniku III główne wymagania zaczną być stosowane 2 grudnia 2027 r. Dla systemów wysokiego ryzyka będących elementami produktów objętych unijnymi przepisami bezpieczeństwa termin przesunięto na 2 sierpnia 2028 r.

Powód nie jest tajemnicą. Unijne instytucje wskazują na opóźnienia w przygotowywaniu norm zharmonizowanych, wspólnych specyfikacji, wytycznych i infrastruktury niezbędnej do jednolitego stosowania prawa. Normy są ważne, ponieważ mogą dawać przedsiębiorcom praktyczną ścieżkę wykazania zgodności z wymaganiami AI Act.

Ciekawostka: przesunięcie high-risk nie oznacza zawieszenia całego rozdziału AI Act. Sierpniowe obowiązki przejrzystości dotyczące chatbotów i treści syntetycznych obowiązują niezależnie od tego harmonogramu.

Łagodniej z AI literacy, mocniej z egzekwowaniem

AI Omnibus zmienił także obowiązek dotyczący kompetencji w zakresie sztucznej inteligencji. Od lutego 2025 r. organizacje objęte AI Act miały obowiązek dbać o odpowiedni poziom AI literacy osób korzystających z systemów w ich imieniu. Nowe brzmienie przepisu jest bardziej elastyczne: dostawcy i podmioty stosujące AI mają podejmować działania wspierające rozwój tych kompetencji, ale nie muszą gwarantować osiągnięcia konkretnego poziomu przez każdą osobę.

W przeciwną stronę idzie natomiast egzekwowanie. Od 2 sierpnia 2026 r. AI Office Komisji Europejskiej wraz z właściwymi organami państw członkowskich zaczyna w pełniejszym zakresie nadzorować stosowanie AI Act. W przypadku modeli AI ogólnego przeznaczenia Komisja może między innymi żądać dokumentacji i informacji, prowadzić oceny modeli, wymagać działań naprawczych oraz stosować przewidziane prawem sankcje.

Dla dostawców systemów generujących syntetyczne treści istnieje jeszcze jeden ważny okres przejściowy. Jeżeli taki system został wprowadzony na rynek przed 2 sierpnia 2026 r., na dostosowanie do technicznego obowiązku znakowania wyników z art. 50 ust. 2 przewidziano czas do 2 grudnia 2026 r.

A co z Polską?

Unijne rozporządzenie działa bezpośrednio, ale potrzebuje krajowych organów i procedur nadzorczych. Polska przyjęła własną ustawę o systemach sztucznej inteligencji, która weszła w życie 11 sierpnia 2026 r. Przewiduje ona między innymi utworzenie Komisji Rozwoju i Bezpieczeństwa Sztucznej Inteligencji - KRiBSI - oraz ram dla polskich piaskownic regulacyjnych.

Według Ministerstwa Cyfryzacji Komisja ma między innymi rozpatrywać zgłoszenia dotyczące nieprawidłowego działania systemów AI, prowadzić działania informacyjne oraz zarządzać rozwiązaniami wspierającymi testowanie innowacyjnych systemów. Pełne uruchomienie nowego organu wymaga jednak czasu organizacyjnego.

Sierpień 2026 nie kończy więc wdrażania AI Act. Raczej oddziela dwie epoki. Przepisy dotyczące przejrzystości i część mechanizmów egzekwowania przestają być zapowiedzią. Jednocześnie najbardziej skomplikowany technicznie segment regulacji dostał dodatkowy czas.

Dla firm najgorszym rozwiązaniem byłoby potraktowanie przesunięcia high-risk jako sygnału, że można przestać się przygotowywać. Dokumentacja, klasyfikacja systemów, przypisanie odpowiedzialności, umowy z dostawcami i procesy zarządzania ryzykiem wymagają czasu. Dla użytkowników najważniejsza zmiana jest prostsza: coraz częściej powinniśmy wiedzieć, kiedy po drugiej stronie znajduje się maszyna i kiedy oglądany przez nas materiał nie jest tym, czym na pierwszy rzut oka się wydaje.

Materiał ma charakter informacyjny i nie stanowi porady prawnej. Przy ocenie obowiązków konkretnej organizacji znaczenie mają jej rola w rozumieniu AI Act, rodzaj systemu i sposób jego wykorzystania.