3 sierpnia 2026 · KRiBSI watch

2 sierpnia: co realnie zaczęło obowiązywać, a czego nikt nie egzekwuje

AI Act wszedł w fazę pełnego stosowania, ale tydzień wcześniej Digital Omnibus wyciął z tej daty najcięższe obowiązki, a polski organ nadzoru jeszcze nie istnieje. Oto mapa tego, co naprawdę zmieniło się w niedzielę.

W skrócie

Od 2 sierpnia obowiązują wymogi przejrzystości z art. 50 (chatboty, deepfake'i, znakowanie treści syntetycznych) oraz kary — do 15 mln EUR lub 3% obrotu.
Digital Omnibus (rozp. 2026/1744) przesunął obowiązki dla systemów wysokiego ryzyka: załącznik III na 2 grudnia 2027, systemy wbudowane w produkty regulowane na 2 sierpnia 2028.
Polska ustawa o systemach AI jest podpisana, ale KRiBSI zacznie działać dopiero w listopadzie — przez najbliższe miesiące przepisy obowiązują bez krajowego egzekwowania.

Co naprawdę weszło w życie 2 sierpnia

Niedziela 2 sierpnia 2026 to data, którą AI Act nosił w sobie od uchwalenia: koniec okresu przejściowego i początek pełnego stosowania rozporządzenia. W praktyce od tego dnia obowiązują trzy rzeczy, które dotykają znacznie szerszego grona organizacji niż osławione „systemy wysokiego ryzyka”.

Po pierwsze — przejrzystość z art. 50. Chatbot musi informować, że jest chatbotem. Treści syntetyczne (tekst, audio, wideo, obraz generowane przez AI) muszą być oznaczone w sposób możliwy do odczytu maszynowego. Deepfake wymaga wyraźnego ujawnienia. Systemy rozpoznawania emocji i kategoryzacji biometrycznej muszą informować osoby, wobec których działają. To obowiązki dostawców i podmiotów stosujących — czyli także firm, które po prostu wdrożyły cudzego chatbota na swojej stronie.

Po drugie — kary i nadzór rynku. Od 2 sierpnia państwa członkowskie mają obowiązek stosować przepisy o karach: do 15 mln EUR lub 3% światowego obrotu za naruszenia większości obowiązków, a za praktyki zakazane (te obowiązują już od lutego 2025) — do 35 mln EUR lub 7% obrotu. Rozdział IX o nadzorze rynku daje organom uprawnienia do żądania dokumentacji, dostępu do danych i — w skrajnym scenariuszu — wycofania systemu z rynku.

Po trzecie — egzekwowanie wobec modeli ogólnego przeznaczenia (GPAI). Obowiązki dostawców GPAI (dokumentacja techniczna, polityka praw autorskich, podsumowania danych treningowych) formalnie obowiązują od sierpnia 2025, ale dopiero teraz Komisja — przez AI Office — uzyskała pełne uprawnienia egzekucyjne, z karami do 15 mln EUR lub 3% obrotu dla dostawców modeli. Dla europejskich firm to o tyle istotne, że presja regulacyjna na dostawców modeli przełoży się na warunki umów i dokumentację, którą od nich dostają.

Czego nie ma: Digital Omnibus wyciął wysokie ryzyko

Gdyby ten brief powstał trzy miesiące temu, jego głównym tematem byłyby obowiązki dla systemów wysokiego ryzyka z załącznika III: scoring kredytowy, rekrutacja, infrastruktura krytyczna, edukacja. To one miały być ciężarem 2 sierpnia.

Nie są. Rozporządzenie 2026/1744 — tzw. Digital Omnibus on AI, pierwsza nowelizacja AI Act, w mocy od 27 lipca — przesunęło terminy: obowiązki dla samodzielnych systemów wysokiego ryzyka z załącznika III zaczną być stosowane 2 grudnia 2027, a dla systemów AI wbudowanych w produkty regulowane odrębnymi przepisami (załącznik I — maszyny, wyroby medyczne, pojazdy) — 2 sierpnia 2028.

Dwie rzeczy, których Omnibus nie ruszył, a które w komentarzach rynkowych bywają mylone: art. 50 pozostał na 2 sierpnia 2026 i obowiązek kompetencji AI z art. 4 (tzw. AI literacy — zapewnienie, że personel pracujący z AI rozumie, czym operuje) obowiązuje bez zmian od lutego 2025. Kto planował „odpoczynek od AI Act do 2027”, powinien te dwa punkty sprawdzić w pierwszej kolejności.

Praktyczna konsekwencja: organizacje z systemami wysokiego ryzyka dostały 16 dodatkowych miesięcy. To nie jest czas na odłożenie tematu — to czas, w którym gap analysis i budowa systemu zarządzania AI przestają być gaszeniem pożaru, a stają się normalnym projektem z realnym harmonogramem.

Polska: przepisy są, nadzorcy nie ma

24 lipca prezydent podpisał ustawę o systemach sztucznej inteligencji — polską ustawę wdrożeniową AI Act. Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI): nowy organ nadzoru z przedstawicielami m.in. UOKiK, KNF, KRRiT i UKE, z przewodniczącym powoływanym przez Sejm za zgodą Senatu na pięcioletnią kadencję.

Harmonogram jest jednak taki: przewodniczący ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, pełny skład Komisji — w ciągu trzech. Realnie oznacza to przewodniczącego w październiku i działającą Komisję w listopadzie 2026.

Powstaje więc kilkumiesięczne okno, w którym unijne przepisy formalnie obowiązują, ale krajowy organ, który miałby je egzekwować, dopiero powstaje. Z tego okna nie należy wyciągać wniosku „nic nie muszę”. Po pierwsze, GPAI egzekwuje bezpośrednio Komisja Europejska — bez udziału organów krajowych. Po drugie, obowiązki obowiązują od 2 sierpnia niezależnie od tego, kiedy KRiBSI przeprowadzi pierwszą kontrolę — a odpowiedzialność za dzisiejsze naruszenia nie przedawni się w listopadzie. Po trzecie, ustawa daje obywatelom prawo skargi na nieprawidłowości systemów AI — i to skargi z pierwszych miesięcy wyznaczą, czym Komisja zajmie się najpierw.

Ten serwis powstał, żeby to okno — powstawanie polskiego nadzoru nad AI, decyzja po decyzji — dokumentować systematycznie. Skład KRiBSI, pierwsze kontrole, pierwsza kohorta piaskownicy regulacyjnej: wszystko to wydarzy się w ciągu najbliższych dwunastu miesięcy.

Co to znaczy operacyjnie

Compliance: zinwentaryzuj systemy AI w organizacji i sprawdź każdy punkt styku z art. 50 — chatboty na stronie i w obsłudze klienta, generowanie treści (marketing!), narzędzia analizujące nagrania rozmów. Oznaczenia i disclosure’y muszą działać już teraz.
SOC / IT: zweryfikuj umowy i dokumentację od dostawców modeli i narzędzi AI — od 2 sierpnia AI Office może ich rozliczać, więc żądaj aktualnej dokumentacji technicznej i podsumowań danych treningowych; braki po ich stronie to Twoje ryzyko operacyjne.
Zarząd: potraktuj przesunięcie wysokiego ryzyka na XII 2027 jako budżetowaną roadmapę, nie ulgę — oraz zaplanuj do października decyzję, kto w organizacji odpowiada za relację z KRiBSI, w tym za ewentualny wniosek do piaskownicy regulacyjnej (pierwsza kohorta = najwyższa widoczność).

Źródła

Nie wiesz, czy Twoja organizacja podlega tym obowiązkom? Zrób 10-minutową samoocenę AI Act →