AI Act po zmianach z lipca 2026. Co musi zrobić firma, która korzysta z ChatGPT, Copilota albo Gemini

Poniżej rozpisujemy to bez prawniczego żargonu: co się zmieniło, co już obowiązuje i co konkretnie sprawdzić w firmie w najbliższych tygodniach. Nie jesteśmy kancelarią, więc w sprawach spornych warto skonsultować się z prawnikiem. Ale większość pracy i tak leży po stronie IT i organizacji.

Co naprawdę zmienił Digital Omnibus

Zmiany wprowadziło rozporządzenie (UE) 2026/1744, nazywane Digital Omnibus on AI. Rada UE i Parlament Europejski porozumiały się 7 maja 2026 r., a przepisy weszły w życie 27 lipca. Dla zwykłej firmy liczą się trzy rzeczy.

Po pierwsze: systemy wysokiego ryzyka później. Wymagania, które miały ruszyć w sierpniu 2026 r., przesunięto na 2 grudnia 2027 r. (samodzielne systemy, np. AI w rekrutacji) i na 2 sierpnia 2028 r. (AI wbudowana w produkty, np. maszyny).

Po drugie: złagodzony obowiązek „kompetencji AI”. Wcześniej art. 4 wymagał, żeby firma zapewniła pracownikom wystarczający poziom wiedzy o AI. Teraz ma podejmować działania wspierające rozwój tych kompetencji, a państwo i Komisja mają w tym pomagać, szczególnie małym firmom. Obowiązek nie zniknął. Zmieniła się jego miara: nikt nie będzie sprawdzał, czy każdy pracownik „umie AI”, ale firma powinna umieć pokazać, co w tej sprawie zrobiła.

Po trzecie: przejrzystość bez odroczenia. Zasady oznaczania treści i informowania ludzi, że rozmawiają z AI (art. 50), obowiązują od 2 sierpnia 2026 r. Odroczenie dostali tylko dostawcy narzędzi generujących treści, i to wyłącznie na techniczne znakowanie plików: do 2 grudnia 2026 r. Szczegóły dobrze opisuje analiza kancelarii White & Case.

Kalendarz: co już obowiązuje, a co dopiero przyjdzie

Pięć sytuacji z życia firmy i co z nich wynika

Zespół pisze maile i raporty w ChatGPT albo Copilocie

To najczęstszy przypadek i zarazem nie jest to system wysokiego ryzyka. Z AI Act wynika tu głównie art. 4: ludzie powinni wiedzieć, jak z tych narzędzi korzystać, czego do nich nie wklejać i kiedy sprawdzać wynik. W praktyce wystarczą spisane zasady korzystania z AI i krótkie szkolenie, ale jedno i drugie musi istnieć na papierze. Większym ryzykiem niż AI Act jest tu zresztą RODO i wyciek danych do prywatnych kont, o czym szerzej piszemy na stronie o wdrożeniu AI w firmie.

Marketing robi grafiki, nagrania i filmy z AI

Od 2 sierpnia 2026 r. firma, która publikuje obraz, dźwięk albo wideo wygenerowane przez AI i udające prawdziwe osoby, miejsca lub zdarzenia, musi to wyraźnie zaznaczyć. Chodzi np. o „nagranie” prezesa z życzeniami, którego nigdy nie nagrał, albo realistyczne zdjęcie „naszej hali”, której tak nie ma. Przy treściach wyraźnie artystycznych czy satyrycznych wystarczy dyskretna informacja. Tekst z AI o sprawach publicznych też trzeba oznaczyć, chyba że przeszedł redakcję człowieka, który bierze za niego odpowiedzialność, co w typowym blogu firmowym jest normą.

Na stronie albo w sklepie działa chatbot

Klient ma wiedzieć, że rozmawia z maszyną, najpóźniej przy pierwszej wiadomości, chyba że jest to oczywiste z kontekstu. Formalnie obowiązek ciąży na dostawcy systemu, ale jeśli chatbot został zbudowany dla Was i działa pod Waszą marką, w praktyce to Wy odpowiadacie przed klientem. Jedno zdanie w oknie czatu („Jestem asystentem AI, w każdej chwili możesz poprosić o kontakt z człowiekiem”) załatwia sprawę.

HR przesiewa CV przez narzędzie z AI

Tu zaczyna się wysokie ryzyko: AI do selekcji kandydatów, oceny pracowników czy przydzielania zadań jest wprost wymieniona w załączniku III do AI Act. Pełne obowiązki ruszą 2 grudnia 2027 r., ale już dziś warto wiedzieć, czego będą wymagać od firmy jako użytkownika: korzystania zgodnie z instrukcją dostawcy, nadzoru człowieka nad decyzjami, przechowywania logów przez co najmniej pół roku i poinformowania pracowników przed wdrożeniem takiego systemu w miejscu pracy. Jeśli dziś wybieracie narzędzie rekrutacyjne, pytajcie dostawcę, jak się do tego przygotowuje.

Ktoś proponuje „analizę nastroju” pracowników

Tego nie wolno, i to już od lutego 2025 r. AI Act zakazuje systemów rozpoznających emocje w miejscu pracy i w szkołach, z wyjątkiem zastosowań medycznych i związanych z bezpieczeństwem. Dotyczy to także „inteligentnych” dodatków do monitoringu czy narzędzi do wideorozmów, które oceniają zaangażowanie z mimiki. Za zakazane praktyki grożą najwyższe kary w całym rozporządzeniu.

Polska ustawa i KRiBSI: kto będzie to sprawdzał

Prezydent podpisał ustawę o systemach sztucznej inteligencji 24 lipca 2026 r., a przepisy obowiązują od 11 sierpnia. Ustawa tworzy Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI). To organ nadzoru nad rynkiem, który przyjmuje skargi, prowadzi kontrole i może nakładać kary. W jej skład wejdą m.in. przedstawiciele UOKiK, KNF, KRRiT i UKE, a według Ministerstwa Cyfryzacji komisja ma zacząć pełną pracę w listopadzie 2026 r.

Są też dobre wiadomości dla mniejszych firm. KRiBSI może wydać indywidualną opinię, czy dane rozwiązanie spełnia przepisy, jeszcze przed jego wdrożeniem. Ruszają też piaskownice regulacyjne, w których mikro, małe i średnie firmy mogą bezpłatnie testować swoje rozwiązania AI pod okiem nadzoru.

Co do kar: za zakazane praktyki AI Act przewiduje do 35 mln euro albo 7% światowego obrotu, a za naruszenie pozostałych obowiązków do 15 mln euro albo 3% obrotu. Dla małych i średnich firm stosuje się niższą z tych dwóch kwot.

Co zrobić w firmie w tym kwartale

Na początku wdrożenia AI u klientów zaczynamy od tej samej listy. Zajmuje kilka dni, a daje odpowiedź na pytanie, czy firma ma problem z AI Act, czy tylko trochę porządków:

1. Spis narzędzi AI, z których ludzie faktycznie korzystają, także tych na prywatnych kontach. Bez tego reszta listy jest zgadywaniem.
2. Sprawdzenie, czy któreś zastosowanie jest wysokiego ryzyka albo zakazane: rekrutacja, ocena pracowników, monitoring, scoring klientów.
3. Spisane zasady korzystania z AI: jakie narzędzia są dozwolone, jakich danych nie wolno wklejać, kto zatwierdza nowe narzędzie.
4. Szkolenie dla zespołu z udokumentowaną listą obecności. To najprostszy dowód „działań na rzecz kompetencji AI” z nowego art. 4.
5. Oznaczenia w marketingu i na czacie: zasada oznaczania grafik i filmów z AI oraz komunikat w oknie chatbota.
6. Zabezpieczenia techniczne: firmowe konta w narzędziach AI zamiast prywatnych, blokada niezatwierdzonych usług, DLP i etykiety poufności w Microsoft 365.

Punkty 1, 3 i 6 to typowa praca działu IT, a punkt 4 bierzemy na siebie w ramach szkolenia AI dla firm. Całość, łącznie z doborem narzędzi i pilotażem pierwszego procesu, opisujemy na stronie wdrożenie AI w firmie. Jeśli firma pracuje na Microsoft 365, naturalnym krokiem jest wdrożenie Copilota w Microsoft 365, bo dane zostają wtedy w Waszym środowisku, z Waszymi uprawnieniami. Przy przetwarzaniu danych osobowych przyda się też uporządkowana dokumentacja RODO po stronie IT.

AI w firmie to zresztą nie tylko przepisy, ale też nowe sposoby ataku. Jak oszuści wykorzystują sklonowany głos i wideo, pokazujemy w tekście o deepfake’u prezesa i oszustwach „na szefa”. Z kolei o tym, jak AI wchodzi do samego systemu operacyjnego, piszemy w artykule Windows 11 jako platforma agentów AI.

FAQ: AI Act w firmie po zmianach z 2026 r.

Czy po Digital Omnibus obowiązek szkolenia pracowników z AI zniknął?

Nie. Złagodzono go: zamiast „zapewnić wystarczający poziom kompetencji” firma ma podejmować działania wspierające ich rozwój. Szkolenie, zasady i materiały dla zespołu to nadal najprostszy sposób, żeby to wykazać.

Czy korzystanie z ChatGPT w biurze to system wysokiego ryzyka?

Nie, jeśli służy do pisania tekstów, streszczeń czy analiz. Wysokie ryzyko zależy od zastosowania, a nie od narzędzia. Ten sam model użyty do odrzucania kandydatów do pracy już się w tę kategorię wpisuje.

Czy trzeba oznaczać teksty na blogu napisane z pomocą AI?

Co do zasady nie, jeśli tekst przeszedł redakcję człowieka, a firma bierze odpowiedzialność za publikację. Oznaczać trzeba przede wszystkim realistyczne obrazy, dźwięki i filmy, które mogą wprowadzić odbiorcę w błąd.

Czy KRiBSI już prowadzi kontrole?

Ustawa obowiązuje od 11 sierpnia 2026 r., a komisja jest dopiero kompletowana. Według Ministerstwa Cyfryzacji ma działać w pełnym składzie od listopada 2026 r. To dobry moment na porządki, zanim zaczną spływać skargi.

Od czego zacząć, jeśli w firmie nikt się tym nie zajmował?

Od spisu narzędzi AI, z których korzystają pracownicy. Zwykle wychodzi kilka niespodzianek, np. prywatne konta z firmowymi plikami. Na tej podstawie da się w jeden dzień ustalić, co jest pilne, a co może poczekać do 2027 r.

Chcesz wiedzieć, co z AI Act dotyczy Twojej firmy i od czego zacząć wdrożenie AI? Na bezpłatnej konsultacji przejdziemy przez narzędzia, z których korzysta zespół, i powiemy wprost, co uporządkować najpierw, a co zostawić na później.

Autor artykułu

Michał Szapiel

W zalewie informacji czuję się jak ryba w wodzie. Uwielbiam wyszukiwać technologiczne perełki i nietuzinkowe rozwiązania, które realnie usprawniają biznes. Praca w Agile i SCRUM to dla mnie standard, ale to pasja do pisania o technologii, grafice i programowaniu napędza mnie do działania. Codziennie czytam, testuję i wdrażam nowinki, którymi dzielę się tutaj z Tobą.

Opublikowano: 25 października 2026

Zobacz także

AI w firmieClaude w firmie: jak działa w Copilocie i Office i dlaczego w Europie jest domyślnie wyłączony25.10.2026

AI w firmieCopilot liczy za agentów osobno. Co ustawić w Microsoft 365, zanim przyjdzie pierwsza faktura25.10.2026

AI w firmieGoogle AI Plus w Polsce: Czy tanie Gemini 3 Pro to początek nowej ery w IT?3.02.2026