AI Act dla firm - zmiany po 2 sierpnia 2026: nowe obowiązki i polska ustawa o sztucznej inteligencji | Szkolenia AI dla firm, warsztaty i doradztwo AI

Sierpień 2026 to kolejny ważny punkt na regulacyjnej mapie sztucznej inteligencji w Europie.

2 sierpnia zaczęły być stosowane kolejne przepisy unijnego AI Actu, a zaledwie dziewięć dni później, 11 sierpnia, weszła w życie zasadnicza część polskiej ustawy o systemach sztucznej inteligencji. I o ile przez ostatnie dwa lata o AI Act dużo się mówiło, teraz coraz wyraźniej przechodzimy z etapu dyskusji o regulacjach do etapu ich realnego stosowania i egzekwowania.

AI Act dla firm oznacza zasadniczą zmianę

AI governance, transparentność, dokumentowanie sposobu korzystania z AI czy przygotowanie pracowników nie są już tematami, którymi warto zainteresować się kiedyś. Stopniowo stają się elementami normalnego systemu compliance organizacji. Choć gros firm nadal podchodzi do tematu nieco jak pies do jeża, to zaczynają pojawiać się u nas pytania o szkolenia dla menedżerów o tematyce jak podjeść do zmian prawnych. O czym warto wiedzieć prowadząc biznes lub zarządzając firmą?

2 sierpnia to wejście w życie kolejnego etapu AI Act

AI Act obowiązuje od 2024 roku, ale jego przepisy są stosowane etapami. Pierwszy istotny etap nastąpił już 2 lutego 2025 r. i od tego momentu zaczęły być stosowane między innymi przepisy dotyczące zakazanych praktyk AI oraz obowiązek podejmowania działań wspierających rozwój kompetencji pracowników w zakresie AI, czyli tzw. AI literacy.

Od 2 sierpnia 2026 r. doszły kolejne regulacje. Jednym z najważniejszych obszarów jest transparentność wynikająca z art. 50 AI Act. A te zmiany są już znacznie bardziej zauważalne dla nas, jako użytkowników.

Co to oznacza? Między innymi:

użytkownik powinien zostać poinformowany, że komunikuje się z systemem AI, jeżeli z okoliczności nie wynika to jednoznacznie,
dostawcy określonych systemów generatywnych mają obowiązki związane z umożliwieniem identyfikowania treści wygenerowanych lub zmanipulowanych przez AI,
deepfakei podlegają obowiązkom informacyjnym,
użytkownicy powinni być informowani o stosowaniu systemów rozpoznawania emocji i kategoryzacji biometrycznej,
określone teksty generowane przez AI dotyczące spraw interesu publicznego również podlegają wymogom transparentności, jeśli nie przeszły odpowiedniej kontroli redakcyjnej.

Czyli bardzo upraszczając – coraz trudniej będzie wykorzystywać AI w tle, bez poinformowania o tym odbiorcy. To istotne nie tylko dla producentów technologii. Dotyczy także organizacji wykorzystujących AI w komunikacji, marketingu, obsłudze klienta, mediach czy procesach wewnętrznych.

Ale uwaga: AI Act nie wszedł 2 sierpnia w całości!

Tutaj pojawia się bardzo istotne zastrzeżenie. W lipcu 2026 r. przyjęto Digital Omnibus on AI, który zmienił część harmonogramu AI Act, w efekcie stosowanie części obowiązków dotyczących systemów wysokiego ryzyka zostało przesunięte.

Dla systemów klasyfikowanych jako wysokie ryzyko odpowiednie przepisy mają być stosowane od 2 grudnia 2027 r.
Dla systemów wysokiego ryzyka związanych z produktami od 2 sierpnia 2028 r.

To ważne, ponieważ w ostatnich miesiącach pojawia się wiele uproszczonych komunikatów w rodzaju: Od 2 sierpnia 2026 firmy muszą być zgodne z całym AI Act. Nie. Harmonogram jest bardziej skomplikowany, a wdrażanie tego zaczyna nieco przypominać czasy wejścia RODO. Jednocześnie przesunięcie części terminów absolutnie nie oznacza, że organizacje mogą odłożyć temat AI governance na kolejne dwa lata. Część obowiązków już funkcjonuje, inne właśnie zaczęły być stosowane, a równolegle powstaje infrastruktura, która ma umożliwić ich egzekwowanie.

I właśnie tutaj dochodzimy do Polski…

11 sierpnia 2026 – Polska uruchamia własny system nadzoru nad AI

11 sierpnia 2026 r. weszła w życie zasadnicza część ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji, dla zainteresowanych – Dz.U. 2026 poz. 1003. Ustawa została ogłoszona 27 lipca.

I tutaj ważne rozróżnienie. Polska ustawa nie zastępuje AI Act i nie tworzy drugiego, alternatywnego systemu regulowania sztucznej inteligencji. AI Act jest rozporządzeniem unijnym i obowiązuje bezpośrednio. Polska ustawa buduje natomiast krajową infrastrukturę potrzebną do jego stosowania, w tym organy, procedury kontrolne, postępowania, zasady nakładania kar, system oceny zgodności oraz mechanizmy wspierania innowacji. I pod tym względem jest bardzo interesująca.

1. Powstaniee polski regulator AI

Centralnym elementem systemu jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Komisja będzie organem nadzoru rynku w rozumieniu AI Act, a jednocześnie pojedynczym punktem kontaktowym dla spraw związanych z nadzorem nad systemami AI. Jej kompetencje są szerokie, komisja będzie m.in.:

kontrolowała przestrzeganie AI Act i polskiej ustawy,
prowadziła postępowania dotyczące naruszeń,
wydawała decyzje,
prowadziła rejestr skarg,
wydawała opinie indywidualne,
tworzyła i prowadziła piaskownice regulacyjne,
prowadziła działania edukacyjne,
monitorowała rozwój rynku AI,
współpracowała z regulatorami w innych państwach oraz instytucjami UE,
wspierała rozwój innowacji i konkurencyjność gospodarki w obszarze AI.

To pokazuje, że polski model nie został zaprojektowany wyłącznie jako system karania, a regulator ma łączyć nadzór, edukację, wsparcie innowacji i egzekwowanie prawa.

2. Regulator formalnie powstaje, ale potrzebuje czasu na uruchomienie

To jeden z elementów, który warto mocno podkreślić. Wejście ustawy w życie nie oznacza, że 11 sierpnia rano w pełni operacyjna Komisja zaczęła kontrolować polskie przedsiębiorstwa. Ustawa przewiduje okres organizacyjny. Sejm, za zgodą Senatu, ma dwa miesiące od wejścia ustawy w życie na powołanie przewodniczącego Komisji. Pierwsze posiedzenie KRiBSI ma zostać zwołane w ciągu trzech miesięcy od wejścia ustawy w życie. Oznacza to, że jesień 2026 r. będzie w praktyce okresem budowania polskiej infrastruktury nadzoru nad AI.

3. Przy Komisji powstanie Społeczna Rada ds. Sztucznej Inteligencji

To kolejny ciekawy element, przy KRiBSI ma funkcjonować Społeczna Rada do spraw Sztucznej Inteligencji, takie ciało opiniodawczo-doradcze. Ma liczyć od 9 do 15 członków, wybieranych na dwuletnią kadencję. Kandydatów będą mogły zgłaszać np. instytucje publiczne, organizacje przedsiębiorców, środowisko naukowe, organizacje społeczne i związki pracodawców.

Rada będzie mogła nie tylko opiniować sprawy przekazywane jej przez Komisję. Będzie mogła również z własnej inicjatywy przedstawiać stanowiska, a nawet przekazywać przewodniczącemu Komisji wnioski dotyczące wszczęcia postępowania w sprawie naruszenia AI Act lub polskiej ustawy.

4. Firmy będzie można realnie kontrolować

To zapewne jeden z najbardziej interesujących dla biznesu fragmentów ustawy. Polski system przewiduje formalne postępowania kontrolne i postępowania w sprawie naruszenia AI Act. To moment, w którym AI compliance przestaje być abstrakcyjną koncepcją, bo jeśli organizacja korzysta z rozwiązania objętego konkretnymi obowiązkami regulacyjnymi, nie wystarczy powiedzieć: Tak, mamy politykę korzystania z AI.

Trzeba będzie być w stanie wykazać, jak AI jest wykorzystywane, jaka jest rola organizacji w rozumieniu AI Act, jakie ryzyka zostały zidentyfikowane i w jaki sposób realizowane są właściwe obowiązki.

I tutaj pojawia się kolejna bardzo ważna data – 28 października 2026

Nie wszystkie przepisy polskiej ustawy zaczęły obowiązywać 11 sierpnia. Ustawa wprost przewiduje, że przepisy dotyczące opinii indywidualnych oraz rozdziały związane z kontrolami, postępowaniami i karami wchodzą w życie po upływie trzech miesięcy od jej ogłoszenia. W praktyce oznacza to 28 października 2026 r. i wtedy zacznie działać znacznie większa część instrumentarium egzekwowania prawa. To właśnie tę datę firmy powinny szczególnie zapisać w kalendarzu.

5. Pojawi się możliwość uzyskania indywidualnej opinii

To moim zdaniem jeden z ciekawszych mechanizmów polskiej ustawy. Podmiot już objęty regulacjami albo dopiero planujący przedsięwzięcie, które może wejść w zakres AI Act, będzie mógł wystąpić do Komisji o opinię indywidualną dotyczącą konkretnego stanu faktycznego albo przyszłego projektu.

Dla biznesu może to być bardzo wartościowe. Wyobraźmy sobie firmę, która chce wdrożyć nowy system AI w HR, bankowości, ubezpieczeniach, ochronie zdrowia czy obsłudze klienta i nie jest pewna, jaka kwalifikacja prawna powinna mieć zastosowanie. Zamiast opierać decyzję wyłącznie na własnej interpretacji, będzie mogła wystąpić o stanowisko regulatora. To potencjalnie może znacząco ograniczać ryzyko regulacyjne bardziej złożonych projektów. Kolejne pytanie, kto realnie takie opinie będzie wydawał?

6. Piaskownice regulacyjne: nie tylko kontrola, ale też eksperymentowanie

Kolejny ciekawy element to regulatory sandboxes, czyli piaskownice regulacyjne. Ich idea polega na tym, że organizacja może rozwijać i testować rozwiązanie AI w kontrolowanym środowisku przy wsparciu regulatora. Polska ustawa przewiduje możliwość wsparcia np. w zakresie:

zarządzania ryzykiem,
danych treningowych, walidacyjnych i testowych,
dokumentacji technicznej,
prowadzenia rejestrów zdarzeń,
systemów zarządzania jakością,
oceny zgodności,
deklaracji zgodności UE,
oznakowania CE,
rejestracji w bazie UE,
monitorowania systemu po wprowadzeniu go na rynek.

Co ciekawe, ustawa określa również ramy czasowe: udział w piaskownicy ma trwać od 6 do 12 miesięcy. To pokazuje coś bardzo ważnego – regulowanie AI nie musi oznaczać blokowania innowacji. Dobrze zaprojektowany system może działać odwrotnie, pozwalać firmom bezpieczniej eksperymentować, zanim rozwiązanie trafi na szeroki rynek.

7. Państwo będzie mogło finansować rozwój AI

Ten fragment ustawy jest mniej medialny, ale z perspektywy rozwoju rynku może być bardzo istotny. Minister właściwy ds. informatyzacji będzie mógł udzielać pomocy finansowej na badania naukowe i prace rozwojowe oraz finansować lub współfinansować programy i projekty związane z AI. Źródłem mogą być zarówno środki budżetu państwa, jak i fundusze UE czy środki pochodzące z pomocy zagranicznej. Ustawa nie jest więc wyłącznie ustawą o kontroli AI. To również ustawa zawierająca mechanizmy wspierania rozwoju technologii.

Co jeszcze ciekawsze, minister właściwy ds. informatyzacji ma każdego roku do 31 marca przekazywać Radzie Ministrów oraz Komisji informację na temat zasobów obliczeniowych potrzebnych do dalszego rozwoju AI i prognozowanego zużycia energii z tego tytułu. To detal, ale bardzo dobrze pokazuje, jak szeroko państwo zaczyna patrzeć na ekosystem sztucznej inteligencji – nie tylko przez pryzmat aplikacji i modeli, lecz również infrastruktury niezbędnej do ich rozwoju.

8. Powstaje system oceny zgodności AI

Minister właściwy ds. informatyzacji będzie pełnił rolę organu notyfikującego dla jednostek zajmujących się oceną zgodności systemów AI. Istotną rolę otrzymuje również Polskie Centrum Akredytacji, które będzie wspierało tworzenie procedur oraz programu akredytacji jednostek oceniających zgodność. Dla części rynku może to z czasem stworzyć zupełnie nowy ekosystem usług związanych z audytami AI, oceną zgodności, certyfikacją, zarządzaniem ryzykiem oraz AI governance.

9. A na końcu są oczywiście sankcje

Polska ustawa określa krajowy mechanizm nakładania administracyjnych kar pieniężnych przewidzianych przez AI Act. Komisja będzie mogła wydawać decyzje o ich nałożeniu w przypadkach i wysokościach wynikających z unijnego rozporządzenia. Ale z punktu widzenia biznesu największym błędem byłoby sprowadzenie całego AI Act właśnie do kar.

Bo najważniejsza zmiana jest inna -AI zaczyna być kolejnym obszarem corporate governance Przez ostatnie dwa lata wiele firm działało według podobnego modelu:

pracownicy zaczęli korzystać z ChatGPT, Copilota, Gemini i dziesiątek innych aplikacji;
część organizacji kupiła rozwiązania enterprise;
powstały pierwsze polityki AI;
zorganizowano szkolenia;
pojawiły się pilotaże agentów AI i automatyzacji.

Teraz zaczyna się kolejny etap. AI trzeba zacząć traktować jak proces, którym organizacja świadomie zarządza. Nie tylko jak kolejne narzędzie IT.

Dlatego dzisiaj zarząd powinien znać odpowiedzi przynajmniej na kilka pytań:

1. Jakie systemy AI rzeczywiście wykorzystujemy? Nie tylko oficjalnie kupione przez IT, ale również te używane oddolnie przez zespoły.

2. Do czego je wykorzystujemy? Inne ryzyka niesie generowanie posta na LinkedIn, inne preselekcja kandydatów, scoring klienta czy system wspierający decyzje dotyczące pracowników.

3. Jaką rolę pełnimy w rozumieniu AI Act? Czy jesteśmy dostawcą rozwiązania, podmiotem stosującym, importerem, dystrybutorem, a może w konkretnym projekcie zmieniamy swoją rolę?

4. Jakie obowiązki już nas dotyczą, a jakie zaczną obowiązywać później? Harmonogram AI Act po zmianach z 2026 r. wymaga dokładnej analizy.

5. Czy nasi pracownicy mają odpowiednie kompetencje AI? Obowiązek podejmowania działań związanych z AI literacy nie jest przyszłością. Jest stosowany już od 2 lutego 2025 r.

6. Czy potrafimy wykazać, że zarządzamy AI świadomie? Czy mamy właścicieli procesów? Zasady korzystania z narzędzi? Procedurę oceny nowych systemów? Zasady pracy z danymi? Kontrolę nad dostawcami? Mechanizmy human oversight tam, gdzie są potrzebne?

Bo właśnie tutaj znajduje się różnica pomiędzy „używamy AI” a „zarządzamy wykorzystaniem AI”.

Co powinny zrobić firmy teraz?

Nie czekałabym na pierwszą kontrolę. Nie czekałabym też do 2027 czy 2028 roku tylko dlatego, że część regulacji dotyczących high-risk AI została przesunięta.

To dobry moment, aby:

zrobić przegląd wykorzystywanych systemów AI,
zmapować przypadki użycia AI w organizacji,
przeprowadzić ich wstępną klasyfikację ryzyka,
określić role organizacji wynikające z AI Act,
sprawdzić realizację obowiązków transparentności,
zweryfikować politykę korzystania z AI,
stworzyć proces zatwierdzania nowych narzędzi i use case’ów,
zbudować program AI literacy dopasowany do funkcji i ryzyka,
ustalić odpowiedzialność za AI governance,
zacząć dokumentować najważniejsze decyzje związane z wykorzystaniem AI.

Nie każda organizacja potrzebuje kilkusetstronicowego systemu compliance. Ale praktycznie każda organizacja korzystająca z AI powinna wiedzieć: z czego korzysta, w jakim celu, na jakich zasadach i kto za to odpowiada.

I chyba właśnie to jest najważniejszym sygnałem płynącym z nowości regulacynych wprowadzonych w sierpniu 2026 roku.

AI Act przestaje być przede wszystkim tematem konferencji, webinarów i prezentacji o przyszłym prawie. Powstają organy. Powstają procedury. Pojawiają się mechanizmy kontroli. Są konkretne daty i konkretne obowiązki. A w Polsce budujemy właśnie instytucjonalny system, który ma te regulacje egzekwować.

Dla firm oznacza to, że czas najwyższy zainteresować się AI governance i trzeba zacząć nim realnie zarządzać.

Źródła: