2 sierpnia 2026 roku to data, którą każdy właściciel polskiego MŚP korzystającego z ChatGPT, Claude, Gemini lub Mistrala powinien zapisać w kalendarzu. Tego dnia rozporządzenie AI Act (Akt o Sztucznej Inteligencji, rozporządzenie 2024/1689) zaczyna być stosowane w pełnym zakresie: rusza krajowy nadzór rynku, system kar administracyjnych oraz wymogi dla systemów wysokiego ryzyka z załącznika III. Same obowiązki dostawców modeli AI ogólnego przeznaczenia (GPAI — General-Purpose AI) obowiązują już od 2 sierpnia 2025 — w 2026 roku dochodzi ich realne egzekwowanie. Maksymalne kary administracyjne sięgają 35 milionów euro lub 7% globalnego rocznego obrotu — w zależności od tego, która kwota jest wyższa.
Dla polskich małych i średnich przedsiębiorstw oznacza to konkretne wyzwanie: jak korzystać z generatywnej sztucznej inteligencji w marketingu, obsłudze klienta czy automatyzacji procesów, nie narażając się na sankcje? Niniejszy artykuł przedstawia praktyczny przewodnik po obowiązkach GPAI, mapuje je na realia polskiego rynku oraz dostarcza gotową checklistę zgodności, którą można wdrożyć w ciągu kilku tygodni.
Czym jest AI Act i dlaczego data 2 sierpnia 2026 ma znaczenie
AI Act został przyjęty przez Parlament Europejski w marcu 2024 roku i opublikowany w Dzienniku Urzędowym UE 12 lipca 2024 roku. Wszedł w życie 1 sierpnia 2024 roku, jednak jego poszczególne przepisy są stosowane stopniowo, w czterech głównych fazach:
- 2 lutego 2025 — zakaz systemów AI o niedopuszczalnym ryzyku (social scoring, manipulacja podprogowa, scraping biometryczny) oraz obowiązek AI literacy dla pracowników korzystających z AI.
- 2 sierpnia 2025 — obowiązki dostawców modeli GPAI (dokumentacja techniczna, podsumowanie danych treningowych, polityka zgodna z prawem autorskim) dla modeli wprowadzanych na rynek po tej dacie.
- 2 sierpnia 2026 — ogólne stosowanie rozporządzenia: wymogi dla systemów wysokiego ryzyka z załącznika III, obowiązki podmiotów stosujących, krajowy nadzór rynku oraz pełne stosowanie przepisów o karach administracyjnych — w tym wobec dostawców GPAI.
- 2 sierpnia 2027 — wymogi dla systemów wysokiego ryzyka wbudowanych w produkty regulowane (załącznik I) oraz termin dostosowania modeli GPAI wprowadzonych na rynek przed sierpniem 2025.
- 2 sierpnia 2030 — przepisy dotyczące systemów AI wykorzystywanych przez instytucje publiczne wprowadzonych przed datą stosowania rozporządzenia.
Data 2 sierpnia 2026 jest kluczowa, ponieważ od tego momentu państwa członkowskie muszą zapewnić działający krajowy nadzór rynku AI. W Polsce rolę tę — zgodnie z projektem ustawy o systemach sztucznej inteligencji — ma pełnić Komisja Rozwoju i Bezpieczeństwa Sztucznej Inteligencji, działająca w ścisłej współpracy z UODO (Urząd Ochrony Danych Osobowych) oraz Ministerstwem Cyfryzacji. Projekt ustawy o systemach sztucznej inteligencji, procedowany przez Sejm od końca 2025 roku, precyzuje rolę krajowych organów oraz mechanizmy postępowania w sprawach o naruszenie AI Act.
Obowiązki GPAI: czego dotyczą i kogo realnie obejmują
Rozdział V AI Act wprowadza odrębny reżim dla modeli sztucznej inteligencji ogólnego przeznaczenia. GPAI to modele trenowane na ogromnych zbiorach danych, zdolne do realizacji szerokiego spektrum zadań — typowymi przykładami są GPT-4, GPT-5, Claude Opus 4, Gemini 1.5 Pro, Mistral Large oraz Llama 3. Część polskich firm dodaje do tego rodzime modele, w tym PLLuM rozwijany w ramach konsorcjum NASK i polskich uczelni.
Najważniejsza wiadomość dla polskich MŚP: obowiązki nałożone na dostawców GPAI nie spoczywają bezpośrednio na firmach, które jedynie korzystają z tych modeli za pośrednictwem API lub komercyjnych subskrypcji. Jeżeli kupujesz dostęp do ChatGPT Business, Claude for Teams lub Microsoft Copilot, formalnie pozostajesz deployerem (podmiotem stosującym), a nie dostawcą GPAI.
Nie zwalnia to jednak polskich MŚP z całego zakresu odpowiedzialności. Wręcz przeciwnie: AI Act wprowadza spójny łańcuch wymogów, w którym deployer musi:
- weryfikować, czy dostawca modelu spełnia obowiązki GPAI (dokumentacja techniczna, podsumowanie danych treningowych, polityka zgodna z prawem autorskim),
- wdrażać wewnętrzne mechanizmy nadzoru ludzkiego nad wynikami generowanymi przez AI,
- informować pracowników i klientów o stosowaniu systemów AI,
- oznaczać treści generowane lub manipulowane przez AI (artykuł 50 AI Act),
- prowadzić rejestr przypadków użycia i incydentów.
W praktyce oznacza to, że polski sklep e-commerce wykorzystujący ChatGPT do generowania opisów produktów, kancelaria prawna stosująca Claude do analizy dokumentów czy software house używający Copilot do programowania — wszystkie te podmioty mają obowiązki zgodności od 2 sierpnia 2026 roku.
Kary administracyjne: trzy poziomy ryzyka finansowego
Artykuł 99 AI Act ustanawia trzy progi kar administracyjnych, których wysokość będzie określana przez krajowy organ nadzoru w Polsce. Dla MŚP ustawodawca europejski wprowadził mechanizm proporcjonalności — sankcja powinna uwzględniać charakter, wagę i czas trwania naruszenia, a także rozmiar przedsiębiorstwa.
- Do 35 mln euro lub 7% obrotu — za stosowanie praktyk zakazanych (artykuł 5), na przykład scoringu społecznego pracowników lub rozpoznawania emocji w miejscu pracy.
- Do 15 mln euro lub 3% obrotu — za naruszenie obowiązków dostawców i deployerów systemów wysokiego ryzyka oraz wymogów dotyczących GPAI (transparentność, dokumentacja, nadzór ludzki).
- Do 7,5 mln euro lub 1% obrotu — za dostarczenie organom nadzoru nieprawdziwych, niekompletnych lub mylących informacji.
Dla MŚP o obrotach 5-50 mln złotych rocznie realne narażenie kary wynosi zazwyczaj kilkaset tysięcy złotych — kwoty, które mogą zachwiać płynnością niewielkiej firmy. Dlatego inwestycja w governance AI nie jest abstrakcyjnym wymogiem regulacyjnym, lecz konkretną pozycją w zarządzaniu ryzykiem operacyjnym.
Powiązanie z RODO: dwa reżimy, jeden rejestr
UODO konsekwentnie podkreśla, że AI Act i RODO są rozporządzeniami komplementarnymi, a nie konkurencyjnymi. Każde przetwarzanie danych osobowych przez system AI nadal podlega RODO — niezależnie od kategorii ryzyka określonej w AI Act. Praktyczna konsekwencja dla polskich MŚP jest dwojaka:
Po pierwsze, rejestr czynności przetwarzania (RCP) prowadzony zgodnie z artykułem 30 RODO musi zostać rozszerzony o przypadki użycia AI. Każdy proces wykorzystujący GPAI do przetwarzania danych osobowych — segmentacja klientów, generowanie odpowiedzi e-mail, analizę CV w rekrutacji — powinien być udokumentowany z określeniem podstawy prawnej, kategorii danych i okresu retencji.
Po drugie, ocena skutków dla ochrony danych (DPIA — Data Protection Impact Assessment) staje się obligatoryjna dla większości zastosowań AI o podwyższonym ryzyku. Wytyczne Europejskiej Rady Ochrony Danych z 2024 roku jednoznacznie wskazują, że stosowanie generatywnej AI do podejmowania decyzji wpływających na osoby fizyczne (rekrutacja, scoring, ofertowanie) wymaga przeprowadzenia DPIA przed wdrożeniem.
UODO opublikował w 2025 roku zalecenia dotyczące stosowania AI, w których podkreśla konieczność weryfikacji transferu danych poza Europejski Obszar Gospodarczy. Wielu dostawców GPAI (OpenAI, Anthropic, Google) hostuje modele w Stanach Zjednoczonych — wymaga to zawarcia standardowych klauzul umownych (SCC) i przeprowadzenia oceny transferu (Transfer Impact Assessment).
Szablon governance AI dla polskiego MŚP
Skuteczne wdrożenie zgodności z AI Act nie wymaga budowania rozbudowanych struktur korporacyjnych. Dla MŚP wystarczy lekka, ale spójna struktura governance oparta na pięciu filarach.
1. Polityka stosowania AI (AI Acceptable Use Policy)
Dokument pisemny, jedna lub dwie strony, opisujący jakie narzędzia AI są dopuszczone, w jakich procesach i z jakimi ograniczeniami. Powinien jednoznacznie zakazywać wprowadzania danych osobowych klientów, danych finansowych i tajemnic handlowych do narzędzi konsumenckich (darmowy ChatGPT, publiczne wersje Gemini). Polityka powinna być podpisana przez wszystkich pracowników.
2. Rejestr przypadków użycia AI
Prosty arkusz kalkulacyjny lub system w Notion/Confluence, który ewidencjonuje każdy proces biznesowy wykorzystujący AI: cel, model, dostawca, kategoria ryzyka według AI Act, podstawa prawna RODO, osoba odpowiedzialna i data ostatniej weryfikacji. Rejestr ten jest kluczowy w przypadku kontroli organu nadzoru.
3. Mechanizmy nadzoru ludzkiego
Artykuł 14 AI Act wymaga, aby decyzje systemów AI o znaczącym wpływie na osoby fizyczne podlegały weryfikacji człowieka. Praktycznie oznacza to wprowadzenie procedury `human-in-the-loop`: pracownik akceptuje wynik AI przed jego wykorzystaniem (na przykład odpowiedź do klienta, analiza CV, kalkulacja oferty). Procedura powinna być udokumentowana i mierzona.
4. Program AI literacy
Od 2 lutego 2025 roku obowiązkowy. Każdy pracownik korzystający z AI w pracy musi przejść szkolenie obejmujące: podstawy działania modeli generatywnych, ryzyka (halucynacje, bias, wycieki danych), zasady stosowania w firmie, kwestie RODO. Dla MŚP wystarczy roczne szkolenie online (1-2 godziny) z testem końcowym i certyfikatem.
5. Mechanizm raportowania incydentów
Każdy poważny incydent związany z AI (wyciek danych, błędna decyzja, dyskryminacja) musi być zgłoszony do organu nadzoru w ciągu 15 dni. MŚP powinno mieć wyznaczoną osobę kontaktową (zwykle Inspektor Ochrony Danych) i procedurę eskalacji.
Praktyczna checklist zgodności na 2 sierpnia 2026
Poniższa lista kontrolna prezentuje minimalne kroki, które polskie MŚP powinno wdrożyć w okresie maj-lipiec 2026, aby w dniu pełnego stosowania rozporządzenia osiągnąć stan zgodności.
Audyt stanu wyjściowego
- Zinwentaryzować wszystkie narzędzia AI używane w firmie (oficjalnie i nieoficjalnie — shadow AI).
- Zmapować dostawców i sprawdzić ich politykę zgodności z AI Act (większość publikuje już dokumentację GPAI).
- Zidentyfikować przypadki użycia, w których przetwarzane są dane osobowe lub podejmowane decyzje wpływające na osoby fizyczne.
- Sklasyfikować każdy przypadek użycia według kategorii ryzyka AI Act (minimalne, ograniczone, wysokie, niedopuszczalne).
Dokumentacja i procesy
- Opracować i wdrożyć politykę stosowania AI.
- Zaktualizować rejestr czynności przetwarzania (RCP) o przypadki użycia AI.
- Przeprowadzić DPIA dla zastosowań AI o podwyższonym ryzyku.
- Zaktualizować klauzule informacyjne dla klientów i pracowników o stosowaniu AI.
- Wdrożyć obowiązek oznaczania treści generowanych przez AI (deepfake, syntetyczne treści).
Umowy z dostawcami
- Zweryfikować umowy z dostawcami GPAI pod kątem klauzul zgodności z AI Act.
- Sprawdzić istnienie standardowych klauzul umownych (SCC) dla transferów poza EOG.
- Zażądać od dostawców dokumentacji technicznej i podsumowania danych treningowych.
- Zweryfikować politykę prawa autorskiego dostawcy (czy szanuje opt-out twórców).
Szkolenia i kultura
- Przeprowadzić szkolenie AI literacy dla wszystkich pracowników.
- Wyznaczyć osobę odpowiedzialną za AI governance (najczęściej Inspektor Ochrony Danych).
- Wdrożyć procedurę raportowania incydentów AI.
- Wdrożyć kwartalną weryfikację rejestru przypadków użycia AI.
Polski kontekst: PLLuM, KPRM i wsparcie publiczne
Ministerstwo Cyfryzacji w ramach programu rozwoju polskiej sztucznej inteligencji wspiera tworzenie krajowych modeli GPAI dostosowanych do języka polskiego i polskiego kontekstu prawnego. PLLuM (Polish Large Language Model), rozwijany przez konsorcjum z udziałem NASK, Politechniki Wrocławskiej i innych ośrodków, jest pierwszym poważnym polskim modelem językowym o otwartej licencji.
Dla polskich MŚP wybór między globalnymi GPAI (OpenAI, Anthropic, Google) a rodzimymi rozwiązaniami staje się decyzją strategiczną. PLLuM hostowany w polskich centrach danych eliminuje problem transferów poza EOG, lepiej rozumie polskie regionalizmy i kontekst prawny, ale ustępuje wydajnością modelom amerykańskim. Dobre podejście dla MŚP to strategia hybrydowa: PLLuM lub Bielik do zadań związanych z danymi osobowymi i polskim kontekstem prawnym, GPT-4/Claude do bardziej złożonych zadań analitycznych.
Polska Agencja Rozwoju Przedsiębiorczości (PARP) uruchomiła w 2025 roku program dotacji na wdrożenie sztucznej inteligencji w MŚP. Dofinansowanie obejmuje również koszty zgodności z AI Act — audyt, szkolenia, doradztwo prawne. Warto sprawdzić aktualne nabory w ramach Funduszy Europejskich dla Nowoczesnej Gospodarki (FENG).
Sektorowe specyfiki: które branże mają najwięcej do zrobienia
Niektóre sektory polskiej gospodarki będą podlegać szczególnie intensywnemu nadzorowi:
- HR i rekrutacja — systemy AI analizujące CV lub oceniające kandydatów to systemy wysokiego ryzyka (Załącznik III AI Act). Wymaga to pełnej dokumentacji, oceny ryzyka i rejestracji w europejskiej bazie danych systemów AI.
- Finanse i scoring kredytowy — wszelkie AI wspierające decyzje o przyznaniu kredytu, ubezpieczenia czy oceny zdolności kredytowej również są klasyfikowane jako HRAIS.
- E-commerce i marketing — generowanie treści marketingowych przez AI wymaga oznaczenia (artykuł 50), a personalizacja na podstawie profilowania nadal podlega RODO.
- Ochrona zdrowia — chatboty medyczne, systemy wspomagania diagnostyki to systemy wysokiego ryzyka z dodatkowymi wymogami z rozporządzenia o wyrobach medycznych.
- Edukacja — AI oceniająca uczniów lub kandydatów na studia również w kategorii wysokiego ryzyka.
Dla polskich agencji marketingowych i komunikacyjnych szczególnie istotny jest obowiązek oznaczania treści generowanych przez AI. Wdrożenie spójnej strategii komunikacji w erze AI Act wymaga przemyślenia, w jaki sposób oznaczać posty na social media, generowane przez AI obrazy w kampaniach reklamowych czy automatyczne odpowiedzi w obsłudze klienta.
Harmonogram wdrożenia: od audytu do gotowości w 12 tygodni
Realistyczny plan wdrożenia zgodności AI Act dla MŚP o zatrudnieniu 10-50 osób obejmuje około 12 tygodni pracy, z czego rzeczywiste obciążenie pracownicze to 2-3 dni roboczych miesięcznie dla jednej osoby (najczęściej IOD lub menedżera operacyjnego).
- Tygodnie 1-2: audyt stanu wyjściowego, inwentaryzacja narzędzi AI, identyfikacja shadow AI.
- Tygodnie 3-4: klasyfikacja przypadków użycia, mapowanie dostawców, weryfikacja umów.
- Tygodnie 5-6: opracowanie polityki AI, aktualizacja RCP, przygotowanie DPIA.
- Tygodnie 7-8: wdrożenie mechanizmów nadzoru ludzkiego, procedur eskalacji.
- Tygodnie 9-10: szkolenia AI literacy dla pracowników.
- Tygodnie 11-12: testy procedur, dokumentacja, audyt wewnętrzny.
W przypadku firm wykorzystujących AI w sposób intensywny (więcej niż 5 znaczących przypadków użycia) lub w branżach regulowanych warto rozważyć wsparcie zewnętrzne. Agencja wspierająca polskie MŚP w transformacji cyfrowej może przyspieszyć wdrożenie zgodności o około 50%, dostarczając gotowe szablony polityki, rejestru i procedur.
Konsekwencje braku zgodności: realne ryzyko dla MŚP
Poza karami administracyjnymi, brak zgodności z AI Act niesie kilka innych istotnych zagrożeń, które warto uwzględnić w analizie ryzyka:
- Ryzyko reputacyjne — incydent z AI ujawniony publicznie (na przykład dyskryminujący chatbot rekrutacyjny) potrafi zniszczyć markę MŚP, której budowa zajęła lata.
- Ryzyko cywilnoprawne — osoby pokrzywdzone przez błędne decyzje AI mogą dochodzić roszczeń odszkodowawczych na podstawie dyrektywy o odpowiedzialności AI (procedowana równolegle z AI Act).
- Ryzyko utraty kontraktów — duże firmy i instytucje publiczne już dziś w postępowaniach zakupowych wymagają oświadczeń o zgodności z AI Act. Brak takiego oświadczenia oznacza wykluczenie z przetargu.
- Ryzyko utraty ubezpieczenia — polisy cyber risk coraz częściej wymagają dowodu zgodności z AI Act jako warunku wypłaty odszkodowania w przypadku incydentu.
Z perspektywy zarządzania ryzykiem operacyjnym, inwestycja 15-30 tysięcy złotych w pełne wdrożenie zgodności jest istotnie niższa niż potencjalne koszty pojedynczego incydentu lub kary.
Co dalej: 2027 i pełne stosowanie wymogów HRAIS
Polskie MŚP wdrażające zgodność z myślą o 2 sierpnia 2026 powinny pamiętać, że wymogi dla systemów wysokiego ryzyka z załącznika III stosowane są właśnie od tej daty, a 2 sierpnia 2027 dochodzą produkty regulowane z załącznika I oraz modele GPAI wprowadzone na rynek przed sierpniem 2025. Firmy działające w HR, finansach, edukacji czy ochronie zdrowia będą musiały dodatkowo przygotować dokumentację techniczną zgodną z Załącznikiem IV AI Act, zarejestrować systemy w europejskiej bazie danych i przejść ocenę zgodności (samoocenę lub jednostki notyfikowanej, w zależności od kategorii systemu).
Dobra wiadomość jest taka, że wszystkie elementy governance wdrożone na 2026 (rejestr, polityka, DPIA, nadzór ludzki, AI literacy) stanowią fundament zgodności na 2027. Firmy, które zaczną dziś, znajdą się w zdecydowanie lepszej pozycji niż konkurenci próbujący w ostatniej chwili nadrobić zaległości.
Jeśli twoja firma potrzebuje wsparcia w opracowaniu polityki AI, przeprowadzeniu audytu zgodności lub wdrożeniu szkoleń AI literacy, opisz swój projekt w krótkim briefie — odpowiadamy e-mailem w ciągu 48 godzin. Pomożemy dobrać zakres działań dostosowany do specyfiki twojego MŚP, branży i budżetu.
Podsumowanie: AI Act jako szansa, nie tylko obowiązek
2 sierpnia 2026 to nie tylko data wejścia w życie kolejnej regulacji unijnej. To moment, w którym polskie MŚP, które potraktują AI Act jako szansę na uporządkowanie procesów, zyskają realną przewagę konkurencyjną. Spójna governance AI sygnalizuje klientom, partnerom i pracownikom, że firma jest dojrzała technologicznie i odpowiedzialna. Pozwala bezpieczniej wykorzystywać potencjał generatywnej sztucznej inteligencji, eliminując shadow AI i nieautoryzowane przepływy danych.
Trzy miesiące, które dzielą nas od daty pełnego stosowania rozporządzenia, to wystarczający czas, aby przejść drogę od chaosu do uporządkowanego zarządzania AI. Najtrudniejszy krok to ten pierwszy — audyt i mapowanie. Wszystko, co następuje potem, jest już tylko kwestią dyscypliny dokumentacyjnej i konsekwencji we wdrażaniu procedur.