Jakie obowiązki AI Act wchodzą 2 sierpnia 2026?

Dwa obowiązki i termin, którego nie przesunięto

Sprowadza się to do dwóch rzeczy: człowiek ma wiedzieć, kiedy rozmawia z maszyną, a treść wygenerowana maszynowo ma nieść znacznik, po którym da się to rozpoznać.

Rozbudowane obowiązki dla systemów wysokiego ryzyka nowelizacja Digital Omnibus odsunęła o kilkanaście miesięcy, nowe terminy opisałem osobno. Przejrzystość została tam, gdzie była, poza jednym wyjątkiem: systemy, które trafiły na rynek przed 2 sierpnia 2026, mają czas do 2 grudnia 2026 na maszynowe oznaczanie generowanych treści. Pozostałe obowiązki z art. 50 obejmują je bez taryfy ulgowej.

Co dokładnie wchodzi

Artykuł 50 ma siedem ustępów i warto czytać je osobno, bo nakładają obowiązki na różne podmioty. Dla typowej firmy istotne są cztery obowiązki i jedna reguła o tym, kiedy i jak informować.

Ustęp 1 obciąża dostawcę systemu, który wchodzi w bezpośrednią interakcję z człowiekiem. Osoba po drugiej stronie ma wiedzieć, że rozmawia z AI. Przepis przewiduje wyłączenie: nie trzeba informować, gdy jest to oczywiste z punktu widzenia osoby rozsądnie poinformowanej, uważnej i ostrożnej. Wyłączenie brzmi wygodnie, ale w sporze to firma musi wykazać, że oczywistość zachodziła.

Ustęp 2 obciąża dostawcę systemu generującego treść: dźwięk, obraz, wideo albo tekst. Wynik ma być oznaczony w formacie czytelnym maszynowo, a rozwiązanie ma być skuteczne, interoperacyjne i odporne. Przepis nie dotyczy funkcji wspomagających standardową edycję ani sytuacji, w których system nie zmienia istotnie danych wejściowych. To jedyne miejsce w art. 50 z okresem przejściowym: systemy wprowadzone do obrotu przed 2 sierpnia 2026 mają na ten obowiązek czas do 2 grudnia 2026.

Ustęp 3 obciąża podmiot stosujący system rozpoznawania emocji albo kategoryzacji biometrycznej. Osoby, wobec których taki system działa, mają zostać o tym poinformowane, a dane osobowe przetwarza się zgodnie z RODO. Dotyczy to na przykład kategoryzacji biometrycznej w analityce sprzedaży albo systemów rozpoznających cechy osób w monitoringu. Uwaga na granicę z art. 5: wnioskowanie o emocjach w miejscu pracy i w instytucjach edukacyjnych jest zakazane, poza względami medycznymi i bezpieczeństwa, więc analiza nastroju pracowników czy kandydatów nie staje się dopuszczalna po poinformowaniu ich o niej.

Ustęp 4 obciąża podmiot stosujący, czyli zwykłą firmę używającą cudzego narzędzia. Trzeba ujawnić deepfake oraz teksty publikowane w celu informowania społeczeństwa o sprawach leżących w interesie publicznym. Kryterium dotyczy spraw publicznych, takich jak polityka, zdrowie czy bezpieczeństwo, a nie tego, czy temat budzi zainteresowanie odbiorców. Tu też są wyłączenia: treści artystyczne i satyryczne wymagają tylko wskazania, że manipulacja miała miejsce, a teksty poddane przeglądowi człowieka, za które odpowiada wydawca, wypadają z zakresu.

Ustęp 5 mówi, kiedy i jak informować. Najpóźniej przy pierwszej interakcji z systemem albo przy pierwszym zetknięciu się z jego działaniem, w sposób jasny i wyraźnie odróżnialny, z uwzględnieniem wymogów dostępności. Druga część tej przesłanki jest operatywna przy ustępach 3 i 4: osoba objęta kategoryzacją biometryczną w monitoringu ani odbiorca deepfake’a z niczym nie wchodzą w interakcję, tylko są na system wystawieni. Komunikat schowany w regulaminie tego warunku nie spełnia.

Cztery rzeczy do sprawdzenia w firmie

Poniższa lista wystarczy dla typowej firmy, która używa chatbota, generatora treści albo asystenta w obsłudze klienta. Nie zastępuje analizy prawnej, ale pokazuje, gdzie najczęściej brakuje pokrycia.

• Każdy bot rozmawiający z klientem ma zdanie o tym, czym jest. Sprawdzenie: otwórz czat jako klient i przeczytaj pierwszą wiadomość. Jeśli trzeba się domyślać, obowiązek nie jest spełniony.
• Wiadomo, które narzędzia generują treść publikowaną na zewnątrz. Sprawdzenie: wypisz z nazwy systemy, z których wychodzą teksty, grafiki i nagrania trafiające do klientów. Jeśli lista powstaje z pamięci, jest niekompletna.
• Dla każdego z tych narzędzi wiadomo, kto jest dostawcą, a kto podmiotem stosującym. Sprawdzenie: przy narzędziu kupionym w abonamencie firma jest zwykle podmiotem stosującym, ale własny model albo system pod własną marką przesuwa ją do roli dostawcy razem z całym art. 50 ust. 2.
• Klasyfikacja każdego systemu jest zapisana, a nie tylko przemyślana. Sprawdzenie: pokaż plik z datą i osobą, która ocenę wykonała. Literalny obowiązek dokumentowania z art. 6 ust. 4 obciąża dostawcę systemu z obszarów załącznika III, ale bez własnej oceny nie wiesz, czy jesteś tylko podmiotem stosującym, czy wchodzą na ciebie obowiązki z art. 26.

Cała czwórka to zwykle jedno popołudnie pracy przy kilku systemach. Odtworzenie jej po kontroli nie jest możliwe, bo dokumentacja ma nosić datę sprzed uruchomienia.

Czego 2 sierpnia nie zmienia

Nie zmienia kategorii ryzyka twojego systemu. Nie nakłada obowiązku audytu, certyfikacji ani zgłoszenia do rejestru. Nie wymaga też przepisywania regulaminów, choć wiele firm dostanie takie oferty w najbliższych tygodniach.

Typowy asystent wewnętrzny, bot na firmowym FAQ czy generator opisów produktów nie stają się 2 sierpnia systemami wysokiego ryzyka. Bot rozmawiający z człowiekiem ma się przedstawić (ust. 1). Przy generatorze treści maszynowy znacznik obciąża dostawcę systemu (ust. 2), a firma, która z niego korzysta, ujawnia tylko deepfake i teksty informujące społeczeństwo o sprawach leżących w interesie publicznym (ust. 4).

Kary i to, co je uruchamia

Za naruszenie art. 50 grozi kara do 15 mln euro lub do 3% światowego rocznego obrotu, zależnie od tego, która kwota jest wyższa. Dla małych i średnich firm stosuje się niższą z tych wartości. Wyższy pułap, 35 mln euro albo 7% obrotu, dotyczy zakazanych praktyk z art. 5 i z przejrzystością nie ma związku.

Kary nie zaczną spadać 3 sierpnia. W Polsce przepisy o kontrolach, postępowaniach i karach pieniężnych wchodzą trzy miesiące po ogłoszeniu ustawy o systemach sztucznej inteligencji, czyli pod koniec października 2026, a Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji ma zacząć pracę w listopadzie. Praktyczny wniosek jest odwrotny, niż się wydaje: obowiązek działa od sierpnia, a organ, który go egzekwuje, rusza jesienią, więc to sierpień, wrzesień i październik są czasem na uporządkowanie dokumentacji, a nie okresem bez konsekwencji.

Co robię z tym u klientów

Sprawdzenie zgodności z art. 50 jest częścią audytu gotowości AI i przy typowym zestawie narzędzi zajmuje kilka godzin: spis systemów, ustalenie ról, przegląd pierwszych komunikatów bota, zapisanie klasyfikacji. Jeśli firma ma jeden chatbot i generator treści, poradzi sobie własnymi siłami według listy wyżej. Sensu w kupowaniu do tego doradztwa nie widzę.