Jakie obowiązki AI Act wchodzą 2 sierpnia 2026?

Dwa obowiązki i termin, którego nie przesunięto

Nowe obowiązki sprowadzają się do dwóch rzeczy: człowiek ma wiedzieć, kiedy rozmawia z maszyną, a treść wygenerowana maszynowo ma nieść znacznik, po którym da się to rozpoznać.

Rozbudowane obowiązki dla systemów wysokiego ryzyka nowelizacja Digital Omnibus odsunęła o kilkanaście miesięcy, nowe terminy opisałem osobno. Przejrzystość została tam, gdzie była, poza jednym wyjątkiem: systemy, które trafiły na rynek przed 2 sierpnia 2026, mają czas do 2 grudnia 2026 na maszynowe oznaczanie generowanych treści. Kto, co i jak ma oznaczać w praktyce, rozpisałem osobno. Pozostałe obowiązki z art. 50 obejmują je bez taryfy ulgowej.

Co dokładnie wchodzi

Artykuł 50 ma siedem ustępów i czyta się je osobno, bo nakładają obowiązki na różne podmioty. Typowej firmy dotyczą cztery obowiązki i jedna reguła o tym, kiedy i jak informować.

Ustęp 1 obciąża dostawcę systemu, który wchodzi w bezpośrednią interakcję z człowiekiem. Osoba po drugiej stronie ma wiedzieć, że rozmawia z AI. Przepis przewiduje wyłączenie: nie trzeba informować, gdy jest to oczywiste z punktu widzenia osoby rozsądnie poinformowanej, uważnej i ostrożnej. Wyłączenie brzmi wygodnie, ale przepis nie mówi, kto ma dowieść oczywistości; w praktyce uprawdopodobni ją firma, bo to ona zna kontekst wdrożenia.

Ustęp 2 obciąża dostawcę systemu generującego treść: dźwięk, obraz, wideo albo tekst. Wynik ma być oznaczony w formacie czytelnym maszynowo, a rozwiązanie ma być skuteczne, interoperacyjne i odporne. Przepis nie dotyczy funkcji wspomagających standardową edycję ani sytuacji, w których system nie zmienia istotnie danych wejściowych. To jedyne miejsce w art. 50 z okresem przejściowym: systemy wprowadzone do obrotu przed 2 sierpnia 2026 mają na ten obowiązek czas do 2 grudnia 2026.

Ustęp 3 obciąża podmiot stosujący system rozpoznawania emocji albo kategoryzacji biometrycznej. Osoby, wobec których taki system działa, mają zostać o tym poinformowane, a dane osobowe przetwarza się zgodnie z RODO. Dotyczy to na przykład kategoryzacji biometrycznej w analityce sprzedaży albo systemów rozpoznających cechy osób w monitoringu. Uwaga na granicę z art. 5: wnioskowanie o emocjach w miejscu pracy i w instytucjach edukacyjnych jest zakazane, poza względami medycznymi i bezpieczeństwa, więc analiza nastroju pracowników czy kandydatów nie staje się dopuszczalna po poinformowaniu ich o niej.

Ustęp 4 obciąża podmiot stosujący, czyli zwykłą firmę używającą cudzego narzędzia. Trzeba ujawnić deepfake oraz teksty publikowane w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Kryterium dotyczy spraw publicznych, takich jak polityka, zdrowie czy bezpieczeństwo, a nie tego, czy temat budzi zainteresowanie odbiorców. Tu też są wyłączenia: treści artystyczne i satyryczne wymagają tylko wskazania, że manipulacja miała miejsce, a teksty poddane przeglądowi człowieka, za które odpowiada wydawca, wypadają z zakresu.

Ustęp 5 mówi, kiedy i jak informować. Najpóźniej przy pierwszej interakcji z systemem albo przy pierwszym zetknięciu się z jego działaniem, w sposób jasny i wyraźnie odróżnialny, z uwzględnieniem wymogów dostępności. Druga część tej przesłanki jest operatywna przy ustępach 3 i 4: osoba objęta kategoryzacją biometryczną w monitoringu ani odbiorca deepfake’a z niczym nie wchodzą w interakcję, tylko są na system wystawieni. Komunikat schowany w regulaminie tego warunku nie spełnia.

Cztery rzeczy do sprawdzenia w firmie

Poniższa lista wystarczy dla typowej firmy, która używa chatbota, generatora treści albo asystenta w obsłudze klienta. Nie zastępuje analizy prawnej, ale pokazuje, gdzie najczęściej brakuje pokrycia.

• Każdy bot rozmawiający z klientem ma zdanie o tym, czym jest. Sprawdzenie: otwórz czat jako klient i przeczytaj pierwszą wiadomość. Jeśli trzeba się domyślać, obowiązek nie jest spełniony.
• Wiadomo, które narzędzia generują treść publikowaną na zewnątrz. Sprawdzenie: wypisz z nazwy systemy, z których wychodzą teksty, grafiki i nagrania trafiające do klientów. Jeśli lista powstaje z pamięci, jest niekompletna.
• Dla każdego z tych narzędzi wiadomo, kto jest dostawcą, a kto podmiotem stosującym. Sprawdzenie: przy narzędziu kupionym w abonamencie firma jest zwykle podmiotem stosującym, ale własny model albo system pod własną marką przesuwa ją do roli dostawcy razem z całym art. 50 ust. 2.
• Klasyfikacja każdego systemu jest zapisana, a nie tylko przemyślana. Sprawdzenie: pokaż plik z datą i osobą, która ocenę wykonała. Literalny obowiązek dokumentowania z art. 6 ust. 4 obciąża dostawcę systemu z obszarów załącznika III, ale bez własnej oceny nie wiesz, czy używasz systemu zwykłego, czy wysokiego ryzyka, a w tym drugim przypadku jako podmiot stosujący masz obowiązki z art. 26.

Cała czwórka to zwykle jedno popołudnie pracy przy kilku systemach. Odtworzenie jej po kontroli nie jest wiarygodne: ocena ma sens tylko z datą sprzed uruchomienia systemu, a wstecz się jej nie datuje.

Kto to teraz egzekwuje i którędy trafiają zgłoszenia

Komunikatem z 31 lipca 2026 Komisja Europejska ogłosiła, że od 2 sierpnia egzekwowaniem zajmuje się Urząd ds. AI (AI Office) wspólnie z organami krajowymi, i uruchomiła trzy drogi zgłoszeń: narzędzie do składania skarg, osobną ścieżkę dla sygnalistów i zgłoszenia dla firm, które budują rozwiązania na cudzych modelach ogólnego przeznaczenia. Narzędzie Komisji obejmuje jednak wyłącznie sprawy zastrzeżone dla Urzędu ds. AI.

Dla polskiej firmy znaczy to, że skarga na jej chatbota trafi do krajowego nadzoru, czyli do KRiBSI: przepisy o postępowaniach zaczynają obowiązywać 28 października 2026, a sama komisja ma rozpocząć pracę w listopadzie. Zgłoszenie nie musi przy tym przyjść od konkurencji ani od urzędu: wystarczy użytkownik, który zorientował się po fakcie, że rozmawiał z maszyną.

Równolegle Komisja postawiła obok przepisu miękki wzorzec. Kodeks praktyk w sprawie przejrzystości treści generowanych przez AI podpisało do 31 lipca 2026 ponad 180 organizacji. Kodeks nie jest prawem i podpis nie jest obowiązkowy, ale może się stać punktem odniesienia przy ocenie firmy, która go nie podpisała.

Czego 2 sierpnia nie zmienia

Nie zmienia kategorii ryzyka twojego systemu. Nie nakłada obowiązku audytu, certyfikacji ani zgłoszenia do rejestru. Nie wymaga też przepisywania regulaminów, choć wiele firm dostanie takie oferty w najbliższych tygodniach.

Typowy asystent wewnętrzny, bot na firmowym FAQ czy generator opisów produktów nie stają się 2 sierpnia systemami wysokiego ryzyka. Bot rozmawiający z człowiekiem ma się przedstawić (ust. 1). Przy generatorze treści maszynowy znacznik obciąża dostawcę systemu (ust. 2), a firma, która z niego korzysta, ujawnia tylko deepfake i teksty informujące społeczeństwo o sprawach leżących w interesie publicznym (ust. 4).

Kary i to, co je uruchamia

Za naruszenie art. 50 grozi kara do 15 mln euro lub do 3% światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa. Dla małych i średnich firm stosuje się niższą z tych wartości. Wyższy pułap, 35 mln euro albo 7% obrotu, dotyczy zakazanych praktyk z art. 5 i z przejrzystością nie ma związku.

Kary nie zaczną spadać 3 sierpnia. W Polsce przepisy o kontrolach, postępowaniach i karach pieniężnych wchodzą trzy miesiące po ogłoszeniu ustawy o systemach sztucznej inteligencji, czyli 28 października 2026, a Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji ma zacząć pracę w listopadzie. Praktyczny wniosek jest odwrotny, niż się wydaje: obowiązek działa od sierpnia, a organ, który go egzekwuje, rusza jesienią, więc to sierpień, wrzesień i październik są czasem na uporządkowanie dokumentacji, a nie okresem bez konsekwencji.

Co robię z tym u klientów

Sprawdzenie zgodności z art. 50 jest częścią audytu gotowości AI i przy typowym zestawie narzędzi zajmuje kilka godzin: spis systemów, ustalenie ról, przegląd pierwszych komunikatów bota, zapisanie klasyfikacji. Jeśli firma ma jeden chatbot i generator treści, poradzi sobie własnymi siłami według listy wyżej. Sensu w kupowaniu do tego doradztwa nie widzę.

Zastrzeżenie

To omówienie stanu prawnego z perspektywy praktyki wdrożeniowej, a nie porada prawna. Brzmienia przepisów pochodzą z rozporządzenia 2024/1689 i z ustawy ogłoszonej w Dz.U. 2026 poz. 1003. Klasyfikację własnego zastosowania warto potwierdzić z prawnikiem specjalizującym się w tej regulacji.