Roadmap gotowości do AI Act w UE

Krok 1: potwierdź zakres i harmonogram, z którym pracujesz

Dwa pytania decydują o tym, czy Akt cię dotyczy i jak pilna jest sprawa.

Zakres wynika z Artykułu 2. Akt wiąże providerów wprowadzających systemy AI na rynek UE, deployerów mających siedzibę lub zlokalizowanych w UE oraz, co istotne, providerów i deployerów spoza UE, jeśli wynik działania systemu jest wykorzystywany w UE. Firma z USA albo Wielkiej Brytanii, która sprzedaje narzędzie AI używane przez klientów z UE, albo której wynik działania modelu trafia do użytkowników z UE, jest w zakresie. Istnieją wyłączenia, w tym systemy używane wyłącznie do osobistej, nieprofesjonalnej aktywności oraz niektóre zastosowania związane z bezpieczeństwem narodowym i wojskowością, ale domyślnym założeniem dla produktu komercyjnego dotykającego użytkowników z UE powinno być to, że Akt ma zastosowanie.

Harmonogram wynika z Artykułu 113. Stałe, już obowiązujące kamienie milowe to:

• Praktyki zakazane (Art. 5) i kompetencje AI (Art. 4) · Data: 2 lutego 2025 · Status: Obowiązuje
• Obowiązki GPAI (Art. 53-55) · Data: 2 sierpnia 2025 · Status: Obowiązuje
• Transparentność (Art. 50) i większość obowiązków wysokiego ryzyka (Załącznik III) · Data: 2 sierpnia 2026 · Status: Obowiązuje
• Wysokie ryzyko wbudowane w produkty (Załącznik I) · Data: 2 sierpnia 2027 · Status: Obowiązuje

Zestaw poprawek, Digital Omnibus, został opublikowany przez Komisję Europejską w listopadzie 2025 roku i od tego czasu został przyjęty: przez Parlament 16 czerwca 2026 roku i przez Radę 29 czerwca 2026 roku. Przesuwa datę dla wysokiego ryzyka z Załącznika III na 2 grudnia 2027 roku, a datę dla Załącznika I na 2 sierpnia 2028 roku, między innymi zmianami. Nabiera mocy prawnej z chwilą publikacji w Dzienniku Urzędowym UE, co wciąż nie nastąpiło na lipiec 2026 roku, więc do tego czasu obowiązujące daty powyżej pozostają prawem operacyjnym. Rozsądna postawa planistyczna to pracować do obowiązujących dat i traktować ulgę jako potwierdzony oddech, gdy tylko publikacja się pojawi.

Krok 2: zinwentaryzuj AI, które budujesz i którego używasz

Compliance jest niemożliwe bez listy. Większość organizacji nie docenia, ile AI jest już w budynku, bo duża jego część przychodzi wewnątrz narzędzi SaaS, rozszerzeń przeglądarki i funkcji włączonych przez dostawców, a nie przez formalne zamówienie.

Działający inwentarz opisuje dla każdego systemu: co robi, kto go dostarczył, czy go budujesz, czy tylko z niego korzystasz, jakich danych dotyka, kto jest dotknięty jego wynikami i czy jakikolwiek człowiek przegląda te wyniki, zanim wejdą w życie. Praktyczne metody wykrywania obejmują przegląd grantów OAuth i aplikacji firm trzecich w twoim dostawcy tożsamości, skanowanie wydatków i rekordów spendu SaaS, ankietowanie zespołów o narzędziach, których faktycznie używają, oraz sprawdzanie, jakie funkcje AI są włączone wewnątrz platform, za które już płacisz. Celem jest jeden rejestr, który nazywa każdy system i przypisuje mu właściciela.

Krok 3: sklasyfikuj swoją rolę dla każdego systemu

Obowiązki są przypisane do ról, nie do firm, a jedna firma może pełnić różne role dla różnych systemów. Artykuł 3 definiuje cztery:

• Provider: rozwija system AI albo zleca jego rozwinięcie i wprowadza go na rynek lub oddaje do użytku pod własną nazwą lub znakiem towarowym.
• Deployer: używa systemu AI pod własnym nadzorem w charakterze zawodowym. Większość firm jest deployerem dla większości swojego AI.
• Importer: wprowadza na rynek UE system AI noszący nazwę providera spoza UE.
• Distributor: udostępnia system AI na rynku, nie będąc providerem ani importerem.

Artykuł 25 to pułapka, na którą warto uważać. Deployer staje się providerem i przejmuje obowiązki providera, jeśli umieści swoją nazwę lub znak towarowy na systemie wysokiego ryzyka już obecnym na rynku, dokona istotnej modyfikacji systemu wysokiego ryzyka albo zmieni przeznaczenie systemu tak, że staje się on wysokiego ryzyka. Fine-tuning albo istotne przeprofilowanie modelu może więc zamienić użytkownika w providera. Zapisuj decyzję o roli dla każdego systemu i uzasadnienie, które za nią stoi.

Krok 4: sklasyfikuj ryzyko i wyprowadź z niego obowiązki

Akt jest warstwowy. Przeprowadź każdy zinwentaryzowany system przez te warstwy po kolei.

Zakazane (Artykuł 5). Krótka lista praktyk jest zakazana wprost, w tym nieukierunkowane skrobanie wizerunków twarzy do budowy baz danych rozpoznawania, scoring społeczny prowadzony przez władze publiczne oraz niektóre systemy manipulacyjne lub wykorzystujące podatności. Niosą one najwyższe ryzyko kary, do 35 mln EUR albo 7% globalnego obrotu. Każdy system, który wygląda blisko tej listy, wymaga przeglądu prawnego, zanim gdziekolwiek trafi.

Wysokiego ryzyka (Artykuł 6 z Załącznikami I i III). Prowadzą tu dwie drogi. Załącznik I obejmuje AI będące elementem bezpieczeństwa produktu już regulowanego prawem bezpieczeństwa produktów UE (maszyny, wyroby medyczne i podobne). Załącznik III wymienia samodzielne zastosowania wysokiego ryzyka, w tym AI w zatrudnieniu i zarządzaniu pracownikami, edukacji, dostępie do usług podstawowych, zdolności kredytowej, niektórych ubezpieczeniach, egzekwowaniu prawa, migracji i wymiarze sprawiedliwości. Status wysokiego ryzyka uruchamia najcięższy zestaw obowiązków: zarządzanie ryzykiem, zarządzanie danymi, dokumentację techniczną, nadzór ludzki, dokładność i odporność oraz, dla deployerów, obowiązki z Artykułu 26.

Tylko transparentność (Artykuł 50). Systemy, które wchodzą w interakcję z ludźmi, generują syntetyczną treść, wykonują rozpoznawanie emocji lub kategoryzację biometryczną, albo produkują deepfake'i, niosą obowiązki ujawnienia, ale nie są automatycznie wysokiego ryzyka.

Ryzyko minimalne. Wszystko inne nie niesie żadnych szczególnych obowiązków poza kompetencjami AI i ogólną dobrą praktyką.

Krok 5: spełnij obowiązki deployera i przeprowadź FRIA tam, gdzie jest wymagana

Jeśli wdrażasz system wysokiego ryzyka, Artykuł 26 ustala twoje podstawowe obowiązki: używaj systemu zgodnie z instrukcjami providera, przypisz kompetentny nadzór ludzki, monitoruj działanie i zachowuj automatycznie generowane logi, dbaj, by dane wejściowe były adekwatne do przeznaczenia tam, gdzie je kontrolujesz, i informuj osoby dotknięte tam, gdzie jest to wymagane. Gdy system wysokiego ryzyka podejmuje lub wspomaga decyzje dotyczące osób, te osoby mają prawo na mocy Artykułu 86 do wyjaśnienia decyzji.

Niektórzy deployerzy muszą też przeprowadzić ocenę wpływu na prawa podstawowe (FRIA) na mocy Artykułu 27 przed pierwszym użyciem. Obowiązek spoczywa na podmiotach publicznych i podmiotach prywatnych świadczących usługi publiczne, które wdrażają systemy wysokiego ryzyka z Załącznika III, oraz na każdym deployerze, publicznym lub prywatnym, używającym AI do oceny zdolności kredytowej albo do oceny ryzyka i ustalania cen w ubezpieczeniach na życie i zdrowotnych. FRIA opisuje kontekst wdrożenia i osoby dotknięte, ocenia konkretne ryzyka szkody dla ich praw podstawowych oraz określa środki nadzoru ludzkiego i plan na wypadek materializacji ryzyka, w tym zarządzanie i procedury skargowe. Artykuł 27(4) pozwala wykorzystać ponownie odpowiednie części istniejącej oceny skutków dla ochrony danych (DPIA) na mocy RODO, zamiast dublować pracę. Na czerwiec 2026 roku Urząd ds. AI nie opublikował jeszcze swojego szablonu FRIA, więc oceny buduje się na podstawie elementów określonych wprost w artykule.

Krok 6: zbuduj kompetencje AI, których Artykuł 4 już wymaga

Artykuł 4 obowiązuje od 2 lutego 2025 roku. Wymaga od providerów i deployerów podjęcia działań zapewniających wystarczający poziom kompetencji AI wśród pracowników i innych osób obsługujących lub korzystających z systemów AI w ich imieniu, ocenianych względem ich wiedzy technicznej, doświadczenia i kontekstu użycia. Komisja Europejska wskazała, że „inne osoby" mogą obejmować kontraktorów i dostawców usług działających w imieniu organizacji.

Obowiązek jest oparty na rezultacie, a nie na przepisie, więc nie ma jednego ustalonego programu nauczania. Działa podejście oparte na roli: baza dla wszystkich pracowników na temat tego, czym jest AI, jakie ma ograniczenia i jakie są zasady akceptowalnego użycia w firmie, plus głębsze szkolenie dla zespołów, które budują, konfigurują lub podejmują istotne decyzje z użyciem AI. Ponieważ ten obowiązek już obowiązuje, a jego nadzór zaczyna się 2 sierpnia 2026 roku, dowody mają znaczenie: prowadź rejestr, kto był szkolony, z czego i kiedy.

Krok 7: spełnij obowiązki transparentności z Artykułu 50

Od 2 sierpnia 2026 roku obowiązują cztery obowiązki transparentności. Providerzy muszą projektować systemy wchodzące w interakcję z ludźmi tak, by użytkownicy byli informowani, że mają do czynienia z AI, chyba że jest to oczywiste. Providerzy systemów generatywnych muszą oznaczać syntetyczne audio, obraz, wideo i tekst w formacie czytelnym maszynowo i wykrywalnym. Deployerzy systemów rozpoznawania emocji lub kategoryzacji biometrycznej muszą informować osoby, które im podlegają. Deployerzy, którzy produkują deepfake'i, muszą ujawnić, że treść jest sztucznie wygenerowana lub zmanipulowana, z lżejszym obowiązkiem ujawnienia tam, gdzie dzieło jest wyraźnie artystyczne lub satyryczne. Te obowiązki są szczegółowo omówione w dedykowanym przewodniku o transparentności.

Krok 8: dokumentacja, rejestracja i bieżący monitoring

Ostatni krok to część, która nigdy się nie kończy. Providerzy systemów wysokiego ryzyka utrzymują dokumentację techniczną i, dla systemów z Załącznika III, rejestrują je w bazie danych UE przed wprowadzeniem na rynek. Providerzy prowadzą też monitoring poprodukcyjny na mocy Artykułu 72: pisemny plan i aktywny proces zbierający dane o wydajności, w tym sygnały od deployerów, i przekazujący ustalenia z powrotem do zarządzania ryzykiem i dokumentacji.

Gdy coś idzie poważnie źle, Artykuł 73 ustala obowiązki raportowania. Providerzy systemów wysokiego ryzyka raportują poważne incydenty do organu nadzoru rynku państwa członkowskiego, w którym wystąpił incydent, zazwyczaj w ciągu 15 dni od ustalenia prawdopodobnego związku przyczynowego, w ciągu 10 dni, gdy zaangażowana jest śmierć, i w ciągu 2 dni w przypadku szeroko rozpowszechnionego naruszenia albo poważnego i nieodwracalnego incydentu. Te obowiązki w praktyce pokrywają się z raportowaniem naruszeń pod RODO oraz, dla podmiotów w zakresie, z raportowaniem incydentów pod NIS2 i DORA, więc warto zmapować je na jeden proces wewnętrzny zamiast prowadzić równoległe.

Egzekwowanie krajowe przebiega przez organ nadzoru rynku w każdym państwie członkowskim. W Polsce wyznaczonym organem jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI); ustawa wykonawcza przeszła przez Sejm 11 czerwca 2026 roku i, na połowę czerwca 2026 roku, przechodziła przez resztę procesu legislacyjnego, więc ramy krajowe są bliskie, ale jeszcze nie finalne.

Rozsądna kolejność

Dla większości średnich deployerów kolejność, która marnuje najmniej wysiłku, to: potwierdź zakres, zbuduj inwentarz, sklasyfikuj rolę i ryzyko, uruchom kompetencje AI, bo ten obowiązek już jest zaległy, przygotuj ujawnienia transparentności na datę sierpnia 2026 roku, przeprowadź wymaganą FRIA przed wdrożeniem wysokiego ryzyka, a potem osadź się w rutynie dokumentacji i monitoringu. Przeglądaj ponownie inwentarz za każdym razem, gdy przyjmujesz nowe narzędzie albo istotnie zmieniasz istniejące, bo to jest moment, w którym rola albo klasyfikacja ryzyka może się zmienić.

Źródła

• Regulation (EU) 2024/1689 (the AI Act), Article 50 full text and entry-into-force date · https://artificialintelligenceact.eu/article/50/ (transparency duties, 2 Aug 2026 date, exceptions)
• Regulation (EU) 2024/1689, Article 73 full text · https://artificialintelligenceact.eu/article/73/ (serious-incident reporting timelines: 15 days, 10 days, 2 days)
• Article 27: Fundamental Rights Impact Assessment, AI Act text and analysis · https://artificialintelligenceact.eu/article/27/ (FRIA scope, elements, DPIA reuse)
• AI Literacy Questions and Answers, European Commission, Shaping Europe's digital future · https://digital-strategy.ec.europa.eu/en/faqs/ai-literacy-questions-answers (Article 4 application date 2 Feb 2025, scope, enforcement from 2 Aug 2026)
• Digital Omnibus on AI Regulation Proposal, European Commission · https://digital-strategy.ec.europa.eu/en/library/digital-omnibus-ai-regulation-proposal (proposal published Nov 2025, proposed deferrals)
• Artificial Intelligence: Council and Parliament agree to simplify and streamline rules, Council of the EU press release, 7 May 2026 · https://www.consilium.europa.eu/en/press/press-releases/2026/05/07/artificial-intelligence-council-and-parliament-agree-to-simplify-and-streamline-rules/ (provisional agreement; since adopted by Parliament 16 June 2026 and Council 29 June 2026)
• EU AI Act Omnibus Agreement, Gibson Dunn · https://www.gibsondunn.com/eu-ai-act-omnibus-agreement-postponed-high-risk-deadlines-and-other-key-changes/ (Annex III to 2 Dec 2027, Annex I to 2 Aug 2028)
• Sejm przyjął ustawę o sztucznej inteligencji, Rzeczpospolita · https://www.rp.pl/prawo-w-polsce/art44606901-sejm-przyjal-ustawe-o-sztucznej-inteligencji-komisja-ds-ai-i-piaskownice-regulacyjne-dla-firm (Poland's KRiBSI authority; Sejm vote 11 June 2026)