Wokół AI Act narosło sporo szumu, a producenci dostają sprzeczne sygnały: raz, że „wszystko wchodzi w sierpniu 2026", raz, że „terminy i tak przesunięto". Oba zdania są częściowo prawdziwe, i właśnie dlatego warto rozdzielić, co realnie obowiązuje teraz, a co dopiero nadejdzie. Ten tekst robi porządek i daje wam konkretną listę pytań do vendora AI.

Zastrzeżenie na wstępie: to nie jest porada prawna. To mapa, na której podstawie łatwiej rozmawiać z prawnikiem i z dostawcą, nie zastępuje żadnego z nich.

AI Act nie wchodzi „naraz", działa fazami

AI Act wszedł w życie 1 sierpnia 2024 r., ale jego przepisy stosuje się etapami. To kluczowe: pytanie nie brzmi „czy jesteśmy zgodni z AI Act", tylko „czy jesteśmy zgodni z obowiązkami, które obowiązują dziś, i czy jesteśmy na ścieżce do tych, które dopiero nadejdą".

Co już obowiązuje w połowie 2026 roku:

  • Zakazane praktyki, od lutego 2025. Systemy uznane za „nieakceptowalne ryzyko" (m.in. scoring społeczny, manipulacja podprogowa) są zakazane.
  • Obowiązki dla modeli ogólnego przeznaczenia (GPAI), od sierpnia 2025. Dotyczą dostawców dużych modeli: dokumentacja techniczna, transparentność, zarządzanie ryzykiem systemowym.
  • Krajowe organy nadzoru, wyznaczone i operacyjne; egzekwowanie przepisów już się zaczęło.

Najbliższy realny próg to 2 sierpnia 2026, kiedy wchodzą obowiązki transparentności z art. 50. Kary z art. 99 dotyczą operatorów, w tym deployerów, już od 2 sierpnia 2025 (art. 113 lit. b): do 35 mln EUR albo 7% obrotu za praktyki zakazane, 15 mln EUR albo 3% za większość innych naruszeń, 7,5 mln EUR albo 1% za wprowadzenie w błąd. Od 2 sierpnia 2026 wchodzą kary i uprawnienia egzekucyjne Komisji wobec dostawców modeli GPAI (art. 101), czyli sprawa dostawców modeli, nie wasza. To już nie jest, jak pierwotnie zakładano, moment wejścia większości przepisów: obowiązki dla systemów wysokiego ryzyka zostały przesunięte, o czym niżej.

Digital Omnibus: nowe terminy dla high-risk już obowiązują

To najświeższa i najważniejsza zmiana, od niedawna już przesądzona. Rada UE zatwierdziła Digital Omnibus on AI 29 czerwca 2026, a pakiet wszedł w życie 27 lipca 2026. Nowe terminy nie są więc scenariuszem, tylko obowiązującym stanem prawnym.

Co się zmieniło:

  • High-risk z Annex III (m.in. rekrutacja, scoring, infrastruktura krytyczna), termin zgodności przesunięty z sierpnia 2026 na 2 grudnia 2027;
  • High-risk wbudowane w produkty regulowane (Annex I), np. maszyny, wyroby medyczne, przesunięte na 2 sierpnia 2028;
  • Nowy zakaz dotyczący AI generującego materiały intymne bez zgody i CSAM, wchodzi 2 grudnia 2026;
  • Watermarking treści generowanych przez AI (art. 50 ust. 2) dla systemów już na rynku, przesunięty na 2 grudnia 2026;
  • Bez zmian: zakazane praktyki (od lutego 2025), obowiązki GPAI oraz kary dla operatorów, w tym deployerów (jedno i drugie od sierpnia 2025), a także obowiązki transparentności z art. 50, które wchodzą 2 sierpnia 2026.

Dla producenta wniosek jest praktyczny i trochę przewrotny: przesunięcie jest realne, ale nie jest powodem do demobilizacji. Grudzień 2027 wygląda daleko, dopóki nie policzycie, ile zajmuje klasyfikacja ryzyka, uporządkowanie dokumentacji i renegocjacja umowy z dostawcą. A obowiązki transparentności, które wchodzą 2 sierpnia 2026, dotyczą was bezpośrednio, natomiast przepisy o karach obowiązują od sierpnia 2025. Polski niuans wart odnotowania: ustawa o systemach sztucznej inteligencji jeszcze nie weszła w życie, a organ nadzoru (KRiBSI) jeszcze nie istnieje, więc obowiązek działa bezpośrednio z rozporządzenia, ale krajowa maszyneria egzekucyjna dopiero powstaje.

Co to oznacza dla typowego producenta

Większość producentów nie buduje własnych modeli, kupuje lub wdraża rozwiązania AI. W praktyce wasza rola to najczęściej deployer (podmiot stosujący), rzadziej provider. To rozróżnienie decyduje o tym, które obowiązki spadają na was, a które na vendora.

Drugie pytanie to klasyfikacja ryzyka. Nie każde zastosowanie AI w fabryce jest „high-risk". Asystent, który pomaga przeszukać dokumentację albo przygotować wstęp do oferty, zwykle nim nie jest. Ale AI wpięte w proces, który wpływa na bezpieczeństwo produktu albo na decyzje wobec pracowników, może już podlegać surowszym wymogom. Klasyfikacja to pierwszy krok, i nie róbcie jej „na oko".

Trzecia rzecz, często pomijana: AI Act nie jest jedyną regulacją w grze. Dla podmiotów objętych NIS2 wymogi dotyczące bezpieczeństwa i nadzoru nad dostawcami nakładają się na obowiązki z AI Act. Jeśli przygotowujecie się do audytu NIS2, AI traktujcie jako element tego samego krajobrazu, nie osobną wyspę.

O co zapytać vendora AI, zanim podpiszecie umowę

Omnibus już się rozstrzygnął, ale te pytania są odporne na kolejne zmiany dat, a tych będzie więcej. Jeśli vendor nie umie na nie odpowiedzieć konkretnie, to sygnał.

  1. Gdzie przetwarzane są nasze dane? Na waszej infrastrukturze, w dedykowanej instancji, czy w współdzielonym modelu publicznym? To pytanie o suwerenność danych i o to, co powiecie audytorowi.
  2. Kto jest providerem, a kto deployerem w tej relacji? Vendor powinien jasno powiedzieć, które obowiązki AI Act bierze na siebie, a które zostają po waszej stronie.
  3. Jak klasyfikujecie ryzyko naszego zastosowania? Dobry dostawca przejdzie z wami przez klasyfikację, a nie zbędzie was zapewnieniem „to nie jest high-risk".
  4. Czy zostaje audytowalny ślad? Czy widać, na jakich źródłach system oparł odpowiedź? Bez tego trudno wykazać zgodność i przejść audyt.
  5. Jak nadążacie za zmianami prawa? AI Act jest nowelizowany (Omnibus to dowód). Zapytajcie, jak vendor aktualizuje rozwiązanie wobec zmieniających się dat i wymogów.

Te pięć pytań nie wymaga, żebyście byli prawnikami. Wymaga tylko, żeby dostawca traktował zgodność jako część produktu, a nie jako wasz problem do rozwiązania po wdrożeniu. Jeśli szykujecie się do formalnego postępowania, warto zestawić je z dziesięcioma pytaniami, które warto zadać przed RFP.

Praktyczny wniosek

AI Act w 2026 roku to obraz „częściowo obowiązuje, częściowo nadchodzi, częściowo właśnie się przesuwa". Najgorszą strategią jest skrajność: albo panika („wszystko od sierpnia"), albo demobilizacja („i tak przesuną"). Rozsądna droga to znać swój obecny obowiązek, przygotowywać się do najbliższego progu i dobrać vendora, który tę zmienność rozumie i bierze na siebie jej część.

Chcecie uporządkować, które obowiązki AI Act i NIS2 realnie dotyczą waszego zakładu? Umówcie 30-minutową rozmowę z założycielem, przejdziemy to razem na waszym przypadku i pokażemy, gdzie obowiązki z AI Act pokrywają się z NIS2.

Powiązane