AI Act w Polsce: co to jest, od kiedy obowiązuje i kogo dotyczy — przewodnik dla marketingu i PR

Co to jest AI Act

AI Act (w Unii Europejskiej także EU AI Act) to rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689, pierwsze tak szerokie prawo o sztucznej inteligencji. Jako rozporządzenie działa w Polsce bezpośrednio, bez przepisywania do ustawy, a pełną treść AI Act po polsku, także w PDF, znajdziesz w serwisie EUR-Lex (link w źródłach), który jest jedynym wiążącym źródłem tekstu. Reszta to omówienia.

Rozporządzenie nie reguluje technologii jako takiej, tylko jej użycie, w zależności od poziomu ryzyka. Pięter jest cztery: praktyki zakazane (artykuł 5), systemy wysokiego ryzyka (na przykład rekrutacja czy ocena zdolności kredytowej), systemy wymagające przejrzystości (czaty, deepfake’i, teksty z AI; artykuł 50) i cała reszta, czyli zwykłe narzędzia bez dodatkowych obowiązków. Osobne zasady dotyczą dostawców dużych modeli ogólnego przeznaczenia, na przykład modeli językowych stojących za popularnymi czatami.

To nie jest porada prawna. Opisujemy przepisy według publicznych źródeł, stan na wrzesień 2026 roku, a przy wdrożeniu w konkretnej firmie skonsultuj się z prawnikiem. Jeśli AI Act to dla Ciebie jeden z kilku tematów związanych z AI, które trzeba teraz poukładać, zacznij od naszego przewodnika po sztucznej inteligencji w firmie, w którym prawo jest jednym z działów.

Od kiedy obowiązuje AI Act, czyli harmonogram 2024–2028

Na pytanie, kiedy AI Act wchodzi w życie, są różne odpowiedzi, bo przepisy wchodzą etapami. Rozporządzenie weszło w życie 1 sierpnia 2024 roku, ale poszczególne obowiązki stosuje się od różnych dat, a tabela uwzględnia zmiany Digital Omnibus z lipca 2026 roku.

Najwięcej pytań o AI Act 2026 dotyczy dwóch dat z tej tabeli: 2 sierpnia (przejrzystość) i 2 grudnia (koniec okresu przejściowego na znakowanie). Jeśli masz czas przeczytać tylko dwa wiersze, przeczytaj te.

Co w AI Act zmienił Digital Omnibus w 2026 roku

Digital Omnibus to pakiet zmian upraszczających unijne prawo cyfrowe. Część dotycząca AI została opublikowana 24 lipca 2026 roku. W życie weszła 27 lipca. AI Act nie został zawieszony, bo Omnibus jedynie przesunął wybrane terminy i złagodził część wymogów.

Co się zmieniło? Obowiązki dla systemów wysokiego ryzyka z załącznika III przesunięto z 2 sierpnia 2026 na 2 grudnia 2027 roku, a dla AI w produktach regulowanych osobno na 2 sierpnia 2028 roku. Złagodzono obowiązek z artykułu 4: firma ma podejmować działania wspierające wiedzę pracowników o AI, ale przepis nie wymaga już zapewnienia określonego poziomu wiedzy każdej osoby. Komisja Europejska wyjaśnia, że certyfikat nie jest potrzebny i że firma może prowadzić wewnętrzny zapis szkoleń. Dodano nowe zakazy, między innymi dla aplikacji tworzących intymne wizerunki bez zgody. Część ułatwień dla małych i średnich firm rozszerzono także na małe spółki o średniej kapitalizacji.

Kogo dotyczy AI Act

Prawie każdej firmy, która korzysta z AI, a nie tylko tych, które ją tworzą. Rozporządzenie rozróżnia dostawców (tworzą i sprzedają system AI) i podmioty stosujące (używają go w swojej działalności). Dział marketingu, który korzysta z generatora obrazów, czatu na stronie czy narzędzia do selekcji kandydatów, jest podmiotem stosującym i ma własne obowiązki. Wielkość firmy nie zwalnia z przepisów, choć małe i średnie przedsiębiorstwa dostają niższe kary i łatwiejszy dostęp do piaskownic.

Co AI Act oznacza dla marketingu i PR

Szczegóły artykułu 50 (co oznaczać, jak to robić i co zwalnia z obowiązku) rozpisujemy w poradniku o oznaczaniu treści AI od 2 sierpnia 2026. Ryzyka, których prawo nie obejmuje wprost, od wycieku danych po zmyślone fakty, omawiamy w tekście o tym, co realnie grozi firmie korzystającej z AI, oraz w artykule, dlaczego zdarzają się halucynacje AI.

• Wiedza zespołu o AI (artykuł 4, od 2.02.2025): firma ma wspierać to, żeby osoby korzystające z AI rozumiały jej możliwości i ryzyka, i mieć na to dowód, na przykład zapis szkoleń.
• Zakazy (artykuł 5 AI Act, od 2.02.2025): między innymi manipulacja podprogowa szkodząca odbiorcy, wykorzystywanie słabości osób (na przykład wieku), rozpoznawanie emocji w miejscu pracy i w szkole (z wyjątkami medycznymi i bezpieczeństwa).
• Przejrzystość (artykuł 50 AI Act, od 2.08.2026): czat na stronie informuje, że jest programem; deepfake trzeba oznaczyć; tekst o sprawach publicznych wygenerowany przez AI trzeba ujawnić, chyba że przeszedł kontrolę redakcyjną człowieka.
• Rekrutacja i ocena pracowników to obszar wysokiego ryzyka. Pełne obowiązki obowiązują od 2.12.2027, ale przygotowania dobrze zacząć już teraz.

Systemy wysokiego ryzyka w AI Act i ocena FRIA

Systemy wysokiego ryzyka to zastosowania AI, które mogą mocno wpłynąć na życie ludzi: rekrutacja i ocena pracowników, dostęp do edukacji, ocena zdolności kredytowej, wycena ubezpieczeń na życie i zdrowotnych, część usług publicznych. Marketing i PR stykają się z nimi najczęściej przez HR, czyli narzędzia do selekcji CV, oceny rozmów czy okresowych ocen. Co w rekrutacji już dziś działa, a co jest zakazane, opisaliśmy w tekście o AI w HR i rekrutacji. Sam dobór kandydatów to jednak więcej niż narzędzie: o tym, jak ustawić selekcję pracowników zgodną z celami firmy, zanim w ogóle pojawi się w niej AI, piszemy osobno.

FRIA (fundamental rights impact assessment, czyli ocena skutków dla praw podstawowych, artykuł 27) to analiza, jak system może wpłynąć na prawa ludzi i jak temu zapobiec. Przed użyciem systemu wysokiego ryzyka muszą ją przeprowadzić między innymi podmioty publiczne, firmy prywatne świadczące usługi publiczne oraz firmy oceniające zdolność kredytową lub wyceniające ubezpieczenia na życie i zdrowotne. Typowy dział marketingu FRIA nie robi. Ale powinien wiedzieć, czy robi ją HR albo dział kredytów.

Kupujesz albo odnawiasz narzędzie, które dotyka ludzi, na przykład do selekcji CV czy oceny rozmów? Zadaj dostawcy pięć pytań i poproś o odpowiedzi na piśmie. Ich brak to sygnał, że ryzyko zostanie po Twojej stronie.

• Czy narzędzie jest systemem wysokiego ryzyka według załącznika III i jak dostawca to uzasadnia?
• Jaką dokumentację i instrukcję użycia dostaniesz przed wdrożeniem?
• Gdzie są przetwarzane dane kandydatów lub klientów i czy trafiają do trenowania modelu?
• Jak w narzędziu wygląda nadzór człowieka: kto może zmienić albo zatrzymać wynik?
• Jakie zdarzenia system zapisuje w rejestrze i jak długo je przechowuje?

Polska ustawa o systemach sztucznej inteligencji i KRiBSI

Ustawa wdraża AI Act w Polsce. Najważniejsze jest to, że powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako krajowy organ nadzoru, obsługiwany przez Ministerstwo Cyfryzacji, z przewodniczącym powoływanym przez Sejm za zgodą Senatu na pięć lat. W składzie mają zasiadać między innymi przedstawiciele Komisji Nadzoru Finansowego, Prezesa UOKiK, Krajowej Rady Radiofonii i Telewizji oraz Prezesa UKE. Prezydent podpisał ustawę w lipcu 2026 roku, a 27 lipca 2026 roku ogłoszono ją w Dzienniku Ustaw jako ustawę z 3 lipca 2026 roku (Dz.U. 2026 poz. 1003).

Według Ministerstwa Cyfryzacji przewodniczący ma zostać wybrany w październiku 2026 roku, a komisja ma zacząć działać w listopadzie. KRiBSI będzie rozpatrywać zgłoszenia nieprawidłowości i wydawać firmom indywidualne opinie, co daje pewność prawną przy nietypowym wdrożeniu. Poprowadzi też piaskownice regulacyjne, czyli bezpieczne środowisko testów z doradztwem nadzorcy (bezpłatne dla mikroprzedsiębiorstw oraz małych i średnich firm), a do tego działania edukacyjne. Od jej rozstrzygnięć można iść do sądu.

W wyszukiwarce i w rozmowach zarządów ta instytucja pojawia się też pod skrótem Komisja Rozwoju i Bezpieczeństwa AI. Chodzi o ten sam organ, więc przy piśmie do nadzorcy używaj pełnej nazwy z ustawy.

Jak wdrożyć AI Act w firmie krok po kroku

Zgodność z AI Act nie zaczyna się od prawnika, tylko od wiedzy, gdzie w firmie działa AI i kto z niego korzysta, dlatego poniższe sześć kroków ułożyliśmy w kolejności, która ma sens w firmie średniej wielkości.

Najtrudniejszy bywa krok pierwszy, bo część narzędzi działa na prywatnych kontach pracowników. Spis robi się łatwiej, gdy zespół korzysta z modeli przez jedną firmową bramę. Tak działa system Commwork®AI: klucze zostają po stronie serwera, a każde zapytanie trafia do dziennika, więc wiesz, kto, kiedy i do czego używał AI.

Przykład poglądowy, nie historia klienta. Tak zwykle wygląda implementacja AI Act w firmie na około 150 osób, która korzysta z AI w marketingu, sprzedaży i HR. W pierwszym miesiącu zespół zbiera spis narzędzi, także tych na prywatnych kontach, i przypisuje każdemu właściciela. W drugim klasyfikuje użycia według ryzyka, pisze politykę w ośmiu punktach i konsultuje ją z prawnikiem. W trzecim prowadzi szkolenie z listą obecności, ustawia informację przy czacie na stronie i zasady oznaczania grafik. Po 90 dniach firma ma dokumenty, które pokaże audytorowi, klientowi w przetargu albo nadzorcy. Narzędzia HR zostają na osobnej ścieżce, bo tam pełne obowiązki zaczną się dopiero w grudniu 2027 roku.

1. KROK 01Spis użyć AI

   Wszystkie narzędzia i zastosowania: marketing, HR, sprzedaż, obsługa klienta, finanse. Także te, których dział IT nie kupił, a pracownicy używają ich na własną rękę.

2. KROK 02Kategoria ryzyka dla każdego użycia

   Zakazane, wysokiego ryzyka, wymagające przejrzystości czy zwykłe? Przy wątpliwościach zapytaj prawnika albo wystąp o indywidualną opinię KRiBSI.

3. KROK 03Polityka AI

   Jeden dokument z zasadami: co wolno, czego nie wolno, kto zatwierdza, jak oznaczamy. Wzór w 8 punktach znajdziesz niżej.

4. KROK 04Szkolenie zespołu

   Krótkie, praktyczne, z listą uczestników, bo właśnie ta lista razem z programem jest dowodem działań z artykułu 4.

5. KROK 05Przejrzystość na zewnątrz

   Informacja przy czacie, oznaczanie deepfake’ów, zasada podpisu przy tekstach o sprawach publicznych.

6. KROK 06Przegląd i audyt

   Politykę przeglądaj co najmniej raz w roku. I przy każdym nowym narzędziu. Używasz AI w HR? Zrób wewnętrzny audyt AI Act przed terminem 2.12.2027.

Wzór polityki AI w 8 punktach

Dobra polityka AI jest krótka i konkretna. Zasady etyczne, które i tak obowiązują w komunikacji (o nich więcej w tekście o tym, czy etyka w public relations wciąż istnieje), trzeba w niej tylko przełożyć na narzędzia AI. Wystarczy osiem punktów.

1. Cel: po co firma korzysta z AI i czego nie chce nim osiągać.
2. Spis narzędzi: nazwa, do czego służy, kto ma dostęp, gdzie trafiają dane.
3. Dane zakazane: czego nie wolno wklejać do narzędzi zewnętrznych (dane osobowe klientów, tajemnice handlowe, wyniki przed publikacją).
4. Zasada człowieka: co AI przygotowuje, a co zatwierdza człowiek. Publikacja, wysyłka oraz decyzje o ludziach i pieniądzach zawsze po akceptacji.
5. Oznaczanie: kiedy firma ujawnia, że treść powstała z AI (deepfake, czat, teksty bez kontroli redakcyjnej).
6. Podpis i odpowiedzialność: kto sprawdza i podpisuje materiały zewnętrzne.
7. Szkolenie: kto został przeszkolony, kiedy i z czego (artykuł 4).
8. Przegląd: kto aktualizuje politykę i jak często (co najmniej raz w roku i przy każdym nowym narzędziu).

Ile kosztuje zgodność z AI Act i kiedy potrzebny jest prawnik

Nie ma jednej ceny za AI compliance, czyli zgodność z przepisami o AI. Budżet zależy od tego, czy firma tylko korzysta z typowych narzędzi, czy stosuje AI w obszarach wysokiego ryzyka, gdzie potrzebna jest dokumentacja, nadzór człowieka zapisany w procedurach i często ocena skutków dla praw podstawowych. Prawnik jest potrzebny zawsze przy systemach wysokiego ryzyka, przy tworzeniu własnych rozwiązań AI i przy wątpliwościach co do zakazów z artykułu 5. Przy zwykłych narzędziach marketingowych wiele zrobisz we własnym zakresie, z krótką konsultacją prawną na końcu.

Gdzie leży próg decyzji? Jeśli żadne z Twoich użyć nie trafiło do kategorii wysokiego ryzyka, a wszystko, co wychodzi na zewnątrz, zatwierdza człowiek (tak jak w zasadzie człowieka w pętli), zwykle wystarczy praca własna i jedna konsultacja prawna na końcu. Gdy choć jedno narzędzie ocenia ludzi albo tworzysz własny system, kary z AI Act i koszt błędu rosną na tyle, że doradztwo prawne w AI compliance przestaje być opcją. Masz już spis narzędzi, a brakuje przeszkolonego zespołu? Zacznij od szkolenia z pracy z AI w Akademii PR, które od razu zostawia zapis potrzebny do artykułu 4.

Kiedy zająć się AI Act i jakie sygnały przyspieszają decyzję

Jeśli firma używa AI w komunikacji, sprawy nie da się odłożyć, bo zakazy i artykuł 4 obowiązują od 2025 roku, a artykuł 50 od 2 sierpnia 2026 roku. Przyspiesz, gdy HR testuje narzędzia do selekcji kandydatów, gdy planujesz kampanię z wygenerowanymi wizerunkami ludzi albo gdy klienci biznesowi zaczynają pytać w przetargach o politykę AI. Spokojniej możesz podejść, jeśli AI służy tylko do wewnętrznych szkiców, a wszystko, co wychodzi na zewnątrz, sprawdza człowiek, który potem się pod tym podpisuje.

Przed pierwszym przeglądem odhacz pięć rzeczy: spis narzędzi z właścicielami, kategorię ryzyka przy każdym użyciu, podpisaną politykę AI, listę osób po szkoleniu i gotowy tekst informacji przy czacie. Jeśli zespół korzysta z kilku czatów naraz, porównanie planów firmowych i ich ustawień prywatności znajdziesz w tekście ChatGPT, Gemini czy Copilot dla firmy, a program przeszkolenia ludzi opisujemy w poradniku o szkoleniach AI dla firm.

Jeśli wdrażasz AI w dziale marketingu od zera, plan znajdziesz w artykule Wdrożenie AI w dziale marketingu i PR: plan na 90 dni. O tym, jak spójne zasady wewnątrz firmy przekładają się na jej wizerunek, pisaliśmy w tekście o tym, jak komunikacja wewnętrzna buduje sukces organizacji.

Szkolimy zespoły marketingu i komunikacji z bezpiecznej pracy z AI, także pod kątem artykułów 4 i 50, w ramach Akademii PR. Zasady pracy z AI w komunikacji wdrażamy w usłudze PR AI. Pierwsza rozmowa jest bezpłatna. Napisz do nas.

Gdzie firmy najczęściej źle czytają AI Act

Czytaj dalej