Czym jest AI Act
Pierwsze na świecie kompleksowe prawo regulujące sztuczną inteligencję. Poniżej rzetelna, poparta źródłami analiza całego rozporządzenia — od definicji systemu AI, przez cztery poziomy ryzyka i obowiązki, po nadzór i kary. Przy każdej tezie znajdziesz odesłanie do konkretnego przepisu.
Analiza edukacyjna oparta na tekście rozporządzenia (UE) 2024/1689 i publikacjach Komisji Europejskiej. Nie stanowi porady prawnej. Odesłania artykułowe kierują do serwisu AI Act Explorer; tekstem wiążącym jest oficjalna publikacja w Dzienniku Urzędowym UE (EUR-Lex). Przy ocenie ryzyka konkretnych systemów skonsultuj się z prawnikiem.
Czym jest AI Act i po co powstał
AI Act to rozporządzenie (UE) 2024/1689 — prawo obowiązujące bezpośrednio we wszystkich państwach Unii, bez potrzeby osobnego wdrażania (choć każde państwo wyznacza własne organy i tryb kar). Weszło w życie 1 sierpnia 2024 r., a jego przepisy uruchamiają się etapami do 2028 r.
Cel jest podwójny: zapewnić, że systemy AI używane w Europie są bezpieczne i szanują prawa podstawowe, a jednocześnie nie zdławić innowacji i rynku wewnętrznego. Zamiast regulować „AI" jako jedną rzecz, rozporządzenie przyjmuje podejście oparte na ryzyku — im większe potencjalne zagrożenie dla ludzi, tym więcej obowiązków. Dzięki temu bank oceniający zdolność kredytową algorytmem podlega ostrym wymogom, a mała firma generująca grafikę do posta — tylko obowiązkowi transparentności.
Co prawo rozumie przez „system AI"
Definicja jest szeroka i celowo technologicznie neutralna art. 3 pkt 1: to „system maszynowy zaprojektowany do działania z różnym poziomem autonomii, który może wykazywać zdolność adaptacji i który — na podstawie otrzymanych danych — wnioskuje, jak generować wyniki (predykcje, treści, rekomendacje, decyzje) wpływające na środowisko fizyczne lub wirtualne".
Osobno zdefiniowano model ogólnego przeznaczenia (GPAI) — model o „znaczącej ogólności", zdolny do wielu różnych zadań, integrowalny z wieloma systemami (np. GPT, Claude, Gemini) — oraz system GPAI zbudowany na takim modelu. To rozróżnienie jest ważne: obowiązki dostawcy modelu (warstwa fundamentu) różnią się od obowiązków firmy, która na tym modelu buduje własny produkt art. 3.
Zakres i zasięg eksterytorialny
Rozporządzenie obejmuje cały łańcuch: dostawców, podmioty stosujące, importerów, dystrybutorów, producentów wyrobów integrujących AI oraz upoważnionych przedstawicieli art. 2. Co istotne: obowiązuje także firmy spoza UE, jeśli wynik działania ich systemu jest wykorzystywany w Unii. To dlatego globalne platformy dostosowują swoje zasady do rynku europejskiego.
Najważniejsze wyłączenia:
- •Cele wojskowe, obronne i bezpieczeństwa narodowego — systemy używane wyłącznie w tych celach.
- •Czynność czysto osobista, niezawodowa — osoba fizyczna używająca AI prywatnie.
- •Badania i rozwój — systemy tworzone wyłącznie na potrzeby badań naukowych.
- •Modele open-source — wolne i otwarte modele — chyba że są wprowadzane jako wysokiego ryzyka albo objęte art. 5 lub 50.
Pełny katalog wyłączeń: art. 2 ust. 3–12.
Kto jest kim — role i pojęcia
AI Act przypisuje obowiązki konkretnym rolom, nie „firmom" ogólnie. Ta sama firma bywa w kilku rolach naraz. Dla przedsiębiorcy najważniejsze są dwie pierwsze art. 3.
Dostawca (provider)
Tworzy system AI lub model i wprowadza go na rynek albo do użytku pod własną marką — twórca modelu, producent wtyczki chatbota. Na nim spoczywa większość obowiązków, w tym oznaczanie maszynowe treści generatywnych.
Podmiot stosujący (deployer)
Używa systemu AI w swojej działalności pod własnym nadzorem (poza użytkiem czysto prywatnym). To Ty, gdy generujesz grafiki, wstawiasz chatbota czy tworzysz spot. Obowiązki węższe, ale odpowiadasz za to, co publikujesz.
Importer i dystrybutor
Wprowadza na rynek UE lub udostępnia w łańcuchu dostaw system AI. Weryfikuje, że dostawca dopełnił obowiązków i że system jest właściwie oznaczony.
Deepfake
Wygenerowany lub zmanipulowany przez AI obraz, dźwięk lub wideo przypominający realne osoby, przedmioty czy zdarzenia, który można wziąć za autentyczny. Pojęcie kluczowe dla obowiązku oznaczania.
Uwaga praktyczna: jeśli budujesz własnego bota na cudzym API i konfigurujesz jego zachowanie, w wielu sytuacjach stajesz się także dostawcą i przejmujesz część jego obowiązków.
Architektura ryzyka — cztery poziomy
Całe rozporządzenie zbudowane jest wokół piramidy ryzyka. Do każdego poziomu przypisany jest inny reżim obowiązków.
Ryzyko niedopuszczalne
Zakazaneosiem od 2 lutego 2025 · dwie od 2 grudnia 2026Praktyki uznane za sprzeczne z wartościami UE i prawami podstawowymi. Zakazane w całości, bez wyjątku „rynkowego". art. 5
Wysokie ryzyko
Ścisłe wymogizał. III od 2 grudnia 2027 · zał. I od 2 sierpnia 2028Systemy o istotnym wpływie na zdrowie, bezpieczeństwo lub prawa podstawowe (lista w zał. III). Dozwolone, ale pod warunkiem spełnienia całego zestawu obowiązków i oceny zgodności. art. 6
Ryzyko ograniczone
Transparentnośćod 2 sierpnia 2026Systemy wchodzące w interakcję z ludźmi i generatywne (chatboty, generatory grafik, wideo, tekstu). Bez zakazu — obowiązek informowania odbiorcy, że ma do czynienia z AI. art. 50
Ryzyko minimalne
Bez nowych obowiązkówdobrowolne kodeksyFiltry antyspamowe, rekomendacje, AI w grach. Rozporządzenie nie nakłada dodatkowych wymogów — obowiązują przepisy ogólne (m.in. RODO).
Praktyki zakazane (art. 5)
Osiem praktyk zakazanych bezwzględnie od 2 lutego 2025 r. art. 5. Dwie kolejne — litery ba) i bb) — dodało rozporządzenie (UE) 2026/1744; zaczynają obowiązywać 2 grudnia 2026 r. Razem dziesięć. Naruszenie zagrożone najwyższą karą (do 35 mln € / 7% obrotu).
Kiedy dwa nowe zakazy działają: gdy takie generowanie jest zamierzonym celem systemu, albo gdy jego projekt, trening, architektura lub funkcje sprawiają, że taki wynik jest racjonalnie przewidywalny i odtwarzalny bez znaczących modyfikacji technicznych, a system nie ma racjonalnych i odpowiednich technicznych środków bezpieczeństwa (art. 5 ust. 1a).
Wpływanie na zachowanie poza świadomością osoby w sposób, który istotnie zniekształca decyzje i wyrządza poważną szkodę.
Żerowanie na podatności wynikającej z wieku, niepełnosprawności albo sytuacji społeczno-ekonomicznej.
Ocena lub klasyfikacja ludzi na podstawie zachowania lub cech, prowadząca do nieuzasadnionego, krzywdzącego traktowania.
Ocena ryzyka popełnienia przestępstwa wyłącznie na podstawie profilowania lub cech osobowości.
Tworzenie baz rozpoznawania twarzy przez nieukierunkowane pobieranie zdjęć z internetu lub monitoringu.
Wnioskowanie o emocjach pracowników lub uczniów — poza wyjątkami medycznymi i bezpieczeństwa.
Wnioskowanie o rasie, poglądach politycznych, przynależności związkowej, wierze, życiu seksualnym.
W przestrzeni publicznej dla ścigania przestępstw — dozwolona tylko w wąskich, wymienionych wyjątkach.
Systemy generujące lub manipulujące realistycznymi obrazami, wideo i dźwiękiem, które przedstawiają intymne części ciała możliwej do zidentyfikowania osoby albo taką osobę podczas czynności jednoznacznie seksualnych — bez jej dobrowolnej, konkretnej i wyraźnej zgody.
Systemy generujące takie materiały lub przedstawienia w rozumieniu dyrektywy 2011/93/UE i manipulujące nimi, poza sytuacjami, w których prawo krajowe przewiduje okoliczność wyłączającą bezprawność.
Wysokie ryzyko — najcięższy reżim
System jest wysokiego ryzyka, gdy jest elementem produktu objętego prawem UE (np. maszyny, wyroby medyczne) albo mieści się w jednym z ośmiu obszarów z załącznika III art. 6. To tu trafia rekrutacja z CV, scoring kredytowy czy ocena wniosków.
Zdalna identyfikacja biometryczna, kategoryzacja wg cech wrażliwych, rozpoznawanie emocji.
Zarządzanie bezpieczeństwem ruchu drogowego oraz dostaw wody, gazu, ciepła i prądu.
Decyzje o przyjęciu, ocena efektów uczenia się, nadzór nad egzaminami.
Rekrutacja i selekcja CV, decyzje o awansie, zwolnieniu, przydziale zadań, monitoring pracy.
Dostęp do świadczeń, ocena zdolności kredytowej, wycena ubezpieczeń na życie i zdrowie, triaż zgłoszeń alarmowych.
Ocena ryzyka, wiarygodności dowodów, recydywy, profilowanie w śledztwie.
Ocena wniosków wizowych i azylowych, ocena ryzyka wjazdu.
Wsparcie sądu w stosowaniu prawa, systemy wpływające na wynik wyborów.
- •System zarządzania ryzykiem i jakością
- •Nadzór nad danymi treningowymi (jakość, reprezentatywność)
- •Dokumentacja techniczna i rejestrowanie zdarzeń
- •Przejrzystość i instrukcje dla podmiotu stosującego
- •Nadzór człowieka wbudowany w system
- •Dokładność, odporność i cyberbezpieczeństwo
- •Ocena zgodności, oznakowanie CE, rejestracja w bazie UE
Art. 8–17, 43. Nadzór po wprowadzeniu na rynek: art. 72.
- •Używanie zgodnie z instrukcją dostawcy
- •Zapewnienie nadzoru kompetentnych ludzi
- •Kontrola adekwatności danych wejściowych
- •Monitorowanie i zgłaszanie poważnych incydentów
- •Przechowywanie logów (min. 6 miesięcy)
- •Informowanie pracowników i ich przedstawicieli
- •Wsparcie oceny skutków dla ochrony danych (DPIA)
Szczegóły: art. 26.
Część podmiotów stosujących — organy publiczne, podmioty świadczące usługi publiczne oraz stosujący systemy oceny zdolności kredytowej i ubezpieczeń na życie lub zdrowie — musi dodatkowo przeprowadzić ocenę skutków dla praw podstawowych (FRIA) art. 27.
Transparentność (art. 50)
To przepis dotyczący najszerszego grona firm. Kluczowe jest rozdzielenie odpowiedzialności — część obowiązków spoczywa na dostawcy systemu, część na podmiocie stosującym art. 50.
- Ust. 1 — informacja o interakcji z AI. System rozmawiający z człowiekiem (chatbot) ma być zaprojektowany tak, by użytkownik wiedział, że rozmawia z maszyną — chyba że to oczywiste.
- Ust. 2 — znak maszynowy. Systemy generujące obraz, dźwięk, wideo lub tekst znakują wyniki w formacie odczytywalnym maszynowo (metadane, znak wodny). Wyjątek: standardowe narzędzia edycji i zmiany nieistotne. Systemy generatywne wprowadzone na rynek przed 2 sierpnia 2026 r. mają na to czas do 2 grudnia 2026 r.; wprowadzane później — od pierwszego dnia.
- Ust. 4 — deepfake. Publikując obraz, dźwięk lub wideo AI, które sprawiają wrażenie autentycznych, ujawniasz, że treść jest sztucznie wygenerowana lub zmanipulowana.
- Ust. 4 — tekst w interesie publicznym. Tekst publikowany, by informować społeczeństwo o sprawach publicznych, wymaga oznaczenia — chyba że przeszedł kontrolę redakcyjną człowieka odpowiadającego za publikację.
- Ust. 3 — emocje i biometria. Używając rozpoznawania emocji lub kategoryzacji biometrycznej, informujesz osoby, których to dotyczy.
Jak i kiedy (ust. 5): informacja ma być jasna i wyraźna, najpóźniej przy pierwszym kontakcie odbiorcy z treścią. Dla dzieł wyraźnie artystycznych, satyrycznych lub fikcyjnych wystarczy zaznaczenie istnienia treści AI w sposób, który nie psuje odbioru.
Modele ogólnego przeznaczenia (GPAI)
Osobny reżim dla twórców modeli takich jak GPT, Claude czy Gemini. Każdy dostawca GPAI ma obowiązki bazowe: dokumentacja techniczna, informacje dla firm budujących na modelu, polityka poszanowania prawa autorskiego i publiczne streszczenie danych treningowych art. 53.
Modele o ryzyku systemowym podlegają dodatkowym obowiązkom (ocena modelu, testy przeciwnika, śledzenie incydentów, cyberbezpieczeństwo)art. 55. Domniemanie ryzyka systemowego uruchamia się, gdy moc obliczeniowa użyta do treningu przekracza 10²⁵ operacji zmiennoprzecinkowych (FLOPs) art. 51.
Nadzór nad GPAI sprawuje Urząd ds. AI przy Komisji, wspierany dobrowolnymi kodeksami praktykart. 56. Dla większości firm to warstwa „dostawcy fundamentu" — ważna jako kontekst, ale obowiązki bezpośrednie leżą po stronie twórców modeli.
Kompetencje AI (art. 4)
Obowiązek działa od 2 lutego 2025 r., ale rozporządzenie (UE) 2026/1744 zastąpiło art. 4 nowym brzmieniem. Dziś dostawcy i podmioty stosujące podejmują środki, które wspierają rozwój kompetencji w zakresie AI wśród swojego personelu — z zastrzeżeniem wprost zapisanym w przepisie, że nie oznacza to obowiązku zapewnienia, by konkretne osoby osiągnęły określony poziom kompetencji art. 4.
Poprzednie brzmienie mówiło o zapewnieniu odpowiedniego poziomu kompetencji w możliwie największym stopniu. Zmiana jest realna: z obowiązku rezultatu zrobił się obowiązek starannego działania. Komisja ma publikować praktyczne przykłady jego spełnienia, a Rada ds. AI — zalecenia oparte na europejskich ramach kompetencji.
Nie znaczy to, że szkolenie przestało mieć sens — zmienił się tylko powód. Nie robisz tego, żeby odhaczyć poziom u każdej osoby, tylko dlatego, że to Twój zespół ocenia przy każdym materiale, czy wymaga on oznaczenia.
Nadzór i egzekwowanie
Nadzór jest dwupoziomowy. Na szczeblu unijnym: Urząd ds. AI (AI Office) przy Komisji — zwłaszcza dla modeli GPAI — oraz Europejska Rada ds. AI koordynująca stosowanie prawa. Na szczeblu krajowym każde państwo wyznacza własne organy nadzoru rynku i notyfikujące art. 70.
To organy krajowe prowadzą kontrole i nakładają kary według przepisów danego państwa — dlatego status krajowej ustawy i powołanego przez nią organu nadzoru (w Polsce: KRiBSI, sekcja niżej) ma bezpośrednie znaczenie dla egzekucji.
Prawa osób, których dotyczy AI
Rozporządzenie daje ludziom konkretne narzędzia. Każda osoba lub podmiot, który ma podstawy sądzić, że doszło do naruszenia AI Act, może złożyć skargę do organu nadzoru rynku art. 85.
Dodatkowo, jeśli system wysokiego ryzyka współdecydował w sprawie, która wywołuje wobec danej osoby skutki prawne lub podobnie istotne (np. odmowa kredytu), ma ona prawo żądać od podmiotu stosującego jasnego wyjaśnienia roli AI w tej decyzji art. 86.
Piaskownice regulacyjne (art. 57)
AI Act to nie tylko obowiązki. Każde państwo ma do 2 sierpnia 2027 r. uruchomić co najmniej jedną krajową piaskownicę regulacyjną — bezpieczne środowisko do testowania systemów AI pod okiem organu, z ułatwionym dostępem dla MŚP i startupówart. 57. Termin został wydłużony o rok rozporządzeniem (UE) 2026/1744. Dostęp do piaskownic jest dla MŚP i startupów bezpłatny (art. 57 ust. 12); organ może odzyskać jedynie wyjątkowe, uzasadnione koszty.
Uczestnik działający w dobrej wierze zgodnie z planem i wytycznymi organu jest chroniony przed karami administracyjnymi (odpowiedzialność za szkody wobec osób trzecich pozostaje). W Polsce piaskownice ma prowadzić KRiBSI.
Kary — ile realnie grozi
Wysokość zależy od naruszonego obowiązku art. 99. Kara to kwota albo procent światowego obrotu — dla dużych firm wyższa z dwóch wartości.
Ulga dla MŚP i startupów: stosuje się niższą z dwóch wartości — kwotę albo procent art. 99 ust. 6. Przy niewielkim obrocie realnym pułapem jest więc procent, a nie milionowa kwota nominalna. Osobne progi dotyczą dostawców GPAI art. 101.
Kalendarz stosowania (art. 113)
Przepisy uruchamiają się etapami art. 113.
- 1 sierpnia 2024 · już obowiązuje
Wejście w życie
Rozporządzenie formalnie wchodzi w życie. Stosowanie rozłożone jest w czasie (art. 113).
- 2 lutego 2025 · już obowiązuje
Zakazy i kompetencje AI
Zaczynają obowiązywać rozdziały I–II: praktyki zakazane (art. 5) oraz obowiązek kompetencji AI (art. 4).
- 2 sierpnia 2025 · już obowiązuje
Modele GPAI i nadzór
Obowiązki dostawców modeli ogólnego przeznaczenia (rozdz. V), przepisy o organach nadzoru i karach (rozdz. VII, XII).
- 27 lipca 2026 · już obowiązuje
Zmiana kalendarza
Wchodzi w życie rozporządzenie (UE) 2026/1744 — akt zbiorczy prawa cyfrowego dotyczący AI, znany roboczo jako „Digital Omnibus on AI". Przesuwa terminy dla systemów wysokiego ryzyka i piaskownic oraz dokłada dwie nowe praktyki zakazane. Terminów z art. 50 nie przesuwa — transparentność rusza 2 sierpnia 2026 r.
- 2 sierpnia 2026
Transparentność (art. 50)
Od tego dnia trzeba informować odbiorcę, że ma do czynienia z AI, i oznaczać treści wygenerowane. Data dotycząca niemal każdej firmy używającej AI.
- grudzień 2026
Znak maszynowy także dla starszych systemów i dwa nowe zakazy
Od 2 grudnia 2026 r. znak maszynowy z art. 50 ust. 2 obejmuje także systemy generatywne wprowadzone na rynek przed 2 sierpnia 2026 r. Tego samego dnia zaczynają obowiązywać dwie nowe praktyki zakazane z art. 5 — litery ba) i bb).
- 2 sierpnia 2027
Piaskownice regulacyjne
Termin, do którego każde państwo członkowskie ma uruchomić co najmniej jedną krajową piaskownicę regulacyjną (art. 57).
- 2 grudnia 2027
Wysokie ryzyko z załącznika III
Obowiązki dla samodzielnych systemów wysokiego ryzyka: biometria, infrastruktura krytyczna, edukacja, zatrudnienie, usługi podstawowe, migracja i granice.
- 2 sierpnia 2028
Wysokie ryzyko „produktowe"
Systemy AI będące elementem produktów objętych osobnym prawem UE — załącznik I (np. maszyny, wyroby medyczne).
AI Act a RODO
AI Act nie zastępuje RODO — działa równolegle. Rozporządzenie wprost zastrzega, że obowiązki transparentności nie naruszają innych obowiązków wynikających z prawa UE i krajowegoart. 50 ust. 6. W praktyce: przetwarzanie danych osobowych przez system AI (np. personalizacja, profilowanie, dane biometryczne) nadal ocenia się pod RODO, a AI Act dokłada do tego warstwę bezpieczeństwa produktu i transparentności. Dwa reżimy trzeba czytać łącznie.
Status w Polsce
Kary nakładają państwa członkowskie według własnych przepisów. Polska ustawa o systemach sztucznej inteligencji, wdrażająca AI Act, przeszła przez parlament (Sejm — 11 czerwca 2026, Senat — 25 czerwca 2026) i została podpisana przez Prezydenta w lipcu 2026 r. Wchodzi w życie po ogłoszeniu w Dzienniku Ustaw, ze standardowym vacatio legis.
Ustawa powołuje krajowy organ nadzoru rynku i pojedynczy punkt kontaktowy: Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). Organ dopiero powstaje — ustawa wyznacza dwa miesiące od swojego wejścia w życie na powołanie przewodniczącego i trzy na skompletowanie składu, więc według Ministerstwa Cyfryzacji Komisja zacznie działalność w listopadzie 2026 r. Obowiązki materialne, w tym oznaczanie treści, obowiązują niezależnie od tego tempa — od 2 sierpnia 2026 r.
Stan na: 28 lipca 2026 — temat rozwojowy, śledzimy zmiany.
Źródła
Tekstem wiążącym jest oficjalna publikacja w Dzienniku Urzędowym UE. Odesłania artykułowe w tekście kierują do serwisu AI Act Explorer — nieoficjalnego, ale wiernego i wygodnego nawigacyjnie.
Teraz konkrety: co z tym zrobić w firmie
Analiza to jedno — praktyka to drugie. W przewodniku dla przedsiębiorców przechodzimy przez konkretne przypadki (grafiki, zdjęcia produktowe, spoty, chatboty), pokazujemy, co i jak oznaczać, i jak spisać firmową procedurę.