3 sierpnia 2026 · KRiBSI watch

2 sierpnia: co realnie zaczęło obowiązywać, a czego nikt nie egzekwuje

AI Act wszedł w fazę pełnego stosowania, ale tydzień wcześniej Digital Omnibus wyciął z tej daty najcięższe obowiązki, a polski organ nadzoru jeszcze nie istnieje. Oto mapa tego, co naprawdę zmieniło się w niedzielę.

W skrócie

Od 2 sierpnia obowiązują wymogi przejrzystości z art. 50 (chatboty, deepfake'i, znakowanie treści syntetycznych) oraz kary — do 15 mln EUR lub 3% obrotu.
Digital Omnibus (rozp. 2026/1744) przesunął obowiązki dla systemów wysokiego ryzyka: załącznik III na 2 grudnia 2027, systemy wbudowane w produkty regulowane na 2 sierpnia 2028.
Polska ustawa o systemach AI jest podpisana, ale KRiBSI zacznie działać dopiero w listopadzie — przez najbliższe miesiące przepisy obowiązują bez krajowego egzekwowania.

Co naprawdę weszło w życie 2 sierpnia

Niedziela 2 sierpnia 2026 to data, którą AI Act nosił w sobie od uchwalenia: koniec okresu przejściowego i początek pełnego stosowania rozporządzenia. W praktyce od tego dnia obowiązują trzy rzeczy, które dotykają znacznie szerszego grona organizacji niż osławione „systemy wysokiego ryzyka”.

Po pierwsze — przejrzystość z art. 50. Chatbot musi informować, że jest chatbotem. Treści syntetyczne (tekst, audio, wideo, obraz generowane przez AI) muszą być oznaczone w sposób możliwy do odczytu maszynowego. Deepfake wymaga wyraźnego ujawnienia. Systemy rozpoznawania emocji i kategoryzacji biometrycznej muszą informować osoby, wobec których działają. To obowiązki dostawców i podmiotów stosujących — czyli także firm, które po prostu wdrożyły cudzego chatbota na swojej stronie.

Po drugie — kary i nadzór rynku. Od 2 sierpnia państwa członkowskie mają obowiązek stosować przepisy o karach: do 15 mln EUR lub 3% światowego obrotu za naruszenia większości obowiązków, a za praktyki zakazane (te obowiązują już od lutego 2025) — do 35 mln EUR lub 7% obrotu. Rozdział IX o nadzorze rynku daje organom uprawnienia do żądania dokumentacji, dostępu do danych i — w skrajnym scenariuszu — wycofania systemu z rynku.

Po trzecie — egzekwowanie wobec modeli ogólnego przeznaczenia (GPAI). Obowiązki dostawców GPAI (dokumentacja techniczna, polityka praw autorskich, podsumowania danych treningowych) formalnie obowiązują od sierpnia 2025, ale dopiero teraz Komisja — przez AI Office — uzyskała pełne uprawnienia egzekucyjne, z karami do 15 mln EUR lub 3% obrotu dla dostawców modeli. Dla europejskich firm to o tyle istotne, że presja regulacyjna na dostawców modeli przełoży się na warunki umów i dokumentację, którą od nich dostają.

Czego nie ma: Digital Omnibus wyciął wysokie ryzyko

Gdyby ten brief powstał trzy miesiące temu, jego głównym tematem byłyby obowiązki dla systemów wysokiego ryzyka z załącznika III: scoring kredytowy, rekrutacja, infrastruktura krytyczna, edukacja. To one miały być ciężarem 2 sierpnia.

Nie są. Rozporządzenie 2026/1744 — tzw. Digital Omnibus on AI, pierwsza nowelizacja AI Act, w mocy od 27 lipca — przesunęło terminy: obowiązki dla samodzielnych systemów wysokiego ryzyka z załącznika III zaczną być stosowane 2 grudnia 2027, a dla systemów AI wbudowanych w produkty regulowane odrębnymi przepisami (załącznik I — maszyny, wyroby medyczne, pojazdy) — 2 sierpnia 2028.

Dwie rzeczy, których Omnibus nie ruszył, a które w komentarzach rynkowych bywają mylone: art. 50 pozostał na 2 sierpnia 2026 i obowiązek kompetencji AI z art. 4 (tzw. AI literacy — zapewnienie, że personel pracujący z AI rozumie, czym operuje) obowiązuje bez zmian od lutego 2025. Kto planował „odpoczynek od AI Act do 2027”, powinien te dwa punkty sprawdzić w pierwszej kolejności.

Praktyczna konsekwencja: organizacje z systemami wysokiego ryzyka dostały 16 dodatkowych miesięcy. To nie jest czas na odłożenie tematu — to czas, w którym gap analysis i budowa systemu zarządzania AI przestają być gaszeniem pożaru, a stają się normalnym projektem z realnym harmonogramem.

Rys. 1 — Terminy stosowania AI Act po nowelizacji Digital Omnibus

Warstwa techniczna: co to znaczy w architekturze systemów

Przepisy przepisami — ale art. 50 to w praktyce wymagania implementacyjne, i to na nich wyłoży się większość wdrożeń.

Znakowanie treści syntetycznych ma być „skuteczne, interoperacyjne i odczytywalne maszynowo”. W praktyce rynek gra dziś trzema technikami: watermarking wbudowany w model (jak SynthID Google’a), kryptograficzne metadane pochodzenia (standard C2PA / Content Credentials — podpisany łańcuch „kto i czym wygenerował”) oraz fingerprinting po stronie detektorów. Każda ma znany tryb awarii: metadane giną przy zrzucie ekranu i reuploadzie, watermark słabnie po transformacjach, detektory dają fałszywe alarmy. Jeśli Twój marketing publikuje grafiki z generatora, pipeline publikacji musi zachowywać metadane C2PA, a nie wycinać je przy kompresji — to jest zmiana w narzędziach, nie w regulaminie.

Rys. 2 — Art. 50 w architekturze: gdzie w pipeline żyją obowiązki przejrzystości

Chatbot „musi się przedstawić” — to nie disclaimer w regulaminie, tylko warstwa UI plus tożsamość na poziomie promptu systemowego (bot nie może twierdzić, że jest człowiekiem, nawet zapytany wprost). Jeżeli używacie modelu przez API (OpenAI, Anthropic, Google), obowiązek ujawnienia leży na Was jako podmiocie stosującym — dostawca modelu Wam tego nie załatwi.

Dokumentacja GPAI, której egzekwowanie właśnie ruszyło, to konkretne artefakty inżynierskie: dokumentacja techniczna architektury i procesu treningu, podsumowanie danych treningowych według szablonu AI Office, polityka praw autorskich. Dla modeli z ryzykiem systemowym (próg domniemania: 10²⁵ FLOPs mocy treningowej) dochodzą ewaluacje zdolności, adversarial testing / red-teaming i raportowanie incydentów. Praktyczny wniosek dla firm budujących na LLM-ach: te dokumenty od swojego dostawcy modelu można — i od teraz warto — po prostu wyegzekwować, bo AI Office robi to samo piętro wyżej.

Inwentaryzacja systemów AI — punkt wyjścia każdego programu zgodności — technicznie oznacza mapę wywołań: które aplikacje wołają które modele (własne czy API), w jakich wersjach, z jakim logowaniem. Bez tej mapy nie odpowiesz na pierwsze pismo od regulatora, niezależnie od tego, jak dobre masz polityki.

Polska: przepisy są, nadzorcy nie ma

24 lipca prezydent podpisał ustawę o systemach sztucznej inteligencji — polską ustawę wdrożeniową AI Act. Ustawa powołuje Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI): nowy organ nadzoru z przedstawicielami m.in. UOKiK, KNF, KRRiT i UKE, z przewodniczącym powoływanym przez Sejm za zgodą Senatu na pięcioletnią kadencję.

Harmonogram jest jednak taki: przewodniczący ma zostać powołany w ciągu dwóch miesięcy od wejścia ustawy w życie, pełny skład Komisji — w ciągu trzech. Realnie oznacza to przewodniczącego w październiku i działającą Komisję w listopadzie 2026.

Powstaje więc kilkumiesięczne okno, w którym unijne przepisy formalnie obowiązują, ale krajowy organ, który miałby je egzekwować, dopiero powstaje. Z tego okna nie należy wyciągać wniosku „nic nie muszę”. Po pierwsze, GPAI egzekwuje bezpośrednio Komisja Europejska — bez udziału organów krajowych. Po drugie, obowiązki obowiązują od 2 sierpnia niezależnie od tego, kiedy KRiBSI przeprowadzi pierwszą kontrolę — a odpowiedzialność za dzisiejsze naruszenia nie przedawni się w listopadzie. Po trzecie, ustawa daje obywatelom prawo skargi na nieprawidłowości systemów AI — i to skargi z pierwszych miesięcy wyznaczą, czym Komisja zajmie się najpierw.

Ten serwis powstał, żeby to okno — powstawanie polskiego nadzoru nad AI, decyzja po decyzji — dokumentować systematycznie. Skład KRiBSI, pierwsze kontrole, pierwsza kohorta piaskownicy regulacyjnej: wszystko to wydarzy się w ciągu najbliższych dwunastu miesięcy.

Co to znaczy operacyjnie

Compliance: zinwentaryzuj systemy AI w organizacji i sprawdź każdy punkt styku z art. 50 — chatboty na stronie i w obsłudze klienta, generowanie treści (marketing!), narzędzia analizujące nagrania rozmów. Oznaczenia i disclosure’y muszą działać już teraz.
SOC / IT: zweryfikuj umowy i dokumentację od dostawców modeli i narzędzi AI — od 2 sierpnia AI Office może ich rozliczać, więc żądaj aktualnej dokumentacji technicznej i podsumowań danych treningowych; braki po ich stronie to Twoje ryzyko operacyjne.
Zarząd: potraktuj przesunięcie wysokiego ryzyka na XII 2027 jako budżetowaną roadmapę, nie ulgę — oraz zaplanuj do października decyzję, kto w organizacji odpowiada za relację z KRiBSI, w tym za ewentualny wniosek do piaskownicy regulacyjnej (pierwsza kohorta = najwyższa widoczność).

Rys. 3 — Matryca operacyjna: kto robi co i w jakim horyzoncie

Źródła

Nie wiesz, czy Twoja organizacja podlega tym obowiązkom? Zrób 10-minutową samoocenę AI Act →