Digital Omnibus zmienił AI Act - co to oznacza dla firmy, która już się przygotowuje

AI Act - Terminy, Digital Omnibus i polska ustawa

Digital Omnibus zmienił AI Act - co to oznacza dla firmy, która już się przygotowuje

W skrócie

Firma, która przygotowywała się do AI Act na 2 sierpnia 2026 r., słyszy, że Digital Omnibus przesunął terminy, i zastanawia się, czy może zwolnić tempo. Może, ale tylko przy systemach wysokiego ryzyka: art. 4, zakazy i przejrzystość z art. 50 stosuje się już teraz. Zestawiamy, co Digital Omnibus zmienił w AI Act, czego nie zmienił i jak przeplanować projekt zgodności.

Jak to wygląda w praktyce

Producent oprogramowania kadrowego z Łodzi od 2025 r. dostosowuje moduł oceny kandydatów do wymogów dla systemów wysokiego ryzyka, z terminem 2 sierpnia 2026 r. Ten sam zespół wdrożył asystenta AI dla klientów i generator ogłoszeń o pracę. Zarząd czyta o zmianach i pyta dyrektora ds. zgodności, czy budżet projektu można przenieść na 2027 r. i czy część dotychczasowej pracy przestała być potrzebna.

Co mówią przepisy

Rozporządzenie (UE) 2026/1744 przyjęto 8 lipca 2026 r., opublikowano w Dzienniku Urzędowym UE 24 lipca 2026 r. i weszło w życie 27 lipca 2026 r. (art. 4). W polskim tytule ma określenie „akt zbiorczy prawa cyfrowego dotyczący AI”. Art. 1 zmienia AI Act w 43 punktach. Dla większości firm najważniejsze są trzy z nich:

• Terminy dla wysokiego ryzyka. Rozdział III sekcje 1-3 (art. 6-27) stosuje się od 2 grudnia 2027 r. dla systemów z załącznika III (wcześniej 2 sierpnia 2026 r.). Dla systemów z załącznika I termin to 2 sierpnia 2028 r. (wcześniej 2 sierpnia 2027 r.).
• Art. 4. Dostawcy i podmioty stosujące podejmują środki, „które wspierają rozwój kompetencji w zakresie AI”, i nie muszą zapewniać określonego poziomu kompetencji poszczególnych osób. Przepis nie wymienia szkoleń, więc szkolenie jest jednym z możliwych środków. Obowiązek zostaje i stosuje się od 2 lutego 2025 r.
• Nowe zakazy. Od 2 grudnia 2026 r. art. 5 ust. 1 lit. ba) i bb) zakazują systemów generujących realistyczne materiały intymne możliwej do zidentyfikowania osoby bez jej zgody i materiały przedstawiające niegodziwe traktowanie dzieci w celach seksualnych.

Zobacz też: Szkolenie Gotowość na AI ACT

Pozostałe zmiany dotyczą głównie dostawców, mniejszych firm i nadzoru:

• Art. 50 ust. 2. Dostawcy systemów generatywnych wprowadzonych do obrotu przed 2 sierpnia 2026 r. mają czas na oznakowanie wyników do 2 grudnia 2026 r. (art. 111 ust. 4). O systemach oddanych do użytku na własny użytek przepis milczy, więc ich sytuacja jest niejasna. Resztę art. 50 stosuje się od 2 sierpnia 2026 r.
• Mniejsze firmy. Digital Omnibus dodał kategorię małych spółek o średniej kapitalizacji (art. 3 pkt 14b, definicja z zalecenia Komisji (UE) 2025/1099). Mogą one korzystać z uproszczonej dokumentacji technicznej (art. 11 ust. 1) i mają niższy pułap kar z art. 99 ust. 4 i 5 (art. 99 ust. 6a). Uproszczone stosowanie niektórych elementów systemu zarządzania jakością (art. 63 ust. 1) przysługuje teraz wszystkim MŚP (mikro, małym i średnim przedsiębiorstwom) bez przedsiębiorstw partnerskich lub powiązanych, a nie tylko mikroprzedsiębiorstwom.
• Rejestracja przy art. 6 ust. 3. Dostawca, który uznał system z załącznika III za niebędący systemem wysokiego ryzyka, dalej dokumentuje ocenę i rejestruje system w bazie UE, ale podaje mniej danych (uchylone pkt 7 i 9 sekcji B załącznika VIII).
• Stronniczość. Nowy art. 4a pozwala wyjątkowo przetwarzać szczególne kategorie danych osobowych, gdy jest to absolutnie niezbędne do wykrywania i korygowania stronniczości, przy łącznych zabezpieczeniach. Ust. 2 obejmuje innych dostawców i podmioty stosujące, ale nie nakłada obowiązku wykrywania stronniczości.
• Nadzór. Urząd ds. AI ma wyłączną kompetencję wobec systemów opartych na modelu AI ogólnego przeznaczenia tego samego dostawcy (z wyjątkami) i systemów będących bardzo dużymi platformami lub wyszukiwarkami internetowymi albo z nimi zintegrowanych (art. 75 ust. 1). Dostał też nowe uprawnienia, w tym kary okresowe (art. 75a-75d).

Zmieniony art. 111 ust. 2 mówi, że systemy wysokiego ryzyka wprowadzone do obrotu lub oddane do użytku przed datą stosowania rozdziału III podlegają rozporządzeniu, poza zakazami z art. 5, dopiero po istotnej zmianie projektu. Systemy przeznaczone dla organów publicznych muszą być zgodne do 2 sierpnia 2030 r. Którą datę ma na myśli przepis, tekst nie mówi wprost, bo sekcje rozdziału III stosuje się od różnych dni. Wszystkie daty zebraliśmy w poście o terminach AI Act po Digital Omnibus.

Co zrobić krok po kroku

1. Nowy harmonogram. Kierownik projektu zgodności zmienia daty dla systemów wysokiego ryzyka na 2 grudnia 2027 r. (załącznik III) albo 2 sierpnia 2028 r. (załącznik I) i oznacza zadania, których terminy się nie zmieniły. Efekt: nowa wersja harmonogramu zatwierdzona przez zarząd.
2. Czego nie odkładać. Zarząd utrzymuje budżet na środki z art. 4 (np. szkolenia i instrukcje dobrane do ról), przegląd zastosowań pod kątem zakazów z art. 5, w tym nowych liter ba) i bb), oraz obowiązki przejrzystości z art. 50. Efekt: lista zadań bieżących z właścicielami i terminami.
3. Treści generowane. Jeśli firma jest dostawcą systemu generującego tekst, obraz, dźwięk lub wideo, wprowadzonego do obrotu przed 2 sierpnia 2026 r., zespół produktu wdraża oznakowanie wyników do 2 grudnia 2026 r. Efekt: zadanie w planie wydań i opis wybranego rozwiązania.
4. Status firmy. Dział finansów ustala, czy firma jest MŚP, małą spółką o średniej kapitalizacji, czy dużym przedsiębiorstwem, bo od tego zależą uproszczona dokumentacja, uproszczenia systemu zarządzania jakością i pułap kar. Szczegóły w poście o ulgach dla MŚP i małych spółek. Efekt: notatka ze statusem i źródłem danych.
5. Klasyfikacja i rejestracja. Dostawca systemu z załącznika III, który korzysta z wyjątku z art. 6 ust. 3, aktualizuje notatkę z oceną i listę danych do rejestracji w bazie UE. Efekt: ocena gotowa do przedstawienia na wniosek organu (art. 6 ust. 4).
6. Systemy już działające. Dział IT zapisuje datę wprowadzenia i wersję każdego systemu wysokiego ryzyka oraz kryteria, według których ocenia, czy zmiana projektu jest istotna (art. 111 ust. 2). Efekt: rejestr zmian z oceną istotności.

Jak sprawdzić, że sprawa jest załatwiona

Harmonogram ma daty zgodne z art. 113 po zmianach, np. 2 grudnia 2027 r. dla modułu oceny kandydatów, a zarząd zatwierdził go razem z listą zadań bieżących z art. 4, 5 i 50. Teczka na kontrolę obejmuje nową wersję harmonogramu z datą zatwierdzenia, rejestr środków z art. 4, notatkę z przeglądu pod kątem zakazów, w tym liter ba) i bb), opis oznakowania treści i notatkę o statusie firmy. Stare dokumenty z terminem 2 sierpnia 2026 r. dla systemów wysokiego ryzyka oznacz jako nieaktualne.

Podstawa prawna i źródła

• art. 3 pkt 14a i 14b, art. 4, art. 4a, art. 5 ust. 1 lit. ba) i bb), art. 6 ust. 3 i 4, art. 11 ust. 1 i art. 63 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 (AI Act) w brzmieniu po zmianach z rozporządzenia (UE) 2026/1744 (źródło)
• art. 1 i art. 4 oraz motywy 8, 9 i 38-40 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2026/1744 z dnia 8 lipca 2026 r. (akt zbiorczy prawa cyfrowego dotyczący AI) (źródło)
• art. 50, art. 75 ust. 1, art. 75a-75d, art. 99 ust. 6a, art. 111 i art. 113 AI Act oraz załącznik VIII sekcja B
• zalecenie Komisji (UE) 2025/1099 z dnia 21 maja 2025 r. dotyczące definicji małych spółek o średniej kapitalizacji (odesłanie z art. 3 pkt 14b AI Act)
• Komisja Europejska, AI Act, harmonogram stosowania i zmiany z AI Omnibus (strona aktualizowana 19.10.2026) (źródło)

Stan prawny na 3 listopada 2026 r.: AI Act w brzmieniu po zmianach z rozporządzenia 2026/1744 i ustawa o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003). Wytyczne oraz pytania i odpowiedzi Komisji Europejskiej nie są źródłem prawa, ale pokazują, jak Komisja odczytuje przepisy. W sprawach spornych decyzję warto oprzeć na opinii prawnika albo na opinii indywidualnej KRiBSI.

Wróć do listy: 30 najczęstszych pytań i problemów związanych z AI Act i ISO 42001