AI Act: co naprawdę wchodzi w życie 2 sierpnia 2026

Przez ostatnie pół roku w mediach branżowych dominował jeden nagłówek: „UE opóźnia AI Act”. To prawda, ale tylko w połowie, i nie w tej połowie, która dotyczy większości firm.

Digital Omnibus, czyli rozporządzenie (UE) 2026/1744, opublikowano w Dzienniku Urzędowym 24 lipca 2026 i weszło w życie 27 lipca. Faktycznie przesunęło terminy dla systemów wysokiego ryzyka. Artykułu 50 nie ruszyło. A artykuł 50 obowiązuje od 2 sierpnia 2026, czyli od dzisiaj.

Zanim jednak wpadniesz w panikę: artykuł 50 nie dotyczy każdego użycia AI w firmie. Obejmuje cztery konkretne sytuacje, opisane niżej. Jeśli Twoi ludzie po prostu korzystają z asystenta do pisania kodu i notatek, ten termin Cię nie dotyczy. Jeśli macie chatbota rozmawiającego z ludźmi albo publikujecie materiały generowane przez model, dotyczy.

Co Omnibus przesunął, a czego nie ruszył

Warto zobaczyć te daty obok siebie, bo z komunikatów prasowych wynikał obraz „wszystko przesunięte”.

Przesunięcie dotyczy zatem systemów rekrutacyjnych, scoringowych, edukacyjnych i wbudowanych w produkty regulowane. Jeśli budujesz taki system, dostałeś od 12 do 16 miesięcy powietrza. Jeśli wystawiasz chatbota albo publikujesz treści generowane przez model, nie dostałeś nic.

Cztery obowiązki z artykułu 50

Artykuł 50 nie zabrania niczego. Wymaga, żeby człowiek po drugiej stronie wiedział, że rozmawia z maszyną albo ogląda materiał wygenerowany przez maszynę. Zawiera cztery odrębne obowiązki i rozkłada je na dwie różne role.

50(1) Ujawnienie, że to bot (obowiązek dostawcy)

Systemy przeznaczone do bezpośredniej interakcji z ludźmi muszą być zaprojektowane tak, żeby użytkownik wiedział, że ma do czynienia z AI. Wyjątek jest jeden: sytuacja, w której to oczywiste dla rozsądnie poinformowanego, uważnego odbiorcy.

W praktyce chatbot podpisany „Asystent AI”, ze zdaniem wyjaśniającym w pierwszej wiadomości, spełnia wymóg. Chatbot nazwany „Ania z Działu Obsługi”, z awatarem twarzy i bez żadnej adnotacji, nie spełnia.

50(2) Maszynowo czytelne oznaczenie treści syntetycznej (obowiązek dostawcy)

Dostawcy systemów generujących dźwięk, obraz, wideo lub tekst muszą oznaczyć wyjście w formacie maszynowo czytelnym i wykrywalnym jako wygenerowane sztucznie. Przepis nie narzuca techniki: metadane w standardzie C2PA to najczęstsze rozwiązanie, ale znak wodny również może spełnić wymóg, o ile jest maszynowo wykrywalny.

Adresatem jest dostawca systemu, a nie koniecznie dostawca modelu. Jeśli budujesz produkt na cudzym modelu i wypuszczasz go pod swoją marką, jesteś w rozumieniu rozporządzenia dostawcą podrzędnym (art. 3 pkt 68) i obowiązek jest Twój.

Praktycznie: sprawdź, czy dostawca oznacza wyjście, i nie usuwaj metadanych we własnym pipelinie. To drugie nie wynika wprost z art. 50, ale jest realnym ryzykiem, bo wiele narzędzi do kompresji i konwersji obrazu wycina metadane domyślnie.

Systemy obecne na rynku przed 2 sierpnia 2026 mają na ten jeden obowiązek czas do 2 grudnia 2026. Systemy wypuszczane od 2 sierpnia nie mają.

50(3) Rozpoznawanie emocji i kategoryzacja biometryczna (obowiązek stosującego)

Wdrażając system rozpoznawania emocji lub kategoryzacji biometrycznej, musisz poinformować osoby nim objęte.

Uwaga na pułapkę. Rozpoznawanie emocji w miejscu pracy i w edukacji jest zakazane od 2 lutego 2025 na mocy artykułu 5, poza wąskimi wyjątkami medycznymi i związanymi z bezpieczeństwem. Artykuł 50(3) nie legalizuje takiego zastosowania, tylko reguluje przypadki, w których system jest w ogóle dopuszczalny.

50(4) Deepfake i tekst w sprawach publicznych (obowiązek stosującego)

Publikując obraz, dźwięk lub wideo, które są deepfakiem, musisz to ujawnić. To samo dotyczy tekstu publikowanego w celu informowania opinii publicznej w sprawach interesu publicznego.

Jest tu istotny wyjątek. Obowiązek dla tekstu nie stosuje się, gdy treść przeszła weryfikację człowieka i ktoś ponosi za nią odpowiedzialność redakcyjną. Uwaga: wyjątek wymaga rzeczywistego przeglądu, a nie samej deklaracji. Wpis na blogu firmowym przeczytany i zredagowany przez autora spełnia warunek; ten sam wpis przepuszczony przez „akceptuj” w CMS-ie już niekoniecznie. Automatycznie generowany feed „newsów branżowych” bez redakcji jest poza wyjątkiem na pewno.

Informacja w każdym z tych przypadków ma być przekazana w sposób jasny i wyraźny, najpóźniej przy pierwszej interakcji lub ekspozycji, i musi spełniać wymogi dostępności.

„Nie jesteśmy dostawcą AI” nie zawsze wystarcza

Najczęstsza reakcja, jaką słyszę na warsztatach: my tylko używamy ChatuGPT, obowiązki ma OpenAI. To rozumowanie ma dziurę.

Dostawcą w rozumieniu rozporządzenia stajesz się między innymi wtedy, gdy wypuszczasz system pod własną nazwą lub znakiem towarowym (art. 3 pkt 3). Asystent z Twoim logo, zbudowany na cudzym modelu i udostępniony klientom, to sytuacja, w której lepiej mieć opinię prawną niż intuicję. Osobna reguła o istotnej modyfikacji z art. 25 dotyczy systemów wysokiego ryzyka, więc nie przenoś jej automatycznie na każdy przypadek.

Drugi problem jest prostszy. Obowiązki 50(3) i 50(4) są obowiązkami stosującego i dotyczą Cię niezależnie od tego, czyj jest model.

Czego artykuł 50 nie wymaga

Równie ważne, żeby nie zbudować compliance'u na zapas i nie zabić przy okazji sensownych zastosowań.

• Nie wymaga oznaczania każdego dokumentu wewnętrznego. Notatka ze spotkania, którą AI pomogło Ci streścić, nie jest treścią objętą art. 50(2) ani 50(4). Uwaga jednak: nie każdy obowiązek kończy się na granicy firmy. Chatbot rozmawiający z pracownikami podlega 50(1), a rozpoznawanie emocji w miejscu pracy jest wprost zakazane art. 5.
• Nie wymaga oznaczania funkcji wspomagających edycję, które nie zmieniają istotnie danych wejściowych. Autokorekta i przeredagowanie akapitu nie tworzą treści syntetycznej w rozumieniu 50(2).
• Nie zabrania używania AI do treści publicznych. Wymaga albo ujawnienia, albo odpowiedzialności redakcyjnej człowieka.
• Nie jest obowiązkiem rejestracyjnym. Nie zgłaszasz nigdzie chatbota. Masz go poprawnie oznaczyć.

Co zrobić w tym tygodniu

Poniższa lista to moja robocza procedura z warsztatów, nie wymóg ustawowy. Kolejność ma znaczenie.

1. Zrób inwentarz dwóch rzeczy. Po pierwsze: gdzie użytkownik rozmawia z modelem. Po drugie: gdzie treść wygenerowana przez model wychodzi poza organizację. W firmach, z którymi pracowałem, wychodziło kilka takich miejsc, a nie kilkadziesiąt, i ludzie wymieniali je z pamięci.
2. Przypisz każdemu punktowi rolę, dostawcy albo stosującego. Czego nie da się rozstrzygnąć od ręki, oznacz do konsultacji prawnej i idź dalej.
3. Popraw chatboty. Nazwa albo pierwsze zdanie mają zawierać informację, że to AI. Sprawdź też ścieżkę eskalacji do człowieka. To nie jest wymóg art. 50, ale w praktyce rozstrzyga spory z klientami.
4. Zadaj dostawcom jedno pytanie na piśmie: czy wyjście ich systemu jest oznaczane maszynowo zgodnie z art. 50(2) i w jakim standardzie. Odpowiedź, albo jej brak, trzymaj w dokumentacji.
5. Sprawdź pipeline mediów. Jeśli generujecie grafiki, upewnijcie się, że konwersja i kompresja nie usuwają metadanych C2PA.
6. Przejrzyj HR i rekrutację pod kątem artykułu 5, nie 50. Wszystko, co dotyka wnioskowania o emocjach pracowników lub kandydatów, jest zakazane od półtora roku i to jest większe ryzyko niż brak etykiety na chatbocie.
7. Wyznacz właściciela. Jedna osoba z nazwiskiem, nie „zespół”. Terminy z tabeli wyżej wracają w grudniu 2026 i w grudniu 2027.

Przy okazji: artykuł 4 został złagodzony

Rzecz, o której rzadko się mówi, a która dotyczy mnie zawodowo. Artykuł 4 nakładał na dostawców i stosujących obowiązek zapewnienia wystarczającego poziomu kompetencji AI wśród personelu. Digital Omnibus przepisał go na obowiązek podjęcia działań wspierających rozwój tych kompetencji, z wyraźnym zastrzeżeniem, że nie oznacza to gwarantowania konkretnego poziomu u konkretnej osoby. Z obowiązku rezultatu zrobił się obowiązek starannego działania. Zmiana obowiązuje od wejścia w życie rozporządzenia 2026/1744, czyli od 27 lipca 2026.

Powiem to wprost, choć jest sprzeczne z moim interesem. Obowiązek nie zniknął, ale argument „szkolenie, bo inaczej kara z AI Act” nigdy nie był mocny: art. 99 nie przewiduje za naruszenie art. 4 osobnej sankcji z katalogu 15 mln EUR albo 3% obrotu. Po lipcowej nowelizacji jest jeszcze słabszy. Powód, żeby uczyć zespół pracy z modelami, jest inny i lepszy. Dotyczy jakości kodu, kosztu licencji i tego, co ludzie wklejają do czatów. O tym są pozostałe teksty na tym blogu.

Artykuł 50 jest za to zwyczajnie egzekwowalny i tani we wdrożeniu. To rzadka kombinacja w prawie technologicznym i szkoda ją zmarnować.