AI Act: nowe terminy po Digital Omnibus

Co się zmieniło

Przez większość 2025 i pierwszą połowę 2026 roku data 2 sierpnia 2026 funkcjonowała jako główny termin, do którego firmy miały przygotować się na obowiązki wynikające z AI Act dla systemów wysokiego ryzyka. Ta data przestała być aktualna.

Nowelizacja znana jako Digital Omnibus została przyjęta przez Parlament Europejski 16 czerwca 2026 roku, według zapisu głosowania w Legislative Train Schedule Parlamentu Europejskiego stosunkiem 423 głosów za, 57 przeciw i 174 wstrzymujących się, a następnie przez Radę Unii Europejskiej 29 czerwca 2026 roku. Porozumienie trilogowe zawarto 7 maja 2026 roku.

Zapis Parlamentu Europejskiego opisuje nowe terminy dosłownie tak:

Współprawodawcy „ustalili sztywne terminy odroczonego stosowania przepisów o AI wysokiego ryzyka: 2 grudnia 2027 dla samodzielnych systemów AI wysokiego ryzyka oraz 2 sierpnia 2028 dla systemów AI wysokiego ryzyka wbudowanych w produkty".

— Parlament Europejski, Legislative Train Schedule, Digital Omnibus on AI

Osobno przesunięto jeszcze jeden obowiązek, który w komentarzach ginie: oznaczanie treści generowanych przez AI. Dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026 roku termin przesunięto na 2 grudnia 2026 roku, czyli jest on bliżej niż wszystkie pozostałe.

Aktualny harmonogram

Warto zwrócić uwagę na to, czego przesunięcie nie obejmuje. Zakazane praktyki i wymóg kompetencji AI obowiązują od lutego 2025 roku bez zmian i dotyczą każdego podmiotu stosującego systemy AI, nie tylko tych, którzy budują rozwiązania wysokiego ryzyka.

Co to znaczy dla typowej firmy

Dla większości wdrożeń biznesowych. Asystent na firmowych dokumentach, bot obsługi klienta, automatyzacja przetwarzania dokumentów. Zmiana nie ma znaczenia praktycznego, bo te zastosowania i tak nie są systemami wysokiego ryzyka.

Zmiana ma znaczenie dla firm wdrażających AI w obszarach z załączników do rozporządzenia: rekrutacja i ocena kandydatów, ocena zdolności kredytowej, edukacja i ocena uczniów, infrastruktura krytyczna, ściganie przestępstw. Te projekty zyskały realnie kilkanaście miesięcy.

Czego nie należy odkładać

Przesunięcie dotyczy terminu spełnienia rozbudowanych obowiązków, a nie obowiązku ustalenia, gdzie się jest.

Klasyfikacja

Dla każdego systemu AI, którego firma używa lub który wdraża, trzeba ustalić i udokumentować kategorię ryzyka. To zwykle godzina pracy na system. Brak klasyfikacji jest jedyną rzeczą, której nie da się nadrobić wstecznie, nie można w 2027 roku udokumentować oceny, której nikt nie przeprowadził w 2026.

Kompetencje AI (art. 4)

Ten obowiązek działa od lutego 2025 roku. Przepis nie narzuca formy ani certyfikatu. Wymaga, żeby osoby zajmujące się systemami AI faktycznie miały odpowiednie kompetencje i żeby dało się wykazać, co firma w tej sprawie zrobiła.

Rejestr systemów

Lista wszystkich narzędzi AI używanych w firmie, z informacją, kto ich używa, do czego i jakie dane do nich trafiają. Większość firm nie ma takiego rejestru i nie wie, ilu narzędzi AI faktycznie używają jej pracownicy. To punkt wyjścia do wszystkiego pozostałego, również do panowania nad kosztami.

Zastrzeżenie

To jest omówienie stanu prawnego z perspektywy praktyki wdrożeniowej, a nie porada prawna. Przy zastosowaniach mieszczących się w kategoriach wysokiego ryzyka klasyfikację warto potwierdzić z prawnikiem specjalizującym się w tej regulacji. Konsekwencje błędnej klasyfikacji ponosi podmiot stosujący system, nie jego dostawca.