AI Act: nowe terminy po Digital Omnibus

Co się zmieniło

Przez większość 2025 i pierwszą połowę 2026 roku data 2 sierpnia 2026 funkcjonowała jako główny termin, do którego firmy miały przygotować się na obowiązki wynikające z AI Act dla systemów wysokiego ryzyka. Ta data przestała być aktualna.

Nowelizacja znana jako Digital Omnibus została przyjęta przez Parlament Europejski 16 czerwca 2026, według zapisu głosowania w Legislative Train Schedule Parlamentu Europejskiego stosunkiem 423 głosów za, 57 przeciw i 174 wstrzymujących się, a następnie przez Radę Unii Europejskiej 29 czerwca 2026. Porozumienie trilogowe zawarto 7 maja 2026.

Zapis Parlamentu Europejskiego opisuje nowe terminy dosłownie tak:

Współprawodawcy „ustalili sztywne terminy odroczonego stosowania przepisów o AI wysokiego ryzyka: 2 grudnia 2027 dla samodzielnych systemów AI wysokiego ryzyka oraz 2 sierpnia 2028 dla systemów AI wysokiego ryzyka wbudowanych w produkty”.

— Parlament Europejski, Legislative Train Schedule, Digital Omnibus on AI

Osobno przesunięto jeszcze jeden obowiązek, który w komentarzach ginie: oznaczanie treści generowanych przez AI. Dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026 termin przesunięto na 2 grudnia 2026, czyli bliżej niż pozostałe przesunięte terminy.

Aktualny harmonogram

Trzy daty z tabeli już obowiązują (luty 2025, sierpień 2025, sierpień 2026), najbliższy nadchodzący termin to 2 grudnia 2026, a cały ciężar przesunięć nowelizacji spadł na obowiązki wysokiego ryzyka, przełożone na grudzień 2027 i sierpień 2028.

Warto zwrócić uwagę na to, czego przesunięcie nie obejmuje. Zakazane praktyki obowiązują od lutego 2025 roku bez zmian, a obowiązki przejrzystości z art. 50 stosują się od 2 sierpnia 2026. Dotyczą każdego, kto wystawia klientom bota: użytkownik musi wiedzieć, że rozmawia z systemem AI.

Jedno uściślenie do wiersza z 2 grudnia 2026: okres przejściowy obejmuje wyłącznie obowiązek maszynowego oznaczania treści dla systemów, które trafiły na rynek przed 2 sierpnia 2026. Pozostałe obowiązki z art. 50 obejmują te systemy już od sierpnia, bez taryfy ulgowej.

Polska ustawa wdrażająca: nadzór ruszy w listopadzie

Od 24 lipca 2026 harmonogram unijny ma polskie dopełnienie: prezydent podpisał ustawę o systemach sztucznej inteligencji, która powołuje krajowy organ nadzoru (KRiBSI) z prawem kontroli firm i nakładania kar do 35 mln euro lub 7% obrotu. Komisja ma rozpocząć działalność w listopadzie 2026 roku. Co dokładnie zmienia ustawa i jak działa piaskownica regulacyjna dla MŚP, opisałem osobno w tekście ustawa o sztucznej inteligencji 2026.

Co to znaczy dla typowej firmy

Dla większości wdrożeń biznesowych (asystent na firmowych dokumentach, bot obsługi klienta, automatyzacja przetwarzania dokumentów) zmiana nie ma znaczenia praktycznego, bo te zastosowania i tak nie są systemami wysokiego ryzyka.

Zmiana ma znaczenie dla firm wdrażających AI w obszarach z załączników do rozporządzenia: rekrutacja i ocena kandydatów, ocena zdolności kredytowej, edukacja i ocena uczniów, infrastruktura krytyczna, ściganie przestępstw. Te projekty zyskały realnie kilkanaście miesięcy.

Czego nie należy odkładać

Przesunięcie dotyczy wyłącznie terminu spełnienia rozbudowanych obowiązków; obowiązek ustalenia, gdzie się jest, zostaje bez zmian.

Klasyfikacja

Dla każdego systemu AI, którego firma używa lub który wdraża, zgodność z rozporządzeniem wymaga w praktyce ustalenia kategorii ryzyka i zapisania tej oceny. Literalny wymóg udokumentowania z art. 6 ust. 4 obciąża dostawcę systemu z obszarów załącznika III; podmiot stosujący ustala kategorię po to, żeby wiedzieć, czy stosują się do niego obowiązki z art. 26. To standardowy element audytu gotowości AI. To zwykle godzina pracy na system. Klasyfikacji nie da się nadrobić wstecznie: nie można w 2027 roku udokumentować oceny, której nikt nie przeprowadził w 2026.

Kompetencje AI (art. 4)

Ten obowiązek działa od lutego 2025 roku, ale sam Digital Omnibus zmienił jego treść, co w komentarzach ginie. Pierwotnie przepis kazał podejmować środki, żeby „w możliwie największym stopniu” zapewnić odpowiedni poziom kompetencji AI. Po nowelizacji dostawcy i podmioty stosujące mają podjąć środki wspierające rozwój tych kompetencji, przy czym przepis nie wymaga gwarantowania konkretnego poziomu u konkretnej osoby.

Nowelizacja usuwa więc odniesienie do zapewniania poziomu i przesądza spór o charakter tego obowiązku na rzecz starannego działania. W praktyce nadal trzeba coś zrobić i umieć to wykazać, ale nie trzeba dowodzić, że każdy pracownik osiągnął zdefiniowany poziom. Przepis po staremu nie narzuca formy ani certyfikatu.

Rejestr systemów

Lista wszystkich narzędzi AI używanych w firmie, z informacją, kto ich używa, do czego i jakie dane do nich trafiają. Większość firm nie ma takiego rejestru i nie wie, ilu narzędzi AI faktycznie używają jej pracownicy. To punkt wyjścia do wszystkiego pozostałego, również do panowania nad kosztami.

Zastrzeżenie

To jest omówienie stanu prawnego z perspektywy praktyki wdrożeniowej, a nie porada prawna. Przy zastosowaniach mieszczących się w kategoriach wysokiego ryzyka klasyfikację warto potwierdzić z prawnikiem specjalizującym się w tej regulacji. Za klasyfikację własnego zastosowania odpowiada podmiot stosujący i deklaracja dostawcy go z niej nie zwalnia; każda ze stron odpowiada za swoje obowiązki, a firma, która zmienia przeznaczenie systemu tak, że staje się on systemem wysokiego ryzyka, wchodzi w rolę jego dostawcy (art. 25 ust. 1 lit. c AI Act).