Blog · Regulacje

AI Act w Polsce: kogo dotyczy i co trzeba zrobić

Aktualizacja: 18 września 2026 r. · czas czytania ok. 8 minut

Od 2 sierpnia 2026 r. obowiązuje większość przepisów unijnego AI Act, a w Polsce od lipca działa ustawa, która wskazuje krajowy organ nadzoru. Dla firmy, która ma na stronie chatbota albo odbiera telefony przez agenta głosowego, oznacza to kilka konkretnych obowiązków — w większości prostszych, niż się wydaje. Poniżej to, co da się z tego wyciągnąć praktycznego.

To tekst orientacyjny, a nie opinia prawna. Klasyfikacja konkretnego systemu potrafi być niejednoznaczna i w razie wątpliwości warto ją skonsultować z prawnikiem.

Dwa akty prawne, które trzeba znać

Rozporządzenie (UE) 2024/1689 — potocznie AI Act — obowiązuje bezpośrednio we wszystkich państwach Unii. Weszło w życie 1 sierpnia 2024 r., ale jego przepisy uruchamiały się etapami.

Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003) to polskie przepisy wykonawcze. Nie powtarza obowiązków z AI Act — wskazuje organ, który ich pilnuje, i tworzy ramy dla piaskownic regulacyjnych.

Co już obowiązuje — kalendarz

• 1 sierpnia 2024 — AI Act wchodzi w życie, żaden obowiązek jeszcze nie działa.
• 2 lutego 2025 — zaczynają obowiązywać zakazy określonych praktyk (m.in. scoring społeczny, rozpoznawanie emocji w pracy i w szkole) oraz obowiązek kompetencji w zakresie AI.
• 2 sierpnia 2025 — przepisy o modelach ogólnego przeznaczenia (GPAI), o zarządzaniu oraz o karach.
• 2 sierpnia 2026 — pozostała część rozporządzenia, w tym obowiązki przejrzystości z art. 50 i zasady dla systemów wysokiego ryzyka z załącznika III.
• 2 grudnia 2026 — termin dla systemów generujących treści syntetyczne, które trafiły na rynek przed 2 sierpnia 2026: do tego dnia muszą spełnić wymogi art. 50 ust. 2.
• 2 sierpnia 2027 — modele GPAI wprowadzone przed sierpniem 2025 oraz systemy wysokiego ryzyka wbudowane w produkty regulowane.

Dostawca czy podmiot stosujący — to zmienia wszystko

AI Act rozkłada obowiązki nierówno. Najwięcej spada na dostawcę (providera) — czyli tego, kto tworzy system i wprowadza go na rynek pod własną nazwą. Znacznie mniej na podmiot stosujący (deployera) — czyli firmę, która używa gotowego systemu we własnej działalności.

W typowym układzie, w którym agencja buduje i utrzymuje chatbota na własnej platformie, to agencja jest dostawcą, a klient podmiotem stosującym. Uwaga na wyjątek: jeśli firma umieści na systemie własną markę albo istotnie zmieni jego przeznaczenie, sama staje się dostawcą — z całym pakietem obowiązków.

Czy mój chatbot to „system wysokiego ryzyka”?

Zwykle nie. Wysokie ryzyko to kategorie z załącznika III — m.in. rekrutacja i ocena pracowników, dostęp do edukacji, ocena zdolności kredytowej, ubezpieczenia zdrowotne i na życie, infrastruktura krytyczna, egzekwowanie prawa. Chatbot odpowiadający na pytania o ofertę i umawiający wizyty w tych kategoriach się nie mieści.

Ale uważaj na przypadki graniczne: bot, który selekcjonuje kandydatów do pracy, albo system, który ocenia zdolność kredytową klienta, to już inna rozmowa. Jeśli Twój system podejmuje albo istotnie wpływa na decyzje dotyczące ludzi w tych obszarach, sprawdź klasyfikację, zanim uruchomisz go produkcyjnie.

Co naprawdę trzeba zrobić — lista dla firmy z chatbotem

1. Poinformować, że to AI. Osoba wchodząca w interakcję z systemem ma wiedzieć, że rozmawia z maszyną — chyba że jest to oczywiste. W praktyce: jedno zdanie na starcie czatu i jedno zdanie w powitaniu agenta głosowego.
2. Oznaczyć treści generowane maszynowo. Jeśli system generuje teksty, obrazy, audio lub wideo, ich wyjście ma być oznaczone w formacie czytelnym maszynowo. Termin dla systemów działających wcześniej: 2 grudnia 2026.
3. Zadbać o kompetencje zespołu. Obowiązek z art. 4 dotyczy zarówno dostawców, jak i podmiotów stosujących i obowiązuje od lutego 2025. Nie wymaga certyfikatów — wystarczy udokumentowane przeszkolenie osób, które z systemu korzystają.
4. Zostawić ścieżkę do człowieka. Formalnie wymagana przy systemach wysokiego ryzyka, ale w obsłudze klienta to i tak podstawa: bot ma umieć przekazać rozmowę i nie próbować rozwiązywać spraw, do których nie został przygotowany.
5. Prowadzić dokumentację. Co jest wdrożone, na jakim modelu, jakie dane trafiają do systemu, kto odpowiada po Waszej stronie. Przy kontroli to pierwsza rzecz, o którą zapytają.
6. Zamknąć wątek RODO. AI Act nie zastępuje RODO — jeśli bot przetwarza dane osobowe, potrzebna jest podstawa prawna, informacja w polityce prywatności i umowa powierzenia z dostawcą.

KRiBSI — kto tego pilnuje w Polsce

Ustawa z 3 lipca 2026 r. powołała Komisję Rozwoju i Bezpieczeństwa Sztucznej Inteligencji (KRiBSI) jako organ nadzoru rynku w rozumieniu art. 70 ust. 1 rozporządzenia 2024/1689. Do Komisji mogą trafiać skargi obywateli, przedsiębiorców i instytucji na działanie systemów AI.

Co robi KRiBSI: przyjmuje skargi, bada zgodność systemów z przepisami, nakłada kary administracyjne, wydaje wiążące opinie indywidualne i prowadzi piaskownice regulacyjne. W toku prac parlamentarnych zrezygnowano z uprawnień o charakterze nakazowym, takich jak wycofanie systemu z rynku. Rozstrzygnięcia Komisji podlegają kontroli sądowej, a ustawa chroni tajemnicę przedsiębiorstwa w prowadzonych postępowaniach.

Osobny wątek to piaskownice regulacyjne: kontrolowane środowisko, w którym można testować rozwiązanie pod nadzorem organu, z możliwością czasowego wyłączenia części przepisów. Polska jest jednym z pierwszych państw w Europie, które je uruchamia — dla firm budujących własne produkty AI to realna opcja, a nie ozdobnik.

Kary

Widełki z rozporządzenia są wysokie: do 35 mln euro lub 7% światowego obrotu za stosowanie zakazanych praktyk, do 15 mln euro lub 3% za naruszenie większości pozostałych obowiązków i do 7,5 mln euro lub 1% za podanie organom nieprawdziwych informacji. Dla małych i średnich przedsiębiorstw stosuje się niższą z tych dwóch wartości, co realnie zmienia skalę ryzyka.

W praktyce dla firmy z chatbotem najbardziej prawdopodobny scenariusz to nie kara, tylko skarga klienta i postępowanie wyjaśniające. Koszt to wtedy głównie czas i konieczność pokazania dokumentacji — której albo się ma, albo nie.

Podsumowanie w trzech zdaniach

Jeśli używasz chatbota albo agenta głosowego w kontakcie z klientem, AI Act Cię dotyczy, ale najpewniej w najłagodniejszym zakresie: poinformuj, że to AI, oznacz treści generowane maszynowo, przeszkol zespół i prowadź dokumentację. Najbliższy twardy termin to 2 grudnia 2026 dla systemów uruchomionych przed sierpniem. Jeśli Twój system dotyka rekrutacji, oceny zdolności kredytowej albo zdrowia — zweryfikuj klasyfikację, zanim pójdziesz dalej.

Źródła

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 r. (AI Act), w szczególności art. 4, 50, 70, 99 i 113.
• Ustawa z dnia 3 lipca 2026 r. o systemach sztucznej inteligencji (Dz.U. 2026 poz. 1003).
• Ministerstwo Cyfryzacji, komunikat z 27 lipca 2026 r. o podpisaniu ustawy o systemach AI.