Od sierpnia 2026 w mediach branżowych przewijają się dwa zdania: że AI Act już obowiązuje i że kary sięgają 35 milionów euro. Oba są prawdziwe i oba, wzięte osobno, prowadzą małą firmę do złych wniosków — bo dotyczą różnych przepisów i różnych podmiotów niż ten, którym jest zwykła polska firma używająca ChatGPT do pisania ofert.
Ten tekst porządkuje, co z unijnego rozporządzenia o sztucznej inteligencji realnie dotyczy firmy zatrudniającej kilka albo kilkanaście osób — stan na wrzesień 2026, po zmianach, które weszły w lipcu i sierpniu tego roku i które sporą część wcześniejszych poradników zdezaktualizowały.
/ Zakres
Czy AI Act dotyczy Twojej firmy?
Prawie na pewno tak, ale nie w sensie, w jakim sugerują nagłówki.
Rozporządzenie stosuje się do firm, które wprowadzają systemy AI na rynek Unii albo używają ich w Unii. Drugi człon jest tym, który obejmuje niemal wszystkich: jeśli ktoś w firmie korzysta z ChatGPT, Gemini, Copilota, chatbota na stronie albo narzędzia do transkrypcji spotkań, firma jest w zakresie rozporządzenia.
To jednak nie znaczy, że ma z tego tytułu jakiś rozbudowany katalog obowiązków. Zakres to jedno, a przypisana rola to drugie — i to rola przesądza, ile trzeba zrobić.
/ Rola
Dostawca czy podmiot stosujący — to rozstrzyga wszystko
Rozporządzenie rozdziela dwie sytuacje i w praktyce cała odpowiedź zależy od tego, w której z nich jesteś.
Dostawca to podmiot, który system AI tworzy albo wprowadza na rynek pod własną nazwą. To OpenAI, Google, Anthropic, a także firma, która buduje własne narzędzie AI i sprzedaje je klientom. Na dostawcy leży zdecydowana większość obowiązków z rozporządzenia — dokumentacja techniczna, ocena zgodności, zarządzanie ryzykiem.
Podmiot stosujący to ten, kto używa cudzego systemu AI w swojej działalności. Firma, która wykupiła ChatGPT Team i pisze w nim opisy produktów, jest podmiotem stosującym. Firma, która wstawiła na stronę chatbota od zewnętrznego dostawcy, jest podmiotem stosującym. To rola z najlżejszym zestawem obowiązków w całym rozporządzeniu.
Uwaga na jeden przypadek graniczny
Podmiot stosujący może stać się dostawcą, jeśli wprowadzi cudzy system pod własną marką albo istotnie zmieni jego przeznaczenie. Podpięcie gotowego chatbota i nazwanie go „Asystent [nazwa firmy]” to obszar, w którym warto zapytać prawnika — samo przemalowanie interfejsu zwykle nie wystarcza, żeby przejąć rolę dostawcy, ale sprzedawanie tego dalej jako własnego produktu już tak.
/ Stan na dziś
Co obowiązuje we wrześniu 2026
Dla firmy w roli podmiotu stosującego lista jest krótsza, niż sugerują poradniki sprzedające audyty zgodności.
Zakaz określonych praktyk — od 2 lutego 2025. Rozporządzenie zakazuje między innymi systemów do oceniania ludzi na podstawie zachowania społecznego, rozpoznawania emocji w miejscu pracy i w placówkach edukacyjnych — poza zastosowaniami medycznymi i związanymi z bezpieczeństwem — oraz nieukierunkowanego zbierania wizerunków twarzy z internetu w celu budowy baz rozpoznawania. Zwykła mała firma nie robi żadnej z tych rzeczy — z jednym wyjątkiem, o którym warto wiedzieć: rozpoznawanie emocji pracowników bywa funkcją narzędzi do analizy rozmów sprzedażowych i obsługi klienta. Jeśli takie narzędzie jest w firmie używane wobec pracowników, to jest właśnie ten przypadek.
Kompetencje AI — od 2 lutego 2025. Rozporządzenie wymaga, żeby osoby, które w imieniu firmy obsługują systemy AI, miały wystarczający poziom kompetencji w tym zakresie — proporcjonalnie do tego, czego używają i w jakiej roli. Nie ma tu ani wymogu certyfikatu, ani listy zatwierdzonych szkoleń. Jest wymóg rozsądnych, udokumentowanych działań. W praktyce dla małej firmy oznacza to spisaną zasadę korzystania z narzędzi AI i krótkie wdrożenie dla osób, które ich używają — a nie kurs za kilka tysięcy złotych.
Oznaczanie treści — od 2 sierpnia 2026. Ten termin jako jeden z nielicznych nie został przesunięty. Obowiązek nie polega na dopisywaniu „wygenerowane przez AI” pod każdym tekstem: dotyczy czterech konkretnych sytuacji, z których dla większości firm realna jest jedna — chatbot rozmawiający z człowiekiem musi ujawnić, że jest maszyną. Rozpisałem to osobno w tekście o tym, co naprawdę trzeba oznaczać, a czego nie, razem z gotowymi formułami do skopiowania.
/ Zmiana
Co odroczono latem 2026
To jest część, przez którą większość poradników w sieci wprowadza dziś w błąd — powstały przed 27 lipca 2026 i opisują kalendarz, który już nie obowiązuje.
Rozporządzenie (UE) 2026/1744 z 8 lipca 2026, nazywane omnibusem cyfrowym, weszło w życie 27 lipca 2026 — sześć dni przed pierwotnym terminem 2 sierpnia. Zmieniło terminy dla najcięższej części przepisów:
| Przepisy | Termin pierwotny | Termin po zmianie |
|---|---|---|
| Systemy wysokiego ryzyka — samodzielne (załącznik III) | 2 sierpnia 2026 | 2 grudnia 2027 |
| Systemy wysokiego ryzyka wbudowane w produkty regulowane (załącznik I) | 2 sierpnia 2027 | 2 sierpnia 2028 |
| Przejrzystość i oznaczanie treści (art. 50) | 2 sierpnia 2026 | bez zmian |
Praktyczny wniosek dla małej firmy: obowiązki, które wymagały dokumentacji, oceny zgodności i zarządzania ryzykiem, są odroczone o kilkanaście miesięcy do ponad dwóch lat. Jeśli ktoś sprzedaje dziś pilny audyt zgodności „bo termin minął w sierpniu”, warto zapytać, którego dokładnie przepisu ten audyt dotyczy.
Nie znaczy to, że kalendarz jest pusty. Na 2 grudnia 2026 przypadają dwie rzeczy: rozszerzenie katalogu zakazanych praktyk oraz termin na techniczne rozwiązania znakowania treści generowanych maszynowo. Ta druga pozycja dotyczy dostawców narzędzi, nie firm, które z nich korzystają.
/ Polska
Kto to kontroluje w Polsce
Rozporządzenie unijne działa bezpośrednio, ale nadzór i kary organizuje państwo członkowskie. W Polsce zrobiła to ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji, ogłoszona 27 lipca 2026 (Dz.U. 2026 poz. 1003, PDF).
Organem nadzoru rynku jest Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji — ustawa nazywa ją po prostu „Komisją”, a spotykany w prasie skrót KRiBSI nie pochodzi z tekstu ustawy. Komisja jest też pojedynczym punktem kontaktowym wobec instytucji unijnych. Odwołania od jej decyzji rozpatruje Sąd Okręgowy w Warszawie — sąd ochrony konkurencji i konsumentów.
Ustawa ma dwie daty, które warto rozróżniać:
| Data | Co się dzieje |
|---|---|
| 11 sierpnia 2026 | Ustawa wchodzi w życie — czternaście dni po ogłoszeniu. |
| 28 października 2026 | Zaczynają obowiązywać przepisy o organizacji Komisji oraz rozdziały o postępowaniu, karach i piaskownicy regulacyjnej — trzy miesiące po ogłoszeniu. |
Do końca października nie ma więc jeszcze działającego aparatu kontrolnego. To nie jest zachęta, żeby czekać — to informacja o tym, ile realnie jest czasu na uporządkowanie rzeczy, które i tak trzeba uporządkować.
Drobiazg, który się przydaje
Ustawa przewiduje piaskownicę regulacyjną — tryb, w którym można testować rozwiązanie AI pod okiem Komisji. Dla mikroprzedsiębiorców oraz małych i średnich przedsiębiorców uczestnictwo jest nieodpłatne. To rzadki przypadek przepisu napisanego z myślą o mniejszych podmiotach.
/ Kary
Kary i skąd biorą się te miliony
Kwoty, które krążą w nagłówkach, są prawdziwe: górny próg z rozporządzenia to 35 milionów euro albo 7% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa. Tyle że ten próg dotyczy praktyk zakazanych, a reguła „wyższa z dwóch kwot” obowiązuje w wersji podstawowej.
Dla małych i średnich przedsiębiorców rozporządzenie odwraca tę zasadę: bierze się kwotę niższą, a nie wyższą. Dla firmy z obrotem rzędu miliona złotych to zmienia porządek wielkości z dziesiątek milionów na tysiące. Rozpisałem cały ten rachunek — razem z tym, jak polska ustawa przelicza euro na złote i co się dzieje, zanim w ogóle dojdzie do kary — w osobnym tekście o karach z AI Act dla małej firmy.
/ Działanie
Co zrobić w tym tygodniu
Cztery rzeczy, każda na godzinę albo krócej, i żadna nie wymaga kupowania usługi.
Spisz, z czego firma korzysta. Jedna kartka: narzędzie, kto go używa, do czego. ChatGPT, Copilot w Wordzie, transkrypcja spotkań, chatbot na stronie, wtyczka AI w sklepie. Bez tej listy każda dalsza rozmowa o zgodności jest zgadywaniem, a z nią większość pytań odpowiada się sama.
Sprawdź jedną rzecz na liście: czy któreś narzędzie ocenia ludzi. Emocje w rozmowach z klientami, ocena kandydatów do pracy, scoring pracowników. To jedyne miejsce, gdzie zwykła firma może przypadkiem wejść w kategorię zakazaną albo wysokiego ryzyka.
Napisz jednostronicową zasadę korzystania z AI. Co wolno wrzucać do narzędzi, a czego nie — dane klientów, umowy, dane osobowe. Kto odpowiada za sprawdzenie tego, co AI wygeneruje, zanim pójdzie do klienta. To jednocześnie realizuje obowiązek kompetencji i rozwiązuje problem, który i tak w firmach występuje.
Jeśli masz chatbota na stronie — sprawdź, czy ujawnia, że jest maszyną. To jedyny obowiązek z art. 50, który dotyczy większości firm, i jedyny, którego termin nie został przesunięty.
Reszta może poczekać do momentu, w którym Komisja faktycznie zacznie działać, a firma będzie miała spisaną listę narzędzi. Jeżeli po tej liście okaże się, że któreś z narzędzi wpina się w systemy firmy głębiej, niż się wydawało — na przykład automatycznie przetwarza zgłoszenia z formularza albo dane zamówień — to jest moment, w którym warto to przejrzeć razem. Zwykle problemem nie jest wtedy AI Act, tylko to, gdzie te dane wędrują i czy ktokolwiek to udokumentował.
