AI Act 2 sierpnia 2026: co nadal obowiązuje mimo przesunięcia

27 lipca 2026 weszło w życie rozporządzenie 2026/1744, znane jako Digital Omnibus. Prasa od razu ogłosiła: AI Act przesunięty. Część systemów wysokiego ryzyka faktycznie poczeka do grudnia 2027, nie do sierpnia 2026. Problem w tym, że to tylko fragment obrazu. Obowiązki z artykułu 50 wchodzą w życie dokładnie tam, gdzie miały, czyli 2 sierpnia 2026. Jeśli Twoja firma odpuściła temat po nagłówkach w gazetach, sprawdź to jeszcze raz, zanim ktoś sprawdzi to za Ciebie.

Zanim zaczniesz: co się właściwie zmieniło

Digital Omnibus to pakiet zmian obejmujący AI Act, RODO, dyrektywę e-Privacy i Data Act. Cel oficjalny: uprościć przepisy i zmniejszyć obciążenia administracyjne dla firm. W praktyce Komisja Europejska przesunęła najbardziej wymagającą część regulacji, czyli obowiązki dla systemów AI wysokiego ryzyka: rekrutację, ocenę zdolności kredytowej, systemy biometryczne, edukację, infrastrukturę krytyczną. Te obowiązki ruszą 2 grudnia 2027, a dla systemów objętych unijnymi regulacjami sektorowymi dopiero w sierpniu 2028.

To realna ulga dla firm budujących duże systemy scoringowe czy narzędzia rekrutacyjne z automatyczną oceną kandydatów. Nie oznacza jednak, że AI Act w ogóle nie obowiązuje od sierpnia. Artykuł 50, dotyczący przejrzystości, zostaje bez zmian. Dochodzą też nowe zakazane praktyki: systemy generujące intymne wizerunki osób bez zgody oraz treści przedstawiające seksualne wykorzystywanie małoletnich. Te zakazy obowiązują od razu, bez żadnego okresu przejściowego.

Europejska Rada Ochrony Danych przyjęła w lipcu wytyczne dotyczące anonimizacji danych i web scrapingu w kontekście generatywnej AI. To sygnał, że regulator patrzy nie tylko na duże systemy wysokiego ryzyka, ale też na codzienne praktyki firm korzystających z gotowych narzędzi AI.

Krok 1: Sprawdź, czy Twoja firma używa systemów AI wchodzących w bezpośrednią interakcję z ludźmi

Artykuł 50 obejmuje każdego, kto oferuje system AI wchodzący w bezpośredni kontakt z człowiekiem. Chatbot na stronie, wirtualny asystent w obsłudze klienta, bot odpowiadający na wiadomości w mediach społecznościowych. Jeśli klient rozmawia z botem i nie wie, że to bot, masz problem od 2 sierpnia.

Wyjątek istnieje, ale wąski: gdy z okoliczności jest oczywiste, że rozmawia się z AI. W praktyce trudno się na niego powołać, bo regulator interpretuje "oczywistość" bardzo zawężająco. Bezpieczniej założyć, że każdy bot potrzebuje jasnej informacji na starcie rozmowy: "Rozmawiasz z asystentem AI".

Sprawdź też systemy rozpoznawania emocji i kategoryzacji biometrycznej, jeśli takich używasz, na przykład w rekrutacji albo w analizie nagrań z obsługi klienta. Osoby poddane takim systemom muszą zostać o tym poinformowane.

Krok 2: Zweryfikuj treści generowane przez AI w marketingu i komunikacji

To punkt, który najczęściej umyka firmom spoza branży tech. Artykuł 50 ustęp 4 dotyczy treści zmanipulowanych lub wygenerowanych przez AI, które przypominają rzeczywiste obiekty, osoby lub wydarzenia, czyli tak zwane deepfake w szerokim rozumieniu. Dotyczy to nie tylko dużych platform, ale też zwykłych firm: agencji marketingowych, sklepów e-commerce używających AI do generowania zdjęć produktowych z ludźmi, platform e-learningowych z awatarami AI.

Obowiązek: jasne i wyraźne oznaczenie, że treść powstała lub została zmodyfikowana przez AI. Więcej o tym w osobnym artykule o oznaczaniu treści AI.

Krok 3: Sprawdź zakazane praktyki, które obowiązują od razu

Digital Omnibus dodał do artykułu 5 nowe zakazane praktyki: generowanie lub manipulowanie intymnymi wizerunkami osób bez zgody oraz materiały przedstawiające wykorzystywanie seksualne małoletnich. To zakazy absolutne, bez okresu przejściowego i bez wyjątków dla małych firm.

Jeśli Twoja firma korzysta z narzędzi generatywnych do obróbki zdjęć czy tworzenia wizerunków, warto zweryfikować regulamin dostawcy narzędzia i upewnić się, że nie ma tam furtek na tego typu użycie. Odpowiedzialność za naruszenie ponosi też podmiot stosujący system, nie tylko jego dostawca.

Najczęstsze błędy i jak ich uniknąć

Pierwszy błąd: założenie, że skoro systemy wysokiego ryzyka poczekają do 2027, można odłożyć temat AI Act w całości. To błąd kosztowny, bo kary za naruszenie artykułu 50 sięgają 15 milionów euro lub 3 procent globalnego rocznego obrotu. Szczegóły w artykule o karach AI Act.

Drugi błąd: traktowanie oznaczania treści AI jako problemu działu prawnego, a nie marketingu. W praktyce to zespół marketingu i obsługi klienta generuje większość treści objętych obowiązkiem, więc oni powinni znać zasady na co dzień, nie tylko prawnik raz na kwartał.

Trzeci błąd: czekanie na polską ustawę wdrażającą, zanim cokolwiek się zrobi. Ustawa o systemach sztucznej inteligencji i nowa Komisja KRiBSI dopiero raczkują (więcej tutaj), ale przepisy unijne obowiązują wprost, niezależnie od tempa polskiego ustawodawcy.

Podsumowanie

Digital Omnibus dał firmom więcej czasu na przygotowanie do systemów wysokiego ryzyka, ale nie zdjął z nikogo obowiązku przejrzystości. Od 2 sierpnia 2026 każda firma z chatbotem, botem w social mediach albo treściami generowanymi przez AI musi jasno informować o tym użytkowników. Ignorowanie tego bo "AI Act przesunięty" to najkrótsza droga do kontroli, na którą nikt nie jest gotowy.

Sprawdź, które procesy w Twojej firmie można zautomatyzować zgodnie z przepisami. Bezpłatny AI Audit na daplo.agency.