AI Act po Omnibusie. Co dziś obowiązuje firmę, która używa ChatGPT

Co zmienił Omnibus, a czego nie

Przypomnijmy kalendarz. AI Act wszedł w życie 1 sierpnia 2024 r. Od 2 lutego 2025 r. obowiązują zakazy (na przykład scoring społeczny) i obowiązek dbania o kompetencje AI. Od 2 sierpnia 2025 r. obowiązki mają dostawcy dużych modeli ogólnego przeznaczenia, takich jak ten, który stoi za ChatGPT. Od 2 sierpnia 2026 r. rozporządzenie stosuje się co do zasady w całości, a za wdrażanie odpowiadają unijne Biuro ds. AI i organy krajowe.

W tę układankę wszedł Omnibus. Komisja Europejska zaproponowała go 19 listopada 2025 r., polityczne porozumienie zapadło 7 maja 2026 r., a jako rozporządzenie 2026/1744 wszedł w życie 27 lipca 2026 r. Najważniejsza zmiana to daty. Samodzielne systemy wysokiego ryzyka z załącznika III dostały termin 2 grudnia 2027 r., a systemy wbudowane w produkty objęte unijnymi normami bezpieczeństwa, na przykład w windach czy zabawkach, 2 sierpnia 2028 r.

Druga zmiana dotyczy art. 4. Zamiast „zapewnić wystarczający poziom” kompetencji AI dostawcy i użytkownicy mają teraz „podejmować środki wspierające ich rozwój”. Nikt nie musi zdawać egzaminu, a Komisja i państwa mają publikować praktyczne przykłady, zwłaszcza dla małych firm. Trzecia: uproszczenia, które dotąd miały tylko MŚP (prostsza dokumentacja techniczna, proporcjonalny system zarządzania jakością, łagodniejsze kary), objęły też tak zwane small mid-caps, według zalecenia KE z 2025 r. firmy do 750 pracowników.

Czego Omnibus nie zmienił? Obowiązków przejrzystości z art. 50. One ruszyły 2 sierpnia 2026 r. Jedyny wyjątek to dostawcy generatywnych systemów wprowadzonych na rynek przed tą datą: na wdrożenie maszynowego oznaczania treści mają czas do 2 grudnia 2026 r. Przy okazji dopisano nowy zakaz, systemów do rozbierania ludzi na zdjęciach bez ich zgody, także z okresem przejściowym do grudnia.

Używasz ChatGPT do ofert i maili. Co Cię dotyczy

W języku rozporządzenia jesteś „podmiotem stosującym”. Dostawcą jest firma, która zbudowała model. Ten podział załatwia większość obaw: to dostawca musi oznaczać wygenerowane treści w formacie czytelnym maszynowo, to dostawca odpowiada za to, żeby chatbot przedstawiał się jako program. Ty masz dwa obowiązki.

Pierwszy to art. 4: środki wspierające kompetencje AI u ludzi, którzy z tych narzędzi korzystają. W praktyce w pięcioosobowej firmie wystarczy jedna strona zasad i godzinne spotkanie: czego nie wklejamy do czatu (dane klientów, umowy, hasła), kto sprawdza wynik przed wysłaniem, gdzie zapisujemy, że tekst powstał z pomocą AI. Nie potrzebujesz certyfikatu ani audytu.

Drugi to art. 50 ust. 4. Jeśli publikujesz obraz, dźwięk lub wideo przedstawiające prawdziwą osobę w sytuacji, która się nie wydarzyła, musisz ujawnić, że to wygenerowane. Jeśli publikujesz tekst napisany przez AI „w celu informowania o sprawach publicznych”, też, chyba że przeczytał go i wziął za niego odpowiedzialność człowiek z Twojej redakcji. Oferta handlowa, mail do klienta, opis produktu w sklepie nie są informowaniem o sprawach publicznych. Post na firmowym blogu o nowych przepisach, wygenerowany i wrzucony bez czytania, już może być. Rozwiązanie jest proste i tak było sensowne: ktoś czyta przed publikacją.

Chatbot na stronie to szczególny przypadek. Obowiązek poinformowania klienta, że rozmawia z programem, leży na dostawcy. Ale to Ty go wdrażasz i Ty rozmawiasz z niezadowolonym klientem. Sprawdź, czy komunikat „jesteś w rozmowie z asystentem AI” jest widoczny przy pierwszym kontakcie, bo tak brzmi wymóg z art. 50 ust. 5.

Kiedy Twoje narzędzie staje się „wysokiego ryzyka”

Załącznik III wymienia obszary, w których AI dostaje najostrzejszy reżim: między innymi rekrutacja i selekcja kandydatów, ocena i awansowanie pracowników, dostęp do edukacji, ocena zdolności kredytowej. Jeśli program sam przesiewa CV albo punktuje pracowników, od 2 grudnia 2027 r. obejmą go ścisłe obowiązki, od dokumentacji po nadzór człowieka, a Ciebie jako użytkownika część z nich.

Czternaście miesięcy to dużo i mało. Dużo, bo nie musisz niczego wyłączać dziś. Mało, bo dostawcy tych narzędzi będą w 2027 r. zmieniać umowy i cenniki. Dlatego warto już teraz zapisać, które z Twoich narzędzi dotykają ludzi i pieniędzy, i zapytać dostawcę, co planuje.

Polska: KRiBSI od 28 października

Ustawa o systemach sztucznej inteligencji z 3 lipca 2026 r. (Dz.U. poz. 1003), uchwalona przez Sejm 11 czerwca, weszła w życie 11 sierpnia. Część przepisów dostała trzy miesiące vacatio legis i zaczyna obowiązywać 28 października 2026 r. To między innymi opinie indywidualne i skład komisji.

Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji ma siedem osób: przewodniczącego, dwóch zastępców i czterech członków wskazanych przez UOKiK, KNF, KRRiT i UKE. Dla małej firmy liczą się trzy jej kompetencje. Po pierwsze opinia indywidualna: składasz płatny wniosek z opisem swojej sytuacji i własną oceną, a komisja odpowiada, czy dobrze rozumiesz przepisy. Po drugie piaskownica regulacyjna, czyli kontrolowane środowisko do testowania nowego rozwiązania pod okiem urzędu. Po trzecie kary: komisja nakłada je w wysokości z AI Act, a tam za naruszenie art. 50 grozi do 15 mln euro albo 3 proc. światowego obrotu, z tym że dla MŚP stosuje się niższą z tych wartości. Dla warsztatu z obrotem 2 mln zł 3 proc. to 60 tys. zł, nie 15 mln euro.

Na poziomie unijnym trwa jeszcze jedno: 12 października Komisja Europejska otworzyła konsultacje projektu przepisów o procedurach karnych w postępowaniach, które prowadzi sama (dostęp do akt, pięcioletnie przedawnienie). Potrwają do 9 listopada. Dotyczą głównie dostawców dużych modeli, ale pokazują, że faza „przepisy są, ale nikt ich nie egzekwuje” się kończy.

Co z tego dla Ciebie

1. Spisz na jednej kartce, gdzie w firmie używacie AI: narzędzie, do czego, kto. Pół godziny, a to podstawa wszystkiego dalej.
2. Napisz krótkie zasady korzystania (czego nie wklejamy, kto sprawdza wynik) i omów je z zespołem. To wykonuje art. 4 bez żadnego kursu z certyfikatem.
3. Wprowadź regułę: żaden wygenerowany tekst o sprawach publicznych nie idzie na stronę bez przeczytania przez człowieka, a każdy wygenerowany obraz prawdziwej osoby jest oznaczony.
4. Sprawdź, czy któreś narzędzie dotyka rekrutacji, oceny pracowników albo decyzji kredytowych. Jeśli tak, zapisz datę 2 grudnia 2027 r. i zapytaj dostawcę o plan.
5. Masz realną wątpliwość, czy Twój przypadek podpada pod przepisy? Od 28 października możesz złożyć do KRiBSI wniosek o opinię indywidualną zamiast zgadywać.

Stan na: 20.10.2026. Tekst nie jest poradą prawną.