Ważne dla każdej firmy używającej AI

AI Act 2026
Co MŚP musi wiedzieć

AI Act, czyli rozporządzenie (UE) 2024/1689, wchodzi etapami. Od 27 lipca 2026 r. obowiązują zmiany z rozporządzenia (UE) 2026/1744 („AI Omnibus”): wymogi dla systemów wysokiego ryzyka przesunięto na 2 grudnia 2027 r. i 2 sierpnia 2028 r. (art. 113 lit. c). Większość zakazów (art. 5), obowiązki przejrzystości (art. 50) i obowiązek wspierania kompetencji w zakresie AI (art. 4) już obowiązują. MŚP mają ulgi, także w karach.

Harmonogram (stan prawny na 29 października 2026 r.)

Już obowiązuje

2 lutego 2025 r. — zakazy z art. 5 (m.in. manipulacja, wykorzystywanie słabości, scoring społeczny) i art. 4 o kompetencjach w zakresie AI, później złagodzony przez rozporządzenie 2026/1744 · 27 lipca 2026 r. — weszło w życie rozporządzenie (UE) 2026/1744 („AI Omnibus”) · 2 sierpnia 2026 r. — obowiązki przejrzystości z art. 50 (chatboty, deepfaki) · 28 października 2026 r. — w Polsce zaczęły obowiązywać przepisy o kontrolach, postępowaniach i karach z ustawy z 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003); organ nadzoru rynku: KRiBSI

Wchodzi później

2 grudnia 2026 r. — dwa nowe zakazy z art. 5 ust. 1 lit. ba i bb: wprowadzania do obrotu i używania systemów AI, które bez wyraźnej zgody tworzą lub przerabiają realistyczne obrazy, nagrania wideo lub dźwięk przedstawiające intymne części ciała albo czynności seksualne rozpoznawalnej osoby (tzw. nudify), oraz systemów tworzących materiały przedstawiające seksualne wykorzystywanie dzieci; dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026 r. mija też termin na spełnienie art. 50 ust. 2, czyli oznaczania treści wygenerowanych przez AI w formacie odczytywalnym maszynowo; dotyczy dostawców systemów generujących dźwięk, obraz, wideo lub tekst (art. 111 ust. 4) · 2 grudnia 2027 r. — wymogi dla systemów wysokiego ryzyka z załącznika III, np. w rekrutacji czy ocenie zdolności kredytowej osób fizycznych · 2 sierpnia 2028 r. — wymogi dla AI w produktach z załącznika I, np. w wyrobach medycznych (oba terminy: art. 113 lit. c po zmianach z rozporządzenia 2026/1744)

4 poziomy ryzyka

Niedopuszczalne

Manipulacja, wykorzystywanie słabości, scoring społeczny i inne praktyki z art. 5 → zakazane. Zdalna identyfikacja biometryczna w czasie rzeczywistym jest zakazana tylko w przestrzeni publicznie dostępnej do celów ścigania, z wyjątkami (art. 5 ust. 1 lit. h); pozostała zdalna identyfikacja biometryczna, tam gdzie prawo pozwala jej używać, to wysokie ryzyko (załącznik III pkt 1 lit. a) — poza samą weryfikacją, że ktoś jest tym, za kogo się podaje.

Wysokiego ryzyka

Określone zastosowania z załącznika III, np. rekrutacja, edukacja, infrastruktura krytyczna, ocena zdolności kredytowej osób fizycznych (poza wykrywaniem oszustw finansowych), ocena ryzyka i ustalanie cen w ubezpieczeniach na życie i zdrowotnych osób fizycznych, ocena przez organy publiczne (lub w ich imieniu) prawa do świadczeń i usług publicznych, w tym opieki zdrowotnej, klasyfikacja zgłoszeń alarmowych i triaż pacjentów w nagłych przypadkach — oraz AI w produktach z załącznika I (np. wyroby medyczne). Wyjątki: art. 6 ust. 3. Najwięcej obowiązków ma dostawca systemu (art. 16); firma, która system tylko stosuje, ma obowiązki z art. 26.

Ograniczonego ryzyka (przejrzystość)

Chatboty, deepfaki → obowiązki przejrzystości z art. 50, np. informowanie, że rozmowa toczy się z AI. Obowiązują od 2 sierpnia 2026 r.

Minimalnego ryzyka

Filtry antyspamowe, AI w grach → AI Act nie stawia tu szczególnych wymogów samemu systemowi. Osobno, od 2 lutego 2025 r., obowiązuje art. 4: dostawcy i podmioty stosujące AI — także firma, która tylko używa narzędzi AI w pracy — mają podejmować działania wspierające kompetencje w zakresie AI swojego personelu. Od zmiany rozporządzeniem 2026/1744 przepis nie wymaga zagwarantowania określonego poziomu wiedzy każdej osoby.

🎁 Ulgi dla MŚP w AI Act

Uproszczona dokumentacja techniczna dla MŚP (art. 11 ust. 1 rozporządzenia 2024/1689)
Niższe kary: dla MŚP liczy się niższa z dwóch wartości, kwota albo procent obrotu (art. 99 ust. 6); rozporządzenie 2026/1744 rozszerzyło tę ulgę na małe spółki o średniej kapitalizacji (art. 99 ust. 6a)
Piaskownica regulacyjna (sandbox) — testowanie AI pod nadzorem organu (art. 57 ust. 5); każde państwo UE ma zapewnić co najmniej jedną krajową piaskownicę działającą do 2 sierpnia 2027 r. (art. 57 ust. 1). Uczestnik odpowiada za szkody wyrządzone osobom trzecim w wyniku testów, a kar administracyjnych za naruszenie AI Act unika tylko wtedy, gdy przestrzega uzgodnionego planu i warunków udziału oraz w dobrej wierze stosuje się do wskazówek organu (art. 57 ust. 12).
Wsparcie organów krajowych (art. 70 ust. 8). W Polsce organem nadzoru rynku jest KRiBSI, czyli Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (art. 5 ust. 1 ustawy z 3 lipca 2026 r.); przepisy o jej opiniach indywidualnych obowiązują od 28 października 2026 r.
Dodatkowe środki wsparcia dla MŚP (art. 62 ust. 1 i art. 63 ust. 1) — co z nich wynika dla Twojej firmy, sprawdzamy w audycie

Kary za nieprzestrzeganie (art. 99 rozporządzenia 2024/1689)

do 35 mln EUR

lub do 7% obrotu — za zakazane praktyki z art. 5 (art. 99 ust. 3). Liczy się wyższa z dwóch wartości, a dla MŚP niższa (art. 99 ust. 6).

do 15 mln EUR

lub do 3% obrotu — za naruszenie m.in. obowiązków przejrzystości z art. 50 (art. 99 ust. 4 lit. g), a gdy zaczną obowiązywać, także wymogów dla systemów wysokiego ryzyka (art. 99 ust. 4). Liczy się wyższa z dwóch wartości, a dla MŚP niższa (art. 99 ust. 6).

do 7,5 mln EUR

lub do 1% obrotu — za podanie nieprawidłowych, niepełnych lub wprowadzających w błąd informacji jednostkom notyfikowanym albo organom w odpowiedzi na ich żądanie (art. 99 ust. 5). Liczy się wyższa z dwóch wartości, a dla MŚP niższa (art. 99 ust. 6).

Sprawdź, które obowiązki dotyczą Twojej firmy